Regolamento europeo sulla privacy: presentate dal MIUR le linee guida relative alla compilazione nelle scuole del registro delle attività di trattamento dei dati personali

Nel corso dell’incontro informativo, svoltosi oggi 2 agosto 2018, presso il Dipartimento per la programmazione e la gestione delle risorse umane, finanziarie e strumentali, alla presenza del Capo Dipartimento dott.ssa Carmela Palumbo, il MIUR ha presentato alle organizzazioni sindacali le Linee guida per la predisposizione e compilazione del Registro delle attività di trattamento, previsto dall’art. 30 del Regolamento Europeo sulla privacy 679/2016, entrato in vigore in tutti gli stati membri dell’UE dal 25 maggio 2018.

Come FLC CGIL, già dal mese di aprile, di fronte alle legittime preoccupazioni delle scuole per la mancanza di indicazioni del MIUR sull’applicazione del Regolamento, avevamo sollecitato l’amministrazione a supportare le scuole con indicazioni operative adeguate e univoche su tutto il l territorio nazionale.

Con una nota diffusa il 22 maggio scorso, a seguito dell’incontro svoltosi il 18 maggio scorso di cui abbiamo dato riscontro sul nostro sito, il MIUR poi aveva annunciato l’attivazione di specifici percorsi formativi per dirigenti scolastici e DSGA e la predisposizione di un modello standard di Registro delle attività di Trattamento di dati personali da inviare alle scuole e già testato presso un campione di istituti scolastici.

Con le odierne indicazioni sul Registro delle attività di trattamento si aggiunge dunque un altro tassello alle informazioni necessarie alle scuole per applicare il Regolamento Europeo.

Il passo successivo sarà l’attivazione del percorso di formazione che il MIUR ha comunicato di avviare a partire dal prossimo mese di ottobre attraverso specifiche risorse dei fondi PON a cui le scuole potranno accedere attraverso i Poli Formativi esistenti nel territorio.

Si tratterà di una formazione di 32 ore complessive (4 incontri di 8 ore) rivolte al dirigente scolastico, al DSGA, a un assistente amministrativo e un docente collaboratore del dirigente scolastico per ciascuna scuola.

Il MIUR fisserà i contenuti essenziali del percorso formativo che verrà affidato a esperti esterni individuati dai singoli progetti.

Nel corso dell’incontro è stato infine ribadito dall’Amministrazione che per tutti gli altri aspetti relativi all’entrata in vigore del Regolamento Europeo, si dovrà aspettare la pubblicazione del previsto decreto legislativo di modifica del Codice Privacy vigente (D.Lgs 196/2003), in assenza del quale non è possibile alcuna valutazione sugli adempimenti effettivamente a carico delle scuole.

Le nostre valutazioni

Come FLC CGIL valutiamo positivamente il riconoscimento da parte del MIUR della necessità di condividere con le scuole la responsabilità del trattamento dei dati di alunni e personale scolastico che transitano attraverso il sistema informativo SIDI - di cui il MIUR è titolare -e della necessità di attendere la pubblicazione del nuovo Codice Privacy prima di individuare incarichi e responsabilità che il dirigente scolastico, titolare del trattamento dentro le scuole, dovrà affidare al personale.

Accogliamo inoltre favorevolmente l’attivazione di un percorso formativo per il personale scolastico, auspicando da parte del MIUR una stretta vigilanza sui contenuti dei singoli percorsi formativi attivati, per evitare che si ripetano, come nel caso dell’individuazione dell’RPD esterno, le forti sollecitazioni di soggetti esterni che hanno contribuito ad alimentare nei dirigenti scolastici ingiustificate preoccupazioni sulle responsabilità in capo alle scuole, al fine di promuovere l’acquisto di servizi non sempre necessari.

Siamo infatti convinti che l’applicazione del Regolamento europeo non debba costituire una mera esecuzione di adempimenti obbligatori ma debba configurarsi come l’occasione per attivare un graduale percorso di implementazione della tutela dei dati personali trattati dalle scuole.

Ribadiamo perciò che la completa attuazione del Regolamento potrà essere possibile solo a seguito della pubblicazione del decreto legislativo di modifica del Codice Privacy vigente (D.lgs 196/2003) e delle regole deontologiche demandate al Garante della Privacy.

Ricordiamo infine che, ferma restando l’attività ispettiva e sanzionatoria del Garante rispetto alle violazioni della privacy (attività che il Garante già svolge e continuerà a svolgere), con il provvedimento n. 121 del 21 febbraio 2018 il Garante stesso ha evidenziato l’opportunità di differire di 6 mesi dalla data di pubblicazione del D.lgs di modifica del Codice Privacy l’emanazione delle indicazioni per la corretta applicazione del Regolamento Europeo in Italia, compito di cui il Garante è investito dall’art. 1, comma 1021, della legge finanziaria 2018 n. 205/2017.

Continueremo a vigilare sulla corretta attribuzione alle scuole di compiti e responsabilità in materia di protezione dei dati personali, per evitare che la tutela della privacy si trasformi nell’ennesima insopportabile molestia burocratica.