La protezione dei dati sensibili e giudiziari nella scuola. Il DM 305/2006 disegna il quadro generale

Il Ministero della Pubblica Istruzione, con Decreto n. 305 del 7 dicembre 2006, pubblicato sulla G.U. n.11 del 15 gennaio 2007, ha adottato il Regolamento relativo al trattamento dei dati sensibili e giudiziari nel settore dell’istruzione.

Si tratta di un provvedimento importante, previsto dagli articoli 20 e 21 del D. L.vo 196/03 e più volte sollecitato dal Garante per la protezione della privacy, che specifica i tipi di dati che possono essere trattati dalla scuole, le operazioni che su di essi sono eseguibili e le finalità di rilevante interesse pubblico perseguite.

Senza l’adozione del Regolamento, che risponde alle prescrizioni del Garante non sarebbe stato possibile, nelle scuole, operare il trattamento dei dati sensibili e giudiziari, dopo il 28 febbraio 2007. In tale data sarebbe scaduta l’ennesima proroga dei termini stabilita da successivi interventi legislativi del governo e del parlamento.

Il testo del Regolamento, molto snello ed essenziale, è suddiviso in 3 articoli nei quali si richiama il D.L.vo 196/03 e si sottolinea l’obbligo di trattare dati sensibili e giudiziari solo previa verifica della loro pertinenza, completezza e indispensabilità rispetto alle finalità perseguite nei singoli casi, specie quando la raccolta non avvenga presso l’interessato. (art. 2)

Sono parte integrante del Regolamento 7 schede che individuano tutti i dati sensibili e giudiziari trattati dalle scuole, suddividendoli in ambiti:
Scheda n. 1 – Selezione e reclutamento a TI e TD e gestione del rapporto di lavoro;
Scheda n. 2 – Gestione del contenzioso e procedimenti disciplinari;
Scheda n. 3 – Organismi collegiali e commissioni istituzionali;
Scheda n. 4 – Attività propedeutiche all’avvio dell’anno scolastico;
Scheda n. 5 – Attività educativa, didattica e formativa e di valutazione;
Scheda n. 6 – Scuole non statali (relativamente agli eventuali dati sensibili e giudiziari che emergono nell’attività di vigilanza e controllo effettuata dall’Amministrazione e dai dirigenti scolastici delle scuole primarie incaricati della vigilanza sulle scuole non statali autorizzate);
Scheda n. 7 – Rapporti Scuola-Famiglie: gestione del contenzioso.

Ogni scheda consente alle scuole di individuare chiaramente i trattamenti consentiti, le finalità di rilevante interesse pubblico perseguite, le fonti normative, i soggetti esterni pubblici e privati a cui è possibile comunicare i dati, i tipi di dati trattati. Inoltre è molto importante non perdere di vista il contesto in cui il trattamento si svolge descritto in maniera riassuntiva dalle schede medesime.
Ad esempio per le operazioni propedeutiche di avvio dell’anno scolastico (scheda n.4) non è consentito il trattamento dei dati relativi alle convinzioni filosofiche, che invece è consentito per la gestione del contenzioso e procedimenti disciplinari (scheda n.2).

In pratica, le schede, sono molto importanti dal punto di vista operativo e costituiscono una ”guida” obbligatoria da cui le scuole non possono derogare.
Ad esempio, nella gestione del rapporto di lavoro (scheda n. 1), i dati idonei a rilevare l’adesione al sindacato possono essere trattati solo per operare la ritenuta sindacale e per l’esercizio dei diritti sindacali. Un trattamento per fini diversi sarebbe illegittimo.
L’adozione del Regolamento da parte del Ministero non richiede una successiva adozione da parte delle scuole, obbligate per legge a rispettarlo, ma comporta la necessità di rivedere e modificare alcuni atti già adottati e i procedimenti interni alla scuola seguiti nel trattamento dei dati sensibili e giudiziari.

E’ necessario infatti che:

• nel Documento Programmatico per la Sicurezza la parte relativa all’elenco dei dati personali trattati (punto 19.1 del Disciplinare tecnico) sia adeguata alle prescrizioni e indicazioni contenute nelle schede;

• il Titolare del trattamento (dirigente scolastico) adegui la nomina del Responsabile del trattamento richiamando le prescrizioni contenute nel Regolamento e fornendo gli indirizzi per la loro attuazione nei procedimenti amministrativi e nella gestione delle attività;

• il Responsabile del trattamento (per la parte relativa al personale posto alle sue dirette dipendenze) e il Titolare del trattamento (per il personale docente) adeguino le designazioni degli incaricati del trattamento, modificando, se necessario, le autorizzazioni concesse e le linee guida emanate;

• la conoscenza del Regolamento sia oggetto dell’attività di formazione del personale incaricato prevista dal D.L.vo 196/03;

• nell’informativa agli interessati si faccia riferimento al rispetto da parte della scuola alle prescrizione del Regolamento;

• si dia evidenza dell’aggiornamento del Documento Programmatico per la Sicurezza nella relazione al programma annuale. Tale adempimento va fatto entro il 31 marzo.

Nei prossimi giorni sarà aggiornato sul sito il materiale già pubblicato (modulistica e percorso utilizzabile per la formazione del personale).

Vai allo speciale "Privacy & scuola".

Roma, 30 gennaio 2007