La violazione della privacy tra i banchi di scuola non è un fatto inconsueto. 

Tant’è vero che, come abbiamo già sottolineato in un precedente articolo pubblicato sul nostro blog, non è sempre facile per gli istituti trovare un efficace bilanciamento tra il diritto alla riservatezza e il principio di trasparenza amministrativa.

Ma non prestare sufficiente attenzione alla normativa sulla privacy e divulgare qualche informazione di troppo comporta inevitabilmente il rischio di incorrere in pesanti sanzioni.

È quanto accaduto, ad esempio, qualche tempo fa alla Direzione Didattica di una scuola elementare della provincia di Salerno.

Il motivo? L’invio, da parte dell’istituto della convocazione del gruppo di lavoro operativo per l’inclusione (GLO), recante in chiaro l’indicazione dei nominativi di tutti gli alunni interessati (distinti per classe) a genitori, docenti e altro personale, senza distinguere i destinatari della comunicazione.

Ciò ha consentito a ogni persona che ha ricevuto il messaggio di venire a conoscenza della condizione di disabilità degli studenti interessati.

Altro aspetto posto in evidenza dal Garante è stato che l’istituto, nell’inviare l’email di convocazione, ha messo in chiaro gli indirizzi di posta elettronica dei destinatari.

Ciò ha di fatto reso conoscibili i dati personali relativi agli indirizzi email dei familiari degli alunni anche a soggetti terzi (altri genitori, docenti, personale specializzato, e altri soggetti coinvolti nell’intervento terapeutico dei minori destinatari del messaggio).

Relativamente a tale questione, davanti al Garante della privacy l’istituto si è difeso sostenendo che l’utilizzo dell’indirizzo email sarebbe stato autorizzato dalle singole persone.

In merito alla convocazione di gruppo, l’Autorità ha riconosciuto come, in base alla normativa di settore, la stessa possa essere comunicata solo ai genitori dello studente interessato, ai docenti della classe di appartenenza di quest’ultimo, e ai soggetti coinvolti nell’intervento terapeutico e formativo dell’alunno.

Circa agli indirizzi di posta elettronica riportati nelle comunicazioni, il Garante ha affermato che: “non può essere ritenuto rilevante, ai fini della valutazione della complessiva condotta del titolare del trattamento, quanto rappresentato dalla Direzione Didattica secondo la quale “l’istituzione scolastica è stata autorizzata dall’individuo stesso all’utilizzo (mediante consenso)”. Ciò in quanto il consenso non costituisce, di regola, un valido presupposto di liceità per il trattamento dei dati personali in ambito pubblico in ragione dello squilibrio della posizione degli interessati rispetto al titolare del trattamento (cfr. considerando n. 43 del Regolamento)”.

L’Autorità ha poi ritenuto che i genitori abbiano fornito alla scuola le proprie email non per la divulgazione a terzi, ma esclusivamente per lo scambio diretto di comunicazioni ai fini della convocazione alle riunioni del GLO nei termini previsti dalla normativa di settore.

A seguito dell’Ingiunzione n. 148 del 28 aprile 2022 del Garante, l’istituto della provincia di Salerno ha ricevuto 1500 euro di sanzione.

Privacy a scuola: quali regole seguire?

In Italia, la privacy degli studenti e delle studentesse non è disciplinata da un’unica norma.

Esiste una serie di regole e principi contenuti nel Regolamento Generale sulla Protezione dei Dati n. 679/2016 (GDPR), nel Codice Privacy aggiornato a settembre 2018, e in una serie di provvedimenti, circolari e FAQ pubblicate sui siti del Garante e del Ministero dell’Istruzione.

Le norme del Garante per la protezione dei dati personali a scuola

Già nel 2016 – e dunque ben prima dell’applicazione del GDPR – il Garante aveva pubblicato un interessante vademecum, intitolato “La scuola a prova di privacy”.

In questo documento l’Autorità, passando in rassegna vari argomenti, si sofferma anche su un tema di grande rilievo, quale il cyberbullismo, provando a fungere da valido strumento di informazione e sensibilizzazione per gli studenti che rischiano di finire vittime di questo fenomeno.

Per quanto riguarda il Codice in materia di protezione dei dati personali (o Codice Privacy), l’art. 2 sexies legittima il trattamento dei dati (anche cosiddetti “particolari”, o “sensibili”, quali quelli relativi a origine etnica, salute, opinioni politiche e convinzioni religiose o filosofiche) degli studenti da parte delle istituzioni scolastiche per “motivi di interesse pubblico rilevante”.

All’art. 96, dello stesso Codice, è poi previsto che, “Al fine di agevolare l’orientamento, la formazione e l’inserimento professionale, anche all’estero, le istituzioni del sistema nazionale di istruzione, i centri di formazione professionale regionale, le scuole private non paritarie nonché le istituzioni di alta formazione artistica e coreutica e le università statali o non statali legalmente riconosciute su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti formativi, intermedi e finali, degli studenti e altri dati personali diversi da quelli di cui agli articoli 9 e 10 del Regolamento, pertinenti in relazione alle predette finalità e indicati nelle informazioni rese agli interessati ai sensi dell’articolo 13 del Regolamento. I dati possono essere successivamente trattati esclusivamente per le predette finalità”.

Ovviamente, a condizione che ciò sia indicato nella cosiddetta “informativa privacy”, rilasciata ai sensi dell’art. 13 del GDPR agli alunni (e sempre tutelandone la riservatezza, nel rispetto dello “Statuto delle studentesse e degli studenti della scuola secondaria”, ai sensi del DPR 249/98).

Per approfondire il tema della pubblicazione degli esiti scolastici rimandiamo a un altro nostro articolo.

Le risposte del Garante su come tutelare la privacy a scuola

Il Garante, nel tentativo di rispondere a possibili domande sul tema “privacy e scuola”, già nel corso del 2019 aveva pubblicato alcune FAQ sul proprio sito.

In esse è stato chiarito che tutte le scuole, pubbliche e private, hanno l’obbligo di far conoscere agli interessati (studenti, famiglie, professori, ecc.) come vengono trattati i dati personali.

Devono cioè rendere noto per mezzo dell’informativa privacy (con le modalità più opportune, e anche online) quali dati raccolgono, come li utilizzano, e a quale fine.

Inoltre, è stato espressamente confermato che ogni persona ha diritto di conoscere se sono conservate informazioni che la riguardano, di farle rettificare se erronee o non aggiornate, e in generale di avere accesso ad esse.

Peraltro, nelle FAQ si comprende chiaramente che gli scrutini o gli esami di Stato sono pubblici.

Infatti le informazioni sul rendimento scolastico sono soggette a un regime di conoscibilità stabilito dal Ministero dell’Istruzione.

L’istituto scolastico deve però evitare di fornire pubblicamente dati relativi alle condizioni di salute degli alunni o altri dati personali non pertinenti.

Ad esempio, il riferimento alle “prove differenziate” sostenute dagli studenti con disturbi specifici di apprendimento (DSA) non va inserito nei tabelloni, ma deve essere indicato solamente nell’attestazione da rilasciare all’alunno.

In merito all’uso degli smartphone all’interno delle scuole, la risposta del Garante è che lo stesso deve essere disciplinato dagli istituti in autonomia.

In ogni caso, laddove gli smartphone siano utilizzati per riprendere immagini o registrare conversazioni, l’uso deve avvenire esclusivamente per fini personali e nel rispetto dei diritti delle persone coinvolte.

Ad esempio, le riprese video e le fotografie raccolte dai genitori durante le recite, le gite e i saggi scolastici, sono considerate come “raccolte per fini personali” e destinate a un ambito familiare o amicale.

Per questo il Garante ricorda che deve essere prestata particolare attenzione all’eventuale pubblicazione di tali immagini su internet e sui social network.

Chiaramente, in caso di diffusione di foto di minori da parte delle famiglie, diventa indispensabile ottenere il consenso degli esercenti la responsabilità genitoriale.

Infine, sempre nell’ambito delle FAQ, vale la pena ricordare come l’installazione di telecamere all’interno degli istituti sia lecita (a patto che sussistano motivi di indispensabilità per tutelare l’edificio e i beni scolastici da atti vandalici), ma debba essere garantito allo stesso tempo il diritto dello studente alla riservatezza.

In che modo? Circoscrivendo le riprese alle sole aree interessate e segnalando con cartelli le telecamere.

I dispositivi, inoltre, vanno attivati solo negli orari di chiusura, e quindi non in concomitanza con lo svolgimento di attività scolastiche ed extrascolastiche.