Anche le istituzioni scolastiche, durante lo svolgimento dei loro compiti, hanno il dovere di rispettare la privacy e tutelare e proteggere i dati personali che trattano, in particolare perchè afferiscono a soggetti generalmente minorenni.
Il trattamento dei dati da parte delle istituzioni scolastiche, compreso i dati a protezione speciale, è giustificato per motivi di interesse pubblico rilevante. L’art. 2 sexies del Codice Privacy aggiornato precisa che: “I trattamenti delle categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, del Regolamento, necessari per motivi di interesse pubblico rilevante ai sensi del paragrafo 2, lettera g), del medesimo articolo, sono ammessi qualora siano previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge, di regolamento che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.
2. Fermo quanto previsto dal comma 1, si considera rilevante l’interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri nelle seguenti materie:
bb) istruzione e formazione in ambito scolastico, professionale, superiore o universitario“.
Le scuole, quindi, sia pubbliche che private, hanno l’obbligo di informare (tramite apposita informativa) gli interessati delle caratteristiche e modalità del trattamento dei loro dati, indicando i responsabili del trattamento. Si intende che gli interessati non sono solo gli studenti, ma anche le famiglie, e gli stessi professori. E’ altresì importante che le scuole verifichino i loro trattamenti controllando se i dati siano eccedenti rispetto alle finalità perseguite.
Per i trattamenti dei dati relativi agli esisti scolastici, degli studenti, e altri dati personali diversi da quelli ex art. 9 GDPR, non sono previste cautele ulteriori rispetto ai normali trattamenti. Anche qui si tratta di finalità di interesse pubblico.
Scuole pubbliche
Le istituzioni scolastiche pubbliche possono trattare soltanto i dati personali necessari al perseguimento delle specifiche finalità istituzionali, che sono comunque finalità di rilevante interesse pubblico, in ossequio ai principi di finalità e non eccedenza, oppure quelli espressamente previsti dalla normativa di settore. Non possono essere chiesti dati non rilevanti per la finalità istituzionali. Quindi, per tali trattamenti non occorre il consenso degli studenti, la base giuridica del trattamento è, infatti, data dall’interesse pubblico.
Occorre, ovviamente, particolare cautela nel trattamento dei dati, trattandosi di dati relativi a soggetti generalmente minorenni. In alcuni casi si tratta anche di dati a trattamento speciale, cioè relativi alla salute o giudiziari. In questo caso le cautele devono essere massime e soprattutto occorre verificare se il trattamento di quei dati sia davvero necessario per il perseguimento delle finalità scolastiche.
Scuole private
Le norme in materia di protezione dei dati personali prevedono che non sia necessario il consenso in tutti quei casi in cui il trattamento è previsto per legge o per l’adempimento di in contratto. Per cui, per le scuole private, in casi specifici, come relativamente ai dati per l’iscrizione a scuola o per specifiche attività scolastiche, non necessita il consenso degli interessati. Di contro occorrerà il consenso dell’interessato, da intendersi, ovviamente, il genitore o chi esercita la tutela, nel caso di minori, per tutte le attività non strettamente connesse a quelle didattiche.
Le istituzioni scolastiche private possono trattare anche dati a trattamento speciale, come ad esempio dati relativi alle origini razziali per favorire l’integrazione degli alunni, dati relativi alle convinzioni religiose al fine di garantire la libertà di culto, e dati relativi alla salute per adottare misure di sostegno degli alunni.
Questi dati possono essere trattati anche in caso di contenziosi con alunni e genitori, al fine di difendere l’istituzione scolastica.
La conoscenza di dati di allievi disabili o con disturbi dell’apprendimento deve essere limitata a soggetti specifici, quali docenti, genitori e operatori sanitari che congiuntamente devono predisporre il piano educativo individualizzato (L. n. 104/92, L. n. 328/2000 e D.Lgs. n. 66/2017).
Accesso ai dati
Per conoscere le informazioni e i dati eventualmente conservati dall’istituzione scolastica, ed esercitare i diritti di rettifica e correzione, è possibile rivolgersi al titolare del trattamento, in genere lo stesso istituto scolastico. In caso di mancata risposta ci si può rivolgere al Garante oppure alla magistratura. Per quanto riguarda, invece, i singoli atti amministrativi, spetta all’istituto valutare se il richiedente ha un interesse diretto, concreto ad attuale ad ottenere l’atto in questione, in base alle norme in materia di accesso agli atti della Pubblica Amministrazione. E’ comunque possibile accedere alla documentazione relativa ad alunni e studenti, in base alla legge 241 del 1990 (artt. 22 e ss).
Registro dei trattamenti
Le scuole devono tenere il registro dei trattamenti. Il Miur, con nota n. 877 del 03/08/2018, ha trasmesso alle scuole uno schema di Registro delle attività di trattamento per le istituzione scolastiche, fornendo anche una Guida operativa e una nota metodologica che illustra la metodologia da applicare per la compilazione del registro. Le attività di trattamento (es. gestione iscrizioni, gestione carriera scolastica alunni, gestione personale docente…) svolte normalmente dalla scuole sono dettagliatamente descritte nella Guida.
Foto degli alunni
Le istituzioni scolastiche pubbliche possono trattare solamente i dati personali necessari al perseguimento di specifiche finalità istituzionali oppure quelli espressamente previsti dalla normativa di settore. Per tali trattamenti non sono tenute a chiedere il consenso degli studenti o dei genitori. In tale ottica la pubblicazione di foto degli alunni sui siti istituzionali o sui social afferenti alla scuola può essere considerata lecita in quanto rientra tra le attività istituzionali la realizzazioni di eventi quali recite, progetti e attività scolastiche.
La riproduzione dei dati deve però rispondere alla sola esigenza di documentazione dell’attività didattiva, in ossequio al principio di proporzionalità. Per cui le riprese degli eventi dovrebbero essere limitate al gruppo nello svolgimento dell’attività, evitando i primi piani. Gli studenti devono essere sempre ripresi in atteggiamenti positivi o costruttivi, mai negativi. La diffusione delle immagini (ad esempio su internet) deve essere soggetta al consenso dei genitori.
Telecamere a scuola
L’installazione di sistemi di videosorveglianza nelle scuole deve comunque garantire i diritti degli studenti. E’ ammissibile nei casi in cui sia indispensabile, al fine di tutelare l’edificio e i beni scolastici da atti vandalici, restringendo le riprese alle sole aree interessate. Ovviamente la presenza delle telecamere va segnalata con appositi cartelli, e comunque le telecamere all’interno della scuola vanno attivate solo dopo la chiusura degli orari scolastici e non in concidenza delle attività scolastiche ed extrascolastiche.
Guida del Garante
Il Garante per la privacy ha pubblicato una esaustiva guida nel quale, oltre a chiarire la regolamentazione in materia, inserisce numerosi esempi pratici per comprendere come tutelare la privacy degli studenti (link alla guida). Ad essa si è aggiunto una FAQ.
