Privacy e istituzioni scolastiche: principi giuridici e novità normative

Transcript

1 Privacy e istituzioni scolastiche: principi giuridici e novità normative

2 I temi della relazione: P rivacy P rivacy e trasparenza am m inistrativa R egolam ento sui dati sensibili

3 Privacy :i Gli elementi costitutivi: la riservatezza. il diritto di controllare l uso e la circolazione dei propri dati personali

4 Privacy :i Un po di storia Fino all entrata in vigore della L. 675/96 la tutela della privacy è stata ottenuta, sostanzialmente per via giurisprudenziale. I principi costituzionali degli art. 2, 3, 14 e 15 sono stati invocati a tutela dei dati personali e lo stesso è accaduto con fonti come lo Statuto dei lavoratori. Con la L.675 e con il Codice della privacy la materia è stata regolamentata in maniera ampia e prescrittiva

5 :i Privacy Le fonti Costituzione artt Legge n 300 del 1970 Statuto dei lavoratori. Relativamente alle norme riguardanti il controllo a distanza dei dipendenti ed agli accertamenti sanitari sui medesimi. Artt n

6 Privacy :i Le fonti specifiche Legge n 675 del (testo consolidato con il D.Lvo. n 467 del ) Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali.

7 Privacy :i Le fonti specifiche Il d. lgs. 196/2003 (T.U. o Codice della Privacy) (artt. 1-45) le disposizioni generali, (artt ) le norme relative a specifici settori (artt ) le sanzioni amministrative, penali e le disposizioni relative all'ufficio del Garante

8 Privacy :i Le fonti specifiche Il Regolamento sui dati sensibili (D.M. 7 dicembre 2006 n.305 in G.U. 15/01/2007)

9 Privacy :ile garanzie che anche la scuola deve offrire Riservatezza Garantire che i dati siano protetti dagli accessi non autorizzati Integrità Garantire che i dati siano aggiornati ed integri Disponibilità Garantire che i dati siano disponibili per i soli utenti autorizzati

10 Privacy I principi giuridici della responsabilità Il trattamento dei dati viene qualificato come attività pericolosa (rif. Art c.c.) In casi come questi vale il principio dell inversione dell onere della prova. E l Amministrazione che deve, cioè, provare di avere adottato tutte le misure idonee ad evitare il danno

11 Privacy :i I controlli I dati sui controlli (Relazione del garante 2005) parlano di: 230 ispezioni in tutto il settore della P.A. di cui: 208 ad opera della G.d.F 22 a cura del Dipartimento attività ispettive e sanzioni dell Autorità Garante

12 Privacy :i Le misure minime di sicurezza - sanzioni Nel caso di omissione anche se in assenza di danno è previsto: Arresto fino a due anni Ammenda da a Euro

13 Privacy :i Dati identificativi Sono i dati personali che permettono l'identificazione diretta dell'interessato Dati personali Qualsiasi informazione riferita a persona fisica,persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale (art. 4) Esempi di dati personali: nome e cognome o denominazione sociale, indirizzo o sede, codice fiscale.

14 Privacy :i Dati sensibili sono i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, i dati personali idonei a rivelare lo stato di salute (es. L. 104) e la vita sessuale (es.rettifica anagrafica in seguito al cambio di sesso)

15 Privacy :i Dati giudiziari Sono dati personali idonei a rivelare provvedimenti in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato

16 Privacy :i Trattamento Qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la distruzione la cancellazione, la diffusione,la comunicazione, il blocco, l'interconnessione, l'utilizzo, il raffronto, l'estrazione, la selezione, la modificazione, l'elaborazione, la consultazione, la conservazione, l'organizzazione, la registrazione, la raccolta, di dati, anche se non registrati in una banca dati.

17 Privacy :i Dati anonimi Dati che in origine, o a seguito di trattamento, non possono essere associati ad un interessato identificato o i- dentificabile

18 Privacy :i Presupposti e limiti del trattamento Qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali. Nel trattare i dati il soggetto pubblico osserva i presupposti e i limiti stabiliti dal codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti.

19 Privacy :i Presupposti e limiti del trattamento..omissis Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato espressamente da una disposizione di legge

20 Privacy Modalità del trattamento e requisiti dei dati I dati personali oggetto di trattamento devono essere: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

21 Privacy Modalità del trattamento e requisiti dei dati I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, i rischi di: distruzione o perdita, anche accidentale. di accesso non autorizzato. di trattamento non consentito o non conforme alle finalità della ra Questo si ottiene attraverso l adozione di misure di sicurezza idonee e preventive,

22 Privacy Le misure minime di sicurezza (dati trattati in via informatica) autenticazione informatica; gestione delle credenziali di autenticazione; utilizzazione di un sistema di autorizzazione; aggiornamento periodico dell individuazione dell ambito di trattamento consentito ai diversi incaricati; protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti, ad accessi non consentiti e a determinati programmi informatici; custodia di copie di sicurezza e ripristino dati; aggiornato documento programmatico sulla sicurezza;

23 Privacy Le misure minime di sicurezza (dati trattati in via informatica) Le password vanno sostituite ogni tre mesi quando consentono l accesso ai dati sensibili o giudiziari

24 Privacy Le misure minime di sicurezza (dati trattati senza strumenti elettronici) aggiornamento periodico dell individuazione dell ambito del trattamento per i singoli incaricati; previsione di procedure per la custodia di atti e documenti affidati agli incaricati per lo svolgimento dei loro compiti; procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati.(i tesserini)

25 Privacy e trasparenza amministrativa Per regolare l accesso ai documenti amministrativi è stato emanato il recente D.P.R. 12 aprile 2006 n. 184 Regolamento recante disciplina in materia di accesso ai documenti amministrativi

26 Privacy e trasparenza amministrativa L art. 3 del D.P.R. 12 aprile 2006 n. 184 ha previsto l obbligo della notifica ai controinteressati attraverso raccomandata A.R. o per via telematica per coloro che abbiano consentito tale forma di comunicazione

27 Privacy e trasparenza amministrativa La privacy copre l accesso a dati altrui ma amplifica gli effetti della L.241 per i propri dati rendendo possibili anche operazioni prima impensabili. Si pensi, ad esempio, all accesso al protocollo riservato Contemperare le esigenze non è sempre facile!

28 Privacy e trasparenza amministrativa Un punto critico nel rapporto tra privacy e trasparenza è l assenza di norme-cerniera che chiariscano quale posizione privilegiare. Sono gli orientamenti giurisprudenziali a dettare le regole pratiche

29 Privacy e trasparenza amministrativa Un caso concreto. Una famiglia chiede l accesso ai registri personali e di classe allo scopo di acquisire elementi per dimostrare una disparità di trattamento nei confronti del figlio. L orientamento prevalente è quello di negare l accesso ai registri nelle parti in cui sono presenti dati relativi ad altri allievi.

30 Privacy e trasparenza amministrativa Un caso concreto. Sentenza del Consiglio di Stato n.3536/2006: diritto di accesso agli atti relativi alla valutazione di uno studente. La sentenza citata stabilisce un principio difforme dalla giurisprudenza costante dei T.A.R. Stabilisce che i genitori non possono considerare e valutare il trattamento riservato al figlio se non in comparazione con quello riservato agli altri alunni della classe

31 Privacy e trasparenza amministrativa Un caso concreto. Si stabilisce la possibilità della visione degli atti (nel caso specifico registri di classe) anche relativamente alle parti contenenti i dati relativi agli altri alunni.

32 Privacy e trasparenza amministrativa Altri casi concreti L accesso al proprio fascicolo personale Le graduatorie ed i dati sensibili (L.104) I dati raccolti nei questionari - Il portfolio Le indagini e i tirocini eseguiti da studenti universitari (il problema dell assenza del vincolo di dipendenza)

33 La struttura del Regolamento ed i principi informatori Tre articoli e sette schede allegate La indispensabilità del trattamento per cui, anche se indicati nel Regolamento, i dati vanno trattati solo nella misura strettamente indispensabile

34 Gli obblighi delle scuole in relazione al Regolamento Recepimento o applicazione? Informazione (indicazioni ) e formazione (prescrizioni) - regola 19.6 del Disciplinare tecnico All.B Il controllo (Dirigente e Responsabile del trattamento)

35 Gli ulteriori obblighi delle scuole Aggiornamento del D.P.S. La verifica periodica del rispetto delle istruzioni impartite L aggiornamento periodico dei trattamenti consentiti ai singoli incaricati (punti 15 e 27 del Disciplinare Tecnico all. B del Codice)

36 Le criticità mancato aggiornamento del D.P.S.. (entro il 31 marzo 2007) inosservanza delle prescrizioni del D.P.S.. scarsa manutenzione degli archivi mancanza delle verifiche periodiche a cura del Titolare (D.S.) delle istruzioni impartite (art D.lgs. 196/2003) E ragionevole immaginare una verifica degli incarichi attribuiti con le eventuali misure correttive

37 Grazie per l attenzione e buon lavoro

38 Garantire che i dati siano protetti dagli accessi non autorizzati Sicurezza informatica (adeguamento tecnologico es. dati biometrici) Controllo sui ruoli

39 Garantire che i dati siano aggiornati ed integri Backup Revisioni periodiche anche del software (aggiornamenti, patches e service pack..)

40 Garantire che i dati siano disponibili per i soli utenti autorizzati Adeguamento tecnologico Controllo sui ruoli

41 Art del codice civile Chiunque cagiona ad altri nello svolgimento di un attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee ad evitare il danno

42 Esempi di uso non consentito: Fornitura di elenchi degli alunni ad aziende Fornitura di elenchi del personale a soggetti non legittimati

43 Le regole sulle password Password e user id diversi Evitare parole di senso compiuto (brute force) Evitare parole comuni (supervisor,administrator, 1234 ecc.) Almeno 8 caratteri se alfanumerici è meglio (esempio AsVGF45$&) Cambiata di frequente.e non ogni anno!!!

44 Scheda 1 - Selezione e reclutamento a t.i e t.d. e gestione del rapporto di lavoro Scheda 2 - Gestione del contenzioso e procedimenti disciplinari Scheda 3 - Organismi collegiali e procedimenti disciplinari Scheda 4 - Attività propedeutiche all avvio dell anno scolastico Scheda 5 - Attività educativa, didattica e formativa e di valutazione Scheda 6 - Scuole non statali (limit. controllo Amm. e Ds su scuole non statali) Scheda 7 - Rapporti scuola-famiglie: gestione del contenzioso I dati sensibili e giudiziari e le operazioni eseguibili verranno aggiornate con periodicità triennale (art. 3 D.M. 305/2006)

45 Due definizioni Il diritto alla privacy è il diritto di costruire liberamente e difendere la propria sfera privata, di scegliere il proprio stile di vita senza interferenze ed intromissioni indesiderate da parte di terzi. La riservatezza è intesa come riserbo della intimità della vita domestica privata, di situazioni e vicende personali e familiari che si svolgono nell ambito del proprio domicilio e che vanno tutelate da ingerenze di terzi, non giustificate da interessi generali e pubblici di carattere preminente (Cass., sez. II, 21/02/94, n 1652).

46 Orientamenti giurisprudenziali prevalenti In generale si è affermato il principio che non può disconoscersi l'esistenza, in capo ai singoli alunni, di un interesse alla riservatezza meritevole di tutela, trattandosi di notizie la cui divulgazione potrebbe comportare per essi pregiudizi morali ed anche materiali, sicché è legittimo il diniego all'accesso a documentazione relativa al profitto scolastico di soggetti diversi dal richiedente (C.S., VI, 19 luglio 1994, n. 1243; T.A.R. Sicilia, Catania, I, 18 settembre 1995, n. 2122).

47 Sitografia su privacy e sicurezza ID= Sugli obblighi generali dei responsabili di strutture informatiche: