Questa è la conclusione alla quale è pervenuto il Garante della privacy con il parere n. 157 del 23 aprile 2021, a seguito di una richiesta formulata da un comitato costituito da famiglie, professionisti della scuola e studenti attivi nella società civile, con l’obiettivo unico di rendere piena trasparenza dello stato di diffusione del CoViD-19 nelle Scuole della Provincia.Il Comitato aveva inoltrato istanze di accesso civico generalizzato – ai sensi dell’art. 5 comma 2, del d. lgs. n. 33/2013 – a diversi Istituti scolastici finalizzati a ottenere dati che settimanalmente venivano inviati dalle Scuole al Sistema di Sorveglianza Sanitaria.
Nello specifico veniva chiesta copia del database delle serie storiche contenente le seguenti rilevazioni:
- numero di casi in isolamento;
- numero di casi in quarantena;
- numero di casi sottoposti a tampone (molecolare o antigenico);
- numero di casi in attesa di esito;
- numero di casi con esito positivo;
- numero di casi con esito negativo;
- numero di classi in isolamento;
- numero di classi in quarantena preventiva;
- numero di classi focolaio (con casi positivi al tampone successivamente al caso 1) con granularità temporale settimanale con profondità temporale da inizio rilevazione, con dettaglio e gerarchia per singolo circolo/scuola e singolo plesso.
Dagli atti risultava che molti Istituti scolastici interessati avevano negato l’accesso civico con identico provvedimento, per motivi inerenti alla protezione dei dati personali, rappresentando che l’ostensione del complesso delle informazioni richieste, anche se private dei dati direttamente indentificativi dei soggetti interessati, laddove combinati con informazioni verbali facilmente acquisibili soprattutto in realtà scolastiche contenute, consentivano di risalire all’identità dei soggetti coinvolti e, quindi, al loro stato di salute.
Il richiedente l’accesso civico aveva quindi presentato una richiesta di riesame sui provvedimenti di diniego al RPCT dell’Ufficio Scolastico Regionale (art. 5, comma 7, del d. lgs. n. 33/2013), ritenendole non legittime e insistendo nelle proprie richieste, chiedendo inoltre che venisse offerta la disponibilità a identificare la maniera più comoda di raccogliere le informazioni richieste con l’intento di non gravare sulle attività della Scuola.
Il Responsabile della prevenzione della corruzione e della trasparenza (RPCT) dell’Ufficio Scolastico Regionale aveva chiesto al Garante il parere previsto dall’art. 5, comma 7, del d. lgs. n. 33/2013.
Il Garante ha evidenziato che allorché un’istanza di accesso civico abbia a oggetto dati relativi alla salute, si rende applicabile l’“esclusione dell’accesso civico” prevista dalla normativa statale in materia di trasparenza, che prevede espressamente come l’accesso civico deve essere escluso nei «casi di divieti di accesso o divulgazione previsti dalla legge» (art. 5-bis, comma 3, del d. lgs. n. 33/2013).
Quanto riportato è confermato anche dalle Linee guida dell’ANAC in materia di accesso civico con riferimento alle «Eccezioni assolute» all’accesso civico, laddove è indicato che «Nella valutazione dell’istanza di accesso, l’amministrazione deve […] verificare che la richiesta non riguardi atti, documenti o informazioni sottratte alla possibilità di ostensione o ad accesso “condizionato” in quanto ricadenti in una delle fattispecie indicate nell’art. 5-bis co. 3» (par. 6). Nello specifico, nel par. 6.2., intitolato «Altri casi di segreto o di divieto di divulgazione», è altresì precisato che «[…] alcuni divieti di divulgazione sono previsti dalla normativa vigente in materia di tutela della riservatezza con riferimento a: dati idonei a rivelare lo stato di salute, ossia a qualsiasi informazione da cui si possa desumere, anche indirettamente, lo stato di malattia o l’esistenza di patologie dei soggetti interessati, compreso qualsiasi riferimento alle condizioni di invalidità, disabilità o handicap fisici e/o psichici (art. 22, comma 8, del Codice [oggi art. 2-septies, comma 8]; art. 7-bis, comma 6, d. lgs. n. 33/2013)».
La questione sottoposta all’attenzione del Garante riguardaVA l’ostensione, tramite l’istituto dell’accesso civico, di database e dati relativi all’emergenza sanitaria e alla rilevazione di casi di diffusione del Covid-19, di isolamento/quarantena, di effettuazione di tamponi riferiti ad alunni di istituti scolastici situati in una stessa provincia, a cadenza settimanale, partendo dalla data della prima rilevazione, contenuti nei report inviati dalle Scuole «al Sistema di Sorveglianza Sanitaria».
Dagli atti e dall’istanza di accesso civico non si evinceva chiaramente se la richiesta di accesso riguardasse solo casi passati o la volontà di attivare una vera e propria comunicazione sistematica – anche pro futuro – sui tali dati e informazioni, a cadenza settimanale, dall’Amministrazione al Comitato.
In ogni caso, al fine di evitare ogni possibile dubbio, il Garante ha evidenziato che l’istituto dell’accesso civico può avere a oggetto solo dati e documenti «detenuti» dalle pubbliche amministrazioni (art. 5, comma 2, d. lgs. n. 33/2013), con impossibilità di accogliere istanze che abbiano a oggetto dati o informazioni non ancora in possesso della p.a. o l’attivazione di flussi futuri di comunicazione di dati. La stessa ANAC, nelle citate linee guida in materia di accesso civico, ha evidenziato che l’amministrazione ha l’obbligo di «consentire l’accesso ai documenti nei quali siano contenute le informazioni già detenute e gestite dall’amministrazione stessa», escludendo che la stessa «sia tenuta a formare o raccogliere o altrimenti procurarsi informazioni che non siano già in suo possesso» (par. 4.2.).
Il Garante ha evidenziato che i dati e le informazioni riferite a persone fisiche, identificate o identificabili, che hanno contratto il virus da Covid-19 rientrano sicuramente nella definizione di dati sulla salute per i quali va escluso l’accesso civico ai sensi del richiamato art. 5-bis, comma 3, del d. lgs. n. 33/2013.
Deve, altresì, essere evidenziato che le informazioni riferite a persone fisiche, identificate o identificabili, che – pur non essendo positive al Covid-19 – sono state sottoposte a tampone (molecolare o antigenico), o a quarantena oppure a isolamento sono di natura particolarmente delicata, essendo peraltro riferite nel caso in esame a soggetti minorenni. Un’eventuale ostensione di tali dati personali, unita al particolare regime di pubblicità dei dati oggetto di accesso civico, può essere fonte di rischi specifici per i soggetti interessati, determinando possibili ripercussioni negative sul piano personale, sociale e relazionale, sia all’interno che all’esterno dell’ambiente scolastico.
In tal modo, potrebbe effettivamente determinarsi un’interferenza ingiustificata e sproporzionata nei diritti e libertà individuali, in violazione del principio di minimizzazione dei dati (art. 5, par. 1, lett. b e c, del RGPD), arrecando proprio quel pregiudizio concreto alla tutela della protezione dei dati personali previsto dall'art. 5-bis, comma 2, lett. a), del d. lgs. n. 33/2013.
Al riguardo, bisogna, inoltre, tener conto delle ragionevoli aspettative di confidenzialità dei controinteressati in relazione al trattamento dei propri dati personali al momento in cui questi sono stati raccolti dagli Istituti scolastici, nonché della non prevedibilità, al momento della raccolta dei dati, delle conseguenze derivanti ai minori e alle relative famiglie, dall’eventuale conoscibilità, da parte di chiunque, dei dati richiesti tramite l’accesso civico (si veda par. 8.1 delle Linee guida dell’ANAC in materia di accesso civico, cit.).
Secondo il Garante, alla luce di tutto quanto rappresentato, occorre effettuare una ponderata analisi della ostensibilità delle informazioni richieste dal Comitato, le quali anche se prive dell’indicazione del nome e del cognome degli alunni interessati, contengono informazioni di dettaglio – divise per singolo circolo/scuola e plesso – riferite al numero di casi in isolamento, in quarantena e sottoposti a tampone (con specificazione della tipologia: molecolare o antigenico); al numero di casi in attesa di esito (con specificazione per singolo caso se con esito positivo o negativo); al numero di classi in isolamento o in quarantena preventiva, al numero di classi focolaio (con specificazione dei casi positivi al tampone successivamente al caso 1).
Al riguardo, i singoli Istituti scolastici destinatari delle richieste di accesso civico – sulla base delle valutazioni effettuate in qualità di titolari del trattamento e nel rispetto del principio di responsabilizzazione/accountability (artt. 5, par. 2; 24; considerandi nn. 75 e 76, del RGPD) – nei propri provvedimenti di diniego hanno affermato che l’ostensione del complesso delle informazioni richieste, anche se private dei dati direttamente indentificativi dei soggetti interessati, «laddove combinati con informazioni verbali facilmente acquisibili soprattutto in realtà scolastiche contenute», possono consentire di risalire all’identità dei soggetti coinvolti.
Sul punto, dagli atti non emergono elementi che hanno consentito al Garante di discostarsi dalla valutazione effettuata dal titolare del trattamento, soprattutto considerando il ristretto ambito di riferimento (circolo/scuola o plesso), la variabilità del numero di casi (che settimanalmente avrebbero potuto essere anche esigui); il particolare regime di pubblicità dei dati ricevuti tramite l’accesso civico (art. 3, comma 1, d. lgs. n. 33/2013) e il «raffronto» dei dati richiesti con altre informazioni eventualmente in possesso di terzi che avrebbero potuto consentire – anche a posteriori – l’identificazione indiretta dell’alunno minorenne interessato, con rivelazione a pubblico generalizzato del suo stato di salute o di altri dati delicati riguardanti l’eventuale stato di quarantena/isolamento.
In proposito, occorre infatti ricordare che, ai sensi del RGPD, si considera “identificabile” «la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, par. 1, n. 1).
Tale orientamento trova conferma anche nel precedente parere del Garante n. 155 del 3/9/2020 (in www.gpdp.it, doc. web n. 9461036), adottato su questione analoga, e citato sia dal RPCT che dal soggetto istante, in cui si era concordato con la decisione di una Regione di non fornire dati di dettaglio sull’emergenza sanitaria che possano consentire un’identificazione indiretta dei soggetti interessati e di fornire, invece, in ogni caso – allo scopo di soddisfare le esigenze informative alla base dell’accesso civico e di «favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull’utilizzo delle risorse pubbliche e di promuovere la partecipazione al dibattito pubblico» (art. 5, comma 2, del d. lgs. n. 33/2013) – i dati sull’emergenza sanitaria aggregati, su base territoriale più ampia, a livello comunale.
Il Garante ha ritenuto, tuttavia, che la predetta soluzione avrebbe potuto non essere utile con particolare riferimento ai dati dei minori iscritti negli Istituti scolastici, considerando – ad esempio – che in comuni molto piccoli avrebbero potuto essere presenti anche singoli istituti/plessi scolastici e l’aggregazione a livello comunale sarebbe stata sostanzialmente inutile, coincidendo con la singola scuola o plesso.
Inoltre, nello specifico caso in esame, il Garante ha ritenuto di non poter suggerire nemmeno di fornire i dati e informazioni richiesti a un livello di aggregazione più esteso rispetto al «singolo circolo/scuola e singolo plesso». Ciò in quanto il Comitato istante aveva presentato richieste di accesso ai singoli Istituti scolastici che possedessero informazioni riferite alle proprie realtà e non a un livello più esteso. Né era quindi possibile chiedere – tramite l’istituto dell’accesso civico – ai singoli Istituti scolastici, o al RPCT dell’Ufficio scolastico regionale che aveva richiesto il parere al Garante, di fornire dati o informazioni che non fossero già detenuti o in possesso della singola amministrazione. Al riguardo, anche l’ANAC nelle proprie linee guida, ha evidenziato che l’istituto dell’accesso civico generalizzato, riguardando i dati e i documenti “detenuti” dalle pubbliche amministrazioni (art. 5, comma 2, d. lgs. n. 33/2013) non può comportare che l’amministrazione, per rispondere alla richiesta, «sia tenuta a formare o raccogliere o altrimenti procurarsi informazioni che non siano già in suo possesso [, non avendo] l’obbligo di rielaborare i dati ai fini dell’accesso generalizzato, ma solo [di] consentire l’accesso ai documenti nei quali siano contenute le informazioni già detenute e gestite dall’amministrazione stessa».
Peraltro, a ciò si aggiunge un’ulteriore circostanza che si deve opportunamente considerare. In relazione ai dati dell’emergenza sanitaria da Covid-19, gli Istituti scolastici non sono i soggetti compenti all’elaborazione dei “dati ufficiali”, che è invece rimessa agli enti deputati alla sorveglianza sanitaria. Di conseguenza i dati richiesti, di diversa tipologia riferiti agli alunni (es.: numero di alunni sottoposti a tampone, con indicazione dell’esito positivo o negativo; numero di alunni sottoposti a quarantena oppure a isolamento), da essi eventualmente detenuti anche incidentalmente (ad esempio perché trasmessi dai genitori o da altri soggetti) possono essere non integri o incompleti; e la relativa comunicazione o diffusione potrebbe, a seconda dei singoli casi, porsi in contrasto con il principio generale di “esattezza dei dati”, sancito dall’art. 5, par. 1, lett. d), del RGPD.