Chiarimenti sugli obblighi della scuola in materia di trattamento dei dati personali in caso di controlli e di contagi.
Le scuole sono tenute ad acquisire il consenso di alunni, genitori e insegnanti per attivare la didattica a distanza?
No. Gli istituti scolastici possono trattare i dati, anche relativi a categorie particolari(1), di insegnanti, alunni (anche minorenni), e genitori nell’ambito delle proprie finalità istituzionali e non devono chiedere agli interessati di prestare il consenso al trattamento dei propri dati, neanche in relazione alla didattica a distanza, attivata a seguito della sospensione delle attività formative delle scuole di ogni ordine e grado. Peraltro, il consenso di regola non costituisce una base giuridica idonea per il trattamento dei dati in ambito pubblico e nel contesto del rapporto di lavoro.
(1) Vale a dire i dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici, relativi alla salute o alla vita sessuale o all’orientamento sessuale.
Gli Istituti scolastici devono informare gli interessati in merito ai trattamenti dei dati personali effettuati nelle attività di didattica a distanza?
Sì. Gli istituti scolastici sono tenuti ad assicurare la trasparenza del trattamento informando, con un linguaggio facilmente comprensibile anche dai minori, gli interessati (alunni, studenti, genitori e docenti) in merito, in particolare, ai tipi di dati e alle modalità di trattamento degli stessi, ai tempi di conservazione e alle altre operazioni di trattamento, specificando che le finalità perseguite sono limitate esclusivamente all’erogazione della didattica a distanza, sulla base dei medesimi presupposti e con garanzie analoghe a quelli della didattica tradizionale.
La scuola può comunicare alle famiglie degli alunni l’identità dei parenti di studenti risultati positivi al COVID 19?
Spetta alle autorità sanitarie competenti informare i contatti stretti del contagiato, al fine di attivare le previste misure di profilassi. L’istituto scolastico è tenuto a fornire alle istituzioni competenti, le informazioni necessarie, affinché le stesse possano ricostruire la filiera dei contatti del contagiato, nonché, sotto altro profilo, ad attivare le misure di sanificazione recentemente disposte.
Le scuole possono svolgere riunioni dei docenti in video conferenza?
Per effetto della sospensione dell’attività didattica e delle riunioni degli organi collegiali in presenza, sono state attivate modalità di didattica a distanza e il ricorso al lavoro agile con riguardo ai servizi amministrativi. Per le medesime ragioni legate all’emergenza, anche alla luce delle indicazioni del Ministro per la pubblica amministrazione e del Ministero dell’Istruzione, ogni forma di riunione nell’ambito delle attività indifferibili deve essere svolta con modalità telematiche.
Il Garante ha già fornito alcune indicazioni alle scuole per orientare scelte consapevoli riguardo alle piattaforme da impiegare, sulla base delle garanzie offerte dai fornitori, in considerazione degli specifici rischi anche per i dati personali dei docenti.
Quali aspetti bisogna considerare nel promuovere screening per il Covid-19 negli istituti scolastici?
Le strutture sanitarie territorialmente competenti possono promuovere campagne di screening sulla positività al Covid-19, in contesti a rischio contagio, come quello scolastico. La partecipazione degli alunni ai test può avvenire solo su base volontaria.
In tal caso, la titolarità del trattamento effettuato nell’ambito delle predette attività di screening resta in capo alla struttura sanitaria (la AUSL e non l’istituto scolastico) che lo promuove e che, pertanto, è l’unica legittimata a raccogliere le adesioni e a comunicare i risultati alla famiglia.
Il ruolo della scuola, anche nell’ambito delle proprie funzioni istituzionali, deve essere quello di promozione, supporto, nonché di intermediazione tra struttura sanitaria e famiglie, senza di regola raccolta di dati personali.
Laddove, in ragione di peculiari esigenze locali legate al contesto emergenziale, le strutture sanitarie ritengano necessario avvalersi degli istituti scolastici per la raccolta delle adesioni ai predetti screening, le scuole potranno trattare, per conto delle strutture sanitarie, in qualità di responsabili del trattamento (art. 28 del Regolamento), unicamente i dati degli alunni necessari ad agevolare l’organizzazione degli screening.
Nei diversi casi in cui, ai fini dello svolgimento delle attività di prevenzione connesse alla gestione dell’emergenza sanitaria in atto, la struttura sanitaria reputi indispensabile acquisire dagli istituti scolastici gli elenchi degli alunni iscritti cui rivolgere l’invito a effettuare i predetti screening, la comunicazione dei nominativi è ammissibile, fino al termine dello stato di emergenza, ai sensi e nei limiti di quanto previsto dall’art. 17-bis, comma 2, del d.l. n. 18/2020.
È inoltre opportuno che le modalità di esecuzione delle predette campagne presso i locali scolastici assicurino il rispetto della libertà di scelta individuale, evitando di suscitare disagio negli alunni o creare disparità tra gli stessi per effetto della partecipazione o meno allo screening prediligendo l’effettuazione delle operazioni in prossimità dell’orario di ingresso o al termine delle lezioni.
Quali sono le informazioni che l'istituzione scolastica può raccogliere dagli studenti o dai genitori, per gli alunni minorenni, nell’ambito delle azioni volte a prevenire il contagio da Covid-19?
Tra le misure di prevenzione e contenimento del contagio che le istituzioni scolastiche devono adottare in base al quadro normativo vigente (cfr. Protocollo d’intesa del Ministero dell’Istruzione n. 87 del 6 agosto 2020) vi è, in particolare, quella di informare studenti e famiglie in merito al divieto di fare ingresso nei locali scolastici:
a. in presenza di temperatura superiore ai 37.5°
b. se provenienti da zone a rischio
c. se si è stati a contatto con persone positive al virus nei 14 giorni precedenti.
Le scuole non possono, nell’ambito dei cosiddetti “Patti di corresponsabilità” o attraverso altra modulistica, imporre invece alle famiglie e agli alunni di dichiarare periodicamente l’assenza di tali impedimenti all’accesso ai locali scolastici, ma, come indicato dall’Istituto Superiore di Sanità nel Rapporto n. 58/2020, possono invece richiedere alle famiglie di collaborare, informando il dirigente scolastico o il referente scolastico per COVID-19, circa:
a. eventuali assenze per motivi sanitari al fine di individuare eventuali focolai;
b. il caso in cui un alunno risulti contatto stretto di un caso confermato COVID-19.
Resta salvo quanto previsto dalla disciplina in materia di tutela della salute e della sicurezza nei luoghi di lavoro del personale scolastico (art. 20 del d.lgs. 9 aprile 2008, n. 81; v. FAQ del Garante – Trattamento dati nel contesto lavorativo pubblico e privato nell’ambito dell’emergenza sanitaria).
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
È ammessa la misurazione a scuola della temperatura agli alunni?
Come già chiarito dal Ministero dell’istruzione (https://www.istruzione.it/rientriamoascuola/domandeerisposte.html; v. FAQ n. 7 della sezione n.7 “Gestione di casi sospetti e focolai”), misurare a casa la temperatura corporea prima di recarsi a scuola è una regola importante per tutelare la propria salute e quella degli altri. Consente infatti di prevenire la possibile diffusione del contagio nel tragitto casa-scuola, sui mezzi di trasporto utilizzati, quando si attende di entrare a scuola, o in classe (cfr. Protocollo del 6 agosto 2020 cit.).
Il “Protocollo di sicurezza per la ripresa dei servizi educativi e delle scuole dell’infanzia”, stabilisce poi che “qualora le Regioni e i singoli enti locali lo dispongano, nei servizi educativi, va favorita la misurazione della temperatura corporea in entrata dei bambini, di tutto il personale docente e ausiliario presente nella struttura e dei c.d. “fornitori” (cfr. par. 2 Protocollo cit.).
In ogni caso, la misurazione della temperatura corporea va effettuata nella gestione di casi di alunni sintomatici durante l’orario scolastico all’interno dell’istituto scolastico.
Considerato che la rilevazione della temperatura corporea, quando è associata all’identità dell’interessato, costituisce un trattamento di dati personali (art. 4, par. 1, 2) ai sensi del Regolamento (UE) 2016/679), non è invece ammessa la registrazione della temperatura rilevata associata al singolo alunno.
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
Sono consentite le riprese e le registrazioni audio-video delle lezioni svolte nell’ambito della didattica digitale integrata?
Nell’ambito della didattica digitale integrata il docente può mettere a disposizione degli studenti, anche per il tramite delle piattaforme utilizzate a tali fini, materiali didattici consistenti anche in proprie video lezioni, su specifici argomenti, per la consultazione e i necessari approfondimenti da parte degli alunni.
Diversamente non è invece ammessa la video registrazione della lezione a distanza in cui si manifestano le dinamiche di classe. Ciò in quanto l’utilizzo delle piattaforme deve essere funzionale a ricreare lo “spazio virtuale” in cui si esplica la relazione e l’interazione tra il docente e gli studenti, non diversamente da quanto accade nelle lezioni in presenza (cfr. FAQ del Garante “Scuola e privacy” in www.gpdp.it; vedi anche la sezione dedicata a “L’utilizzo degli strumenti e la tutela dei dati” delle richiamate “Linee guida in materia di didattica digitale integrata e tutela della privacy: indicazioni generali”).
Si raccomanda, inoltre, di adottare accorgimenti al fine di minimizzare i rischi derivanti da un uso improprio o dalla perdita di controllo dei materiali e delle videolezioni resi disponibili dai docenti sulla piattaforma, con possibile pregiudizio della protezione dei dati e di altri diritti (ad es. il diritto d’autore). In particolare, è opportuno regolamentare la funzionalità di registrazione audio-video e di download dei relativi documenti e fornire specifiche istruzioni ai soggetti autorizzati all’accesso (studenti, altri docenti, altro personale scolastico) per evitare che i materiali siano oggetto di comunicazione o diffusione impropri (ad esempio mediante la loro pubblicazione anche su blog o su social network, nei casi in cui siano accessibili sia da soggetti determinati che da chiunque).
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
L'istituzione scolastica può creare un account per la registrazione dello studente o del docente alle piattaforme per la didattica digitale integrata?
Quando la creazione di un account personale è necessaria per l’utilizzo di piattaforme per la didattica digitale integrata, il trattamento dei dati personali, riconducibile alle funzioni istituzionalmente assegnate all’istituzione scolastica, è ammesso purché vengano attivati, per impostazione predefinita, i soli servizi strettamente necessari allo svolgimento dell’attività didattica e non deve essere richiesto il consenso dell’utente (studente, genitore o docente) o la sottoscrizione di un contratto. Non è comunque ammessa l’attivazione automatica di servizi o funzionalità ulteriori, non necessari a fini didattici (es. geolocalizzazione o sistemi di social login).
Nella configurazione degli account associati a studenti e/o docenti, occorre, tra l’altro, adottare adeguate procedure di identificazione e di autenticazione informatica degli utenti, utilizzare robusti processi di assegnazione agli utenti di credenziali o dispositivi di autenticazione (es. evitando la pre-impostazione di password facilmente conoscibili), definire password policy adeguate e differenziate in funzione degli specifici rischi del trattamento e attribuire di profili di autorizzazione che assicurino l’accesso selettivo ai dati.
Al fine di evitare l’uso scorretto e accrescere la consapevolezza nell’utilizzo dei servizi online per la didattica, è opportuno che le scuole effettuino campagne di sensibilizzazione rivolte a studenti e loro familiari, nonché forniscano istruzioni a docenti, e altro personale, sulle corrette modalità di fruizione dei predetti servizi nel rispetto dei diritti altrui.
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
Le istituzioni scolastiche possono pubblicare sul proprio sito web istituzionale i nominativi degli studenti distinti per classe?
No, la diffusione dei dati relativi alla composizione delle classi sul sito web istituzionale non è consentita in quanto, secondo l’art.2-ter del Codice in materia di protezione dei dati personali, la diffusione dei dati personali è lecita solo se disposta espressamente dalla norma di legge o, nei casi previsti dalla legge, di regolamento.
Pertanto, le istituzioni scolastiche che intendano garantire in via preventiva la conoscibilità di tali dati dovranno utilizzare modalità idonee ad assicurare la tutela dei dati personali e i diritti degli interessati.
A tal fine i nominativi degli studenti distinti per classe potranno essere resi noti per le classi prime delle scuole di ogni ordine e grado, tramite apposita comunicazione all’indirizzo e-mail fornito dalla famiglia in fase di iscrizione all’a.s. 2020-2021, mentre per le classi successive, ove ritenuto necessario, l’elenco degli alunni potrà essere reso disponibile nell’area documentale riservata del registro elettronico a cui accedono tutti gli studenti della classe di riferimento.
In caso di comunicazione tramite e-mail, dovrà essere prestata particolare attenzione a inviare la stessa a ciascun destinatario con un messaggio personalizzato oppure a inviarla utilizzando il campo denominato “copia conoscenza nascosta” (ccn) al fine di non divulgare gli indirizzi e-mail forniti dalle famiglie.
Inoltre, si raccomanda di predisporre uno specifico “disclaimer” con cui si evidenzia che i predetti dati personali non possono essere oggetto di comunicazione o diffusione (ad esempio mediante la loro pubblicazione su blog o su social network).
Comunque, secondo una prassi ormai consolidata è consentita la pubblicazione al tabellone esposto nella bacheca scolastica dei nominativi degli studenti distinti per classe. In relazione all’avvio del prossimo anno scolastico, al fine di evitare assembramenti e garantire le necessarie misure di sicurezza e distanziamento, il dirigente scolastico predispone una calendarizzazione degli accessi ai tabelloni dell’istituzione scolastica e ne dà preventiva comunicazione alle famiglie degli alunni.
Tale modalità di pubblicazione del tabellone in relazione al prossimo anno scolastico dovrebbe essere adottata in via residuale solo qualora l’istituzione scolastica sia sprovvista di registro elettronico o sia impossibilitata ad utilizzare strumenti di comunicazione telematica dei dati.
In tutti i casi gli elenchi relativi alla composizione delle classi, resi disponibili con le modalità sopra indicate, devono contenere i soli nominativi degli alunni e non devono riportare informazioni relative allo stato di salute degli studenti o altri dati personali non pertinenti (es. luogo e data di nascita, ecc.).
Sia in caso di pubblicazione nel registro elettronico sia nel caso di pubblicazione attraverso i tabelloni esposti nella bacheca scolastica, il dirigente scolastico definisce il tempo massimo di pubblicazione che comunque non deve eccedere 15 giorni.
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
È possibile far sottoscrivere agli studenti o ai genitori, per gli alunni minorenni, delle autodichiarazioni sullo stato di salute o in merito all’eventuale esposizione al contagio da Covid-19, quale condizione per l’accesso a scuola?
No, attraverso le dichiarazioni sostitutive non è possibile autocertificare il proprio o l’altrui stato di salute. L’art. 49 del DPR 445/2000 prevede infatti la non sostituibilità dei certificati medici e sanitari.
Pertanto, le istituzioni scolastiche, per il contrasto e il contenimento della diffusione del virus Covid-19, sono tenute ad attuare le misure già previste nel Protocollo d’intesa del Ministero dell’Istruzione n. 87 del 6 agosto 2020. In particolare, tale Protocollo prevede che i dirigenti scolastici, per prevenire la diffusione del virus, siano tenuti a rendere edotti, attraverso un’apposita comunicazione, il personale, gli studenti e le famiglie degli alunni circa le regole fondamentali di igiene che devono essere adottate in tutti gli ambienti della scuola.
Nello specifico, le informazioni da rendere riguardano: l’obbligo di rimanere al proprio domicilio in presenza di temperatura oltre i 37.5°, il divieto di fare ingresso nei locali scolastici se provenienti da zone a rischio o se si è stati a contatto con persone positive al virus nei 14 giorni precedenti, mantenere il distanziamento fisico di un metro, osservare le regole di igiene delle mani e tenere comportamenti corretti sul piano dell’igiene, etc.
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
In occasione della campagna vaccinale rivolta al personale scolastico promossa dal Governo per il contrasto al Coronavirus, può il dirigente scolastico, in qualità di datore di lavoro, acquisire la certificazione comprovante l’effettuazione della prestazione specialistica come giustificativo per l'assenza del dipendente che si è sottoposto alla vaccinazione?
Sì. In generale, il Garante per la protezione dei dati personali ha già chiarito che risulta giustificata la richiesta da parte dell’́amministrazione di appartenenza di documentazione relativa all’́effettuazione di visite mediche, prestazioni specialistiche o accertamenti clinici, quando il dipendente richiede di usufruire di permessi per le assenze correlate a tali esigenze(cfr. “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14 giugno 2007, punto 8.2, ultimo capoverso). Pertanto il dirigente scolastico, in qualità di datore di lavoro, ai fini della giustificazione dell’assenza dal servizio, è legittimato all’acquisizione del documento che attesta la sottoposizione a una prestazione sanitaria specialistica, che il dipendente, in base alla legge e nei casi previsti dalla contrattazione collettiva di settore, è tenuto a produrre. Resta salvo che ove dalla attestazione prodotta dal dipendente sia possibile risalire al tipo di prestazione sanitaria da questo ricevuta, l’amministrazione scolastica, salva la conservazione del documento in base agli obblighi di legge, dovrà astenersi dall’utilizzare tali informazioni per altre finalità, nel rispetto dei principi di protezione dei dati(v. tra gli altri, il principio di limitazione della finalità di cui all’art. 5, par.1, lett. b), del Regolamento UE 2016/679) e non potrà chiedere al dipendente conferma dell’avvenuta vaccinazione (si veda FAQ del Garante Privacy n. 1 sezione “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”).
Appare opportuno ribadire che il giustificativo per l’assenza dal lavoro per malattia dovuta a prestazioni sanitarie specialistiche o per altro permesso previsto dalla contrattazione collettiva di settore non deve recare informazioni sulla tipologia della prestazione specialistica effettuata dal dipendente.
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
Che tipo di comunicazione deve effettuare il lavoratore dichiarato “fragile” dal medico competente e, dunque già collocato in altre mansioni o in attività lavorativa a distanza, che a seguito di effettuazione della vaccinazione ha intenzione di rientrare effettivamente in servizio in presenza?
In base al quadro normativo vigente il lavoratore può chiedere, nell’ambito della sorveglianza sanitaria, l’effettuazione di una visita con il medico competente (art.41 d.lgs 81/2008) il quale potrà in quella sede trattare anche le informazioni relative alla vaccinazione effettuata. Lo stesso valuterà, nel rispetto dei protocolli applicabili per il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro (v. par. 12 Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro del 24 aprile 2020) e delle indicazioni fornite dalle autorità sanitarie anche in merito all’efficacia e all’affidabilità medico-scientifica del vaccino, se tenerne conto in sede di valutazione dell’idoneità alla mansione specifica.
In tal caso il medico competente si limiterà a trasmettere al datore di lavoro la sola informazione relativa al giudizio di idoneità alla mansione specifica e le eventuali prescrizioni e/o limitazioni in esso riportato (si vedano le FAQ del Garante Privacy sul “Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo”).
*FAQ elaborate in collaborazione con il MIUR e disponibili anche in https://www.istruzione.it/rientriamoascuola/domandeerisposte.html
Quali sono le misure che l’istituto scolastico deve adottare per trattare i dati dello studente che usufruisce della didattica in presenza nell’ipotesi di due casi positivi in classe?
Le scuole secondarie di I e II grado e gli istituti di istruzione e formazione professionale (IeFP), nell’ipotesi in cui in una classe si siano verificati due casi positivi, in qualità di titolari del trattamento, possono trattare i dati presenti nella documentazione fornita dagli alunni per dimostrare la sussistenza dei requisiti per lo svolgimento in presenza dell’attività didattica (conclusione del ciclo vaccinale primario e guarigione da meno di centoventi giorni, effettuazione della dose di richiamo) assicurando che le verifiche dei suddetti requisiti siano effettuate quotidianamente:
– per il periodo previsto dalla legge (10 giorni) e nei confronti dei soli studenti che fruiscano della didattica in presenza;
– esclusivamente per assicurare lo svolgimento della didattica in presenza nei suddetti casi, con esclusione di ogni altra finalità;
– secondo modalità che assicurino la sicurezza e l’integrità dei dati;
– senza acquisizione preventiva della relativa documentazione (certificato vaccinale o di guarigione, green pass) che deve essere esclusivamente esibita dall’alunno all’atto del controllo;
– nel caso di esibizione del green pass, utilizzando esclusivamente l’App di verifica C-19 (modalità rafforzata);
– da personale autorizzato e istruito.
Il titolare deve astenersi dal raccogliere e conservare la predetta documentazione (certificato vaccinale o di guarigione, green pass) nonché dall’intraprendere iniziative che comportino la diffusione dell’elenco degli alunni che svolgono la didattica in presenza o da remoto.
Quali dati devono essere forniti per usufruire dei test antigenici rapidi Covid-19 gratuiti o a prezzi calmierati?
In base al quadro normativo vigente l’esecuzione gratuita di test antigenici rapidi è prevista per gli alunni delle scuole secondarie di primo e secondo grado, sottoposti ad autosorveglianza, dietro prescrizione del medico di medicina generale o del pediatra di libera scelta, nonché per i soggetti che non possono ricevere o completare la vaccinazione anti SARS-CoV-2, sulla base di idonea certificazione medica. In relazione alla fascia di età dell’interessato è inoltre prevista l’esecuzione di test a prezzi calmierati.
In tali casi, le strutture abilitate a eseguire i suddetti test sono autorizzate a trattare i dati personali necessari a comprovare la sussistenza dei requisiti di legge (es. certificato di esenzione, fascia di età, alunni in autosorveglianza), presenti nella documentazione fornita dagli interessati, senza richiedere ulteriori informazioni (es. stato vaccinale).