In tema privacy, i dati personali trattati dalle scuole e dagli asili sono i dati anagrafici e di contatto di cui gli istituti vengono a conoscenza al momento dell’iscrizione, nonché le categorie particolari di dati personali di cui all’articolo 9 del Regolamento UE 679/2016 (GDPR), quali ad esempio i dati relativi alla salute del minore o quelli relativi alle convinzioni religiose, che potrebbero essere rese note dai soggetti interessati se possono influire sulla dieta da adottare.
I dati trattati dagli istituti comprendono sia i dati dei minori che dei genitori o di coloro che sono stati delegati a ritirare i minori all’uscita dalla scuola o dall’asilo, nonché i dati relativi al personale della scuola.
Indice degli argomenti
Privacy, scuole e asili: finalità e base giuridica del trattamento dati
Per quanto attiene ai dati dei minori o dei loro genitori, occorre valutare con molta attenzione la base giuridica del trattamento e le relative finalità.
La finalità principale in questo caso riguarda l’iscrizione del minore e la sua partecipazione alle attività formative.
La base giuridica connessa a tale finalità di trattamento va distinta tra le scuole pubbliche, per le quali ritengo sia l’esecuzione di un compito di interesse pubblico ai sensi dell’articolo 6, lettera e) del GDPR, e le scuole private, per le quali ritengo sia l’esecuzione di un obbligo contrattuale. Non sarà quindi necessario il consenso per il trattamento di tali dati.
L’informativa per il trattamento dei dati personali
Ciò premesso, è evidente che l’istituto dovrà provvedere alla redazione di un’informativa al trattamento dei dati personali, la quale dovrà contenere le informazioni indicate agli articolo 13 e 14 del GDPR, quindi:
- i dati del titolare del trattamento;
- i dati di contatto dell’eventuale responsabile della protezione dei dati (DPO);
- i dati trattati e i destinatari degli stessi;
- le finalità e le basi giuridiche del trattamento;
- il periodo di conservazione dei dati;
- l’eventuale trasferimento di tali dati;
- nonché la facoltà dei soggetti interessati di esercitare i diritti previsti dagli articoli 15 e seguenti del GDPR, nonché di presentare un reclamo all’autorità di controllo.
Tale informativa verrà poi sottoscritta per presa visione ed accettazione dai genitori, i quali dovranno anche indicare gli eventuali consensi, laddove previsti (es. pubblicazione di immagini).
Per quanto attiene invece al trattamento dei dati del personale delle scuole o degli asili, lo stesso andrà trattato nel rispetto delle disposizioni previste per il trattamento dei dati personali dei lavoratori dipendenti.
Va infine segnalato che è importante che l’istituto scolastico rediga e tenga aggiornato un registro delle attività del trattamento, come previsto dall’articolo 30 del GDPR.
Esercizio dei diritti privacy nelle scuole e negli asili
I soggetti interessati al trattamento dei dati personali avranno la facoltà di esercitare i diritti previsti dagli articoli 15 e seguenti del GDPR (accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione al trattamento, opposizione ad eventuali processi decisionali automatizzati e limitazione del trattamento).
La facoltà di esercitare tali diritti andrà altresì indicata nell’informativa al trattamento dei dati personali e sarà opportuno che l’istituto adotti un’apposita procedura per definire come comportarsi in caso di esercizio di tali diritti.
Regole d’installazione per l’impianto di videosorveglianza
Un altro tema molto dibattuto è la possibilità degli istituti scolastici di installare telecamere di videosorveglianza.
Tale installazione è consentita qualora sia necessaria per esigenze di tutela della sicurezza dell’edificio e di prevenzione da eventuali furti o atti vandalici, purché venga tutelato il diritto alla riservatezza dei minori e si agisca nel rispetto delle disposizioni previste dalla Statuto dei lavoratori, tenuto conto che tali telecamere potrebbero riprendere anche i dipendenti dell’istituto.
A tal proposito, il Garante ha altresì chiarito nel Provvedimento in materia di videosorveglianza del 8 aprile 2010 nonché nelle “Faq – Scuola e privacy” che le riprese dovranno essere circoscritte alle sole aree interessate e che è “necessario segnalare la presenza degli impianti con cartelli”.
Inoltre, le telecamere che inquadrano l’interno degli edifici scolastici dovranno “essere attivate solo negli orari di chiusura, quindi non in coincidenza con lo svolgimento di attività scolastiche ed extrascolastiche”.
È quindi opportuno che l’istituto scolastico informi tutti i soggetti che possono transitare nell’angolo visuale delle telecamere della presenza delle stesse. Occorrerà quindi predisporre un’idonea cartellonistica in prossimità delle telecamere, nonché un’informativa estesa all’ingresso dell’istituto.
Il titolare del trattamento dovrà poi definire i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà dei soggetti interessati.
Il suddetto Provvedimento del 8 aprile 2010 prevedeva a tal proposito un termine massimo di 24 ore, salva la possibilità di estensione fino ad un massimo di sette giorni in caso di particolari esigenze, che andranno tuttavia giustificate dall’istituto.
Privacy, scuole e asili: fotografie e riprese video
Qualora l’istituto scolastico intenda raccogliere immagini o video dei minori, lo stesso dovrà chiedere un consenso preventivo ai genitori, fatti salvi i casi in cui le immagini vengano utilizzate per fini meramente didattici ed istituzionali.
L’espressione del consenso da parte dei genitori è necessaria per tutti i minori con età inferiore ai 14 anni.
Infatti, mentre l’articolo 8, paragrafo 1, del GDPR prevede che “Per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale”, il decreto legislativo 101/2018 ha ridotto nel territorio italiano l’età minima per prestare un consenso autonomo a 14 anni (Articolo 2-quinquies D.Lgs. 196/2003).
Il Garante ha tuttavia chiarito nelle “FAQ – Scuola e Privacy” che i video e le fotografie raccolte dai genitori durante le recite, le gite e i saggi scolastici non violano le disposizioni in materia di protezione dei dati personali, in quanto “sono raccolte per fini personali e destinate a un ambito familiare o amicale. Va però prestata particolare attenzione alla eventuale pubblicazione delle medesime immagini su Internet e sui social network. In caso di diffusione di immagini dei minori diventa infatti indispensabile ottenere il consenso da parte degli esercenti la potestà genitoriale”.
È possibile quindi sostenere che l’effettuazione di fotografie e video, comprese le consuete foto di gruppo di fine anno scolastico, sia consentita purché le stesse siano effettuate a fini didattici oppure vengano effettuate dai genitori e poi utilizzate unicamente a fini personali.
Diversamente l’istituto scolastico dovrà chiedere ai genitori un apposito consenso per la pubblicazione sui propri siti web e/o sui social network e solo in presenza di tale consenso potrà procedere alla pubblicazione.
Trattamento dei dati nell’ambito dell’emergenza Covid-19
Con l’avvento della pandemia da Covid-19 sono aumentati i dati trattati dagli istituti scolastici, in quanto saranno oggetto di trattamento ulteriori dati relativi alla salute e, nello specifico, i dati attinenti all’eventuale positività dei soggetti interessati, nonché la misurazione della temperatura corporea all’ingresso degli istituti.
Gli istituti scolastici non dovranno chiedere il consenso per il trattamento di tali dati, in quanto la base giuridica è l’esecuzione di un compito di interesse pubblico per le scuole e gli asili statali, mentre è l’obbligo di legge al quale il titolare è soggetto, ovvero l’implementazione dei protocolli di sicurezza anti-contagio.
Sarà tuttavia opportuno informare i soggetti interessati di come verranno trattati i suddetti dati, sia all’ingresso degli istituti, qualora venga misurata la temperatura, sia nel momento in cui dovranno essere trattati i dati degli eventuali soggetti positivi alla Covid-19.
Resta inteso che i dati relativi ai soggetti risultati positivi non potranno essere comunicati dalla scuola a terzi, ma, come confermato dall’autorità di controllo, “spetta alle autorità sanitarie competenti informare i contatti stretti del contagiato, al fine di attivare le previste misure di profilassi. L’istituto scolastico è tenuto a fornire alle istituzioni competenti, le informazioni necessarie, affinché le stesse possano ricostruire la filiera dei contatti del contagiato, nonché, sotto altro profilo, ad attivare le misure di sanificazione recentemente disposte”.
Privacy, scuole e asili: come funziona con la didattica a distanza (DAD)
Quanto sopra indicato vale anche per l’attivazione della didattica a distanza (“DAD”). Anche in questo caso, il trattamento dei dati non richiede il consenso ma è basato sull’esecuzione di un compito di interesse pubblico o sull’obbligo di legge, a seconda che l’istituto sia pubblico o privato.
Sarà comunque sempre necessario informare i soggetti interessati di come verranno trattati i loro dati personali.
