E’ frequente la richiesta più o meno dettagliata di elenchi degli alunni da parte di altre Amministrazioni Pubbliche (Comune, Provincia, ASL, ecc.)
Il Garante per la protezione dei dati personali, nel “Manuale RPD” emanato per guidare e supportare i Responsabili della Protezione dei Dati nei settori pubblici e parapubblici, individua tre tipologie di soggetti esterni che possono entrare in contatto con i dati personali dell’Amministrazione:
- organizzazioni (sorelle/madri/figlie) con le quali il titolare ha legami formali nell’ambito dell’organizzazione complessiva dell’attività amministrativa;
- autorità pubbliche che appartengono ad altre categorie gerarchiche;
- fornitori che agiscono quali responsabili del trattamento ex art. 28 del GDPR.
Ad esempio, possono esserci rapporti tra istituzioni scolastiche e quelle (che non rientrano nelle organizzazioni gerarchicamente considerabili come sorelle/madri/figlie) dedicate al welfare , o quelle di polizia, oppure tra autorità scolastiche di un determinato paese con omologhe organizzazioni di un altro paese; n questo caso, i rapporti con tali enti sono (o dovrebbero essere) disciplinati da norme di legge o da altre intese o accordi formali.
Non abbiamo rinvenuto alcuna “norma di legge o, nei casi previsti dalla legge, di regolamento” che ci consenta l’acquisizione e la trasmissione dei dati richiesti (elenchi nominativi degli alunni), come previsto dall’art. 2/ter del D.Lgs. 101/2018, né siamo a conoscenza di altre intese o accordi formali.
Le opzioni sono le seguenti:
- sollecitare l’Ente richiedente ad indicare la fonte normativa che legittimerebbe il trasferimento dei dati.
- inviare una comunicazione agli interessati con le indicazioni che l’Ente richiedente vorrà fornire alla Scuola, per consentire l’invio dei dati da parte degli utenti in totale autonomia.
- La Scuola potrebbe altresì raccogliere i dati per conto dell’Ente richiedente, titolare del trattamento, ma quest’ultimo dovrebbe incaricare formalmente la Scuola come responsabile esterno del trattamento e fornire modulistica e informativa.
- inoltrare una richiesta di parere al Garante per la Protezione dei Dati Personali e attendere un riscontro positivo, ovvero un silenzio di 45 giorni da considerarsi quale assenso.
Le informazioni che possono essere liberamente inviate riguardano i dati aggregati anonimi relativi al numero totale dei soggetti (dati che non consentano in nessun caso l’individuazione di una persona fisica).
In caso di richieste reiterate sarebbe opportuno sollecitare il DPO dell’Amministrazione richiedente a prendere contatto con il DPO della Scuola.