Somministrati in una scuola test per una ricerca universitaria. Interviene il Garante della Privacy, ecco perché
In una scuola primaria venivano somministrati, per conto di una nota università, alcuni test agli alunni nell’ambito di un progetto di ricerca scientifica promosso dall’Ateneo e che gli alunni avevano compilato. La realizzazione della richiamata iniziativa di ricerca scientifica, da parte dell’Istituto avveniva però senza la necessaria consapevolezza in ordine ai correlati aspetti e adempimenti di protezione dei dati personali. Ed il Garante è intervenuto con provvedimento sanzionatorio riportato in Registro dei provvedimenti n. 135 del 7 marzo 2024.
La questione
Nel corso dell’istruttoria, il trattamento dei dati in esame è stato svolto dall’istituto scolastico non per il perseguimento di finalità proprie inerenti alle funzioni istituzionali della scuola ma per conto dell’Università, tuttavia senza che il ruolo della scuola fosse disciplinato non essendo stata fornita all’istituto scolastico alcuna indicazione in ordine al ruolo di responsabile del trattamento dei dati degli alunni né le istruzioni per il trattamento di tali dati.
La normativa
Sul punto, si evidenzia che ai sensi dell’art. 28 del Regolamento, il titolare può affidare un trattamento anche a terzi soggetti che presentino garanzie sufficienti a mettere in atto di misure tecniche e organizzative idonee a garantire che il trattamento sia conforme alla disciplina in materia di protezione dei dati personali (“responsabili del trattamento”). In questo caso, “i trattamenti da parte di un responsabile sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile al titolare e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare” (art. 28, par. 1 e 3, del Regolamento).
Occorre una convenzione tra scuola ed Università
L’assenza di ogni tipo di accordo formale tra l’Università e l’Istituto in ordine alla realizzazione del progetto di ricerca scientifica, nonché le stesse dichiarazioni dell’Istituto scolastico -che conferma di avere agito nel “pieno del rispetto delle proprie funzioni”- e la circostanza che “il criterio per la numerazione dei questionari è stato definito dall’insegnante che ha somministrato i test alla classe”, per il Garante, sono tali da far ritenere che anche l’Istituto (come l’Università) abbia inteso in tale ambito agire in qualità di autonomo titolare del trattamento, ai sensi dell’art. 24 del Regolamento, in particolare ponendosi in tale veste nei confronti degli interessati. Ciò atteso anche il coinvolgimento diretto del personale docente nella realizzazione del progetto non preceduto da specifiche istruzioni da parte dell’Università.
Si osserva, inoltre, anche alla luce del quadro normativo sopra richiamato, che contrariamente da quanto sostenuto dall’Istituto scolastico, i dati trattati, seppur oggetto di una qualche forma di pseudonimizzazione o codifica non possono essere considerati anonimi e quindi conservano la natura di dato personale. Ciò, in particolare, in base a quanto emerso dalla documentazione in atti, secondo cui “il criterio utilizzato dall’insegnante per la numerazione dei test ovvero l’attribuzione di un numero progressivo unitamente alla prima lettera del nome e del cognome di ciascun alunno, comunque non apposti dal personale dell’Università”. Si aggiunga, inoltre, da un lato, che il numero progressivo attributo a ciascun test sembrerebbe coincidere con la posizione dell’alunno nell’elenco della classe, conferendo allo stesso un ulteriore elemento semantico correlabile all’interessato, e, dall’altro, che i nominativi degli studenti sono comunque disponibili nei moduli di consenso firmati dai genitori e consegnati all’Istituto. Evidenzia, inoltre, il Garante, che i genitori stessi, nell’istanza di restituzione dei test compilati da ciascun minore, sono stati in grado di indicare il codice ad essi assegnato composto dal numero progressivo corrispondente alla posizione dell’alunno nell’elenco della classe e dalle iniziali del nome e del cognome.
Le conclusioni
Alla luce delle valutazioni sopra richiamate, l’Autorità rileva che le dichiarazioni rese dall’istituto scolastico nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare totalmente i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del procedimento.
Confermando pertanto, le valutazioni preliminari dell’Ufficio nella parte in cui si rileva l’illiceità del trattamento di dati personali effettuato dall’istituto scolastico in assenza di idonea condizione di liceità e l’illiceità del denegato accesso ai dati personali contenuti nei test somministrati agli alunni , in violazione degli artt. 6, 9 e 15 del Regolamento. Ritenendo nel caso in questione pertanto, sufficiente ammonire il titolare del trattamento per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).
