Conformità al GDPR del trattamento e trasferimento extra UE dati utenti scuola. Nota di supporto del Ministero

Il Ministero dell’Istruzione e del Merito trasmette una nota con approfondimenti tecnici di supporto per le scuole in merito “alla valutazione di conformità al GDPR del trattamento e trasferimento transfrontaliero verso Paesi terzi (in particolare, tra gli altri, gli Stati Uniti) di dati personali degli utenti delle
Istituzioni Scolastiche Autonome e dei loro corrispondenti mediante determinati servizi PEO e piattaforme ICT”.

In merito alla questione del trasferimento dei dati tra Europa e Stati Uniti, il Ministero ricorda:

• La Corte di Giustizia dell’Unione Europea (CGUE) nel caso C 311/18, meglio noto come “Schrems II” ha dichiarato l’invalidità della decisione di adeguatezza n. 1250 del 2016 (“Privacy Shield”) con la quale l’Unione Europea aveva validato il contenuto della normativa sul trasferimento dei dati, autorizzando il flusso transfrontaliero tra i Paesi membri dell’Unione Europea e gli Stati Uniti, sulla base del meccanismo previsto dall’art. 45 GDPR.
• In mancanza di una nuova decisione di adeguatezza che consenta il trasferimento ai sensi dell’articolo 45 citato, il titolare del trattamento o il responsabile del trattamento può comunque trasferire dati personali verso gli Stati Uniti, solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. Possono costituire garanzie adeguate le misure indicate all’art. 46 del GDPR.
• La CGUE nella sopra menzionata decisione “Schrems II” ha precisato che ogni titolare del trattamento è responsabile delle verifiche, caso per caso, dei singoli flussi transfrontalieri dei dati, le cui misure di sicurezza devono essere valutate in base alle caratteristiche del trattamento e alle finalità del trasferimento.
• Pertanto, si invita a verificare che i servizi ICT in uso siano conformi al “GDPR” attraverso i relativi accordi di servizio, che costituiscono base giuridica del trattamento ai sensi dell’art. 28 del GDPR. In particolare, si invita a verificare se tali accordi di servizio prevedono ed autorizzano trasferimenti internazionali dei dati e se questi avvengono sulla base delle garanzie indicate all’art. 46 del GDPR.

Il Ministero infine evidenzia che le misure del PNRR 1.2 – Migrazione al cloud (cloud qualificati) e 1.4.1 – siti web delle scuole possono rappresentare strumenti finalizzati anche a preservare l’utilizzo dei dati personali e sensibili del personale e degli alunni, utilizzando per comunicazioni di particolari tipologie di dati, servizi implementati su cloud qualificati e su aree ad accesso riservato dei siti web delle scuole.

Nota

Approfondimenri tecnici di supporto alle scuole