Tutela del trattamento dei dati personali. Decreto Legislativo 196/2003 e All. B. Avv. Stefano Corsini

Transcript

1 Privacy e Sicurezza Tutela del trattamento dei dati personali Decreto Legislativo 196/2003 e All. B Avv. Stefano Corsini info@avvocatocorsini.it -

2 Decreto Legislativo 30 giugno 2003, n 196 Codice in materia di protezione dei dati personali

3 Privacy: termine inglese non traducibile con un singolo termine. Oggi privacy non indica soltanto il diritto di essere lasciati in pace o di proteggere la propria sfera privata, ma anche il diritto di controllare l utilizzo e la circolazione dei propri dati personali, fino anche a poterne pretendere la tutela.

4 Chiunque ha diritto alla protezione dei propri dati personali Art. 1

5 Nel trattamento dei dati personali devono essere assicurati: - il rispetto dei diritti e delle libertà fondamentali; - la dignità dell'interessato; con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali

6 Rispettare i diritti, le libertà fondamentali, la dignità dell interessato Decreto Legge 216/2003 Art Nozione di discriminazione 1. per principio di parità di trattamento si intende l'assenza di qualsiasi discriminazione diretta o indiretta a causa della religione, delle convinzioni personali, degli handicap, dell'età o dell'orientamento sessuale. Tale principio comporta che non sia praticata alcuna discriminazione diretta o indiretta, così come di seguito definite: a) discriminazione diretta quando, per religione, per convinzioni personali, per handicap, per età o per orientamento sessuale, una persona è trattata meno favorevolmente di quanto sia, sia stata o sarebbe trattata un'altra in una situazione analoga; b) discriminazione indiretta quando una disposizione, un criterio, una prassi, un atto, un patto o un comportamento apparentemente neutri possono mettere le persone che professano una determinata religione o ideologia di altra natura, le persone portatrici di handicap, le persone di una particolare età o di un orientamento sessuale in una situazione di particolare svantaggio rispetto ad altre persone.

7 PRINCIPIO DI NECESSITÀ NEL TRATTAMENTO DEI DATI I sistemi informativi e informatici devono utilizzare al minimo dati personali e identificativi quando le finalità perseguite possono essere realizzate con: l utilizzo di dati anonimi; modalità che consentano l identificazione diretta solo se strettamente necessario. Non bisogna utilizzare né richiedere dati che non servono.

8 Quindi, quali adempimenti? Privacy «interna» Incarichi, misure di sicurezza Privacy «esterna» Informativa(e consenso): allievi, dipendenti, Privacy «burocratica» Accesso agli atti, tutela dei diritti dei cittadini

9

10 Ruoli, compiti e responsabilità I criteri di organizzazione degli uffici pubblici sono attuati nel rispetto della disciplina in materia di trattamento dei dati personali. Art. 2, comma 1-bis, D.Lgs. 165/2001.

11 Definizione di interessato* La persona fisica cui si riferiscono i dati personali. * modificata dalla lettera b) del comma 2 dell art. 40, D.L. 6 dicembre 2011, n. 201

12 DEFINIZIONE di titolare La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine a: 1) finalità; 2) modalità del trattamento di dati personali; 3) strumenti utilizzati; 4) profilo della sicurezza.

13 Art. 28 Quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è l'ente nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza.

14 INCARICATO E colui che effettua le operazioni sotto l autorità del titolare o responsabile attenendosi alle istruzioni ricevute. E nominato con atto scritto anche tramite la preposizione a unità organizzativa che tratta dati (es. Docenti, ATA, ecc.). Nell atto di nomina va specificato l ambito di trattamento consentito. (art. 4-30) Chi non è incaricato è considerato terzo rispetto al trattamento, e non può utilizzare o consultare i dati.

15 RESPONSABILE è designato dal titolare (in piena libertà) Il responsabile deve offrire garanzia di esperienza, capacità, affidabilità (culpa in eligendo) possono essere designati responsabili più soggetti tra cui poter suddividere i compiti i compiti devono essere analiticamente specificati per iscritto dal titolare il responsabile si attiene alle istruzioni del titolare, che vigila sulla loro osservanza (culpa in vigilando)

16 I soggetti del Trattamento Titolare Responsabile Responsabile Esterno Incaricato Incaricato Incaricato Incaricato Incaricato Incaricato Interessato Interessato Interessato Interessato Interessato Interessato

17 Dato personale* Qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Ed anche immagini, suoni, numeri di telefono, ecc. * modificata dalla lettera b) del comma 2 dell art. 40, D.L. 6 dicembre 2011, n. 201

18 I dati personali idonei a rivelare: l'origine razziale ed etnica; le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche; Dati sensibili Appartenenza per nascita e discendenza ad un popolo o razza l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale; garanzia costituzionale i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Elenco tassativo

19 Dato sanitario Secondo l interpretazione del Garante (Racc. 5/97) : tutti i dati di carattere personale relativi alla salute di una persona.

20 Dato giudiziario I dati personali idonei a rivelare : provvedimenti iscritti nel casellario giudiziale, provvedimenti iscritti nell anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, la qualità di imputato o di indagato.

21 Alcuni esempi di dati PERSONALI trattati a scuola Dati identificativi di dipendenti, di familiari di dipendenti (per l erogazione delle agevolazioni fiscali), di collaboratori, consulenti: nome, cognome, indirizzo, sede, data di nascita, tel., fax, e- mail, P. IVA, ecc. Dati relativi all attività economica, commerciale, finanziaria dati contabili, ordini, spedizioni, contratti, dati bancari Dati relativi alla gestione del rapporto di lavoro occupazione attuale e precedente, retribuzioni, ecc.

22 Alcuni esempi di dati SENSIBILI trattati a scuola Dati idonei a rivelare le convinzioni religiose, filosofiche o di altro genere fruizione di permessi e festività religiose, scelta dell insegnamento della religione, regime alimentare Dati idonei a rivelare le opinioni politiche, l adesione a partiti, sindacati, associazioni a carattere politico o sindacale attività o incarichi sindacali, trattenute per il versamento delle quote sindacali o delle quote di iscrizione ad organizzazioni politiche o sindacali nelle paghe, 8 per mille

23 Alcuni esempi di dati SENSIBILI trattati a scuola Dati idonei a rivelare lo stato di salute Curricula vitae Dati sulle malattie anche professionali, infortunio, invalidità, infermità, gravidanza, allattamento, idoneità psico-fisica alla mansione specifica, appartenenza a categorie protette, allergie alimentari, DSA (L. 170/2010). Hobby, preferenze, appartenenza a categorie protette, etnia, razza, religione, dati sindacali I dati idonei a rivelare lo stato di salute non possono essere diffusi

24

25 MODALITA del trattamento (art. 11) Trattamento secondo liceità e correttezza I dati vanno raccolti e registrati per scopi: determinati espliciti legittimi I dati devono essere: pertinenti, completi, non eccedenti le finalità della loro raccolta; esatti e, se necessario, aggiornati; conservati per il tempo necessario; Pena la loro inutilizzabilità

26 Informativa OBBLIGO del Titolare - DIRITTO dell interessato Destinatari: interessati persone fisiche Forma e Contenuto: gli elementi e le modalità sono indicati nel Codice (art. 13) Scopo: garantire i diritti dell interessato Opportunità: concentrare altre incombenze(liberatoria immagini)

27 INFORMATIVA È fornita preventivamente e preferibilmente in forma scritta Ha forma chiara ed intelligibile e deve contenere: finalità e modalità trattamento obbligatorietà o facoltatività del conferimento conseguenze eventuale rifiuto soggetti cui i dati possono essere comunicati diritti dell interessato (art. 7) estremi del titolare, responsabile, o del soggetto cui rivolgere le richieste ex art. 7

28 Informativa Può essere pubblicata sul sito internet dell istituto. Non può essere esclusivamente orale. E il documento più importante tra gli adempimenti obbligatori.

29 Consenso Le pubbliche amministrazioni non devono richiedere il consenso, però è necessario per l autorizzazione (art. 10 c.c., L. 633/41) all utilizzo delle immagini (foto, video) da pubblicare su internet (sito della scuola) o su giornalini scolastici. Osservazione: certe attività didattiche richiedono la rendicontazione (e quindi anche la documentazione) agli enti erogatori dei fondi.

30 Trattamento di dati relativi a studenti 1. Al fine di agevolare l'orientamento, la formazione e l'inserimento professionale, anche all'estero, le scuole e gli istituti scolastici di istruzione secondaria, su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o giudiziari, pertinenti in relazione alle predette finalità e indicati nell'informativa resa agli interessati ai sensi dell'articolo 13. I dati possono essere successivamente trattati esclusivamente per le predette finalità. Resta ferma la disposizione di cui all'art. 2, comma 2, del DPR 24 giugno n. 249/98 (come mod. dal DPR. n. 235/07), sulla tutela del diritto dello studente alla riservatezza. 1. Restano altresì ferme le vigenti disposizioni in materia di pubblicazione dell'esito degli esami mediante affissione nell'albo dell'istituto e di rilascio di diplomi e certificati.

31 Circolare ministeriale 7572 del 4 agosto 2011 Obbligo pubblicazione curricula studenti e laureati e servizi di placement D.M 20 Settembre 2011

32 Alcuni chiarimenti 1. I risultati degli scrutini - che non sono, peraltro, dati sensibili, soggetti a speciali tutele - devono essere al contrario pubblicati anche dopo l'avvento della normativa sulla privacy, essendo ciò previsto da una specifica disciplina in materia e rispondendo a principi di trasparenza. 2. I punteggi attribuiti come crediti scolastici a ciascun alunno sono pubblicati nell'albo degli istituti, unitamente ai voti conseguiti in sede di scrutinio finale. In ciascun albo va anche pubblicato l'esito degli esami, "con la sola indicazione della dizione non promosso nel caso di esito negativo. 3. Non esiste alcun provvedimento del Garante che imponga di tenere segreti i voti dei compiti in classe, delle interrogazioni o gli scrutini, né di consegnarli agli alunni in busta chiusa.

33 Alcuni chiarimenti Scrutini Nel caso di alunni che abbiano svolto un percorso didattico differente, il riferimento alle prove differenziate effettuate avrebbe dovuto essere indicato solo nell'attestazione e non anche nei tabelloni affissi all'albo dell'istituto. Esiti scolastici La circostanza che gli esiti scolastici siano consultabili da parte di chiunque, in quanto affissi all'albo degli istituti scolastici, non autorizza comunque i terzi al loro utilizzo indiscriminato.

34 Alcuni chiarimenti Foto degli esiti scolastici E lecita. Illecito potrebbe esserne l uso che se ne fa. Ma non dipende dalle scuole Quindi no ad eventuali divieti

35 Alcuni chiarimenti 1) L eventuale installazione di sistemi di videosorveglianza presso istituti scolastici deve garantire "il diritto dello studente alla riservatezza" (art. 2, comma 2, D.P.R. n. 249/1998) e tenere conto della delicatezza dell eventuale trattamento di dati relativi a minori. A tal fine, se può risultare ammissibile il loro utilizzo in casi di stretta indispensabilità (ad esempio, a causa del protrarsi di atti vandalici), gli stessi devono essere circoscritti alle sole aree interessate ed attivati negli orari di chiusura degli istituti, regolando rigorosamente l eventuale accesso ai dati. Restano di competenza dell autorità giudiziaria o di polizia le iniziative intraprese a fini di tutela dell ordine pubblico o di individuazione di autori di atti criminali (per es. spacciatori di stupefacenti, adescatori, ecc.). 2) L utilizzo di sistemi di videosorveglianza è ammissibile solo se indispensabile per tutelare l edificio ed i beni scolastici da atti vandalici, riprendendo solo le aree interessate, attivando gli impianti negli orari di chiusura degli istituti e vietando la messa in funzione delle telecamere in coincidenza con lo svolgimento di eventuali attività extrascolastiche all interno della scuola.

36 Alcuni chiarimenti 1)Le riprese video e le fotografie raccolte dai genitori, durante recite e saggi scolastici, non violano la privacy. L'uso di videocamere o macchine fotografiche per documentare eventi scolastici e conservare ricordi dei propri figli non ha ovviamente niente a che fare con le norme sulla privacy. Si tratta, infatti, di immagini non destinate a diffusione, ma raccolte per fini personali e destinate ad un ambito familiare: il loro uso è quindi del tutto legittimo. 2)Le circolari scolastiche devono essere formulate in modo da non consentire l identificazione degli studenti se tali informazioni ledono la loro riservatezza e la loro dignità.

37 Alcuni chiarimenti 1. Non commette violazione della privacy l insegnante che assegna ai propri alunni lo svolgimento di temi in classe riguardanti il loro mondo personale o familiare. Nel momento in cui gli elaborati vengono letti in classe specialmente se sono presenti argomenti delicati - è affidata alla sensibilità di ciascun insegnante la capacità di trovare il giusto equilibrio tra le esigenze didattiche e la tutela dei dati personali. Restano comunque validi gli obblighi di riservatezza già previsti per il corpo docente riguardo al segreto d ufficio e professionale, nonché quelli relativi alla conservazione dei dati personali eventualmente contenuti nei temi degli alunni.

38 Alcuni chiarimenti 1. È possibile registrare la lezione esclusivamente per scopi personali, ad esempio per motivi di studio individuale. Per ogni altro utilizzo o eventuale diffusione, anche su Internet, è necessario prima informare adeguatamente le persone coinvolte nella registrazione (professori, studenti ), e ottenere il loro esplicito consenso. Nell ambito dell autonomia scolastica, gli istituti possono decidere di regolamentare diversamente o anche di inibire gli apparecchi in grado di registrare.

39 Alcuni chiarimenti 1. L utilizzo di videofonini, di apparecchi per la registrazione di suoni e immagini è in genere consentito, ma esclusivamente per fini personali, e sempre nel rispetto dei diritti e delle libertà fondamentali delle persone coinvolte, in particolare della loro immagine e dignità. Le istituzioni scolastiche hanno, comunque, la possibilità di regolare o di inibire l utilizzo di registratori audio-video, inclusi i telefoni cellulari abilitati, all interno delle aule di lezione o nelle scuole stesse. Non è possibile, in ogni caso, diffondere o comunicare sistematicamente i dati personali di altre persone (ad esempio immagini o registrazioni audio/video) senza aver prima informato adeguatamente le persone coinvolte e averne ottenuto l esplicito consenso.

40 Alcuni chiarimenti 1. Gli studenti e gli altri membri della comunità scolastica devono quindi prestare particolare attenzione a non mettere on line immagini (ad esempio su blog, siti web, social network) o a diffonderle via mms. Succede spesso, tra l altro, che una fotografia inviata a un amico/familiare, poi venga inoltrata ad altri destinatari, generando involontariamente una comunicazione a catena dei dati personali raccolti. Tale pratica può dar luogo a gravi violazioni del diritto alla riservatezza delle persone riprese, incorrendo in sanzioni disciplinari, pecuniarie ed eventuali reati.

41 Recenti interventi del Garante a scuola 1) Caso di un Comune che, per prevenire eventuali abusi, forniva buoni pasto di colori differenti in relazione alla fascia di reddito di appartenenza delle famiglie degli studenti beneficiari, rendendo così conoscibile a chiunque accedesse alle mense scolastiche le condizioni di reddito delle famiglie. 2) I genitori di uno studente avevano segnalato l avvenuta comunicazione da parte di una scuola ad un esercizio commerciale degli elenchi comprensivi di generalità e classe degli studenti, per consentire di individuare le divise scolastiche da fornire. Il Garante ha dichiarato illecito il trattamento da parte della scuola

42 Recenti interventi del Garante a scuola 3) Una direzione didattica ha comunicato l intenzione di trasmettere l elenco nominativo degli insegnanti, bambini e altri operatori transitati presso l istituto a partire dal 2000, all A.S.L., che ne aveva fatto richiesta per interventi di sanità pubblica, divenuti necessari in seguito al decesso di due bambini iscritti alla scuola elementare. Tale operazione configura una comunicazione di dati personali non sensibili tra due soggetti pubblici, ammissibile se prevista da una norma (art. 19, comma 2, del Codice). In particolare, le norme di settore attribuiscono alle aziende sanitarie funzioni di vigilanza in merito all igiene e alla medicina scolastica negli istituti di istruzione (artt. 14 e 20, l. 23 dicembre 1978, n. 833), nonché la promozione di azioni volte a rimuovere le cause di malattia di origine anche umana.

43 Recenti interventi del Garante a scuola Il Gruppo ex art. 29 si è pronunciato sul tema della protezione dei dati relativi ai minori con il documento di lavoro del 18 febbraio 2008 (WP 147). Nella parte generale viene anche menzionato il diritto all oblìo, particolarmente significativo perché le informazioni relative al minore possono rapidamente divenire obsolete ed eccedenti rispetto all originario scopo della raccolta. La seconda parte del documento riguarda il contesto scolastico e affronta temi quali il trattamento dei dati nei curricula e l impiego delle nuove tecnologie, con particolare riguardo alla videosorveglianza, all accesso ai locali della scuola attraverso dispositivi biometrici, ai siti web scolastici e all uso di videofonini in aula; sottolinea inoltre il ruolo delle scuole nella sensibilizzazione dei minori sui rischi derivanti dal trattamento dei dati che li riguardano e sull esercizio dei loro diritti.

44 Casi pratici Un compito dato da un docente di lettere alla propria classe ove si chieda di riferire se tra i docenti conosciuti quest'anno ve ne sia uno "Speciale", preferito agli altri per le sue caratteristiche e qualità e quale tipo di rapporto si è instaurato con gli altri insegnanti assume il carattere di violazione della Privacy in quanto le informazioni richieste sono riconducibili alla nozione di dato sensibile, cioè idonee a rivelare aspetti della sfera psico-fisica degli altri docenti. libertà d'insegnamento Il trattamento dei dati ed informazioni personali da parte di privati o soggetti pubblici (profilazione) può avvenire solo con il consenso espresso dell'interessato.

45 Casi pratici Genitori separati non conviventi. Richiesta documentazione carriera scolastica dei figli. La potestà attribuita ad entrambi i genitori deve essere esercitata di comune accordo (art. 316 codice civile) o quantomeno concordata nelle linee generali di indirizzo, sulla base delle quali ciascun genitore potrà e dovrà operare anche separatamente. Il coniuge, cui i figli non siano affidati, ha il diritto e il dovere di vigilare sulla loro istruzione ed educazione. Dal 2006 è in vigore la legge sul cd. Affidamento condiviso (cd. potestà bigenitoriale ).

46 Casi pratici un'associazione sportiva, all'interno di un progetto realizzato in collaborazione con enti locali e soggetti privati, volto ad offrire tre mesi di pratica sportiva gratuita agli alunni delle scuole pubbliche elementari e medie, effettuava un dettagliato screening medico, psicologico e motorio degli alunni anche in relazione alla loro anamnesi familiare. L'Ufficio ha invitato l'associazione sportiva a richiedere unicamente un certificato medico di idoneità fisica all'attività sportiva, anziché anche altra documentazione sanitaria, e a distruggere gli altri dati idonei a rivelare lo stato di salute del minore o della relativa famiglia, eventualmente già raccolti. All'associazione sportiva sono stati altresì segnalati gli obblighi in materia di misure di sicurezza e la necessità di informare in modo idoneo i legali rappresentanti degli alunni coinvolti

47 Recenti interventi del Garante a scuola 4) E illecito pubblicare sul sito della scuola il nome e cognome degli studenti i cui genitori sono in ritardo nel pagamento della retta o del servizio mensa. Lo stesso vale per gli studenti che usufruiscono gratuitamente del servizio mensa in quanto appartenenti a famiglie con reddito minimo o a fasce deboli. Gli avvisi messi on line devono avere carattere generale, mentre alle singole persone ci si deve rivolgere con comunicazioni di carattere individuale. A salvaguardia della trasparenza sulla gestione delle risorse scolastiche, restano ferme le regole sull accesso ai documenti amministrativi da parte delle persone interessate.

48 Recenti interventi del Garante a scuola 5) L attività di ricerca con la raccolta di informazioni personali tramite questionari da sottoporre agli studenti è consentita solo se ragazzi e genitori sono stati prima informati sugli scopi delle ricerca, le modalità del trattamento e le misure di sicurezza adottate. Gli studenti e i genitori devono essere lasciati liberi di non aderire all iniziativa.

49 Recenti interventi del Garante a scuola Rilevazione impronte digitali in un liceo di Roma. Il Garante apre un'istruttoria Il Garante ha aperto un'istruttoria a seguito di una segnalazione nella quale si lamenta che presso un liceo di Roma sarebbe stata effettuata una raccolta di dati biometrici di alcuni docenti finalizzata all'installazione di un sistema di rilevazione delle presenze del personale. Nella segnalazione si lamenta inoltre la presenza di telecamere di sorveglianza posizionate senza alcuna comunicazione al personale. 12 ottobre 2012

50 La ditta incaricata da una scuola pubblica di gestire il servizio di refezione scolastica inviava alle famiglie i bollettini non in busta chiusa, e con l indicazione della quota spettante ad ogni bambino, consentendo così anche a soggetti non legittimati di venire a conoscenza delle informazioni idonee a rivelare la situazione economica degli interessati. Novembre 2011

51 Una scuola aveva pubblicato sul proprio sito istituzionale una circolare del dirigente scolastico indirizzata al personale docente, contenente l indicazione dei nominativi degli alunni con specifici disturbi di apprendimento insieme ad altre informazioni relative alle loro condizioni di salute. Novembre 2011

52 Nel corso dell anno di riferimento (2011), è stato altresì segnalato che una scuola pubblica superiore diffondeva sul proprio sito internet istituzionale l elenco degli studenti distinti per classe. Tale diffusione, che sarebbe stata effettuata per finalità di trasparenza e pubblicità amministrativa non risultava, tuttavia, prevista da alcuna norma di legge o di regolamento (art. 19, comma 3, del Codice).

53 Un istituto tecnico commerciale, nel diffondere sul proprio sito internet istituzionale le graduatorie relative alle supplenze del personale docente, aveva altresì consentito l indicizzazione dei nomi degli interessati nei motori di ricerca esterni. Al riguardo, è stato evidenziato che i dati personali non devono essere liberamente reperibili utilizzando motori di ricerca esterni (cfr. art. 19, comma 3, del Codice). Ved. in proposito: Linee-guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico ; Linee guida in materia di trattamento di dati personali per finalità di pubblicazione e diffusione di atti e documenti di enti locali ;

54 Fascicolo elettronico degli studenti. A partire dall anno accademico le università dovranno adottare il fascicolo elettronico dello studente contenente tutti i dati relativi alla carriera dello studente (art. 10, comma 1). Il fascicolo è alimentato dall Anagrafe nazionale degli studenti di cui all art. 3 del d.lgs. 15 aprile 2005, n. 76, e successive modificazioni Relazione Annuale Garante per il 2012.