Ministero della pubblica istruzione
Dipartimento per l’istruzione

Prot.n. 45 / Dip./segr.

Roma, 07/03/2008

Oggetto: Divieto di pubblicazione dati sensibili nelle graduatorie ad esaurimento di circolo e di istituto.

Con nota di pari oggetto Prot. n. 2100 del 28 novembre 2005 la Direzione generale per il personale della scuola ha fornito, in base alle norme contenute nel D.lgs. 196/2003 (Codice privacy) e alle indicazioni del Garante per la protezione dei dati personali, puntuali indicazioni finalizzate ad evitare la pubblicazione sia dei dati personali sensibili degli aspiranti inseriti nelle graduatorie ad esaurimento, di circolo e di istituto, sia dei dati personali diversi da quelli sensibili e giudiziari non indispensabili per le finalità del trattamento.

Nonostante la chiarezza delle indicazioni contenute nella nota sopra richiamata, giungono a questo Dipartimento numerose segnalazioni che denunciano la presenza nelle graduatorie di dati personali non necessari e non pertinenti, nonché di dati sensibili anche relativi alla salute (ad esempio: stato di invalidità, patologie emergenti dalla documentazione ex legge 104/1992, ecc.) la cui diffusione, oltre a non essere indispensabile per le finalità del trattamento, non è consentita né dal Codice privacy né dal Decreto. del Ministro della Pubblica Istruzione 7 dicembre 2006, n. 305 (Regolamento sul trattamento dei dati sensibili e giudiziari nelle istituzioni scolastiche e nell’amministrazione centrale e periferica del Ministero della Pubblica Istruzione – d’ora in poi "Regolamento privacy" -) che, nelle schede allegate allo stesso, individua, in relazione al contesto e processo lavorativo di riferimento, le tipologie di dati sensibili e giudiziari che possono emergere nell’ambito delle attività istituzionali dell’Amministrazione e delle istituzioni scolastiche, le operazioni su di essi effettuabili, i soggetti ai quali è possibile comunicare o diffondere i predetti dati.

Si ritiene pertanto necessario ritornare sull’argomento, richiamando ulteriormente l’attenzione, anche alla luce delle prescrizioni contenute nel citato Regolamento privacy, sulle modalità del trattamento e sui limiti alla diffusione al pubblico dei dati personali utili per la definizione delle graduatorie ad esaurimento, di circolo e di istituto, nonché sui rischi sanzionatori connessi a trattamenti non consentiti dalle vigenti norme.

In via preliminare si evidenzia che i dati personali possono essere trattati solo se pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti (art. 11 Codice privacy ).

Tale regola si applica a tutte le tipologie dei dati personali e, quindi, sia ai dati diversi da quelli sensibili e giudiziari (c.d. "dati comuni"), sia ai dati sensibili e giudiziari.

Per questi ultimi, l’art. 22 del Codice privacy prevede l’ulteriore requisito della "indispensabilità" del trattamento rispetto alle finalità perseguite nei singoli casi. In particolare, l’art. 22 comma 3 del Codice prescrive che i soggetti pubblici possono trattare solo i dati sensibili e giudiziari indispensabili per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa.

I principi generali del trattamento sopra menzionati (pertinenza, completezza, non eccedenza, indispensabilità) sono ribaditi ed ulteriormente esplicitati nell’art. 2 del richiamato Regolamento privacy.

Premesso quanto sopra, di seguito si sintetizzano le modalità di trattamento e comunicazione/diffusione dei dati personali, con particolare riferimento alle graduatorie ad esaurimento, di circolo e di istituto.

Fermo restanti i sopra menzionati principi di pertinenza, completezza, non eccedenza rispetto alle finalità ( Art. 18 e 19 del codice):

1. è consentito il trattamento di tutti i dati personali diversi da quelli sensibili e giudiziari, forniti in forma completa dal Sistema Informativo e utili per i necessari adempimenti legati alle valutazioni dei punteggi, all’attribuzione delle preferenze, precedenze e delle riserve nonché alla reperibilità dei candidati;
2. non è consentita la pubblicazione, accanto ai dati strettamente necessari all’individuazione del candidato (nome, cognome, punteggio, posizione in graduatoria), di ulteriori dati, come, ad esempio, domicilio, recapito telefonico, poiché la conoscenza da parte di terzi dei dati in parola non è strettamente necessaria per raggiungere le finalità istituzionali sottese alla pubblicazione della graduatoria, né esistono nell’ordinamento specifiche norme che consentano la pubblicazione di dati comuni diversi da quelli necessari.

Fermo restanti i sopra menzionati principi di pertinenza, completezza, non eccedenza, indispensabilità rispetto alle finalità ( art. 20 e 22 del codice):

1. il trattamento da parte delle istituzioni scolastiche e degli Uffici scolastici provinciali, nell’ambito dei procedimenti e delle attività finalizzati alla elaborazione delle graduatorie, di dati personali sensibili riferiti allo stato di salute (es.: stato di invalidità, patologie emergenti dalla documentazione ex legge 104/1992, ecc.), è consentito nei limiti di quanto previsto nella Scheda nr. 1 allegata al Regolamento privacy e nel rispetto dei principi di indispensabilità: (Selezione e reclutamento a tempo indeterminato e determinato e gestione del rapporto di lavoro);
2. la diffusione al pubblico dei dati personali sensibili relativi allo stato di salute (es.: stato di invalidità, patologie emergenti dalla documentazione ex legge 104/1992, ecc.) è espressamente vietata dall’art. 22, comma 8 del Codice privacy ("i dati idonei a rivelare lo stato di salute non possono essere diffusi". Conseguentemente, il Regolamento privacy (Scheda nr. 1) non prevede tale possibilità, così come non prevede la possibilità di diffondere altri dati sensibili, la cui divulgazione, peraltro, sarebbe palesemente non indispensabile per le finalità del trattamento. Del pari non è consentita l’utilizzazione, nell’ambito di atti e documenti destinati alla diffusione, di sigle, codici o acronimi tali da rendere nota, anche indirettamente, l’esistenza di patologie riferite agli interessati.

La violazione dei principi e delle regole specifiche del trattamento individuati nel Codice privacy e nel Regolamento privacy possono avere rilevanti conseguenze sanzionatorie in sede amministrativa, civile e, qualora ne ricorrano le condizioni, anche in sede penale.

Si richiamano le principali sanzioni previste dal Codice privacy, applicabili nel caso di specie.

Responsabilità amministrativa

(Vedi in particolare l’ art. 161)

Responsabilità civile per i danni cagionati dal trattamento dei dati personali.
(Vedi in particolare l’articolo 15, Codice privacy.).

Responsabilità penale.


(Vedi in particolare gli articoli dal 167 al 172).

* * *

Attesa la delicatezza della materia e le previste sanzioni in caso di inosservanza delle disposizioni prima enunciate, si pregano le SS.LL. di voler dare la più ampia diffusione della presente nota a tutti gli Uffici scolastici provinciali e alle istituzioni scolastiche della Regione, sottolineando la necessità di attenersi scrupolosamente alle disposizioni contenute nella normativa vigente, sollecitando, altresì ove necessario, la rettifica tempestiva delle indicazioni non conformi contenute nelle graduatorie eventualmente già pubblicate e accertando che vengano eliminati i dati sulla salute e quelli non pertinenti. Sugli interventi posti in essere si invitano le SS.LL. a dare tempestiva informazione ed assicurazione alla competente Direzione per il personale scolastico.

Si ritiene infine opportuno raccomandare, vista anche l’obbligatorietà ai sensi del punto 19 dell’allegato B del Codice privacy l’attivazione di specifici interventi informativi e formativi nei confronti degli operatori scolastici e del personale degli Uffici scolastici regionali e provinciali.

IL CAPO DIPARTIMENTO
f.to Giuseppe Cosentino

Ai Direttori generali degli Uffici Scolastici regionali
Al Direttore Generale per il personale scolastico
Al Direttore generale per i sistemi informativi
e,p.c. Al Gabinetto dell’On.le Ministro
Al Capo Dipartimento per la programmazione
Al Direttore generale per le risorse umane
Ai Direttori Generali Centrali
Al Garante per la protezione dei dati personali
Dipartimento libertà pubbliche e sanità
(all’attenzione del dott. Claudio Filippi)
Piazza Montecitorio 121, Roma