Informativa ex artt. 13 e 14 del Regolamento Europeo 2016/679 in relazione al trattamento
dei dati degli studenti ai fini della rilevazione degli apprendimenti – anno sc. 2019-20
realizzate ai sensi del D.Lgs. n. 62 del 13 aprile 2017
Gentile Genitore, gentile Studente,
l’Istituto Nazionale per la Valutazione del Sistema educativo di istruzione e di formazione (in
seguito INVALSI), Ente di ricerca dotato di personalità giuridica di diritto pubblico, in attuazione
dei compiti a esso attribuiti dalla normativa vigente deve realizzare, nell’anno scolastico 2019-20,
la rilevazione degli apprendimenti degli studenti frequentanti le classi II (grado 2) e V (grado 5)
della scuola primaria, III (grado 8) della scuola secondaria di primo grado, II (grado 10) e V (grado
13) della scuola secondaria di secondo grado, sia nelle scuole statali sia in quelle paritarie.
Le rilevazioni verranno effettuate mediante la somministrazione agli studenti delle predette classi
di due prove, riguardanti rispettivamente le discipline “Italiano” e “Matematica”. Inoltre agli
studenti della classe V della scuola primaria, III della scuola secondaria di primo grado e V della
scuola secondaria di secondo grado verrà somministrata una prova di “Inglese”.
Per gli allievi delle sole classi campione della II primaria verrà somministrata anche una prova di
“Lettura”.
Ciò premesso, in relazione al trattamento dei dati sono fornite le seguenti informazioni in
ottemperanza agli artt. 13 e 14 del Regolamento Europeo 2016/679, in seguito denominato
anche GDPR.
1) Titolare del Trattamento e Responsabile della Protezione dei dati
Titolare del trattamento è l’INVALSI con sede in via Ippolito Nievo, n. 35 – CAP 00153 – Roma –
C.F.: 920000450582 – Tel. (+39) 06 941851 – fax (+39) 06 94185215 – e-mail: gdpr@invalsi.it.
Il Responsabile per la protezione dei dati (o anche “Data Protection Officer” – DPO) nominato da
INVALSI è reperibile al seguente indirizzo di posta elettronica: dpo@invalsi.it.
2) Finalità e base giuridica del trattamento
I dati personali saranno trattati esclusivamente per lo svolgimento dei compiti istituzionali
dell’INVALSI e in particolare:
a) per l’effettuazione delle “verifiche periodiche e sistematiche sulle conoscenze e abilità
degli studenti” previste dall’art. 3 della Legge 28 marzo 2003, n. 53, dall’art. 1 della Legge
176/2007, dall’art. 17 del D.Lgs. n. 213/2009, dall’art. 51 comma 2 del D.M. del 3.2.2012
(G.U. 9.2.2012) convertito nella Legge 35/2012 (G.U. 6.04.2012), dagli artt. 4, 7 e 19 del
D.Lgs. 62/2017, nonché dalla normativa collegata e attuativa delle citate disposizioni;
b) per l’effettuazione delle rilevazioni di ulteriori elementi significativi integrati dalla stessa
scuola (dati di contesto) come previsto dal D.M. 80/2013, art. 6 comma 1 lettera a) punto
1, per la determinazione del valore aggiunto (effetto scuola) connesso alle rilevazioni di
cui al punto a).
c) Per finalità di ricerca statistica o scientifica con le garanzie previste dall’art. 89 del GDPR
e in conformità alle regole deontologiche di cui ai Provvedimenti n. 514 e n. 515 emanati
dal Garante della Protezione dei Dati Personali in data 19 dicembre 2018.
Per quanto precede, la base giuridica su cui si fonda il trattamento dei dati è rappresentata
dall’obbligo legale a cui è soggetto il Titolare del trattamento. Per quanto attiene il trattamento di
categorie particolari di dati personali (di cui al successivo punto3), la base giuridica è rappresentata dal
perseguimento di finalità di interesse pubblico rilevante di cui all’art. 2 sexies, comma 3 (bb)
(istruzione e formazione in ambito scolastico, professionale, superiore o universitario)
del D.Lgs. n. 196/03 come modificato dal D.Lgs. n. 101/2018.
3) Categorie dei dati
In relazione alle categorie dei dati trattati si precisa anzitutto che la maggior parte dei dati verrà
trattata in forma anonima; e infatti, in ottemperanza al principio di minimizzazione di cui all’art.
5 comma 1 lettera c) del GDPR, i dati personali, intesi quali quelli identificativi degli interessati,
saranno trattati solo ove indispensabile. In tale ipotesi, in ogni caso, i dati personali trattati saranno
solo di tipo “ordinario”; non saranno infatti trattati dati personali definiti “particolari”, né dati
definiti “giudiziari” dal suddetto GDPR, fatto salvo quanto di seguito precisato in relazione ai dati
particolari.
I dati particolari sono quei dati personali idonei a rivelare l’origine razziale o etnica, le opinioni
politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché quelli relativi
a dati genetici e dati biometrici, o quelli relativi alla salute o alla vita sessuale o all’orientamento
sessuale della persona. I dati giudiziari sono i dati relativi a condanne penali o reati.
L’unico dato di tipo “particolare”, poiché relativo a uno stato di salute, riguarda la certificazione
di uno studente come disabile o come portatore di specifiche difficoltà di apprendimento; si tratta
di dati che la scuola deve già raccogliere per la propria attività istituzionale e nell’interesse stesso
di tali studenti (richiesta delle forme di sostegno e delle altre provvidenze previste dalla legge,
predisposizione di piani educativi individualizzati, adozione di strumenti dispensativi o integrativi
in sede d’esame, adozione di particolari criteri di valutazione e di certificazione degli esiti) e che
INVALSI riceve in forma anonimizzata per un duplice scopo: a) mettere a disposizione, nel caso
di alunni ipovedenti o con particolari disturbi, formati specifici delle prove (es. Braille) o
determinati supporti (es. testo della prova in formato audio); b) poter considerare separatamente,
se esplicitamente richiesto dal Dirigente scolastico, i risultati degli studenti con bisogni educativi
speciali e non farli rientrare nella elaborazione statistica dei risultati di tutti gli altri studenti.
Le informazioni rilevate mediante i moduli “dati di contesto” sono raccolte in forma assolutamente
anonima.
4) Fonte dei dati
I dati di tipo ordinario, con particolare riferimento a:
a) CODICE MECCANOGRAFICO DELLA SCUOLA
b) CODICE MECCANOGRAFICO DEL PLESSO
c) SEZIONE
d) CODICE SIDI
e) MESE E ANNO DI NASCITA
f) GENERE
g) NOME DELLO STUDENTE
h) COGNOME DELLO STUDENTE
sono acquisiti presso il Ministero dell’Istruzione, dell’Università e della Ricerca (MIUR).
Lo scambio dei dati tra MIUR e INVALSI è definito mediante una convenzione adottata
conformemente alle misure necessarie prescritte dal Garante per la protezione dei dati personali
con il provvedimento n. 393 del 2 luglio 2015.
I dati di tipo “particolare” come spiegato al punto precedente, sono acquisiti da INVALSI presso
la scuola di appartenenza dello studente.
I dati di contesto sono raccolti dalle segreterie delle scuole come specificato nel successivo
paragrafo “modalità di trattamento”.
5) Modalità di trattamento
I dati sono trattati in forma cartacea e/o con strumenti elettronici e telematici come di seguito
specificato. Le prove sono somministrate dagli insegnanti di classe o da altro docente della scuola
appositamente incaricato. Al fine di garantire la corretta somministrazione delle prove e quindi
l’attendibilità dei risultati rilevati, in un campione di classi sono inviati osservatori esterni
incaricati di accertare la corretta applicazione del protocollo di somministrazione.
Per quanto attiene i dati personali degli studenti che svolgono le prove in modalità cartacea si
precisa che sui fascicoli contenenti i testi delle prove sono apposte etichette recanti i codici
identificativi della scuola, del plesso, del livello di classe frequentata, della sezione e dello
studente. Lo studente è identificato solamente tramite il predetto codice alfanumerico e la chiave
di collegamento tra il codice e il nominativo dello studente è conosciuta solo dal personale della
scuola abilitato a trattare i dati personali degli studenti e, nelle classi campione, dall’osservatore
esterno solamente per quanto riguarda le prove.
Per le classi II e V della scuola primaria, le risposte di ogni studente ai quesiti delle prove sono
riportate dai somministratori su un’apposita maschera elettronica. Tali maschere elettroniche,
compilate e recanti il solo codice alfanumerico, sono poi trasmesse all’INVALSI in modo da
procedere tempestivamente all’elaborazione dei dati.
I dati personali sono quindi trattati in modo da essere resi anonimi all’esterno e all’interno
dell’Istituto, immediatamente dopo la raccolta effettuata dalle istituzioni scolastiche. Il codice di
accoppiamento tra le informazioni raccolte e l’identificativo della persona è conosciuto solo dal
personale docente dell’istituzione scolastica incaricato della somministrazione e dal personale di
segreteria incaricato della trasposizione dei dati sulla maschera elettronica e, una volta usato per
la predetta funzione, non è ulteriormente utilizzabile.
Per quanto attiene alle prove svolte in modalità Computer Based, si precisa che l’INVALSI ha
redatto un apposito atto regolamentare sottoposto all’approvazione dell’Autorità di Controllo e
consultabile sul sito dell’INVALSI.
Le rilevazioni degli apprendimenti concorrono, secondo la legge, alla valutazione del valore
aggiunto (effetto scuola) realizzato dalle scuole. Per stimare il valore aggiunto prodotto da una
istituzione scolastica e le cause del successo/insuccesso dei propri studenti è necessario
considerare i risultati di apprendimento al netto dei fattori del contesto socio-economico-culturale
e degli atteggiamenti e le motivazioni degli studenti medesimi. Pertanto, alle segreterie delle scuole
è richiesto di raccogliere, mediante scheda cartacea, un insieme di informazioni sugli studenti e
precisamente: origine (italiana o straniera), livello di istruzione e occupazione dei genitori, orario
settimanale della classe frequentata, frequenza o meno dell’asilo nido e della scuola dell’infanzia.
Tali informazioni sono riportate dalle segreterie delle scuole su apposite maschere elettroniche,
senza alcun riferimento identificativo dei genitori, e trasmesse direttamente all’INVALSI, con il
solo codice identificativo dello studente. In tal modo è garantito il rispetto dell’anonimato dello
studente sia per quanto riguarda i risultati delle prove sia per ciò che concerne le notizie raccolte
dalle segreterie delle scuole, in quanto la chiave di collegamento tra il codice e il nominativo dello
studente è conosciuta solo dall’insegnante della classe o della scuola incaricato della
somministrazione addetto alla trasposizione dei dati sulla maschera elettronica e dal personale di
segreteria.
I dati sono trattati da soggetti interni incaricati da INVALSI e appositamente autorizzati al
trattamento o anche da soggetti esterni nominati da INVALSI quali Responsabili del trattamento
ai sensi dell’art. 28 del GDPR. L’elenco dei Responsabili del trattamento nominati da INVALSI
in relazione alle finalità di cui al punto 2) della presente informativa può essere ottenuto inviando
una richiesta all’indirizzo e-mail dedicato alle questioni attinenti il GDPR: gdpr@invalsi.it.
Il trattamento è improntato al principio di correttezza, liceità e trasparenza.
Un’ulteriore garanzia della correttezza nel trattamento dei dati personali è assicurata
dall’inserimento dell’INVALSI nel Sistema Statistico Nazionale (SISTAN), stabilita con Decreto
del Presidente del Consiglio dei Ministri del 20 aprile 2016.
Per quanto riguarda il trattamento dei dati per finalità statistiche e scientifiche INVALSI, ai sensi
dell’art. 89 del GDPR, ha provveduto a porre in essere garanzie adeguate per i diritti e le libertà
degli interessati. Sono, infatti, state predisposte misure tecniche e organizzative, in particolare al
fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure includono la
pseudonimizzazione; la pseudonimizzazione consiste nel fatto che i dati non possono essere
attribuiti ad uno specifico soggetto senza l’uso di ulteriori informazioni conservate separatamente.
6) Conseguenze del mancato conferimento dei dati
Il conferimento dei dati è obbligatorio per tutto quanto è richiesto dagli obblighi legali cui è
sottoposto l’INVALSI. Pertanto l’eventuale rifiuto a fornirli in tutto o in parte può dar luogo
all’impossibilità per l’INVALSI di dare esecuzione al compito di svolgere verifiche periodiche e
sistematiche sulle conoscenze e abilità degli studenti.
Per i genitori il conferimento dei dati relativi alla scheda “raccolta dati di contesto” è facoltativo.
7) Destinatari dei dati
Destinatari dei risultati delle verifiche condotte dall’INVALSI sono le istituzioni scolastiche
presso le quali le stesse sono state condotte e il MIUR.
8) Conservazione dei dati
Ove l’INVALSI debba trattare dati identificativi (limitatamente a nome e cognome dello studente
e codice SIDI), la conservazione dei predetti dati è limitata al periodo strettamente necessario per
garantire il corretto adempimento di quanto previsto dal D.Lgs. n. 62/2017 per il grado 8 e 13.
Pertanto i dati relative al nome e cognome dello studente, per il grado 8 e 13, sono conservati
dall’INVALSI solo fino al termine del mese di giugno e poi sono cancellati dai propri archivi, con
la sola eccezione degli allievi che devono sostenere la prova suppletiva per i quali i predetti dati
sono conservati fino al termine delle lezioni di ciascun anno scolastico.
Oltre a quanto stabilito in precedenza, i dati idonei a rivelare lo stato di salute raccolti per gli allievi
disabili e con DSA (disturbi specifici dell’apprendimento) sono cancellati dopo il termine delle
lezioni di ciascun anno scolastico.
In particolare, i predetti dati sono:
a) trasformati indistintamente in “allievo assente o non svolge la prova standard” nei casi in
cui le opzioni esercitate dalla scuola determinino il mancato rilascio della certificazione
delle competenze di cui all’art. 9, comma 3, lettera f) del D.Lgs. n. 62/2017 e all’art. 21,
comma 2 del D.Lgs. n. 62/2017;
b) cancellati nei casi in cui le misure compensative prescelte abbiano comunque consentito il
rilascio della certificazione delle competenze di cui all’art. 9, comma 3, lettera f) del D.Lgs.
n. 62/2017 e all’art. 21, comma 2 del D.Lgs. n. 62/2017.
I restanti dati personali di ciascuno studente (dalla lettera a alla lettera f del punto 4 della presente
Informativa), con esclusione di quelli idonei a rivelare lo stato di salute, unitamente agli esiti delle
prove e agli altri dati rilevati dall’INVALSI, privi del nome e del cognome, sono conservati per
l’adempimento delle finalità istituzionali dell’INVALSI ai sensi del D.Lgs. n. 286/2004 e del
D.P.R. 80/2013.
La distruzione dei moduli per la raccolta dei dati di contesto avverrà con modalità tali che non sia
possibile ricostruire il documento cartaceo.
La conservazione dei dati per finalità statistiche o scientifiche è a tempo indeterminato.
9) Profilazione e diffusione dei dati
I dati personali non sono soggetti a diffusione né ad alcun processo decisionale interamente
automatizzato, ivi compresa la profilazione.
10) Trasferimento verso paesi ExtraEU
Il Titolare del trattamento non trasferisce i dati personali in Paesi terzi o a Organizzazioni
internazionali.
11) Misure di sicurezza
Le misure di sicurezza consistono in accorgimenti tecnici e organizzativi predisposti per fare in
modo che:
– i dati non siano distrutti o persi anche in modo accidentale;
– ai dati accedano solo le persone autorizzate;
– non siano effettuati trattamenti contrari alle norme di legge o diversi da quelli per cui i dati
sono stati raccolti.
INVALSI ha adottato ai sensi dell’art. 32 del GDPR una serie di misure di sicurezza, tecniche ed
organizzative (inclusa la crittografia) adeguate a proteggere i dati da utilizzo improprio, perdita o
accesso non autorizzato. Sono incluse misure per far fronte a qualsiasi sospetta violazione dei dati.
12) Diritti degli interessati
Tra i diritti riconosciuti dal GDPR agli interessati rientrano quelli di chiedere all’INVALSI:
– l’accesso ai dati personali e alle informazioni relative agli stessi;
– la rettifica dei dati inesatti o l’integrazione di quelli incompleti;
– la cancellazione dei dati personali (al verificarsi di una delle condizioni indicate nell’art. 17,
paragrafo 1 del GDPR e nel rispetto delle eccezioni previste nel paragrafo 3 dello stesso
articolo);
– la limitazione del trattamento dei dati personali (al ricorrere di una delle ipotesi indicate
nell’art. 18, paragrafo 1 del GDPR);
– chiedere ed ottenere – nelle ipotesi in cui la base giuridica del trattamento sia il contratto o il
consenso, e lo stesso sia effettuato con mezzi automatizzati – i dati personali in un formato
strutturato e leggibile da dispositivo automatico, anche al fine di comunicare tali dati a un altro
Titolare del trattamento (c.d. diritto alla portabilità dei dati personali);
– opporsi in qualsiasi momento al trattamento dei dati personali al ricorrere delle ipotesi previste
dall’art. 21 del GDPR;
– revocare il consenso in qualsiasi momento, limitatamente alle ipotesi in cui il trattamento sia
basato sul consenso per una o più specifiche finalità e riguardi dati personali comuni, oppure
particolari categorie di dati. Il trattamento basato sul consenso ed effettuato antecedentemente
alla revoca dello stesso conserva, comunque, la sua liceità.
Tutti i suddetti diritti potranno essere esercitati inviando una richiesta al Titolare all’indirizzo
gdpr@invalsi.it o anche al DPO all’indirizzo dpo@invalsi.it.
L’interessato riceverà una risposta entro 30 giorni.
Ove ne ricorrano i presupposti l’interessato può proporre reclamo a un’autorità di controllo
(Autorità Garante per la protezione dei dati personali – www.garanteprivacy.it).
Roma, 7 gennaio 2020
IL TITOLARE DEL TRATTAMENTO
INVALSI