IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY e XZ in proprio e nella loro qualità di genitori e legali rappresentanti di XK, rappresentati e difesi dagli avv.ti Giulia Basile e Daniele Meles presso il cui studio hanno eletto domicilio

nei confronti di

Università degli Studi di Urbino "Carlo Bo" – Istituto di Psicologia "L. Meschieri";

Visti gli articoli 7, 8 e 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO:

I ricorrenti, dopo essere venuti a conoscenza che il proprio figlio di sette anni aveva partecipato, a loro insaputa, ad una ricerca (sul tema "la rappresentazione sociale del maltrattamento infantile") effettuata da una laureanda dell'università resistente mediante la distribuzione di un test/questionario agli alunni di una scuola elementare di Roma, hanno formulato un'istanza ai sensi degli artt. 7 e 8 del Codice con la quale, nel chiedere tra l'altro alla medesima resistente di accedere ai dati personali relativi al proprio figlio, contenuti nel citato questionario, nonché di conoscerne l'origine, si sono opposti all'ulteriore trattamento dei dati trattati in violazione di legge.

Avendo ricevuto un riscontro ritenuto inidoneo, i ricorrenti hanno ribadito nel ricorso proposto ai sensi dell'art. 145 del Codice la richiesta di conoscere i dati personali (eventualmente anche sensibili) contenuti nel questionario compilato dal minore e la loro origine, chiedendo al Garante di valutare la liceità del trattamento effettuato anche in considerazione del fatto che gli stessi non erano stati informati della ricerca e che non avevano manifestato alcun consenso al trattamento; hanno anche chiesto al Garante di indicare le misure necessarie a tutela dei diritti degli interessati, di disporre in via provvisoria "il blocco dei dati raccolti e l'immediata sospensione delle operazioni del trattamento, comprese quelle relative alla pubblicazione della tesi", nonché di porre a carico di controparte le spese sostenute per il procedimento.

All'invito ad aderire formulato da questa Autorità in data 28 settembre 2004 ai sensi dell'art. 149 del Codice, l'Università ha risposto con note pervenute il 21 e il 22 ottobre 2004, con le quali ha sostenuto che:

• i dati raccolti dalla prof.ssa Belacchi (relatrice della tesi predisposta dalla laureanda) non sarebbero "inquadrabili come dati sensibili, non rientrando in nessuna delle categorie indicate" come tali dal Codice e sarebbero stati raccolti "per esclusivi scopi scientifici";

• "la procedura con la quale è stata attuata la ricerca prevedeva la somministrazione ai partecipanti di un questionario tipo composto di tre domande a scelta multipla e di due vignette". Tali strumenti e "la metodica di somministrazione (in forma collettiva e anonima)" consentirebbero "di rilevare esclusivamente dati sul contenuto della rappresentazione relativa a specifici fenomeni (in questo caso alcuni aspetti del maltrattamento infantile) da parte dei partecipanti all'indagine";

• "nella ricerca in oggetto non sono stati impiegati test psicologici (…), né tecniche proiettive (…) sulla base dei quali eventualmente stilare profili psicologici o diagnosi psichiche dei soggetti". Inoltre, non "è stato richiesto ai partecipanti alcun riferimento a esperienze biografiche, personali e/o familiari";

• i dati raccolti sono stati utilizzati nella tesi di laurea (discussa in data 29 settembre 2004) "unicamente in forma aggregata, non rendendo in nessun caso identificabili gli interessati";

• l'Università è impossibilitata ad individuare l'originale del questionario compilato dal figlio dei ricorrenti, "non essendo a conoscenza dei dati anagrafici dei minori sottoposti alle prove";

• il trattamento effettuato sarebbe lecito dal momento che i dati in questione sono stati trattati nell'esercizio delle proprie funzioni istituzionali e che la loro raccolta sarebbe "stata effettuata solo successivamente al consenso prestato dal dirigente scolastico alla specifica richiesta inoltrata (…) dalla prof.ssa Belacchi". 

Alle note sopra indicate, l'Università di Urbino ha allegato copia della tesi di laurea e dei questionari compilati dai minori appartenenti alla classe del figlio dei ricorrenti, questionari redatti sulla base di un modello che recava sul frontespizio i dati relativi alla scuola frequentata, alla classe, all'età, al mese e anno di nascita ed al sesso.

A seguito di formale richiesta inviata il 4 novembre 2004 all'istituto scolastico del minore, questa Autorità ha acquisito l'elenco degli iscritti alla classe frequentata dal figlio dei ricorrenti, con le relative date di nascita; il 17 novembre 2004, ha messo a disposizione dei ricorrenti copia del questionario richiesto, che ha individuato, tra quelli acquisiti, mediante la verificata coincidenza dei dati relativi al sesso e alla data di nascita (che peraltro, nel caso del minore, era riportata sul questionario anche con l'indicazione del giorno di nascita).

I ricorrenti, i quali avevano ribadito le proprie richieste nell'audizione del 25 ottobre 2004, hanno inviato (successivamente alla proroga del termine per la decisione sul ricorso disposta ai sensi dell'art. 149, comma 7, del Codice) una memoria in data 14 dicembre 2004, sostenendo che le informazioni raccolte avrebbero la natura di dati personali in quanto suscettibili di identificare i soggetti oggetto della ricerca e che gli stessi dati sarebbero per di più sensibili, essendo idonei a rivelare opinioni o convinzioni del minore (ovvero "giudizi (…) frutto di una intima elaborazione psicologica e culturale dei dati del proprio vissuto"). Con la medesima nota, i ricorrenti hanno ribadito di ritenere illecito il trattamento effettuato, in quanto privo di un consenso informato rilasciato dagli interessati. 

In data 13 dicembre 2004, la prof.ssa Belacchi ha fatto infine pervenire una nota con la quale ha illustrato le finalità della ricerca svolta dalla propria laureanda, spiegando che, "per i soggetti in età evolutiva, in base alle ipotesi della ricerca, che prevedevano una influenza sulla rappresentazione del maltrattamento delle variabili età (espressa in mesi) e sesso dei soggetti, sono stati rilevati i dati relativi al sesso e all'anno e mese di nascita".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso verte sul trattamento di dati personali di un minore effettuato a fini di ricerca scientifica da parte di una università. 

La raccolta di informazioni effettuata nell'ambito della ricerca curata più direttamente da una laureanda dell'Università di Urbino ha comportato un trattamento di dati personali. Ai sensi dell'art. 4, comma 1, lett. a), del Codice è dato personale qualunque informazione relativa a persona fisica, persona giuridica (…) identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione. Nel caso di specie, la ricerca ha comportato, anche alla luce delle ipotesi di ricerca formulate (ed indicate dalla docente nella memoria pervenuta il 13 dicembre 2004), una raccolta di diverse informazioni (sesso, età, classe e scuola frequentata, mese ed anno di nascita) che, sebbene non comprendano anche il nome ed il cognome dei soggetti che hanno preso parte alla medesima, sono suscettibili, rispetto ad un ambito di indagine ristretto e grazie alla loro interazione, di consentirne un'agevole identificazione. Ciò, anche in relazione alla verificata circostanza che diversi minori hanno inserito la data di nascita completa (giorno, mese e anno), rendendo ancor più semplice la loro identificabilità.

Alcune delle informazioni richieste dal questionario (in particolare quelle riconducibili alle ipotesi di risposta C2, C4, e C5) sono anche, nel loro complesso, riconducibili alla nozione di dato sensibile di cui all'art. 4, comma 1, lett. d), del Codice, in quanto idonee a rivelare aspetti della sfera psico-fisica dei genitori.

Il trattamento dei dati personali, seppur curato specificamente da una laureanda, è stato effettuato comunque nell'ambito di una ricerca le cui finalità e modalità sono state fissate dall'Università resistente che, in qualità di titolare del trattamento, ha operato nell'ambito di finalità di ricerca. Per i trattamenti effettuati da tali soggetti non deve essere acquisito il consenso al trattamento degli interessati i quali, però, devono partecipare alla ricerca su base volontaria dopo essere stati chiaramente informati sui relativi scopi ai sensi dell'art. 105, comma 2, del Codice.

Nel caso di specie, l'Università, che si è limitata ad ottenere dal dirigente dell'istituto scolastico l'autorizzazione (non direttamente rilevante ai fini della norma citata) ad effettuare la ricerca su un campione di alunni della scuola elementare, non ha informato gli interessati circa gli scopi della ricerca medesima, non consentendo, agli aventi diritto, loro di adottare consapevoli determinazioni al riguardo. L'Università resistente ha in tal modo posto in essere un trattamento che risulta illecito e i dati raccolti nell'ambito dello stesso, alla luce del disposto di cui all'art. 11, comma 2, del Codice, non possono essere utilizzati. In accoglimento dell'opposizione al trattamento manifestata dai ricorrenti, va comunque disposto ai sensi dell'art. 150, comma 2, del Codice, quale misura necessaria a tutela dei diritti degli interessati, il divieto per l'ente resistente di effettuare ogni ulteriore operazione di trattamento dei dati in questione, fatta eccezione per la loro conservazione ed eventuale utilizzazione, anche ad istanza dei ricorrenti o dell'autorità giudiziaria, per esclusivi fini di giustizia o di tutela di un diritto.

Il predetto divieto non riguarda i dati solo aggregati ed anonimi riportati nella tesi di laurea scaturita dal contestato lavoro di ricerca nel frattempo conclusosi.

Va infine dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice in ordine alla richiesta di conoscere i dati personali relativi al minore ed alla loro origine, avendo i ricorrenti ottenuto un sufficiente riscontro a tali richieste.

L'ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 200 euro a carico dell'Università resistente, previa compensazione della restante parte per giusti motivi legati al contenuto dei riscontri comunque forniti prima e dopo la presentazione del ricorso.

PER QUESTI MOTIVI IL GARANTE

a) dichiara fondato il ricorso in ordine all'opposizione al trattamento dei dati relativi al figlio dei ricorrenti e, per l'effetto, vieta il loro trattamento nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili;

c) determina nella misura forfettaria di euro 250, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento che pone in misura pari a 200 euro, previa compensazione per giusti motivi della residua parte, a carico dell'ente resistente, il quale dovrà liquidarlo direttamente a favore dei ricorrenti.

Roma, 23 dicembre 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli