[doc. web n. 9966592]

Parere sullo schema di decreto del Ministro dell’istruzione e del merito, avente ad oggetto criteri e modalità relativi alla sezione dell’Anagrafe nazionale dell’istruzione riguardante gli studenti iscritti ai percorsi degli ITS Academy e conseguenti adeguamenti nelle funzioni e nei compiti della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del Sistema terziario di istruzione tecnologica - 16 novembre 2023

Registro dei provvedimenti
n. 525 del 16 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali” (di seguito, Codice);

VISTA la legge 15 luglio 2022, n. 99 recante “Istituzione del Sistema terziario di istruzione tecnologica superiore” che prevede l’istituzione del “Sistema terziario di istruzione tecnologica superiore, di cui sono parte integrante gli Istituti tecnici superiori (ITS), che assumono la denominazione di Istituti tecnologici superiori (ITS Academy), al fine di promuovere l'occupazione, in particolare giovanile, e di rafforzare le condizioni per lo sviluppo di un'economia ad alta intensità di conoscenza, per la competitività e per la resilienza, a partire dal riconoscimento delle esigenze di innovazione e sviluppo del sistema di istruzione e ricerca, incoerenza con i parametri europei” (art. 1);

VISTI in particolare gli artt. 12 e 14 della predetta legge che stabiliscono che:

- “L’anagrafe degli studenti iscritti ai percorsi degli ITS Academy di cui al capo II è costituita presso il Ministero dell'istruzione secondo criteri e modalità definiti con decreto del Ministro dell'istruzione adottato ai sensi dell'articolo 14, comma 6” (art. 12, comma 1);

- “Le funzioni e i compiti della banca dati nazionale di cui all' articolo 13 del decreto del Presidente del Consiglio dei ministri 25 gennaio 2008, pubblicato nella Gazzetta Ufficiale n. 86 dell'11 aprile 2008, sono adeguati a quanto previsto dalla presente legge con decreto del Ministro dell'istruzione adottato ai sensi dell'articolo 14, comma 6” (art. 12, comma 2)”;

- “Salvo quanto diversamente disposto, all'attuazione della presente legge si provvede con uno o più decreti, aventi natura non regolamentare, del Ministro dell'istruzione, sentiti il Ministro dell'università e della ricerca, il Ministro del lavoro e delle politiche sociali e il Ministro dello sviluppo economico, previa intesa in sede di Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, a norma dell'articolo 3 del decreto legislativo 28 agosto 1997, n. 281, da adottare entro centottanta giorni dalla data di entrata in vigore della presente legge» (articolo 14, comma 6).

VISTA la nota del 3 novembre 2023, con la quale il Ministero dell’istruzione e del merito (di seguito, Ministero) ha sottoposto all’Autorità, ai fini di acquisire il prescritto parere previsto dal Regolamento, lo schema di decreto del Ministro dell’istruzione e del merito, concernente “criteri e modalità relativi alla sezione dell’Anagrafe nazionale dell’istruzione riguardante gli studenti iscritti ai percorsi degli ITS Academy e conseguenti adeguamenti nelle funzioni e nei compiti della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del Sistema terziario di istruzione tecnologica, ai sensi degli articoli 12, commi 1 e 2, e 14, comma 6, della Legge 15 luglio 2022, n. 99” corredato dal relativo allegato (All. A), recante “Principali garanzie e misure di sicurezza” che ne costituisce parte integrante;

RILEVATO che lo schema di decreto si compone di dodici articoli che stabiliscono, in prima attuazione, i criteri e le modalità relativi alla costituzione dell’Anagrafe nazionale dell’istruzione riguardante gli studenti iscritti ai percorsi degli ITS Academy (mediante la realizzazione di una sezione dell’ANIST di cui all’art. 62-quater del d.lgs. 7 marzo 2005, n. 82 – di seguito, Sezione ITS Academy dell’ANIST), nonché i criteri di adeguamento, alle previsioni di cui alla legge n. 99/2022, della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del Sistema terziario di istruzione tecnologica (art. 3 dello schema), prevedendo, in particolare:

- le finalità istituzionali perseguite dagli ITS Academy e dal Ministero per il tramite della Sezione ITS Academy dell’ANIST (art. 4 dello schema), la quale mira ad assicurare:

a) la disponibilità dei dati al singolo ITS Academy per lo svolgimento delle funzioni di propria competenza, con particolare riferimento alla finalità di certificazione, nonché per consentirne la consultazione da parte degli utenti;

b) l’automazione delle procedure di iscrizione online agli ITS;

c) il riconoscimento nell’Unione europea e all’estero dei titoli di studio, attraverso tecnologie idonee a garantire l’autenticità dei titoli medesimi;

d) lo svolgimento delle funzioni di competenza del Ministero, tra le quali: la realizzazione delle attività di valutazione e monitoraggio di cui all’articolo 13, comma 1, della legge n. 99/2022, anche attraverso il supporto di INDIRE, mediante visualizzazione di dati previamente aggregati e anonimizzati; sostegno alla qualificazione del Sistema terziario di istruzione tecnologica superiore, nel rispetto della legge n. 99/2022, anche al fine di prevenire e contrastare la dispersione formativa e agevolare l’inserimento nel mondo del lavoro; rilevazione, attraverso i dati aggregati comunicati dal Sistema informativo statistico-SISCO del Ministero del lavoro e delle politiche sociali, degli esiti occupazionali degli studenti;

e) la quantificazione delle risorse finanziarie da destinare, sulla base della normativa vigente, alla realizzazione dei percorsi formativi degli ITS Academy, mediante l’utilizzo, da parte delle Regioni, di dati previamente aggregati dal Ministero;

- le tipologie di dati contenuti nella Sezione ITS Academy dell’ANIST, che comprende, tra gli altri, i dati anagrafici dello studente, i dati relativi al percorso di studi e ai titoli conseguiti, i dati relativi agli esiti occupazionali degli studenti iscritti e dei diplomati, come trasmessi dal Sistema SISCO del Ministero del lavoro e delle politiche sociali, nonché la previsione secondo cui tali dati saranno conservati per il tempo strettamente necessario per l’erogazione dei servizi di consultazione disciplinati (art. 5 dello schema);

- la previsione per cui i singoli ITS Academy alimenteranno la Sezione ITS Academy dell’ANIST sulla base delle modalità e delle procedure previste per l’ANIST stessa (art. 6 dello schema);

- l’accesso ai dati della Sezione ITS Academy dell’ANIST, da parte dei soggetti di cui all’art. 4 dello schema medesimo, nei limiti di quanto strettamente necessario al perseguimento delle finalità di rispettiva competenza (art. 7 dello schema);

- la definizione dei soggetti coinvolti nel trattamento dei dati personali della Sezione ITS Academy dell’ANIST, specificando che: sia gli ITS Academy che il Ministero sono titolari dei trattamenti di dati personali effettuati nell’ambito della Sezione ITS Academy di ANIST per il perseguimento delle proprie finalità istituzionali; il Ministero agisce quale responsabile del trattamento, ai sensi dell’articolo 28 del Regolamento, nell’attività di gestione dell’infrastruttura alimentata dagli ITS Academy, vincolato alle indicazioni fornite dai titolari; per la realizzazione, manutenzione tecnica e gestione della Sezione ITS Academy dell’ANIST, il Ministero farà ricorso al soggetto già individuato, nell’ambito dell’ANIST, come responsabile del trattamento ai sensi dell'articolo 28 del Regolamento (art. 8 dello schema);

- le principali garanzie e misure di sicurezza della Sezione ITS Academy dell’ANIST (art. 9 dello schema);

- la disciplina della Banca Dati Nazionale di cui all’art. 13 del d.P.C.M. 25 gennaio 2008, gestita da INDIRE (art. 10 dello schema);

- la previsione secondo cui la Sezione ITS Academy dell’ANIST sarà pienamente operativa solo a seguito dell’adozione di un successivo decreto, volto ad individuare: i dati contenuti e i relativi tempi di conservazione e, in particolare, il set di dati relativo a ciascun interessato con la precisa individuazione dei dati che sono trattati, in relazione alle finalità di ciascuna attività di trattamento e previa valutazione della necessità di tale trattamento; le operazioni eseguibili sui dati e le relative modalità di trattamento, nonché le specifiche tecniche e le modalità operative di alimentazione, aggregazione, correttezza, esattezza e aggiornamento dei dati contenuti nella Sezione ITS Academy dell’ANIST; le misure tecnico-informatiche di adeguamento della Banca Dati Nazionale con la Sezione ITS Academy dell’ANIST e le relative modalità di raccordo; le altre banche dati, anche di interesse nazionale, i cui dati sono necessari per lo svolgimento delle funzioni di competenza del Ministero o per l'allineamento degli ulteriori dati contenuti nella Sezione ITS Academy dell’ANIST; la descrizione delle modalità di funzionamento della Sezione ITS Academy dell’ANIST, ivi comprese le modalità per assicurare il rilascio di certificazioni da parte degli ITS Academy e del Ministero, nonché delle regole tecniche, dei requisiti, delle garanzie e delle misure di sicurezza adottate (art. 11 dello schema);

CONSIDERATO che i trattamenti di dati personali in esame presentano rischi elevati per i diritti e le libertà degli interessati – in quanto sono effettuati su larga scala, sia in termini di numerosità degli interessati che di estensione geografica, ed hanno ad oggetto dati riferiti a studenti che aspirano ad entrare nel mondo del lavoro – e che tali rischi devono essere adeguatamente individuati e mitigati nell’ambito della prevista valutazione di impatto sulla protezione dei dati di cui all’art. 35 del Regolamento, e dei relativi aggiornamenti;

CONSIDERATO che lo schema di decreto in esame tiene conto delle osservazioni dell’Ufficio del Garante fornite nel corso delle interlocuzioni informali e delle riunioni con i rappresentanti del Ministero, al fine di rendere conformi i trattamenti ivi disciplinati alla normativa in materia di protezione dei dati personali, nel rispetto dei principi di protezione dei dati fin dalla progettazione e di protezione dei dati per impostazione predefinita (art. 25 del Regolamento), con particolare riferimento a:

- la specificazione delle finalità perseguite dalla Sezione ITS Academy dell’ANIST e l’individuazione dei soggetti autorizzati ad accedere ai dati personali contenuti nella medesima in attuazione dei compiti definiti dalla legge (ITS Academy, Ministero), in ossequio ai principi di liceità, correttezza e trasparenza e di limitazione delle finalità (art. 5, par. 1, lett. a) e b), del Regolamento);

- l’individuazione dei ruoli assunti dagli ITS Academy e dal Ministero in relazione ai trattamenti di dati personali effettuati nell’ambito della Sezione ITS Academy dell’ANIST, in ossequio ai principi di liceità, correttezza e trasparenza e di limitazione delle finalità (art. 5, par. 1, lett. a) e b), del Regolamento), specificando, tra l’altro, che le attività di rilascio dei certificati dei titoli di studio e del percorso scolastico sono svolte dagli ITS Academy in qualità di titolari del trattamento, nell’ambito delle competenze attribuite dalle norme di settore, e che, al riguardo, il Ministero svolge un ruolo strumentale in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento;

- la definizione, in termini generali, delle tipologie di dati personali contenuti nella Sezione ITS Academy dell’ANIST, assicurando il trattamento dei soli dati necessari rispetto a ciascuna delle finalità perseguite, e privilegiando il ricorso a dati aggregati nei casi in cui le stesse finalità possano essere efficacemente perseguite anche senza l’utilizzo di informazioni di carattere personale (ad esempio, con riguardo alle competenze istituzionali del Ministero e delle Regioni in merito alla quantificazione e ripartizione delle risorse), in ossequio ai principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento);

- l’utilizzo da parte del Ministero, a fini di monitoraggio sull’efficace funzionamento del Sistema terziario di istruzione tecnologica, delle informazioni relative agli esiti occupazionali degli studenti iscritti e dei diplomati, esclusivamente in forma aggregata, nel rispetto delle norme di settore applicabili, che attribuiscono specifiche competenze in materia di sostegno all’inserimento lavorativo e politiche attive del lavoro in capo ad altri soggetti istituzionali, in ossequio ai principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento);

CONSIDERATO, inoltre, che lo schema di decreto demanda a un successivo decreto, da sottoporre al parere del Garante, l’individuazione di ulteriori elementi di dettaglio del trattamento quali, in particolare:

- le specifiche tipologie di dati personali oggetto di trattamento nell’ambito della Sezione ITS Academy dell’ANIST, precisando quelle rese disponibili a ciascuno dei soggetti legittimati ad accedere, in relazione alle rispettive finalità istituzionali;

- le fonti che alimentano la Sezione ITS Academy dell’ANIST con riguardo a ciascuna tipologia di dati personali ivi contenuti;

- le operazioni eseguibili sui dati, comprese quelle di alimentazione e aggregazione, e le relative modalità di trattamento, nonché le specifiche misure tecniche e organizzative per assicurare la tutela dei diritti e delle libertà degli interessati;

- le garanzie per assicurare il rilascio agli interessati delle certificazioni anche relative ai titoli di studio da parte degli ITS Academy, cui è attribuita la funzione certificatoria dalla normativa di settore;

- i tempi di conservazione dei dati personali nell’ambito della Sezione ITS Academy dell’ANIST;

CONSIDERATO, infine, che il richiamato decreto a cui saranno rinviati i predetti contenuti dovrà disciplinare anche il raccordo tra la Sezione ITS Academy dell’ANIST e la Banca Dati Nazionale di cui all’art. 13 del d.P.C.M. 25 gennaio 2008, e che, in tale ambito, al fine di assicurare la coerenza tra le finalità assegnate dalla legge alle predette banche dati, dovranno essere esplicitate le caratteristiche dei trattamenti effettuati in tale contesto e le modalità di interazione tra le stesse;

RITENUTO che il parere debba essere reso nei termini indicati nell’art. 9, comma 3, del decreto legge 8 ottobre 2021, n. 139, convertito, con modificazioni, dalla legge 3 dicembre 2021, n. 205, considerato che, come riportato nelle premesse dello schema di decreto, l’intervento regolatorio in questione si colloca nel percorso di attuazione di politiche rientranti nell’ambito del Piano nazionale di ripresa e resilienza (PNRR);

CONSIDERATO che il presente schema di decreto definisce la cornice giuridica di base della Sezione ITS Academy dell’ANIST e che la piena operatività della stessa e l’avvio dei conseguenti trattamenti di dati avverranno solo a seguito:

- della completa definizione del quadro giuridico di riferimento mediante l’emanazione del successivo decreto, da sottoporre al parere del Garante, cui è demandata anche l’individuazione di ulteriori elementi di dettaglio del trattamento e degli aspetti di natura tecnologica e di sicurezza;

- della predisposizione della valutazione di impatto sulla protezione dei dati di cui all’art. 35 del Regolamento;

RITENUTO di non dover formulare osservazioni sullo schema di decreto in questione atteso che le indicazioni fornite nel corso dell’istruttoria dall’Ufficio del Garante, sono state tenute in debita considerazione;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 36, par. 4, e 58, par. 3, lett. b), del Regolamento, esprime parere favorevole sullo schema di decreto del Ministro dell’istruzione e del merito, avente ad oggetto criteri e modalità relativi alla sezione dell’Anagrafe nazionale dell’istruzione riguardante gli studenti iscritti ai percorsi degli ITS Academy e conseguenti adeguamenti nelle funzioni e nei compiti della Banca Dati Nazionale per il monitoraggio quantitativo e qualitativo del Sistema terziario di istruzione tecnologica, ai sensi degli artt. 12, commi 1 e 2, e 14, comma 6, della legge 15 luglio 2022, n. 99.

Roma, 16 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi