GDPR. (General Data Protection Regulation) il trattamento dei dati nelle Istituzioni Scolastiche tra Trasparenza e Riservatezza

Transcript

1 GDPR (General Data Protection Regulation) il trattamento dei dati nelle Istituzioni Scolastiche tra Trasparenza e Riservatezza Regolamento Ue 2016/679

2 La Privacy DIRITTO ALLA RISERVATEZZA DIRITTO ALLA IDENTITÀ PERSONALE DIRITTO ALLA PROTEZIONE DEI DATI PERSONALI 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 2

3 ATTORI E AZIONI DECRETO LEGISLATIVO 196/2003, recante il Codice in materia di protezione dei dati personali INTERESSATO persona fisica cui si riferiscono i dati personali - art. 4 c.1, lettera i - TITOLARE persona fisica, impresa, ente pubblico o privato, associazione, ecc., cui spettano le decisioni sugli scopi e sulle modalità del trattamento, oltre che sugli strumenti utilizzati - art. 4 c. 1, lettera f - RESPONSABILE persona fisica, società, ente pubblico o privato, associazione o organismo, cui il titolare affida (anche all'esterno della sua struttura organizzativa) specifici e definiti compiti di gestione e controllo del trattamento dei dati -art. 4 c. 1, lettera g -. INCARICATO persona fisica che, per conto del titolare, elabora o utilizza materialmente i dati personali su istruzioni ricevute dal titolare e/o dal responsabile - art. 4 c. 1, lettera f - TRATTAMENTO ogni operazione compiuta - manualmente o con strumenti elettronici sui dati personali di un individuo. 3 11/11/2018 3

4 Recenti fonti normativa per la privacy Regolamento UE 2016/679 del 27/04/2016: tutela persone fisiche con riferimento al trattamento dei dati personali e alla loro libera circolazione Pubblicazione in GUCE il 04/05/2016, in vigore dal 24/05/2016, direttamente applicabile in tutti gli Stati membri a partire dal 25/05/2018 (in quanto Regolamento UE non necessita di legge nazionale di recepimento) D.Lgs n. 101 del 10/08/2018 in vigore dal 19/09/2018, decreto attuativo GDPR Abrogazione Codice Privacy (Dlgs 196/2003) sempre dal 25/05/2018 Prima ancora L.675/ Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 4

5 Novità rispetto al passato Responsabilizzazione (accountability) titolari del trattamento Accountability: responsabilità, da parte degli amministratori impieganti risorse finanziarie pubbliche, di rendicontarne l'uso sia sul piano della regolarità dei conti sia su quello dell'efficacia della gestione Adozione approcci e politiche attenti al rischio dell utilizzo dati personali per i diritti e le libertà degli interessati Principio chiave: privacy by design, garanzia protezione dati sin dalla ideazione e progettazione di un trattamento Comportamenti funzionali alle prevenzione dei rischi per la protezione dei dati 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 5

6 Novità con il Nuovo Regolamento Europeo COMPETENZA TERRITORIALE DIRITTI DEGLI INTERESSATI PRINCIPIO ACCOUNTABILITY IMPIANTO SANZIONATORIO PRIVACY BY DESIGN AUTORITÀ DI CONTROLLO VALUTAZIONE IMPATTO PRIVACY CERTIFICAZIONE DATA PROTECTION OFFICER 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 6

7 Privacy by Design (art.25) PRIVACY BY DESIGN Svolgimento di qualsiasi attività alla luce della disciplina in materia di protezione dei dati personali sin dalla fase di progettazione PRIVACY BY DEFAULT Attenzione e cura del titolare all intero ciclo di vita dei dati personali come impostazione predefinita CERTIFICAZIONE Garanzia a dimostrazione della conformità ai principi dell art /11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 7

8 RELAZIONI TRA ATTORI PRINCIPALI TITOLARE, controller persona fisica o giuridica, autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali DELEGA DI FUNZIONI (ATTO SCRITTO) RESPONSABILE, processor persona fisica o giuridica, autorità pubblica, servizio o altro organismo che tratta dati personali per conto del titolare del trattamento RESPONSABILE DELEGA DI ESECUZIONE (ATTO SCRITTO) INCARICATO incaricato, persona fisica che materialmente esegue le operazioni di Trattamento di dati personali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 8

9 Incipit Elaborazione pluralità di informazioni sfondo dell attività di qualunque Amministrazione Pubblica Informazioni solitamente acquisite mediante strumenti cartacei, successivamente rielaborate mediante strumenti elettronici Esercizio da parte dell Amministrazione Scolastica a fini istituzionali dell acquisizione di dati relativi a: dipendenti assunti nell attività di istruzione, amministrazione e collaborazione beneficiari prestazioni: studenti, famiglie, fornitori di beni e servizi Gestione detenzione ed elaborazione informazioni acquisite a fini istituzionali nel rispetto di norme e valori assunti dal nostro sistema Possibilità controllo della circolazione delle informazioni in possesso della P.A. 11/11/2018 9

10 Personale docente: utilizzo dati alunni Detenzione dati alunni mediante registro di classe, registro personale, schede alunni, notizie su alunni diversamente abili, elaborati Docente in funzione di incaricato del trattamento dati Obbligo di attenersi a misure di sicurezza previste dal codice ed alle ulteriori direttive ed istruzioni adottate dall Istituzione Scolastica Divieto di portare fuori dalla istituzione scolastica documenti della scuola relativi a dati personali Divieto di copia dei dati, se non dietro espressa autorizzazione del responsabile o dal titolare del trattamento 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 10

11 Dati personali: informazioni che identificano o rendono identificabile una persona fisica DATI IDENTIFICATIVI permettono l'identificazione diretta, come i dati anagrafici (es. nome e cognome), le immagini, ecc.; DATI GIUDIZIARI possono rivelare l'esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale (es. i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione) o la qualità di imputato o di indagato DATI SENSIBILI possono rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, lo stato di salute e la vita sessuale Requisiti dati personali, oggetto dei trattamenti: esattezza ed aggiornamento pertinenza completezza trattamento dati personali esclusivamente nella misura necessaria e sufficiente per le finalità previste e per il periodo strettamente necessario a tali fini (privacy by default) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 11

12 Misure a prova di privacy Misure operative da adottare a garanzia della sicurezza dei dati personali e, in particolare, dei dati sensibili e giudiziari: Custodia in apposito armadio dotato di serratura nella stanza individuata come sala professori dell edificio i seguenti documenti: 1. registro personale 2. certificati medici esibiti dagli alunni per giustificare assenze 3. qualunque altro documento contenente dati personali o sensibili degli alunni 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 12

13 Verifica corretta funzionalità dei meccanismi di chiusura dell armadio e segnalazione tempestiva eventuali anomalie al Responsabile di Sede Seguire istruzioni fornite dal Responsabile dell Aula Informatica Seguire istruzioni fornite dal Responsabile di Sede, in caso di trattamento dei dati personali per fini diversi da quelli relativi ai punti 1 e 2 Consegna in busta chiusa al Responsabile di Sede o all Ufficio Protocollo di tutte le comunicazioni indirizzate agli Uffici della Centrale, ad altro personale della scuola e al Dirigente Scolastico Divieto, se non espressamente autorizzato, dell utilizzo del fax, della posta elettronica e dei collegamenti alla rete internet per il trattamento dei dati personali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 13

14 Utilizzo Aula Informatica Divieto di lasciare cartelle o altri documenti a disposizione di estranei Non consentire l accesso ai dati a soggetti non autorizzati Riporre i supporti in modo ordinato negli appositi contenitori e chiudere a chiave classificatori e armadi utilizzati per la custodia 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 14

15 Utilizzo strumentazioni informatiche Scegliere una password con le seguenti caratteristiche: originale - composta da 8 caratteri - contenente almeno un numero non facilmente intuibile (evitando nomi propri, nomi di congiunti, date di nascita e comunque riferimenti alla propria persona o lavoro facilmente ricostruibili) Conservazione accurata propria password Riservatezza nella comunicazione ad altri Cambio periodico della password (almeno una volta ogni 3 mesi) Modifica immediata (ove possibile) della password assegnata dal custode delle credenziali Trascrizione su un biglietto chiuso in busta sigillata e controfirmata della nuova password e consegna al custode delle credenziali (se richiesto) In caso di smarrimento e/o furto, fornire immediata notizia al responsabile o, in caso di assenza, al titolare trattamento dati 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 15

16 Corretto spegnimento del computer al termine di ogni sessione di lavoro Vigilanza della propria postazione di lavoro, se attiva, o inserimento screensaver con password Comunicazione tempestiva al Titolare o al Responsabile di qualunque anomalia riscontrata nel funzionamento del computer Per la posta elettronica, sconsigliata l apertura di documenti di dubbia provenienza Apertura allegati non diretta ma tramite salvataggio su disco e controllo del contenuto con antivirus Controllo accurato indirizzo dei destinatario prima di inviare dati personali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 16

17 La gestione dei dati personali a scuola

18 DIRIGENTE SCOLASTICO DOCENTI COLLABORATORI CONSIGLIO D ISTITUTO DIRETTORE SERVIZI GENERALI E AMMINISTRATIVI 27/11/2018 DOCENTI ASSISTENTI AMMINISTRATIVI COLLABORATORI SCOLASTICI Elettra Gambardella - IIS Tassara-Ghislandi 18

19 Contabilità Area personale Area didattica Area affari generali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 19

20 Aree di trattamento Didattica Dati riguardanti alunni Personale Gestione personale Contabilità Stipendi Archivi relativi ai fornitori Affari generali Protocollo Archivio Rapporti con enti e imprese 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 20

21 Area didattica: dati relativi agli alunni Dati personali su supporto cartaceo Fascicolo personale contenente: o curriculum studi o dati personali o dati dei genitori o fotografia Registro iscrizioni Registro tasse scolastiche Registro certificati Registro diplomi 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 21

22 Dati personali su supporto cartaceo Cittadinanza Convinzione religiosa Stato di salute Certificazioni relative a disabilità Vaccinazioni 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 22

23 Dati personali su supporto cartaceo Comunicazione dati personali elenchi di classe elenchi elettorali registri di classe registro del professore registro dei consigli di classe registro dei voti registro esiti esami e idoneità pratica infortuni (INAIL assicurazione Pubblica Sicurezza) pratiche viaggi istruzione (passaporto collettivo visto) documentazione viaggi studio (foto e dati personali) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 23

24 Dati sensibili su supporto cartaceo Comunicazione dati sensibili Diagnosi Funzionale Stato salute Convinzioni religiose > Docenti Sostegno > Docenti Scienze Motorie > Docenti Consiglio di Classe 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 24

25 Diffusione dati su supporto cartaceo Finalità Istituzionali > elenchi di classe > esiti scrutini ed esami Finalità non Istituzionali > privati, solo su richiesta interessati 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 25

26 Custodia dati su supporto cartaceo Archivio Archivio > presso Ufficio Didattica > luogo dove si conservano i dati Dati informatici backup (disco da conservare in cassaforte) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 26

27 Soggetti coinvolti Dirigente Scolastico Collaboratori DS DSGA Assistenti Amministrativi Area Didattica Docenti Tecnici informatici ( password chiave d ingresso dati) Collaboratori Scolastici 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 27

28 Area personale: gestione dati Dati su supporto cartaceo Fascicolo personale Dati personali dati dei familiari servizio prestato curricolo studi formazione Dati sensibili cittadinanza convinzione religiosa iscrizione sindacati stato salute situazione disabilità situazioni familiari procedimenti disciplinari 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 28

29 Area personale: gestione dati Dati su supporto cartaceo Comunicazione dati personali Elenchi personale Elenchi elettorali Registro consigli di classe Registro voti Registro esiti esami e idoneità Pratiche viaggi istruzione Invio dati all UST INPS INPDAP Servizi Vari (MEF) Ragioneria (MEF) Altre scuole 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 29

30 Area personale: gestione dati Dati su supporto cartaceo Comunicazione dati sensibili Pratica infortuni Stato di salute Convinzioni religiose >INAIL Assicurazione Pubblica Sicurezza > ASL per accertamenti >Dirigente Scolastico (orario/altro) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 30

31 Area personale: gestione dati Diffusione dati su supporto cartaceo organigramma nominativo Finalità istituzionali graduatorie piano lavoro personale ATA contratti nomine / incarichi nominativi Finalità non Istituzionali > privati Custodia dati su supporto cartaceo Archivio Archivio > presso Ufficio Personale > luogo dove si conservano i dati Dati informatici backup (disco da conservare in cassaforte) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 31

32 Area personale: gestione dati Soggetti coinvolti Dirigente Scolastico Collaboratori DS DSGA Assistenti Amministrativi Area Personale Tecnici informatici ( password chiave d ingresso dati) Collaboratori Scolastici 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 32

33 Area contabilità: gestione stipendi Dati personale su supporto cartaceo Dati personali Dati nucleo familiare Situazioni stipendiali Ritenuta sindacale Esistenza particolari situazioni (pignoramenti, assegni mantenimento, cessioni, ecc.) Cedola stipendi e accessori Registro stipendi Comunicazione dati INPS, ex INPDAP Servizi Vari (MEF) Ragioneria (MEF) Altre scuole 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 33

34 Area contabilità - Area Affari Generali Protocollo, Archivio, rapporti con enti e imprese Altri dati trattati Anagrafe prestazioni (personale interno ed esterno) Contratti o convenzioni con soggetti esterni Elenco fornitori Custodia Archivio Archivio > presso Ufficio Amministrativo > luogo dove si conservano i dati Dati informatici backup (disco da conservare in cassaforte) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 34

35 Area contabilità - Stipendi e Archivi fornitori Soggetti coinvolti Dirigente Scolastico Collaboratori del DS DSGA Assistenti Amministrativi Area Amministrativa e Affari Generali Tecnici informatica ( password chiave d ingresso dati) Assistenti Tecnici Collaboratori Scolastici Custodia Archivio Archivio > presso Ufficio Amministrativo > luogo dove si conservano i dati Dati informatici backup (disco da conservare in cassaforte) 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 35

36 Data breach Violazione sicurezza dei dati personali comportante in modo accidentale o illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l accesso ai dati personali trasmessi, conservati o comunque trattati. Notifica di eventuali violazioni di dati possibilmente senza ingiustificato ritardo, ove possibile, entro 72 ore, dalla presa di conoscenza della violazione Eccezione: violazione quale rischio improbabile per i diritti e le libertà delle persone fisiche Necessità motivazione del ritardo della eventuale di notifica 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 36

37 Sanzioni per le violazioni Conseguenze di diverso tipo, anche pecuniarie In ossequio al principio di accountability, obbligo da parte dei titolari di dimostrare consapevolezza delle modalità di trattamento e conservazione dei dati Responsabilità oltre il rispetto delle norme A fronte di violazione accertata: imposizione da parte della autorità di controllo al titolare di misure procedurali o tecniche di natura correttiva, da attuare nell'immediatezza, compreso il potere di limitare, sospendere o bloccare il trattamento con l accertamento di danni agli interessati, obbligo del titolare, insieme al responsabile del trattamento, a provvedere al risarcimento dei danni, materiali e morali in caso di danni reputazionali a carico del titolare possibilità di sanzioni amministrative da parte dell'autorità di controllo o eventuali sanzioni penali 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 37

38 La privacy in classe Utilizzo giornaliero nelle scuole, di ogni ordine e grado, di numerose informazioni di studenti e loro famiglie, relative anche a loro problemi sanitari o di disagio sociale (finanche su abitudini alimentari) Rischio involontaria violazione privacy (con relativa riservatezza e dignità di una persona) in alcuni casi a fronte di incauta gestione di una lettera contenente dati sensibili (quelli più delicati) su un minorenne o di un tabellone scolastico con riferimenti indiretti sulle condizioni di salute di studenti Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

39 Produzioni scritte degli allievi in aula Nessuna violazione di privacy da parte del docente nell assegnazione ai propri alunni di temi in classe riguardanti il loro mondo personale o familiare Per la lettura degli elaborati in classe specialmente se relativi a argomenti delicati affidamento alla sensibilità di ciascun insegnante per trovare il giusto equilibrio tra esigenze didattiche e tutela dei dati personali Validità obblighi di riservatezza già previsti per il corpo docente riguardo al segreto d ufficio e professionale, nonché quelli relativi alla conservazione dei dati personali eventualmente contenuti negli elaborati degli allievi Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

40 Voti scolastici, scrutini, tabelloni, Esami di Stato Assenza provvedimenti da parte del Garante in relazione alla segretezza dei voti dei compiti in classe e delle interrogazioni, degli esiti degli scrutini o degli Esami di Stato (informazioni sul rendimento scolastico soggette a regime di trasparenza) Regime attuale relativo alla conoscibilità dei risultati degli Esami di Stato stabilito dal MIUR Obbligo pubblicazione all albo delle Istituzioni Scolastiche di voti di scrutini ed esami, per il principio di trasparenza a garanzia di ciascun interessato Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

41 Necessità di attenzione a non fornire anche indirettamente informazioni sulle condizioni di salute degli studenti o altri dati personali non pertinenti Esempio: nessun riferimento alla somministrazione di prove differenziate, sostenute dagli studenti diversamente abili, nei tabelloni affissi all albo dell Istituto (indicazione presente solo nell attestazione da rilasciare allo studente) Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

42 Circolari e Comunicazioni Scolastiche Diritto dovere di informare le famiglie su attività e avvenimenti della vita scolastica in equilibrio con esigenza tutela personalità minori Evitare di inserire nelle comunicazioni scolastiche elementi utili a risalire, anche indirettamente, all identità di minori coinvolti in vicende particolarmente delicate Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

43 Orientamento, formazione e inserimento professionale Su richiesta da parte degli studenti interessati, possibilità delle Istituzioni Scolastiche di comunicare, anche a privati e per via telematica, dati relativi ai loro risultati scolastici per sostenerli nell orientamento, nella formazione e nell inserimento professionale sul territorio nazionale e all estero Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

44 Pubblicità Divieto utilizzo dati affissi all albo degli Istituti Scolastici per inviare materiale pubblicitario presso domicilio studenti Pubblicità esiti scolastici (ad esempio attraverso il tabellone affisso nella scuola) rispondente a essenziali esigenze di trasparenza Divieto utilizzo da parte di soggetti terzi di nominativi allievi per altre finalità quali l invio di materiale pubblicitario Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

45 Questionari per attività di ricerca Possibilità di svolgere attività di ricerca con raccolta di informazioni personali, spesso anche sensibili (tramite questionari da sottoporre agli alunni) soltanto dietro preventiva informazione allievi (e rispettive famiglie, nel caso di minori), circa le modalità di trattamento e conservazione dei dati raccolti e sulle misure di sicurezza adottate Facoltà da parte degli intervistati di non aderire all iniziativa 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 45

46 Viaggi di istruzione e foto di classe Nessuna violazione della privacy per riprese video e fotografie raccolte durante i viaggi di istruzione. Immagini, in questi casi, riservate a fini personali e destinate ad ambito amicale e non alla diffusione Particolare attenzione alla eventuale pubblicazione delle medesime immagini su Internet e sui social network in particolare In caso di comunicazione sistematica o diffusione necessario ottenere il consenso delle persone presenti nelle fotografie e nei video Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

47 Registrazione attività didattiche Possibilità di registrare le lezioni esclusivamente per scopi personali (ad esempio, studio individuale) Necessità per ogni altro utilizzo o eventuale diffusione, anche su Internet, di adeguata informazione delle persone coinvolte nella registrazione (docenti, studenti ), per ottenere esplicito consenso Nell ambito dell autonomia scolastica, facoltà da parte degli Istituti di regolamentare diversamente o anche di inibire gli apparecchi in grado di registrare Elettra Gambardella - IIS Tassara-Ghislandi 27/11/

48 Smartphone, immagini e video Utilizzo smartphone e apparecchi per la registrazione di suoni e immagini consentito esclusivamente per fini personali e sempre nel rispetto dei diritti e delle libertà fondamentali delle persone coinvolte, in particolare della loro immagine e dignità Possibilità da parte delle Istituzioni Scolastiche di regolare o inibire l utilizzo di registratori audio-video, inclusi i telefoni cellulari, all interno delle aule di lezione o nelle scuole stesse Divieto, in ogni caso, di diffusione o comunicazione sistematica di dati personali di altre persone (ad esempio immagini o registrazioni audio/video) senza preventiva e adeguata informazione delle persone coinvolte, per ottenere esplicito consenso. 27/11/2018 Elettra Gambardella - IIS Tassara-Ghislandi 48

49 SITOGRAFIA