Trattiamo il caso di una scuola che avvia un percorso di PCTO (ex alternanza scuola-lavoro) durante il quale uno studente effettuerà tirocinio formativo presso un’altra scuola.
Dal punto di vista della privacy, qual è il ruolo svolto dalla struttura ospitante: Titolare del trattamento, Contitolare del trattamento o Responsabile esterno del trattamento dei dati?
Innanzitutto, l’art. 26 del GDPR così stabilisce:
1. Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli art. 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.
2. L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.
3. Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.
I contitolari devono fornire le seguenti informazioni:
- i dati di contatto;
- i dati di contatto del responsabile della protezione dei dati (DPO), ove applicabile;
- le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
- qualora il trattamento si basi sull’art. 6, par. 1, lett. f, i legittimi interessi perseguiti dalla parte o da terzi;
- gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
- l’eventuale intenzione della parte di trasferire dati personali all’estero (extra UE/SEE);
- il periodo di conservazione dei dati personali;
- l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
- l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca (nel caso di utilizzo di tale base giuridica);
- il diritto di proporre reclamo a un’autorità di controllo (ad es. il Garante privacy);
- se la comunicazione di dati personali è un obbligo legale o contrattuale;
- l’esistenza di un processo decisionale automatizzato, compresa la profilazione, comprese le informazioni significative sulla logica utilizzata.
Le Istituzioni scolastiche sono coinvolte nella redazione degli accordi di contitolarità ogni qualvolta, sulla base di un accordo di collaborazione con un altro soggetto, vengono trattati dati personali da entrambe le parti, ognuno in autonomia. Pensiamo ad un accordo di collaborazione con altro soggetto avente ad oggetto la realizzazione di un progetto formativo: in questo caso entrambi i soggetti tratteranno gli stessi dati ma secondo le rispettive finalità. Nessuno dei soggetti è in posizione gregaria rispetto all’altro.
Pertanto, in risposta al quesito iniziale, si ritiene che i due Istituti scolastici interessati al tirocinio dell’alunno in PCTO, siano contitolari del trattamento poiché agiscono sulla base di un accordo paritetico che non vede la scuola di appartenenza in posizione primaria e la scuola presso la quale si svolgerà il tirocinio in posizione gregaria. Dunque, oltre all’accordo sul tirocinio, occorre anche predisporre un accordo di contitolarità con il quale bisogna stabilire i ruoli nella gestione della privacy e gli altri punti, quale le modalità di esercizio dei diritti degli interessati.
