Prot.n Roma, 22 ottobre 2014

Transcript

1 MINISTERO DELL ISTRUZIONE, DELL UNIVERSITA E DELLA RICERCA UFFICIO SCOLASTICO REGIONALE PER IL LAZIO ISTITUTO COMPRENSIVO VIA BACCANO Via Baccano, ROMA - Tel./Fax XXVIII Distretto - XV Municipio Cod. mecc. RMIC C.F Codice univoco ufficio: UFUUOA RMIC863003@istruzione.it PEC: RMIC863003@pec.istruzione.it Prot.n Roma, 22 ottobre 2014 Alle assistenti amministrative SEDE Oggetto: Designazione Incaricati del trattamento dati personali ai sensi dell art. 30 del D.Lgs. 30 giugno 2003, n. 196 Aggiornamento annuale. Considerato che le SS.LL. prestano servizio presso l ufficio di segreteria dell Istituto in qualità di assistenti amministrative, svolgendo i sottoelencati compiti come da piano annuale delle attività: - Gestione del personale - Gestione alunni e didattica - Gestione protocollo e corrispondenza - Gestione contabilità e patrimonio - Gestione organi collegiali; Considerato che la ripartizione dei compiti operata con piano di lavoro annuale ha natura meramente organizzativa e non funzionale, in quanto le ridotte dimensioni dell ufficio e la sua esigua dotazione organica non consentono un esatta demarcazione delle competenze, richiedendo il concorso di ognuno nello svolgimento delle attività di ciascuna area; Considerato che le predette attività istituzionali implicano il trattamento di dati da considerarsi personali agli effetti della vigente normativa contenuta nel D.Lgs. 30/06/2003, n.196; Visto il precedente atto di designazione prot. n del 04/04/2013, per il quale si rende necessario procedere al prescritto aggiornamento annuale; Visto il Regolamento recante identificazione dei dati sensibili e giudiziari trattati e delle relative operazioni effettuate, emanato dal Ministero della Pubblica Istruzione con Decreto 7 dicembre 2006, n. 305 in attuazione degli artt. 20 e 21 del D.Lgs. 196/2003 Codice in materia di protezione di dati personali ; SI DESIGNANO le SS.LL., ai sensi e per gli effetti di cui all art. 30 del D.Lgs. n.196 del 2003, quali incaricati del trattamento, nei limiti delle operazioni di trattamento e delle categorie di dati necessarie ai fini dello svolgimento delle funzioni d ufficio ovvero, nel caso di dati sensibili o giudiziari, nei limiti dei dati indispensabili per svolgere compiti d ufficio che non possono essere adempiuti mediante il trattamento di dati anonimi. Il trattamento dei dati dovrà avvenire nel rispetto dei princìpi indicati dal D.Lgs. n.196/2003 e con le modalità e procedure ivi stabilite. La normativa di riferimento è affissa all Albo della scuola. Si rammenta in particolare che: a) il trattamento e la conservazione dei dati deve avvenire esclusivamente in modo lecito e proporzionato alle funzioni istituzionali, nel rispetto della riservatezza; b) la raccolta, registrazione ed elaborazione dei dati, mediante strumento informatico o cartaceo, deve essere limitata alle finalità istituzionali; c) integra onere dell incaricato la correzione od aggiornamento dei dati posseduti e l esame della loro pertinenza rispetto alle funzioni; d) integra inosservanza delle istruzioni la comunicazione, effettuata in qualsiasi maniera, dei dati in possesso, con eccezion del caso che il destinatario sia l interessato alle stesse, ovvero altri soggetti legittimati a ricevere dette comunicazioni. Si precisa inoltre che l identificazione dei tipi di dati sensibili e giudiziari oggetto di trattamento e delle operazioni su questi eseguibili in relazione alle finalità da perseguire è contenuta nel Regolamento citato in premessa, emanato 1

2 dal Ministero della Pubblica Istruzione con Decreto 7 dicembre 2006, n. 305, di cui viene affissa copia all albo della scuola. Trattamenti con strumenti elettronici Al momento della designazione, a ciascuna delle SS.LL. sono state consegnate le credenziali di autenticazione (codice identificativo e password riservata) attribuite in uso esclusivo e conformi alla regola 5 dell all. B al Codice della privacy, mediante l utilizzo delle quali è possibile abilitarsi nei confronti degli strumenti elettronici di ufficio al fine dello svolgimento dei compiti istituzionali che implicano trattamento di dati personali, ivi inclusi quelli sensibili e giudiziari. Si rammenta che la componente riservata della credenziale di autenticazione (password) deve essere modificata dall incaricato al primo utilizzo e, successivamente, ogni tre mesi. La stessa deve essere composta da almeno otto caratteri alfanumerici e non deve contenere riferimenti agevolmente riconducibili all incaricato. L incaricato è tenuto a memorizzare la password e a porre in essere tutti i comportamenti necessari al fine di salvaguardarne la segretezza. In particolare: - non deve rivelarla, di propria iniziativa o dietro richiesta, ad alcuno; - deve custodirla in modo che non sia accessibile a terzi (colleghi, visitatori esterni provvisoriamente ammessi nei locali dell ufficio, etc.). E inoltre necessario evitare di lasciare aperto il sistema operativo con la propria password inserita in caso di allontanamento anche temporaneo dal posto di lavoro, al fine di evitare trattamenti non autorizzati e di consentire sempre l'individuazione dell'autore del trattamento. Per consentire l'accesso ai dati e agli strumenti elettronici in caso di prolungata assenza o impedimento dell'incaricato, lo stesso è tenuto a trascrivere la propria password e consegnarla in busta chiusa (opportunamente siglata per il riscontro dell integrità) alla sig.ra Serafina Fantauzzi, incaricata della custodia delle parole chiave, che provvederà ad informarlo nel caso che in sua assenza venga effettuato un intervento. Per scongiurare il rischio di perdita o distruzione dei dati, è stato programmato in automatico il salvataggio quotidiano (ore 12.00) degli archivi elettronici presenti sul server, con copia di back-up su hard disk esterno (mirroring). Una ulteriore copia di back-up di tutti gli archivi elettronici presenti sul server sarà eseguita con cadenza quindicinale dall Amministratore di sistema sig. Maurizio Cedri su apposito supporto esterno conservato in cassaforte; pertanto si raccomanda alle SS.LL. di effettuare il salvataggio dei documenti di interesse generale per l ufficio sul server, nella cartella dei Documenti comuni. Per quanto riguarda invece i documenti presenti sul disco C e sul desktop di ciascuna postazione, sarà cura delle SS.LL. effettuarne periodicamente una copia di back-up su pen-drive, ciascuna per la propria postazione. Per l applicativo gestionale Axios il salvataggio avverrà in automatico su CD ogni venerdì alle ore 12.00; poiché si stima che un CD possa contenere non più di 2 copie di back-up, sarà necessario provvedere ogni primo e terzo venerdì del mese, entro le ore 12.00, alla sostituzione del CD inserito nell apposita unità del server. A tale incombenza provvederà continuativamente la sig.ra Infante, eventualmente sostituita in caso di assenza - dalla sig.ra Pelacani o dalla sig.ra Lazzari. Tutti i supporti contenenti le copie di back-up, contrassegnati da etichetta riportante la data di effettuazione, saranno conservati nella cassaforte ubicata nell ufficio del direttore S.G.A. Per l applicativo gestionale Axios sarà inoltre necessario verificare, con cadenza periodica, la presenza di aggiornamenti sul sito AxiosItalia; ciascuna unità di personale provvederà ad effettuare gli aggiornamenti delle funzioni sulla propria postazione, mentre gli aggiornamenti delle funzioni Request e Alunni dovranno essere effettuati sul server: a tale incombenza provvederà continuativamente la sig.ra Infante, assistita di volta in volta dalla sig.ra Pelacani o dalla sig.ra Lazzari, a fini formativi, affinché queste ultime acquisiscano la necessaria sicurezza per poter espletare da sole l incombenza; solo quando sarà raggiunto l obiettivo si potrà procedere a una rotazione. Per tutti gli altri software, invece, gli aggiornamenti saranno effettuati con cadenza quindicinale dall Amministratore di sistema sig. Maurizio Cedri. Con cadenza trimestrale le SS.LL. effettueranno, sotto la guida dell Amministratore di sistema sig. Maurizio Cedri, esercitazioni relative alle procedure di ripristino degli archivi, con simulazione di eventi distruttivi dei dati. Per quanto concerne i supporti di memorizzazione (floppy, CD, ecc.), si fa presente che, una volta usati, la loro riutilizzazione è ammissibile solamente qualora i dati in essi precedentemente contenuti non siano in alcun modo recuperabili, vale a dire previa formattazione; altrimenti occorre etichettarli, riporli in appositi contenitori e utilizzarli solamente per la conservazione, ove consentita, dei dati originariamente inseritivi. Trattamenti senza l ausilio di strumenti elettronici Relativamente ai dati conservati su supporti cartacei, l incaricato del trattamento è tenuto a controllare e custodire per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento gli atti e i documenti contenenti dati personali non sensibili o giudiziari. 2

3 Controllo e custodia vanno svolti con continuità, sicché al termine dell attività lavorativa giornaliera occorre riporre detti atti in armadi o cassetti muniti di serratura. Nel caso invece di atti e documenti contenenti dati personali sensibili o giudiziari, affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, oltre alle cautele da osservare per i dati comuni, è necessario che essi siano controllati e custoditi dagli incaricati in maniera che non vi accedano persone prive di autorizzazione, e che siano restituiti all archivio al momento della completa o provvisoria definizione della pratica, avendo cura di riporli in armadi o cassetti muniti di serratura al termine dell attività lavorativa giornaliera o in caso di abbandono della postazione di lavoro per qualsiasi ragione. In merito ai criteri di archiviazione, si fa presente che i dati idonei a rivelare lo stato di salute e la vita sessuale devono essere conservati separatamente dagli altri dati personali; pertanto le SS.LL. avranno cura di predisporre, all interno dei fascicoli personali degli alunni e dei dipendenti, degli appositi sottofascicoli costituiti da buste chiuse non trasparenti e contrassegnati dalla dicitura riservato, in cui inserire gli atti contenenti tali dati. In ogni caso, le SS.LL. non accetteranno - quali giustificativi delle assenze per malattia - certificati medici contenenti l indicazione della diagnosi, come previsto dal C.C.N.L. - Comparto scuola, il quale stabilisce che il dipendente è tenuto a recapitare il certificato medico di giustificazione dell assenza con indicazione della sola prognosi (art. 17, comma 11, C.C.N.L. 24/07/2003). In proposito, si richiamano le istruzioni fornite con nota prot.n.4559 del 23/10/2007 in attuazione delle Linee guida di cui alla deliberazione del Garante della Privacy n. 23 del 14 giugno Con l introduzione del certificato telematico, privo di diagnosi, il problema appare tuttavia superato, salvo rare eccezioni (permessi per malattia del bambino, day-hospital, ecc.). Agli effetti dell accesso ad archivi contenenti dati sensibili o giudiziari, il presente atto di designazione autorizza le SS.LL. ad acquisire i dati personali, anche sensibili o giudiziari - e ove necessario atti e documenti che li contengono - nei limiti delle operazioni di trattamento e delle categorie di dati necessarie ai fini dello svolgimento delle funzioni d ufficio ovvero, nel caso di dati sensibili o giudiziari, nei limiti dei dati indispensabili per svolgere compiti d ufficio che non possono essere adempiuti mediante il trattamento di dati anonimi. Presa visione del contenuto del DPS, dei suoi aggiornamenti, di quanto disposto dal presente atto di designazione nonché dai documenti cui esso fa riferimento, le SS.LL., nella qualità di incaricati del trattamento, sono tenute ad uniformare i propri comportamenti alle relative prescrizioni nello svolgimento dei compiti d ufficio. L'incaricato dovrà rispettare le istruzioni impartite dal titolare o dal responsabile sia con il presente atto di nomina sia in seguito. In particolare dovrà: - procedere alla raccolta di dati personali, anche mediante l'utilizzazione di appositi moduli di raccolta; - consegnare agli interessati, al momento della raccolta dei dati, il modulo contenente l'informativa, salvo che l'informativa medesima sia stata fornita direttamente dal titolare o dal responsabile; - segnalare al titolare o al responsabile eventuali circostanze che rendano necessario od opportuno l'aggiornamento delle misure di sicurezza al fine di ridurre al minimo i rischi di distruzione o perdita - anche accidentale - dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; - effettuare la comunicazione e la diffusione dei dati esclusivamente ai soggetti indicati dal titolare o dal responsabile e secondo le modalità stabilite dai medesimi; - mantenere la massima riservatezza sui dati personali dei quali venga a conoscenza nello svolgimento dell'incarico, per tutta la durata del medesimo ed anche successivamente al termine di esso; - in generale, prestare la più ampia e completa collaborazione al titolare e al responsabile, al fine di compiere tutto quanto sia necessario ed opportuno per il corretto espletamento dell'incarico nel rispetto della normativa vigente; - svolgere, in ogni caso, il trattamento dei dati personali per le finalità e secondo le modalità stabilite, anche in futuro, dal titolare e dal responsabile e, comunque, in modo lecito e secondo correttezza. Il presente atto di designazione sarà aggiornato entro il termine massimo di un anno a partire dalla data odierna. Allegato: - Promemoria istruzioni agli incaricati del trattamento dei dati. per il Titolare del trattamento il Responsabile F.to Maria Antonietta Citoni 3

4 PROMEMORIA ISTRUZIONI AGLI INCARICATI DEL TRATTAMENTO DEI DATI L incaricato dovrà effettuare i trattamenti di dati personali di competenza attenendosi scrupolosamente alle seguenti istruzioni e ad ogni ulteriore indicazione, anche verbale, che potrà essere fornita dal Responsabile del trattamento. I dati personali devono essere trattati: a) in osservanza dei criteri di riservatezza; b) in modo lecito e secondo correttezza; c) per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti e successivamente trattati; d) nel pieno rispetto delle misure minime di sicurezza, custodendo e controllando i dati oggetto di trattamento in modo da evitare i rischi, anche accidentali, di distruzione o perdita, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Le misure minime di sicurezza sono obbligatorie e sono distinte in funzione delle seguenti modalità di trattamento dei dati: 1. con strumenti elettronici (PC ed elaboratori) 2. senza l ausilio di strumenti elettronici (es. dati in archivi cartacei) 1. TRATTAMENTI CON STRUMENTI ELETTRONICI 1.1 Credenziali di autenticazione La legge prevede che l accesso alle procedure informatiche che trattano dati personali sia consentito agli Incaricati in possesso di credenziali di autenticazione che permettono il superamento di una procedura di autenticazione. Le credenziali di autenticazione consistono in un codice per l identificazione dell Incaricato (user-id) associato a una parola chiave riservata (password). Gli Incaricati devono utilizzare e gestire le proprie credenziali di autenticazione attenendosi alle seguenti istruzioni: Le user-id individuali per l accesso alle applicazioni non devono mai essere condivise tra più utenti (anche se Incaricati del trattamento). Gli strumenti di autenticazione (password) che consentono l accesso alle applicazioni devono essere mantenuti riservati. Essi non vanno mai condivisi con altri utenti (anche se Incaricati del trattamento). Le password non devono essere divulgate, vanno custodite in luogo sicuro e non accessibile a terzi. Non devono essere rivelate o fatte digitare dal personale di assistenza tecnica. Le password devono essere sostituite, a cura del singolo Incaricato, al primo utilizzo e successivamente almeno ogni tre mesi. Le password devono essere composte da almeno 8 caratteri alfanumerici, cioè: lettere minuscole e/o maiuscole, numeri, caratteri speciali (ad esempio - > <). Non devono contenere riferimenti agevolmente riconducibili all Incaricato (es. data di nascita, nomi di familiari). Non devono essere uguali alle user-id. Le password di accesso ai PC e/o ai singoli file devono essere consegnate in busta chiusa al Custode delle parole chiave. Nessuno è autorizzato a chiedervi di rivelare la vostra password. Segnalate qualsiasi anomalia o stranezza al Responsabile. 1.2 Protezione del PC e dei dati Tutti i PC devono essere dotati di password rispondenti ai criteri sopra descritti. Per evitare accessi illeciti, deve essere sempre attivato il salva schermo con password. Tutti i PC devono essere dotati di software antivirus aggiornato costantemente. Sui PC devono essere installati esclusivamente software necessari all attività lavorativa, dotati di licenza e forniti dalla scuola. Sono vietati i software scaricati da Internet o acquisiti autonomamente. Sui PC devono essere installati, con cadenza almeno semestrale, tutti gli aggiornamenti software necessari a prevenirne la vulnerabilità e correggerne i difetti. Deve essere effettuato, con cadenza settimanale, il salvataggio di back-up degli archivi SISSI. Deve essere effettuato, con cadenza settimanale, un salvataggio di back-up di eventuali dati personali presenti unicamente sul PC personale (cioè non accessibili tramite server). I supporti di memoria utilizzati per il back-up devono essere custoditi in cassaforte nell ufficio del D.S.G.A. 4

5 Se è necessario allontanarsi dalla scrivania in presenza di ospiti, riporre i documenti e attivare il salvaschermo del PC. Se uno dei PC utilizzati in segreteria deve essere destinato ad usi diversi (laboratori didattici), i dati personali in esso contenuti devono essere cancellati in modo sicuro con apposito software sovrascrivente. L operazione deve essere compiuta da personale tecnicamente qualificato. 1.3 Posta elettronica e Internet Non aprire messaggi con allegati di cui non si conosce l origine, possono contenere virus in grado di cancellare i dati sul PC. Astenersi dall aprire filmati e presentazioni non attinenti l attività lavorativa per evitare situazioni di pericolo per i dati contenuti sul PC. Evitare di scaricare da Internet file e software di uso non direttamente riferibile all attività di lavoro, in quanto questo può essere pericoloso per i dati e la rete d Istituto. Usare Internet solo per lavoro, i siti web spesso nascondono insidie per i visitatori meno esperti. Non leggere le caselle personali esterne via webmail in quanto alcuni provider esterni non proteggono dai virus. 2. TRATTAMENTI SENZA L AUSILIO DI STRUMENTI ELETTRONICI 2.1 Custodia I documenti contenenti dati personali devono essere custoditi in modo da non essere accessibili a persone non incaricate del trattamento (es. armadi o cassetti chiusi a chiave). I documenti contenenti dati personali che vengono prelevati dagli archivi per l attività quotidiana devono esservi riposti a fine giornata. I documenti contenenti dati personali non devono rimanere incustoditi su scrivanie o tavoli di lavoro. In occasione del ricevimento del pubblico, fare attendere i visitatori in luoghi in cui non siano presenti informazioni riservate o dati personali. Le misure di sicurezza applicate alle fotocopie dei documenti contenenti dati personali devono essere identiche a quelle applicate agli originali. I supporti magnetici contenenti archivi di dati personali devono essere protetti con le stesse misure di sicurezza previste per i supporti cartacei. 2.2 Comunicazione L utilizzo dei dati personali deve avvenire in base al principio del need to know e cioè essi non devono essere condivisi, comunicati o inviati a persone che non ne necessitano per lo svolgimento delle proprie mansioni lavorative (anche se queste persone sono a loro volta incaricate del trattamento). 2.3 Distruzione Qualora si necessario distruggere documenti contenenti dati personali, questi devono essere sminuzzati in modo da non essere più ricomponibili. I supporti magnetici di memorizzazione (floppy, CD) contenenti dati personali devono essere formattati prima di essere riutilizzati. Se ciò non è possibile, devono essere etichettati e riposti in archivio, per la conservazione dei dati in essi inseriti. Se la conservazione dei dati non è consentita, i supporti devono essere distrutti. Il Responsabile del Trattamento F.to Maria Antonietta Citoni 5