Garante per la protezione
    dei dati personali


Con riferimento ai dati personali richiesti per compilare il modulo per l'autocertificazione, le Università devono rispettare le disposizioni della legge n. 675/1996 che riguardano, in particolare, la qualità dei dati, la loro pertinenza, l'informativa agli interessati e le misure di sicurezza (artt. 9, 10 e 15 legge 675/1996).

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

OGGETTO: Trattamento dei dati personali ai fini dell'iscrizione universitaria mediante modulo di autocertificazione.

1. Premessa

Questa Autorità ha ricevuto diverse segnalazioni con le quali gli interessati lamentano che per l'iscrizione ai corsi di studio delle università, degli istituti universitari e degli istituti superiori di grado universitario statali è necessario compilare un modulo per l'autocertificazione del reddito familiare che, per la natura dei dati richiesti, rappresenterebbe una sostanziale ripetizione della dichiarazione dei redditi della quale non si ravvisa la necessità nel caso in cui non si richieda di usufruire di sussidi economici per lo studio o di altri benefici.

2. Norme applicabili

L'esame di tali segnalazioni presuppone, in via preliminare, l'analisi delle norme vigenti in materia.

La legge 9 maggio 1989, n. 168 (artt. 6 e 7), riconosce alle università un'autonoma personalità giuridica nonché l'autonomia didattica, scientifica, organizzativa, finanziaria e contabile, garantendo ad esse anche un'autonomia organizzatoria con potere di adottare propri statuti e regolamenti.

La legge 2 dicembre 1991, n. 390, recante norme sul diritto agli studi universitari, ha demandato al Governo il compito di stabilire i criteri per la determinazione del merito e delle condizioni economiche degli studenti ai fini dell'accesso ai servizi e al godimento degli interventi non destinati alla generalità degli studenti (quali borse di studio, prestiti d'onore, servizi abitativi, contributi per la partecipazione a programmi di studio che prevedano mobilità internazionale nonché borse di studio concesse agli studenti capaci e meritevoli privi di mezzi). La medesima legge n. 390/1991 ha

precisato poi che ai fini dell'ammissione ai benefici previsti per l'attuazione del diritto agli studi universitari, gli studenti interessati, "ove necessario", sono tenuti a produrre all'ente erogatore un'autocertificazione attestante le condizioni economiche proprie e dei componenti il nucleo familiare di appartenenza, sottoscritta anche dai titolari dei redditi in essa indicati (art. 22).

La legge 24 dicembre 1993, n. 537, così come modificata dalla legge 28 dicembre 1995, n. 549, ha stabilito dal canto suo che a partire dall'anno accademico 1994-1995, gli studenti universitari debbano contribuire alla copertura dei costi dei servizi universitari delle sedi centrali e di quelle decentrate, attraverso il pagamento della tassa di iscrizione e dei contributi universitari (art. 5, comma 13).

La medesima legge n. 537/1993 prevede anche che le singole università fissino le tasse di iscrizione in base al reddito, alle condizioni effettive del nucleo familiare ed al merito degli studenti; la legge prevede anche che i criteri generali per la determinazione dei limiti di reddito e delle condizioni del nucleo familiare degli studenti ai fini del pagamento delle tasse di iscrizione e dei contributi siano stabiliti con il decreto del Presidente del Consiglio dei Ministri previsto dalla legge 2 dicembre 1991, n. 390 (art. 5, commi 14 e 18).

Con decreto del Presidente del Consiglio dei Ministri 30 aprile 1997 recante norme in materia di uniformità di trattamento sul diritto agli studi universitari, emanato ai sensi dell'art. 4 della citata legge n. 390/1991, sono stati stabiliti i criteri per la determinazione della tassa d'iscrizione e dei contributi i quali tengono conto della condizione economica del nucleo familiare convenzionale dello studente, individuata sulla base della natura e dell'ammontare del reddito, della situazione patrimoniale e dell'ampiezza del nucleo familiare.

Il medesimo d.P.C.M. stabilisce, in particolare, che l'indicatore della condizione economica del nucleo familiare convenzionale è il reddito complessivo dei suoi componenti prodotto nell'anno precedente all'iscrizione, al netto dell'Irpef, incrementato del 20% dell'indicatore della condizione patrimoniale.

Al fine della determinazione di tale indicatore, il reddito ed il patrimonio dei membri del nucleo familiare convenzionale sono valutati poi in riferimento alla loro natura e sulla base delle evidenze fiscali, integrate con indicatori di reddito normale in relazione alla dimensione ed alla tipologia economica delle attività che li generano o a cui sono destinate, secondo le modalità stabilite in un'apposita tabella allegata al decreto (art. 3).

L'art. 5 di tale decreto stabilisce, infine, che ai fini della determinazione della tassa di iscrizione e dei contributi di cui alla legge n. 537/1993, le università statali debbano valutare la condizione economica del nucleo familiare convenzionale secondo le modalità stabilite dal citato art. 3 e determinare autonomamente le condizioni di merito.

3. Disposizioni della legge n. 675/1996

Tutto ciò premesso, si fa presente che i dati raccolti in base alle norme sopra richiamate dalle università, dagli istituti universitari e dagli istituti superiori di grado universitario statali, mediante l'utilizzo di un modulo per l'autocertificazione, sono considerati "dati personali" per il cui trattamento occorre, pertanto, tenere conto del quadro normativo introdotto dalla legge n. 675/1996.

Nel caso di specie, tali dati non rivestono natura sensibile, fatta eccezione per le informazioni relative alla presenza nel nucleo familiare di portatori di handicap con grado di invalidità riconosciuta pari o superiore al 66%.

Il primo parametro normativo da prendere in considerazione per il trattamento dei dati diversi da quelli sensibili è rappresentato dall'art. 27 della legge n. 675/1996. Tale disposizione permette ai soggetti pubblici di raccogliere dati ai fini dello svolgimento delle rispettive funzioni istituzionali, nel rispetto dei limiti eventualmente stabiliti da altre leggi e regolamenti (art. 27, comma 1).

La comunicazione e la diffusione dei dati ad altre amministrazioni pubbliche sono ispirate ad una maggiore cautela, in quanto è richiesta, di regola, l'esistenza di una norma di legge o di regolamento che preveda la comunicazione o la diffusione: è tuttavia possibile divulgare i dati ad altre amministrazioni pubbliche anche quando la comunicazione e la diffusione, benché non previste da una norma, siano comunque necessarie per lo svolgimento delle funzioni istituzionali (art. 27, comma 2).

Per quanto attiene, invece, ai dati sensibili, l'art. 22 comma 3, della medesima legge, da considerarsi " norma generale " in materia, ha previsto che i soggetti pubblici che trattano i dati sensibili possono operare in base alle regole stabilite da una legge che precisi nel dettaglio l'ambito di operatività del trattamento.

Poiché la legislazione vigente reca poche disposizioni così analitiche, l'articolo 41, comma 5, della legge 675/1996 ha introdotto un termine transitorio, prorogato dall'art. 1 del d.lg. n. 389/1998, in virtù del quale qualunque soggetto pubblico può continuare a trattare dati sensibili fino alla data dell'8 maggio 1999, anche in assenza di un'espressa disposizione di legge, ma previa comunicazione al Garante. Tale facoltà può essere esercitata quando il trattamento sia iniziato prima dell'8 maggio 1997, ma riguardi dati raccolti anche in epoca successiva.

4. Conclusioni

Applicando i principi sopra esposti al caso in esame, va evidenziato che la disciplina relativa alla raccolta dei dati personali ai fini della valutazione della condizione economica del nucleo familiare per la determinazione della tassa di iscrizione e dei contributi è contenuta nella normativa sopra richiamata.

Deve pertanto ritenersi in linea generale che il trattamento dei suddetti dati personali, per le finalità e nei limiti esposti, sia lecito in quanto riconducibile alle funzioni istituzionali delle amministrazioni interessate.

Al trattamento di dati che rivestono natura sensibile (segnatamente alle informazioni relative alla presenza, nel nucleo familiare, di portatori di handicap con grado di invalidità riconosciuta pari o superiore al 66%), è poi applicabile la citata disciplina transitoria di cui all'art. 41, comma 5, della legge n. 675/1996, in base alla quale i trattamenti iniziati prima dell'8 maggio 1997 possono proseguire fino all'8 maggio 1999, data entro la quale dovrebbe essere emanata una disciplina integrativa del trattamento dei dati sensibili da parte dei soggetti pubblici.

Occorre però osservare da ultimo che alcune università inseriscono nel modulo per l'autocertificazione una richiesta di consenso all'utilizzo dei dati e delle informazioni con esso acquisite. Il Garante richiama l'attenzione sul fatto che tale consenso non deve essere richiesto in quanto, secondo la legge n. 675/1996, il trattamento dei dati da parte dei soggetti pubblici non è basato sul consenso dell'interessato. Al riguardo, pertanto, ciascuna università è tenuta a conformare l'attività di raccolta dei dati personali alle disposizioni della legge n. 675/1996 sopra richiamate e a non tener conto delle dichiarazioni di consenso o di rifiuto di prestazione del consenso già manifestate.

Con riferimento ai dati personali raccolti con il modulo per l'autocertificazione, le università devono rispettare le altre disposizioni della legge 675/1996 che riguardano, in particolare, la qualità dei dati, la loro pertinenza, l'informativa agli interessati e le misure di sicurezza (artt. 9, 10 e 15 legge 675/1996).

In particolare, si ritiene opportuno precisare che l'informativa di cui al citato art. 10 può essere fornita anche oralmente e può non contenere gli elementi già conosciuti dalla persona che fornisce i dati.

A questo proposito, questa Autorità suggerisce di adottare modalità semplificate di informazione, specie quando il trattamento dei dati sia effettuato in base ad obblighi di legge o di regolamento, predisponendo, ad esempio, modelli sintetici, da inserire nel modulo utilizzato per la raccolta dei dati.

Va aggiunto che i soggetti aventi accesso ai dati in qualità di responsabili o di incaricati del trattamento (figure, queste ultime, che le università dovrebbero avere già designato) devono essere individuati con apposito atto scritto, volto a specificare le funzioni e i compiti ad essi attribuiti, anche al fine di evitare eventuali usi impropri ed accessi non autorizzati.

Sotto un altro profilo, si richiama l'attenzione sul fatto che le università possono trasmettere gli elenchi di studenti (o di laureati) a soggetti privati o a enti pubblici economici, secondo quanto previsto dal citato art. 27, comma 3, della legge n. 675/1996, in base alle normative generali o agli ordinamenti dei singoli atenei.

Al riguardo il Garante si è già espresso (provvedimento del 17 luglio 1997 pubblicato nel bollettino del Garante, 1997, n. 1, p. 37) ritenendo che, in assenza di previsioni normative che consentano alle università di effettuare le anzidette operazioni di comunicazione e diffusione, occorra procedere, al più presto, a disciplinare la materia con apposite disposizioni integrative, esercitando l'autonomia ad esse riconosciuta dalla legge.

Successivamente, l'art. 6, comma 4, del d.lg. n. 204/1998, innovando in materia, ha ampliato il regime di pubblicità dei dati relativi ad attività di studio e di ricerca (con esclusione dei dati sensibili o attinenti a provvedimenti giudiziari) prevedendo che anche le università, con autonome determinazioni, possano comunicare e diffondere tale categoria di dati a laureati, dottori di ricerca, ecc. per finalità di sostegno della ricerca e della collaborazione in campo scientifico e tecnologico.

Roma, 1 febbraio 1999

IL PRESIDENTE