[doc. web n. 2911617]

Affidamento di servizi in house da parte del Miur al Consorzio Cineca - 5 dicembre 2013

Registro dei provvedimenti
n. 548 del 5 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell´istruzione, dell´Università e della Ricerca, del 9 luglio 2013 (prot. n. 0013899);

Vista la deliberazione del Consiglio di Stato del 12 marzo 2013, n. 1168/2013;

Visto il Codice in materia di protezione dei dati personali, d.lg. 30 giugno 2003, n. 196 (di seguito Codice), con particolare riferimento all´ art. 154, comma 1, lett. g);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

Il Ministero dell´istruzione, dell´Università e della Ricerca (di seguito Ministero) ha richiesto un parere alla Sezione consultiva del Consiglio di Stato in merito all´affidamento in via diretta al Consorzio CINECA (di cui il Ministero stesso fa parte e di cui ne ha promosso la costituzione - artt. 1 e 2 dello Statuto del Consorzio), secondo il modello in house, di prestazioni di servizio nel campo dell´informatica concernenti i sistemi dell´istruzione, dell´università e della ricerca (nota del 28 dicembre 2012, prot. n. AOOUFGABU.27144/PF).

Il Consiglio di Stato, nel sospendere l´emissione del parere, ha richiesto al Ministero l´acquisizione degli "avvisi", tra le altre, dell´Autorità Garante per la protezione dei dati personali "per quanto concerne le interferenze con la materia del trattamento dei dati personali" (deliberazione del Consiglio di Stato del 12 marzo 2013, n. 1168/2013).

Il Ministero ha, pertanto, richiesto a questa Autorità le valutazioni di competenza, in relazione alla disciplina in materia di protezione dei dati personali, in ordine alla possibilità di "procedere all´affidamento in via diretta, secondo il modello in house, di servizi di natura informatica concernenti il sistema universitario, della ricerca e scolastico al Consorzio CINECA, partecipato dal Ministero medesimo, da Università e da Enti pubblici di ricerca" (nota prot. n. 0013899 del 9 luglio 2013).

OSSERVA

Nel trattamento di dati personali connesso allo svolgimento dei propri compiti istituzionali, ciascun titolare, anche pubblico, può avvalersi del contributo di soggetti esterni, affidando ad essi determinate attività che restano nella sfera della titolarità dell´amministrazione stessa e che non comportano decisioni di fondo sulle finalità e sulle modalità di utilizzazione dei dati. In questo caso, è necessario che l´amministrazione – in qualità di titolare del trattamento – designi il soggetto esterno, preposto allo svolgimento di determinate attività che comportano il trattamento di dati personali, come "responsabile del trattamento", con un apposito atto scritto che specifichi analiticamente i compiti ad esso affidati (artt. 4, comma 1, lett. f e g, 28 e 29 del Codice).

In caso contrario, in mancanza di tale designazione, la messa a disposizione di dati personali a soggetti esterni si configura come una comunicazione; i soggetti pubblici che intendono effettuare tale operazione devono, quindi, rispettare le specifiche norme previste dal Codice per la comunicazione di dati personali (art. 19, comma 3). Qualora, poi, i dati personali oggetto di comunicazione siano sensibili e giudiziari (art. 4, comma 1, lett. d ed e, del Codice) dovrà essere rispettato lo specifico quadro normativo previsto dal Codice che, per il trattamento di tali categorie di dati personali, prevede ulteriori limitazioni e garanzie rafforzate (artt. 20-22 del Codice).

In ogni caso, le persone fisiche che, anche presso il soggetto esterno, materialmente trattano i dati personali devono essere designate, dal titolare o dal responsabile, "incaricati del trattamento" con un atto scritto che individui puntualmente l´ambito del trattamento che essi possono effettuare (art. 30 del Codice).

In tale quadro, in relazione alla questione in esame e ai fini del rispetto della normativa richiamata, il Ministero potrà avvalersi del contributo del Consorzio CINECA per lo svolgimento di determinate attività che comportino il trattamento di dati personali, avendo cura di designare il Consorzio medesimo "responsabile del trattamento dei dati personali". Tale designazione implica che il Consorzio CINECA sia individuato dal Ministero "tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo della sicurezza". Il Ministero, inoltre, dovrà specificare analiticamente, per iscritto, i compiti ad esso affidati e vigilare, anche mediante verifiche periodiche, sulla puntuale osservanza delle proprie istruzioni (art. 29, commi 2 e 4, del Codice). E´ necessario, infine, che i dipendenti del Consorzio stesso operino in qualità di "incaricati del trattamento" sotto la diretta sorveglianza e secondo le istruzioni ad essi impartite per iscritto dal titolare (Ministero) ovvero direttamente dal Consorzio stesso quale responsabile del trattamento (art. 30 del Codice).

Al riguardo, si ritiene opportuno evidenziare che già in occasione della richiesta di parere a questa Autorità sullo schema di decreto del Ministero dell´Istruzione, dell´Università e della Ricerca, riguardante le modalità e i contenuti della prova di ammissione al corso di laurea magistrale in Medicina e Chirurgia attivato in lingua inglese per l´anno accademico 2013/2014, il Ministero aveva rappresentato l´intenzione di volersi avvalere della collaborazione esterna del CINECA, insieme con il Cambridge Assessment, per le procedure di iscrizione on line alle prove. In tale circostanza, l´Autorità, nel fornire il parere di competenza, ha segnalato al Ministero la necessità di precisare il ruolo svolto dal CINECA sotto il profilo della protezione dei dati personali, quale responsabile del trattamento dei dati ai sensi dell´art. 29 del Codice (cfr. provvedimento del 14 febbraio 2013, disponibile nel sito internet www.garanteprivacy.it; doc. web n. 2304831).

TUTTO CIO´ PREMESSO IL GARANTE

ai sensi dell´ art. 154, comma 1, lett. g), del Codice, per i profili di competenza concernenti la disciplina in materia di protezione dei dati personali, si esprime nei termini di cui in motivazione con riferimento alla richiesta del Ministero dell´Istruzione, dell´Università e della Ricerca in ordine alla possibilità di procedere all´affidamento in via diretta, secondo il modello in house, di servizi di natura informatica concernenti il sistema universitario, della ricerca e scolastico al Consorzio CINECA.

Roma, 5 dicembre 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia