[doc. web n. 4241082]

Parere su due schemi di decreto ministeriale riguardanti le modalità e i contenuti delle prove di ammissione ai corsi di laurea ad accesso programmato per l´anno accademico 2015-2016 - 2 luglio 2015

Registro dei provvedimenti
n. 392 del 2 luglio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell´Istruzione, dell´università e della ricerca;

Visto l´articolo 154, commi 4 e 5, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

1. Il Ministero dell´Istruzione, dell´università e della ricerca (di seguito "MIUR") ha chiesto il parere del Garante in ordine a due schemi di decreto ministeriale riguardanti le modalità e i contenuti delle prove di ammissione ai corsi di laurea ad accesso programmato per l´anno accademico 2015-2016.

Il primo schema di decreto riguarda l´ammissione dei candidati a determinati corsi di laurea in lingua italiana, indicati all´articolo 1, comma 1, lett. a) della legge 2 agosto 1999, n. 264 (di seguito, per comodità: "decreto test in italiano"); l´altro, adottato ai sensi degli articoli 1, comma 1, lett. a) e 4, commi 1 e 1-bis, della medesima legge n. 264 del 1999, concerne l´ammissione al corso di laurea in medicina e chirurgia in lingua inglese, che si svolge presso alcuni atenei italiani nonché nelle sedi estere espressamente indicate (di seguito "decreto test in inglese").

Il presente parere –per evidenti ragioni di affinità di materia- si riferisce a entrambi i decreti i cui schemi sono stati trasmessi.

I provvedimenti in esame riproducono in larga misura il contenuto degli analoghi decreti relativi all´anno accademico 2014/2015, sui cui schemi il Garante ha espresso, a suo tempo, parere (pareri, rispettivamente, del 30 gennaio 2014 e del 20 febbraio 2014).

Rispetto alla versione dell´anno scorso, gli schemi recano una nuova procedura a tutela dell´"anonimato" concorsuale e della segretezza delle prove, descritta nell´allegato 1 di ciascun decreto.

In particolare si prevede che, ai fini dell´espletamento della prova, ciascun candidato riceva un plico contenente: una scheda anagrafica priva di qualsivoglia codice di identificazione;  i fogli contenenti i quesiti oggetto di prova recanti il codice identificativo del plico; un modulo risposte, dotato dello stesso codice di identificazione del plico; un foglio di controllo del plico, con il predetto codice identificativo e l´indicazione dell´Ateneo e del corso di laurea cui si riferisce la prova.

I codici impressi sul materiale concorsuale non consentono – si legge nella nota di trasmissione del MIUR - di ricondurre l´elaborato al candidato; infatti l´abbinamento fra l´elaborato e il suo autore avviene solo a conclusione della prova, a mezzo dell´applicazione da parte del candidato di una coppia di etichette adesive identiche sul modulo risposte e sulla scheda anagrafica.

Per tutti i corsi di laurea si conferma, invece, che l´iscrizione alle prove di ammissione possa essere richiesta dagli studenti interessati solo mediante una procedura on line, attraverso il portale Universitaly.

2. Per quanto riguarda i corsi in lingua italiana, all´esito delle prove, il CINECA, per conto del MIUR, pubblica sul sito, nel rispetto delle norme per la protezione dei dati personali, garantendo la non diretta identificabilità degli studenti da parte di terzi, esclusivamente il punteggio ottenuto dai candidati per ciascun corso di laurea e ciascuna sede universitaria in ordine di "codice etichetta", che permane disponibile sul sito fino alla conclusione delle procedure.

Dopo che il CINECA ha acquisito dai responsabili del procedimento delle Università, attraverso un sito web riservato, i dati identificativi di ogni studente tratti dal modulo anagrafica, è pubblicata, nell´area del sito  riservato agli studenti, la graduatoria nazionale di merito nominativa.

Gli studenti, nell´area riservata del sito, utilizzando le credenziali di accesso loro assegnate, possono prendere visione dell´immagine del proprio elaborato e dei predetti punteggi e seguire le fasi successive, ivi compresa la pubblicazione della graduatoria nominativa.

3. Per il corso in lingua inglese la prova di ammissione è predisposta dal MIUR tramite il Department University of Cambridge Local Examinations Syndicate (infra: Cambridge Assessment), attraverso procedure indicate nell´allegato 1 al decreto (art. 2); il medesimo Cambridge Assessment è deputato ad organizzare la prova presso le sedi estere (art. 4, comma 3).

L´allegato 1 prevede che il MIUR si avvalga di Cambridge Assessment, in collaborazione con il CINECA, per le procedure di iscrizione on line al test, nonché per la predisposizione dei plichi destinati a ciascun candidato, per la stampa di fogli di istruzione alla compilazione del modulo risposte e per la determinazione del punteggio relativo ad ogni modulo di risposte. Il materiale per le prove da svolgere in Italia è poi consegnato in scatole sigillate alla sede del CINECA, dove gli atenei provvedono al ritiro.

Terminate le prove, sono assegnati i punteggi e il MIUR provvede alla loro pubblicazione in ordine di etichetta, secondo le stesse modalità già descritte per i corsi in lingua italiana.

4. Entrambi gli schemi prevedono, infine, un testo di informativa sul trattamento dei dati personali da fornire ai candidati che intendano partecipare alle prove (riportato in allegato), ai sensi dell´articolo 13 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2013, n.196, di seguito "Codice").

CONSIDERATO

5. Il Garante esaminati entrambi gli schemi di decreto, per conformarne il contenuto ai principi e alle garanzie in materia di protezione dei dati personali, ritiene che debbano essere perfezionati nei termini seguenti.

5.1. Nel preambolo dei decreti è opportuno inserire il riferimento allo schema tipo di regolamento per il trattamento dei dati sensibili e giudiziari da parte delle Università adottato dalla Conferenza dei rettori delle università italiane (CRUI) previo parere del Garante. Ciò, in quanto è previsto che il trattamento dei dati sulla salute sia effettuato dalle Università per garantire l´accesso alle persone con specifici "handicap".

5.2. In relazione all´informativa da rendere all´interessato ai sensi dell´articolo 13 del Codice (di cui si riporta il modello in allegato a entrambi i decreti) si osserva, preliminarmente, che essa deve essere inserita nel portale Universitaly, visibile a ciascun candidato all´inizio della procedura di richiesta di partecipazione al test con un flag che ne registri la presa visione, prima del conferimento dei dati personali. Tali indicazioni devono essere riportate negli schemi di decreto.
Essa, inoltre, deve essere modificata e integrata come segue:

a) deve evidenziare la normativa in base alla quale è effettuato il trattamento dei dati sensibili e giudiziari (art. 22, comma 2, del Codice);

b) deve essere specificato che la finalità della raccolta dei dati riguarda la selezione per l´accesso ai corsi di laurea e la successiva immatricolazione e non soltanto la determinazione del punteggio e che i titolari del trattamento sono il MIUR e l´Università per gli specifici profili di competenza;

c) deve essere indicato il soggetto al quale l´interessato può rivolgersi per l´esercizio dei diritti di cui all´art. 7 del Codice;

d) con specifico riferimento al decreto test in inglese, a titolo di collaborazione si fa notare che al punto 1 dell´informativa sono elencate più facoltà di quelle previste nel relativo decreto.

5.3. Gli schemi di decreti in esame ed i relativi allegati non forniscono alcuna indicazione in ordine ai tempi di conservazione dei dati personali trattati.

Lo schema va pertanto integrato sotto questo profilo e in particolare:

a) rispetto al decreto test in italiano, devono essere indicati, al punto 10 dell´allegato 1, il tempo di conservazione della documentazione ivi elencata e, al punto 2 dell´allegato 2, i tempi di conservazione delle informazioni fornite dai candidati per l´iscrizione al test;

b) con specifico riferimento al decreto test in inglese, al punto 23 dell´allegato 1, va chiarito per quanto tempo le Università debbano conservare gli elaborati dei candidati trasmessi dal Cambridge Assessment  e, al punto 3 dell´allegato 2, va specificato per quanto tempo sia disponibile per i candidati, nell´area riservata nel sito Universitaly, la documentazione ivi elencata.

5.4.  Negli allegati di entrambi i decreti, in cui è descritta la procedura per l´iscrizione e lo svolgimento della prova di ammissione e per l´immatricolazione, deve essere specificato che, rispettivamente, il Cineca e il Cambridge Assessment sono designati responsabili del trattamento da parte del MIUR, ai sensi dell´articolo 29 del Codice.

5.5. Occorre chiarire negli schemi, al di là di ogni ragionevole dubbio, se la pubblicazione sul sito del MIUR della graduatoria in ordine di codice di etichetta sia visionabile da chiunque oppure, come sarebbe preferibile, sia collocata in una specifica partizione dedicata del sito, accessibile soltanto da parte degli interessati, previa autenticazione informatica tramite credenziali individuali o di altro genere.

Tale esigenza di chiarimento si pone tenuto anche conto che nello schema di decreto test in italiano, al punto 4 dell´allegato 2 è precisato che la graduatoria dei candidati pubblicata secondo il codice etichetta rimane "disponibile sul sito pubblico fino alla conclusione delle procedure" mentre al successivo punto 7 è stabilito che la graduatoria nominativa è pubblicata nell´area riservata agli studenti.

In ogni caso, si ritiene necessario che vengano specificate le modalità di accesso da parte dei candidati all´area riservata del sito e se tali accessi consentono la sola visione ovvero il download dei documenti ivi raccolti.

Infine si raccomanda di sostituire ovunque ricorra il termine "anonimato" dei candidati con uno più appropriato, che tenga conto della reversibilità del codice assegnato.

5.6. Nel punto 1 dell´allegato 2 del decreto test in italiano non è chiaro perché le Università debbano inviare al Cineca entro il 5 agosto l´elenco degli studenti che hanno perfezionato l´iscrizione al test attraverso il pagamento del relativo contributo. Tale flusso di dati andrebbe pertanto quanto meno giustificato, evidenziandone la necessità rispetto a specifiche finalità, oppure soppresso.

5.7. Infine, sotto il profilo formale, si richiama l´attenzione dell´Amministrazione sulla necessità che nello schema e negli allegati siano indicati correttamente i pertinenti codici previsti dalla nuova procedura per garantire la non identificabilità dell´autore dell´elaborato. Si fa riferimento in particolare al punto 15 dell´allegato 1 dello schema di decreto test in italiano e all´allegato di entrambi gli schemi recante l´informativa, dove sono presenti le locuzioni: "codici identificativi della prova", "codice identificativo univoco", "codice identificativo", non più ricorrenti nella predetta procedura (che contempla invece il "codice identificativo del plico" e il "codice etichetta").

6. Analogamente a quanto già rilevato nel parere del 30 gennaio 2014, il Garante, infine, richiama l´attenzione dell´amministrazione interessata sulla necessità che siano predisposte misure di sicurezza adeguate alla procedura per l´iscrizione on line degli studenti ai test, nel rispetto della disciplina prevista dal Codice (artt. 31 e ss.).

IL GARANTE

esprime parere, nei termini di cui in motivazione, sugli schemi di decreto ministeriale riguardanti le modalità e i contenuti delle prove di ammissione ai corsi di laurea ad accesso programmato per l´anno accademico 2014-2015, con le seguenti condizioni:

a) nel preambolo degli schemi di decreto sia inserito il riferimento allo schema tipo di regolamento per il trattamento dei dati sensibili e giudiziari da parte delle Università (punto 5.1.);

b) gli articoli ed allegati degli schemi concernenti l´informativa siano modificati e integrati nei termini di cui in motivazione (punto 5.2.);

c) gli schemi siano integrati in ordine ai tempi di conservazione dei dati personali trattati, nei termini di cui in motivazione (punto 5.3.);

d) gli schemi siano integrati con la previsione che il Cineca e il Cambridge Assessment sono designati responsabili del trattamento dei dati personali da parte del MIUR (punto 5.4.);

e) siano apportati agli schemi i chiarimenti e i perfezionamenti richiesti in relazione alla accessibilità dei dati pubblicati sul sito e siano specificate le modalità di accesso da parte dei candidati all´area riservata del sito (punto 5.5.);

f) il termine "anonimato" sia sostituito con uno più appropriato, che tenga conto della reversibilità del codice assegnato e siano apportati i perfezionamenti formali suggeriti (punto 5.5. e punto 5.7.);

g) il punto 1 dell´allegato 2 dello schema di decreto test in italiano sia chiarito nei termini di cui in motivazione oppure soppresso (punto 5.6.).

Roma, 2 luglio 2015

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia