[doc. web n. 10008526]

Provvedimento del 7 marzo 2024

Registro dei provvedimenti
n. 135 del 7 marzo 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Il reclamo

Con reclamo presentato dall’avv. XX, in nome e per conto dei genitori di diciotto alunni frequentanti la classe 3°, sez. A, della scuola primaria Villa Sciarra, dell’Istituto comprensivo di Frascati (di seguito anche solo “Istituto” o “scuola”), è stata lamentata la presunta violazione della disciplina in materia di protezione dei dati personali, nell’ambito della realizzazione di un progetto di ricerca scientifica, denominato “le competenze sociali in età scolare: correlati cognitivi, emotivi e comportamentali” e volto “a studiare i correlati sottostanti lo sviluppo di competenze relazionali in età scolare”, condotto dalla Cattedra di psicologia dello sviluppo e dell’educazione della Facoltà di Scienze politiche, sociologia, comunicazione, dell’Università degli Studi di Roma La Sapienza (di seguito “Università”), presso il predetto Istituto scolastico.

In particolare, è stato segnalato che in data XX, sono stati somministrati ai predetti alunni tre questionari, seguiti da un colloquio personale con la maestra XX (definita nel reclamo come “incaricata della ricerca da parte della scuola”) e con la dottoressa XX, ricercatrice dell’Università La Sapienza di Roma, volti ad effettuare uno screening sull’età evolutiva. In tale ambito sono state altresì raccolte informazioni relative alla vita sessuale dei giovani partecipanti (di età compresa tra i 7 e gli 8 anni), alcuni dei quali sarebbero stati anche turbati dell’invasività delle domande ricevute. Ci si riferisce, in particolare, al colloquio e al terzo test di nome “Erickson TSCC formato da 54 moduli di risposta a scelta multipla (…) volto ad evidenziare possibili situazioni di abusi sessuali o fisici subiti dai bambini”.

Nella documentazione trasmessa è stato, altresì, rappresentato che, a fronte dell’asserito (da parte della Preside dell’Istituto) anonimato dei dati trattati, sono state sottoposte agli studenti delle “schede dati” per la raccolta di: “sigla (inziali, cognome e nome); età e sesso del bambino; professione, titolo di studio ed età del padre; professione, titolo di studio ed età della madre; numero di fratelli e sorelle ed età degli stessi” e che “i test riportavano, in alto a sinistra, un codice identificativo scritto a matita (formato da un numero e due o tre lettere) riportato anche nella scheda dati”.

Le circostanze sopra descritte hanno determinato la preoccupazione e il risentimento dei genitori degli alunni arruolati nel richiamato progetto di ricerca che, a seguito di svariate interlocuzioni con l’Istituto, hanno richiesto la restituzione dei test.

Successivamente, d’accordo i genitori istanti, i moduli recanti i test degli studenti sono stati messi -alla presenza di quattro genitori- “in busta chiusa” e depositati nella cassaforte dell’Istituto “fino al ritorno della Preside”, assente per motivi istituzionali.

In seguito all’ottenimento di ulteriori chiarimenti in merito alla tipologia di test sottoposti agli studenti e alle modalità di compilazione degli stessi, “ciascun genitore produceva (…) una formale richiesta di restituzione del test del proprio figlio ai sensi dell’articolo 7 del d.lgs. 196/2003, indicando il codice identificativo personale. Tutte le istanze venivano protocollate con lo stesso numero di protocollo (prot. n. XX)”.

A tale istanza hanno fatto seguito quelle del XX (prot. XX) e del XX (prot. n. XX) presentate dalla rappresentante di classe, al fine, rispettivamente, di avere un incontro con la Preside e di ottenere che l’apertura del pacco sigillato contenente i test del progetto di ricerca fosse effettuata in presenza “delle persone che avevano firmato il pacco”.

Al termine di una reiterata serie di istanze volte ad ottenere copia del verbale di riapertura dei plichi, di colloqui personali e/o di gruppo con i responsabili del progetto e di restituzione dei test, in data XX, la dirigente scolastica ha denegato l’istanza di accesso e di restituzione dei test in ragione del presunto anonimato delle informazioni raccolte (nota prot. n. XX).

È stato, infine, evidenziato che a seguito degli esposti presentanti ai competenti uffici del Ministero dell’Istruzione, dell’Università e della Ricerca “in data XX alcuni ispettori del Miur si sono recati presso la Scuola [...] questi abbiano ritirato dalla preside XX il plico dei questionari, trattenendolo in custodia”.

2. L’attività istruttoria

L’Ufficio ha avviato una specifica istruttoria in relazione al richiamato reclamo, nell’ambito della quale sono state formulate due richieste di informazioni all’Università e all’Istituto Scolastico, ai sensi dell’art. 157 del Codice, volte ad ottenere ulteriori elementi di valutazione rispetto alla doglianza pervenuta (note del XX, prot. n. XX e del XX, prot. n. XX).

Merita in questa sede richiamare in primo luogo i riscontri dell’Università che, con nota del XX (prot. n. XX), ha rappresentato, ai sensi dell’art. 168 del Codice, in particolare che la dott.ssa XX oltre ad essere una ricercatrice dell’Ateneo era anche il responsabile del progetto di ricerca e, riportando le dichiarazioni della stessa, ha evidenziato che:

- previa adesione da parte dell’Istituto comprensivo di Frascati e approvazione del Collegio dei docenti, “così come previsto dalla procedura per i rapporti di collaborazione ai fini di ricerca, è stata fatta richiesta di consenso ai genitori a garanzia del trattamento dei dati in modo assolutamente anonimo e per esclusivi fini di ricerca”;

- sono stati, pertanto, acquisiti i “consensi” dei genitori degli alunni coinvolti nella ricerca;

- la ricerca, accanto alla somministrazione di test, si completava con “una scheda anamnestica anch’essa anonima” attraverso la quale “è stato richiesto di indicare età e genere degli alunni, età, titolo di studio e professione dei genitori”;

- “ogni test è stato esclusivamente siglato in modo da garantire la non riconoscibilità dei bambini”;

- “il separation anxiety test (...) è stato somministrato individualmente e associato in egual modo in via anonima alle altre scale self report per mezzo della medesima sigla”;

- “al termine della somministrazione sono stati creati pacchetti di test con la stessa sigla, che li rende del tutto anonimi e che fa sì che le risposte non possano essere associate ai singoli bambini.

In altri termini le sigle presenti sui test hanno avuto lo scopo di fare abbinare, sempre in modo anonimo, le diverse batterie di test tra loro, senza tuttavia alcun tipo di riconducibilità al soggetto minore”;

- “nessuno pertanto, tanto meno la dott.ssa XX, ha mai preso visione delle risposte fornite dagli alunni (...) i cui plichi sono rimasti per tutto il tempo sigillati e custoditi presso la presidenza dell’Istituto per impedirne l’accesso a terzi. I plichi, inoltre, non potevano essere restituiti ai genitori poiché le sigle erano associate solo alle tipologie dei test e giammai al nome e cognome degli alunni”;

- “i test sono stati resi in formato del tutto anonimo e che nessuno ha potuto estrapolarne i risultati, né tanto meno è possibile ricondurre un test ad un singolo alunno, trattandosi di indagine anonima di valutazione collettiva”;

- “i test, ovviamente, non sono stati utilizzati da parte dell’allora laureanda insegnate (ndr. prof. XX) presso la scuola di Frascati essendo stato cambiato subito l’argomento della propria tesi”;
Successivamente l’Università, con nota del XX (prot. n. XX), oltre a quanto già rappresentato, ha precisato che:

- “la vicenda (…) trae origine dalla richiesta della laureanda XX, insegnante presso l’Istituto (…), di svolgimento di una tesi di laurea triennale sperimentale in Sociologia con la dott.ssa XX. (…) La somministrazione dei test, (…) è avvenuta da parte degli insegnanti della scuola”;

- “in ragione del venir meno del consenso da parte dei genitori, i risultati dei test non sono mai stati consegnati all’Università e alla laureanda né utilizzati dalla stessa”;

- “i test consegnati dalla dott.ssa XX alla laureanda sono stati somministrati in formato anonimo agli alunni della Scuola. (…) In altri termini, per il personale di Ateneo e, in particolare, per la dott.ssa XX e per la laureanda, le informazioni raccolte presso l’Istituto, attraverso la somministrazione dei test agli alunni della scuola non erano associabili ad alcun interessato. Per il personale dell’Università, pur presente alla somministrazione dei test, non sarebbe stato in alcun modo possibile identificare i soggetti interessati, neanche attraverso una successiva operazione di collegamento ad eventuali ulteriori informazioni disponibili, in quanto l’elenco degli studenti e il registro di classe non sono mai entrati nella materiale disponibilità della dott.ssa XX e della laureanda. È importante precisare, tra l’altro, che le stesse non hanno mai conosciuto l’identità dei bambini;

- (...) il criterio per la numerazione dei questionari è stato definito dall’insegnante che ha somministrato i test alla classe. Tale criterio non avrebbe in alcun modo permesso al personale dell’Ateneo di avere contezza dell’identità degli alunni. I 4 test sopra specificati sono stati somministrati agli alunni separatamente, ciò significa che il test numero 1 è stato somministrato in gruppo all’intera classe e solo successivamente, al ritiro del test n. 1, è stato somministrato il test n. 2 e così via. Pertanto, il criterio utilizzato dall’insegnante per la numerazione dei test ovvero l’attribuzione di un numero progressivo unitamente alla prima lettera del nome e del cognome di ciascun alunno, comunque non apposti dal personale dell’Università, ha avuto il solo e unico fine di permettere il corretto abbinamento, sempre in modo anonimo, delle diverse batterie di test tra loro (abbinamento delle batterie nn. 1, 2, 3 e 4), senza alcun tipo di riconducibilità al soggetto minore (…)”;

- “(...) la Sapienza non è a conoscenza delle istruzioni fornite da parte dell’Istituto comprensivo di Frascati Scuola Primaria Villa Sciarra al personale autorizzato alla somministrazione dei test e ai relativi trattamenti dei dati”;

- il personale dell’Ateneo non ha potuto effettuare il trattamento dei dati raccolti tramite la somministrazione dei test e che, in ogni caso, nell’attività di ricerca è sempre stata rispettata la normativa vigente in materia di protezione dei dati personali e le vigenti regole deontologiche. Come già rappresentato, infatti, le previsioni delle regole deontologiche sono state sostanzialmente rispettate (…). Preme, inoltre, rilevare che le richiamate “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica” (doc. web n. 9069637) sono state implementate e pubblicate sulla Gazzetta Ufficiale n. 11 del 14 gennaio 2019 (registro dei provvedimenti n. 515 del 19 dicembre 2018) e, quindi, in data successiva agli avvenimenti in argomento risalenti al XX, fermo restando il rispetto delle regole precedentemente vigenti. Infine, nella denegata ipotesi in cui codesta Autorità non dovesse condividere le motivazioni sopra illustrate, è doveroso precisare che, ai sensi dell’art. 22, comma 13, del D.Lgs. n. 101/2018 di adeguamento del Codice privacy al Regolamento europeo 2016/679, “per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione di dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative […] della fase di prima applicazione delle disposizioni sanzionatorie”. La circostanza in esame, essendosi verificata in data XX rientrerebbe, pertanto, nella fase di moratoria di cui alla citata disposizione normativa.

Con nota del XX (prot. n. XX) l’Istituto scolastico, rispondendo alla richiesta di informazioni formulata da questa Autorità, ha rappresentato, anche secondo quanto emerge dalla documentazione allegata, in particolare, che:

- il Collegio dei docenti del XX ha approvato la partecipazione al richiamato progetto di ricerca “senza nessuna analisi approfondita” dello stesso;

- la prof.ssa XX, non docente della classe coinvolta nella ricerca, è stata nominata dall’Istituto referente interna del progetto, occupandosi dell’”apposizione, in cima ad ogni test della sigla e del numero progressivo, lo stesso riportato sulle schede di osservazione del comportamento dei bambini redatto” dalla prof.ssa XX, supervisionando alla somministrazione dei test il giorno XX;

- i test sono stati compilati con la supervisione e il supporto, altresì, delle prof.sse XX e XX;

- ai test, per un’ulteriore analisi, sono seguiti colloqui individuali, alla presenza della prof.ssa XX e della dott.ssa XX, con la proiezione di immagini stampate raffiguranti la famiglia;

- conclusasi la fase di rilevazione dei dati, i test sono stati imbustati, sigillati e conservati presso i locali dell’Istituto scolastico;

-    a seguito della richiesta di sospensione della somministrazione dei test, avanzata tramite la rappresentante di classe dei genitori degli alunni arruolati, la ricerca è stata interrotta;

- in riscontro alle svariate istanze di restituzione dei test avanzate da alcuni dei genitori coinvolti, l’Istituto scolastico ha rappresento che, trattandosi di test somministrati in forma anonima, non era possibile consegnare quanto richiesto (cfr. ad esempio, nota del XX, prot. XX);

- in data XX il plico è stato consegnato al collegio ispettivo del Miur (allegato n. XX verbale di consegna)

- “sono stati rispettati tutti gli articoli previsti per la condizione di liceità della legge 679/2016 e sono state acquisite le liberatorie (…);

- “in merito alla limitazione della conservazione, il plico successivamente in data XX è stato consegnato al collegio ispettivo (…)”;

- “gli interessati hanno espresso il consenso al trattamento dei propri dati per la specifica finalità”;

- “in merito alle informazioni da fornire all’interessato si precisa che tali informazioni sono state acquisite secondo le finalità specifiche del progetto di ricerca scientifica condotto” dall’Università”;

- “il titolare del trattamento dei dati dell’IC di Frascati non ha mai avuto intenzione alcuna di trattare i dati acquisiti per finalità diverse da quelle del progetto presentato dall’Università”.

L’Istituto scolastico, inoltre, con nota del XX (Prot. XX), ha evidenziato inoltre di aver proceduto a fare richiesta alla responsabile del progetto che ha riconfermato che le “rilevazioni su base di anonimato avevano una sigla alfanumerica progressiva che non dava nessun tipo di indicazione certa per la restituzione”. È stato, inoltre, confermato che “essendo stato tutto secretato e preso in carico dal collegio ispettivo” risulta impossibile “collegare i test a i diversi soggetti”.

3. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, ai sensi dell’art. 166, comma 5 del Codice

Sulla base degli elementi acquisiti l’Ufficio ha notificato all’Istituto, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto l’Istituto scolastico ha trattato dati personali, seppur in parte codificati, in assenza di un idoneo presupposto giuridico in quanto privo di nomina a responsabile del trattamento dei dati, ai sensi dell’art. 28 del Regolamento, in violazione del principio di “liceità, correttezza e trasparenza” (artt. 5, par. 1, lett. a) e. 6, 9 e 28 del Regolamento) e non ha consentito ai genitori istanti l’esercizio dei diritti di accesso ai dati personali dei propri figli sull’erroneo presupposto di disporre di informazioni anonime, in violazione degli artt. 15 e seguenti del Regolamento.

L’Istituto ha fatto pervenire le proprie memorie difensive rappresentando, in particolare, che:

- “in data XX veniva inviata dalla Dott.ssa XX, docente di Psicologia dello Sviluppo e dell'Educazione dell'Università degli Studi di Roma "La Sapienza", una richiesta di autorizzazione ad accedere ai locali dell'Istituto per poter effettuare una rilevazione dati "finalizzata allo svolgimento del progetto di ricerca [...] nella quale veniva allegato in calce il modulo del consenso dei genitori al rilevamento dei dati. La richiesta avanzata dall'Università veniva comunicata a tutti i docenti ed approvata dal Collegio con delibera n. XX del XX”;

- A seguito della delibera, i docenti si sono adoperati al fine di raccogliere le adesioni dei genitori, che hanno prestato il loro consenso alla somministrazione del test attraverso i moduli di consenso alla rilevazione dei dati resi dalla referente dell'Università”;

- “In data XX la docente XX, in qualità di referente interna del progetto, comunicava che il giorno successivo la Prof.ssa XX dell'Università "La Sapienza", avrebbe effettuato la ricerca autorizzata dai genitori nei locali della Scuola, dalle ore 9.00 alle 16.30”;

- “Nei giorni successivi alla somministrazione del test la (dirigente scolastica), la quale era fuori sede in quanto accompagnatrice di un'altra classe in campo scuola, veniva informata di una situazione di agitazione in corso, causata dai test somministrati ai bambini, sulla base di quanto questi ultimi avrebbero riferito in famiglia”;

- “Stante la delicatezza nonché criticità della situazione, il plico contenente i test somministrati ai bambini veniva sigillato e custodito all'interno della cassaforte della Segreteria”;

- “Al suo ritorno nell'Istituto Scolastico, la Dirigente rilevava: - Che i genitori della classe III A avevano richiesto la restituzione del test del proprio figlio; - Che la rappresentante della classe IV B chiedeva la sospensione della somministrazione del test alla classe”;

- “In data XX, dinanzi a tali numerose sollecitazioni la Dirigente, alla presenza del DSGA e del proprio collaboratore, provvedeva all'apertura del plico ed a verbalizzare il contenuto, dando atto della presenza di "18 fascicoli in buste trasparenti. (...) Detti fascicoli riportano a matita in alto a sinistra un numero (1 2 3 4 6 7 9 15 16 13 10 11 14 5 8 17 18 19 ...) che fascicolate risultano da 1 a 19 risultante mancante il n. 12 e due o più lettere; risulta altresì altro fascicolo in bustina trasparente contenente 18 schede di osservazione del comportamento effettuato dal docente (non identificato). Non vi è altro all'interno del plico che potrebbe far condurre e risalire con assoluta certezza a chi possano appartenere";

- “La Dirigente prendeva a campione un fascicolo, al fine di verificare il contenuto delle domande, nelle quali rilevava che "i 3 fogli spillati con pinzatrice "test TSCC" ha contenuto riguardanti la sfera sessuale";

- “La Dott.ssa XX disponeva dunque la sospensione, all'interno dell'Istituto, della ricerca (…) e relativa somministrazione nelle classi IV V in attesa di chiarimenti da parte dell'Università La Sapienza Dipartimenti Scienza Sociali ed Economiche nella persona della dott.ssa XX"”;

- “La Dott.ssa XX, con nota prot. n. XX del XX, comunicava alla Dirigente la disponibilità per un incontro in data XX, che si è svolto alla presenza del DSGA e del docente referente”;

- “In tale sede, l'assistita provvedeva a formulare una serie di domande a chiarimento esponendo in particolare che, in base ad una successiva ricerca effettuata dalla medesima, tale progetto si sarebbe rivelato utile in ambito forense e clinico in bambini che avevano subito abusi e che nessuna informazione del genere era stata comunicata alla Dirigente precedentemente la somministrazione dei test”;

- “In data XX la Dott.ssa XX avviava un procedimento disciplinare a carico della docente XX che, in qualità di referente del progetto, avrebbe dovuto quantomeno verificare i contenuti dei test somministrati ai bambini, al fine di verificarne la corrispondenza con quanto oggetto della ricerca”;

- “In data XX la Dirigente comunicava di non poter procedere alla restituzione dei test, in quanto "somministrati in forma anonima" nonché "sigillati, secretati e conservati nella cassaforte" dell'Istituto Scolastico”;

- In data XX veniva presentato dai genitori degli alunni un esposto al MIUR, che chiedeva in data XX alla Dott.ssa XX di trasmettere una relazione in merito alla ricerca condotta dalla cattedra di Psicologia dell'Università degli Studi di
Roma "La Sapienza";

- “In relazione a quanto contestato dall'Autorità GPDP con riferimento alla mancata stipula di un "contratto o altro atto giuridico" si rappresenta che, come confortato dalla medesima Dott.ssa XX, è stata seguita la prassi prevista per i rapporti di collaborazione, a fini di ricerca, che vengono solitamente stipulati dall'Università degli Studi di Roma "La Sapienza"”;

- “L'Istituto Scolastico ha dunque agito nel pieno rispetto delle proprie funzioni, non essendo prevista la stipula di un contratto, a differenza di tutte quelle prestazioni per le quali la Scuola è tenuta al pagamento di un corrispettivo, quali ad esempio servizi e forniture”;

- “Nel caso di specie, la sperimentazione e la ricerca sono state effettuate nei termini di cui all'art. 7 del d. Igs. n. 297/94, comma 1 lettere a) e f) laddove è previsto, tra le funzioni del Collegio docenti che: "a) ha potere deliberante in materia di funzionamento didattico del circolo o dell'istituto. In particolare cura la programmazione dell'azione educativa anche al fine di adeguare, nell'ambito degli ordinamenti della scuola stabiliti dallo Stato, i programmi di insegnamento alle specifiche esigenze ambientali e di favorire il coordinamento interdisciplinare. Esso esercita tale potere nel rispetto della libertà di insegnamento garantita a ciascun docente; (…) adotta o promuove nell'ambito delle proprie competenze iniziative di sperimentazione in conformità degli articoli 276 e seguenti"”;

- “È dunque evidente che l'attività di ricerca condotta dall'Università degli Studi di Roma "La Sapienza" si colloca nell'ambito di un progetto di ricerca e sperimentazione, per il quale non è prevista la stipula di alcun contratto, conformemente a quanto sancito nel Testo Unico Scuola”;

- “In particolare, alla Dott.ssa XX è stato chiesto il previo consenso allo svolgimento di un test diretto a rilevare "le competenze sociali in età scolare: correlati cognitivi, emotivi e comportamentali", la cui programmazione prevedeva il rilascio di una autorizzazione di consenso da parte dei genitori degli alunni, ai sensi del d. Igs. n.169/03. Ciò a garanzia del trattamento dei dati in modo del tutto anonimo e per esclusive finalità di ricerca”;

- “L'anonimato nel trattamento dei dati personali è stato quindi garantito dalle medesime autorizzazioni fornite dai genitori degli alunni”;

- “In riferimento alla natura e all'oggetto della finalità del trattamento, occorre precisare che la somministrazione dei test era stata presentata dall'Università degli Studi di Roma "La Sapienza" come un progetto concernente "le competenze sociali in età scolari correlati cognitivi, emotivi e comportamentali". La Dirigente non era stata pertanto resa edotta dell'oggetto delle domande da sottoporre agli alunni, in particolare nella richiesta di rilevamento dati avanzata dall'Università non vi era traccia alcuna della somministrazione di quesiti a sfondo sessuale come quelle sottoposte agli alunni”;

- “In relazione alle contestazioni sollevate nei confronti della assistita, avuto riguardo alla gravità della presunta violazione, si precisa che nel caso di specie non vi è stata alcuna diffusione dei dati degli alunni in quanto, a seguito della prima somministrazione dei questionari alla classe III A, la Dirigente ha prontamente sospeso lo svolgimento dei test nelle altre classi, al fine di ricevere chiarimenti da parte dell'Università, come emerge dal verbale di apertura del plico test”;

- “l'Istituto Scolastico, nella persona del Dirigente, ha agito nell'esercizio delle proprie funzioni, con l'approvazione dei genitori degli alunni e sulla base della delibera del Collegio dei docenti”;

- “Non è pertanto ravvisabile in capo alla Dott.ssa XX alcuna forma di responsabilità, né colposa e tantomeno dolosa, non essendo la stessa a conoscenza del reale contenuto dei test somministrati agli alunni ed avendo agito in buona fede, sulla base delle autorizzazioni rilasciate dai genitori degli alunni”;

- “A ciò deve aggiungersi che l'assistita, a seguito delle segnalazioni ricevute, ha concretamente posto in essere una serie di misure al fine di attenuare il presunto danno lamentato dai genitori degli alunni”;

- “In ogni caso l'assistita, pur non essendo presente all'interno dell'Istituto per gli indicati fini istituzionali, si è attivata disponendo telefonicamente l'immediata secretazione del plico sigillato e la sua custodia all'interno della cassaforte della Scuola, a firma del docente coordinatore, del rappresentante dei genitori […] e di due insegnanti di classe, al fine specifico di evitare la divulgazione dei dati oggetto dei questionari”;

- “La Dirigente ha pertanto posto in essere tutte le misure idonee ad evitare la divulgazione dei dati degli alunni che, nel caso di specie, non si è in alcun modo concretizzata”;

- “Quanto contestato alla assistita con riferimento ad una presunta violazione degli articoli 15 e 17 del Regolamento europeo per la Protezione dei dati personali, è privo di fondamento in quanto i dati contenuti all'interno dei questionari non sono stati oggetto di divulgazione alcuna da parte della Scuola”;

- “Nella vicenda che ci occupa, non è stato divulgato alcun dato contenuto all'interno dei predetti test che, si ripete, sono stati immediatamente sigillati e custoditi all'interno della cassaforte dell'Istituto Scolastico, non ravvisandosi pertanto i presupposti della contestata violazione”;

- “L'art. 6 del Regolamento, in tema di "Liceità del trattamento' dispone espressamente che: "1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità"”;

- “I genitori degli alunni, in qualità di esercenti la potestà genitoriale sui medesimi, hanno specificamente autorizzato ai sensi del D. Lgs. n. 196/03 e ss. la rilevazione dei dati oggetto del test somministrato agli alunni, con la conseguenza che non si riscontrano estremi di illiceità, avendo l'Istituto Scolastico, nella persona del Dirigente p.t., agito conformemente ad un consenso espressamente prestato”;

- “I genitori degli alunni hanno difatti autorizzato il trattamento dei dati personali per le finalità proprie dei questionari, che sono stati svolti in maniera del tutto anonima e non identificabile”;

- “La Dirigente ha agito nel pieno rispetto della riservatezza dei dati oggetto dei questionari, avendo prontamente sospeso lo svolgimento dei medesimi e procedendo alla immediata custodia di quelli già svolti nella classe III A, al fine di evitare qualsiasi possibile forma di divulgazione che sarebbe conseguita anche dalla esibizione dei test ai genitori degli alunni”;

- “L'art. 83 comma 2 lett. k) contempla, tra le "Condizioni generali per infliggere sanzioni amministrative pecuniarie" la rilevanza di "eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione". Con riferimento specifico a tale punto, si precisa che la Dott.ssa XX svolge le funzioni di Dirigente Scolastico in un Istituto costituito da cinque plessi sul territorio di Frascati, con una utenza che supera i 1000 alunni e circa 150 dipendenti, tra docenti e collaboratori scolastici”;

- “La Dirigente, che da sempre vanta una fama ed un'attività conformi ai propri doveri deontologici, per effetto della contestata violazione si è resa suo malgrado protagonista di una serie critiche che hanno arrecato un vero e proprio danno alla sua immagine professionale e di quella dello stesso Istituto scolastico”.

4. Esito dell’attività istruttoria

4.1 Normativa applicabile

Ai sensi del Regolamento europeo, divenuto applicabile dal 25 maggio 2018, per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, punto 1), del Regolamento).
Ineriscono alle particolari categorie di dati, tra gli altri, quelli relativi alla salute, alla vita sessuale e all’orientamento sessuale (art. 9, par. 1 del Regolamento).

Si considerano dati personali anche quelli oggetto di una “procedura di pseudonimizzazione ossia di un trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile” (art. 4, par. 1. n. 5 del Regolamento).

Il trattamento dei dati personali deve avvenire nel rispetto dei principi di “liceità, correttezza e trasparenza” in base ai quali i dati personali devono essere trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato” (artt. 5, par. 1, lett. a) 6 e 9 del Regolamento).

In tale quadro, il trattamento dei dati relativi alla salute, alla vita sessuale e all’orientamento sessuale è, in via generale, vietato a meno che non ricorra una delle condizioni di cui all’art. 9, par. 2 del Regolamento.

In base al Regolamento, inoltre, “qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del (...) Regolamento e garantisca la tutela dei diritti dell'interessato”. “I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”. (...) “se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione” (art. 28, par. 1, 3, 10).

La normativa comunitaria prevede, infine, che “Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri” (art. 29 del Regolamento). 

Si rappresenta, inoltre, che il Regolamento, agli artt. 12 e seguenti, disponendo in materia di “diritti dell’interessato”, prevede il diritto dell’interessato di ottenere dal titolare il riscontro alla richiesta di esercizio dei diritti presentata ai sensi degli articoli da 15 a 22 del Regolamento, ciò, a meno che non ricorra uno dei casi di limitazione dei diritti dell’interessato tassativamente indicati all’art. 23 del Regolamento e all’art. 2-undecies del Codice.

In particolare l’art. 15 del Regolamento prevede che l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali.

Al riguardo occorre evidenziare che il diritto di accesso è attribuito all’interessato “per essere consapevole del trattamento e verificarne la liceità” (Cons. n. 63 del Regolamento).

Il dato anonimizzato, al quale non si applica la disciplina in materia di protezione dei dati personali, è tale solo se non consente l’identificazione diretta o indiretta di una persona tenuto conto di tutti i mezzi ragionevoli (economici, informazioni, risorse tecnologiche, competenze, tempo) nella disponibilità di chi (titolare o altro soggetto) provi a utilizzare tali mezzi per identificare un interessato. Il descritto processo, qualificato come anonimizzazione, deve pertanto impedire che si possa:

1. isolare una persona in un gruppo (single-out);

2. collegare un dato anonimizzato a dati riferibili a una persona presente in un distinto insieme di dati (linkability);

3. dedurre nuove informazioni riferibili a una persona da un dato anonimizzato (inference).

La non identificabilità degli interessati deve essere correlata pertanto all’assenza di univocità all’interno della banca dati considerata e non semplicemente alla non intellegibilità dei dati identificativi.

4.2 Valutazione in ordine al trattamento di dati personali effettuato dall’Istituto

Dall’accertamento compiuto, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni del Dipartimento, risulta che, in data XX, presso l’Istituto Comprensivo di Frascati, sono stati somministrati, per conto dalla Cattedra di psicologia dello sviluppo e dell’educazione della facoltà di scienze politiche, sociologia, comunicazione dell’Università di Roma Sapienza taluni test agli alunni della classe 3°, sez. A, della scuola primaria Villa Sciarra, nell’ambito del progetto di ricerca scientifica promosso dal predetto Ateneo e denominato “le competenze sociali in età scolare: correlati cognitivi, emotivi e comportamentali” che gli alunni hanno compilato.

In via preliminare, si osserva che la realizzazione della richiamata iniziativa di ricerca scientifica, da parte dell’Istituto sia avvenuta senza la necessaria consapevolezza in ordine ai correlati aspetti e adempimenti di protezione dei dati personali.

Al riguardo, non può non evidenziarsi tuttavia come i fatti siano accaduti in estrema prossimità dell’entrata in vigore del Regolamento e nel contesto di una scuola elementare, sebbene specifici adempimenti fossero già richiesti dalla disciplina di settore di cui al Codice in materia di protezione dei dati personali.

Ciò premesso, come emerso nel corso dell’istruttoria, il trattamento dei dati in esame è stato svolto dall’istituto scolastico non per il perseguimento di finalità proprie inerenti alle funzioni istituzionali della scuola ma per conto dell’Università, tuttavia senza che il ruolo della scuola fosse disciplinato ai sensi dell’art. 28, non essendo stata fornita all’istituto scolastico alcuna indicazione in ordine al ruolo di responsabile del trattamento dei dati degli alunni né le istruzioni per il trattamento di tali dati.

Sul punto, si evidenzia che ai sensi dell’art. 28 del Regolamento, il titolare può affidare un trattamento anche a terzi soggetti che presentino garanzie sufficienti a mettere in atto di misure tecniche e organizzative idonee a garantire che il trattamento sia conforme alla disciplina in materia di protezione dei dati personali (“responsabili del trattamento”). In questo caso, “i trattamenti da parte di un responsabile sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile al titolare e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare” (art. 28, par. 1 e 3, del Regolamento).

L’assenza di ogni tipo di accordo formale tra l’Università e l’Istituto in ordine alla realizzazione del progetto di ricerca scientifica, nonché le stesse dichiarazioni dell’Istituto scolastico -che conferma di avere agito nel “pieno del rispetto delle proprie funzioni”- e la circostanza che “il criterio per la numerazione dei questionari è stato definito dall’insegnante che ha somministrato i test alla classe”, sono tali da far ritenere che anche l’Istituto (come l’Università) abbia inteso in tale ambito agire in qualità di autonomo titolare del trattamento, ai sensi dell’art. 24 del Regolamento, in particolare ponendosi in tale veste nei confronti degli interessati. Ciò atteso anche il coinvolgimento diretto del personale docente nella realizzazione del progetto non preceduto da specifiche istruzioni da parte dell’Università. 

Cionondimeno le operazioni di trattamento poste in essere da parte della scuola in veste di autonomo titolare (benché in concreto circoscrivibili solo alla raccolta e archiviazione dei test compilati) sono state effettuate in assenza delle condizioni di liceità previste dal Regolamento e dal Codice, come già in precedenza chiarito dal Garante con riguardo ad analoghe fattispecie (cfr. Linee guida “sui concetti di titolare e responsabile del trattamento nel GDPR” n. 07/2020, in particolare nota 35).

L’Istituto scolastico può infatti trattare dati di carattere personale, anche inerenti alle particolari categorie, solo se necessari “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”, in presenza di una specifica base normativa che, tra le altre cose, deve indicare le specifiche finalità del trattamento, inerenti alle competenze istituzionali del titolare (cfr. art. 6, par. 1, lett. e) e 9, par. 2 lett. g) del Regolamento).

A tale riguardo, si osserva che è risultato inconferente rispetto all’attività in concreto svolta dalla scuola il riferimento all’art. 7 del d. lgs. n. 297/94, comma 1 lettere a) e f) “laddove è previsto, tra le funzioni del Collegio docenti che: "a) ha potere deliberante in materia di funzionamento didattico del circolo o dell'istituto. In particolare cura la programmazione dell'azione educativa anche al fine di adeguare, nell'ambito degli ordinamenti della scuola stabiliti dallo Stato, i programmi di insegnamento alle specifiche esigenze ambientali e di favorire il coordinamento interdisciplinare. Esso esercita tale potere nel rispetto della libertà di insegnamento garantita a ciascun docente; (…) adotta o promuove nell'ambito delle proprie competenze iniziative di sperimentazione in conformità degli articoli 276 e seguenti, ciò in quanto le operazioni di raccolta e archiviazione dei test compilati sono risultate funzionali all’attività di ricerca di competenza dell’Ateneo. Pertanto, in assenza della designazione della scuola quale responsabile del trattamento dei dati personali (art. 28 del Regolamento), e di una idonea base normativa che ne legittimasse il ruolo di autonomo titolare in concreto svolto, il trattamento di dati personali anche relativi alle particolari categorie, riferiti ai 18 alunni della classe III A della scuola primaria Villa Sciarra posto in essere dall’istituto scolastico per la realizzazione dell’iniziativa di ricerca scientifica, risulta essere stato effettuato in assenza di idonea base giuridica e quindi in violazione degli artt. 6 e 9 del Regolamento.

Si osserva, inoltre, anche alla luce del quadro normativo sopra richiamato, che contrariamente a quanto sostenuto dall’Istituto scolastico, i dati trattati, seppur oggetto di una qualche forma di pseudonimizzazione o codifica (tenuto conto della definizione di tale operazione di trattamento sopra richiamata), non possono essere considerati anonimi e quindi conservano la natura di dato personale. Ciò, in particolare, in base a quanto emerso dalla documentazione in atti, secondo cui “il criterio utilizzato dall’insegnante per la numerazione dei test ovvero l’attribuzione di un numero progressivo unitamente alla prima lettera del nome e del cognome di ciascun alunno, comunque non apposti dal personale dell’Università”. Si aggiunga, inoltre, da un lato, che il numero progressivo attributo a ciascun test sembrerebbe coincidere con la posizione dell’alunno nell’elenco della classe, conferendo allo stesso un ulteriore elemento semantico correlabile all’interessato, e, dall’altro, che i nominativi degli studenti sono comunque disponibili nei moduli di consenso firmati dai genitori e consegnati all’Istituto. Si evidenzia, inoltre, che i genitori stessi, nell’istanza di restituzione dei test compilati da ciascun minore, sono stati in grado di indicare il codice ad essi assegnato composto dal numero progressivo corrispondente alla posizione dell’alunno nell’elenco della classe e dalle iniziali del nome e del cognome.

Atteso che la codifica dei test non era tale da escludere la re-identificabilità degli-interessati, e che materialmente i test erano detenuti alla scuola, si rileva quindi che l’Istituto ha erroneamente negato la restituzione dei test contenenti dati personali, seppur pseudonimizzati, relativi ai minori coinvolti nell’iniziativa, sul falso presupposto dalla natura anonima degli stessi, in violazione dell’art. 15 del Regolamento. Gli interessati godono del diritto di accesso anche in relazione alle informazioni che li riguardano detenute in forma pseudonimizzata (cfr. Linee guida 01/2022 sul diritto di accesso del Comitato europeo per la protezione dei dati del 28 marzo 2023).

Con riferimento alle richiamate violazioni va tuttavia evidenziato, in primo luogo, che le operazioni di trattamento svolte in assenza di idoneo presupposto giuridico, relative ad un numero estremamente esiguo di interessati, sono consistite unicamente nella raccolta e conservazione, dei dati senza che nessuno del personale scolastico vi abbia avuto accesso diretto (salvo l’accesso da parte del dirigente scolastico limitatamente ai dati codificati per verificarne in termini empirici l’attitudine a re-indentificare gli interessati) e, in secondo luogo, che le informazioni trattate risultavano oggetto di una misura di pseudonimizzazione.

5 Conclusioni

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dall’istituto scolastico nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare totalmente i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio nella parte in cui si rileva l’illiceità del trattamento di dati personali effettuato dall’istituto scolastico in assenza di idonea condizione di liceità e l’illiceità del denegato accesso ai dati personali contenuti nei test somministrati agli alunni della classe 3°, sez. A, in violazione degli artt. 6, 9 e 15 del Regolamento.

Ciò premesso, tenuto conto che:

- il soggetto coinvolto è un istituto scolastico pubblico (scuola elementare);

- il trattamento è consistito unicamente nella raccolta e conservazione dei test senza accesso diretto al loro contenuto;

- la mancata restituzione dei test ai genitori degli alunni che ne hanno fatto richiesta è stata determinata da un errore da parte dell’Istituto scolastico, dovuto alla convinzione che i test fossero anonimi;

- la violazione ha riguardato un esiguo numero di alunni e risulta essere stato un caso isolato;

- l’Istituto ha disposto prontamente la secretazione del plico e la sua custodia all'interno della cassaforte della Scuola ritenendo in buona fede di porre in essere misure idonee ad evitare la divulgazione dei dati trattati nei questionari;

- il plico contenente i test somministrati agli alunni è stato sequestrato dagli ispettori del Ministero dell’istruzione;

- l’istituto scolastico ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria;

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento che siano analoghe rispetto al caso di specie;

- la vicenda ha avuto luogo pochi mesi dopo l’entrata in vigore della rinnovata disciplina prevista dal Regolamento in materia di protezione dei dati personali;

- le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, in quanto il trattamento non è allo stato in corso e i dati personali contenuti nella modulistica somministrata agli alunni sono stati acquisiti in custodia dal Ministero in data. XX, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dall’Istituto Comprensivo di Frascati, in persona del legale rappresentante pro tempore, con sede legale in Via Don Bosco 8 - 00044 Frascati (RM) - CF 92028930581 per violazione degli artt. 6, 9 e 15 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce l’Istituto, quale titolare del trattamento in questione, per aver violato gli artt. 6, 9 e 15 del Regolamento;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 marzo 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei