Parere Garante per la Protezione dei Dati Personali 31.08.2021, n. 9694010

Formula iniziale

Il Garante per la Protezione dei Dati Personali

Visto il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, "Regolamento generale sulla protezione dei dati" (di seguito "Regolamento");

Visto il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

Visto il Regolamento (UE) 2021/953 del Parlamento europeo e del Consiglio del 14 giugno 2021 su un quadro per il rilascio, la verifica e l'accettazione di certificati interoperabili di vaccinazione, di test e di guarigione in relazione alla COVID-19 (certificato COVID digitale dell'UE) per agevolare la libera circolazione delle persone durante la pandemia di COVID-19;

Visto il decreto-legge 22 aprile 2021, n. 52, convertito, con modificazioni, dalla legge 17 giugno 2021, n. 87, recante "Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da Covid-19", come, da ultimo, modificato dall'art. 1, comma 6, del decreto legge 6 agosto 2021, n. 111, recante "Misure urgenti per l'esercizio in sicurezza delle attività scolastiche, universitarie, sociali e in materia di trasporti", che ha introdotto l'art. 9-ter ("Impiego delle certificazioni verdi COVID-19 in ambito scolastico e universitario");

Visto il decreto del Presidente del Consiglio dei ministri del 17 giugno 2021 recante "Disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19»";

Visto il provvedimento n. 229 del 9 giugno 2021 (doc. web n. 9668064), con il quale il Garante ha reso il parere sul predetto schema di decreto del Presidente del Consiglio dei ministri di attuazione della Piattaforma nazionale-DGC per l'emissione, il rilascio e la verifica del Green Pass;

Visto l'art. 9-ter del citato decreto-legge 22 aprile 2021, n. 52, il quale prevede che: "Dal 1° settembre 2021 e fino al 31 dicembre 2021, termine di cessazione dello stato di emergenza, al fine di tutelare la salute pubblica e mantenere adeguate condizioni di sicurezza nell'erogazione in presenza del servizio essenziale di istruzione, tutto il personale scolastico del sistema nazionale di istruzione e universitario, nonché gli studenti universitari, devono possedere e sono tenuti a esibire la certificazione verde COVID-19 di cui all'articolo 9, comma 2" (comma 1);

"Il mancato rispetto delle disposizioni di cui al comma 1 da parte del personale scolastico e di quello universitario è considerato assenza ingiustificata e a decorrere dal quinto giorno di assenza il rapporto di lavoro è sospeso e non sono dovuti la retribuzione né altro compenso o emolumento, comunque denominato" (comma 2);

"Le disposizioni di cui al comma 1 non si applicano ai soggetti esenti dalla campagna vaccinale sulla base di idonea certificazione medica rilasciata secondo i criteri definiti con circolare del Ministero della salute" (comma 3);

"I dirigenti scolastici e i responsabili dei servizi educativi dell'infanzia nonché delle scuole paritarie e delle università sono tenuti a verificare il rispetto delle prescrizioni di cui al comma1. Le verifiche delle certificazioni verdi COVID-19 sono effettuate con le modalità indicate dal decreto del Presidente del Consiglio dei ministri adottato ai sensi dell'articolo 9, comma 10. Con circolare del Ministro dell'istruzione possono essere stabilite ulteriori modalità di verifica. Con riferimento al rispetto delle prescrizioni di cui al comma 1 da parte degli studenti universitari, le verifiche di cui al presente comma sono svolte a campione con le modalità individuate dalle università" (comma 4);

"La violazione delle disposizioni di cui ai commi 1 e 4 è sanzionata ai sensi dell'articolo 4 del decreto-legge 25 marzo 2020, n. 19, convertito, con modificazioni, dalla legge 22 maggio 2020, n. 35. Resta fermo quanto previsto dall'articolo 2, comma 2-bis, del decreto-legge 16 maggio 2020, n. 33, convertito, con modificazioni, dalla legge 14 luglio 2020, n. 74" (comma 5);

Vista la nota del 26 agosto 2021, come integrata con la nota del 27 agosto 2021, con la quale il Ministero dell'istruzione ha trasmesso lo schema di decreto del Presidente del Consiglio dei ministri, da adottare di concerto con il Ministro della salute, il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro dell'economia e delle finanze, concernente "Misure recanti modifiche ed integrazioni alle disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19» di cui al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021", corredato del relativo allegato tecnico (allegato G) che ne costituisce parte integrante, al fine di acquisire il prescritto parere del Garante ai sensi del Regolamento;

Considerato che il predetto schema di decreto si compone di un articolo che introduce modalità semplificate di verifica del possesso delle certificazioni verdi COVID 19 da parte del personale scolastico, alternative a quelle ordinarie attraverso l'app VerificaC19, prevedendo, in particolare:

il coordinamento normativo con quanto previsto dal d.l. n. 111/2021 (comma 1);

l'introduzione di uno specifico allegato tecnico al citato d.P.C.M. del 17 giugno 2021 concernente "Modalità di interazione tra il Sistema informativo dell'istruzione-Sidi e la Piattaforma nazionale-DGC per il controllo semplificato del possesso della certificazione verde Covid-19 da parte del personale scolastico" (commi 2 e 7);

la realizzazione di un'apposita funzionalità della Piattaforma nazionale-DGC che, attraverso il Sistema informativo dell'istruzione-Sidi, consente agli Uffici scolastici regionali e alle scuole statali del sistema nazionale di istruzione la verifica quotidiana del possesso delle certificazioni verdi COVID-19 in corso di validità, stabilendo che la stessa sia effettuata prima dell'accesso del personale interessato nella sede ove presta servizio e precisando altresì che la predetta attività di verifica, con riguardo ai dirigenti scolastici, sia svolta dall'Ufficio scolastico regionale competente (commi 3, 4 e 5);

l'individuazione del ruolo assunto dai diversi soggetti che, a vario titolo, trattano i dati del personale scolastico interessato nell'ambito delle attività di verifica previste dalla legge mediante la nuova funzionalità della Piattaforma nazionale-DGC (comma 6);

Considerato che lo schema di decreto in esame tiene conto delle interlocuzioni intercorse con l'Ufficio del Garante al fine di assicurare sia il corretto adempimento degli obblighi, per il personale scolastico, derivanti dal citato art. 9-ter del decreto-legge 22 aprile 2021, n. 52, sia il rispetto della disciplina di protezione dei dati personali e della disciplina di settore, europea e nazionale, in materia di certificazioni verdi;

Considerato, in particolare, che lo schema di decreto in esame, - tenuto conto che, in base al richiamato quadro normativo, le amministrazioni scolastiche, in qualità di datori di lavoro, devono limitarsi a verificare il mero possesso della certificazione verde COVID-19 da parte del personale scolastico, - assicura la conformità alle disposizioni nazionali, più specifiche e di maggior tutela, che garantiscono la dignità e la libertà degli interessati sui luoghi di lavoro (art. 88 del Regolamento, art. 113 del Codice in relazione all'art. 8 della l. 20 maggio 1970, n. 300, e all'art. 10 del d.lgs. 10 settembre 2003, n. 276), anche alla luce delle indicazioni fornite nel tempo dal Garante in materia (v., da ultimo, provvedimento di avvertimento nei confronti della Regione Siciliana del 22 luglio 2021, n. 273, doc. web n. 9683814, ma anche, più in generale, provvedimento n. 198 del 13 maggio 2021 - Documento di indirizzo "Vaccinazione nei luoghi di lavoro: indicazioni generali per il trattamento dei dati personali", doc. web n. 9585300, documento di indirizzo "Protezione dei dati - Il ruolo del medico competente in materia di sicurezza sul luogo di lavoro, anche con riferimento al contesto emergenziale", doc. web n. 9585367, e FAQ in materia di "Trattamento di dati relativi alla vaccinazione anti Covid-19 nel contesto lavorativo", doc. web n. 9543615);

Considerato, più nel dettaglio, che lo schema in esame tiene conto delle indicazioni fornite dall'Ufficio, nell'ambito delle interlocuzioni informali e delle riunioni, aventi carattere d'urgenza, con i rappresentati del Ministero dell'istruzione e del Ministero della salute, volte ad assicurare il rispetto del Regolamento, del Codice e delle richiamate norme di settore, sulla base di una corretta individuazione e valutazione dei rischi elevati che caratterizzano il trattamento in esame nel contesto lavorativo, garantendo, in particolare, che:

siano trattati, in relazione alla specifica finalità del trattamento di cui all'art. 9-ter, commi 1 e 4, del d.l. n. 52/2021, esclusivamente i dati necessari alla verifica del possesso della certificazione verde COVID-19 in corso di validità, consentendo di rispettare i principi di liceità, correttezza e trasparenza, di limitazione della finalità, di minimizzazione, nonché della protezione dei dati fin dalla progettazione e per impostazione predefinita (artt. 5, par. 1, lett. a), b) e c), 25 e 88 del Regolamento e art. 113 del Codice), prevedendo che:

i) la Piattaforma nazionale-DGC consenta ai soggetti tenuti ai controlli di visualizzare la sola informazione, di tipo booleano, relativa al possesso di una certificazione verde COVID-19 in corso di validità, evitando che il trattamento abbia a oggetto le ulteriori informazioni conservate, o comunque trattate, nell'ambito della Piattaforma nazionale- DGC (art. 1, comma 5, dello schema e paragrafi 3, 4 e 5 dell'allegato G allo schema);

ii) la verifica del possesso di una certificazione verde COVID-19 in corso di validità sia effettuata esclusivamente con riguardo al personale per cui è prevista l'effettiva presenza in servizio nel giorno della verifica, escludendo comunque il personale assente per specifiche causali (es. ferie, permessi, malattia, ecc.) (art. 1, comma 5, dello schema e paragrafi 3 e 4 dell'allegato G allo schema);

iii) i soggetti tenuti ai controlli possano utilizzare la predetta funzionalità esclusivamente per la finalità di verifica quotidiana del possesso delle certificazioni verdi COVID-19 del personale in servizio presso la singola istituzione scolastica, ai sensi del citato art. 9- ter, comma 1 (art. 1, comma 5, dello schema);

iv) a seguito dell'attività di verifica effettuata mediante la predetta funzionalità, i soggetti tenuti ai controlli possano raccogliere i dati strettamente necessari all'applicazione delle misure previste dal citato art. 9-ter ai commi 2 e 5 (art. 1, comma 5, dello schema);

v) il processo di verifica sia effettuato quotidianamente prima dell'accesso del personale nella sede ove presta servizio (art. 1, comma 5, dello schema e paragrafo 3 dell'allegato G allo schema);

le operazioni e le modalità di trattamento siano descritte accuratamente, con specifico riferimento alla messa a disposizione da parte del Ministero della salute delle informazioni relative alle certificazioni verdi COVID-19 in corso di validità del personale scolastico (dirigenti scolastici, docenti, personale ATA, a tempo indeterminato e determinato), in servizio presso le scuole statali del sistema nazionale di istruzione, al fine di assicurare un trattamento lecito, corretto e trasparente (artt. 5, par. 1, lett. a), 6 e 9 del Regolamento e art. 17-bis del d.l. 17 marzo 2020, n. 18);

il ruolo assunto dai soggetti coinvolti nel trattamento di dati personali in questione sia correttamente individuato, in relazione alla specifica finalità perseguita, anche al fine di assicurare la trasparenza nei confronti degli interessati, nonché consentire una chiara ripartizione degli obblighi e delle responsabilità previste dal Regolamento, chiarendo che i soggetti tenuti ai controlli (Uffici scolastici regionali e istituti scolastici statali) operano in qualità di titolari del trattamento e che il Ministero dell'istruzione, limitatamente alla funzionalità in questione, agisce in qualità di responsabile del trattamento per conto del Ministero della salute (artt. 5, par. 1, lett. a), e 2, 13, 14, 24, 28 e 29 del Regolamento);

il personale della scuola interessato al processo di verifica sia opportunamente informato dall'istituzione scolastica di appartenenza sul trattamento dei dati attraverso una specifica informativa, anche mediante comunicazione resa alla generalità del personale (artt. 5, par. 1, lett. a), 13 e 14 del Regolamento e art. 17-bis, comma 5, del d.l. 17 marzo 2020, n. 18);

siano adottate misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento (artt. 5, par. 1, lett. e) e f), 25, 32 e 88 del Regolamento e art. 113 del Codice), assicurando, in particolare, che:

i) i soggetti tenuti ai controlli possano accedere, in modo selettivo, ai soli dati del personale in servizio presso le istituzioni scolastiche di propria competenza (individuate mediante il codice meccanografico), che sono resi automaticamente disponibili dalla banca dati del Sistema informativo dell'istruzione (SIDI);

ii) le operazioni di verifica del possesso delle certificazioni verdi COVID-19 da parte dei soggetti tenuti ai controlli siano oggetto di registrazione in appositi log (conservati per dodici mesi), ad eccezione dell'esito delle singole verifiche relative al possesso o meno di una certificazione verde COVID-19 in corso di validità da parte di ciascun interessato;

la valutazione di impatto sulla protezione dei dati relativa ai trattamenti connessi all'emissione e alla verifica delle certificazioni verdi COVID-19 sia aggiornata, tenendo conto degli specifici rischi connessi al trattamento di dati personali in esame, effettuato su larga scala e concernente dati relativi alla salute di interessati vulnerabili (dipendenti), e avendo particolare attenzione alle possibili conseguenze discriminatorie, anche indirette, nel contesto lavorativo (artt. 35 e 88 del Regolamento);

Considerate le esigenze manifestate dal Ministero dell'istruzione di semplificare le attività di verifica del rispetto dell'obbligo del possesso della certificazione verde da parte del personale scolastico, che devono essere effettuate con cadenza quotidiana e nei confronti della medesima ampia platea di interessati (circa un milione) che svolgono la propria attività lavorativa presso le scuole statali del sistema nazionale d'istruzione, avvalendosi di un sistema informativo già esistente e accessibile da parte delle singole istituzioni scolastiche, in alternativa alle ordinarie modalità di verifica delle certificazioni verdi COVID-19 attraverso l'app VerificaC19, a cui si affianca.

Ritenuto di non dover formulare ulteriori osservazioni sullo schema di decreto da ultimo trasmesso, atteso che le indicazioni fornite con carattere d'urgenza dall'Ufficio del Garante sono state tenute in debita considerazione;

Ritenuto di adottare il presente parere, in via d'urgenza, in ragione della rappresentata esigenza di assicurare, in vista dell'imminente avvio dell'anno scolastico, un più efficace ed efficiente processo di verifica del possesso delle certificazioni verdi COVID-19 nell'ambito scolastico statale;

Ritenuto quindi che ricorrano i presupposti per l'applicazione dell'art. 5, comma 8, del Regolamento n. 1/2000 sull'organizzazione e il funzionamento dell'ufficio del Garante, il quale prevede che "Nei casi di particolare urgenza e di indifferibilità che non permettono la convocazione in tempo utile del Garante, il Presidente può adottare i provvedimenti di competenza dell'organo, i quali cessano di avere efficacia sin dal momento della loro adozione se non sono ratificati dal Garante nella prima riunione utile, da convocarsi non oltre il trentesimo giorno";

Vista la documentazione in atti;

Tutto ciò premesso, il Garante

Ai sensi dell'art. 58, par. 3, lett. c), del Regolamento, esprime parere favorevole sullo schema di decreto del Presidente del Consiglio dei Ministri, da adottare di concerto con il Ministro della salute, il Ministro per l'innovazione tecnologica e la transizione digitale e il Ministro dell'economia e delle finanze, concernente "Misure recanti modifiche ed integrazioni alle disposizioni attuative dell'articolo 9, comma 10, del decreto-legge 22 aprile 2021, n. 52, recante «Misure urgenti per la graduale ripresa delle attività economiche e sociali nel rispetto delle esigenze di contenimento della diffusione dell'epidemia da COVID-19» di cui al decreto del Presidente del Consiglio dei ministri del 17 giugno 2021".