[doc. web n. 9806759]

Parere sullo schema di decreto del Ministro dell’università e della ricerca, previsto dall’art. 62-quinquies, concernente l’Anagrafe nazionale dell’istruzione superiore - 21 luglio 2022

Registro dei provvedimenti
n. 267 del 21 luglio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. n. 196 del 30 giugno 2003, di seguito “Codice”);

VISTO l’art. 62-quinquies, del Codice dell’amministrazione digitale di cui al d.lgs. n. 82, del 2005 e s.s.m.m (di seguito “CAD”);

VISTO il decreto del Ministro dell’università e della ricerca di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione n. 114 del 19 gennaio 2022 concernente l’Anagrafe nazionale dell’istruzione superiore (di seguito “ANIS”) in relazione al quale il Garante ha reso il relativo parere con provv. del 2 dicembre 2021, n. 428 disponibile in www.gpdp.it, doc. web n. 9731869;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

Il Ministero dell’università e della ricerca (di seguito “Ministero”) ha sottoposto all’Autorità, con nota del 24 giugno 2022, ai fini di acquisire il prescritto parere ai sensi del Regolamento, lo schema di decreto del Ministro dell’università e della ricerca, previsto dall’art. 62-quinquies, concernente l’Anagrafe nazionale dell’istruzione superiore (di seguito “ANIS”) corredato dai relativi allegati.

Lo schema di decreto ha lo scopo di completare, con integrazioni e specificazioni, il quadro giuridico di riferimento delineato dal precedente decreto del 19 gennaio 2022, n. 114, adottato in via di prima attuazione dell’articolo 62-quinquies del CAD in merito al quale il Garante ha reso il parere del 2 dicembre 2021, n. 428, precisando che “la piena operatività dell’ANIS e l’avvio dei conseguenti trattamenti di dati, avverranno solo a seguito della completa definizione del quadro giuridico di riferimento mediante l’emanazione del successivo decreto, da sottoporre al parere del Garante - cui è demandata, anche, l’individuazione di ulteriori elementi di dettaglio del trattamento e degli aspetti di natura tecnologica e di sicurezza -, e della effettuazione della valutazione di impatto da sottoporre, anch’essa, a consultazione del Garante ai sensi degli articoli 35 e 36 del Regolamento prima dell’avvio del trattamento (artt. 9 e 10 dello schema di decreto)”.

a. Il quadro normativo.

L’art. 62-quinquies del CAD prevede che:

- “Per rafforzare gli interventi nel settore dell'università e della ricerca, accelerare il processo di automazione amministrativa e migliorare i servizi per i cittadini e le pubbliche amministrazioni, è istituita, a cura del Ministero dell'università e della ricerca, l'Anagrafe nazionale dell'istruzione superiore (ANIS)” (comma 1);

- “L’ANIS è alimentata dalle istituzioni della formazione superiore, che mantengono la titolarità dei dati di propria competenza e ne assicurano l'aggiornamento, nonché tramite l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, di cui all'articolo 1-bis del decreto-legge 9 maggio 2003, n. 105, convertito, con modificazioni, dalla legge 11 luglio 2003, n. 170”. L'ANIS assicura alla singola istituzione la disponibilità dei dati e degli strumenti per lo svolgimento delle funzioni di propria competenza e garantisce l'accesso ai dati in essa contenuti da parte delle pubbliche amministrazioni per le relative finalità istituzionali. L'ANIS rende disponibili i dati necessari per automatizzare le procedure di iscrizione on line alle istituzioni della formazione superiore e assicura l'interoperabilità con le altre banche di dati di rilevanza nazionale che sono di interesse del Ministero dell'università e della ricerca per le relative finalità istituzionali.” (comma 2);

- “L’'ANIS è costantemente allineata con l'ANPR per quanto riguarda i dati degli studenti e dei laureati. I cittadini, per consultare i propri dati e ottenere il rilascio di certificazioni, possono accedere all'ANIS mediante le modalità di cui al comma 2-quater dell'articolo 64 del decreto Registro dei provvedimenti n. 428 del 2 dicembre 2021 2 legislativo 7 marzo 2005, n. 82, ovvero tramite il punto di accesso di cui all'articolo 64-bis del decreto legislativo 7 marzo 2005, n. 82,” (commi 3 e 4);

- “Con decreto del Ministro dell'università e della ricerca, di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e con il Ministro per la pubblica amministrazione, da adottare entro il 31 dicembre 2021, acquisito il parere del Garante per la protezione dei dati personali, sono stabiliti:

- i contenuti dell'ANIS, tra i quali i dati relativi alle iscrizioni degli studenti, all'istituzione di appartenenza e al relativo corso di studi, i titoli conseguiti e gli ulteriori dati relativi presenti nelle altre banche di dati di rilevanza nazionale di interesse del Ministero dell’Università e della Ricerca cui lo stesso può accedere per le relative finalità istituzionali;

- “le garanzie e le misure di sicurezza da adottare nonché le modalità di alimentazione da parte delle istituzioni della formazione superiore nonché tramite l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, nel rispetto della normativa in materia di protezione dei dati personali e delle regole tecniche del sistema pubblico di connettività. L'allineamento dell'ANIS con l'Anagrafe nazionale degli studenti, dei diplomati e dei laureati degli istituti tecnici superiori e delle istituzioni della formazione superiore, con l'ANPR e con le altre anagrafi di interesse del Ministero dell’Università e della Ricerca per le relative finalità istituzionali avviene in conformità alle linee guida adottate dall'AgID in materia di interoperabilità” (comma 5).

Il decreto n. 114 del 19 gennaio 2022 adottato in attuazione dell’art. 62-quinquies comma 5 del CAD prevede all’art. 10 che:

- “Con successivo decreto, emanato ai sensi dell’articolo 62-quinques (…) entro novanta giorni dal presente decreto, sono individuati, ai fini dell’operatività dell’ANIS, i seguenti elementi della disciplina:

a) la data di avvio dell’operatività che dovrà, in ogni caso, essere compatibile con i termini stabiliti per il perseguimento di milestone e target del PNRR di competenza delle pubbliche amministrazioni interessate dal funzionamento dell’ANIS;

b) i dati contenuti, ivi compresi quelli di cui alle lettere a), b) e d) del comma 1 dell’articolo 4, e i relativi tempi di conservazione e, in particolare, il set di dati relativo a ciascun interessato con la precisa individuazione dei dati che sono trattati, in relazione alle specifiche finalità di ciascuna attività di trattamento, e previa valutazione della necessità di tale trattamento in proporzione con la finalità perseguita;

c) le altre banche dati, anche di interesse nazionale ai sensi dell’articolo 60 del CAD, tra cui l’ANIST, i cui dati siano necessari per lo svolgimento delle funzioni di competenza del Ministero o per l’allineamento degli ulteriori dati contenuti nell’ANIS, anche per il tramite dei servizi resi fruibili dalla PDND, e nel rispetto dei principi dell’articolo 50 ter del CAD e delle relative linee guida;

d) i soggetti diversi da quelli di cui all’articolo 7 che possono accedervi, anche per quanto attiene, tra l’altro, alla possibilità che l’ANIS metta a disposizione delle pubbliche amministrazioni per le relative finalità istituzionali, nonché ai soggetti privati che vi abbiano diritto e nei limiti consentiti ai sensi delle leggi vigenti, i dati in essa contenuti, per il tramite dei servizi resi disponibili dal PDND;

e) le specifiche tecniche e le modalità operative di alimentazione, correttezza, esattezza e aggiornamento dei dati contenuti nell’ANIS, anche attraverso la PDND;

f) la descrizione dettagliata delle modalità di funzionamento delle caratteristiche tecniche, delle regole tecniche e dei requisiti delle garanzie e delle misure di sicurezza di cui all’articolo 9 e all’Allegato “A”, e del relativo manuale operativo, l’indicazione della Il Ministro dell’università e della ricerca di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione 9 ubicazione della infrastruttura fisica nonché le modalità operative di alimentazione e aggiornamento di cui al comma 3 dell’articolo 7;

g) le regole tecniche di realizzazione e di funzionamento dell’interfaccia on line prevista nel comma 1 dell’articolo 7 e delle interfacce con cui l’ANIS interagisce, e ogni conseguente modifica e integrazione all’Allegato “A” al presente decreto;

h) le modalità per assicurare il rilascio di certificazioni da parte delle Istituzioni della formazione superiore, attraverso l'ANIS, ai sensi del comma 4 dell'articolo 62- quinquies del CAD anche mediante l'emissione on line di documenti digitali muniti di sigillo elettronico qualificato ai sensi del Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014;

i) le ulteriori finalità dell’ANIS, anche mediante i servizi resi fruibili dalla PDND, con particolare riguardo: al riconoscimento nell’Unione Europea e all’estero dei titoli di studio i cui dati sono ivi contenuti, attraverso tecnologie idonee a garantire l’autenticità dei titoli medesimi; all’automazione delle procedure di iscrizione on line ai corsi delle Istituzioni della formazione superiore, anche attraverso l’accesso, in consultazione, alle banche dati di altre amministrazioni; alla disponibilità, per ciascuna Istituzione della formazione superiore e per le pubbliche amministrazioni, dei dati necessari per lo svolgimento delle funzioni di competenza; alle specifiche finalità istituzionali in relazione alle quali possono accedervi determinate categorie di soggetti in relazione a determinate categorie di dati”.

b. Lo schema di decreto.

Lo schema di decreto in esame, al fine di dare piena operatività all’ANIS e avviare i conseguenti trattamenti di dati, si propone di individuare gli ulteriori elementi di disciplina dell’ANIS e si compone di nove articoli e tre allegati di cui si riportano di seguito i principali elementi (cfr. art. 10 del decreto del 19 gennaio 2022, n. 114).

L’articolo 1 elenca le definizioni rilevanti per lo schema di decreto.

L’articolo 2 individua l’oggetto dello schema di decreto.

L’articolo 3 individua i dati personali contenuti in ANIS e i relativi tempi di conservazione stabilendo che i dati relativi alle iscrizioni, all'istituzione di appartenenza e al corso di studi degli studenti, siano conservati solo per il tempo strettamente necessario all’erogazione dei servizi di consultazione e cancellati successivamente all’erogazione degli stessi, mentre i dati relativi ai titoli di studio conseguiti siano conservati per un periodo di dieci anni dalla data di decesso dell’interessato.

L’articolo 4 prevede che l’ANIS, attraverso il relativo Portale, previa autenticazione con le modalità di cui agli artt. 64, comma 2-quater e 64-bis del CAD, consenta ai cittadini la consultazione, anche a fini certificativi, dei propri dati personali, nonché la presentazione dell’istanza per la rettifica degli stessi e che, ferme restando le competenze delle Istituzioni della formazione superiore (di seguito “IFS” - ogni Istituto che eroga corsi di istruzione superiore atto a rilasciare i titoli di cui all’articolo 3 del decreto ministeriale 22 ottobre 2004, n. 270 nonché quelli di cui all’articolo 3 del decreto del Presidente della Repubblica 8 luglio 2005, n. 212, ossia le Università e le istituzioni di alta formazione artistica, musicale e coreutica, cfr. art. 1, comma 1, lett. g) dello schema), anche il Ministero assicuri la certificazione dei dati contenuti in ANIS, mediante l'emissione online di documenti digitali muniti di sigillo elettronico qualificato, ai sensi del Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014.

L’articolo 5 stabilisce che l’ANIS, per il tramite della Piattaforma digitale nazionale dati (di seguito “PDND”), assicuri la disponibilità dei dati in essa contenuti per lo svolgimento delle funzioni istituzionali di competenza sia alle IFS sia alle pubbliche amministrazioni e anche ai soggetti privati, che ne hanno diritto ai sensi della normativa vigente, al fine di consentire controlli puntuali circa la veridicità del contenuto delle dichiarazioni presentate dai cittadini.

L’articolo 6 prevede che l’ANIS, per il tramite dei servizi resi fruibili dalla PDND, assicuri l’accesso alle altre banche dati di rilevanza nazionale di interesse del Ministero per le relative finalità istituzionali e l’interoperabilità con le medesime. A tal fine stabilisce che il Ministero possa accedere, trasferendoli alla Anagrafe nazionale degli studenti e dei laureati delle università (di seguito “ANS”) ai dati relativi: all’indicatore della situazione economica equivalente (ISEE) del nucleo familiare dello studente iscritto, di cui all’art. 1, commi 252-267 della l. n. 232/2016 e all’art. 1, comma 518 della l. n. 178/2020; alla condizione occupazionale degli studenti che conseguono il titolo di studio nel corso della loro carriera lavorativa, per le finalità di cui all’art. 1-bis, comma 1, lett. c), d.l. n. 105/2003, convertito dalla l. n. 170/2003; agli altri eventuali dati per il perseguimento delle specifiche finalità istituzionali del Ministero.

L’articolo 7 disciplina le modalità di alimentazione di ANIS stabilendo che la stessa è alimentata dalle IFS direttamente o per il tramite di ANS.

L’articolo 8 prevede che le specifiche tecniche dei servizi resi disponibili da ANIS, nonché i relativi aggiornamenti, siano pubblicati sul Portale ANIS e che per garantire l’efficace attuazione degli obiettivi stabiliti dal Piano nazionale di ripresa e resilienza (di seguito “PNRR”) l’avvio dell’operatività di ANIS avvenga entro tre mesi dalla pubblicazione nella Gazzetta Ufficiale del decreto in esame.

L’articolo 9, infine, individua il Ministero quale titolare del trattamento dei dati contenuti in ANIS in relazione ai profili relativi alla conservazione, comunicazione e adozione delle relative misure di sicurezza; le IFS quali titolari dei dati contenuti in ANIS, limitatamente alla registrazione degli stessi e la società di cui lo stesso si avvale per la realizzazione del progetto e della gestione dell’infrastruttura quale responsabile del trattamento ai sensi dell’art.  28 del Regolamento.

Gli allegati, che costituiscono parte integrante dello schema di decreto, hanno a oggetto: “Descrizione dei dati contenuti nell’ANIS” (allegato A), “Servizi resi disponibili da ANIS” (allegato B) e “Misure di sicurezza” (allegato C).

In considerazione di quanto previsto dall’art. 8 dello schema il presente parere è reso nei termini indicati nell’art. 9, comma 7, del d. l. n. 139 del 2021.

OSSERVA

1. Considerazioni generali

In via preliminare si osserva che non risultano compiutamente regolati tutti gli aspetti che avrebbero dovuto essere disciplinati con lo schema di decreto in esame (cfr. art. 10 del D.M. 19 gennaio 2022, n. 114) e che alcune scelte di fondo del complessivo trattamento di dati personali appaiono, allo stato, ancora indeterminate.

Al riguardo, è opportuno premettere che in relazione ai profili di competenza in materia di protezione dei dati personali non vi sono ostacoli da parte di questa Autorità all’introduzione di strumenti volti ad “accelerare i processi di automazione amministrativa e migliorare i servizi per i cittadini e le pubbliche amministrazioni” (art. 62- quinquies del CAD cit.). Al fine di garantire la conformità del complessivo quadro regolatorio alla disciplina in materia di protezione dei dati personali è tuttavia indispensabile -come evidenziato peraltro nel corso di specifiche interlocuzioni con i rappresentanti del Ministero- che gli elementi fondamentali del trattamento siano definiti nelle disposizioni normative che ne costituiscono la base giuridica, che il trattamento sia proporzionato alla finalità perseguita e che siano previste misure appropriate e specifiche per tutelare i diritti e le libertà degli interessati (cfr. art. 6, par. 3, del Regolamento).

L’assetto delle garanzie necessarie per il trattamento dei dati personali, tenuto conto anche dello specifico contesto di istruzione e formazione in cui sono coinvolti anche minori di età, deve pertanto dare luogo alla corretta applicazione dei principi in materia di protezione dei dati quali, in particolare, quelli riferiti a:

- liceità del trattamento, intesa come corretta individuazione della base giuridica nell’ambito dell’esecuzione di compiti di interesse pubblico di cui è investito il titolare e nel rispetto di tutte le garanzie previste dal Regolamento (artt. 5, par.1, lett. a) e 6 par. 3 lett. b);

- finalità, con specifico riguardo al concetto di “determinatezza”, ai sensi del quale le predette finalità devono essere predeterminate, e di “compatibilità” nel caso in cui i dati siano trattati per una finalità diversa da quella per la quale sono stati originariamente raccolti (artt. 5, par.1, lett. b) e 6, par.4);

- minimizzazione, esattezza e limitazione della conservazione in base ai quali il trattamento dei dati deve essere limitato a quanto necessario rispetto alle finalità per le quali sono trattati, evitando la duplicazione di archivi pubblici che può comportare rilevanti rischi in termini di disallineamenti e sovrapposizioni e conseguenze pregiudizievoli per gli interessati (artt. 5, par.1, lett. c), d) ed e));

- integrità e sicurezza del trattamento mediante previsione di misure di sicurezza per garantire un livello di sicurezza adeguato al rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento (art. 5, par. 1 lett. f)).

In base al Regolamento, infatti, la base giuridica deve indicare, in modo chiaro e trasparente, e nel rispetto dei principi di protezione dei dati (art. 5 e 25 del Regolamento): le finalità dell’Anagrafe in esame; i tipi di dati trattati in relazione a ciascuna finalità e alle diverse categorie di interessati; i soggetti legittimati all’accesso all’anagrafe (in particolare, singole istituzioni formative, altre eventuali amministrazioni, soggetti privati) specificando, per ciascuna categoria di dati, i soggetti o le categorie di soggetti che vi possono accedere in relazione a specifiche finalità istituzionali puntualmente individuate; le operazioni di trattamento; i tempi proporzionati di conservazione delle diverse categorie di dati in relazione a ciascuna finalità perseguita; le misure a tutela degli interessati, specie qualora, come in questo caso, essi siano studenti di cui vengono trattate anche informazioni relative alla situazione familiare e reddituale e/o alla eventuale condizione occupazionale.

Alla luce delle considerazioni che precedono, lo schema di decreto attualmente all’esame dell’Autorità non risulta pienamente conforme ai principi di protezione dei dati personali e alle disposizioni del Regolamento che stabiliscono i requisiti essenziali della base giuridica, in particolare, con riguardo a:

- i  tipi di dati trattati (non essendo indicate, né nell’articolato, né negli allegati, le specifiche informazioni relative all’”indicatore della situazione economica equivalente (ISEE) del nucleo familiare dello studente iscritto” e quelle relative alla “condizione occupazionale degli studenti che conseguono il titolo di studio, nel corso della loro carriera lavorativa”, nonché gli “altri dati occorrenti per il perseguimento delle specifiche finalità istituzionali del Ministero”; artt. 3 e 6 dello schema);

- le fonti di alimentazione di ANIS (artt. 6 e 7 dello schema);

- la corretta individuazione del ruolo assunto dai soggetti coinvolti nei trattamenti di dati personali al fine di assicurare la trasparenza nei confronti degli interessati e di consentire una chiara ripartizione degli obblighi e delle responsabilità previste dal Regolamento (con particolare riguardo al ruolo svolto dal Ministero nel servizio di “certificazione” artt. 4 e 9 dello schema);

- l’individuazione di tutti i soggetti pubblici e privati che accedono all’anagrafe; le specifiche finalità istituzionali che ne giustificano la consultazione mediante specifici servizi “resi disponibili dall’anagrafe” (cfr. all. B) nonché l’interazione con altre banche dati di rilevanza nazionale (artt. 4 e 5 dello schema).
Infine, è stata trasmessa in allegato una Valutazione d’impatto sulla protezione dei dati, redatta ai sensi dell’articolo 35 del Regolamento, in una versione non ancora definitiva (versione bozza) che contiene elementi di dettaglio (tipi di dati, soggetti, altre banche dati coinvolti, misure tecniche e organizzative previste in relazione ai rischi individuati) che non trovano, tuttavia, corrispondenza nel testo dello schema di decreto e negli allegati.

2. Tipologia dei dati trattati

Lo schema di decreto individua solo alcune delle categorie di dati personali che sono trattate nell’ANIS in particolare quelle indicate nell’art. 3 e nell’allegato A.

Nel rinviare all’art. 4 del decreto n. 114 del 19 gennaio 2022, lo schema in esame stabilisce che nell’ANIS “sono contenuti” i dati relativi a: le iscrizioni in corso degli studenti, l'istituzione di appartenenza e il corso di studi degli stessi, i titoli conseguiti (ai sensi del decreto ministeriale 30 aprile 2004, n. 9) nonché i dati anagrafici dell’interessato (nome, cognome, codice fiscale e, ove attribuito, l’ID ANPR).

Pur prendendo favorevolmente atto delle specificazioni contenute nell’allegato A in merito alla “Descrizione dei dati contenuti nell’ANIS”, in particolare quelli relativi alle iscrizioni in essere degli studenti (prevedendo che vengano “registrati” in ANIS la sola informazione di tipo booleano relativa alla effettiva iscrizione dello studente - SI: iscrizione presso IFS/NO: non iscrizione – e solo nel primo caso, denominazione dell’istituto, codice identificativo della classe di laurea cui afferisce il corso e relativa denominazione, tipologia e denominazione del corso/corsi a cui risulta iscritto, anno accademico e anno di corso dell’iscrizione/iscrizioni in essere) e relativi ai titoli conseguiti da ciascun interessato (istituzione di formazione che lo ha rilasciato, codice identificativo della classe di laurea di conseguimento del titolo e relativa denominazione, tipologia e la denominazione del corso, voto e data di conseguimento), tuttavia, analoga specificazione non ricorre con riferimento ad “altre categorie di dati trattati”.

Con riferimento ai dati relativi all’”indicatore della situazione economica equivalente (ISEE) del nucleo familiare dello studente iscritto” e alla “condizione occupazionale degli studenti che conseguono il titolo di studio, nel corso della loro carriera lavorativa (art. 6, comma 1, lett. a) e b) dello schema), si formulano le seguenti considerazioni.

Sebbene lo schema di decreto, con riguardo all’indicatore ISEE, faccia riferimento al quadro normativo di settore che, al ricorrere di determinati presupposti, consente la fruizione di specifici benefici (es. riduzione o esonero nel pagamento dei contributi universitari), tuttavia né lo schema di decreto, né gli allegati riportano la granularità dei dati trattati (es. il valore dell’ISEE in un determinato intervallo temporale, ovvero la sola informazione booleana relativa al superamento della soglia stabilita dalla legge quale condizione per la fruizione dei predetti benefici, ovvero altri dati che concorrono alla determinazione dello stesso indice), la fonte, le modalità di acquisizione e di utilizzo delle predette informazioni, né le eventuali misure per assicurarne l’esattezza e il costante aggiornamento di tale informazione (sul punto vedi anche il successivo paragrafo 3).

Analoghe considerazioni possono essere effettuate con riferimento alla condizione occupazionale degli studenti, risultando, anche in questo caso, carente la specificazione delle informazioni che si intendono trattare (es. la sola informazione booleana relativa alla ricorrenza o meno di un impiego ovvero informazioni di dettaglio relative al tipo di occupazione, al datore di lavoro etc.), la fonte e le modalità di acquisizione di tali informazioni nonché le misure per assicurare l’esattezza e l’aggiornamento delle stesse.

Al riguardo, occorre altresì considerare che lo schema di decreto riconduce il trattamento delle suddette informazioni alle finalità di “fornire elementi di orientamento alle scelte attraverso un quadro informativo sugli esiti occupazionali dei ((diplomati e)) laureati a sui fabbisogni formativi del sistema produttivo e dei servizi” (art. 1-bis, comma 1, lett. c), d.l. n. 105/2003, convertito dalla l. n. 170/2003).
Occorre pertanto rivalutare la necessità del predetto trattamento in tale contesto, anche in considerazione della delicatezza delle informazioni in questione e della possibilità di perseguire la richiamata finalità con dati aggregati e/o indicatori statistici, senza fare ricorso a dati personali.
Tali trattamenti, con riferimento a dati in chiaro direttamente identificativi degli interessati, non trovano inoltre giustificazione alla luce della finalità di “promuovere e monitorare l’utilizzo delle risorse assegnate alle Istituzioni della formazione superiore e l’efficacia degli interventi per il diritto allo studio di cui al d.lgs 29 marzo 2012, n. 68” pure indicata nello schema (art. 6, comma 1); anche in tal caso, la finalità indicata ben potrebbe essere perseguita con dati aggregati e/o indicatori statistici, senza fare ricorso a dati personali

Da ultimo si segnala che lo schema di decreto fa riferimento a “eventuali, altri dati occorrenti per il perseguimento delle specifiche finalità istituzionali del Ministero” (art. 6, comma 1, lett. c)) con una formulazione del tutto generica, che lascia del tutto indeterminati non solo, come detto in precedenza, la tipologia di dati trattati, la fonte e le modalità di acquisizione ma anche le finalità del trattamento.

Tanto premesso, al fine di assicurare la conformità ai principi di minimizzazione dei dati e di proporzionalità del trattamento rispetto alle finalità perseguite, si ritiene necessario che lo schema di decreto definisca in modo puntuale i dati personali oggetto di trattamento, con particolare riguardo a quelli indicati all’art. 6 dello schema (ISEE, condizione occupazionale, altri dati) assicurando che siano trattati solo quelli “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità” di volta in volta perseguite (artt. 5, par. 1, lett. c) e 6, par. 3, lett. b) del Regolamento.

3. Alimentazione dell’Anagrafe

Quanto alle modalità di alimentazione dell’ANIS, si rileva che lo schema di decreto prevede che taluni dati (dati relativi alle iscrizioni in corso degli studenti, all'istituzione di appartenenza degli studenti e al corso di studi) siano acquisiti “per il tramite di ANS, dalle istituzioni della formazione superiore” (cfr. art. 3 dello schema che, probabilmente per un mero refuso, fa riferimento alle modalità di cui all’art. 6 anziché a quelle dell’art. 7 che sembrano pertinenti rispetto a tali categorie di dati, in quanto relative alle modalità di alimentazione di ANIS, tramite ANS e le IFS) ovvero “con riguardo alle informazioni non presenti in ANS” direttamente dalle predette IFS, per il tramite dei servizi resi disponibili dalla PDND.

Al riguardo, si rileva che lo schema non precisa quali tra le predette informazioni siano acquisite tramite ANS o direttamente dalla IFS, nè le misure per assicurare la correttezza, l’esattezza e l’aggiornamento dei dati.

Il riferimento alla circostanza che tali dati sarebbero “contenuti” in ANIS o comunque “acquisiti” e “conservati” (cfr. art. 3 dello schema di decreto e relativa rubrica, nonché all. A che prevede che tali dati siano “registrati” in ANIS) solleva, inoltre, profili di criticità in relazione al rischio di duplicazione di dati, con inevitabili riflessi circa l’esattezza degli stessi e circa l’eventuale utilizzo per fini ulteriori rispetto a quelli per cui sono originariamente già raccolti e trattati (artt. 5, par.1, lett. b) e d) e 6, par.4).

Pertanto, stante la presunta concomitante operatività dell’ANS, si ribadisce quanto già manifestato nel citato parere del Garante del 2 dicembre 2021, n. 428, in merito alla possibile “sovrapposizione delle anagrafi ANS e ANIS con effetto duplicativo dei dati personali in esse contenuti”. Nel predetto parere era stato, infatti, auspicato che il quadro normativo di settore fosse “integrato regolando l’utilizzo di tali anagrafi e le modalità di interazione tra le stesse”, ciò al fine di assicurare la piena conformità alla disciplina sulla protezione dei dati personali nonché al predetto decreto del 19 gennaio 2022 n. 114  il cui articolo 5, tenuto conto delle interlocuzioni con l’Ufficio, prevede espressamente che l’“allineamento [tra le due anagrafi] non determina in alcun caso duplicazione del dato”.

Anche con riguardo ai dati relativi all’ISEE e alla condizione occupazionale degli studenti (cfr. anche le considerazioni espresse nel precedente paragrafo 2) si osserva che, non essendo stati indicati nel dettaglio la tipologia di dati che si intende raccogliere, né la fonte della loro acquisizione, né, inoltre, le modalità di acquisizione e aggiornamento, emergono specifici profili di criticità che connotano di ulteriore indeterminatezza il complessivo trattamento.

Lo schema, infatti, si limita a menzionare l’interoperabilità e modalità di interazione di ANIS con le altre banche dati, riproponendo la formulazione, peraltro generica, di cui all’art. 62-quinquies, comma 2 del CAD senza, come detto, individuare, tipizzandole, “le altre banche dati di rilevanza nazionale di interesse del Ministero”, né chiarire se sia prevista una mera consultazione o la registrazione di dati e, in tale ipotesi, se tale memorizzazione avvenga all’interno della costituenda ANIS o nella preesistente ANS (cfr. art. 6, comma 1 che prevede che a tali dati “il Ministero può accedere, trasferendoli alla ANS”).

Anche con riguardo a tale tipologia di dati si ribadiscono pertanto le medesime considerazioni critiche già espresse con riferimento alla duplicazione dei dati che determina specifici rischi e possibili effetti negativi nella sfera giuridica degli interessati derivanti dal trattamento di dati non esatti e non aggiornati (es. ISEE).

Tanto premesso, al fine di assicurare la conformità ai principi di liceità, correttezza, trasparenza, esattezza e limitazione della finalità nonché di protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5, par. 1, lett. a), b), c), d) e 25 del Regolamento), si rende necessario che lo schema del decreto sia riformulato chiarendo le specifiche modalità di alimentazione dell’Anagrafe (mera consultazione o acquisizione dei dati) precisando quali dati personali siano attinti da ANS e quali dalle IFS nonché da altre “banche dati” da indicare puntualmente, stabilendo, in ogni caso, presupposti, modalità e garanzie a tutela degli interessati, anche in termini di qualità delle informazioni trattate.

4. Il ruolo svolto dal Ministero e dalle Istituzioni della formazione superiore. Servizi di certificazione

Anche in riferimento alla disciplina relativa al ruolo assunto dai soggetti a vario titolo coinvolti nei trattamenti di dati personali in questione, è necessario rilevare che quanto prospettato dallo schema non appare idoneo ad assicurare una chiara ripartizione degli obblighi e delle responsabilità nei termini previsti dal Regolamento, né la correttezza e trasparenza nei confronti degli interessati. Tanto, anche ai fini della definizione delle modalità di rilascio agli interessati dell’informativa sul trattamento dei dati personali (art. 5, par. 1, lett. a), 12, 13 e 14 del Regolamento).

In particolare, lo schema di decreto prevede, infatti, che il Ministero agisca in qualità di titolare del trattamento dei dati contenuti in ANIS limitatamente “ai profili della conservazione, della comunicazione nonché dell’adozione delle relative misure di sicurezza” e che la titolarità è altresì attribuita “all’istituzione della formazione superiore, nell’esercizio delle proprie funzioni istituzionali, limitatamente alla registrazione dei dati”. Tale formulazione non appare conforme alla disciplina sulla protezione dei dati personali (art. 4, punto 7 del Regolamento) né a quella di settore (art. 62-quinquies CAD e art. 8, comma 3 del citato decreto n. 114) in base alla quale è espressamente previsto che le IFS mantengono la titolarità del trattamento dei dati di propria competenza.

Ulteriori considerazioni devono essere formulate con riguardo al ruolo svolto dal Ministero nell’ambito del servizio di “certificazione” (cfr. art. 4 e all. B, par. 4 “Servizio per la richiesta di certificati”), in quanto è previsto che l’ANIS, attraverso il relativo Portale e previa autenticazione (in base agli artt. 64, comma 2-quater e 64-bis del CAD), consenta ai cittadini la “consultazione, anche a fini certificativi, dei propri dati in essa contenuti” e che, ferme restando le competenze delle IFS in materia, anche il Ministero assicuri, la “certificazione dei dati contenuti in ANIS”, mediante l'emissione online di documenti digitali muniti di sigillo elettronico qualificato, ai sensi del Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014 (art. 4,  commi 1 e 2 dello schema).

Tale previsione non risulta coerente con quanto previsto dal precedente decreto n. 114 - in base al quale lo schema di decreto in questione avrebbe dovuto definire  “le modalità per assicurare il rilascio di certificazioni da parte delle Istituzioni della formazione superiore, attraverso l'ANIS […]” (cfr. art. 10, lett. h))- prefigurandosi, pertanto, un ruolo attivo e non strumentale del Ministero in ambito certificatorio che non risulta, allo stato, corrispondente all’assetto delle competenze istituzionali in materia di certificazione dei titoli di studio e del percorso scolastico, facente capo alle IFS.

Peraltro il riferimento alle attività di “certificazione dei dati” contenuti in ANIS ad opera del Ministero non appare coincidente con la diversa e specifica funzione di “certificazione dei titoli conseguiti” o delle iscrizioni in corso di validità e (cfr. art. 4, comma 2 e all. B, par. 4), alimentando ulteriormente l’incertezza, anche dal punto di vista terminologico, in relazione alle finalità perseguite e ai relativi trattamenti di dati personali che si intende porre in essere.

Le suddette criticità rilevate fanno riferimento, pertanto, alla conformità della previsione in esame sia al principio di liceità, correttezza, trasparenza (art. 5, par. 1, lett. a)  del Regolamento), per effetto dall’eventuale svolgimento di operazioni di trattamento che non trovino corrispondenza nelle funzioni istituzionali attribuite dal quadro normativo di riferimento, sia al principio di esattezza (art. 5, par. 1, lett. d)  del Regolamento) tenuto conto dei possibili effetti pregiudizievoli per gli interessati derivanti dall’utilizzo a fini certificatori “dei soli dati presenti in ANIS” (cfr. all. B) in assenza di specifiche misure volte ad assicurare il costante aggiornamento degli stessi (vedi sul punto già il parere del 2 dicembre 2021 cit. che prevedeva, la necessità di individuare specifiche  “garanzie per assicurare il rilascio agli interessati delle certificazioni anche relative ai titoli di studio da parte delle istituzioni della formazione superiore - cui la funzione certificatoria è attribuita dalla normativa di settore - anche attraverso la specifica interfaccia online di ANIS”).

Alla luce delle considerazioni che precedono, al fine di assicurare il rispetto dei principi di liceità, correttezza, trasparenza e di esattezza (art. 5, par. 1, lett. a) e d) del Regolamento), si rende necessario che lo schema del decreto sia riformulato in aderenza al quadro normativo di settore e alla disciplina in materia di protezione dati chiarendo il ruolo assunto rispettivamente dal Ministero e dalle IFS con riguardo ai trattamenti effettuati tramite ANIS, con particolare riferimento all’erogazione dei predetti servizi di certificazione.

5. Servizi di consultazione di ANIS da parte di pubbliche amministrazioni e soggetti privati.

Lo schema di decreto prevede servizi di verifica e consultazione dei dati relativi all’iscrizione e/o ai titoli di studio conseguiti, per il tramite della PDND, in favore di soggetti pubblici e privati allo scopo di consentire, tra l’altro, alle IFS la semplificazione e automatizzazione delle procedure di iscrizione, anche on line (cfr. art. 5, lett. a) dello schema, e allegato B).

Si osserva, al riguardo, che non sono state individuate le “altre” pubbliche amministrazioni e le categorie di soggetti privati che hanno diritto, “ai sensi della normativa vigente”, di accedere all’ANIS (art. 5, lett. b) e c) dello schema).

Quanto ai presupposti e alle finalità di accesso, lo schema si limita a effettuare un generico rinvio alle rispettive “finalità istituzionali” - riproponendo l’ampia formulazione dell’art. 62-quinquies del CAD (a cui tale decreto dovrebbe dare attuazione concorrendo a integrare la base giuridica) - e alla finalità di consentire i “controlli puntuali circa la veridicità del contenuto delle dichiarazioni presentate dai cittadini” (art. 5 dello schema e allegato B).

Al riguardo, in occasione del più volte citato parere del 2 dicembre 2021, il Garante aveva sottolineato la necessità di individuare in modo specifico “i soggetti o le categorie di soggetti che, con riguardo a ogni categoria di dati, possono accedere all’ANIS in relazione alle specifiche finalità istituzionali” (in tale prospettiva vedi anche il richiamato decreto n. 114 del 19 gennaio 2021 che prevede che il presente schema di decreto avrebbe dovuto indicare puntualmente “i soggetti diversi da quelli di cui all’articolo 7 che possono accedervi, anche per quanto attiene, tra l’altro, alla possibilità che l’ANIS metta a disposizione delle pubbliche amministrazioni per le relative finalità istituzionali, nonché ai soggetti privati che vi abbiano diritto e nei limiti consentiti ai sensi delle leggi vigenti, i dati in essa contenuti, per il tramite dei servizi resi disponibili dal PDND”).

In merito alla finalità, individuata nello schema di decreto in esame, concernente la necessità di effettuare “controlli puntuali circa la veridicità del contenuto delle dichiarazioni presentate dai cittadini”, si richiama l’attenzione al necessario coordinamento con la disciplina generale in materia di controlli sulla veridicità delle dichiarazioni sostitutive di certificazione che già stabilisce presupposti, limiti e modalità di verifica, da parte delle amministrazioni e dei gestori di pubblico servizio, da effettuarsi “consultando direttamente gli archivi dell'amministrazione certificante” (cfr.  d.P.R. 28 dicembre 12/2000 n. 445 “Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa” spec. artt. 71, 72 e 76, in riferimento agli artt. 43, 46 e 47).

Stante le possibili conseguenze, anche in termini di responsabilità penale, per gli interessati, è infatti indispensabile valutare la conformità con il predetto quadro normativo di settore in ordine ad eventuali controlli effettuati attraverso i servizi messi a disposizione da ANIS, considerato  che le richiamate previsioni del d.P.R 445/2000, in base alle quali “I   controlli   riguardanti   dichiarazioni   sostitutive   di certificazione sono effettuati dall'amministrazione procedente con le modalità di cui all'articolo 43 consultando direttamente gli archivi dell'amministrazione certificante ovvero richiedendo  alla  medesima, anche attraverso strumenti informatici o telematici, conferma scritta della corrispondenza di  quanto  dichiarato  con  le  risultanze  dei registri da questa custoditi” (art. 71), costituiscono misure a tutela dei diritti e delle libertà degli interessati anche sotto il profilo dell’aggiornamento e dell’esattezza dei dati utilizzati nell’ambito delle predette verifiche (art. 5, par. 1, lett. d) del Regolamento). In proposito, il medesimo d.P.R. 445/2000 prevede specifiche “responsabilità in materia di accertamento d'ufficio e di esecuzione dei controlli” in capo alle amministrazioni certificanti (art. 72).

Per tali ragioni al fine di rendere i trattamenti conformi ai principi di liceità, correttezza e trasparenza ed esattezza (artt. 5, par. 1, lett. a) e d), del Regolamento) è necessario che lo schema di decreto e i relativi allegati siano integrati puntualmente individuando in modo specifico i soggetti o le categorie di soggetti che possono accedere all’ANIS specificando, altresì, le  rispettive finalità istituzionali perseguite e valutando la conformità alla disciplina di settore in materia di controlli sulla veridicità delle dichiarazioni sostitutive di certificazione  (d.P.R. 445/2000).

6. Tempi di conservazione

Lo schema di decreto in esame prevede tempi di conservazione differenti a seconda delle diverse tipologie di dati trattati nell’ANIS stabilendo, in particolare, che i dati relativi alle iscrizioni in corso, all'istituzione di appartenenza e al corso di studi seguito degli studenti, siano conservati “solo per il tempo strettamente necessario all’erogazione dei servizi di consultazione” previsti dallo schema e siano cancellati successivamente all’erogazione degli stessi e che i dati relativi ai titoli di studio conseguiti, siano conservati per un periodo di dieci anni dalla data di decesso dell’interessato (cfr. art. 3, commi 2 e 3 dello schema).

Nel premettere che, in linea di principio, la mera consultazione di taluni dati attraverso interrogazione mediante interoperabilità con altre banche dati non comporta, di regola, la raccolta dei dati consultati e, di conseguenza, non è necessario individuarne i relativi tempi di conservazione, si osserva che, nel caso in esame, la formulazione secondo la quale taluni dati sono “conservati solo per il tempo strettamente necessario all’erogazione dei servizi di consultazione” risulta non pienamente coerente con quanto emerge dallo schema in esame che, invece, prevede espressamente che i predetti dati siano comunque acquisiti e conservati (cfr. precedenti paragrafi 2 e 3).

Si rileva, infine, che il previsto termine di 10 anni dalla data di decesso dell’interessato, in relazione alla conservazione delle informazioni relative ai titoli di studio conseguiti, risulta particolarmente ampio anche in relazione della finalità perseguita tenuto altresì conto che il  decreto n. 114 del 19 gennaio 2022 prevede che i dati relativi alle iscrizioni in corso, all'istituzione di appartenenza e al corso di studi siano conservati per il periodo di validità dell’iscrizione dello studente e, in ogni caso, per dieci anni dal conseguimento del più elevato titolo di studio conseguito dallo studente.

Al riguardo, in conformità al principio di “limitazione della conservazione” (art. 5, par. 1, lett. e), del Regolamento) si ritiene necessario che lo schema di decreto stabilisca tempi di conservazione dei dati personali proporzionati rispetto all’obiettivo perseguito in relazione a ciascuna tipologia di dati.

RITENUTO

Alla luce di quanto sopra, al fine di garantire il pieno rispetto dei diritti e delle libertà fondamentali degli interessati, si ritiene che lo schema di decreto in esame debba essere modificato sulla base delle condizioni, descritte e motivate nei paragrafi da 2 a 6, puntualmente riportate nel dispositivo del presente parere, e che la valutazione d’impatto sulla protezione dei dati venga di conseguenza integrata e aggiornata.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e , e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro dell’università e della ricerca concernente l’Anagrafe nazionale dell’istruzione superiore, (“Anis”) previsto dall’art. 62- quinquies del Codice dell’amministrazione digitale di cui al d.lgs. n. 82, del 2005 e s.s.m.m., attuativo dell’art. 10 del decreto del Ministro dell’università e della ricerca, di concerto con il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro per la pubblica amministrazione del 19 gennaio 2022, a condizione che:

1.  siano definiti in modo puntuale i dati personali oggetto di trattamento, con particolare riguardo a quelli indicati all’art. 6 dello schema (ISEE, condizione occupazionale, altri dati) assicurando che siano trattati solo quelli “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità” perseguite (paragrafo 2);

2. siano chiarite le specifiche modalità di alimentazione dell’Anagrafe (mera consultazione o acquisizione dei dati), precisando quali dati personali siano attinti da ANS e quali dalle IFS nonché da altre “banche dati” stabilendone, in ogni caso, presupposti, modalità e garanzie a tutela degli interessati, anche in termini di qualità delle informazioni trattate (paragrafo 3);

3. sia chiarito il ruolo assunto, rispettivamente, dal Ministero e dalle IFS con riguardo ai trattamenti effettuati tramite ANIS, con particolare riferimento all’erogazione dei predetti servizi di certificazione (paragrafo 4);

4. siano individuati in modo specifico i soggetti o le categorie di soggetti che possono accedere all’ANIS, specificando, altresì, le rispettive finalità istituzionali perseguite e valutando la conformità alla disciplina di settore in materia di controlli sulla veridicità delle dichiarazioni sostitutive di certificazione di cui al d.P.R. 445/2000 (paragrafo 5);

5. siano stabiliti tempi di conservazione dei dati personali proporzionati all’obiettivo perseguito in relazione a ciascuna tipologia di dati (paragrafo 6).

Si ritiene, infine, necessario che la valutazione d’impatto sulla protezione dei dati predisposta ai sensi dell’art. 35 del Regolamento sia integrata e aggiornata in coerenza con le modifiche apportate allo schema di decreto sulla base delle condizioni individuate nel presente parere.

Roma, 21 luglio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei