FINALITÀ E SCOPI. rispetto della privacy, della riservatezza dei dati, della tutela della dignità personale, dell identità personale;

Transcript

1 Prot. n 0012 Reggio di Calabria, 03/01/2015 All Albo dell Istituzione Scolastica All Albo on-line Sito dell Istituzione Scolastica Documento programmatico sulla sicurezza dei dati personali REDATTO AI SENSI E PER GLI EFFETTI DELL ART. 34, COMMA 1, LETT. G) DEL D.LEG.VO 196/2003 E DEL DISCIPLINARE TECNICO ALLEGATO AL MEDESIMO DECRETO SUB B). 1

2 FINALITÀ E SCOPI Il presente documento, elaborato al fine di mettere in atto le misure di sicurezza per tutelare i dati personali oggetto di trattamento, si propone di delineare il quadro delle misure di sicurezza, organizzative, fisiche e logiche, da adottare per il trattamento dei dati personali effettuato da tutto il personale della SCUOLA il cui rappresentante pro-tempore è il dirigente scolastico Prof.ssa Domenica FAVA, che nel seguito del documento sarà indicato come Titolare. Il DPS è stato aggiornato dal Titolare del trattamento dei dati personali Prof.ssa Domenica FAVA. Copia del presente documento, compresi gli allegati, è disponibile presso il Responsabile per il trattamento dei dati personali che ne cura gli aggiornamenti su mandato del Titolare. I provvedimenti organizzativi disposti e le misure di sicurezza adottate in osservanza a quanto disposto dal D.L.vo 196/2003 sono finalizzati a garantire a ciascun interessato (utente, dipendente, fornitore) la tutela di: rispetto della privacy, della riservatezza dei dati, della tutela della dignità personale, dell identità personale; rispetto della riservatezza, con riguardo alla tutela dei dati personali, anche allo scopo di evitare l ingerenza di terzi; tutela della riservatezza delle documentazioni custodite dalla scuola e salvaguardia dell integrità nel tempo delle documentazioni medesime, siano esse costituite da materiale cartaceo che registrate su supporti informatici. 2

3 PRINCIPALI VARIAZIONI RISPETTO ALLA PRECEDENTE EDIZIONE DEL PRESENTE DOCUMENTO MODIFICHE NORMATIVE: MISURE E ACCORGIMENTI PRESCRITTI AI TITOLARI DEI TRATTAMENTI EFFETTUATI CON STRUMENTI ELETTRONICI RELATIVAMENTE ALL ATTRIBUZIONI DELLE FUNZIONI DI AMMINISTRATORE DI SISTEMA. La figura dell amministratore di sistema, già prevista nel D.P.R. 318/99, non recepita in prima fase dal D.Lgs. 196/2003, acquista obbligatorietà dietro Provvedimento del Garante del 27/11/2008, con esclusione di alcuni soggetti. L Istituzione Scolastica, per i propri compiti istituzionali ai quali deve assolvere, non può rientrare fra i soggetti esclusi dall obbligo di nomina dell amministratore di sistema. Il Titolare, tenuto a individuare la/le figura/e dell amministratore di sistema fra quei soggetti che "per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza" (art. 29, comma 2, del Codice), dovrà operare detta scelta affidando il corrispondente incarico. La suddetta denominazione è di norma riferita ad una figura operante essenzialmente in ambito informatico per la gestione e manutenzione degli impianti di elaborazione di dati e delle relative componenti. Tuttavia per estensione viene considerato amministratore di sistema il soggetto, di figura equiparabile, che ha un ruolo importante nel contesto dei rischi relativi alla protezione di dati, quali basi di dati; reti e di apparati di sicurezza; sistemi software complessi. La scelta della figura che dovrà ricoprire il ruolo previsto dal provvedimento sopra citato è ascrivibile alle caratteristiche stesse della figura, in quanto in possesso di una capacità di azione molto ampia, pertanto dipendente dal rapporto fiduciario instauratosi fra il Titolare e detta figura. L attribuzione dell incarico, comunque in stretta dipendenza dall esperienza, dalle capacità e dall affidabilità del soggetto incaricato, comporta il possesso di idonee competenze nei seguenti ambiti operativi: 1. progettazione, gestione, monitoraggio e diagnostica delle Reti; 2. gestione e configurazione degli apparati di trasmissione; 3. architetture hardware dei sistemi; 4. sistemistica dei principali sistemi operativi; 5. networking e di routine; 6. sicurezza delle reti, dei sistemi e delle applicazioni; 7. principali Information services (posta elettronica, domain name e WEB); 8. sistemi di autenticazione e di identità management; 9. gestione di traffici e applicazioni multimediali. In apposito documento interno (incarico) vengono individuati e riepilogati gli estremi identificativi dell amministratore di sistema, gli ambiti operativi consentitigli in base al profilo di autorizzazione assegnato, le garanzie del rispetto delle vigenti disposizioni in materia di trattamento ivi compreso il profilo relativo alla sicurezza l adeguamento dei sistemi operativi per la registrazione degli accessi, la cadenza dell attività di verifica da parte del Titolare. 3

4 ARTICOLAZIONE DEL DOCUMENTO Conformemente a quanto prescrive il punto 19 del disciplinare tecnico allegato sub b) al d.lgs. 196/2003, nel presente documento sono evidenziati: 1. i dati personali trattati 2. l indicazione delle sedi e la descrizione dei locali e degli strumenti con i quali si effettuano i trattamenti 3. il titolare del trattamento dei dati 4. la distribuzione dei compiti e delle responsabilità 5. l analisi dei rischi che incombono sui dati 6. le misure adottate e da adottare per garantire l integrità e la disponibilità dei dati 7. i criteri per l adozione delle misure minime di sicurezza dei dati; 8. i criteri per la formazione del personale 9. le dichiarazioni di impegno. INDICAZIONE RELATIVE AI DATI TRATTATI In questa parte del documento vengono a) fornite informazioni essenziali in merito alla classificazione dei dati personali trattati, con riferimento alla natura ed alla classificazione; b) indicati anche i riferimenti relativi alla classificazione ed alla sistemazione e custodia, codificati come dalla seguente tabella: DOCUMENTAZIONI T01 = dati personali relativi agli alunni (registri di classe contenenti i recapiti delle famiglie e comunicazioni varie, con esclusione di ogni documentazione che possa contenere dati sensibili ; anagrafe alunni; T02 = dati personali sensibili relativi agli alunni (certificazioni mediche, certificazioni di deficit, diagnosi); T03 = dati sensibili relativi ai genitori degli alunni (istanze contenenti dati relativi alla situazione patrimoniale, documentazioni giudiziarie, documentazioni mediche prodotte a corredo delle domande di iscrizione o di altre domande); T03 = dati personali relativi ai dipendenti; T04 = dati personali sensibili relativi ai dipendenti; T05 = dati personali riservati, relativi ad alunni, genitori e personale dipendente, riguardanti corrispondenza riservata custodita dal dirigente, compresi gli atti relativi ai provvedimenti disciplinari; T06 = dati personali relativi ai fornitori; T07 = dati personali di anni precedenti, sistemati in archivio; sono escluse le documentazioni contenenti dati sensibili. 4

5 SEDI P01 = Sede centrale - Via Reggio Campi II Tronco 164 P02 = Plesso scolastico - Infanzia di San Cristoforo P03 = Plesso scolastico - Infanzia di Spirito santo P04 = Plesso scolastico - Primaria di san Cristoforo P05 = Plesso scolastico - Primaria di Spirito santo STANZE S01 = Stanza del dirigente scolastico (n 1) S02 = direttore SGA (n. 1) S03 = personale amministrativo (n 1) S04 = aule dei vari plessi S05 = archivio corrente S06 = archivio storico ARMADI A01 = Armadio 1 ( metallico) del D.S. A02 = 1 (blindato) del DSGA A03 = 1 (metallico) degli assistenti amministrativi (in S03) A04 = 1 (metallico) (in S03) A05 = Armadi di legno con chiusura normale, situati nelle aule A06 = Armadi e scaffalature contenuti nei locali dell archivio. INFORMAZIONI ESSENZIALI SULLA CLASSIFICAZIONE ED ORGANIZZAZIONE DEI DOCUMENTI CONTENENTI DATI PERSONALI Codice Plesso Stanza Armadio Struttura di riferimento T01 P01 A06-A03 Dirigente scol. Personale docente/ Ass.ti Amm.vi Protocollo riservato NO NO Descrizione degli strumenti Documenti cartacei e informatici T02 P01 S03 A03 DSGA NO Doc. cartacei T03 P01 S03 A04 DSGA coadiuvato dagli assist. Amm.vi NO Doc. Cartacei + Informatici inseriti in computer non collegati in rete T04 P01 S02 A02 DSGA NO Doc. Cartacei T05 P01 S01 A01 Dirig. Scol. SI Doc. Cartacei T06 P01 S03 A03 DSGA + NO Doc. Cartacei Ass.Amministr. T07 P01 S06 A06 DSGA + Ass. Amministr.vi NO Doc. Cartacei 5

6 Dati personali in ingresso I documenti cartacei in arrivo sono sempre consegnati in busta chiusa al dirigente scolastico che li esamina, destinando al protocollo riservato quelli appartenenti alle tipologie di dati riservati o sensibili, e smistando quelli trattati dall Ufficio di Segreteria. I documenti ricevuti tramite FAX o consegnati aperti vengono subito recapitati al dirigente scolastico. Documenti in uscita I documenti in uscita vengono trattati esclusivamente dal personale incaricato, protocollati e predisposti per la spedizione in busta chiusa. I documenti contenenti dati sensibili vengono chiusi in busta chiusa riservata ed inseriti nel plico contenente la lettera di trasmissione nella quale è evidenziata la presenza di documentazione riservata. DESCRIZIONE DEI LOCALI Una situazione di notevole rilevanza, ai fini dell individuazione dei rischi per la sicurezza dei dati e per la predisposizione delle misure minime, si presenta nel plesso di Via Reggio Campi, Sede Centrale della scuola. Nei locali sono ospitati gli Uffici di segreteria, l Ufficio del Dirigente e n 10 classi di Scuola Secondaria di Primo Grado. Vi sono custoditi tutti i materiali cartacei nonché le strumentazioni informatiche (n 6 computer) che vengono in parte utilizzati per l elaborazione dei dati personali. SEDE CENTRALE: SCUOLA SECONDARIA PRIMO GRADO Plesso N classi N alunni Dirig. Docenti Personale ATA Via Reggio Campi II Tronco SEDE CENTRALE: CORSO ALFABETIZZAZIONE CTP Plesso N classi N alunni Dirig. Docenti Personale ATA Via Reggio Campi II Tronco SEDE CENTRALE: CORSO SCUOLA SECONDARIA PRIMO GRADO 6

7 Plesso N classi N alunni Dirig. Docenti Personale ATA Via Reggio Campi II Tronco 164 SUCCURSALE SAN CRISTOFORO: Infanzia Plesso N classi N alunni Dirig. Docenti Personale ATA SUCCURSALE SAN CRISTOFORO: Primaria Plesso N classi N alunni Dirig. Docenti Personale ATA SUCCURSALE SPIRITO SANTO: Infanzia Plesso N classi N alunni Dirig. Docenti Personale ATA SUCCURSALE SPIRITO SANTO: Primaria Plesso N classi N alunni Dirig. Docenti Personale ATA Presso la Sede Centrale Plesso De Gasperi, il Liceo Artistico M. Preti, la Casa Circondariale di Reggio Calabria ed il Nuovo Complesso Arghillà si svolgono attività di Istruzione e Formazione degli adulti nell ambito del Centro Territoriale Permanente. I relativi atti vengono custoditi presso la Sede Centrale Plesso De Gasperi. INFORMAZIONI SULLA TIPOLOGIA DEI DOCUMENTI E SUGLI STRUMENTI Documentazioni complete riguardanti gli alunni, relativi al corso di studi, alla presenza di handicap, alla certificazione dell idoneità alla pratica sportiva non agonistica, alla scelta dell insegnamento della religione cattolica. Documenti prodotti dalle famiglie, riguardanti la certificazione della situazione patrimoniale. Tutta la documentazione riguardante i docenti e il personale ATA, con elementi di individuazione di appartenenza sindacale, stato di salute, anche di congiunti per i quali vengono richiesti benefici previsti da particolari norme, allo stato di servizio, alla retribuzione, alle eventuali pratiche disciplinari. 7

8 Nell edificio della sede centrale vengono utilizzati abitualmente n 46 computers; di questi, n 6 sono collocati negli Uffici di segreteria e n 5 sono collegati in rete con la funzione SISSI AXIOS. Nel plesso Spirito Santo Primaria vengono utilizzati abitualmente n 23 computers per le attività di laboratorio informatico. AUTENTICAZIONE INFORMATICA Il controllo degli accessi alle varie postazioni di lavoro viene effettuato mediante l istituzione di un sistema di autenticazione che permette l identificazione del soggetto autorizzato al trattamento dei dati tramite riconoscimento di una credenziale logica costituita da un codice identificativo associato ad una password. STRUTTURA DEL DOCUMENTO Nell impostare la struttura del documento si è tenuto conto degli esempi pubblicati nel sito web del Garante, nonché della Guida operativa per redigere il documento programmatico. Vengono, pertanto fornite le seguenti Informazioni essenziali : Indicazione della finalità perseguita e dell attività svolta dall Istituto: Garanzia del servizio scolastico offerto all utenza del Comune di Reggio Calabria; Gestione del personale interno con contratto a tempo indeterminato e determinato; Certificazione degli esiti scolastici e dei servizi prestati dai dipendenti; Acquisizione di beni e servizi da terzi fornitori. Natura dei dati trattati: dati personali di alunni e dipendenti, tra i quali, assimilabili alla connotazione di dati sensibili, vengono indicati quelli relativi alla presenza di certificazione della situazione di handicap relativa ad alcuni alunni, alla casuale presentazione di documentazioni prodotte da dipendenti o utenti, recanti notizie sullo stato di salute dei soggetti interessati. Indicazione della struttura di riferimento: Tutti i dati in possesso della scuola vengono trattati esclusivamente presso gli Uffici della sede centrale dell Istituto: 8

9 a) Segreteria, al piano terra dell edificio di Via Reggio Campi II Tronco n. 164; b) Ufficio Dirigenza, al primo piano del medesimo edificio. Nessuna altra struttura concorre al trattamento dei dati in possesso dell Istituto. Descrizione degli strumenti elettronici utilizzati: Computers collegati in rete, forniti di software Explorer per l accesso ad Internet. Fax per ricezione/trasmissione di documenti cartacei. Banca dati: Tutti i dati contenuti in documentazione cartacea vengono raccolti e conservati nell archivio dell istituto, classificati e custoditi in appositi schedari. I dati relativi al personale, agli alunni ed alla gestione economico-contabile, anche con riferimento all identità dei fornitori, sono trattati mediante elaborazione elettronica. Luogo di custodia: Tutti i dati vengono custoditi presso a) Segreteria, al piano terra dell edificio di Via Reggio Campi II Tronco n. 164; b) Ufficio Dirigenza, al primo piano del medesimo edificio. I locali sono protetti da un sistema antifurto. Tipologia di accesso: L accesso agli uffici è consentito solo al personale addetto specificamente incaricato. Tutti i computer presenti negli Uffici sono bloccati da password di cui sono a conoscenza esclusivamente gli addetti incaricati. Tipologia di interconnessione: I collegamenti tra le varie postazioni sono resi possibili dalla rete locale realizzata mediante cablaggio che consente di raggiungere i vari locali ove sono custodite le postazioni, dalle quali è, peraltro, possibile accedere ad Internet. Sono presenti dispositivi di collegamento wireless. Il Server dell Ufficio di segreteria e tutti i pc delle varie postazioni, richiedono, all accensione, la password, prima di avviare i programmi. L attivazione della condivisione dei dati contenuti nei pc delle varie postazioni di lavoro collegate in rete è limitata solo alle cartelle che non contengono dati personali. 9

10 La consegna delle password ai responsabili del trattamento dei dati viene effettuata in forma riservata, con raccomandazione alla custodia. Viene, altresì disposto periodicamente il cambiamento delle password. Settimanalmente i vari responsabili sono incaricati di verificare la possibilità di accesso attraverso la rete ai dati. DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITA Questa parte del documento contiene una mappa delle strutture con i riferimenti agli incarichi conferiti, ai trattamenti operati ed alle relative responsabilità. Struttura Responsabile Trattamenti operati Compiti Prof.ssa Tutti i dati in possesso. Domenica Fava 1 - Dirigente scolastico 2 - Collaboratori del dirigente scolastico Proff. Spanò Mara Caralaede e Vitetta Caterina 3 - Segreteria Direttore SGA Maddalena Miduri 4 - Corpo docente 5 - Assistenti amministrativi Tutti i docenti Tutti Organi Collegiali DS Laboratori informatica, tutti i dati trattati dai docenti. Tutti i dati trattati dai docenti e dal personale amministrativo. Tutti i dati trattati dai docenti con riferimento a notizie relative agli alunni in situazione di handicap. Tutti i dati attinenti al proprio ambito di competenza Tutti i dati trattati in fase di elaborazione ed esecuzione delle delibere dei Consigli di Classe / Interclasse/Intersezione / Istituto, oltre che Collegio Docenti, Giunta Esecutiva, e Organo di Garanzia della scuola. Direzione generale di tutte le attività; gestione delle pratiche riservate. Supporto organizzativo al D.S., con delega di firma e sostituzione del medesimo in caso di assenza. Coordinamento delle attività amministrativo contabili, con responsabilità sul trattamento di tutti i dati. Rapporti con le famiglie e con le strutture ASL per le situazione di handicap. Cura di tutte le pratiche amministrative, con particolare attenzione alla tutela della privacy. Partecipazione alle attività gestionali; decisioni di tipo amministrativo, finanziario, regolamentare; pratiche disciplinari riguardanti gli alunni 10

11 ANALISI DEI RISCHI CHE INCOMBONO SUI DATI In questa parte del documento vengono individuati i principali rischi potenzialmente pericolosi per la sicurezza dei dati, valutandone la gravità e le conseguenze e ponendoli in correlazione con le misure previste. Sono stati individuati anche degli indicatori di gravità/pericolosità (G P), ed un indice di rischio (I) dell evento (1) - Indica la gravità dell evento: 1 = lievissima; 2 = lieve; 3 = media; 4 = grave; (2) - Indica la probabilità dell evento: 1 = scarsamente probabile; 2 = possibilità minima; 3 = possibile; 4 = probabile; (3) - Indica l indice di rischio dell evento: (moltiplicazione dei valori di G e P). Gestione manuale di materiali cartacei EVENTO Trasmissione dati Gestione automatizzata delle informazioni Protezione sedi e strutture Accesso agli archivi IMPATTO DI SICUREZZA Descrizione Consultazione da parte di non addetti, smarrimento di documenti, diffusione di notizie per violazione del segreto d Ufficio Stima del rischio G (1) P (2) I (3) Distruzione Distruzione accidentale di documenti Fotocopia non === autorizzata Furto Sottrazione furtiva di documenti Mancata Accessibilità agli uffici in orari di chiusura chiusura Visione abusiva Possibilità di accedere ai dati di terzi, nell occasione di una consultazione di documentazioni degli interessati Errata destinazione Accesso non autorizzato Recapito a terzi di documentazioni contenenti dati personali Accesso ai dati personali registrati Virus Duplicazione di dati trasmessi automaticamente da virus che giungono tramite Allagamento Infiltrazioni da acqua piovana Incendio Propagazione di fiamme da cortocircuiti Mancanza di energia elettrica Danneggiamento di dati a causa dell improvviso spegnimento dei computers

12 MISURE MINIME DI SICUREZZA In questa parte del documento vengono descritte le misure adottate per contrastare i rischi individuati a seguito dell analisi effettuata e della valutazione degli eventi. Per misura viene inteso lo specifico intervento tecnico, informatico od organizzativo posto in essere per prevenire, contrastare o ridurre gli effetti relativi ad una specifica minaccia, nonché per assicurare il livello minimo di protezione. Vengono indicate, altresì, tutte le attività di verifica e controllo da porre in essere periodicamente, essenziali per assicurare l efficacia della protezione. MISURA Istruzioni agli incaricati Incarichi di responsabilità Formazione Installazione antivirus Potenziamento sicurezza edifici (1) Istituzione di Password Installazione gruppi di continuità (2) RISCHI CONTRASTATI Accessi non autorizzati TRATTAMENTI INTERESSATI Tutti ATTIVAZIONE STRUTTURA Dir. Scol. Deresponsabil.ne Tutti Idem Accessi; visione Virus; Danneggiamento dati informatici Incendi ed infiltrazioni Accesso ai dati Informatici Danneggiamento banche dati informatici Dati di alunni e personale Tutti Tutti Tutti Tutti Personale DSGA, Amministrativi Dir. Scolastico DSGA Pers. ATA Dirig. Scol.,DSGA, Amministrativi Circolari Diffusione di dati Alunni e famiglie Docenti e coll. Scolastici Ciascuna misura viene anche registrata dettagliatamente in una scheda descrittiva nella quale vengono indicati: la data di compilazione, il compilatore, la misura, la descrizione sintetica di essa nonché ulteriori elementi descrittivi della misura adottata o da adottare. 12

13 PROTEZIONE E SALVAGUARDIA DELLA BANCA DATI Viene anche predisposto un piano di salvaguardia e ripristino, per combattere il rischio di perdita dei dati in caso di contaminazione dei software o malfunzionamento degli hardware. Mensilmente, come previsto dallo stesso programma, vengono effettuate le copie di backup di tutti i dati gestiti con il programma SISSI (Alunni Personale Docente e ATA Retribuzione Area Bilancio). Criteri per il salvataggio dei dati (copie di sicurezza) Tutti i dati contenuti nelle varie arie del programma SISSI vengono salvati ed etichettati con indicazione della data di salvataggio e custoditi nell armadio blindato n 1 situato nella stanza del Direttore Amm.vo (S02). PIANIFICAZIONE DEGLI INTERVENTI FORMATIVI La formazione del personale costituisce elemento fondamentale per la garanzia di efficiente ed efficace funzionamento di ogni struttura organizzativa, ed in particolare rappresenta supporto indispensabile per l effettiva implementazione delle disposizioni previste dal D.L.vo 196/2003. Viene, pertanto definito il seguente piano degli interventi formativi: Descrizione dell intervento Approfondimento della normativa, consultazione di testi e manuali Presentazione del D. L.vo 196/2003. Relazione del DSGA. Presentazione del D. L.vo 196/2003. Relazione del Dir. Scolastico Presentazione del Documento programmatico, degli incarichi connessi e delle disposizioni richiamate Utilizzo dei computers e rischi connessi Formazione per l adozione di misure di salvataggio dati Formazione per la conservazione e tutela del materiale cartaceo Formazione per l uso del sistema di autorizzazione Struttura interessata Dirigente Scolastico Direttore SGA Amministrativi e collaboratori scolastici Quantità di personale Docenti 66 DSGA Docenti Amministrativi Collab. Scolastici DSGA Amministrativi Periodo Entro il 2 18 Entro il 62 Amministrativi 4 DSGA Amministrativi DSGA Amministrativi Entro il Entro il Entro il Entro il Entro il Entro il 13

14