Privacy a scuola: cosa si intende per trattamento, quali dati sono coinvolti?
Inutile girarci attorno, non c’è giorno in cui ciascuno di noi non si chieda se il proprio diritto alla privacy venga o meno rispettato. Ma di cosa si sta parlando esattamente? Cosa si intende per trattamento? Quali dati vengono coinvolti? Che contorni assume all’interno delle scuole? A queste e altre domande cercheremo di rispondere in questo primo (di tre) articolo.
Quali le fonti normative?
Il diritto alla privacy può essere definito come il diritto alla riservatezza dei dati personali vantato da ciascun individuo, dovendosi intendere, per dato personale, qualsiasi informazione riguardante una persona fisica identificata o identificabile. Il trattamento, ovvero qualsiasi operazione che abbia ad oggetto dati personali, deve avvenire nel rispetto della disciplina vigente.
La materia è oggi regolamentata dal D. Lgs n. 196/2003 modificato, da ultimo, dal D.Lgs n. 101/2018 la cui adozione si è resa necessaria all’indomani dell’emanazione del regolamento comunitario n. 2016/679. Quest’ultimo, infatti, incidendo fortemente sulla materia, ha obbligato il legislatore nazionale ad agire sulla normativa precedente. La scelta del Consiglio dell’unione europea e del Parlamento europeo di intervenire mediante un atto regolamentare, del resto, non è stata casuale. Il regolamento comunitario, infatti, come specificato dall’art. 288 del trattato sul funzionamento dell’unione europea (TFUE), è un atto di applicazione generale, vincolante in tutti i propri elementi e self executing, quindi direttamente efficace. In altri termini, non viene riconosciuta alcuna discrezionalità alle nazioni dell’Unione Europea le quali, pertanto, non hanno altra alternativa se non quella di recepirne il contenuto. Al di là di questo piccolo off topic di diritto dell’unione europea, comunque utile per comprendere appieno l’argomento in oggetto, è opportuno soffermarsi sulle principali innovazioni che la nuova disciplina ha apportato a quella precedente. Queste possono così essere sintetizzate:
Muta la nomenclatura: i “vecchi” <<dati sensibili>> e <<dati giudiziari>> sono stati rispettivamente sostituiti da <<particolari categorie di dati>> e <<dati personali relativi a condanne penali e reati>>. Come chiarito dall’art. 9 del regolamento europeo sono da considerare particolari categorie di dati l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale e le informazioni genetiche o biometriche. Mentre il trattamento del “semplice” dato personale è generalmente ammesso purché ciò avvenga in modo lecito, corretto, trasparente, e a patto che abbia ad oggetto informazioni adeguate pertinenti, limitate e aggiornate, per le particolari categorie di dati sussiste un generico divieto di trattamento. Questi ultimi, così, possono essere utilizzati solo in presenza di talune condizioni quali, ad esempio, il consenso esplicito dell’interessato, la presenza di motivi di interesse pubblico ecc.
Viene ampliato il novero dei soggetti coinvolti: ha visto la luce la figura del “data protection officer” (DPO), in italiano responsabile della protezione dei dati, che oggi affianca, e accompagna, le figure del responsabile e del titolare del trattamento. Esso, in particolare,
- informa e fornisce consulenza sia al titolare e al responsabile del trattamento, sia ai dipendenti che eseguono qualsiasi tipo di operazione su dati personali, in merito agli obblighi derivanti dal regolamento comunitario, nonché da altre disposizioni dell’Unione o degli altri Stati membri relative alla protezione dei dati;
- vigila sull’osservanza del regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati, nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
- coopera con le autorità di controllo;
Muta la concezione: è stata introdotta la cd. “accountability”, intesa quale responsabilizzazione del titolare del trattamento che deve garantire e dimostrare il rispetto della normativa in materia di privacy.
Il diritto alla privacy nella scuola:
Se il diritto alla riservatezza assume un’importanza di primo piano nella vita di ciascuno di noi, un ruolo ancor più determinante lo riveste all’interno di un istituto scolastico, dove vengono spesso trattati dati di studenti infradiciottenni.
Tale aspetto non è ovviamente sfuggito al garante della privacy che, più volte, è intervenuto con l’intento di fare chiarezza: è possibile inserire dati personali degli alunni nelle comunicazioni scuola-famiglia? L’utilizzo degli smartphone è ammesso all’interno della scuola? I genitori possono realizzare riprese video o fotografie durante le recite o le gite? Si possono installare sistemi di videosorveglianza all’interno degli edifici scolastici? Essendo veramente complesso sviscerare ogni singolo aspetto, si cercherà di trattare le questioni maggiormente rilevanti.
Si deve preliminarmente chiarire che ciascuna scuola, sia essa pubblica o privata, ha l’obbligo di rendere l’informativa. È necessario, in altri termini, far conoscere agli “interessati”, siano essi studenti, famiglie, professori o “soggetti esterni”, come i loro dati personali saranno trattati. Occorre, quindi, rendere noto, attraverso le modalità ritenute più opportune, eventualmente anche online, quali dati la scuola intende raccogliere, l’utilizzo che intende farne e a quale fine.
Passando alla trattazione dei casi più frequenti, bisogna in primo luogo chiedersi quali siano i limiti che le scuole devono rispettare nelle comunicazioni alle famiglie. Il Garante ha invero specificato che nelle circolari, nelle delibere o in qualsiasi altra comunicazione non rivolta a specifici destinatari, non è possibile inserire dati personali che rendano identificabili gli alunni (ad esempio quelli coinvolti in casi di bullismo o quelli cui siano state comminate sanzioni disciplinari).
Altro argomento piuttosto delicato, ma reso attuale dalla costante evoluzione del mondo informatico, è l’utilizzo, da parte degli studenti, di smartphone e tablet. Sebbene venga riconosciuto ampio spazio alle istituzioni scolastiche circa la regolamentazione dell’uso di tali dispositivi, si sottolinea che eventuali registrazioni di immagini o conversazioni possono essere utilizzate solo e soltanto per scopi personali. Lo stesso può dirsi per le riprese di recite o saggi scolastici. Per la diffusione di tali dati, si pensi ad esempio alla pubblicazione sui social network, è pertanto necessario il consenso dell’interessato ovvero, qualora venissero in rilievo dati di soggetti minorenni, l’autorizzazione da parte degli esercenti della responsabilità genitoriale.
Per dato personale, come detto, si fa riferimento a qualsiasi informazione idonea all’identificazione inequivocabile di un dato soggetto. Quale informazione è in grado di identificare un individuo più delle immagini, siano esse contenute in foto o video? Cosa viene previsto circa l’installazione di un impianto di video sorveglianza all’interno degli edifici scolastici?
La necessità di garantire la sicurezza all’interno delle scuole si scontra, inevitabilmente, con il diritto alla riservatezza, vantato da ciascuno studente, sancito finanche dallo Statuto delle Studentesse e degli Studenti. L’esigenza di tutelare la riservatezza di ogni alunno ha orientato il garante che, nel chiarire la questione, ha distinto a seconda che la videocamera di sorveglianza sia piazzata all’interno o all’esterno del perimetro scolastico. Mentre nel primo caso il dispositivo può essere attivato solo negli orari di chiusura, e quindi non in coincidenza con lo svolgimento di attività scolastiche ed extrascolastiche, nella seconda ipotesi occorre che l’angolo di visuale sia delimitato e non ecceda nel superfluo.
