Source: http://www.privacy.it/archivio/grupripareri200902.html
Timestamp: 2019-05-20 10:23:10+00:00

Document:
Parere 2/2009 - WP 160 sulla protezione dei dati personali dei minori - (Principi generali e caso specifico delle scuole)
GRUPPO DI LAVORO PER LA TUTELA DEI DATI EX ART. 29
Parere 2/2009 - WP 160
sulla protezione dei dati personalidei minori
(Principi generali e caso specificodelle scuole)
adottato l�11 febbraio 2009
1) – Contesto
Il presente parere riguarda la protezionedelle informazioni sui minori ed � essenzialmente rivolto a quanti negarantiscono i dati personali; nel contesto scolastico, gli insegnanti e leautorit� scolastiche. � inoltre destinato alle autorit� nazionali di controllodella protezione dei dati, cui compete monitorare il trattamento di quei dati.
Il presente documento si riconduceall�iniziativa generale della Commissione europea descritta nella comunicazione"Verso una strategia dell�Unione europea sui diritti dei minori" e,contribuendo a questo obiettivo generale, mira a rafforzare il dirittofondamentale dei minori alla protezione dei dati personali.
Il tema non � del tutto nuovo per ilgruppo di lavoro articolo 29, che ha gi� adottato vari pareri sull�argomento. Ipareri sul codice di condotta europeo della FEDMA (3/2003), sulla geolocalizzazione(5/2005) e sui visti e sui dati biometrici (3/2007) contengono principi oraccomandazioni al riguardo.
L�obiettivo del presente documento �affrontare la questione in maniera strutturata, definendo i principifondamentali applicabili (parte II) e illustrandoli in riferimento alle scuole(parte III).
Si � scelto di trattare dei datiscolastici perch� costituiscono uno dei settori pi� importanti della vita deiminori e una porzione significativa delle loro attivit� quotidiane.
Il settore � poi particolarmenterilevante visto il carattere sensibile della maggior parte dei dati trattatinelle istituzioni scolastiche.
2) – Scopo e ambito di applicazione
Il presente documento intende analizzarei principi generali che guidano la protezione dei dati dei minori e spiegarnela pertinenza nello specifico settore critico dei dati scolastici.
Suo scopo � identificare le questioniimportanti per la protezione dei dati dei minori in generale, e fornireorientamenti per coloro che operano nel settore.
Secondo i criteri definiti nei principalistrumenti internazionali, per minore si intende la persona di et� inferiore adiciotto anni, salvo che abbia raggiunto prima la maturit�1.
Il minore � un essere umano in sensoassoluto. Per questo, deve godere degli stessi diritti di chiunque altro,incluso il diritto alla protezione dei dati personali. La sua situazione � per�particolare e va considerata da due punti di vista, statico e dinamico.
Sotto il profilo statico, il minore � unapersona che non ha ancora raggiunto la maturit� fisica e psicologica. Sottoquello dinamico, � nella fase di sviluppo fisico e mentale che lo porter� adiventare adulto. I diritti del minore e il loro esercizio, compreso il dirittoalla protezione dei dati, devono potersi esprimere in modo che tenga conto dientrambe le prospettive.
Il presente parere si basa sullaconvinzione che l�istruzione e la responsabilit� sono strumenti fondamentaliper la protezione dei dati dei minori. Esso esamina i principi applicabili alsettore, che per lo pi� riguardano i diritti dei minori e saranno pertantoesaminati nel contesto della protezione dei dati.
Tutti questi principi sono sanciti neiprincipali strumenti internazionali vigenti, alcuni dei quali trattano deidiritti umani in generale, ma contengono anche norme specifiche sui minori. Ipi� importanti sono:
- la dichiarazione universale dei dirittidell'uomo del 10.12.1948 (articolo 25 e articolo 26, paragrafo 3);
- la convenzione europea per lasalvaguardia dei diritti dell'uomo e delle libert� fondamentali del 4.11.1950(articolo 8);
- la carta dei diritti fondamentalidell'Unione europea del 7.12.2000 (articolo 242).
Gli strumenti specificamente dedicati aidiritti dei minori sono:
- la dichiarazione di Ginevra sui dirittidel fanciullo del 1923;
- la convenzione ONU sui diritti delfanciullo del 20.11.1989;
- la convenzione n. 160 del Consigliod�Europa sull'esercizio dei diritti dei minori del 25.1.19963;
- la risoluzione del Parlamento europeo�Verso una strategia dell'Unione europea sui diritti dei minori� del 16.1.2008.
Naturalmente occorre tenere sempre contodella prospettiva generale della protezione dei dati personali, consacratadalle direttive sulla protezione dei dati (direttiva 95/46/CE del 24.10.95 edirettiva 2002/58/CE del 12.7.2002) e anche da altri strumenti4.
II – Principi fondamentali
A – Contesto generale
1) – Interesse superiore del minore
Il principio giuridico di base � quellodell�interesse superiore del minore5.
La ragion d'essere di questo principio �che una persona che non ha ancora raggiunto la maturit� fisica e psicologica habisogno di pi� protezione delle altre e il suo scopo � migliorare le condizionidei minori e rafforzarne il diritto allo sviluppo della personalit�.
Sono tenuti a rispettare tale principiotutti gli organi pubblici e privati che prendono decisioni riguardanti iminori, nonch� i genitori e gli altri rappresentanti legali dei minori, anchequando abbiano interessi in conflitto o il minore si faccia rappresentare.
Di norma, i rappresentanti del minoredevono applicare questo principio, tuttavia se sorge un conflitto tra gliinteressi del minore e quelli dei rappresentanti, la decisione spetta aigiudici o, se del caso, alle autorit� per la protezione dei dati.
2) – Protezione e cure necessarieper il benessere del minore
Il principio dell�interesse superiore delminore richiede un'appropriata valutazione della posizione di quest'ultimo. Ci�implica il riconoscimento di due premesse: primo, che l'immaturit� rende ilminore vulnerabile e che quindi occorre compensare tale situazione conprotezione e cure adeguate; secondo, che il minore pu� beneficiareeffettivamente del diritto allo sviluppo solo grazie all'assistenza o allaprotezione di organi o altre persone6.
L'obbligo di provvedere a tale protezionespetta alla famiglia, alla societ� e allo Stato.
� indubbio che a volte, per assicurare unlivello adeguato di cure, sia necessario che i dati personali dei minori sianotrattati in lungo e in largo e da pi� soggetti, soprattutto nei settoriassistenziali (istruzione, sicurezza sociale, sanit�, ecc.). Ci� non � tuttaviaincompatibile con una protezione adeguata e rafforzata dei dati in talisettori, sebbene vada usata molta cautela nel condividere i dati dei minori.Tale condivisione in effetti pu� far perdere di vista il principio di finalit�(limitazione della finalit�) e comportare il rischio che vengano elaboratiprofili senza tener conto del principio di proporzionalit�.
3) – Diritto al rispetto della vitaprivata
Il minore � una persona e in quanto taleha diritto al rispetto della vita privata.
Ai sensi dell'articolo 16 dellaconvenzione ONU sui diritti del fanciullo, nessun minore pu� essere oggetto diinterferenze arbitrarie o illegali nella vita privata, nella famiglia, neldomicilio o nella corrispondenza, n� di affronti illegali al suo onore e allasua reputazione7.
Il diritto al rispetto della vita privatadeve essere osservato da chiunque, compresi i rappresentanti del minore.
4) – Rappresentanza
Per poter esercitare molti dei suoidiritti, il minore deve essere rappresentato. Ci� non significa tuttavia che ilrappresentante goda di uno status di priorit� assoluta e incondizionatarispetto al minore – talvolta infatti l'interesse superiore del minorepu� conferirgli diritti alla protezione dei dati che possono prevalere sullevolont� di genitori o altri rappresentanti. L'obbligo di rappresentanza nonesclude poi che a partire da una certa et� il minore debba essere consultatosulle questioni che lo riguardano.
Se il rappresentante autorizza il trattamentodei dati di un minore, questi, una volta raggiunta la maggiore et�, pu�revocare il consenso. Se invece vuole che il trattamento continui, deve dare ilproprio consenso esplicito ove richiesto.
Ad esempio, se il rappresentante haacconsentito esplicitamente a che il minore (l'interessato) partecipi a unasperimentazione clinica, una volta che il minore ha acquisito la capacit� diagire, il responsabile del trattamento deve assicurarsi che sussista una validabase per trattare i dati personali dell'interessato. In particolare, affinch�la sperimentazione possa continuare, deve ottenere il consenso esplicitodell'interessato.
A questo proposito va ricordato che ildiritto alla protezione dei dati appartiene al minore e non al rappresentante,che si limita a esercitarlo.
5) – Interessi concorrenti: vitaprivata e interesse superiore del minore
Il principio dell�interesse superiore pu�svolgere un duplice ruolo. In primo luogo, garantisce che la vita privata delminore sia protetta al meglio, rendendo effettivo, per quanto possibile, ildiritto alla protezione dei dati del minore. Si possono tuttavia verificaresituazioni in cui tale principio risulta incompatibile con il diritto alrispetto della vita privata del minore. In tali casi, il diritto alla protezionedei dati pu� soccombere dinanzi al principio dell'interesse superiore.
Ci� vale soprattutto per i dati medici,quando, ad esempio, i servizi di assistenza devono ottenere informazioni neicasi di abuso o abbandono di minori. Analogamente, gli insegnanti possonocomunicare i dati personali di un minore agli assistenti sociali per tutelarlofisicamente o psicologicamente.
In casi estremi, il principiodell�interesse superiore del minore pu� essere in conflitto con il requisitodel consenso dei rappresentanti del minore. Anche in queste situazioni prevalel'interesse superiore del minore – ad esempio se ne � in giocol'integrit� mentale o fisica.
6) – Adeguamento al grado dimaturit� del minore
Poich� il minore � una persona in pienosviluppo, l'esercizio dei diritti – compreso quello alla protezione deidati – deve essere adeguato al suo livello di sviluppo fisico epsicologico. Il minore, per giunta, ha diritto allo sviluppo8. Ilmodo in cui gli ordinamenti giuridici affrontano la questione varia da unoStato all'altro, ma in qualunque societ� il minore deve essere trattato secondoil suo grado di maturit�9.
Per quanto riguarda il consenso, lesoluzioni vanno dalla mera consultazione del minore al consenso parallelo delminore e del rappresentante, fino al consenso esclusivo del minore gi� maturo.
7) – Diritto alla partecipazione
I minori a poco a poco acquisiscono lacapacit� di contribuire alle decisioni che li riguardano. Man mano che cresconodevono partecipare pi� regolarmente all'esercizio dei loro diritti, inclusoquello alla protezione dei dati10.
Il primo grado del diritto allapartecipazione � il diritto ad essere consultati.
L'obbligo di consultazione impone ditenere conto del parere del minore, senza tuttavia esserne necessariamentevincolati11.
Quando per� il minore diventasufficientemente capace, la sua partecipazione pu� aumentare e portare adecisioni congiunte o autonome.
Il diritto alla partecipazione pu�applicarsi in vari settori: geolocalizzazione, uso delle immagini dei minori,ecc.
B – Dal punto di vista dellaprotezione dei dati
1) – Campo di applicazione delquadro normativo vigente in materia di protezione dei dati
Le direttive sulla protezione dei dati,ossia la 95/46/CE e la 2002/58/CE, non prevedono esplicitamente il diritto alrispetto della vita privata dei minori. Esse si applicano a tutte le personefisiche, ma non contengono disposizioni specifiche per questioni peculiaririguardanti i minori. Ci� non significa per� che i minori non godano deldiritto al rispetto della vita privata ed esulino dal campo di applicazionedelle due direttive, le quali, per l'appunto, come risulta dai rispettivitesti, si applicano a qualsiasi "persona fisica", quindi anche aiminori.
Dato il limitato campo di applicazionepersonale e materiale delle direttive, restano in sospeso svariate questionisulla tutela della vita privata dei minori nell'attuale quadro normativo, inquanto la maggior parte delle disposizioni non tiene direttamente conto dellepeculiarit� della vita dei minori. I problemi sorgono in relazione al grado dimaturit� individuale del minore e al requisito della rappresentanza per gliatti giuridici.
La necessit� di proteggere i dati deiminori deve tenere conto di due importanti aspetti: primo, i diversi gradi dimaturit� che determinano quando il minore pu� cominciare a gestire i propridati; secondo, la misura in cui i rappresentanti hanno diritto di rappresentareil minore quando la comunicazione dei dati personali rischia di pregiudicarnel'interesse superiore. Di seguito si esaminer� come applicare al meglio lenorme del quadro normativo vigente per garantire una tutela adeguata edefficace della vita privata dei minori.
2) – Principi della direttiva95/46/CE
a) Qualit� dei dati
I principi generali sulla qualit� deidati enunciati nella direttiva 95/46/CE devono essere opportunamente adattatiai minori, il che comporta le seguenti conseguenze.
a.1) Lealt�
Quando i dati personali si riferiscono aun minore, l'obbligo di trattarli conformemente al principio di lealt�(articolo 6, paragrafo 1, lettera a)) va interpretato rigorosamente. Ilresponsabile del trattamento deve essere consapevole del fatto che il minorenon � ancora una persona del tutto matura, e deve agire con la massima buonafede quando ne tratta i dati.
a.2) Proporzionalit� e pertinenza deidati
Il principio di cui all'articolo 6,paragrafo 1, lettera c), della direttiva 95/46/CE stabilisce che possono essererilevati e trattati solo i dati adeguati, pertinenti e non eccedenti rispettoalle finalit�.
Nell'applicare tale principio iresponsabili del trattamento devono prestare particolare attenzione allasituazione del minore, di cui devono rispettare sempre l'interesse superiore.
Ai sensi dell'articolo 6, paragrafo 1,lettera d), della direttiva 95/46/CE, i dati devono essere "esatti e,se necessario, aggiornati; devono essere prese tutte le misure ragionevoli percancellare o rettificare i dati inesatti o incompleti rispetto alle finalit�per le quali sono rilevati o sono successivamente trattati, cancellati orettificati".
Considerato che il minore � in costantesviluppo, i responsabili del trattamento devono rispettare scrupolosamentel'obbligo di mantenere aggiornati i dati personali del minore.
a.3) Conservazione dei dati
A questo riguardo occorre tenere contodel "diritto all'oblio" che tutela tutte le persone interessate daidati, soprattutto iminori. L'articolo 6, paragrafo 1, lettera e), della direttiva va applicato diconseguenza.
Poich� i minori sono in fase di sviluppo,i loro dati cambiano e possono diventare rapidamente obsoleti e irrilevantirispetto alle finalit� iniziali della raccolta. In tal caso non devono pi�essere conservati.
b) Legittimit�
La direttiva 95/46/CE sancisce i principifondamentali in materia di protezione dei dati che gli Stati membri devonorispettare e attuare. Per quanto riguarda il diritto al rispetto della vitaprivata dei minori, rivestono particolare importanza gli articoli 7 e 8 cheenunciano i criteri di legittimit� del trattamento dei dati.
Innanzitutto, il trattamento pu� essereautorizzato se l'interessato ha manifestato il proprio consenso univoco. Ilsignificato del termine "consenso" � chiarito nell'articolo 2,lettera h), della direttiva.
In altre parole, il consenso deve essereinformato e libero. Tuttavia non � sempre obbligatorio. Il trattamento �infatti legittimo anche quando ricorrono altri requisiti ai sensi dell'articolo7, lettere da b) a f); ad esempio il trattamento pu� essere autorizzato allafirma di un contratto.
Qualora i rappresentanti violino laprivacy del minore vendendo o pubblicando i suoi dati, sorge il problema dicome tutelare il diritto al rispetto della vita privata del minore che non siaconsapevole della violazione. Il minore necessita di un tutore, ma in casi comequesto non pu� esercitare il suo diritto. Se � sufficientemente maturo perrendersi conto della violazione deve essergli data la possibilit� di essereascoltato dalle autorit� competenti, comprese le autorit� per la protezione deidati.
Tra le altre condizioni che rendonolegittimo il trattamento dei dati a norma dell'articolo 7 della direttiva,vanno rispettati anche i principi dell'interesse superiore del minore e dellarappresentanza. A una certa et�, ad esempio, il minore � giuridicamente capacedi assumere obblighi contrattuali, ad esempio in materia di lavoro. Tuttavia,tali contratti sono validi solo se a dare il consenso – ove obbligatorioper legge – sono i rappresentanti. Prima di concludere il contratto, odurante la sua esecuzione, l'altra parte pu� essere interessata a raccoglieredati sul minore in quanto prestatore di lavoro.
I rappresentanti facilitano iltrattamento dei dati dando il loro consenso. I genitori o i tutori devonodecidere in base all'interesse superiore del minore. Tenendo conto del modo incui la comunicazione dei dati rischia di violare la privacy o contravvenireagli interessi vitali del minore, ad esempio non comunicando dati sanitari.Esistono altri settori in cui perfino i minori sono autorizzati a decidereindipendentemente dai loro rappresentanti.
Per quanto attiene alla condizione di cuiall'articolo 7, lettera e), va osservato che il principio dell'interessesuperiore del minore pu� qualificarsi anche come interesse pubblico. � il caso,ad esempio, dei servizi di assistenza per minori che devono accedere ai datipersonali del minore per potersene occupare. Le disposizioni della direttivapossono pertanto applicarsi direttamente a tali circostanze.
Si pone tuttavia il problema di stabilirese i minori che in alcuni casi possono concludere atti giuridici senza ilconsenso dei loro rappresentanti (se godono di diritti parziali) possano ancheacconsentire validamente al trattamento dei loro dati.
In base alla normativa locale vigente, alminore � riconosciuta tale facolt� in caso di matrimonio, lavoro subordinato,questioni religiose, ecc. In altri casi la validit� del consenso del minore pu�essere subordinata all'assenza di obiezioni del rappresentante.
� inoltre chiaro che va tenuto conto dellivello di maturit� fisica e psicologica dell'interessato, e del fatto che apartire da una certa et� questi � in grado di esprimere giudizi sulle questioniche lo riguardano. Ci� pu� essere importante quando il rappresentante non �d'accordo con il minore ma questi � sufficientemente maturo per decidere nelproprio interesse, ad esempio, in ambito medico o sessuale. Non vanno poidimenticati i casi in cui l'interesse superiore del minore limita o addiritturaprevale sul principio di rappresentanza, che anzi meritano un esame pi�approfondito.
La condizione di legittimit� pi� ampiariguarda l'interesse legittimo del responsabile del trattamento oppure delterzo cui vengono comunicati i dati (articolo 7, lettera f)), purch� che nonprevalgano l'interesse o i diritti e le libert� fondamentali dell'interessato.Nel soppesare gli interessi in gioco occorre considerare con attenzione lostatus del minore quale persona interessata, usando sempre il suo interessesuperiore come parametro.
L'articolo 17 della direttiva 95/46/CEstabilisce che "[g]li Stati membri dispongono che il responsabile deltrattamento deve attuare misure tecniche ed organizzative appropriate al finedi garantire la protezione dei dati personali dalla distruzione accidentale oillecita, dalla perdita accidentale o dall'alterazione, dalla diffusione odall'accesso non autorizzati" e precisa che "[t]ali misure devono garantire, tenutoconto delle attuali conoscenze in materia e dei costi dell'applicazione, unlivello di sicurezza appropriato rispetto ai rischi presentati dal trattamento ealla natura dei dati da proteggere."
I dati dei minori meritano precauzioni eattenzioni adeguate. Le misure di sicurezza devono essere adeguate alle lorocondizioni. Si ricorda che un minore tende ad essere meno consapevole di unadulto dei rischi che corre.
d.1) Diritto ad essere informati
Il requisito del consenso previsto dalladirettiva va beninteso di pari passo con l'obbligo di informare adeguatamentegli interessati (articoli 10, 11 e 14).
Il gruppo di lavoro si � gi� espresso suirequisiti di informazione in vari documenti, in particolare, il parere sullamaggiore armonizzazione della fornitura di informazioni (WP 100) e laraccomandazione relativa ai requisiti minimi per la raccolta di dati on-linenell'Unione europea (WP 43), di cui sarebbe opportuno tenerne conto in quantoforniscono orientamenti chiari.
Nell'informare i minori o i lororappresentanti, � bene optare per messaggi strutturati, redatti in unlinguaggio semplice, conciso e pedagogico, facilmente comprensibile. Un brevemessaggio dovrebbe contenere le informazioni di base da fornire al momentodella raccolta dei dati personali presso l'interessato o un terzo (articoli 10e 11), e parallelamente, magari tramite un hyperlink, andrebbero fornite, neldettaglio, tutte le informazioni per esteso.
I destinatari delle informazioni devonoessere (sempre) i rappresentanti e, una volta che avr� raggiunto una capacit�adeguata, anche il minore.
Per le informazioni pubblicate on-linevalgono requisiti speciali.
Come rilevato dal gruppo di lavoro nellaraccomandazione sul trattamento dei dati online, � fondamentale che leinformazioni compaiano nel posto e al momento giusti, ossia direttamente sulloschermo prima della raccolta dei dati. Oltre ad essere richiesta dalla direttiva,questa misura � particolarmente importante per sensibilizzare i minori airischi e pericoli delle attivit� on-line. Si pu� infatti affermare che nelmondo virtuale, a differenza di quello reale, questa � l'unica occasione chehanno i minori di essere messi in guardia contro tali pericoli.
d.2) Diritto di accesso
Di norma il diritto di accesso �esercitato dal rappresentante del minore, ma sempre nell'interesse diquest'ultimo. A seconda del grado di maturit� del minore, pu� essere esercitatoal suo posto o assieme a lui. In alcuni casi il minore pu� essere autorizzatoad esercitare il diritto da solo.
Quando sono in gioco dirittipersonalissimi (ad esempio, in ambito sanitario), il minore pu� addiritturachiedere al medico di non comunicare i dati sanitari ai rappresentanti.
� il caso, ad esempio, dell'adolescenteche abbia comunicato dati relativi alla sfera sessuale a un medico o a unservizio telefonico di assistenza, escludendo esplicitamente i rappresentanti.
Pu� anche essere il caso del minore chenon si fidi dei suoi rappresentanti e contatti il servizio di assistenza perminori perch�, ad esempio, si droga o ha pensieri suicidi.
Si pone il problema di stabilire se irappresentanti possano accedere a tali informazioni e se i minori si possano opporre.Per determinare se il diritto al rispetto della vita privata del minoreprevalga sul diritto di accesso dei rappresentanti, occorre ponderareattentamente gli interessi di tutte le parti coinvolte. In tale valutazionel'interesse superiore del minore ha particolare rilievo.
Nel caso dei dati sanitari, il parere delmedico pu� essere utile per valutare se sia opportuno di consentire airappresentanti di accedere ai dati.
Le pratiche nazionali possono fornirealtre indicazioni utili: nel Regno Unito, ad esempio, gli adolescenti di et�superiore a 12 anni possono esercitare il diritto di accesso da soli.
In molti paesi il diritto di accesso deirappresentanti ai dati delle adolescenti � limitato in caso di aborto.
In linea generale, fra i criteri per accedereai dati non figurer� soltanto l'et� del minore, ma anche se i dati siano statiforniti dai genitori o dal figlio – il che � un ulteriore indizio delgrado di maturit� e autonomia del minore.
d.3) Diritto di rettifica, cancellazioneo congelamento
Il diritto di accesso ha di per s� unvalore e un significato.
Pu� tuttavia anche essere un mezzo peresercitare il diritto di rettifica, cancellazione o congelamento di dati chenon sono corretti o aggiornati.
Per quanto riguarda l'esercizio di talediritto, valgono considerazioni analoghe a quelle descritte per il diritto diaccesso.
d.4) Diritto di opposizione
Ai sensi dell'articolo 14, lettera a),l'interessato ha il diritto – almeno nei casi di cui all'articolo 7,lettere e) e f) – di opporsi al trattamento di dati che lo riguardano permotivi preminenti e legittimi. Tali motivi possono essere quanto mai preminentiquando si tratta di minori. Va inoltre ricordato che l'interessato � in ognicaso autorizzato a opporsi al trattamento dei suoi dati personali a fini diinvio di materiale pubblicitario (articolo 14, lettera b)).
e) Notificazione
Infine � necessario ricordare l'obbligodi notificare il trattamento nei casi previsti dalla legge.
III – Contesto scolastico
Nella seguente sezione il parere illustracome sia possibile precisare i richiamati principi fondamentali riconducendolial contesto scolastico. La vita del minore si svolge infatti tanto a scuolaquanto in famiglia, � quindi naturale che sorgano questioni sulla protezionedei dati connesse alla vita scolastica del minore. Si tratta di questioni divaria natura, che affrontano problemi diversi.
1) – Fascicoli scolastici
Il problema della protezione dei dati deiminori (e talvolta dei loro familiari) pu� porsi rispetto ai fascicoli deglistudenti sin dall'iscrizione a scuola. In alcuni paesi, infatti, la leggeconsente alle autorit� scolastiche di creare dei fascicoli studenti con modulicontenenti dati personali, su supporto elettronico o di altro tipo.
Questi stessi moduli dovrebbero informarel'interessato della raccolta e del trattamento dei suoi dati personali, dellefinalit� del trattamento, dei responsabili del trattamento e delle modalit� diesercizio dei diritti di accesso e di rettifica, nonch�, se del caso, del fattoche i dati potranno essere comunicati a terzi.
b) Finalit� limitata e proporzionalit�
I dati personali possono essere inseritinei fascicoli studenti solo se necessario per le finalit� legittime perseguitedalle scuole, e non possono essere usati in modo incompatibile con talifinalit� (articolo 6, paragrafo 1, lettera b), della direttiva).
I dati richiesti non devono eccedere lefinalit� perseguite: ad esempio, i dati concernenti il titolo di studio deigenitori, la loro professione o situazione lavorativa non sono semprenecessari. I responsabili del trattamento devono valutare la reale necessit� ditali dati.
c) Non discriminazione
Alcuni dati contenuti nei moduli, comequelli relativi alla razza, allo status di immigrato o a determinatedisabilit�, potrebbero essere fonte di discriminazione.
In genere queste informazioni servonoalla scuola per conoscere le eventuali difficolt� culturali (ad esempiolinguistiche) o economiche degli alunni, e prestare loro la dovuta attenzione.
Il trattamento di tali informazioni deverispettare i principi dell'interesse superiore del minore e della finalit�limitata.
L'approccio deve essere particolarmenterigoroso per quanto riguarda la registrazione della religione del minore, cheva consentita solo se lo giustificano la natura della scuola (scuola religiosa)e le finalit� amministrative, e solo se strettamente necessario. Non possonoessere tratte conclusioni superflue sulla religione del minore se i dati sononecessari esclusivamente per fini amministrativi (ad esempio, partecipazione adun corso di religione o indicazione delle preferenze alimentari).
Anche le informazioni sul patrimonio esul reddito della famiglia del minore possono essere all'origine didiscriminazioni, ma possono essere trattate nell'interesse del minore, adesempio se i rappresentanti chiedono una borsa di studio o una riduzione delletasse scolastiche.
Tutti i dati che potrebbero causarediscriminazioni devono essere protetti da misure di sicurezza adeguate, qualiil trattamento in fascicoli distinti ad opera di personale qualificatovincolato dal segreto professionale, e altre misure appropriate.
Il consenso al trattamento di tutti idati suscettibili di originare discriminazioni deve essere chiaro e univoco.
d) Principio di finalit�
d.1) Comunicazione dei dati
In alcuni casi le autorit� scolastichecomunicano i nomi e gli indirizzi degli alunni a terzi, molto spesso per finicommerciali.
Pu� succedere che trasmettano dati abanche o societ� di assicurazioni il cui scopo � attrarre nuovi clienti, o checomunichino i dati degli studenti a rappresentanti politici localmente eletti.Queste sono violazioni del principio di finalit�, in quanto i dati destinati afinalit� scolastiche sono usati per obiettivi incompatibili.
Ai sensi dell'articolo 6, paragrafo 1,lettera b), della direttiva 95/46/CE, i dati dei minori non possono essereusati in modo incompatibile con le finalit� per le quali sono stati raccolti.
Il problema qui non � che i minori sianodestinatari di messaggi commerciali – che � invece un problema di tuteladei consumatori – bens� che vengano raccolti dati personali al fine diinviare, in un secondo momento, messaggi commerciali agli interessati. Taletrattamento deve essere sempre soggetto al previo consenso dei rappresentanti(e del minore, a seconda del suo grado di maturit�).
In tutti i casi in cui un'operazionecommerciale � considerata legittima e compatibile, � necessario che iltrattamento sia effettuato sempre nel modo meno intrusivo possibile.
Oltre alle condizioni menzionate sopra,se a richiedere i dati dei genitori o degli alunni � un terzo, per finicommerciali, la loro trasmissione deve essere sempre soggetta alla previainformazione e al previo consenso dei rappresentanti (e del minore, a secondadel suo grado di maturit�).
d.2) Accesso ai dati
I dati contenuti nei fascicoli studentisono strettamente riservati, conformemente al principio generale sancitonell'articolo 16 della direttiva 95/46/CE.
Il trattamento dei dati di naturaspeciale � soggetto a particolari requisiti di sicurezza.
Esempi di tali dati sono:
- i procedimenti disciplinari,
- la registrazione di casi di violenza,
- il trattamento sanitario a scuola,
- l'orientamento scolastico,
- l'insegnamento speciale per disabili,
- l'assistenza sociale per gli alunnimeno abbienti.
Il rappresentante dell'alunno (e l'alunnose � gi� maturo) deve avere accesso ai dati e tale accesso deve esseredisciplinato rigorosamente e limitato alle autorit� scolastiche, agli ispettoriscolastici, al personale sanitario, agli assistenti sociali e alle autorit� dipolizia e giudiziarie.
d.3) Risultati scolastici
Per quanto riguarda la pubblicazione deirisultati scolastici, le tradizioni variano a seconda del paese.
In alcuni paesi pubblicare i risultatiscolastici � una tradizione consolidata.
L'obiettivo della pubblicazione �permettere di confrontare i risultati e facilitare eventuali reclami o ricorsi.In questi sistemi le scuole devono osservare rigorosamente la legislazione delpaese e pubblicare solo il numero minimo di dati personali necessari perraggiungere l'obiettivo.
Nei paesi in cui vige la regola dellariservatezza dei risultati scolastici, questi possono essere comunicati alrappresentante e all'alunno che esercitano il diritto di accesso.
La pubblicazione � subordinata alconsenso dei rappresentanti (o anche dell'alunno, a seconda della suacapacit�).
Un problema particolare si pone quando irisultati scolastici sono pubblicati su Internet, che � un mezzo pratico dicomunicazione con gli interessati. Considerati i rischi che questo mezzocomporta, � necessario che l'accesso ai dati sia possibile solo con garanziespecifiche, ad esempio usando un sito web protetto o password personaliassegnate ai rappresentanti o agli alunni che siano gi� maturi.
Le modalit� di esercizio del diritto diaccesso saranno diverse a seconda del grado di maturit� del minore. � probabileche nella scuola primaria il diritto sia esercitato per lo pi� dairappresentanti, mentre nella scuola secondaria gli studenti saranno in grado diaccedere ai dati per conto loro.
d.4) Conservazione e cancellazione
Anche a questo contesto si applica ilprincipio per cui i dati non devono essere conservati oltre il tempo necessarioper conseguire le finalit� per le quali sono stati raccolti. Particolareattenzione pertanto meritano i dati dei fascicoli studenti che devono essereconservati per motivi didattici o professionali, e quelli che devono esserecancellati, ad esempio perch� si riferiscono a procedimenti e sanzionidisciplinari.
2) – Vita scolastica
Il problema di proteggere i datipersonali si pone in alcuni settori della vita scolastica quotidiana.
Esistono strumenti di controllo dellapopolazione scolastica, soprattutto degli alunni, che possono rivelarsiparticolarmente intrusivi.
Si tratta in particolare della raccoltadei dati biometrici e dell'uso di sistemi CCTV e RFID.
Il ricorso a tali strumenti di controllodeve essere sempre preceduto da una discussione approfondita tra insegnanti egenitori (o altri rappresentanti degli alunni), che tenga conto delle finalit�dichiarate e dell'adeguatezza degli strumenti proposti.
a) Dati biometrici – accesso ascuole e mense scolastiche
Negli ultimi anni sono aumentati icontrolli d'accesso nelle scuole, che possono comportare la raccoltaall'entrata di dati biometrici quali impronte digitali, iride o contorno dellamano. Talvolta tali sistemi risultano sproporzionati allo scopo e intrusivi.
In ogni caso, il principio diproporzionalit� deve applicarsi anche all'uso delle biometrie.
Si raccomanda vivamente che irappresentanti possano opporsi con facilit� all'uso dei dati biometrici delminore. Se i rappresentanti esercitano il diritto di opposizione, il minoredovrebbe ricevere un tesserino o un altro mezzo di accesso ai locali scolasticiinteressati.
b) Televisione a circuito chiuso (CCTV)
Cresce la tendenza, nelle scuole, a usaresistemi CCTV a fini di sicurezza. Non esiste una soluzione valida per tutti gliaspetti della vita scolastica e per tutti gli spazi delle scuole.
Poich� i sistemi CCTV possono incideresulle libert� personali, la loro installazione nelle scuole richiedeparticolari precauzioni. In altri termini, andrebbero autorizzati se necessarie se l'obiettivo non pu� essere raggiunto con altri mezzi disponibili menointrusivi.
In alcuni spazi la sicurezza � di capitaleimportanza per cui si giustifica pi� facilmente il ricorso a sistemi CCTV, adesempio all'entrata e all'uscita delle scuole e negli spazi in cui circolanopersone – non solo la popolazione scolastica, ma anche persone che perqualsiasi motivo possano trovarsi in una scuola.
La scelta di installare sistemi CCTV deveessere sempre pertinente, adeguata e non eccedere le finalit� del trattamento.In alcuni paesi, ad esempio, si � ritenuto adeguato rispetto ai principi dellaprotezione dei dati ricorrere a sistemi CCTV al di fuori dell'orarioscolastico.
D'altro canto, nella maggior parte deglialtri spazi scolastici il diritto al rispetto della vita privata degli alunni(e degli insegnanti e del restante personale scolastico) e la libert�fondamentale di insegnamento si oppongono all'esigenza di una sorveglianzapermanente con sistemi CCTV.
Ci� vale soprattutto per le aule, dove lavideosorveglianza pu� interferire non solo con la libert� di apprendimento e diparola degli studenti, ma anche con la libert� di insegnamento. Lo stessodicasi per gli spazi ricreativi, le palestre e gli spogliatoi, dove lasorveglianza pu� interferire con il diritto al rispetto della vita privata.
Queste osservazioni si basano inoltre suldiritto allo sviluppo della personalit�, di cui godono tutti i minori. Ineffetti i minori vanno sviluppando una concezione della loro libert� che pu�essere distorta se fin da piccoli considerano una cosa normale esseresorvegliati da sistemi CCTV, tanto pi� se per sorvegliare a distanza i minoridurante l'orario scolastico vengono usate webcam o apparecchi simili.
Ogni qualvolta i sistemi CCTV risultanogiustificati � necessario che, i minori, il resto della popolazione scolasticae i rappresentanti siano informati del fatto che � in corso una sorveglianza,che esiste un responsabile del trattamento e delle finalit� di talesorveglianza. Le informazioni destinate ai minori devono essere appropriate alloro livello di comprensione.
Va inoltre tenuto presente che gliinteressi da considerare non sono solo quelli degli alunni, ma anche quellidegli insegnanti e del restante personale scolastico. In alcuni paesi vigonoperfino norme sull'uso dei sistemi CCTV per sorvegliare i lavoratori12.
Le autorit� scolastiche devono esaminareregolarmente se il sistema CCTV si giustifica ed � pertinente, per decidere semantenerlo o meno. I rappresentanti dei minori devono essere informati diconseguenza.
c) Condizioni sanitarie
I dati sulle condizioni sanitarie deglialunni sono dati sensibili. Per questo motivo devono essere trattati nelrispetto dei principi sanciti nell'articolo 8 della direttiva.
Possono essere trattati solo da medici oda coloro che si occupano direttamente degli alunni, come gli insegnanti ealtro personale scolastico vincolato da segreto professionale.
Il trattamento dei dati di questo tipo �subordinato al consenso dei rappresentanti del minore o agli interessi vitalilegati alla vita scolastica o educativa.
d) Siti web scolastici
Un numero sempre maggiore di scuole creasiti web destinati agli studenti/alunni e alle loro famiglie, usandoli comestrumento principale per le comunicazioni esterne. Le scuole devono essereconsapevoli del fatto che la divulgazione di informazioni personali richiedeun'osservanza pi� rigorosa dei principi fondamentali sulla protezione dei dati,in particolare dei principi di proporzionalit� e di minimizzazione dei dati.Inoltre si raccomanda di mettere in atto meccanismi di accesso limitato perproteggere le informazioni personali in questione (ad esempio login con user IDe password).
e) Foto dei minori
Spesso le scuole sono tentate dipubblicare le foto dei loro alunni (su stampa o Internet).
Occorre fare molta attenzione allapubblicazione su Internet. Si deve sempre valutare il tipo di foto, lapertinenza della pubblicazione e le finalit� perseguite. I minori e i lororappresentanti devono essere informati della pubblicazione.
Se la scuola intende pubblicare singolefoto di minori con tanto di identit� � necessario il consenso preventivo deigenitori o di altri rappresentanti (o del minore, se � gi� maturo).
Per quanto riguarda le foto collettive,segnatamente di eventi scolastici, la scuola pu� non chiedere il consensopreventivo dei genitori se le foto non consentono la rapida identificazionedegli alunni, salvo il rispetto della normativa nazionale. In tali casi,tuttavia, la scuola deve informare i minori, i genitori e i rappresentanti cheverr� scattata la foto e dell'uso che ne far�.
Essi potranno cos� rifiutare di comparirenella foto.
f) Tesserini scolastici
Per il controllo d'accesso e lasorveglianza degli acquisti: molte scuole utilizzano tesserini scolastici nonsolo per controllare l'accesso negli edifici scolastici, ma anche persorvegliare gli acquisti fatti dagli alunni. Sorgono dubbi sulla piena compatibilit�della seconda finalit� con il rispetto della vita privata dell'alunno,soprattutto a partire da una certa et�.
In ogni caso le due funzioni devonoessere distinte, in quanto la seconda pu� sollevare problemi di rispetto dellavita privata.
Per la localizzazione degli alunni13:un altro strumento di controllo usato in alcune scuole (con o senza tesserino)� la localizzazione degli alunni attraverso badge RFID.
La pertinenza di un sistema di questotipo deve essere giustificata in relazione ai rischi specifici in gioco,soprattutto se sono disponibili metodi alternativi di controllo.
g) Videofoni nelle scuole
Le scuole possono svolgere un ruolodecisivo nell'elaborazione di misure precauzionali per l'uso di MMS eregistrazioni audio e video che possono implicare dati personali di terzi senzache questi ne siano al corrente. Le scuole devono avvisare gli studenti che lacircolazione senza restrizioni di registrazioni video e audio e di fotodigitali pu� costituire una seria violazione della privacy degli interessati edella protezione dei dati personali.
3) – Statistiche scolastiche ealtri studi
Nella maggior parte dei casi i datipersonali non sono necessari per effettuare statistiche (tranne in casieccezionali, ad esempio quando le statistiche riguardano l'integrazioneprofessionale).
Conformemente all'articolo 6, paragrafo1, lettera e), della direttiva, i risultati delle statistiche non devonoconsentire l'identificazione diretta o indiretta degli interessati.
Gli studi si avvalgono spesso dei datipersonali degli alunni, ottenuti attraverso questionari pi� o meno dettagliati.La raccolta di questi dati deve essere autorizzata dai rappresentanti(soprattutto se si tratta di dati sensibili), che devono essere informati dellefinalit� e dei destinatari dello studio.
Si devono inoltre privilegiare lemodalit� che consentono di condurre gli studi senza identificare i minori.
1) – Normativa
Dal presente parere si evince che nellamaggior parte dei casi le disposizioni del quadro normativo vigentegarantiscono una protezione efficace dei dati dei minori.
Tuttavia, il presupposto affinch� ildiritto al rispetto della vita privata dei minori riceva una tutela efficace �che le disposizioni siano applicate osservando il principio dell'interessesuperiore del minore. L'applicazione deve tenere conto delle situazionispecifiche dei minori e di quelle dei loro rappresentanti. Le direttive95/46/CE e 2002/58/CE vanno quindi interpretate e applicate di conseguenza.
In caso di interessi concorrenti, lasoluzione va cercata interpretando le direttive alla luce dei principi generalidella convenzione dell'ONU sui diritti del fanciullo, in particolarel'interesse superiore del minore, e richiamandosi agli altri strumentigiuridici gi� citati.
Gli Stati membri sono invitati adadeguare la legislazione nazionale a tale interpretazione adottando ledisposizioni necessarie. A livello comunitario, sarebbero auspicabiliraccomandazioni o altri strumenti appropriati in materia.
Come gi� indicato, il presente parere sisofferma sui principi generali di tutela della vita privata e protezione deidati in relazione ai dati dei minori, e sulla loro applicazione nell'importantesettore dell'istruzione. Altri settori specifici potrebbero richiedere infuturo una disamina distinta del gruppo di lavoro.
2) – Pratica
Il presente parere espone preoccupazionie considerazioni generali con riguardo alla protezione dei dati e alla tuteladella vita privata dei minori. Come primo passo, il gruppo di lavoro ha sceltodi affrontare la questione partendo dal settore dell'istruzione, data la suaimportanza nella societ�. Come si pu� constatare, l'approccio seguito pertutelare la vita privata dei minori si basa sull'educazione – infamiglia, a scuola, a cura delle autorit� per la protezione dei dati, framinori, ecc. – all'importanza della protezione dei dati e della vitaprivata e alle conseguenze della comunicazione dei dati personali quando questanon sia necessaria.
Se le nostre societ� vogliono creare unvera cultura della protezione dei dati, in particolare, e della difesa dellavita privata, in generale, occorre cominciare dai minori, non solo perch�costituiscono una categoria bisognosa di protezione o perch� hanno il dirittodi essere protetti, ma anche perch� devono essere informati del loro dovere dirispettare i dati personali altrui.
Per raggiungere questo obiettivo lascuola deve assumere un ruolo centrale.
I minori e gli alunni devono essereeducati in modo da diventare cittadini autonomi nella societ� dell'informazione.A tal fine � fondamentale che imparino sin da piccoli l'importanza del rispettodella vita privata e della protezione dei dati. Tali nozioni permetterannoloro, a tempo debito, di decidere con cognizione di causa quali informazionicomunicare, a chi e a quali condizioni. La protezione dei dati deve essereintegrata sistematicamente nei programmi scolastici, in funzione dell'et� deglialunni e della natura delle materie insegnate.
I minori non devono essere maisottoposti, per motivi di sicurezza, a una sorveglianza eccessiva che ne limitil'autonomia. Al riguardo occorre trovare un giusto nesso tra la protezionedell'intimit� e della vita privata dei minori e la loro sicurezza.
I legislatori, i leader politici e leorganizzazioni educative devono, nell'ambito delle rispettive competenze,prendere misure efficaci per risolvere tali questioni.
Come si � detto e ripetuto in questodocumento, l�istruzione e la responsabilit� sono strumenti cruciali per laprotezione dei dati dei minori. Per migliorarne il livello � fondamentale checoloro che si occupano direttamente dell'istruzione dei minori ricevano primauna formazione completa sui principi relativi alla protezione dei loro datipersonali.
Il ruolo delle autorit� per la protezionedei dati � quadruplice: istruire e informare, soprattutto i minori e leautorit� responsabili del benessere dei giovani; fare in modo che iresponsabili politici prendano decisioni giuste in materia di minori e vitaprivata; informare i responsabili del trattamento dei loro obblighi; esercitarei poteri di cui dispongono nei confronti di quanti non osservano lalegislazione, i codici deontologici n� le migliori pratiche del settore.
In questo contesto, pu� essere unastrategia efficace concludere accordi tra autorit� per la protezione dei dati,ministri dell'Istruzione e altri organi responsabili, che definiscanocondizioni chiare e concrete di cooperazione reciproca finalizzata a diffonderela nozione che la protezione dei dati � un diritto fondamentale.
In particolare bisogna insegnare aiminori che spetta a loro, per primi, proteggere i dati che li riguardano.Partendo da questo criterio, la partecipazione graduale dei minori allaprotezione dei loro dati personali (dalla consultazione alla presa didecisioni) pu� diventare realt�. Questo � un settore in cui � possibiledimostrare l'efficacia della responsabilizzazione.
Fatto a Bruxelles, l'11.2.2009
1 - Si veda in particolare l�articolo 1 della convenzione ONU sui diritti delfanciullo del 20.11.1989.
2 - Si vedano anche:
- la dichiarazione diHelsinki del giugno 1964 (punto I-11);
- il pattointernazionale sui diritti economici, sociali e culturali del 16.12.1966(articolo 10, paragrafo 3);
- il pattointernazionale sui diritti civili e politici del 16.12.1966 (articoli 16 e 24);
- il protocollofacoltativo del 16.12.1966.
3 - Si vedano anche:
- la dichiarazione ONUsui diritti del fanciullo del 20.11.1959;
- le raccomandazionidell�Assemblea parlamentare del Consiglio d�Europa su vari aspetti dellaprotezione dei minori (nn. 1071, 1074, 1121, 1286, 1551);
- le raccomandazioni delComitato dei Ministri del Consiglio d�Europa sulla partecipazione dei minorialla vita familiare, R (98)8, e sulla protezione dei dati medici, R (97), 5;
- la convenzione n.192del Consiglio d�Europa sulle relazioni personali riguardanti i fanciulli del15.5.2003.
4 - Orientamentidell�OCSE del 23.9.1980;
- Convenzione n. 108 delConsiglio d�Europa del 28.1.1981 e protocollo addizionale dell�8.11.2001;
- Orientamenti dell�ONUdel 14.12.1990.
5 Sancito dallaconvenzione ONU sui diritti del fanciullo (articolo 3) e poi ribadito nellaconvenzione n. 192 del Consiglio d�Europa (articolo 6) e nella Carta deidiritti fondamentali dell'Unione europea (articolo 24, paragrafo 2).
6 Il diritto allaprotezione � talmente fondamentale che � stato sancito dalla dichiarazioneuniversale dei diritti dell'uomo (articolo 25) e ribadito nel pattointernazionale sui diritti civili e politici (articolo 24), nel patto internazionalesui diritti economici, sociali e culturali (articolo 10, paragrafo 3) e, pi�recentemente, nella carta dei diritti fondamentali dell'Unione europea(articolo 24).
7 Questo dirittoribadisce il diritto generale alla vita privata, sancito dall'articolo 12 delladichiarazione universale, dall'articolo 17 del patto internazionale sui diritticivili e politici e dall'articolo 8 della convenzione europea per lasalvaguardia dei diritti dell'uomo e delle libert� fondamentali.
8 Articoli 7, 27 e 29della convenzione ONU sui diritti del fanciullo.
9 Alcuni ordinamentigiuridici applicano questo principio generale distinguendo tra fasce di et�:
inferiore a 12 anni, tra12 e 16 anni e tra 16 e 18 anni.
10 Articolo 12 dellaconvenzione ONU sui diritti del fanciullo, articolo 24, paragrafo 1 della cartadei diritti fondamentali dell'Unione europea e articolo 6 della convenzionesulle relazioni personali riguardanti i fanciulli.
11 Tale criterio �chiaramente enunciato nella raccomandazione n. R (97) 5, del 13 febbraio 1997,del comitato dei ministri del Consiglio d'Europa relativa alla protezione deidati sanitari (punti 5.5 e 6.3).
12 Si veda inoltre ildocumento WP 89 (parere 4/2004 dell'11 febbraio 2004).
13 Si veda il parere WP115 (adottato il 25 novembre 2005) sui principi relativi alla localizzazionedei minori.

References: ART. 29
 articolo 29
 articolo 26
 Articolo 12
 articolo 24
 articolo 6