g-docweb-display Portlet

Provvedimento del 12 maggio 2022 [9782000]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9782000]

Provvedimento del 12 maggio 2022

Registro dei provvedimenti
n. 185 del 12 maggio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati – di seguito, Regolamento);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito, Codice);

VISTO l’art. 1, comma 181, lettera f), della legge 13 luglio 2015, n. 107, che prevede il “potenziamento della Carta dello studente, tenuto conto del sistema pubblico per la gestione dell'identità digitale, al fine di attestare attraverso la stessa lo status di studente e rendere possibile l'accesso a programmi relativi a beni e servizi di natura culturale, a servizi per la mobilità nazionale e internazionale, ad ausili di natura tecnologica per lo studio e per l'acquisto di materiale scolastico, nonché possibilità di associare funzionalità aggiuntive per strumenti di pagamento attraverso borsellino elettronico”;

VISTO l’art. 10 del decreto legislativo 13 aprile 2017, n. 63, che prevede, in particolare, che:

- “IoStudio - La Carta dello Studente, di seguito denominata Carta, è una tessera nominativa cui sono associate funzionalità volte ad agevolare l'accesso degli studenti a beni e servizi di natura culturale, servizi per la mobilità nazionale e internazionale, ausili di natura tecnologica e multimediale per lo studio e per l'acquisto di materiale scolastico, allo scopo di garantire e supportare il diritto allo studio” (comma 1);

- "la Carta attribuita agli studenti delle istituzioni scolastiche secondarie di secondo grado può essere associato un borsellino elettronico attivabile, a rischista, dallo studente o da chi ne esercita la responsabilità genitoriale" (comma 3);

- Con (…) decreto del Ministro dell'istruzione, dell'università e della ricerca, sentito il Ministro per la semplificazione e la pubblica amministrazione, sono definiti i criteri e le modalità per la realizzazione e la distribuzione della Carta, le funzionalità di pagamento, nonché le informazioni relative al curriculum dello studente come previsto dall'articolo 1, comma 28, della legge 13 luglio 2015, n. 107, senza nuovi o maggiori oneri per la finanza pubblica” (comma 5, ultimo periodo);

VISTO l’art. 1, comma 391, della legge 27 dicembre 2019, n. 160, il quale stabilisce che: “a decorrere dall'anno scolastico 2020/2021, gli studenti censiti nell'Anagrafe nazionale studenti frequentanti le scuole secondarie di secondo grado statali e paritarie che partecipano a programmi per la promozione della lettura critica e l'educazione ai contenuti informativi nell'ambito dell'istituzione scolastica di appartenenza possono concorrere, per il tramite delle medesime istituzioni scolastiche, all'assegnazione di un contributo per l'acquisto di abbonamenti a quotidiani o periodici, anche in formato digitale, accessibile mediante piattaforma di erogazione voucher in forma virtuale associata alla Carta dello Studente IoStudio, di cui all'articolo 10 del decreto legislativo 13 aprile 2017, n. 63”;

VISTO il decreto del Ministro dell’Istruzione del 30 settembre 2021 n. 292 recante “Definizione dei criteri e delle modalità di realizzazione e distribuzione della Carta dello Studente denominata “IoStudio” ai sensi dell’articolo 10, comma 5, ultimo periodo, del decreto legislativo 13 aprile 2017, n. 63” che definisce la predetta Carta come “tessera nominativa cui sono associate funzionalità volte ad agevolare l'accesso degli studenti a beni e servizi di natura culturale, servizi per la mobilità nazionale e internazionale, ausili di natura tecnologica e multimediale per lo studio e per l'acquisto di materiale scolastico, allo scopo di garantire e supportare il diritto allo studio” (art. 1) attribuita, “su richiesta, agli studenti della scuola secondaria di secondo grado statale e paritaria e agli studenti frequentanti i percorsi di istruzione e formazione professionale (di seguito “IeFP”) sia nella forma di una tessera nominativa attestante lo status di studente frequentante, sia nella forma di applicazione web” (art. 2) sul quale, con il provvedimento 30 settembre 2021, n. 359, il Garante ha espresso parere favorevole (doc. web n. 9713787);

VISTO, in particolare, l’art. 11 del richiamato decreto che stabilisce che “Il Ministero effettua prima del trattamento, ai sensi dell’art. 35 del Regolamento (UE) 2016/679, la valutazione di impatto sulla protezione dei dati personali trattati nell’ambito dell’iniziativa “Io Studio - Carta dello Studente e la sottopone alla verifica preventiva del Garante della protezione dei dati personali, nella quale vengono individuate, tra l’altro, le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, nonché a tutela dei diritti e delle libertà degli interessati, nonché le modalità di trattamento e i tempi di conservazione dei dati”

VISTA la nota del 17 gennaio 2022 da ultimo integrata e modificata con la nota del 26 aprile 2022 con la quale il Ministero dell’Istruzione ha trasmesso all’Autorità la valutazione d’impatto sulla protezione dei dati, di cui all’art. 35 del Regolamento, ai sensi del predetto art. 11;

RILEVATO che la valutazione di impatto  oltre a riportare i ruoli dei soggetti coinvolti – ossia il Ministero dell’Istruzione, titolare del trattamento, la società Postepay S.p.a., responsabile del trattamento per il servizio di stampa, imballaggio e spedizione delle carte e le società Enterprise Services Italia e Leonardo S.p.A., responsabili del trattamento per la gestione dell’applicazione web del Portale dello Studente di cui all’art. 5 del d.m. del 30 settembre 2021, sulla base dei compiti indicati nel citato decreto ministeriale - si occupa di analizzare i rischi relativi alla sicurezza dei dati, definire le misure di protezione dei diritti degli interessati e, conseguentemente, disporre l’adozione delle misure volte a mitigarli;

CONSIDERATO che la versione della valutazione di impatto da ultimo presentata al Garante è stata elaborata anche tenendo conto delle indicazioni fornite dall’Ufficio, nell’ambito delle interlocuzioni informali con i rappresentati del Ministero volte ad assicurare il rispetto del Regolamento, con particolare riferimento a:

- l’indicazione dei dati personali riguardanti gli studenti che il Ministero, in qualità di titolare del trattamento, acquisisce dall'Anagrafe Nazionale dello Studente, in relazione alle singole finalità di volta in volta perseguite;

- l’individuazione dei dati personali che il Ministero trasmette al fornitore incaricato della stampa, dell’imballaggio e della relativa spedizione della Carta presso gli istituti scolastici;

- l’individuazione dei tempi di conservazione e successiva cancellazione dei dati trattati dal Ministero e dai responsabili del trattamento in relazione alle finalità perseguite;

- la sicurezza e robustezza degli strumenti di autenticazione informatica e delle misure di conservazione delle credenziali;

- il richiamo alle misure per garantire la qualità dei dati dell’Anagrafe degli studenti (ANS);

- l’individuazione delle specifiche misure tecniche e organizzative previste a tutela dei diritti e delle libertà degli interessati in relazione ai trattamenti effettuati;

CONSIDERATO che il trattamento di dati personali effettuato nell’ambito dell’Iniziativa “Io Studio - Carta dello Studente” presenta rischi elevati per i diritti e le libertà degli interessati, in quanto coinvolge i dati personali di un elevato numero di interessati, la maggior parte dei quali di minore età, per consentire a tali soggetti la fruizione di agevolazioni nell’acquisto di beni o servizi, e che la valutazione di impatto sulla protezione dei dati effettuata dal Ministero, ai sensi dell’art. 35 del Regolamento, in coerenza con quanto stabilito nel d.m. del 30 settembre 2021 (cfr., in particolare, art. 11), individua, in relazione ai trattamenti ivi descritti, le misure tecniche e organizzative atte a garantire un livello di sicurezza adeguato al rischio, a tutela dei diritti e delle libertà degli interessati, nonché le modalità e le tempistiche circa la conservazione e successiva cancellazione dei dati;

RITENUTO, alla luce di quanto osservato, di non dover formulare ulteriori osservazioni sulla valutazione di impatto in esame e di autorizzare il Ministero a effettuare i trattamenti di dati personali ivi descritti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

TUTTO CIO’ PREMESSO, IL GARANTE

ai sensi dell’art. 11 del d.m. del Ministero dell’Istruzione del 30 settembre 2021 e degli artt. 36, par. 5 e 58, par. 3, lett. c) del Regolamento, non ha osservazioni da formulare in relazione alla valutazione d'impatto sulla protezione dei dati relativa all'iniziativa “Io Studio - Carta dello Studente” trasmessa dal Ministero dell’Istruzione e, pertanto, autorizza i trattamenti di dati personali ivi descritti.

Roma, 12 maggio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei