L’emergenza pandemica che stiamo vivendo ha investito tutti gli ambiti della nostra vita sociale e non ha risparmiato neppure il mondo della scuola che è stato, ed è tutt’ora, fortemente messo alla prova e si ritrova a fare i conti, tra le altre problematiche, anche con quella del trattamento dei dati personali sia del corpo docente che degli studenti e delle loro famiglie cercando di districarsi tra le norme della legislazione emergenziale e quella ordinaria.
Cerchiamo quindi di fare un po’ di chiarezza e di analizzare i vari aspetti del trattamento dei dati personali nel contesto scolastico alla luce della attuale emergenza sanitaria, facendo riferimento anche al tema dell’identità degli studenti risultati positivi al Covid-19, di cui molto si è discusso.
Comunicazioni scolastiche: come inviare una email senza violare i dati personali
Identità dei positivi e screening negli istituti scolastici: le norme in vigore
Le norme attualmente in vigore stabiliscono che spetta esclusivamente alle autorità sanitarie competenti informare i contatti stretti dell’alunno contagiato; ciò allo scopo di attivare tutte le previste e necessarie misure di profilassi. In quest’ottica l’Istituto scolastico ha l’obbligo di fornire alle istituzioni competenti tutte le informazioni necessarie affinché si riesca, nel minor tempo possibile, a ricostruire la filiera dei contatti dell’alunno contagiato così da poter prontamente attivare tutte le misure di sanificazione disposte dai numerosi protocolli.
Per quanto concerne la questione degli screening vi è da dire che le strutture sanitarie territorialmente competenti possono certamente promuovere campagne di screening al Covid-19 in tutti quei contesti a rischio contagio e quindi anche nella scuola. Nessun obbligo per gli alunni la cui partecipazione può avvenire esclusivamente su base volontaria.
Nel caso di screening scolastici il Titolare del trattamento rimane la struttura sanitaria che lo promuove, normalmente la AUSL territorialmente competente, che quindi rimane l’unico soggetto legittimato a raccogliere le adesioni degli studenti e a comunicare i relativi risultati alle famiglie.
La scuola, quindi, non effettua alcuna raccolta di dati personali per quanto concerne le attività legate allo screening scolastico, ma funge da raccordo tra la struttura sanitaria, le famiglie degli studenti e questi ultimi. Può capitare, tuttavia, che in situazioni legate al contesto emergenziale le strutture sanitarie possano ritenere necessario avvalersi dell’operato degli Istituti scolastici, per esempio, per la raccolta delle adesioni allo screening. In questo caso le scuole saranno chiamate a trattare i dati personali degli alunni, limitatamente ai soli dati necessari ad agevolare l’organizzazione dello screening, per conto delle strutture sanitarie, e lo faranno in qualità di responsabili del trattamento ai sensi dell’art. 28 del GDPR.
Nella eventualità in cui la struttura sanitaria dovesse ritenere necessario e indispensabile acquisire dagli Istituti scolastici gli elenchi degli alunni iscritti al fine di rivolgere a tutti l’invito a effettuare lo screening, la scuola potrà comunicare i suddetti nominativi. Tale comunicazione è tuttavia ammissibile, esclusivamente fino al termine dello stato di emergenza, nei limiti e nelle modalità previste dall’art. 17-bis, comma 2, del d.l. n. 18/2020 convertito con la legge 27/2020.
La comunicazione può riguardare anche i dati personali particolari previsti dall’art. 9 del GDPR nonché quelli relativi a condanne penali e reati di cui all’art. 10 del GDPR. Il trattamento dei dati personali da parte degli Istituti scolastici deve avvenire nel pieno rispetto dei principi dettati dall’art. 5 del Regolamento (UE) 2016/679 e con l’adozione delle misure appropriate a tutela e salvaguardia dei diritti e delle libertà degli interessati. In questo contesto gli Istituti scolastici possono prevedere, sotto la loro responsabilità, che specifici compiti e funzioni connessi al trattamento dei dati personali siano attribuiti a persone fisiche espressamente designate, che operano sotto la loro autorità.
L’autorizzazione al trattamento potrà avvenire con modalità semplificate ed eventualmente anche solo oralmente. Allo stesso modo, cioè in forma semplificata e/o orale, potrà esser resa la necessaria informativa in tema di limitazioni dei diritti degli interessati. Tutto ciò sino al termine dello stato di emergenza quando gli Istituti scolastici dovranno adottare tutte le misure adeguate e idonee a ricondurre i trattamenti di dati personali effettuati nel contesto dell’emergenza all’ambito delle ordinarie competenze e delle regole che disciplinano i trattamenti di dati personali.
La didattica a distanza: il consenso degli interessati
Un altro tema di cui tanto si è discusso è quello delle informazioni da rendere a studenti e famiglie e sulla obbligatorietà o meno di acquisire il consenso di tutti gli interessati (alunni, genitori e insegnanti) per poter attivare tale strumento.
Va innanzitutto precisato che tutti gli Istituti scolastici devono obbligatoriamente informare alunni, genitori e docenti del trattamento dei dati personali operato in seguito alla attivazione della didattica a distanza. Ciò sulla base del principio di trasparenza dettato dal Regolamento (UE) 679/2016 che impone al Titolare del trattamento di rendere agli interessati, ai sensi dell’art. 12, tutte le informazioni necessarie a spiegare, con un linguaggio semplice e facilmente comprensibile anche da parte dei minori, le modalità del trattamento dei dati personali e le finalità. In particolare, gli Istituti scolastici dovranno informare in ordine alla tipologia di dati trattati, ai tempi e modi della loro conservazione e a tutte le altre operazioni di trattamento. Si dovrà inoltre ben specificare che le finalità perseguite sono esclusivamente limitate alla erogazione del servizio di didattica a distanza e che le suddette finalità si basano sui medesimi presupposti e sulle medesime garanzie della didattica tradizionale.
Ciò detto va ulteriormente specificato che le scuole non sono in alcun modo tenute ad acquisire il consenso di alunni, genitori e insegnanti per poter attivare e successivamente svolgere la didattica a distanza. Gli Istituti scolastici, infatti, possono trattare i dati personali (anche quelli particolari) di studenti anche minorenni, insegnati e genitori, sempre e soltanto limitatamente all’ambito delle finalità istituzionali della scuola e non devono chiedere a tali soggetti interessati di prestare il consenso al trattamento dei loro dati personali neanche per quanto concerne l’ambito della didattica a distanza. La DAD, infatti, è uno strumento di formazione scolastica attivato a seguito della sospensione della didattica tradizionale che, pertanto, si colloca su un filone di continuità di offerta formativa di ogni Istituto scolastico con le medesime finalità e i medesimi obbiettivi della didattica tradizionale.
Rammentiamo, inoltre, che la base giuridica del consenso, normalmente, non è quella che trova applicazione per il trattamento dei dati personali né in ambito pubblico, né più in generale nel contesto del rapporto di lavoro, dovendosi invece fare riferimento all’art. 6 lettera c) e lettera e) del GDPR.
Il Garante della Privacy, unitamente al Ministero dell’Istruzione, ha poi posto il focus sulla sicurezza dei dati personali trattati dagli Istituti scolastici invitando questi ultimi a innalzare la soglia della attenzione in relazione alla Didattica Digitale Integrata. Le scuole, infatti, devono adottare le misure di sicurezza adeguate, in ossequio al principio della minimizzazione, per evitare un uso improprio dei dati personali o la loro perdita di controllo con particolare evidenza al materiale e alle videolezioni disponibili sulle varie piattaforme online.
Il Garante ha poi posto l’attenzione sull’uso di cellulari e smartphone che è consentito esclusivamente per fini personali o per uso didattico, sempre nel rispetto delle persone, fatta salva la possibilità per gli Istituti di limitarne l’utilizzo o addirittura vietarlo totalmente.
Resta comunque inteso che non si possono diffondere immagini, video o foto su web senza avere preventivamente acquisito il consenso informato delle persone riprese e più in generale degli interessati.
La privacy a scuola: tutto quello che studenti, docenti e famiglie devono sapere
Scambio di informazioni tra scuola, studenti e genitori al fine di prevenire il contagio da covid-19
Gli Istituti scolastici hanno l’obbligo di informare studenti e famiglie circa il divieto di entrare nei locali della scuola in tre casi:
- quando si è in presenza di una temperatura corporea superiore ai 37,5 gradi;
- quando si proviene da zone a rischio;
- quando si è entrati in contatto con persone positive al virus nei 14 giorni precedenti.
Gli Istituti non possono imporre agli alunni e alle loro famiglie di dichiarare, con cadenza periodica, l’assenza di tali impedimenti ma possono richiedere loro di collaborare informando il dirigente o il referente scolastico circa eventuali assenze per motivi sanitari al fine di individuare eventuali focolai e/o se un alunno risulti essere stato a stretto contatto con un soggetto positivo al virus. Per quanto concerne la questione della misurazione della temperatura corporea, fermo restando il vigore della regola che prevede la misurazione a casa prima di recarsi a scuola, nonché la possibilità per gli Istituti di organizzare un servizio di misurazione all’ingresso, va ricordato che, in ogni caso, la misurazione della temperatura corporea va effettuata nella gestione di casi di alunni sintomatici durante l’orario scolastico all’interno dell’Istituto scolastico. Poiché tale rilevazione, associata alla identità del soggetto interessato, costituisce un trattamento di dati personali ai sensi dell’art. 4 paragrafi 1 e 2 del GDPR, non è in alcun modo ammessa la registrazione della temperatura rilevata associata al singolo alunno.
