patio       Hi:
                                                                      ISTITUTO              COMPREKSIVO                          STATALE                                          ; srltio                È
                                                                      VIA POSEIDONE                                                                                               RE]
                                                  CM, RMICEFBOO?                               ROMA                              CE 27713330583                               i ug
                                        al        ieviaposeidome edu.                          Distretto 16                      imic#ib007@fitruzione.it                     i         etna
                                                                                                                 O


           UOUFFTD PXPTS8L.REGISTRO UFFICIALE
           con apposizione di segnatura digitale
                                                                                                                                                                              A: Pietrosanti Fabio
                                                                                                                                                    comunicazioni@pec.monitora-pa.it
                                                                                                                                                            e p.c. al Direttore dell’USR Lazio
                                                                                                                                                                   drla@postacert.istruzione.it


           OGGETTO: RICHIESTA FOIA-01-RMIC8FB007

           Egr. sig. Fabio PIETROSANTI, facciamo seguito alla Sua richiesta FOIA di Accesso Civico Generalizzato,
           pervenuta via PEC allo scrivente Istituto in data 19/09/2022, agli atti con protocollo 11171 del 20/09/2022
           per comunicarle i risultati della procedura di esame e valutazione delle richieste da Lei inoltrate.

           Richiesta 1 — “copia del contratto o altro atto giuridico il forza del quale l’Istituto Scolastico  in indirizzo ha
           utilizzato ed utilizzerà i servizi di posta elettronica, messaggistica, videoconferenza, didattica a distanza,
           didattica digitale integrata, registro elettronico, relativamente agli anni scolastici 2020/2021, 2021/2022,
           2022/2023”

           Precisazione

           La definizione di contratto è contenuta nell'art. 1321 del Codice Civile: _38_ [omissis] contratto regola quindi rapporti economici tra i sottoscrittori.

           Servizi di posta elettronica

           L'Istituto usufruisce in concessione di una casella di posta elettronica ministeriale e di una casella di posta
           certificata PEC ministeriale. Le software house fornitrici dei servizi di posta (Microsoft e Aruba) sono scelte a
           livello ministeriale e la relativa contrattualizzazione è stata gestita dal Ministero competente.

           L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documento prodotto e sottoscritto da
           soggetto terzo e non in nostra disponibilità.

           Piattaforma DaD/DDI

           Le piattaforme DaD/DDI                     utilizzate dall'Istituto sono concesse agli Istituti Scolastici di ogni grado con una
           licenza di utilizzo gratuita. Per questo motivo non esiste un contratto economico sottoscritto tra le parti.

           Il rapporto tra le parti è regolato dai Termini e condizioni di utilizzo della piattaforma, che l’Istituto ha dovuto
           sottoscrivere prima dell'attivazione del servizio.

           I termini di utilizzo sono pubblici e sono reperibili sui siti web delle piattaforme in questione:

                 -    Google for Workspace: https://workspace.google.it/intl/it/terms/education terms.html
           -          Google for Workspace (Termini integrativi): https://workspace.google.it/intl/it/terms/service-
                      terms/index.html
           -          Microsoft 365: https://www.microsoft.com/en/microsoft-365/business/terms-and-conditions
           -          Weschool:https://www.weschool.com/termini-e-condizioni/


                                                                                                                 Oo

                                                                               risposta FOIA-ic via Poseidone                                                                                  Pag. 1di5
                                                                 ff                                                                icuoli.       primo     CHica   Messer                       È
           susscelor
            cu sec.         Darno Fagiano
                                                    Passione 5656 35°<a pazofartma
                                                                        DOZOTATI       IRINI
                                                                                       COLLEGE Lomtoti]                      I     o %       A                     i,
                                                                                                                                                   infantete atebcleta      PE Figo
                                                                                                                                                                                 tenone8RAT
                                                                                                                                                                                          a DIZITATO
                                                                                        Fia:giersecar   Duarte    Carra   ele
                                 Istituto Comprensivo Statale “via Poseidone” - Roma




-   — Weschool: https://wp-assets.weschool.com/wp-content/uploads/2021/09/10100756/WeSchool-
      Contratto-Scuole-V3-30092020-1.pdf

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti già disponibili pubblicamente.

Registro Elettronico e Segreteria Digitale

| contratti di servizio e licenza d’uso fra l’Istituto e la software        house   SPAGGIARI   che fornisce i servizi di
Registro     Elettronico     e     Segreteria     Digitale          sono    pubblicamente       disponibili    al    link:
http://www.spaggiari.eu/privacy/WHITEPAPER           SAAS         12052020.pdf

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti già disponibili pubblicamente.

Richiesta 2 — “copia della valutazione d’impatto della protezione dei dati (DPIA) effettuata dall'Istituto
Scolastico  in indirizzo nell’ambito dell’utilizzo di un servizio on line di videoconferenza o di una piattaforma che
consenta il monitoraggio sistematico degli utenti, negli anni scolastici 2020/2021, 2021/2022”

La valutazione di impatto sulla protezione dei dati (DPIA) è regolata dall’art. 35 comma 3 del Regolamento
UE 679/2016 GDPR. La DPIA è obbligatoria in casi specifici e normati, tra i quali non ricadono i trattamenti di
dati in ambito scolastico : gli istituti scolastici, infatti, non effettuano trattamenti automatizzati (punto a), né
su larga scala (punto b) né sistematici (punto c).

Sul punto si evidenzia che con provvedimento del 26 marzo 2020 il Garante Privacy ha voluto fornire una
serie di chiarimenti in merito all’utilizzo dei sistemi di didattica a distanza e dei registri elettronici. In
particolare, il Garante, con riferimento alle DPIA, ha così affermato: “/a valutazione di impatto, che l'art. 35
del Regolamento richiede per i casi di rischi elevati, non è necessaria se il trattamento effettuato dalle
istituzioni scolastiche e universitarie, ancorché relativo a soggetti in condizioni peculiari quali minorenni e
lavoratori, non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi per i diritti e le libertà degli
interessati.” A tal riguardo, occorre precisare che, con predetto provvedimento, il Garante non ha in alcun
modo derogato all'applicazione del GDPR per asseriti motivi emergenziali (come sotteso nella sua in esame),
in quanto, in primis, non ne avrebbe nemmeno il potere. L'Autorità ha solo fornito interpretazioni e
precisazioni utili a comprendere il corretto approccio alla didattica a distanza in vista della sua massiva
adozione, evitando così il frammentarsi delle prassi e il dilagare della confusione in un momento già di per sé
particolarmente complicato. Le DPIA dei fornitori di piattaforme DDI sono in ogni caso comunque disponibili
sui siti web delle piattaforme in questione.

     -    Microsoft: https://learn.microsoft.com/en-us/compliance/regulatory/gdpr-dpia-office365
     -    Google:https://cloud.google.com/privacy/data-protection-impact-assessment
L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori, o
comunque già disponibili pubblicamente.

Richiesta 3 — “copia degli atti riportanti le misure tecniche previste ed adottate nell'istituto scolastico  in
indirizzo per attivare i soli servizi strettamente necessari alla formazione, nel caso di utilizzo di piattaforme più
complesse che eroghino servizi più complessi anche non rivolti esclusivamente alla didattica, negli anni
scolastici 2020/2021, 2021/2022, 2022/2023”

Tale richiesta è eccessivamente generica e meramente esplorativa, dal momento che non specifica
“piattaforme più complesse” rispetto a cosa, o “servizi più complessi” rispetto a cosa, motivo per cui non può
essere soddisfatta. Sul punto, le linee guida ANAC precisano che “/’istanza di accesso civico identifica i dati,
le informazioni o i documenti richiesti”; pertanto non è ammissibile una richiesta meramente esplorativa,
volta semplicemente a “scoprire” di quali informazioni l’amministrazione dispone. Le richieste, inoltre, non
devono essere generiche, ma consentire l'individuazione del dato, del documento                 o dell’informazione con
riferimento, almeno, alla loro natura e al loro oggetto.

La scuola ha attivato una gestione peculiare della piattaforma attivando le sole funzionalità previste e
gestendo gli accessi e le abilitazioni tramite la creazione di specifiche QU con specifici permessi. La scuola ha

                                                             Oo

                                            risposta FOIA-ic via Poseidone                                     Pag. 2 di 5
                                    Istituto Comprensivo Statale “via Poseidone” - Roma




attivato i soli servizi essenziali (Gmail, Classroom) regolati da termini di utilizzo che vincolano Google alla non
registrazione e alla non divulgazione. Servizi non essenziali possono essere attivati solo per specifiche QU
non collegate agli studenti.

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori.

Richiesta 4     — “copia della valutazione d'impatto della protezione dei dati (DPIA) ai sensi dell’art. 35 del GDPR,
effettuata      nell’ambito dell'utilizzo delle piattaforme di posta elettronica, messaggistica, videoconferenza,
didattica a     distanza, didattica digitale integrata, registro elettronico, adottate nell’anno scolastico  2022/2023
dall'Istituto    in indirizzo”

Posta Elettronica

Come enunciato nella risposta alla Richiesta 1, le software house sono scelte a livello Ministeriale; la necessità
di DPIA è stata quindi esaminata centralmente dal Ministero competente. Sul punto, si precisa che l’art. 35
del GDPR prevede precisi casi in cui è necessaria la DPIA. Tra questi non rientrano quelli in esame. Non solo,
il Garante Privacy ha pubblicato altresì un elenco esemplificativo (non esaustivo) dei trattamenti soggetti a
DPIA e, tra questi, non sono presenti quelli citati dal richiedente. L’osservatore attento noterà tuttavia che,
al numero 6, si fa riferimento al trattamento di dati di minori. Ebbene, sul punto, nella pagina dedicata
proprio alla valutazione d’impatto, il Garante ha precisato che: si evidenzia come le espressioni trattamenti
"sistematici" e "non occasionali" indicate nell'Elenco delle tipologie di trattamenti, soggetti al meccanismo di
coerenza, da sottoporre a valutazione di impatto di cui ai punti 6, 11 e 12 sono riconducibili al criterio della
"larga scala". Non basta quindi la presenza di un trattamento verso minori ma serve anche la “larga scala”,
elemento che, ritornando anche al provvedimento del 26 marzo 2020, non è rinvenibile con riferimento alla
singola scuola.

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documento prodotto e sottoscritto da
soggetto terzo e non in nostra disponibilità.

Piattaforma DDI (Messaggistica, videoconferenza, etc)

La Didattica a Distanza       (DaD) non è più uno strumento previsto dal Ministero competente, come indicato
nella Nota 1199 del 28       agosto 2022 nella quale si legge che l’obiettivo è garantire la frequenza scolastica  in
presenza, limitando al      massimo l’impatto delle misure di contenimento dell’epidemia. E’ pertanto un errore
richiedere una DPIA su       un servizio (la DaD) non più attivabile.

L'Istituto ha facoltà di attivare strumenti complementari alle attività didattiche (DDI): la valutazione di
impatto sulla protezione dei dati (DPIA) per questa tipologia di trattamento è regolata dall’art. 35 comma 3
del Regolamento UE 679/2016 GDPR. La DPIA è obbligatoria in casi specifici e normati, tra i quali non ricadono
i trattamenti di dati in ambito scolastico : gli istituti scolastici, infatti, non effettuano trattamenti automatizzati
(punto a), né su larga scala (punto b) né sistematici (punto c).

Anche il Garante italiano per la Privacy con il provvedimento n. 64 del 26 marzo 2020 (doc. web n. 9300784)
ha dichiarato che non è prevista la DPIA per questa tipologia di trattamento: “La valutazione di impatto, che
l’art. 35 del Regolamento richiede peri casi di rischi elevati, non è necessaria se il trattamento effettuato dalle
istituzioni scolastiche e universitarie, ancorché relativo a soggetti in condizioni peculiari quali minorenni e
lavoratori, non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi per i diritti e le libertà degli
interessati. Ad esempio, non è richiesta la valutazione di impatto per il trattamento effettuato da una singola
scuola (non, quindi, su larga scala) nell’ambito dell'utilizzo di un servizio on line di videoconferenza o di una
piattaforma che non consente il monitoraggio sistematico degli utenti o comunque non ricorre a nuove
soluzioni tecnologiche particolarmente invasive (quali, tra le altre, quelle che comportano nuove forme di
utilizzo dei dati di geolocalizzazione o biometrici).”

Le DPIA dei fornitori di piattaforme DDI sono comunque disponibili sui siti web delle piattaforme in questione.

     -    Microsoft: https://learn.microsoft.com/en-us/compliance/regulatorv/gdpr-dpia-office365

                                                              Oo

                                               risposta FOIA-ic via Poseidone                                Pag.3di5
                                 Istituto Comprensivo Statale “via Poseidone” - Roma




     -    Google:https://cloud.google.com/privacy/data-protection-impact-assessment
L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori, o
comunque già disponibili pubblicamente.

Registro elettronico

Le DPIA delle software house fornitrici del servizio — questo istituto utilizza i sistemi del gruppo SPAGGIARI,
sono pubbliche e reperibili nella scheda            del servizio SaaS presente          nel Marketplace AgiD:
https://catalogocloud.agid.gov.it/

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti già disponibili pubblicamente.

Richiesta 5 — “copia della valutazione di impatto del trasferimento dei dati all’estero(TIA), afferente
all'eventuale trattamento dei dati in paesi terzi (ovvero che si trovino al di fuori dell’Unione Europea) necessario
per la fruizione ed il funzionamento dei servizi di posta elettronica, messaggistica, videoconferenza, didattica
a distanza, didattica digitale integrata, registro elettronico, adottati nell’anno scolastico  2022/2023
dall'Istituto in indirizzo”

Posta elettronica

Come enunciato nella risposta alla Richiesta 1, le software house sono scelte a livello Ministeriale; la necessità
di valutazione di impatto per TIA è stata quindi esaminata centralmente dal Ministero competente.
L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documento prodotto e sottoscritto da
soggetto terzo e non in nostra disponibilità.

Piattaforma DDI (Messaggistica, videoconferenza, etc)

L'Istituto scrivente ha attivato i soli servizi essenziali (Gmail, Classroom) regolati da un contratto che vincola
Google alla non registrazione e alla non divulgazione, e ha scelto come base dati la server farm europea di
Google. Questa scelta rende inutile la redazione della TIA.

A questi link sono reperibili le documentazioni Google legate alla scelta della data region e ai servizi essenziali
attivati:

     -       https://support.google.com/a/answer/6356441?hl=en
     -       https://support.google.com/a/answer/7630496
     -      https://support.google.com/a/answer/9223653?hl=en
     -       https://support.google.com/a/answer/60762?hl=en

Trattandosi di una particolare valutazione di impatto sulla protezione dei dati (in questo specifico caso
trasferiti all’estero), questa tipologia di trattamento è anch’essa regolata dall’art. 35 comma 3 del
Regolamento UE 679/2016 GDPR. La TIA è obbligatoria in casi specifici e normati, tra i quali non ricadono i
trattamenti di dati in ambito scolastico : gli istituti scolastici, infatti, non effettuano trattamenti automatizzati
(punto a), né su larga scala (punto b) né sistematici (punto c).

Anche il Garante italiano per la Privacy con il provvedimento n. 64 del 26 marzo 2020 (doc. web n. 9300784)
ha dichiarato che non è prevista la DPIA per questa tipologia di trattamento: “La valutazione di impatto, che
l’art. 35 del Regolamento richiede peri casi di rischi elevati, non è necessaria se il trattamento effettuato dalle
istituzioni scolastiche e universitarie, ancorché relativo a soggetti in condizioni peculiari quali minorenni e
lavoratori, non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi per i diritti e le libertà degli
interessati. Ad esempio, non è richiesta la valutazione di impatto per il trattamento effettuato da una singola
scuola (non, quindi, su larga scala) nell’ambito dell'utilizzo di un servizio on line di videoconferenza o di una
piattaforma che non consente il monitoraggio sistematico degli utenti o comunque non ricorre a nuove
soluzioni tecnologiche particolarmente invasive (quali, tra le altre, quelle che comportano nuove forme di
utilizzo dei dati di geolocalizzazione o biometrici).”

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori.
                                                            Oo

                                            risposta FOIA-ic via Poseidone                                   Pag.4di5
                                  Istituto Comprensivo Statale “via Poseidone” - Roma




Registro elettronico

L'Istituto scrivente ha recepito all’atto della sottoscrizione del contratto di prestazione di servizio la TIA
redatta dalla software house fornitrice.

L'Istituto scrivente ha sottoscritto un contratto di prestazione di servizio con la software house Spaggiari.

Le DPIA delle software house fornitrici del servizio sono pubbliche e reperibili                               nella scheda                 del servizio
SaaS presente nel Marketplace AgiD: https://catalogocloud.agid.gov.it/

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti già disponibili pubblicamente.

Richiesta 6 — “copia della valutazione comparativa ai sensi dell’art. 68 del d. lgs. 7/3/2005 n. 82 realizzata per
provvedere all'acquisizione delle piattaforme di posta elettronica, messaggistica, videoconferenza, didattica a
distanza, didattica digitale integrata, registro elettronico, adottate nell’anno scolastico  2022/2023 dall'Istituto
in indirizzo”

Posta elettronica

Come enunciato nella risposta alla Richiesta 1, le software house sono scelte a livello Ministeriale; la necessità
di Valutazione Comparativa è stata quindi esaminata centralmente dal Ministero competente.
L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documento prodotto e sottoscritto da
soggetto terzo e non in nostra disponibilità.

 [omissis] Didattica a Distanza (DaD) non è più uno strumento previsto dal Ministero competente, come indicato
nella Nota 1199 del 28 agosto 2022 nella quale si legge che l’obiettivo per l’anno scolastico  2022-2023 è
garantire la frequenza scolastica  in presenza, limitando al massimo l'impatto delle misure di contenimento
dell'epidemia. È pertanto un errore richiedere una Valutazione Comparativa su un servizio (la DaD) non più
attivabile.   Per quanto   concerne   le piattaforme   DDI, nell’anno scolastico  2022/2023                             l’Istituto scrivente               ha
operato in continuità con gli anni scolastici precedenti: non è stata quindi effettuata nessuna valutazione
comparativa, poiché è stato confermato l'utilizzo degli strumenti già attivati in precedenza, avendo
osservato, nel caso di migrazione, un concreto rischio di eccessivi oneri in termini di costi di migrazione e
formazione del personale.

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori.

Registro  [omissis] peculiare struttura del mercato di riferimento, il contenuto numero di operatori attivi, la particolare
soddisfazione maturata nel precedente rapporto contrattuale e la relativa competitività del prezzo offerto,
valutati gli eccessivi oneri in termini di costi (per migrazione, formazione del personale docente, formazione
del personale non docente) e valutati i rischi per l’integrità dei dati trattati in caso di migrazione, l’Istituto
scrivente ha confermato e rinnovato in affidamento diretto il contratto stipulato con il fornitore degli anni
aggiornate al D.Lgs 56/2017. Di conseguenza non è stata effettuata alcuna valutazione comparativa.

L'istituto non può quindi accogliere la richiesta, in quanto trattasi di documento non previsto né obbligatorio.

Roma, 14 ottobre 2022


                                                                        IL DIRIGENTE                          SCOLASTICO 
                                                                         [omissis] 
                                                                         Firma autografa sostituita a mezzo stampa e con firma digitale
                                                                         apposta ai sensi dell'art. n.3 comma 2 del D.Lgs. 39/1993 e degli
                                                                         articoli n. 35 e successivi del CAD istituito con D.Lgs. n. 82/2005
                                                                         e ss.mmi. ii. di cui al D.Lgs. n. 179 / 2016 e al D.Lgs. n. 217 / 2017




                                             risposta FOIA-ic via Poseidone                                                                       Pag.5 di 5