ISTITUTO COMPRENSIVO "G. ROMAGNOSI" Via G. Cantore, 16 20841 CARATE BRIANZA (MB) del trattamento" che ciò avviene in seguito all'instaurazione di questo nuovo rapporto contrattuale. Il contratto di nomina a Responsabile del trattamento quasi sempre affianca un "contratto sottostante" con il quale il Titolare ha individuato il soggetto esterno per svolgere un incarico che comporterà il trattamento di dati (R.S.P.P., Medico Competente, D.P.O., Tesoreria, Registro elettronico etc.), obiettivo di questo atto è proprio quello di integrare tale contratto sottostante per tutte quelle questioni che non sono disciplinate all'interno di questo (data breach, audit etc.). Dott. Augusto Piazza Via G. Leopardi, 20 C/A Dott. Augusto Piazza Lecco (LC) LA DESIGNAZIONE DI PERSONALE INCARICATO DAL FORNITORE A RESPONSABILE DEL SERVIZIO DI PREVENZIONE E PROTEZIONE (R.S.P.P.) DELL'ISTITUTO SCOLASTICO Argo Software S.R.L. Zona Industriale Ill Fase C/A Amministrazione 97100 RAGUSA (RG) LA FORNITURA DEL SERVIZIO DI GESTIONE DIGITALE DEGLI UFFICI DI SEGRETERIA Argo Software S.R.L. Zona Industriale Ill Fase C/A Amministrazione 97100 RAGUSA (RG) LA FORNITURA DEL SERVIZIO DI GESTIONE DEL REGISTRO ELETTRONICO Argo Software S.R.L. Zona Industriale Ill Fase C/A Amministrazione 97100 RAGUSA (RG) LA FORNITURA DEL SERVIZIO DI GESTIONE DELL'IMPIANTO DI RILEVAZIONE DELLE PRESENZE Google Ireland Limited Gordon House, Barrow Street C/A Amministrazione Dublin 4 Ireland LA FORNITURA DEL SERVIZIO DI PIATTAFORMA DIDATTICA DIGITALE DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. ELENCO DEI RESPONSABILI DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE ELENCO NOMINATIVO DEI RESPONSABILI DEL TRATTAMENTO DEI DATI PERSONALI WESchool S.R.L. Via Guido Reni, 42 C/A Amministrazione 20133 MILANO (MI) LA FORNITURA DEL SERVIZIO DI PIATTAFORMA DIDATTICA DIGITALE Banca Intesa Sanpaolo S.p.a. Corso della Libertà, 2 C/A Amministrazione 20841 CARATE BRIANZA (Mb) SERVIZIO DI TESORERIA 10 11 12 DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. ELENCO DEI RESPONSABILI DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Il personale tecnico autorizzato esegue questa tipologia di trattamenti: AMMINISTRATORE DI SISTEMA BASE DATI E LORO TIPOLOGIA CATEGORIE DI INTERESSATI E FINALITA' DATI DI ALLIEVI, PERSONALE E FORNITORI, TRATTATI ALL'UNICO FINE DI GESTIONE E DATI PERSONALI DI TUTTE LE TIPOLOGIE MANUTENZIONE DEGLI IMPIANTI DI ELABORAZIONE ENTRO CUI SONO CUSTODITI O DI LORO (COMUNI, PARTICOLARI E GIUDIZIARI) COMPONENTI SIA HARDWARE CHE SOFTWARE LIMITATAMENTE ALL'AMBITO/ PIATTAFORMA DI COMPETENZA. Quando interno all'Istituto Scolastico agisce in qualità di "AUTORIZZATO ALL'ACCESSO AL SISTEMA INFORMATICO" mentre, quando esterno, viene designato quale "RESPONSABILE DEL TRATTAMENTO" ai sensi dell'Art. 28 del G.D.P.R.. Di seguito i compiti assegnati: Adottare sistemi di registrazione degli accessi (log) degli amministratori ai sistemi di elaborazione ed agli archivi. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo (almeno sei mesi); Sovrintendere al funzionamento della rete, comprese le apparecchiature di protezione (firewall, antivirus, filtri etc.); Monitorare lo stato dei sistemi, con particolare attenzione alla loro sicurezza; Effettuare in prima persona o sovraintendere agli interventi di manutenzione hardware ed a quelli software su sistemi operativi e applicativi; Sovrintendere all'operato di eventuali tecnici esterni; Fare in modo che sia prevista la disattivazione dei codici identificativi personali (user-id), in caso di perdita della qualità che consentiva all'autorizzato l'accesso a PC, device e piattaforme, oppure nel caso di mancato utilizzo del codice per oltre sei mesi; Gestire le password di root o di amministratore di sistema; Collaborare con il Titolare del trattamento, i Responsabili ed il Data Protection Officer; Informare senza ritardo il Titolare del trattamento di tutte le questioni che possano far temere il prodursi di un data breach e fornire assistenza allo stesso in ordine alla sua eventuale notifica al Garante ed agli interessati; Adottare le misure di sicurezza previste dalla legge e dalle D.P.I.A. eseguite, all'infrastruttura informatica di competenza; Redigere annualmente un resoconto in ordine alla rispondenza della infrastruttura informatica di competenza, ai requisiti di sicurezza previsti dalle normative vigenti; DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. Pagina N° 6 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Il personale tecnico autorizzato esegue questa tipologia di trattamenti: ADDETTO ALLA GESTIONE/MANUTENZIONE DI SISTEMA INFORMATICO BASE DATI E LORO TIPOLOGIA CATEGORIE DI INTERESSATI E FINALITA' DATI DI ALLIEVI, PERSONALE E FORNITORI, TRATTATI ALL'UNICO FINE DI GESTIONE E DATI PERSONALI DI TUTTE LE TIPOLOGIE MANUTENZIONE DEGLI IMPIANTI DI ELABORAZIONE ENTRO CUI SONO CUSTODITI O DI LORO (COMUNI, PARTICOLARI E GIUDIZIARI) COMPONENTI SIA HARDWARE CHE SOFTWARE LIMITATAMENTE ALL'AMBITO/ PIATTAFORMA DI COMPETENZA. Quando interno all'Istituto Scolastico agisce in qualità di "AUTORIZZATO ALL'ACCESSO AL SISTEMA INFORMATICO" mentre, quando esterno, viene designato quale "RESPONSABILE DEL TRATTAMENTO" ai sensi dell'Art. 28 del G.D.P.R.. Di seguito i compiti assegnati: Effettuare interventi di manutenzione e recupero di dati, documenti e archivi; Eseguire richieste di spostamento, ricollocazione, distruzione di dati o archivi; Acquisire e conservare temporaneamente i dati di log di accesso ad internet, quelli relativi ad attacchi di maleware in generale quali virus e trojan nonché quelli relativi a tentativi di intrusione; Configurare periferiche di stampa ed acquisizione dati; Configurare sistemi di backup del dati; Allocare temporaneamente gli archivi dati su propri sistemi o cloud per consentire la regolare esecuzione degli interventi manutentivi o di configurazione; In caso di ritiro di P.C. o device in genere e loro traslocazione temporanea presso laboratori tecnici per l'impossibilità di eseguire l'intervento in loco, adottare misure di sicurezza adeguate ad impedire a terzi l'accesso ai dati; Eseguire interventi di pulizia dei sistemi da virus e di ottimizzazione delle prestazioni dei singoli device; Installare software di gestione remota dei dati da attivare solamente previo informazione ed espresso consenso del soggetto a cui il PC / device è in uso; Informare senza ritardo il Titolare del trattamento di tutte le questioni che possano far temere il prodursi di un data breach e fornire assistenza allo stesso in ordine alla sua eventuale notifica al Garante ed agli interessati; DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Il personale tecnico autorizzato esegue questa tipologia di trattamenti: AMMINISTRATORE DI PIATTAFORMA DIGITALE DATI DI ALLIEVI E PERSONALE, TRATTATI AL FINE DELLA CREAZIONE DELLE UTENZE DI DATI PERSONALI COMUNI ACCESSO ALL'AMBITO/ PIATTAFORMA DI COMPETENZA E DELLA SUA AMMINISTRAZIONE. L'incarico di amministrazione viene svolto sulle principali piattaforme in uso all'interno dell'Istituto scolastico (segreteria digitale, registro elettronico, piattaforma didattica integrata etc.). Quando interno all'Istituto Scolastico agisce in qualità di "AUTORIZZATO ALL'ACCESSO AL SISTEMA INFORMATICO" mentre, quando esterno, viene designato quale "RESPONSABILE DEL TRATTAMENTO" ai sensi dell'Art. 28 del G.D.P.R.. Di seguito i compiti assegnati: Assicurare la custodia delle credenziali amministrative per la gestione dei sistemi di autenticazione e autorizzazione in uso e di prossima attivazione; Creare e gestire gli utenti assegnando a ciascuno solamente i poteri di accesso che gli sono propri, ossia la possibilità di accesso ai soli dati riferiti alle classi di pertinenza; Creare, se necessario, gruppi di utenti in base alle loro risorse utilizzabili; Prestare assistenza nell'attivazione e configurazione di servizi legati alla piattaforma, nell'ottica della dematerializzazione e digitalizzazione dei documenti; Informare senza ritardo il Titolare del trattamento di tutte le questioni che possano far temere il prodursi di un data breach e fornire assistenza allo stesso in ordine alla sua eventuale notifica al Garante ed agli interessati; Terminiamo questa parte introduttiva di presentazione anagrafica delle sedi in cui avviene il trattamento e dell' organigramma dello stesso, per passare, alle pagine che seguono, ad analizzare nello specifico le attività di trattamento svolte. 1° SEZIONE — ANAGRAFICA, FINALITA’, NORMATIVA L. Scopo del documento 10 Il. Ambito di applicazione del documento 10 Ill. Fonti del diritto 11 IV. | Soggetti del trattamento dei dati 11 Il Titolare del trattamento 11 Il Responsabile del trattamento 11 Gli Autorizzati al trattamento 12 II° SEZIONE — REGISTRO DELLE ATTIVITA’ DI TRATTAMENTO V. Registro principale delle attività di trattamento dell'Istituto Scolastico 12 Tabella B — [omissis] ività di trattamento 16 Registro T1 — Amministrazione degli studenti Registro T1-A — Didattica Digitale Integrata Registro T2 — Trattamento giuridico ed economico del personale Registro T3 — Gestione fornitori di beni e servizi e degli specialisti esterni Registro T4 — Videosorveglianza (compilato solo se presente) Registro TS — Trattamenti speciali (compilato solo se presente) Richiami al D.M. 305 del 07 Dicembre 2006 (SCHEDE DEI TRATTAMENTI) 17 III° SEZIONE — VALUTAZIONE DI IMPATTO SULLA PROTEZIONE DEI DATI VI. Le misure di sicurezza globali 21 Uso di internet da parte dei soggetti del trattamento 21 Uso della posta elettronica da parte dei soggetti del trattamento 21 Uso del fax da parte dei soggetti del trattamento 21 Distruzione di documenti da parte dei soggetti del trattamento 22 Gestione della posta cartacea da parte dei soggetti del trattamento 22 VII. Misure di sicurezza contro il rischio di distruzione o perdita dei dati 22 Procedura di esecuzione del Back-up 22 VIII. Altre misure di sicurezza 23 Assegnazione nomi utente 23 Assegnazione delle password 23 Sicurezza delle trasmissioni dati 24 Personale autorizzato al trattamento 24 IX. Manutenzione delle apparecchiature 24 X. Il Data Breach 25 XI. La tutela degli interessati (procedura) 32 IV° SEZIONE — VALUTAZIONI PROGRAMMIATICHE XII. Formazione degli autorizzati 37 XIII. Revisioni 37 I. SCOPO DEL DOCUMENTO Scopo di questo documento è di delineare il quadro delle misure di sicurezza, organizzative, fisiche e logiche, da adottare per il trattamento dei dati personali effettuato all’interno della struttura, al fine di conoscere il proprio stato di sicurezza rispetto ai rischi di violazione della riservatezza e perdita di dati. Esso viene redatto ogni anno per garantire una perfetta aderenza del contenuto dello stesso alle modificate esigenze di sicurezza nonché, al variare nel tempo, del profilo dei rischi incombenti sui dati. Il modello grafico adottato è stato realizzato in proprio dallo Studio AG.1.COM. S.r.l. sulla base della specifica esperienza acquisita in materia. All’interno del documento vengono definiti i criteri per: I. La protezione delle aree e dei locali interessati dalle misure di sicurezza, nonché le procedure per controllare l’accesso delle persone autorizzate ai medesimi locali; II. criteri e le procedure per assicurare l'integrità dei dati; Ill. criteri e le procedure per la sicurezza della trasmissione dei dati, ivi compresi quelli per le redazioni di accesso per via telematica; IV. L'elaborazione di un piano di formazione per rendere edotti gli autorizzati al trattamento dei rischi individuati e dei modi per prevenire i danni. Il presente documento è redatto e firmato in calce dal Titolare del trattamento e dal Responsabile della Protezione dei Dati (R.P.D.- D.P.0.). [omissis] presente documento è applicato ai trattamenti di dati che avvengono all’interno delle strutture di competenza del titolare, ovunque esse si trovino sul territorio europeo. Si forniscono inoltre idonee informazioni riguardanti: a) l’elenco dei trattamenti di dati personali mediante : = Individuazione tipologia di dati trattati = Descrizione aree, locali e strumenti con cui si esegue il trattamento = Elaborazione mappa dei trattamenti effettuati b) la distribuzione dei compiti e delle responsabilità e la previsione di interventi formativi degli autorizzati individuati dal presente; c) l’analisi dei rischi che incombono sui dati; d) le misure adottate e da adottare per garantire l'integrità e la disponibilità dei dati; e) icriteri e le modalità di ripristino dei dati, in seguito a distruzione o danneggiamento; f) icriteri da adottare per garantire l'adozione delle misure di sicurezza dei dati g) le procedure per seguire il controllo dello stato di sicurezza Le procedure contenute nel presente documento devono essere conosciute ed applicate da tutti gli uffici ed i reparti su cui è strutturato l’ente titolare del trattamento. [omissis] Documento delle Misure a Tutela dei Dati delle Persone e le disposizioni che esso contiene sono conformi a quanto previsto dagli articoli 24 comma 1, 30 e 35 del Regolamento dell’Unione Europea 2016/679. Con particolare riferimento alla tipologia del soggetto obbligato alla redazione del presente documento, Istituto di Istruzione Statale, esso è conforme ai principi indicati nel Decreto del Ministro della Pubblica Istruzione N° 305 del 15 Gennaio 2007, denominato anche “Regolamento per i dati sensibili e giudiziari del Ministero della Pubblica Istruzione”. [omissis] normativa vigente ha definito talune figure fondamentali a cui attribuisce ruoli chiave nei vari passaggi su cui è strutturato il trattamento dei dati. Queste figure sono: IL TITOLARE DEL TRATTAMENTO DEI DATI PERSONALI La persona giuridica o l'Istituzione statale è, “ope /egis”, per mezzo del suo rappresentante legale, TITOLARE DEL TRATTAMENTO. Quale Titolare del trattamento gli è consentito individuare, nominare e incaricare per iscritto uno o più Responsabili del trattamento dei dati, che assicurino che vengano adottate le misure di sicurezza previste dalla legge per il trattamento dei dati come le misure tese a ridurre al minimo il rischio di distruzione dei dati, l’accesso non autorizzato o il trattamento non consentito, previe idonee istruzioni fornite per iscritto dal Titolare stesso IL RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI In relazione all'attività del Titolare del trattamento, è prevista come facoltativa, la nomina del Responsabile del trattamento, con compiti specifici in relazione alle funzioni svolte. Il Titolare del trattamento se vuole, affida al Responsabile del trattamento l’onere di individuare, nominare ed indicare per iscritto uno o più autorizzati al trattamento appartenenti alla propria organizzazione. Il Titolare (ed il Responsabile del trattamento dei dati se designato) hanno il compito di: = = Redigere edaggiornare ad ogni variazione l'elenco dei sistemi di elaborazione connessi in rete pubblica, nonché l’elenco dei trattamenti effettuati; =» Attribuire ad ogni Utente (USER) o autorizzato un Codice identificativo personale (USER ID) per l'utilizzazione dell’elaboratore, che deve essere individuale e non riutilizzabile; =» Autorizzareisingoli autorizzati al trattamento e della manutenzione, qualora utilizzino elaboratori accessibili in rete e nel caso di trattamento di dati sensibili e giudiziari; per gli stessi dati, qualora il trattamento sia effettuato tramite elaboratori accessibili in rete disponibile al pubblico, saranno oggetto di autorizzazione anche gli strumenti da utilizzare; = Verificare, con cadenza almeno semestrale, l'efficacia dei programmi di protezione ed antivirus, nonché definire le modalità di accesso ai locali; =» Garantire che tutte le misure di sicurezza riguardanti i dati in possesso dell’ente siano applicate all’interno ed eventualmente al di fuori dello stesso, qualora cedute a soggetti terzi, quali Responsabili del trattamento, tutte o parte delle attività di trattamento; Il Titolare del trattamento dei dati deve informare il Responsabile del trattamento dei dati delle responsabilità che gli sono affidate in relazione a quanto disposto dalle normative in vigore, e dall'accordo contrattuale o di altra natura che egli ha concluso con questo. La nomina del Responsabile del trattamento può essere revocata in qualsiasi momento dal Titolare del trattamento dei dati senza preavviso, ed eventualmente affidata ad altro soggetto. AUTORIZZATI AL TRATTAMENTO DEI DATI AI Titolare del trattamento (ed al Responsabile del trattamento se nominato e per quanto attiene alla propria struttura) è affidato il compito di individuare uno o più autorizzati del trattamento dei dati. Tale designazione è funzionale (ma non strettamente obbligatorio) che avvenga per iscritto e che dal documento di autorizzazione siano facilmente desumibili i compiti che gli sono affidati. Gli autorizzati al trattamento devono ricevere idonee ed analitiche istruzioni scritte, anche per gruppi omogenei di lavoro, sulle mansioni loro affidate e sugli adempimenti cui sono tenuti. Agli autorizzati deve essere assegnata una parola chiave e un codice identificativo personale, salvo che non siano in uso altri sistemi di identificazione individuale. La nomina degli autorizzati al trattamento deve essere controfirmata dall'interessato per presa visione e copia della stessa deve essere conservata a cura del Titolare/Responsabile del trattamento per la sicurezza dei dati in luogo sicuro. Agli autorizzati al trattamento il Titolare/Responsabile del trattamento per la sicurezza dei dati deve consegnare una copia di tutte le norme che riguardano la sicurezza del trattamento dei dati in vigore al momento della nomina. La nomina degli autorizzati è a tempo indeterminato e decade per revoca, per dimissioni o con il venir meno dei compiti che giustificavano il trattamento dei dati personali. V. REGISTRO PRINCIPALE DELLE ATTIVITA’ DI TRATTAMENTO DI DATI [omissis] registro delle attività di trattamento di questo paragrafo è la parte principale di questo documento e fornisce una rappresentazione dell’organizzazione sotto il profilo delle attività di trattamento dei dati personali. Esso ha lo scopo di dare consapevolezza e condivisione interna del processo di gestione del dato. Il suo contenuto è prescritto dall'art. 30 del GDPR, queste le informazioni da includere: e datidicontatto del titolare del trattamento e, dove applicabile, del contitolare del trattamento e del Responsabile della protezione dei dati; e finalità del trattamento, le finalità per le quali sono trattati tali dati; e categorie di interessati; e categorie di dati personali; e categorie di destinatari a cui i dati personali sono stati o saranno comunicati; e ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale; e ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati; e ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative. AI fine di descrivere le misure di sicurezza tecniche ed organizzative attuate dall'Istituto a tutela dei dati, occorre eseguire una valutazione preliminare dei rischi incombenti su questi. Infatti il GDPR predilige l'approccio c.d. “risk- based”, cioè basato sul concetto di “rischio” circa il verificarsi di un evento che possa determinare una violazione dei dati. Il Considerando 75 definisce il rischio in questo modo: "/ rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: se il trattamento può comportare discriminazioni, furto o usurpazione d'identità, perdite finanziarie, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale, decifratura non autorizzata della pseudonimizzazione, o qualsiasi altro danno economico o sociale significativo; se gli interessati rischiano di essere privati dei loro diritti e delle loro libertà o venga loro impedito l'esercizio del controllo sui dati personali che li riguardano; se sono trattati dati personali che rivelano l'origine razziale DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, nonché dati geneti dati relativi alla salute o i dati relativi alla vita sessuale 0 a condanne penali e a reati 0 alle relative misure di sicurezza; în caso di valutazione di aspetti personali, în particolare mediante l'analisi 0 la previsione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze 0 gli interessi personali, l'affidabilità o il comportamento, l'ubicazione 0 gli spostamenti, al fine di creare 0 utllizzare profili personali; se sono trattati dati personali di persone fisiche vulnerabili, in particolare minori; se il trattamento riguarda una notevole quantità di dati personalie un vasto numero di interessati". Un rischio è quindi uno scenari che descrive un evento e le sue conseguenze, stimato in term di gravità e probabilità. L'entità dei rischi viene ricavata assegnando un opportuno valore alla probabilità di accadimento (P) ed alle nevolmente attese dal verificarsi di tale evento (C). Dalla combinazione di queste grandezze icava la matrice d chio la cui entità è data dalla relazione: P = probabilità di accadimento C= conseguenze (gravità dei danni attesi) Alla probabilità di accadimento dell'evento (P) è associato un indice numerico rappresentato nella seguente tabella: PROBABILITA' DELL'EVENTO 1 Improba 2 Poco probabile 3 Probabile 4 Molto probabile 5 Quasi certo Alle conseguenze (C) è associato un indice numerico rappresentato nella seguente tabella: CONSEGUENZE Trascural Marginali Limitate [omissis] matrice che scaturisce dalla combinazione di probabilità e conseguenze è rappresentata in figura seguente: I] DOCUMENTO DELLE MISURE ATUTELA DEI DATI DELLE PERSONE Si ricava così, perogni attività di trattamento, un livello di Rischio (di potenziale perdita, divulgazione, modifica, distruzione non autorizzata di dati) che convenzionalmente riteniamo possa assumerei seguenti valori Valori di riferimento (151R<3) CEITEDÌ @<1R<12) (15 5 LR 5 25) Per ciascun trattamento censito infine, è necessario valutare se debba essere prodottala DPIA, acronimo di “Dato Protection Impact Assessment”, ossia una valutazione preliminare, eseguita dal titolare del trattamento dei dati personali, relativa agli impatti a cui andrebbe incontro un trattamento laddove dovessero essere violate le misure di protezione dei dati In linea con l'approccio basato sul rischio adottato dal regolamento generale sulla protezione dei dati, non è obbligatorio svolgere una valutazione d'impatto sulla protezione dei dati per ciascun trattamento; è necessario realizzare una valutazione d'impatto sulla protezione dei dati soltanto quando la tipologia di trattamento “può presentare un rischio elevato peri diritti ele libertà dell persone fisiche" (articolo 35 del Regolamento 2016/6739), livello di rischio che si presume sussistere quando ci troviamo in almeno una di queste circostanze: 1 Viene eseguita una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresala profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici 0 incidono in modo analogo signifi cativamente su dette persone fisiche; 2. Avviene iltrattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, 0 di dati relativi a condanne penali e a reti di cui all'articolo 10; 3. Avviene la sorveglianza sistematica su larga scala di unazona accessibile al pubblico. Nel percorso di analisi, alfine di determinare l'obbligatorietà o meno della DPIA, il “Gruppo Articolo 29” ha introdotto 9 criteri di criticità del trattamento, qualora un'attività di trattamento dati soddisfi due 0 più di questi, lavalutazione d'impatto sulla protezione dei dati deve intendersi obbligatoria e deve essere riproposta con regolarità negli anni successivi. Questi i 9 criteri Valutazione 0 assegnazione di un punteggio Processo decisionale automatizzato che ha effetto giuridico 0 incide in modo analogo significativamente Monitoraggio sistematico Dati sensibili o aventi carattere altamente personale Trattamento di dati su larga scala Creazionedi corrispondenze 0 combinazione di insieme di dati Dati relativi ad interessati vulnerabili Uso innovativo 0 applicazione di nuove soluzioni tecnologiche Trattamento che impedisce agli interessati di esercitare un diritto 0 di avvalersi di un servizio 0 di un contratto La DPIA, se necessaria, si basa su un'analisi dei rischi più dettagliata di quella di base descritta sopra, in cui si cerca di dare un peso ai possibili controlli applicabili, passando così da un indice di rischio “intrinseco” ad un indice di rischio “normalizzato” rispetto al contesto scolastico Il rischio (che definiamo “nomalizzato”) viene calcolato non più in funzionedi 2fattori, ma di 3: RN =f(P, C, Vu) robabilità conseguenze generate dall'evento vu = vulnerabilità rispetto al grado di adeguatezza delle misure DOCUMENTO ELABORATO N° 18 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE RN =f (P, C, Vu) P= probabilità di Stima della probabilità di accadimento degli - — eventi che causano la perdita, violazione, ie) accadimento d distribuzione non controllata di dati os ai = Stima della gravità dei danni attesi rispetto Pi € = conseguenze all’accadimento di un determinato evento 2c S (e) rd Grado di adeguatezza delle misure che Vu= vulnerabilità contrastano il manifestarsi degli eventi Partendo dal valore di rischio {che chiamiamo convenzionalmente “Rischi Intrinseco”) calcolato secondo la modalità prima descritta, per ricavare il Rischio Normalizzato RN, viene introdotto il fattore Vulnerabilità Vu che fornisce un'indicazione circa l'adeguatezza delle misure di sicurezza attuate per ogni rischio. Alla Vulnerabilità (Vu) è associato un indice numerico rappresentato nella seguente tabella: VULNERABILITÀ" 1 Adeguate 0,25 2 Parzialmente adeguate 0,5 3 Inadeguate 1 Quindi, per ogni rischio, vengono indicate le misure di sicurezza adottate, per ognuna delle quali viene definito il grado di adeguatezza, assegnando uno dei possibili valori sopra indicati. Per ricavare il valore del rischio normalizzato RN viene moltiplicato il Rischio Intrinseco Ri con il valore peggiore assegnato alle misure di sicurezza relativamente a quel rischio. 1 V ul 05 0,25 Ri DOCUMENTO ELABORATO DAL [omissis] c/o Studio AG...COM. S.r.l. Pagina N° 15 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE RISCHIO NORMALIZZATO RN = Ri x Vu Valori di riferimento 0,25 possibile imporre una scadenza temporale alla validità della password. Tale scadenza ADEGUATO policies” adeguata ? nonché l’impostazione dell’obbligo di utilizzare password complesse è demandato all'attività del soggetto interno autorizzato dalla scuola all’amministrazione della piattaforma. Sono definiti differenti profili Sì, All'atto della creazione delle utenze ad opera del soggetto interno autorizzato dalla di autorizzazione da attribuire scuola all’amministrazione della piattaforma, lo stesso si preoccupa di definire delle . . . i policies di accesso esclusivo ai dati di sua pertinenze. | docenti possono accedere ai soggetti autorizzati in modo esclusivamente ai dati relativi agli allievi delle loro classi, gli allievi possono interagire ADEGUATO da garantire un accesso esclusivamente con i loro compagni di classe. selettivo ai dati ? I canali di trasmissione E in uso il protocollo TLS (Transport Layer Security) che consente di criptare e utilizzati sono sicuri sotto il recapitare i messaggi di posta in modo sicuro, sia per il traffico in entrata che per . :n 9 quello in uscita, consentendo così di prevenire l'intercettazione dei messaggi durante profilo tecnico ? il passaggio fra server di posta. Il rapporto Crittografia mostra il numero di messaggi criptati mediante TLS nel dominio. Google si avvale di diverse misure di sicurezza volte a garantire l'autenticità, l'integrità e la privacy dei dati in transito. Google crittografa e autentica tutti i dati in transito su uno o più livelli di rete quando i dati si spostano all'esterno dei confini fisici non controllati da Google o per conto di Google. | dati in transito all'interno di un confine fisico controllato da Google o per conto di Google sono generalmente autenticati, ma non necessariamente crittografati. A seconda della connessione effettuata, Google applica le misure di protezione ADEGUATO predefinite ai dati in transito. Ad esempio, proteggiamo le comunicazioni tra l'utente e Google Front End (GFE) utilizzando TLS. I clienti di Google Cloud con requisiti aggiuntivi per la crittografia dei dati trasmessi su WAN possono scegliere di implementare ulteriori misure di protezione per i dati trasferiti da un utente a un'applicazione o da una macchina virtuale all'altra. Queste misure di protezione comprendono tunnel IPSec, S/MIME di Gmail, certificati SSL gestiti e Istio. Google collabora attivamente con il settore per contribuire a mettere la crittografia dei dati in transito a disposizione di tutti, ovunque. Abbiamo diversi progetti open source che incoraggiano l'uso della crittografia dei dati in transito e la sicurezza dei dati su Internet in generale, tra cui Certificate Transparency, le API di Chrome e SMTP sicuro. Sono adottate soluzioni atte a G Suite presenta solo funzionalità limitate per il ripristino dei dati di G Suite perduti, garantire la disponibilita’ dei distrutti o danneggiati e non dispone né delle funzionalità né dell'affidabilità delle > soluzioni di backup con le quali molte attività proteggono le proprie applicazioni dati ? critiche. E' da dire tuttavia che i dati custoditi su G Suite sono da intendersi come dati ADEGUATO principalmente didattici, pertanto pur trattandosi di una voce in cui la piattaforma non eccelle, la protezione garantita può dirsi adeguata se rapportata al tipo di dato trattato. Sono adottati sistemi di L’Istituto dispone di un firewall posto a monte della rete informatica che garantisce ADEGUATO un adeguato livello di protezione perimetrale. protezione perimetrale ? DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Sono adottati sistemi di L’Istituto dispone di un software antivirus aggiornato che garantisce un adeguato protezione antivirus e livello di protezione rispetto alla distruzione e perdita dei dati. ADEGUATO antimalware ? I software di base vengono L’Istituto dispone di un programma di assistenza tecnica informatica che comprende costantemente aggiornati ? anche l'aggiornamento dei sistemi operativi. ADEGUATO Degli accessi e delle operazioni | F' in uso un sistema di registrazione e back up dei file di log riferiti alle utenze compiute viene tenuta traccia amministrative implementato dall’Amministratore di Sistema. | file di log di G suite ADEGUATO . a . > sono a disposizione del soggetto interno autorizzato dalla scuola all’amministrazione registrando i file di log _68_ [omissis] uate misure di La Direzione Scolastica prevede l’informazione di tutti gli utilizzatori anche mediante formazione e sensibilizzazione la condivisione di un regolamento generale destinato agli allievi ed al personale ADEGUATO degli . utenti . ? utilizzatore I dell della piattaforma. f egli utenti ? E’ stato necessario eseguire la Come evidenziato nelle righe precedenti, l'esecuzione della D.P.I.A. non deve DPIA ? intendersi obbligatoria in quanto il trattamento in esame non appare ad elevato ” rischio e le misure di sicurezza attuate appaiono adeguate, tuttavia è stata volontà del Titolare del trattamento, consigliato in questa direzione dal D.P.O. eseguire comunque tale analisi approfondita. In conseguenza dell analisi le misure di sicurezza definite dalla piattaforma Google ADEGUATO Suite for Education appaiono ADEGUATE. Si rammenta che le stesse devono essere mantenute tali anche ad opera dell'Istituto Scolastico mediante l'adozione ed il mantenimento delle precauzioni specifiche di pertinenza del Titolare del trattamento che agisce per mezzo del soggetto interno autorizzato dalla scuola all’amministrazione della piattaforma che è stato formalmente individuato. DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. REGISTRO TRATTAMENTO DEI DATI DEGLI ALLIEVI Registro T1 (AMMINISTRAZIONE DEGLI STUDENTI) Sottoregistro A DIDATTICA DIGITALE INTEGRATA REALIZZATA CON WESCHOOL Descrizione In relazione alla Didattica Digitale Integrata (D.D.1.) il trattamento dei dati deve intendersi collegato all'esecuzione di sommaria un compito di interesse pubblico di cui è investito l’Istituto, che viene perseguito attraverso una modalità operativa dell’attività di diversa ma che rientra tra le attività istituzionalmente assegnate all'istituzione scolastica ovvero di didattica trattamento nell’ambito degli ordinamenti scolastici vigenti. ISCRIZIONE DEGLI ALLIEVI GESTIONE ORGANIZZATIVA DELLA LEZIONE E DELLA VALUTAZIONE DEGLI ALLIEVI Finalità del TENUTA DEI DATI INERENTI ALLA FREQUENZA SCOLASTICA ED AL RENDIMENTO DEGLI ALLIEVI trattamento CERTIFICAZIONI ALLIEVI RISPETTO ALLA LORO FREQUENZA ED Al RISULTATI CONSEGUITI ADEMPIMENTI AGLI OBBLIGHI DI LEGGE CONSERVAZIONE SOSTITUTIVA DEI DATI DI PRESENZA E DI RISULTATO Raccolti direttamente presso gli interessati LA TOTALITA’ DEI DATI E' RACCOLTA DIRETTAMENTE PRESSO GLI INTERESSATI Fonte dei dati Raccolti presso terzi MINISTERO E UFFICI SCOLASTICI SUPERIORI RISPETTO A DATI DI NATURA ANAGRAFICA PER FINALITA’ ORGANIZZATIVE Dati comuni (art. 6 GDPR) OBBLIGO SCOLASTICO (Legge 296/2006) CONTRATTO (ISCRIZIONE) Base giuridica Dati particolari (art. 9 GDPR) OBBLIGO SCOLASTICO (Legge 296/2006) CONTRATTO (ISCRIZIONE) Comuni Termine trattamento | DATI RELATIVI ALLA DIDATTICA DIGITALE INTEGRATA SARANNO CONSERVATI PRESSO IL FORNITORE PER TUTTA LA DURATA DI PERMANENZA DELL'ALLIEVO PRESSO DATI ANAGRAFICI DELL'ALLIEVO E DEI SOGGETTI L'ISTITUTO, DOPO DI CHE, AL TERMINE DELL’ULTIMO ESERCENTI LA POTESTA'; ANNO SCOLASTICO DI FREQUENZA, L'ISTITUTO ORDINERÀ Natura dei dati DATI DI PRESENZA E DI RENDIMENTO SCOLASTICO . AL FORNITORE LA DISTRUZIONE DEI DATI CHE AVVERRÀ oggetto di ENTRO IL TERMINE TECNICO DI 180 (CENTOTTANTA) trattamento GIORNI. Particolari Termine trattamento NESSUNO NESSUNO Giudiziari Termine trattamento NESSUNO NESSUNO Modalità di . I DATI VENGONO TRATTATI IN MODALITA’ ELETTRONICA trattamento dati Categorie di ALLIEVI interessati SOGGETTI ESERCENTI LA POTESTA’ SUGLI ALLIEVI Interni Trattamenti eseguiti RACCOLTA REGISTRAZIONE RAFFRONTO UTILIZZO DOCENTI DI CLASSE E DOCENTI DI SOSTEGNO ALLA ORGANIZZAZIONE INTERCONNESSIONE CLASSE STRUTTURAZIONE BLOCCO CONSERVAZIONE PERSONALE INCARICATO DI PRESTAZIONI DI ASSISTENZA CONSULTAZIONE COMUNICAZIONE . ial INFORMATICA ELABORAZIONE SELEZIONE DIFFUSIONE CANCELLAZIONE |Autorizzati sx Do ESTRAZIONE DISTRUZIONE rattamento . Li . -_: Esterni (Responsabili del Trattamento) Trattamenti eseguiti REGISTRAZIONE RAFFRONTO ORGANIZZAZIONE UTILIZZO PERSONALE INCARICATO DELL’ASSISTENZA STRUTTURAZIONE INTERCONNESSIONE INFORMATICA CONSERVAZIONE BLOCCO GESTORE DELLA PIATTAFORMA DI DIDATTICA A CONSULTAZIONE COMUNICAZIONE DISTANZA (WESCHOOL) ELABORAZIONE DIFFUSIONE SELEZIONE CANCELLAZIONE ESTRAZIONE DISTRUZIONE Dati in formato cartaceo Archiviazione storica dati cartacei NESSUNO NESSUNO Strutture entro le Dati in formato elettronico Archiviazione storica dati elettronici quali avviene il CLOUD (PIATTAFORMA DIDATTICA A DISTANZA) CONSERVATORIA DIGITALE DI WESCHOOL trattamento dati Software impiegati per il trattamento informatico dei dati in formato elettronico WESCHOOL DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Possibili destinatari Comunicazioni istituzionali Extra UE | Comunicazioni su base volontaria Extra UE di attività di AMMINISTRAZIONE SCOLASTICA NO NESSUNO NO comunicazione Informativa VIENE FORNITA INFORMATIVA SPECIFICA Profilazione NON VIENE ATTUATA NESSUNA ATTIVITA’ DI PROFILAZIONE uenza IL TRATTAMENTO AVVIENE CON FREQUENZA QUOTIDIANA DURANTE IL PERIODO DI ATTIVITA’ SCOLASTICA TRATTAMENTO ANALIZZATO PROBABILITA’ CONSEGUENZE LIVELLO DI RISCHIO (LR ATTIVITA’ DEI DOCENTI Valutazione del . . SVOLTA MEDIANTE POCO PROBABILE LIMITATE rischio PIATTAFORMA DIDATTICA A [2] [3] DISTANZA L'esito della valutazione dei rischi mostra un livello di rischio ELEVATO peri diritti e le libertà delle persone fisiche interessate ? L'attività imenti valutativi, di scoring o di lazione ? L'attività comporta la presa di decisioni automatizzate che producono ificativi effetti giuridici (ammissioni, assunzioni, concessioni etc.) ? L'attività comporta il monitoraggio sistematico di persone fisiche vid ianza ad esem ? L'attività comporta il trattamento di dati particolari, giudiziari o di natura estremamente le (es. opinioni politiche) ? Valutazione della L'attività il trattamento di dati personali su larga scala ? obbligatorietà della L'attività comporta la combinazione o il raffronto di insiemi di dati derivanti DPIA da due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dal contesto iniziale data) ? L'attività comporta il trattamento di dati relativi a soggetti vulnerabili minori, con iatriche, richiedenti asilo, anziani etc.) ? L'attività comporta utilizzi innovativi o applicazione di nuove soluzioni tecn eo nizzative (riconoscimento facciale ad esem ? L'attività comporta trattamenti che, di per sé, potrebbero impedire agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto (es: screening dei clienti di una banca attraverso i dati registrati in una centrale rischi per stabilire la concessione di un finanziamento). RISCHIO VULNERABILITÀ’ (Vu) Valutazione del TRATTAMENTO INTRINSECO SI CONSIDERA IL VALORE RISCHIO NORMALIZZATO PEGGIORE rischio su questo ATTIVITA’ DEI DOCENTI trattamento a valle | sVOLTA MEDIANTE MEDIO BASSO ADEGUATO della DPIA PIATTAFORMA DIDATTICA A [6] [0,25] DISTANZA WESCHOOL AL FINE DEL CONTENIMENTO DEL RISCHIO SONO ADOTTATE LE SEGUENTI MISURE DI SICUREZZA TECNICHE ED ORGANIZZATIVE: ADEGUATEZZA MISURA DI SICUREZZA RISCHIO CONTRASTATO Va) Il fornitore e’ stato designato | , del na di WESCHOOLA R bile del . contratto concluso prevede la nomina di a Responsabile de ADEGUATO come responsabile del Trattamento dei dati come definito all'Art. 28 del GDPR. trattamento ? Il fornitore ha la propria sede all’interno dell’Unione La sede di WESCHOOL si trova in Italia ADEGUATO Europea ? Quali prodotti sono attivati ? La suite dispone di diversi servizi integrati, alcuni sono da considerarsi “principali” ed indispensabili per la didattica mentre altri sono aggiuntivi e l'amministratore della ADEGUATO piattaforma non deve attivarli salvo richiederne espresso consenso agli interessati. Quali sono i dati acquisiti Oltre ai dati essenziali forniti dall'istituto all'atto della creazione delle utenze, l’utilizzo della piattaforma comporta l’acquisizione di informazioni aggiuntive quali: mediante uso della informazioni sul dispositivo (modello, sistema operativo, seriale e numero di telefono piattaforma ? dell'utente). Informazioni di registro, attività svolte, informazioni sugli eventi del dispositivo e indirizzo del protocollo internet (IP) dell'utente; ADEGUATO Informazioni indirette sulla posizione, come determinato da varie tecnologie tra cui indirizzo IP; e altre informazioni come il numero di versione dell'applicazione e cookie o simili utilizzati per raccogliere e memorizzare informazioni su un browser o dispositivo, come la lingua preferita e altre impostazioni. Come vengono utilizzati questi | Le informazioni personali dell'utente vengono utilizzate solo per fornire i servizi principali sopra descritti. Weschool si impegna a non pubblicare annunci commerciali dati acquisiti ? Lol . o. . . o ADEGUATO né utilizzare le informazioni personali raccolte nell’ambito dei servizi principali per scopi pubblicitari. Chi puo’ vedere i dati acquisiti Le informazioni raccolte non vengono condivise senza uno specifico consenso con 2 nessuno al di fuori di Weschool se non in circostanze limitate: ADEGUATO DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. REGISTRO Con gli amministratori interni alla scuola. che hanno accesso alle informazioni archiviate negli account degli utenti di quella scuola o dominio. Weschool non esercita alcuna autorità o controllo nei confronti della scuola e degli utenti che utilizzano la piattaforma e richiede l’utilizzo di credenziali crittografiche di accesso alla piattaforma da parte degli utenti, ma spetta esclusivamente a questi ultimi il compito di non comunicare le proprie credenziali a soggetti terzi e non effettua alcuna verifica preliminare dei contenuti, che risulta oggettivamente impossibile in considerazione della quantità di contenuti pubblicati dagli utenti. Per motivi legali. Le informazioni personali possono essere condivise con terzi qualora ciò fosse necessario per soddisfare norme giuridiche o procedimenti legali o richiesta governativa applicabile, o per applicare i termini di servizio (indagini su potenziali violazioni), o per rilevare, prevenire o affrontare frodi, problemi di sicurezza o tecnici, o ancora proteggere da danni ai diritti, alla proprietà o alla sicurezza di WeSchool, degli utenti o del pubblico come richiesto o consentito dalla legge. Sono adottate procedure di Sì. Sono disponibili sistemi di autenticazione basati su password complesse e anche su password a due fattori identificazione ed ADEGUATO autenticazione degli utenti ? Sono presenti processi di Sì. La creazione delle utenze viene eseguita dall'Istituto ad opera del soggetto interno assegnazione di credenziali ? autorizzato dalla scuola all’amministrazione della piattaforma. ADEGUATO Le password assegnate sono Sì, Il sistema permette di imporre che le password siano complesse e crittografiche protette da una “password (almeno 8 caratteri e composte sia da caratteri, minuscoli e maiuscoli, che da numeri) eun > inoltre è possibile imporre una scadenza temporale alla validità della password. Tale ADEGUATO policies” adeguata ? scadenza nonché l’impostazione dell’obbligo di utilizzare password complesse è demandato all'attività del soggetto interno autorizzato dalla scuola all’amministrazione della piattaforma. Sono definiti differenti profili Sì, All’atto della creazione delle utenze ad opera del soggetto interno autorizzato dalla . . . «Eos scuola all’amministrazione della piattaforma, lo stesso si preoccupa di definire delle di autorizzazione da attribuire . . . -° policies di accesso esclusivo ai dati di sua pertinenze. | docenti possono accedere ai soggetti autorizzati in modo esclusivamente ai dati relativi agli allievi delle loro classi, gli allievi possono interagire ADEGUATO da garantire un accesso esclusivamente con i loro compagni di classe. selettivo ai dati ? I canali di trasmissione E in uso il protocollo TLS (Transport Layer Security) che consente di criptare e utilizzati sono sicuri sotto il recapitare i messaggi di posta in modo sicuro, sia per il traffico in entrata che per fil 9 quello in uscita, consentendo così di prevenire l'intercettazione dei messaggi durante ADEGUATO profilo tecnico : il passaggio fra server di posta. Il rapporto Crittografia mostra il numero di messaggi criptati mediante TLS nel dominio. Sono adottate soluzioni atte a E' implementato un sistema di backup dei dati a livello geografico ADEGUATO garantire la disponibilità ? Sono adottati sistemi di L’Istituto dispone di un firewall posto a monte della rete informatica che garantisce protezione perimetrale ? un adeguato livello di protezione perimetrale. ADEGUATO Sono adottati sistemi di L'Istituto dispone di un software antivirus aggiornato che garantisce un adeguato protezione antivirus e livello di protezione rispetto alla distruzione e perdita dei dati. ADEGUATO antimalware ? I software di base vengono L’Istituto dispone di un programma di assistenza tecnica informatica che comprende costantemente aggiornati ? anche l'aggiornamento dei sistemi operativi. ADEGUATO Degli accessi e delle operazioni | F' in uso un sistema di registrazione e back up dei file di log riferiti alle utenze compiute viene tenuta traccia amministrative implementato dall’Amministratore di Sistema. | file di log di WeSchool ADEGUATO . con . > sono a disposizione del soggetto interno autorizzato dalla scuola all’amministrazione registrando i file di log ? della piattaforma. Sono definite le istruzioni da La Direzione Scolastica prevede la formazione di tutti gli autorizzati al trattamento dei fornire ai soggetti autorizzati dati. ADEGUATO al trattamento ? Sono attuate misure di La Direzione Scolastica prevede l’informazione di tutti gli utilizzatori anche mediante formazione e sensibilizzazione la condivisione di un regolamento generale destinato agli allievi ed al personale ADEGUATO degli utenti ? utilizzatore della piattaforma. egli utenti ? E’ stato necessario eseguire la Come evidenziato nelle righe precedenti, l'esecuzione della D.P.I.A. non deve DPIA ? intendersi obbligatoria in quanto il trattamento in esame non appare ad elevato ” rischio e le misure di sicurezza attuate appaiono adeguate, tuttavia è stata volontà del Titolare del trattamento, consigliato in questa direzione dal D.P.O. eseguire comunque tale analisi approfondita. In conseguenza dell’analisi le misure di sicurezza definite dalla piattaforma WeSchool appaiono ADEGUATE. ADEGUATO Si rammenta che le stesse devono essere mantenute tali anche ad opera dell'Istituto Scolastico mediante l'adozione ed il mantenimento delle precauzioni specifiche di pertinenza del Titolare del trattamento che agisce per mezzo del soggetto interno autorizzato dalla scuola all’amministrazione della piattaforma che è stato formalmente individuato. | Registro T2 | TRATTAMENTO ECONOMICO E GIURIDICO DEL PERSONALE Compete all’Istituto di Istruzione, in qualità di datore di lavoro, la gestione economica e giuridica di tutto il personale Descrizione dipendente, a tempo determinato e indeterminato. sommaria Essa è fatta principalmente di attività c.d. “istituzionali” che trovano ragione nella diverse normative vigenti, ma anche di dell’attività di attività “libere”, svolte per finalità di pubblico interesse e comunque riconducibili all'attività principale, ma non espressamente previste dalle normative vigenti (la partecipazione ad un torneo, la pubblicazione a vario titolo di fotografie trattamento ed immagini etc.). RACCOLTA DEI DATI GESTIONE DEI CONTRATTI DI LAVORO A TEMPO INDETERMINATO GESTIONE DEI CONTRATTI DI LAVORO A TEMPO DETERMINATO PER LE SUPPLENZE ANNUALI E BREVI RILEVAZIONE DELLE PRESENZE ELABORAZIONE DELLE RETRIBUZIONI RICOSTRUZIONE CARRIERA, ISTRUZIONE PRATICHE DI PENSIONE E GESTIONE DEL T.F.R. GESTIONE DI DATI DI NATURA GIUDIZIARIA RIFERITI AI DIPENDENTI DENUNCE DI SINISTRI ED INFORTUNI RICHIESTE E TRASMISSIONE DI DOCUMENTI RICONDUCIBILI A VARIO TITOLO Al DIPENDENTI GESTIONE DELLE PRATICHE RELATIVE A PRESTITI PERSONALI GESTIONE DEI PROCEDIMENTI DISCIPLINARI Finalità del PRATICHE DI IDONEITA’/INIDONEITA’ AL LAVORO trattamento GESTIONE DELLE PRATICHE DI MOBILITA’ DEL PERSONALE GESTIONE DELLA FORMAZIONE E INFORMAZIONE PERIODICA DEL PERSONALE APPLICAZIONE DELLE NORME DI IGIENE E SICUREZZA DEL LAVORO ADEMPIMENTI EX LEGGE 104 GESTIONE DEI PERMESSI SINDACALI E RELATIVI A CARICHE ELETTIVE CONSERVAZIONE SOSTITUTIVA DI TUTTI | [omissis] IVITÀ, GESTIONE DI PERMESSI, CONGEDI E FERIE GESTIONE DELLE GRADUATORIE TRASMISSIONE DATI INERENTI ALL’ESERCIZIO DEI DIRITTO DI SCIOPERO DATI DEL CASELLARIO GIUDIZIALE DETENUTI AL FINE DELLA VERIFICA DELL’ASSENZA DI PRECEDENTI SPECIFICI GESTIONE DEI DATI ACQUISITI MEDIANTE “MESSAA DISPOSIZIONE” M.A.D. Raccolti direttamente presso gli interessati LA QUASI TOTALITA’ DEI DATI E' RACCOLTA DIRETTAMENTE PRESSO GLI INTERESSATI Raccolti presso terzi Fonte dei dati MINISTERO E UFFICI SCOLASTICI SUPERIORI RISPETTO A DATI DI NATURA ANAGRAFICA PER FINALITA” ORGANIZZATIVE AZIENDA SANITARIA CON RIFERIMENTO ALLE EMERGENZE SANITARIE IN CORSO FORZE DI POLIZIA E MAGISTRATURA PER LE QUESTIONI DI RILEVANZA PENALE O DI VOLONTARIA GIURISDIZIONE Dati comuni (art. 6 GDPR) CONTRATTO DI LAVORO NORMATIVA VIGENTE CONSENSO (SOLO PER I TRATTAMENTI SVOLTI SU BASE VOLONTARIA E NON STRETTAMENTE ISTITUZIONALI) Base giuridica Dati particolari (art. 9 GDPR) CONTRATTO DI LAVORO NORMATIVA VIGENTE CONSENSO (SOLO PER I TRATTAMENTI SVOLTI SU BASE VOLONTARIA E NON STRETTAMENTE ISTITUZIONALI) Comuni Termine trattamento DATI ANAGRAFICI ILLIMITATO PER FASCICOLI PERSONALI CURRICULUM VITAE INFORMAZIONI RELATIVE AL TITOLO DI STUDIO Particolari Termine trattamento Natura dei dati DATI INERENTI ALLO STATO DI SALUTE CONTENUTI NEL oggetto di FASCICOLO PERSONALE A VARIO TITOLO O RELATIVI AD trattamento INFORTUNI, ESONERI, PARZIALI INIDONEITA’ DERIVANTI ILLIMITATO PER FASCICOLI PERSONALI DALLA SORVEGLIANZA SANITARIA Giudiziari Termine trattamento DATI DEL CASELLARIO GIUDIZIALE ILLIMITATO PER FASCICOLI PERSONALI Modalità di ; | I DATI VENGONO TRATTATI IN MODALITA” MISTA, SIA IN FORMATO CARTACEO CHE ELETTRONICO trattamento dati Categorie di in DIPENDENTI A TEMPO DETERMINATO E INDETERMINATO, DOCENTI E APPARTENENTI AL PERSONALE A.T.A. in Interni Trattamenti eseguiti RACCOLTA RAFFRONTO PERSONALE DELLO STAFF DEL DIRIGENTE SCOLASTICO REGISTRAZIONE UTILIZZO Autorizzati al DIRETTORE DEI SERVIZI GENERALI E AMMINISTRATIVI ORGANIZZAZIONE INTERCONNESSIONE PERSONALE AMMINISTRATIVO DELLA SEGRETERIA DEL STRUTTURAZIONE BLOCCO trattamento PERSONALE CONSERVAZIONE COMUNICAZIONE PERSONALE INCARICATO DI PRESTAZIONI DI ASSISTENZA CONSULTAZIONE DIFFUSIONE ELABORAZIONE CANCELLAZIONE INFORMATICA SELEZIONE DISTRUZIONE DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE ESTRAZIONE Esterni (Responsabili del Trattamento) Trattamenti eseguiti , REGISTRAZIONE RAFFRONTO PERSONALE INCARICATO DELL’ASSISTENZA INFORMATICA ORGANIZZAZIONE UTILIZZO GESTORE DEL REGISTRO ELETTRONICO STRUTTURAZIONE INTERCONNESSIONE GESTORE DELLA PIATTAFORMA DI DIDATTICA A DISTANZA CONSERVAZIONE BLOCCO INCARICATO DEL RUOLO DI R.S.P.P. CONSULTAZIONE COMUNICAZIONE INCARICATO DEL RUOLO DI D.P.O. ELABORAZIONE DIFFUSIONE INCARICATO DEL RUOLO DI MEDICO COMPETENTE SELEZIONE CANCELLAZIONE ESTRAZIONE DISTRUZIONE Dati in formato cartaceo Archiviazione storica dati cartacei UFFICIO DEL DIRIGENTE SCOLASTICO E SUOI VICE SEGRETERIA DEL PERSONALE ARCHIVIO DEL PERSONALE Strutture entro Dati in formato elettronico Archiviazione storica dati elettronici le quali avviene il SERVER DI SEGRETERIA UNITA’ DI BACK UP DEL SERVER . CLOUD (REGISTRO ELETTRONICO) CONSERVATORIA DIGITALE (REGISTRO ELETTRONICO) trattamento dati | c.OUD (PIATTAFORMA DIDATTICA A DISTANZA) CONSERVATORIA DIGITALE (PIATTAFORMA) Software impiegati per il trattamento informatico dei dati in formato elettronico SOFTWARE GESTIONALE D’ISTITUTO REGISTRO ELETTRONICO SOFTWARE GESTIONALE MINISTERIALE PIATTAFORMA DIDATTICA A DISTANZA Comunicazioni istituzionali Extra UE | Comunicazioni su base volontaria Extra UE ENTI TERRITORIALI DELLO STATO AMMINISTRAZIONE SCOLASTICA Possibili I.N.A.LL. AGENZIE VIAGGI destinatari di I.N.P.S. COMPAGNIE DI ASSICURAZIONE ct AZIENDA SANITARIA LOCALE / A.T.S. FOTOGRAFI E VIDEOMAKER SVI di R.S.P.P. NO SITO INTERNET ISTITUZIONALE NO comunicazione D.P.O. SOCIAL SCOLASTICI MEDICO COMPETENTE ALTRI ISTITUTI SCOLASTICI ALTRI ISTITUTI SCOLASTICI RETI DI ISTITUTI (FORMAZIONE) Informativa VIENE FORNITA INFORMATIVA SPECIFICA Profilazione NON VIENE ATTUATA NESSUNA ATTIVITA’ DI PROFILAZIONE Frequenza IL TRATTAMENTO AVVIENE CON FREQUENZA QUOTIDIANA DURANTE IL PERIODO DI ATTIVITA’ SCOLASTICA TRATTAMENTO PROBABILITA’ (P) | CONSEGUENZE (C) LIVELLO DI RISCHIO (R) GENERALE POCO PROBABILE GRAVI Valutazione del FIRMA GRAFOMETRICA IMPROBABILE GRAVI rischio REGISTRO ELETTRONICO POCO PROBABILE GRAVI PIATTAFORMA DIDATTICA ONLINE POCO PROBABILE LIMITATE PIATTAFORMA DI LAVORO AGILE POCO PROBABILE GRAVI L’esito della valutazione dei rischi mostra un livello di rischio ELEVATO per i diritti e le libertà delle persone fisiche interessate ? L'attività comporta procedimenti valutativi, di scoring o di profilazione ? L'attività comporta la presa di decisioni automatizzate che producono significativi effetti giuridici (ammissioni, assunzioni, concessioni etc.) ? L'attività comporta il monitoraggio sistematico di persone fisiche (videosorveglianza ad esempio) ? L'attività comporta il trattamento di dati particolari, giudiziari o di natura estremamente personale (es. opinioni politiche) ? Valutazione della L'attività comporta il trattamento di dati personali su larga scala ? obbligatorietà L'attività comporta la combinazione o il raffronto di insiemi di dati derivanti da della DPIA due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dal contesto iniziale (big data) ? L'attività comporta il trattamento di dati relativi a soggetti vulnerabili (minori, soggetti con patologie psichiatriche, richiedenti asilo, anziani etc.) ? L'attività comporta utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative (riconoscimento facciale ad esempio) ? L'attività comporta trattamenti che, di per sé, potrebbero impedire agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto (es: screening dei clienti di una banca attraverso i dati registrati in una centrale rischi per stabilire la concessione di un finanziamento). RISCHIO VULNERABILITA' (Vu) . TRATTAMENTO INTRINSECO SI CONSIDERA IL VALORE RISCHIO NORMALIZZATO Valutazione del (Ri) PEGGIORE rischio su questo | GENERALE RILEVANTE PARZ. ADEGUATO SREMEnI E FIRMA GRAFOMETRICA MEDIO BASSO ADEGUATO MOLTO BASSO valle della DPIA REGISTRO ELETTRONICO RILEVANTE ADEGUATO PIATTAFORMA DIDATTICA ONLINE MEDIO BASSO ADEGUATO MOLTO BASSO PIATTAFORMA DI LAVORO AGILE RILEVANTE ADEGUATO AL FINE DEL CONTENIMENTO DEL RISCHIO SONO ADOTTATE LE SEGUENTI MISURE DI SICUREZZA TECNICHE ED ORGANIZZATIVE: ADEGUATEZZA MISURA DI SICUREZZA RISCHIO CONTRASTATO (vu) E’ adottata una politica di istituto per . . ci: co. . . . P . . P - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); la sicurezza e la protezione dei dati ed ._ . don LL. . . o. "i nisi cute - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, all’interno dell’Istituto sono definiti i ‘pi i, L: . . . siate e infiltrazioni in messaggistica di posta elettronica, etc.); ADEGUATO ruoli e le responsabilità di ciascuno L_. . . o. Lo . . . . . | - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di anche mediante consegna di lettere di . LL. . strumentazione, etc.). autorizzazione dettagliate - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Sono utilizzati software antivirus e infiltrazioni in messaggistica di posta elettronica, etc.); ADEGUATO firewall - Azioni non autorizzate (virus, accessi non autorizzati, utilizzo di supporti non autorizzati, uso non autorizzato di strumentazione, etc.). - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); .. - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); Vengono attuati i back up con . , Lg . ‘ii - . . ne - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione collegamenti ADEGUATO frequenza quotidiana . di rete, etc.); - Furto di dati e distruzione volontaria ed involontaria. Sono applicate, da parte del soggetto . . cei . . . . . . a , Di . . = - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); incaricato dell’amministrazione del . c . . . . . . . - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); sistema informatico, procedure di . Lu, Log: . ‘ii . . PARZIALMENTE set » . . - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione, disaster recovery” che garantiscono il Log: ADEGUATO NARA : ‘de: . collegamenti di rete, etc.); ripristino dell'accesso ai dati in tempi dd . . . . - Azioni di danneggiamento volontario. ridotti - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Sono adottati sistemi di cifratura e strumentazione, etc.); i . ‘ds si ko . MINATO dia . . co PARZIALMENTE anonimizzazione dei dati relativi allo - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ADEGUATO stato di salute delle persone infiltrazioni in messaggistica di posta elettronica, etc.); - Furto e sottrazione di dati Sono registrati da parte del soggetto - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di incaricato dell’amministrazione del strumentazione, supporti etc.); PARZIALMENTE sistema informatico, i “/og-file” al fine - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ADEGUATO di ricostruire gli accessi ai database infiltrazioni in messaggistica di posta elettronica, etc.). Viene eseguita periodica manutenzione della rete informatica in cui si esegue il trattamento dei dati al fine di controllare periodicamente il funzionamento regolare di antivirus, - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). ADEGUATO firewall nonché assicurare l'aggiornamento dei sistemi operativi in uso e di tutti i presidi di sicurezza attiva - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ‘_ . . infiltrazioni in messaggistica di posta elettronica, etc.); | Data Center di cui l’Istituto di serve cu. . 86 . P ‘. . ) . . . . ce - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di ADEGUATO strumentazione, etc.); - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). I singoli incaricati vengono formalmente autorizzati al - Azioni non autorizzate (errori volontari o involontari, protezione da virus e malware trattamento dei dati ed a ciascuno in genere, uso non autorizzato di strumentazione, etc.)}; vengono fornite credenziali personali - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ADEGUATO {nome utente e password) per infiltrazioni in messaggistica di posta elettronica, etc.); eseguire l’accesso ai sistemi - Problemi tecnici (anomalie e malfunzionamento software). informatici or: su: . - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Le credenziali di autenticazione fornite ‘ur ci, cuni . . . . La . i .. so: Loti . infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più ai singoli incaricati sono disattivate in ‘oa: . autorizzati); ADEGUATO caso di assenza della persona Lu, . . _. . . . . - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di prolungata per oltre 6 mesi . strumentazione, etc.). Le credenziali di autenticazione fornite co . on ci . . ci .. .. ‘o. ae . - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ai singoli incaricati sono disattivate o i . ur i. LL: . . . . Le sie ge crei infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più profili di accesso sono modificati per . . . . . autorizzati); ADEGUATO colui che, a causa di un cambiamento Lo . . ‘, ‘. . . . . celato dl - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di mansione, perda la possibilità di . ‘ul. na strumentazione, etc.). trattare i dati o se la veda modificata I sistemi di autorizzazione prevedono la presenza di diversi profili di - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di autorizzazione, l'individuazione strumentazione, etc.); preventiva per incaricato, - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ADEGUATO l'individuazione preventiva per classi infiltrazioni in messaggistica di posta elettronica, etc. eseguita da parte dichi non è omogenee di incaricati, la verifica più autorizzato a trattare i dati). almeno annuale dei profili Le parole chiave (password) fornite sono complesse (lunghe almeno 8 caratteri e formate da lettere e - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, numeri, maiuscole e minuscole) e non infiltrazioni in messaggistica di posta elettronica, etc.); sono riferibili a condizioni personali - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di ADEGUATO dell’autorizzato. strumentazione, etc.); Le password devono essere modificate | - Evitare che l’accesso ai dati digitali possa avvenire troppo facilmente. la primo accesso e devono essere cambiate ogni 3 mesi Pete sinen neon - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di . . . strumentazione, etc.); viene concesso l’accesso ai locali O ) . O i. . . ci ne . .. - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, {uffici, sale docenti, archivi, CED etc.) LL: cu L, LL: . . Jie aa infiltrazioni in messaggistica di posta elettronica, etc.); ADEGUATO TE devono A al Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); loro attività di trattamento P - Evitare che l’accesso ai dati cartacei ed agli elaboratori possa avvenire troppo facilmente. I locali in cui avviene il trattamento . . Lei Lu. . . To — Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); ADEGUATO Le prese di alimentazione elettrica a cui sono connessi gli apparati - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); informatici di rete nonché server ed - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione ADEGUATO elaboratori forniscono idonee collegamenti di rete, etc.). garanzie di stabilità I locali in cui avviene il trattamento Lu . . .. o. . . RO . E . e 10 nm Azioni non autorizzate (errori volontari o involontari, , virus, , uso non autorizzato di ’ , è NS . A . strumentazione, etc.); chiusi a chiave così come cassetti ed O ) . O i. . . ci armadi . contenenti . dati e personali. . le nmCompromissione delle informazioni (intercettazioni, , rivelazione informazioni , ADEGUATO chiavi sono nella AIA di coli infiltrazioni in messaggistica di posta elettronica, etc.); ERI amari a deranale - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). I supporti cartacei contenenti dati ersonali non più necessari vengono . . . . Da . go: di . 8 - Accesso da parte di soggetti non autorizzati; ADEGUATO distrutti fisicamente prima della loro eliminazione I supporti magnetici (chiavette, dischi removibili etc.) contenenti dati personali non più necessari vengono - Accesso da parte di soggetti non autorizzati; ADEGUATO distrutti fisicamente prima della loro eliminazione RE meo eninionez ateneo - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di sei ui . strumentazione, etc.); fornite istruzioni per la custodia e . Lu ) cei cu, . . ADEGUATO l’uso di . supporti . removibili eLsgo 7 Eventi naturali ed agenti fisici (terremoti, , incendi, , allagamenti etc . ; PP - Perdita, smarrimento, furto. E’ prevista l’organizzazione periodica Lu. . . i Lo. . . . di ul: si . . P . - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di corsi di formazione ed interventi . su . . i. strumentazione, etc.); ADEGUATO informativi volti a fornire nozioni ed a . LI } cet . . - Perdita, smarrimento. sensibilizzare il personale autorizzato certo oio - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di N . strumentazione, etc.); vigilanza del Titolare del trattamento . o } . . . . . die - Furti, danneggiamenti volontari; ADEGUATO e degli altri autorizzati con compiti di . . . . coordinamento e direttivi - Uso non autorizzato di supporti personali; - Uso illegale di software. - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Tutte le procedure sono oggetto di strumentazione, etc.); riesame almeno annuale in occasione - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ADEGUATO dell’audit periodico eseguito dal infiltrazioni in messaggistica di posta elettronica, etc.); D.P.0. - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); - Verifica della corretta applicazione delle norme regolamentari. I dati non sono diffusi o comunicati a Lu. . . _. Lo. . . terzi al di fuor! delle specifiche - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di ADEGUATO su. . strumentazione, etc.). previsioni normative ’ Lore Lui . - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Sono definiti termini di conservazione ARES AZIO . strumentazione, etc.); e le condizioni di impiego e successiva OA ) . cor i la . . co. ADEGUATO distruzione dei dati personali trattati - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, p infiltrazioni in messaggistica di posta elettronica, etc.). Rectenein o nio t Oeste io ento - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, . . infiltrazioni in messaggistica di posta elettronica, etc.); trattamento viene eseguita la DPIA 66 P ’ ) ADEGUATO - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di {Data Protection Impact Assesment) strumentazione, etc.). | Registro T3 | TRATTAMENTO DEI DATI DEI FORNITORI ED ASSIMILATI Descrizione sommaria L’Istituto Scolastico , nell'esercizio della propria autonomia, agisce come un soggetto di diritto privato e conseguentemente rit si Li: intrattiene rapporti di natura commerciale con fornitori di beni e di servizi. L'individuazione dei fornitori avviene mediante dell'attività di procedure definite nel codice degli appalti e con obblighi di trasparenza peculiari. trattamento RACCOLTA DEI DATI DI FORNITORI — ESPERTI, SPECIALISTI E VOLONTARI GESTIONE DEI CONTRATTI DI FORNITURA DI BENI E SERVIZI GESTIONE DEI COLLAUDI ELABORAZIONE DEI PAGAMENTI AI FORNITORI GESTIONE DI DATI DI NATURA GIUDIZIARIA RIFERITI AGLI AMMINISTRATORI ED AI DIPENDENTI DEI FORNITORI Finalità del DENUNCE DI SINISTRI ED INFORTUNI trattamento RICHIESTE E TRASMISSIONE DI DOCUMENTI APPLICAZIONE DELLE NORME DI IGIENE E SICUREZZA DEL LAVORO CONSERVAZIONE SOSTITUTIVA DI TUTTI | DATI GESTIONE DEI BANDI DI GARA E DELLE PROCEDURE PREVISTE DAL CODICE DEGLI APPALTI APPLICAZIONE DEGLI OBBLIGHI DI TRASPARENZA AMMINISTRATIVA DATI DEL CASELLARIO GIUDIZIALE DETENUTI AL FINE DELLA VERIFICA DELL’ASSENZA DI PRECEDENTI SPECIFICI Raccolti direttamente presso gli interessati LA QUASI TOTALITA’ DEI DATI E° RACCOLTA DIRETTAMENTE PRESSO GLI INTERESSATI Raccolti presso terzi Fonte dei dati AMMINISTRAZIONI LOCALI DELLO STATO AMMINISTRAZIONE SCOLASTICA CASELLARIO GIUDIZIALE Dati comuni (art. 6 GDPR) CONTRATTO Base giuridica Dati particolari (art. 9 GDPR) NESSUNA Comuni Termine trattamento DATI ANAGRAFICI DI AMMINISTRATORI, SPECIALISTI, ESPERTI ILLIMITATO PER | DATI AMMINISTRATIVI E DATI IDENTIFICATIVI DELLE SOCIETA’ Natura dei dati 10 ANNI PER TUTTI | DATI CONTABILI DATI CONTABILI ED AMMINISTRATIVI oggetto di Particolari Termine trattamento trattamento NESSUNO NESSUNO Giudiziari Termine trattamento DATI DEL CASELLARIO GIUDIZIALE ILLIMITATO PER | DATI AMMINISTRATIVI Modalità di ; . I DATI VENGONO TRATTATI IN MODALITA’ MISTA, SIA IN FORMATO CARTACEO CHE ELETTRONICO trattamento dati rie di Catego ed FORNITORI DI BENI E SERVIZI, SPECIALISTI ESTERNI, ESPERTI ESTERNI, VOLONTARI interessati Interni Trattamenti eseguiti RACCOLTA [omissis] SCOLASTICO REGISTRAZIONE UTILIZZO DIRETTORE DEI SERVIZI GENERALI E AMMINISTRATIVI ORGANIZZAZIONE INTERCONNESSIONE PERSONALE AMMINISTRATIVO DELLA SEGRETERIA STRUTTURAZIONE CONSERVAZIONE BLOCCO CONTABILE COMUNICAZIONE CONSULTAZIONE PERSONALE INCARICATO DI PRESTAZIONI DI ASSISTENZA ELABORAZIONE DIFFUSIONE CANCELLAZIONE INFORMATICA SELEZIONE DISTRUZIONE Autorizzati al ESTRAZIONE trattamento Esterni [omissis] Trattamenti eseguiti REGISTRAZIONE RAFFRONTO ORGANIZZAZIONE UTILIZZO PERSONALE INCARICATO DELL’ASSISTENZA INFORMATICA STRUTTURAZIONE INTERCONNESSIONE INCARICATO DEL RUOLO DI R.S.P.P. CONSERVAZIONE BLOCCO INCARICATO DEL RUOLO DI D.P.0. CONSULTAZIONE COMUNICAZIONE INCARICATO DEL RUOLO DI MEDICO COMPETENTE ELABORAZIONE DIFFUSIONE SELEZIONE CANCELLAZIONE ESTRAZIONE DISTRUZIONE Dati in formato cartaceo Archiviazione storica dati cartacei [omissis] SCOLASTICO E SUOI VICE ARCHIVIO AMMINISTRATIVO SEGRETERIA CONTABILE Strutture entro Dati in formato elettronico Archiviazione storica dati elettronici le quali avviene il SERVER DI SEGRETERIA UNITA’ DI BACK UP DEL SERVER trattamento dati Software impiegati per il trattamento informatico dei dati in formato elettronico SOFTWARE GESTIONALE D’ISTITUTO REGISTRO ELETTRONICO SOFTWARE GESTIONALE MINISTERIALE PIATTAFORMA DIDATTICA A DISTANZA Comunicazioni istituzionali Extra UE | Comunicazioni su base volontaria Extra UE DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE uu ENTI TERRITORIALI DELLO STATO Possibili AMMINISTRAZIONE SCOLASTICA destinatari di AZIENDA SANITARIA LOCALE / A.T.S. COMPAGNIE DI ASSICURAZIONE attività di R.S.P.P. A A D.P.O. comunicazione MEDICO COMPETENTE Informativa VIENE FORNITA INFORMATIVA [omissis] UATA NESSUNA ATTIVITA’ DI PROFILAZIONE uenza IL TRATTAMENTO AVVIENE CON FREQUENZA QUOTIDIANA TRATTAMENTO PROBABILITA’ CONSEGUENZE (C LIVELLO DI RISCHIO GENERALE POCO PROBABILE LIMITATE Valutazione del . . FIRMA GRAFOMETRICA IMPROBABILE GRAVI rischio REGISTRO ELETTRONICO POCO PROBABILE LIMITATE PIATTAFORMA DIDATTICA ONLINE POCO PROBABILE LIMITATE L’esito della valutazione dei rischi mostra un livello di rischio ELEVATO per i diritti e le libertà delle e fisiche interessate ? L'attività com imenti valutativi, di scoring o di lazione ? L'attività comporta la presa di decisioni automatizzate che producono significativi effetti giuridici (ammissioni, assunzioni, concessioni etc.) ? L'attività comporta il monitoraggio sistematico di persone fisiche vi ianza ad esem ? L'attività comporta il trattamento di dati particolari, giudiziari o di natura estremamente ale (es. opinioni politiche) ? Valutazione della | L'attività com il trattamento di dati li su larga scala ? obbligatorietà L'attività comporta la combinazione o il raffronto di insiemi di dati derivanti da della DPIA due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dal contesto iniziale data) ? L'attività comporta il trattamento di dati relativi a soggetti vulnerabili (minori, con iatriche, richiedenti asilo, anziani etc.) ? L'attività comporta utilizzi innovativi o applicazione di nuove soluzioni tecnol o nizzative (riconoscimento facciale ad esempio) ? L'attività comporta trattamenti che, di per sé, potrebbero impedire agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto (es: screening dei clienti di una banca attraverso i dati registrati in una centrale rischi per stabilire la concessione di un finanziamento). RISCHIO VULNERABILITA' (Vu) Valutazione del TRATTAMENTO INTRINSECO SI CONSIDERA IL VALORE RISCHIO NORMALIZZATO PEGGIORE rischio su questo TETTRAE MEDIO BASSO trattamento a FIRMA GRAFOMETRICA MEDIO BASSO valle della DPIA REGISTRO ELETTRONICO MEDIO BASSO PIATTAFORMA DIDATTICA ONLINE MEDIO BASSO AL FINE DEL CONTENIMENTO DEL RISCHIO SONO ADOTTATE LE SEGUENTI MISURE DI SICUREZZA TECNICHE ED ORGANIZZATIVE: ADEGUATEZZA MISURA DI SICUREZZA RISCHIO CONTRASTATO (Vu) E’ adottata una politica di istituto per - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); la sicurezza e la protezione dei dati ed - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, all’interno dell’Istituto sono definiti i infiltrazioni in messaggistica di posta elettronica, etc.); ruoli e le responsabilità di ciascuno - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di anche mediante consegna di lettere di strumentazione, etc.). autorizzazione dettagliate - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Sono utilizzati software antivirus e infiltrazioni in messaggistica di posta elettronica, etc.); firewall - Azioni non autorizzate (virus, accessi non autorizzati, utilizzo di supporti non autorizzati, uso non autorizzato di strumentazione, etc.). - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); Vengono attuati i back up con - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione collegamenti frequenza quotidiana di rete, etc.); - Furto di dati e distruzione volontaria ed involontaria. Sono applicate, da parte del soggetto - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); incaricato dell’amministrazione del - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); sistema informatico, procedure di - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione, “disaster recovery” che garantiscono il collegamenti di rete, etc.); ripristino dell'accesso ai dati in tempi - Azioni di danneggiamento volontario. ridotti Sono adottati sistemi di cifratura e - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di anonimizzazione dei dati relativi allo strumentazione, etc.); stato di salute delle persone - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, - Furto e sottrazione di dati Sono registrati da parte del soggetto - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di incaricato dell’amministrazione del strumentazione, supporti etc.); sistema informatico, i “/og-file” al fine - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, di ricostruire gli accessi ai database infiltrazioni in messaggistica di posta elettronica, etc.). Viene eseguita periodica manutenzione della rete informatica in cui si esegue il trattamento dei dati al fine di controllare periodicamente il funzionamento regolare di antivirus, - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). firewall nonché assicurare l'aggiornamento dei sistemi operativi in uso e di tutti i presidi di sicurezza attiva - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, infiltrazioni in messaggistica di posta elettronica, etc.); | Data Center di cui l’Istituto di serve - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di strumentazione, etc.); - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). I singoli incaricati vengono - Azioni non autorizzate (errori volontari o involontari, protezione da virus e formalmente autorizzati al MALWARE trattamento dei dati ed a ciascuno in genere, uso non autorizzato di strumentazione, etc.)}; vengono fornite credenziali personali - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, {nome utente e password) per infiltrazioni in messaggistica di posta elettronica, etc.); eseguire l’accesso ai sistemi - Problemi tecnici (anomalie e malfunzionamento software). informatici - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Le credenziali di autenticazione fornite infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più ai singoli incaricati sono disattivate in autorizzati); caso di assenza della persona - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di prolungata per oltre 6 mesi strumentazione, etc.). Le credenziali di autenticazione fornite - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ai singoli incaricati sono disattivate o i infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più profili di accesso sono modificati per autorizzati); colui che, a causa di un cambiamento - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di mansione, perda la possibilità di strumentazione, etc.). trattare i dati o se la veda modificata I sistemi di autorizzazione prevedono la presenza di diversi profili di - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di autorizzazione, l'individuazione strumentazione, etc.); preventiva per incaricato, - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, l'individuazione preventiva per classi infiltrazioni in messaggistica di posta elettronica, etc. eseguita da parte dichi non è omogenee di incaricati, la verifica più autorizzato a trattare i dati). almeno annuale dei profili Le parole chiave (password) fornite sono complesse (lunghe almeno 8 caratteri e formate da lettere e - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, numeri, maiuscole e minuscole) e non infiltrazioni in messaggistica di posta elettronica, etc.); sono riferibili a condizioni personali - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di dell’autorizzato. strumentazione, etc.); Le password devono essere modificate - Evitare che l’accesso ai dati digitali possa avvenire troppo facilmente. la primo accesso e devono essere cambiate ogni 3 mesi - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Esclusivamente ai singoli incaricati strumentazione, etc.); viene concesso l’accesso ai locali - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, {uffici, sale docenti, archivi, CED etc.) infiltrazioni in messaggistica di posta elettronica, etc.); ed agli arredi (cassetti, armadi, - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); schedari etc.) in cui devono prestare la - Evitare che l’accesso ai dati cartacei ed agli elaboratori possa avvenire troppo loro attività di trattamento facilmente. I locali in cui avviene il trattamento - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); dati sono dotati di presidi antincendio Le prese di alimentazione elettrica a cui sono connessi gli apparati - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); informatici di rete nonché server ed - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione elaboratori forniscono idonee collegamenti di rete, etc.). garanzie di stabilità - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di I locali in cui avviene il trattamento strumentazione, etc.); dati, al termine dell’attività, vengono - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, chiusi a chiave così come cassetti ed infiltrazioni in messaggistica di posta elettronica, etc.); armadi contenenti dati personali, le - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). soggetti autorizzati a detenerle I supporti cartacei contenenti dati personali non più necessari vengono - Accesso da parte di soggetti non autorizzati; distrutti fisicamente prima della loro eliminazione I supporti magnetici (chiavette, dischi removibili etc.) contenenti dati personali non più necessari vengono - Accesso da parte di soggetti non autorizzati; distrutti fisicamente prima della loro eliminazione - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Ai singoli utenti autorizzati vengono strumentazione, etc.); fornite istruzioni per la custodia e - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); l’uso di supporti removibili - Perdita, smarrimento, furto. E’ prevista l’organizzazione periodica - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di corsi di formazione ed interventi strumentazione, etc.); informativi volti a fornire nozioni ed a - Perdita, smarrimento. sensibilizzare il personale autorizzato - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Il personale autorizzato è soggetto alla strumentazione, etc.); vigilanza del Titolare del trattamento - Furti, danneggiamenti volontari; e degli altri autorizzati con compiti di - Uso non autorizzato di supporti personali; coordinamento e direttivi - Uso illegale di software. - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Tutte le procedure sono oggetto di strumentazione, etc.); riesame almeno annuale in occasione - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, dell’audit periodico eseguito dal infiltrazioni in messaggistica di posta elettronica, etc.); D.P.O. - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); - Verifica della corretta applicazione delle norme regolamentari. I dati non sono diffusi o comunicati a - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di terzi al di fuori delle specifiche strumentazione, etc.). previsioni normative - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Sono definiti termini di conservazione strumentazione, etc.); e le condizioni di impiego e successiva - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, distruzione dei dati personali trattati infiltrazioni in messaggistica di posta elettronica, etc.). TRATTAMENTO DATI CONSEGUENTE ALL’APPLICAZIONE DELLE MISURE DI Registro TS CONTENIMENTO DELLA DIFFUSIONE DEL VIRUS SARS-CoV-2 Il trattamento dei dati personali necessari, pertinenti e non eccedenti, avviene allo scopo ultimo di prevenire e contenere il contagio da SARS-CoV-2, in applicazione di un obbligo legale a cui il Titolare del trattamento è sottoposto nonché di eseguire un compito di interesse pubblico ai sensi dell’Art. 6, paragrafo 1 lettera c) ed e) del Regolamento UE 2016/679. Il trattamento inoltre è necessario per motivi di interesse pubblico rilevante come previsto dall'Art. 9, paragrafo 2, lettera g) del medesimo Regolamento UE. Ai sensi dell'Art. 9-ter del D.L. 52/2021 convertito con modificazioni dalla L. 87/2021, introdotto dall’Art. 1 comma 6 del D.L. 111/2021 nonché dal D.P.C.M. 17/06/2021 ss.mm.ii., a far data dal 01/09/2021 e fino al termine dello stato di Descrizione emergenza, il Datore di Lavoro o un suo delegato richiede, a chiunque acceda ai locali dell’Istituto (ad eccezione degli studenti), l'esibizione del Certificato Verde (green-pass), consentendo l’accesso esclusivamente a chi, in seguito alla lettura sommaria del codice a barre bidimensionale [omissis] mediante l'applicazione “VerificaC19”, risulta possedere i requisiti di accesso dell’attività di (Codice VERDE o BLU). trattamento Dal 13/09/2021 è stata implementata una nuova funzionalità di verifica automatizzata tramite il Sistema Informativo del Ministero dell’Istruzione SIDI, che interagisce con la Piattaforma nazionale DGC [omissis] del Ministero della Salute, con la finalità di consentire ai Dirigenti Scolastici o loro delegati, il possesso delle certificazioni verdi digitali COVID-19 in corso di validità del personale docente e A.T.A. delle sole scuole statali per consentire agli stessi l’accesso giornaliero nella sede ove prestano servizio. Vigente dal 05/02/2022 l’art. 6 comma 5 del D.L. 05 del 04 Febbraio 2022 consente alle istituzioni scolastiche il controllo della condizione sanitaria degli allievi che consente la didattica in presenza, mediante l'applicazione mobile per la verifica delle certificazioni verdi [omissis] . ADEMPIMENTI VOLTI ALL’APPLICAZIONE DELLE NORME EMERGENZIALI DI CONTENIMENTO DELLA PANDEMIA ADEMPIMENTI VOLTI ALLA MISURAZIONE DELLA TEMPERATURA CORPOREA DI LAVORATORI, UTENTI E VISITATORI AL FINE DELL’IMPEDIMENTO DI ACCESSO Al SOGGETTI CON TEMPERATURA SUPERIORE AI 37,5°C. Finalità del ADEMPIMENTI VOLTI AL TRACCIAMENTO DEGLI ACCESSI AI LOCALI DELL’ISTITUTO PER RICOSTRUIRE | CONTATTI trattamento ADEMPIMENTI VOLTI AL CONTROLLO DELLA CERTIFICAZIONE VERDE (c.d. GREEN-PASS) E DELLE CERTIFICAZIONI MEDICHE DI NON VACCINABILITA’ ADEMPIMENTI VOLTI AL CONTROLLO DELLE CONDIZIONI SANITARIE CHE PERMETTONO AGLI ALLIEVI LA FRUIZIONE DELLA DIDATTICA IN PRESENZA Raccolti direttamente presso gli interessati LA TOTALITA’ DEI DATI E' RACCOLTA DIRETTAMENTE PRESSO GLI INTERESSATI Raccolti presso terzi Fonte dei dati AZIENDA [omissis] PIATTAFORMA NAZIONALE DGC [omissis] DEL MINISTERO DELLA SALUTE (SOLO SCUOLE STATALI) Dati comuni (art. 6 GDPR) NORMATIVA EMERGENZIALE VIGENTE Dati particolari (art. 9 GDPR) Base giuridica NORMATIVA EMERGENZIALE VIGENTE ART. 9-TER DEL D.L. 52/2021 CONVERTITO CON MODIFICAZIONI DALLA L. 87/2021, INTRODOTTO DALL’ART. 1 COMMA 6 DEL D.L. 111/2021 NONCHÉ DAL D.P.C.M. 17/06/2021 SS.MM.II. Comuni Termine trattamento 14 GIORNI LO STATO DELLA CERTIFICAZIONE VERDE NON VIENE REGISTRATO NEL CASO IN CUI LO STESSO SIA VERDE O DATI ANAGRAFICI BLU MENTRE VIENE REGISTRATO LO STATO “ROSSO” DEL PERSONALE SCOLASTICO E [omissis] I NEL STATO DELLA CERTIFICAZIONE VERDE FASCICOLO PERSONALE DEL DIPENDENTE A FINI DIMOSTRATIVI VISTE LE CONSEGUENZE SANZIONATORIE Natura dei dati ED AMMINISTRATIVE CORRELATE oggetto di LO STATO DELLA CERTIFICAZIONE VERDE RELATIVA AGLI trattamento ALLIEVI NON VIENE REGISTRATA Particolari Termine trattamento DATI INERENTI ALLO STATO DI SALUTE (POSITIVITÀ/, Giudiziari Termine trattamento NESSUNO NESSUNO Modalità di ; . | I DATI VENGONO TRATTATI IN MODALITA’ MISTA, SIA IN FORMATO CARTACEO CHE ELETTRONICO trattamento dati DIPENDENTI A TEMPO DETERMINATO E INDETERMINATO, DOCENTI E APPARTENENTI AL PERSONALE A.T.A. Categorie di ALLIEVI DELL'ISTITUTO E SOGGETTI ESERCENTI LA POTESTA' SU DI ESSI interessati VISITATORI DELL'ISTITUTO CHE ACCEDONO AI LOCALI FORNITORI CHE ACCEDONO Al LOCALI Interni Trattamenti eseguiti DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE [omissis] SCOLASTICO DIRETTORE DEI SERVIZI GENERALI E AMMINISTRATIVI REFERENTI COVID NOMINATI ED AUTORIZZATI RACCOLTA INCARICATI DELLA MISURAZIONE DELLA TEMPERATURA REGISTRAZIONE RAFFRONTO CORPOREA AUTORIZZATI ORGANIZZAZIONE UTILIZZO INTERCONNESSIONE DELEGATI AL CONTROLLO DELLA CERTIFICAZIONE VERDE STRUTTURAZIONE BLOCCO TRAMITE APP “VERIFICAC19” CONSERVAZIONE COMUNICAZIONE Autorizzati al DELEGATI AL CONTROLLO DELLO STATO DELLA CONSULTAZIONE DIFFUSIONE trattamento CERTIFICAZIONE VERDE TRAMITE IL PORTALE SIDI DEL ELABORAZIONE CANCELLAZIONE SELEZIONE MINISTERO DELL’ISTRUZIONE INTERCONNESSO CON LA DISTRUZIONE ESTRAZIONE PIATTAFORMA NAZIONALE DGC (DIGITAL GREEN CERTIFICATE) DEL MINISTERO DELLA SALUTE (SOLO SCUOLE STATALI) Esterni (Responsabili del Trattamento) Trattamenti eseguiti NESSUNO NESSUNO Dati in formato cartaceo Archiviazione storica dati cartacei UFFICIO DEL DIRIGENTE SCOLASTICO E SUOI VICE UFFICIO DEL DIRIGENTE SCOLASTICO E SUOI VICE Strutture entro Dati in formato elettronico Archiviazione storica dati elettronici le quali avviene il SERVER DI SEGRETERIA UNITA’ DI BACK UP DEL SERVER trattamento dati Software impiegati per il trattamento informatico dei dati in formato elettronico MICROSOFT OFFICE REGISTRO ELETTRONICO cn Comunicazioni istituzionali Extra UE | Comunicazioni su base volontaria Extra UE Possibili AMMINISTRAZIONE SCOLASTICA destinatari di LN.A.IL.L. attività di AZIENDA SANITARIA LOCALE / A.T.S. NO COMPAGNIE DI ASSICURAZIONE NO comunicazione R.S.P.P. MEDICO COMPETENTE VIENE FORNITA INFORMATIVA SPECIFICA SIA MEDIANTE APPOSIZIONE DI CARTELLONISTICA AL PUNTO IN CUI AVVIENE IL Informativa TRATTAMENTO (CONTROLLO TEMPERATURA E CONTROLLO CERTIFICAZIONE VERDE) SIA, NEL CASO DEL CONTROLLO DEL GREEN-PASS, MEDIANTE PUBBLICAZIONE DI INFORMATIVA DETTAGLIATA SUL SITO ISTITUZIONALE Profilazione NON VIENE ATTUATA NESSUNA ATTIVITA’ DI PROFILAZIONE Frequenza IL TRATTAMENTO AVVIENE CON FREQUENZA QUOTIDIANA E PER TUTTA LA DURATA DELLO STATO DI EMERGENZA COME DECISO DAL PARLAMENTO ITALIANO TRATTAMENTO PROBABILITA’ (P) CONSEGUENZE (C) LIVELLO DI RISCHIO (R) Valutazione del GENERALE POCO PROBABILE GRAVI rischio REGISTRO ELETTRONICO POCO PROBABILE GRAVI L’esito della valutazione dei rischi mostra un livello di rischio ELEVATO per i diritti e le libertà delle persone fisiche interessate ? L'attività comporta procedimenti valutativi, di scoring o di profilazione ? L'attività comporta la presa di decisioni automatizzate che producono significativi effetti giuridici (ammissioni, assunzioni, concessioni etc.) ? L'attività comporta il monitoraggio sistematico di persone fisiche (videosorveglianza ad esempio) ? L'attività comporta il trattamento di dati particolari, giudiziari o di natura estremamente personale (es. opinioni politiche) ? Valutazione della L'attività comporta il trattamento di dati personali su larga scala ? obbligatorietà L'attività comporta la combinazione o il raffronto di insiemi di dati derivanti da della DPIA due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dal contesto iniziale (big data) ? L'attività comporta il trattamento di dati relativi a soggetti vulnerabili (minori, soggetti con patologie psichiatriche, richiedenti asilo, anziani etc.) ? L'attività comporta utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative (riconoscimento facciale ad esempio) ? L'attività comporta trattamenti che, di per sé, potrebbero impedire agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto (es: screening dei clienti di una banca attraverso i dati registrati in una centrale rischi per stabilire la concessione di un finanziamento). AL FINE DEL CONTENIMENTO DEL RISCHIO SONO ADOTTATE LE SEGUENTI MISURE DI SICUREZZA TECNICHE ED ORGANIZZATIVE: MISURA DI SICUREZZA RISCHIO CONTRASTATO E’ adottata una politica di istituto per - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); la sicurezza e la protezione dei dati ed - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, all’interno dell’Istituto sono definiti i infiltrazioni in messaggistica di posta elettronica, etc.); ruoli e le responsabilità di ciascuno - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di anche mediante consegna di lettere di strumentazione, etc.). autorizzazione dettagliate - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Sono utilizzati software antivirus e infiltrazioni in messaggistica di posta elettronica, etc.); firewall - Azioni non autorizzate (virus, accessi non autorizzati, utilizzo di supporti non autorizzati, uso non autorizzato di strumentazione, etc.). - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); Vengono attuati i back up con - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione collegamenti frequenza quotidiana di rete, etc.); - Furto di dati e distruzione volontaria ed involontaria. Sono applicate, da parte del soggetto - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); incaricato dell’amministrazione del - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); sistema informatico, procedure di - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione, “disaster recovery” che garantiscono il collegamenti di rete, etc.); ripristino dell'accesso ai dati in tempi - Azioni di danneggiamento volontario. ridotti - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Sono adottati sistemi di cifratura e strumentazione, etc.); anonimizzazione dei dati relativi allo - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, stato di salute delle persone infiltrazioni in messaggistica di posta elettronica, etc.); Furto e sottrazione di dati Sono registrati da parte del soggetto - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di incaricato dell’amministrazione del strumentazione, supporti etc.); sistema informatico, i “/og-file” al fine - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, di ricostruire gli accessi ai database infiltrazioni in messaggistica di posta elettronica, etc.). Viene eseguita periodica manutenzione della rete informatica in cui si esegue il trattamento dei dati al fine di controllare periodicamente il funzionamento regolare di antivirus, Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). firewall nonché assicurare l'aggiornamento dei sistemi operativi in uso e di tutti i presidi di sicurezza attiva - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, infiltrazioni in messaggistica di posta elettronica, etc.); | Data Center di cui l’Istituto di serve - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di strumentazione, etc.); Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). I singoli incaricati vengono formalmente autorizzati al - Azioni non autorizzate (errori volontari o involontari, protezione da virus e malware trattamento dei dati ed a ciascuno in genere, uso non autorizzato di strumentazione, etc.)}; vengono fornite credenziali personali - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, {nome utente e password) per infiltrazioni in messaggistica di posta elettronica, etc.); eseguire l’accesso ai sistemi Problemi tecnici (anomalie e malfunzionamento software). informatici - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Le credenziali di autenticazione fornite infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più ai singoli incaricati sono disattivate in autorizzati); caso di assenza della persona - Azioni non autorizzate (errori volontari o involontari, uso non autorizzato di prolungata per oltre 6 mesi strumentazione, etc.). Le credenziali di autenticazione fornite - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, ai singoli incaricati sono disattivate o i infiltrazioni in messaggistica di posta elettronica etc. da parte di soggetti non più profili di accesso sono modificati per autorizzati); colui che, a causa di un cambiamento - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di mansione, perda la possibilità di strumentazione, etc.). trattare i dati o se la veda modificata I sistemi di autorizzazione prevedono la presenza di diversi profili di - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di autorizzazione, l'individuazione strumentazione, etc.); preventiva per incaricato, - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, l'individuazione preventiva per classi infiltrazioni in messaggistica di posta elettronica, etc. eseguita da parte dichi non è omogenee di incaricati, la verifica più autorizzato a trattare i dati). almeno annuale dei profili Le parole chiave (password) fornite sono complesse (lunghe almeno 8 caratteri e formate da lettere e - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, numeri, maiuscole e minuscole) e non infiltrazioni in messaggistica di posta elettronica, etc.); sono riferibili a condizioni personali - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di dell’autorizzato. strumentazione, etc.); Le password devono essere modificate - Evitare che l’accesso ai dati digitali possa avvenire troppo facilmente. la primo accesso e devono essere cambiate ogni 3 mesi - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Esclusivamente ai singoli incaricati strumentazione, etc.); viene concesso l’accesso ai locali - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, {uffici, sale docenti, archivi, CED etc.) infiltrazioni in messaggistica di posta elettronica, etc.); ed agli arredi (cassetti, armadi, - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); schedari etc.) in cui devono prestare la - Evitare che l’accesso ai dati cartacei ed agli elaboratori possa avvenire troppo loro attività di trattamento facilmente. I locali in cui avviene il trattamento - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); dati sono dotati di presidi antincendio Le prese di alimentazione elettrica a cui sono connessi gli apparati - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); informatici di rete nonché server ed - Interruzione servizi (sbalzi di tensione, guasti all'impianto, interruzione elaboratori forniscono idonee collegamenti di rete, etc.). garanzie di stabilità I locali in cui avviene il trattamento - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di dati, al termine dell’attività, vengono strumentazione, etc.); chiusi a chiave così come cassetti ed - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, armadi contenenti dati personali, le infiltrazioni in messaggistica di posta elettronica, etc.); chiavi sono nella disponibilità di soli - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware). soggetti autorizzati a detenerle I supporti cartacei contenenti dati personali non più necessari vengono - Accesso da parte di soggetti non autorizzati; distrutti fisicamente prima della loro eliminazione I supporti magnetici (chiavette, dischi removibili etc.) contenenti dati personali non più necessari vengono - Accesso da parte di soggetti non autorizzati; distrutti fisicamente prima della loro eliminazione - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Ai singoli utenti autorizzati vengono strumentazione, etc.); fornite istruzioni per la custodia e - Eventi naturali ed agenti fisici (terremoti, incendi, allagamenti etc.); l’uso di supporti removibili - Perdita, smarrimento, furto. E’ prevista l’organizzazione periodica - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di di corsi di formazione ed interventi strumentazione, etc.); informativi volti a fornire nozioni ed a - Perdita, smarrimento. sensibilizzare il personale autorizzato - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Il personale autorizzato è soggetto alla strumentazione, etc.); vigilanza del Titolare del trattamento - Furti, danneggiamenti volontari; e degli altri autorizzati con compiti di - Uso non autorizzato di supporti personali; coordinamento e direttivi - Uso illegale di software. - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Tutte le procedure sono oggetto di strumentazione, etc.); riesame almeno annuale in occasione - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, dell’audit periodico eseguito dal infiltrazioni in messaggistica di posta elettronica, etc.); D.P.O. - Problemi tecnici (anomalie e malfunzionamento software, problemi hardware); - Verifica della corretta applicazione delle norme regolamentari. I dati non sono diffusi o comunicati a - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di terzi al di fuori delle specifiche strumentazione, etc.). previsioni normative - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di Sono definiti termini di conservazione strumentazione, etc.); e le condizioni di impiego e successiva - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, distruzione dei dati personali trattati infiltrazioni in messaggistica di posta elettronica, etc.). - Compromissione delle informazioni (intercettazioni, rivelazione informazioni, Ancorché non obbligatoria, su questo infiltrazioni in messaggistica di posta elettronica, etc.); trattamento viene eseguita la DPIA - Azioni non autorizzate (errori volontari o involontari, virus, uso non autorizzato di {Data Protection Impact Assesment) strumentazione, etc.). DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Il Ministero dell'Istruzione, mediante il Regolamento dei dati sensibili e giudiziari (D.M. 305 del 07/12/2006), ha identificato in maniera precisa quali trattamenti dei dati sono consentiti all’interno di una istituzione scolastica . Per fare questo ha utilizzato il sistema delle SCHEDE, indicando, in ciascuna di esse, le tipologie di dati sensibili e giudiziari e di operazioni su di essi indispensabili per la gestione del sistema dell'Istruzione in un particolare comparto della stessa. Preventivamente ha però individuato, all’Art. 2, dei limiti oggettivi entro i quali rimanere anche in caso di operazioni legittime su dati sensibili o giudiziari, infatti tutti i dati sensibili e giudiziari individuati dal regolamento in oggetto possono essere trattati previo verifica della loro: PERTINENZA Cioè i dati personali raccolti devono essere riferibili perfettamente all'interessato ed alla finalità del trattamento, sia nella loro forma individuale che nella forma più complessa dei documenti che li contengono. COMPLETEZZA Cioè i dati personali devono essere raccolti nella loro interezza onde evitare errori di valutazione che possano derivare dalla loro non completezza. INDISPENSABILITA” Cioè assolutamente indispensabili per raggiungere lo scopo prefissato. SCHEDA N° 1 SELEZIONE, RECLUTAMENTO, INSTAURAZIONE, GESTIONE E CESSAZIONE DEL RAPPORTO DI LAVORO FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE STATO DI SALUTE Stato giuridico, idoneità al servizio, assunzione categoria Art. 112 - Instaurazione e protette, protezione maternità, igiene e sicurezza dei luoghi gestione rapporti di lavoro da di lavoro, onoreficenze, assicurazioni, trattamenti parte di soggetto pubblico. assistenziali e previdenziali, denunce infortuni, malattie professionali, fruizione permessi, assenze giustificate. Art. 62 - Rilascio documenti di riconoscimento ADESIONE A SINDACATI Versamento quote di iscrizione, esercizio diritti sindacali. CONVINZIONI RELIGIOSE Concessione permessi e festività religiose, reclutamento Art. 67 - Attività di controllo ed docenti di religione. Ispettive CONVINZIONI FILOSOFICHE Svolgimento sevizio di leva come obiettore di coscienza. Art. 68 - Applicazione disciplina DATI GIUDIZIARI Valutazione requisiti di ammissione, adozione di benefici economici ed altri provvedimenti amministrativo-contabili. emolumenti. [omissis] ribuzione di sesso Art. 70 - Obiezione di coscienza Art. 72 - Rapporti con Enti di culto Art. 73 - Supporto al collocamento e avviamento al lavoro COMUNICAZIONI DI DATI CONSENTITE SERVIZI SANITARI COMPETENTI PER VISITE FISCALI ED ACCERTAMENTO IDONEITA’ ALL'IMPIEGO; ORGANI PREPOSTI ALLA VIGILANZA IN MATERIA DI IGIENE E SICUREZZA LUOGHI DI LAVORO (D.Lgs. 626/1994); ENTI ASSISTENZIALI, PREVIDENZIALI ED ASSICURATIVI; AMMINISTRAZIONI PROVINCIALI PER GLI ASSUNTI EX L. 68/1999; ORGANIZZAZIONI SINDACALI PER GESTIONE PERMESSI E VERSAMENTO QUOTA DI ISCRIZIONE; PUBBLICHE AMMINISTRAZIONI VERSO LE QUALI SONO ASSEGNATI | DIPENDENTI IN MOBILITA’; ORDINARIO DIOCESANO PER IDONEITA’ ALL'INSEGNAMENTO DELLA RELIGIONE CATTOLICA; ORGANI DI CONTROLLO (CORTE DEI CONTI e MEF); AGENZIA DELLE ENTRATE ; PRESIDENZA DEL CONSIGLIO DEI MINISTRI PER LA RILEVAZIONE ANNUALE DEI PERMESSI PER CARICHE SINDACALI ETC. DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE SCHEDA N° 2 GESTIONE DEL CONTENZIOSO E PROCEDIMENTI DISCIPLINARI FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE TUTTI | DATI SENSIBILI E Tutte le attività relative alla difesa in giudizio del Ministero Art. 112 - Instaurazione e GIUDIZIARI LECITAMENTE della Pubblica Istruzione e delle istituzioni scolastiche ed gestione rapporti di lavoro da TRATTATI educative nel contenzioso del lavoro, amministrativo, penale parte di soggetto pubblico. e civile. Art. 67 - Attività di controllo ed Ispettive Art. 71 - Attività sanzionatoria e di tutela COMUNICAZIONI DI DATI CONSENTITE MINISTERO DEL LAVORO PER SVOLGIMENTO TENTATIVI OBBLIGATORI DI CONCILIAZIONE; ORGANI ARBITRALI PER SVOLGIMENTO PROCEDURE ARBITRALI INDICATE NEI CCNL; AVVOCATURA DELLO STATO PER DIFESA E CONSULENZA; MAGISTRATURA E ORGANI DI POLIZIA GIUDIZIARIA; LIBERI PROFESSIONISTI A FINI DI PATROCINIO E CONSULENZA, INCLUSI QUELLI DI CONTROPARTE. SCHEDA N° 3 ORGANISMI COLLEGIALI E COMMISSIONI ISTITUZIONALI FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE TUTTI | DATI SENSIBILI E Attivazione degli organismi collegiali e le commissioni Art. 65 - pubblicità dell’attività GIUDIZIARI LECITAMENTE istituzionali previsti dalle norme di organizzazione del di organi. Ministero dell’Istruzione e dell’ordinamento scolastico . TRATTATI Art. 95 - dati sensibili e giudiziari relativi alle finalità di istruzione e di formazione in ambito scolastico . COMUNICAZIONI DI DATI [omissis] IVITA’ INTERNA ALL'ISTITUZIONE SCOLASTICA . FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE ORIGINI RAZZIALI ED ETNICHE Per tutti quegli atti tesi a favorire l’integrazione degli Art. 68 - Applicazione disciplina ALLIEVI di nazionalità non italiana. benefici economici ed altri emolumenti. CONVINZIONI RELIGIOSE Per garantire la libertà di credo religioso e per la fruizione dell’insegnamento della religione cattolica o delle attività alternative a tale insegnamento. Art. 73 - Supporto al collocamento e avviamento al lavoro STATO DI SALUTE Per assicurare l’erogazione del sostegno agli ALLIEVI diversamente abili e per la composizione delle classi Art. 86 - Tutela maternità, DATI GIUDIZIARI Per assicurare il diritto allo studio a soggetti detenuti, o disincentivazione uso sostanze qualora l’ Autorità Giudiziaria abbia predisposto un psicotrope, Integrazione programma di protezione nei confronti dell’alunno o diversamente abili, volontariato. ALLIEVI che abbiano commesso reati. Art. 95 - dati sensibili e giudiziari relativi alle finalità di istruzione e di formazione in ambito scolastico . COMUNICAZIONI DI DATI CONSENTITE ENTI LOCALI PER LA FORNITURA DI SERVIZI; GESTORI PUBBLICI E PRIVATI DI SERVIZI DI ASSISTENZA AGLI ALLIEVI E DI SUPPORTO; AUSL ED ENTI LOCALI PER FUNZIONAMENTO GRUPPI DI LAVORO HANDICAP. SCHEDA N° 5 ATTIVITA” EDUCATIVA, DIDATTICA E FORMATIVA, DI VALUTAZIONE FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE ORIGINI RAZZIALI ED ETNICHE Per tutti quegli atti tesi a favorire l’integrazione degli Art. 68 - Applicazione disciplina ALLIEVI di nazionalità non italiana. benefici economici ed altri Per garantire la libertà di credo religioso. emolumenti. CONVINZIONI RELIGIOSE STATO DI SALUTE Per assicurare l’erogazione del servizio di refezione Art. 73 - Supporto al collocamento scolastica , del sostegno agli ALLIEVI diversamente abili, e avviamento al lavoro dell’insegnamento domiciliare ed ospedaliero, per la partecipazione alle attività educative e didattiche Art. 86 - Tutela maternità, programmate, a quelle motorie e sportive, alle visite disincentivazione uso sostanze guidate ed ai viaggi di istruzione. psicotrope, Integrazione diversamente abili, volontariato. DATI GIUDIZIARI Per assicurare il diritto allo studio a soggetti detenuti. CONVINZIONI [omissis] costituzione ed il funzionamento delle Consulte e Art. 95 - dati sensibili e giudiziari delle Associazioni di studenti e del genitori. relativi alle finalità di istruzione e di formazione in ambito scolastico . DATI SENSIBILI IN GENERALE In generale per le attività di valutazione periodica e finale, per le attività di orientamento e per la compilazione della certificazione delle competenze. COMUNICAZIONI DI DATI CONSENTITE ALTRE ISTITUZIONI SCOLASTICHE STATALI E NON PER TRASMISSIONE DOCUMENTAZIONE ATTINENTE LA CARRIERA; ENTI LOCALI PER FORNITURA SERVIZI; GESTORI PUBBLICI E PRIVATI DI SERVIZI DI ASSISTENZA AGLI ALLIEVI E DI SUPPORTO; ISTITUTI DI ASSICURAZIONE PER DENUNCIA INFORTUNI E CONNESSA R.C.; ALL’ [omissis] DENUNCIA INFORTUNI; AUSL ED ENTI LOCALI PER FUNZIONAMENTO GRUPPI DI LAVORO HANDICAP; AZIENDE, IMPRESE ED ALTRI SOGGETTI PUBBLICI O PRIVATI PER STAGES. DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE SCHEDA N° 6 SCUOLE NON STATALI FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE FASCICOLI PERSONALI DI Per rendere effettiva l’attività di vigilanza e controllo Art. 67 - Attività di controllo ed DOCENTI E ALLIEVI eseguita dall’ Amministrazione centrale o periferica nei ispettive confronti delle scuole non statali parificate. SCHEDA N° 7 RAPPORTI SCUOLA-FAMIGLIA, GESTIONE DEL CONTENZIOSO FINALITA’ DI RILEVANTE DATI SENSIBILI O GIUDIZIARI TRATTAMENTI CONSENTITI INTERESSE PUBBLICO PERSEGUITE TUTTI | DATI SENSIBILI E Tutte le attività relative alla instaurazione del contenzioso Art. 67 - Attività di controllo ed GIUDIZIARI LECITAMENTE (reclami, ricorsi, esposti, provvedimenti disciplinari, ispettive Ispezioni, citazioni, denunce etc.) con gli ALLIEVI e le TRATTATI famiglie e tutte le attività di difesa in giudizio delle Art. 71 - Attività sanzionatoria e Istituzioni scolastiche di ogni ordine e grado. di tutela DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE VI. [omissis] Legge, dapprima con il Decreto Legislativo 196/2003 e poi con il Regolamento UE 2016/679 definisce con il termine “misure di sicurezza”, una serie di prescrizioni tecniche indispensabili affinché il trattamento dei dati personali, eseguito mediante l’impiego di apparecchiature elettroniche, sia sicuro. Mentre la grande maggioranza di dette misure è (almeno fino alla prossima entrata in vigore di una normativa europea che aggiorni anche queste voci) positivamente indicata nel c.d. “Disciplinare Tecnico — Allegato B” del Codice della Privacy del 2003, molte altre indicazioni sono più generali e appartengono ad un metodo di lavoro organizzato secondo ragionevolezza e buona fede. All’interno dell’ente è stato implementato il REGOLAMENTO PER L’USO DI INTERNET E DELLA POSTA ELETTRONICA, rivolto al personale dipendente e a tutti coloro che collaborano, pur in assenza di un rapporto di lavoro subordinato, nel momento in cui utilizzano le attrezzature informatiche scolastiche. É innanzitutto un aiuto per l'uso consapevole e diligente delle risorse informatiche messe a disposizione (postazioni di lavoro, dispositivi portatili, posta elettronica) evitando comportamenti che possono innescare problemi o minacce alla sicurezza del sistema. Informa inoltre delle misure di tipo organizzativo e tecnologico adottate e dei controlli che potrebbero essere effettuati, sempre nel rispetto della libertà e della dignità dei lavoratori. [omissis] corretto utilizzo di internet rappresenta uno dei punti cardini per la sicurezza dell’infrastruttura informatica entro la quale si effettua il trattamento dei dati. Uno dei momenti più critici è quello del “download” (scaricamento) di software o dati al di fuori dai casi espressamente previsti e consentiti dal Titolare del trattamento. L’Autorizzato al trattamento dei dati mediante utilizzo di apparecchiature informatiche, deve astenersi dal compiere “download” non autorizzati onde prevenire situazioni critiche riconducibili a due fattispecie da evitare: “DOWNLOAD” INVOLONTARIO DI SOFTWARE CHE POSSA ESPORRE LA RETE A RISCHIO DI INTRUSIONI O DI DANNO CAGIONATO DA SOFTWARE RICONDUCIBILE A QUANTO PREVISTO DALL'ART. 615 QUINQUIES DEL CODICE PENALE (VIRUS INFORMATICI) Il “download” incontrollato molto frequentemente mina le misure di sicurezza adottate a protezione della rete. Le conseguenze tipiche di tale comportamento sono: L'apertura di un varco sul dispositivo firewall che agevoli l’accesso indebito alla rete da parte di soggetti non autorizzati; Il danneggiamento dei dispositivi operato da virus informatici. “DOWNLOAD” DI DATI CHE POSSANO ESSERE CATALOGATI COME “PERSONALI” O_“PARTICOLARI” [omissis] “download” incontrollato può riguardare non solo “maleware” (cioè software che abbia mire dannose per la rete) bensì anche dati personali o addirittura particolari che si troveranno a risiedere su elaboratori elettronici in maniera non consapevole e quindi verranno trattati, con ogni probabilità, in maniera inadeguata. USO DELLA POSTA ELETTRONICA DA PARTE DEI SOGGETTI DEL TRATTAMENTO AI “download” di software o dati da internet è assimilabile la consultazione non remota della posta elettronica. La rete pertanto sarà configurata in modo da impedire ai soggetti del trattamento la configurazione di software di posta (Outlook, Eudora etc.) che comportino lo scaricamento dei dati sui propri elaboratori. Se la consultazione della posta elettronica privata è consentita, essa avverrà mediante accesso remoto alla casella mail tramite browser (Internet Explorer, Netscape Navigator etc.). USO DEL FAX DA PARTE DEI SOGGETTI DEL TRATTAMENTO Ancorché si tratti di una pratica oggetto di progressiva dismissione, i documenti in ingresso, contenenti dati personali, che dovessero pervenire via FAX, devono essere trattati con particolare cura, affinché non restino a disposizione di soggetti non autorizzati. L’Autorizzato della gestione dei FAX deve vigilare sulla corretta esecuzione della procedura di smistamento. DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE DISTRUZIONE DI DOCUMENTI DA PARTE DEI SOGGETTI DEL TRATTAMENTO I documenti cartacei contenenti dati personali che, a qualsiasi titolo (dismissione di archivi, errori di scrittura, copie ridondanti etc.) debbano essere eliminati, saranno resi illeggibili dal soggetto Autorizzato mediante l’uso di un distruggidocumenti o di altro metodo parimenti idoneo. GESTIONE DELLA POSTA CARTACEA DA PARTE DEI SOGGETTI DEL TRATTAMENTO La posta cartacea viene raccolta dall’Autorizzato in servizio in quel momento presso la portineria / reception ed immediatamente smistata verso gli uffici. All’atto dell'apertura tutti i documenti contenenti dati personali devono essere smistati senza ritardi a cura del personale del protocollo stesso. Il Titolare del trattamento determina gli Autorizzati espressamente autorizzati, quali responsabili della tenuta del protocollo e della visione dei contenuti delle missive. La posta elettronica viene “scaricata” da ciascun Autorizzato e, se stampata, segue lo stesso procedimento previsto per la posta cartacea. Le lettere arrivate per posta che presentino all’esterno l'indicazione “RISERVATO” o altre formule atte a qualificarle come contenenti documenti di tipo particolare, non possono essere aperte dagli Autorizzati della gestione del protocollo ma devono immediatamente essere consegnati all'attenzione del Titolare del trattamento il quale provvederà alla loro custodia ed all’inoltro, o a quella del destinatario in persona. Si rammenta che l'Art. 616 Codice Penale vieta la Violazione, sottrazione e soppressione di corrispondenza: Chiunque prende cognizione del contenuto di una corrispondenza chiusa, a lui non diretta, ovvero sottrae o distrae, al fine di prenderne o di farne da altri prender cognizione, una corrispondenza chiusa o aperta, a lui non diretta, ovvero in tutto o in parte la distrugge o sopprime, è punito, se il fatto non è preveduto come reato da altra disposizione di legge, con la reclusione fino a un anno o con la multa da € 31,00 a € 516,00 [omissis] [omissis] RISCHIO DI DISTRUZIONE O PERDITA DI DATI AI fine di garantire l'integrità dei dati contro i rischi di distruzione o di perdita, il Titolare del trattamento dei dati stabilisce la periodicità con cui debbono essere effettuate le copie di sicurezza delle banche di dati trattati. Tale periodicità tuttavia non può essere superiore alla settimana. | criteri debbono essere stabiliti dal Titolare del trattamento in relazione al tipo di rischio potenziale e in base al livello di tecnologia utilizzata. Procedura di esecuzione del Back-up Il Titolare del trattamento si deve preoccupare dell’esecuzione della procedura di back-up (salvataggio degli archivi). Il Responsabile della procedura di Back-Up deve essere formato affinché sia totalmente indipendente nell’eseguire i passi tecnici necessari per l'attuazione del salvataggio delle copie degli archivi informatici contenenti dati personali. La procedura di Back-Up deve avvenire in maniera completamente automatizzata senza bisogno dell’intervento da parte dell'operatore al fine di escludere tutte le ipotesi di dimenticanza e imperizia dell’attuazione del procedimento, in tali casi al soggetto incaricato spetta solo il compito di verificare che il salvataggio abbia avuto buon fine. Il Titolare del trattamento è responsabile della custodia e della conservazione di supporti utilizzati per il back up dei dati. Essi devono essere custoditi in modo da scongiurare il più possibile le aggressioni da: o Agenti chimici; o Fonti di calore; o Campi magnetici; o Intrusione ed atti vandalici; o Incendio; o Allagamento; o Furto. L'accesso ai supporti utilizzati per il back up dei dati è limitato per ogni banca dati al Titolare del trattamento della sicurezza dei dati ed all’Autorizzato al trattamento di competenza. Se il Titolare del trattamento decide che i supporti per le copie di back up delle banche di dati trattate non sono più utilizzabili per gli scopi per i quali erano stati destinati, deve provvedere a farne cancellare il contenuto, annullando e rendendo illeggibili le informazioni in esso contenute. È compito del Titolare del trattamento assicurarsi che in nessun caso vengano lasciate copie di back up delle banche di dati trattate, non più utilizzate, senza che ne venga cancellato il contenuto ed annullate e rese illeggibili le informazioni in esso registrate. | dati memorizzati sui supporti di back-up, nonché sui dispositivi mobili di archiviazione, devono risiedere sugli stessi in forma non-intellegibile; perché questo avvenga è necessario prevedere l’installazione di software di crittografia dei dati che impediscano, in caso di furto o smarrimento accidentale di questi supporti, la lettura da parte di chicchessia non autorizzato. Con periodicità almeno semestrale viene verificato il corretto funzionamento della procedura di back-up simulando un ripristino totale dei dati. La modalità di back-up cosiddetta “in cloud” ossia che avvenga utilizzando una piattaforma remota accessibile mediante web, non modifica i tratti essenziali della procedura che dovrà essere sempre verificata in ordine alla puntuale esecuzione del trasferimento dei dati oggetto di back up. VIII. ALTRE MISURE DI SICUREZZA Le regole vigenti vietano a chiunque di: e Effettuare copie su supporti magnetici o trasmissioni non autorizzate dal Titolare di dati oggetto del trattamento; e Effettuare copie fotostatiche o di qualsiasi altra natura, non autorizzate dal Titolare, di stampe, tabulati, elenchi, rubriche e di ogni altro materiale riguardante i dati oggetto del trattamento; e Sottrarre, cancellare, distruggere senza l'autorizzazione del Titolare, stampe, tabulati, elenchi, rubriche e ogni altro materiale riguardante i dati oggetto del trattamento; e Consegnarea persone non autorizzate dal Titolare, stampe, tabulati, elenchi, rubriche e ogni altro materiale riguardante i dati oggetto del trattamento. Il Titolare deve definire le modalità di accesso agli uffici in cui sono presenti sistemi o apparecchiature di accesso ai dati trattati. In linea di massima sono autorizzate all'accesso ai locali esclusivamente quelle persone autorizzate al trattamento alle quali, il Titolare, concede l’accesso ai luoghi fisici mediante la consegna di un badge o di una chiave, nonché l’accesso agli ambiti informatici mediante la consegna di idonei criteri di accesso. Il Titolare deve informare con una comunicazione scritta l’Autorizzato, dell’ufficio dei compiti che gli sono stati affidati e deve provvedere a formarlo affinché le mansioni indicate nella lettera gli siano familiari. ASSEGNAZIONE NOMI UTENTE Il Titolare deve definire le modalità di assegnazione dei nomi identificativi per consentire a ciascun Autorizzato al trattamento di accedere ai sistemi di trattamento delle banche di dati. Non sono ammessi nomi identificativi di gruppo, con la sola eccezione dei pochi identificativi assegnati per l’amministrazione di sistema, relativamente ai sistemi operativi che prevedono un unico livello di accesso. In ogni caso, un codice identificativo assegnato ad un Autorizzato al trattamento deve essere annullato se l’Autorizzato al trattamento ha dato le dimissioni. ASSEGNAZIONE DELLE PASSWORD Il Titolare deve definire le modalità di assegnazione delle password e decidere che ogni utente Autorizzato al trattamento possa modificare autonomamente la propria password di accesso. PLOTTER SAT AAT RATATI IE2 Ae A AT TI Airone dd AI IOIROSISZIOM RSI LIGA LOI VARO LI In questo caso la modifica richiede che venga data comunicazione al Custode della password e al Responsabile del trattamento (se diverso dal Custode delle password). Le password saranno composte da almeno 8 caratteri e non dovranno contenere elementi immediatamente riconducibili ai proprietari delle stesse. SICUREZZA DELLE TRASMISSIONI DATI AI fine di garantire la sicurezza delle trasmissioni dei dati su rete pubblica, il Titolare stabilisce le misure tecniche da adottare in rapporto al rischio di intercettazione o di intrusione su ogni sistema collegato in rete pubblica. | criteri debbono essere definiti dal Titolare in relazione al tipo di rischio potenziale e in base al livello di tecnologia utilizzata. PERSONALE AUTORIZZATO AL TRATTAMENTO DEI DATI Il Documento è costantemente aggiornato ad opera del Titolare circa ogni variazione dell'elenco degli Autorizzati del trattamento autorizzati al trattamento dei dati personali. In particolare, in caso di trattamento automatizzato di dati, per ogni Autorizzato al trattamento deve essere indicato lo USER ID assegnato. In caso di dimissioni di un Autorizzato al trattamento o di revoca delle autorizzazioni al trattamento dei dati, il Titolare deve darne immediata comunicazione affinché si provveda a disattivare la possibilità di accesso al sistema per il soggetto in questione. AI Titolare è affidato il compito di verificare, ogni anno, le autorizzazioni di accesso ai dati oggetto del trattamento e di aggiornare l'elenco degli utenti autorizzati, oltre al compito di redigere e di aggiornare ad ogni variazione i permessi di accesso per ogni Autorizzato al trattamento autorizzato. In particolare, per ogni Autorizzato al trattamento e per ogni banca dati debbono essere indicati i privilegi assegnati tra seguenti: I. Inserimento dei dati; II. Lettura e stampa dei dati; Ill. Modifica di dati; IV. Cancellazione di dati. IX. IMANUTENZIONE DELLE APPARECCHIATURE AI Titolare al trattamento dei dati è affidato il compito di verificare ogni anno la situazione delle apparecchiature installate con cui vengono trattati i dati, delle apparecchiature periferiche e, in particolare, dei dispositivi di collegamento con le reti pubbliche. La verifica ha lo scopo di controllare l'affidabilità del sistema per quanto riguarda: o La sicurezza dei dati trattati; o Il rischio di distruzione o di perdita; o Il rischio di accesso non autorizzato o non consentito, tenendo conto anche dell'evoluzione tecnologica. AI Titolare è affidato il compito di verificare ogni anno la situazione dei Sistemi Operativi installati sulle apparecchiature con le quali vengono trattati i dati. La verifica ha lo scopo di controllare l'affidabilità dei Sistemi Operativi per quanto riguarda: o La sicurezza dei dati trattati; o Il rischio di distruzione o di perdita; o Il rischio di accesso non autorizzato o non consentito, tenendo conto in particolare di: o Disponibilità di nuove versioni migliorative dei Sistemi operativi utilizzati; o Segnalazioni di Patch, Fix o System-Pack per l’introduzione di maggiori sicurezze contro i rischi di intrusione o di danneggiamento dei dati. SETT IRSA TOR STAT dI si {. n x duet ? e 208 pt ‘ Ra so dt ATER AROTO I AE ZE VARO ES GU è diparte Dersmveontioni se: Cisti Ari PeTiha 1 Lage RI bn TIAPARIONOZION RI SDAI AI SPALLA AMATE ASI ATER RIPA IO LITA RO PINEAIIOOA, Si, dia : Cit. NO Li DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE Nel caso in cui esistano rischi evidenti il Titolare deve prendere gli opportuni provvedimenti allo scopo di assicurarne il corretto trattamento dei dati in conformità alle norme in vigore. AI Titolare è affidato il compito di verificare ogni anno la situazione delle applicazioni installate sulle apparecchiature con le quali vengono trattati i dati. La verifica ha lo scopo di controllare l'affidabilità del software applicativo, per quanto riguarda: e lasicurezza dei dati trattati; e Ilrischio di distruzione o di perdita; e Il rischio di accesso non autorizzato o non consentito, tenendo conto in particolare della disponibilità di nuove versioni migliorative delle applicazioni installate che consentano maggiore sicurezza contro i rischi di intrusione o di danneggiamento dei dati. Nel caso in cui esistano rischi evidenti il Titolare deve prendere gli opportuni provvedimenti allo scopo di assicurare il corretto trattamento dei dati in conformità alle norme in vigore. X. IL DATA BREACH Una violazione dei dati personali (c.d. data breach) può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali ed immateriali alle persone fisiche coinvolte. Alcuni esempi che possiamo fare di questi danni sono: la perdita del controllo dei dati personali che li riguardano o la limitazione dei loro diritti, casi di discriminazione, furto o usurpazione d’identità, perdite finanziarie connesse alla sottrazione delle credenziali dell’home banking, decifratura non autorizzata delle forme di pseudonimizzazione attuate, pregiudizio alla reputazione, perdita di riservatezza dei dati protetti da segreto professionale e d’ufficio o qualsiasi altro danno economico o sociale significativo alla persona fisica interessata. Questo paragrafo si prefigge lo scopo di indicare, al Titolare del trattamento dei dati, le opportune modalità di gestione del data breach, nel rispetto della normativa in materia di trattamento dei dati personali, garantendo in particolare l'aderenza ai principi e alle disposizioni contenute nel Regolamento UE 679/2016 (Considerando n. 85,86,87,88 ed Artt. 33 e 34) e nella Guidelines on personal data breach notification under Regulation 2016/679 — article 29 data protection working party. In questo parte del documento si sintetizzano le regole per garantire il rispetto dei principi esposti e la realizzabilità tecnica e la sostenibilità organizzativa, nella gestione del data breach, sotto i diversi aspetti relativi a: - modalità di segnalazione al Titolare da parte di chi venga a conoscenza della violazione - modalità e profili di segnalazione all'Autorità Garante - valutazione dell’evento accaduto - eventuale comunicazione agli interessati Ogni operatore autorizzato a trattare i dati personali, qualora venga a conoscenza di un potenziale caso di data breach, avvisa tempestivamente il Titolare del trattamento. Ai fini di una corretta classificazione dell’episodio, il Titolare utilizzerà lo schema di scenario di data breach, riportato alle pagine seguenti. Sulla scorta delle determinazioni raggiunte, il Titolare predispone l'eventuale comunicazione all'Autorità Garante, a propria firma, da inviare senza ingiustificato ritardo e, ove possibile, entro 72 ore, da determinarsi dal momento in cui ne è venuto a conoscenza, cioè quando abbia un ragionevole grado di certezza della verificazione di un incidente di sicurezza che riguardi dati personali. Oltre il termine delle 72 ore, la notifica deve essere corredata delle ragioni del ritardo. E' comunque fatta salva la possibilità di fornire successivamente all'Autorità Garante informazioni aggiuntive o dettagli rilevanti sulla violazione di cui il Titolare venga a conoscenza, a seguito della effettuazione di ulteriori indagini e attività di follow-up (c.d. notifica in fasi). La scelta e le motivazioni che hanno portato a non notificare l'evento deve essere documentata a cura del Titolare. Nel caso in cui dal data breach possa derivare un rischio elevato per i diritti e le libertà delle persone, anche queste devono essere informate senza ingiustificato ritardo, al fine di consentire loro di prendere provvedimenti per proteggersi da eventuali conseguenze negative della violazione. Il Titolare del trattamento predispone l'eventuale comunicazione agli interessati da inviarsi nei tempi e nei modi che lo stesso, individuerà come più opportuna come specificato nell’art. 34 del G.D.P.R. e tenendo conto di eventuali indicazioni fornite dall'Autorità Garante. La comunicazione deve comprendere almeno: e nome e recapiti del Titolare; e le probabili conseguenze della violazione dei dati; e eventuali misure adottate dal Titolare per porre rimedio o attenuare l'infrazione. L’adeguatezza di una comunicazione è determinata non solo dal contenuto del messaggio, ma anche dalle modalità di effettuazione. Le linee guida, sulla base dell’art. 34, ricordano che devono sempre essere privilegiate modalità di comunicazione diretta con i soggetti interessati (quali email, SMS etc.). Si è detto, ai paragrafi precedenti, che ogniqualvolta il Titolare si trovi ad affidare il trattamento di dati ad un soggetto terzo/responsabile del trattamento, è tenuto a stipulare con tale soggetto uno specifico contratto che lo vincoli al rispetto delle istruzioni impartitegli dal Titolare in materia di protezione dati: è necessario che la presente procedura di segnalazione di data breach sia inclusa nel suddetto contratto; ciò al fine di obbligare il responsabile ad informare il Titolare del trattamento senza ingiustificato ritardo, di ogni potenziale evento di data breach. Ad ogni responsabile del trattamento deve essere comunicato il contatto del Titolare al quale effettuare la predetta segnalazione. La comunicazione deve avvenire senza ingiustificato ritardo, per “ingiustificato ritardo” si considera la notizia pervenuta al Titolare al più tardi entro 12 ore dalla presa di conoscenza iniziale da parte del responsabile. Il Titolare effettua una valutazione dell’evento avvalendosi, nel caso, del gruppo privacy del soggetto esterno. Ai fini di una corretta classificazione dell'episodio il Titolare utilizzerà lo schema di scenario di data breach di seguito riportato. Pertanto, sulla scorta delle determinazioni raggiunte, il Titolare predispone l'eventuale comunicazione all'Autorità Garante, a sua firma, da inviare senza ingiustificato ritardo e, ove possibile, entro 72 ore, da determinarsi dal momento in cui ne è venuto a conoscenza, cioè quando abbia un ragionevole grado di certezza della verificazione di un incidente di sicurezza che riguardi dati personali. Oltre il termine delle 72 ore, la notifica deve essere corredata delle ragioni del ritardo. E' comunque fatta salva la possibilità di fornire successivamente all'Autorità Garante informazioni aggiuntive o dettagli rilevanti sulla violazione di cui il Titolare venga a conoscenza, a seguito della effettuazione di ulteriori indagini e attività di follow-up (c.d. notifica in fasi) La scelta e le motivazioni che hanno portato a non notificare l'evento deve essere documentata a cura del referente privacy del soggetto obbligato. Rimane salva la possibilità che sia il responsabile esterno del trattamento ad effettuare una notifica per conto del Titolare del trattamento, se il Titolare del trattamento ha rilasciato specifica autorizzazione al responsabile, all'interno del suddetto contratto. Tale notifica deve essere fatta in conformità con gli articoli 33 e 34 del G.D.P.R.. La responsabilità legale della notifica rimane in capo al Titolare del trattamento nella persona del Dirigente Scolastico . AI fine di eseguire la valutazione dell’obbligatorietà o meno della notifica all'Autorità Garante dei data breach e di supportare i soggetti coinvolti nella procedura, vengono illustrati alcuni scenari di possibili violazioni di dati personali. DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE TIPO DI DEFINIZIONE SOGLIA DI ESEMPI CONTROESEMPI VIOLAZIONE SEGNALAZIONE (segnalazione SI) (segnalazione NO) (BREACH) DISTRUZIONE Un insieme di dati Dati non recuperabili Guasto non Rottura di una personali, a seguito o provenienti da riparabile chiavetta USB o di incidente o azione procedure non dell’hard disk di un hard disk fraudolenta, non è ripetibili contenente uno che non contiene più nella disponibilità o più referti che, dati personali del Titolare. In caso Rientrano tra i casi di in violazione al originali (in unica di richiesta del dato segnalazione i soli dati regolamento, copia) da parte appartenenti a erano salvati dell'interessato non documenti definitivi localmente Distruzione di un sarebbe possibile documento, ad produrlo. Incendio di esempio a causa archivio cartaceo di un guasto di sistema, durante Distruzione di la sua stesura documenti nell'apposito originali applicativo PERDITA Un insieme di dati Dati non recuperabili Smarrimento di Smarrimento di un personali, a seguito di relativi a più utenti, o chiavetta USB documento, ad incidente o azione relativi a tipologie di contenente dati esempio a causa di fraudolenta, non è più dato la cui originali un guasto di nella disponibilità del indisponibilità lede i sistema, appena Titolare, ma potrebbe diritti fondamentali Smarrimento di avvenuta la stampa essere nella dell'interessato o fascicolo cartaceo disponibilità di terzi relativi a tipologie di del personale o (lecitamente o dato la cui dell'utente illecitamente). In caso divulgazione di richiesta di dato da conseguente alla parte dell’interessato perdita possa ledere i non sarebbe possibile diritti fondamentali produrlo, ed è dell'interessato possibile che terzi Rientrano tra i casi di possano avere segnalazione i soli dati impropriamente appartenenti a accesso al dato. documenti definitivi MODIFICA Un insieme di dati Modifiche sistematiche Guasto tecnico che Guasto tecnico che personali, a seguito di su più casi altera parte dei altera parte dei incidente o azione contenuti di un contenuti di un fraudolenta, è stato Rientrano tra i casi di sistema, sistema, rilevato e irreversibilmente segnalazione isoli dati compromettendo sanato tramite modificato, senza appartenenti a anche i backup operazioni di possibilità di documenti definitivi recovery ripristinare lo stato Azione involontaria, originale. In caso di o fraudolenta, di un Azione involontaria richiesta del dato da utente che porta di un utente che parte dell’interessato alla alterazione di porta alla non sarebbe possibile dati in modo non alterazione di dati produrlo con certezza tracciato e tracciata e che non sia stato irreversibile reversibile alterato. Modifica di un documento non ancora validato dal DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. Pagina N° 27 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE proprio autore. DIVULGAZIONE Un insieme di dati Rientrano tra i casi di Malfunzionamento Un dipendente sul NON personali (e segnalazione i soli dati del sistema di proprio sistema AUTORIZZATA riconducibili appartenenti a differenziazione seleziona l'utente all'individuo documenti definitivi e delle credenziali Mario Rossi ma direttamente o già contrassegnati da un interviene indirettamente), a livello minimo di Consegna di un CD sull'utente Luca seguito di incidente o validazione. con dati di un Bianchi., inserisce i azione fraudolenta, utente ad altra dati e li invia al viene trasmesso a struttura senza gestionale. terze parti senza il autorizzazione consenso Infezione virale di dell'interessato o in un PC con un virus violazione del che dalla scheda regolamento tecnica non dell’organizzazione trasmette dati su internet Trasmissione non autorizzata di un documento non ancora validato dal proprio autore. ACCESSO NON Un insieme di dati Rientrano tra i casi di Accesso alla rete Accesso da parte di AUTORIZZATO personali (e segnalazione isoli dati aziendale da un utente a dati di riconducibili appartenenti a persone esterne sua pertinenza, a all'individuo documenti definitivi e all’organizzazione cui segue un uso direttamente o già contrassegnati da un che sfruttano improprio degli indirettamente) sono livello minimo di vulnerabilità di stessi stati resi disponibili validazione. sistemi per un intervallo di Accesso non tempo a persone Accesso da parte di autorizzata di un (anche Autorizzati dal un utente a dati documento non Titolare) non titolati non di sua ancora validato dal ad accedere al dato pertinenza a proprio autore. secondo principio di seguito di pertinenza e non configurazione eccedenza, 0 errata dei permessi secondo i di accesso ad un regolamenti sistema. dell’organizzazione DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. Pagina N° 28 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE INDISPONIBILIT | Un insieme di dati Indisponibilità dei dati Infezione da Indisponibilità dei A' personali, a seguito personali oltre i tempi ransomware che dati personali a TEMPORANEA di incidente, azione definiti a livello comporta la causa della DEL DATO fraudolenta o aziendale temporanea manutenzione involontaria, è non perdita di programmata del disponibile per un disponibilità dei sistema in corso periodo di tempo che dati e questi non lede i diritti possono essere dell'interessato. ripristinati dal backup Cancellazione accidentale dei dati da parte di una persona non autorizzata Perdita della chiave di decrittografia di dati crittografati in modo sicuro irraggiungibilità di un sito di stoccaggio delle cartelle cliniche poste in montagna per isolamento neve Un data breach, quindi, non è solo un attacco informatico, ma può consistere anche in un accesso abusivo, un incidente (es. un incendio o una calamità naturale), nella semplice perdita di un dispositivo mobile di archiviazione (es. chiavetta USB, disco esterno), nella sottrazione di documenti con dati personali (es. furto di un notebook di un dipendente). | casi di data breach per le casistiche già descritte si estendono dai dati digitali, ai documenti cartacei o su altri supporti analogici. La comunicazione involontaria di documenti, o in generale di dati, che non abbiano vero senso compiuto/riconducibilità verso l'interessato non è considerato data breach, ma è considerato un normale errore procedurale. AI fine di schematizzare ancora meglio lo schema del ragionamento prendiamo in prestito, dallo studio legale Delli Ponti, questo diagramma: DOCUMENTO ELABORATO DAL D.P.0. : Luca Corbellini c/o Studio AG.I.COM. S.r.l. Pagina N° 29 DOCUMENTO DELLE MISURE A TUTELA DEI DATI DELLE PERSONE ll Titolare non deve notificare al IlTitolare deve effettuare la notifica al l Titolare deve notificare la violazione Garante 0 dare comunicazione agli Garante al Garante e dare anche comunicazione interessati. agli interessati Egli deve solo tenere traccia dell'evento e dell'analisi del rischio AN voneica ars AAcomunicazione (ar24): effettuata per future consultazioni Il Titolare deve notificare la violazione La comunicazione deve comprendere al Garante senza indebito ritardo, almeno: comunque entro 72 ore. - nome e recapiti del DPO (o altro Questa contiene almeno: punto rilevante del contatto); - descrizione della violazione dei dati, - le probabili conseguenze della compresi il numero delle persone violazione dei dati; Interessate e le categorie di dati; - eventuali misure adottate dall - nome erecapiti del DPO (0 altro titolare per porre rimedio o attenuare punto rilevante del contatto); l'infrazione. - probabili conseguenze della violazione dei dati; e - eventuali misure adottate dall MODALITÀ: comunicazione diretta con titolare per porre rimedio o attenuare | soggetti interessati (quali email, SMS frazione. 0 messaggi diretti); maniera chiara e trasparente La segnalazione di un data breach all'Auto Garante deve contenere alcune informazioni fondamentali Di seguito le riportiamo per esteso (verificare sul sito del Garante la presenza di modulistica ad hoc): b. Sede del Titolare: . Persona fisica addetta alla comunicazione: d. Funzione rivesti 20 email per eventuali comunicazioni: £. Recapito telefonico per eventuali comunicazioni: 2. Natura della comunicazione: a. Nuova comunicazione (inserire contatti per eventuali chiarimenti, se diversi da quelli sub 1.}: b. Seguito di precedente comunicazione (inserire numero di riferimento): b.1. Inserimento ulteriori «eil c. In un tempo non ancora determinato d.È poss le che ancora in corso 5. Dove è avvenuta la violazione dei dati? (Specificare se smarrimento di dispositivi o supporti} 1. lettura (presumibilmente i dati non sono stati copiati) 2.2. copia fi dati sono ancora presenti sui sistemi el Titolare) 3. alterazione lati sono presen istemi ma sono stati altera! ne dati non sono el Titolare e non li ha neppure l'autore della violazione) .5 furto (i dati non sono più sui sistemi del Titolare e li ha l'autore della violazione) DOCUMENTO ELABORATO DAL [omissis] c/o Studio AG.I.COMI Sir. Pagina N° 30 a.6. altro [specificare] b. dispositivo oggetto della violazione: b.1. computer b.2. dispositivo mobile b.3. documento cartaceo b.4. file o parte di un file b.5. strumento di backup b.6. rete b.7. altro [specificare] 7. Sintetica descrizione dei sistemi di elaborazione o di memorizzazione dei dati coinvolti, con indicazione della loro ubicazione: 8. Quante persone sono state colpite dalla violazione di dati personali? a. [numero esatto] persone b. Circa [numero] persone c. Un numero (ancora) sconosciuto di persone 9. Che tipo di dati sono coinvolti nella violazione? a. Dati anagrafici b. Numeri di telefono (fisso o mobile) c. Indirizzi di posta elettronica d. Dati di accesso e di identificazione (user name, password, customer ID, altro) e. Dati di pagamento (numero di conto corrente, dettagli della carta di credito, altro) f. Altri dati personali (sesso, data di nascita/età, ...), dati sensibili e giudiziari g. Ancora sconosciuto h. Altro [specificare] 10. Livello di gravità della violazione di dati personali (secondo le valutazioni del Titolare): a. Basso/trascurabile b. Medio c. Alto 11. Misure tecniche e organizzative applicate ai dati colpiti dalla violazione: 12. La violazione è stata comunicata anche a contraenti (o ad altre persone interessate)? a. Sì, è stata comunicata il .... b. No, perché [specificare] 13.Qual è il contenuto della comunicazione ai contraenti (o alle altre persone interessate)? [riportare il testo della notificazione] 14. Quale canale è utilizzato per la comunicazione ai contraenti (o alle altre persone interessate)? 15. Quali misure tecnologiche e organizzative sono state assunte per contenere la violazione dei dati e prevenire simili violazioni future? 16. La violazione coinvolge contraenti (o altre persone interessate) che si trovano in altri Paesi EU? a. No b. Si 17. La comunicazione è stata effettuata alle competenti autorità di altri Paesi EU? a. No b. Si, (specificare) Come accade per tutti i sistemi basati sul concetto di “rischio” e di “valutazione del rischio”, la documentazione degli episodi che hanno determinato un danno (violazione dei dati — data breach) è fondamentale al fine di adottare precauzioni (tecniche o comportamentali) che possano scongiurare il verificarsi nuovamente di quell'episodio. L’Art. 33 del G.D.P.R. pone l’attenzione su questa esigenza, il metodo migliore per adempiere a questa regola ma anche per poter comprovare, in caso di ispezione, tale adempimento consiste nella tenuta di un registro dei data breach (già informazioni essenziali: 1. Dettagli relativi alla violazione (cause, luogo, tipologia di dati violati); 2. Effetti e conseguenze della violazione; 3. Piano di intervento predisposto dal Titolare; 4. Le motivazioni delle decisioni assunte a seguito del data breach nei casi in cui: a. Il Titolare ha deciso di non procedere alla notifica; b. Il Titolare ha ritardato nella procedura di notifica; c. Il Titolare ha deciso di non notificare il data breach agli interessati. XI. LA TUTELA DEI DIRITTI DEGLI INTERESSATI (PROCEDURA) Occorre definire le modalità e le responsabilità per l'adozione di misure adeguate a fornire all'interessato tutte le informazioni da egli richieste secondo quanto previsto dalla normativa, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. La procedura è applicabile a tutte le attività di trattamento dei dati personali svolte, con particolare riferimento alla gestione di tutti gli archivi/documenti cartacei e di tutti i sistemi informatici attraverso cui vengono trattati dati personali degli interessati (clienti, fornitori, altri soggetti terzi, ecc.), anche con il supporto di fornitori esterni. Le richieste degli interessati possono pervenire unicamente tramite i canali previsti nell’informativa privacy fornita e possono riguardare: - accesso ai dati; - rettifica dei dati; - cancellazione dei dati (diritto all'oblio); - limitazione del trattamento; - portabilità dei dati; - esercizio del diritto di opposizione; - esercizio del diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato. Il Titolare, in base al contenuto della richiesta, provvede di conseguenza ad adempiere alla richiesta, se basata su presupposti legittimi. Eventuali altri casi, incluse richieste che facciano riferimento al Titolare, saranno gestiti caso per caso. identificazione dell’interessato e l'elaborazione di una risposta e, in caso contrario le acquisisce. In particolare si intendono “essenziali”: - nome e cognome; - estremi di un documento in corso di validità; - oggetto della richiesta; - data di presentazione. L'Unità Organizzativa o la Struttura competente per la risposta la prende in carico e la elabora. La risposta fornita all'interessato deve essere "intelligibile", concisa, trasparente e facilmente accessibile, oltre a utilizzare un linguaggio semplice e chiaro. La risposta all'interessato va data con lo stesso strumento utilizzato da quest’ultimo (es. email) salvo diversa indicazione dell’interessato stesso. Il termine per la risposta all'interessato è, per tutti i diritti, di 1 mese, estendibile fino a 3 mesi in casi di particolare complessità; è comunque necessario dare un riscontro all'interessato entro 1 mese dalla richiesta, anche in caso di diniego. Qualora il Titolare verifichi la impossibilità o la non applicabilità di una risposta decide se applicare la deroga alla risposta. Tali casi sono: - impossibilità di identificare l'interessato; - carattere manifestamente infondato o eccessivo della richiesta inviata da parte dell'interessato, in particolare per via del carattere ripetitivo della stessa; oppure, come previsto dalla normativa, se: - la richiesta ricade nel principio di tutela del diritto alla libertà d'espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria - i dati personali sono trattati a fini di ricerca scientifica o storica - i dati personali sono archiviati a fini meramente statistici - i dati personali sono trattati per finalità di archiviazione nel pubblico interesse. Nel caso in cui la richiesta debba essere respinta, la risposta dovrà contenere i motivi dell'inottemperanza e le indicazioni sulla possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale. Per ogni richiesta ricevuta viene compilato il “Registro delle richieste” nel quale sono riportati gli estremi della richiesta: - numero progressivo; - data della richiesta; - data di ricezione della richiesta, se diversa dalla data della richiesta; - canale di comunicazione (email, PEC, posta comune, posta raccomandata); - nominativo dell'interessato; - tipo di richiesta: o accesso ai dati; o rettifica dei dati; o cancellazione dei dati (diritto all'oblio); o limitazione di trattamento; o portabilità dei dati; o esercizio del diritto di opposizione; o esercizio del diritto di non essere sottoposto a una decisione basata sul trattamento automatizzato; o altro. Unità organizzative / strutture coinvolte nella gestione della richiesta; - Completezza della richiesta (SI/NO); - Fondatezza della richiesta (SI/NO); - Complessità della richiesta (SI/NO); - Gestione della prima risposta: data, canale di comunicazione, oggetto; - Oneri economici per la gestione della richiesta (in ore / persona); - Stato della richiesta (in corso/chiusa); - Data di chiusura della gestione della richiesta; - [omissis] richiesta riguardi l'accesso ai dati personali, una volta confermata la completezza e la fondatezza della richiesta stessa, il Titolare con il supporto della Struttura interessata, e dopo verifica che l'ottenimento della copia possa ledere i diritti e le libertà altrui, predispone una copia dei dati personali oggetto di trattamento. Oltre quanto indicato in precedenza, nel caso specifico, si applicano le seguenti regole: La riposta contiene la conferma che sia o meno in corso un trattamento di dati personali che riguardano l’interessato e, in tal caso, contiene i dati personali e le seguenti informazioni: 1. le finalità del trattamento; 2. le categorie di dati personali in questione; 3. i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; 4. quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; 5. l'esistenza del diritto dell'interessato di chiedere al Titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; 6. il diritto di proporre reclamo a un'autorità di controllo; 7. qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine; 8. l'esistenza di un processo decisionale automatizzato, compresa la profilazione e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato; 9. qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, esistenza di garanzie adeguate relative al trasferimento. Qualora la richiesta riguardi la rettifica dei dati, confermata la completezza e la fondatezza della richiesta stessa, il Titolare trasmette agli uffici interessati un elenco dei dati personali inesatti e/o dei dati personali incompleti, in forma scritta, preferibilmente a mezzo email. Terminate le operazioni di rettifica/integrazione, gli uffici interessati comunicano al Titolare il completamento delle attività, in forma scritta, preferibilmente a mezzo email. Le attività di rettifica/integrazione vanno completate senza ingiustificato ritardo. Secondo le modalità indicate, il Titolare, con il supporto degli uffici interessati, predispone la risposta alla richiesta dell'interessato. Il Titolare, con il supporto degli uffici interessati, comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche effettuate, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. La risposta all'interessato contiene i nominativi di tali destinatari, qualora l'interessato lo richieda. Qualora la richiesta riguardi la cancellazione dei dati, confermata la completezza e la fondatezza della richiesta stessa, il Titolare trasmette agli uffici interessati un elenco dei dati personali da cancellare, in forma scritta, preferibilmente a mezzo email. Terminate le operazioni di cancellazione, le funzioni competenti comunicano al Titolare stesso il completamento delle attività, in forma scritta, preferibilmente a mezzo email. Secondo le modalità indicate, il Titolare, con il supporto degli uffici interessati, dopo aver verificato la fondatezza della richiesta predispone la risposta alla richiesta dell'interessato, in caso contrario, comunica il respingimento della richiesta. Per valutare la fondatezza della richiesta stessa, il Titolare, verifica preliminarmente se sussiste uno dei motivi seguenti: - i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; - l'interessato revoca il consenso su cui si basa il trattamento e non sussiste altro fondamento giuridico per il trattamento; - l'interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento per finalità di marketing diretto, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto; - i dati personali sono trattati illecitamente; - i dati personali devono essere cancellati per adempiere ad un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetta il Titolare del trattamento; - i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione ai minori. Per valutare il respingimento della richiesta stessa il Titolare verifica se il trattamento dei dati è necessario per uno dei motivi seguenti: - per l'esercizio del diritto alla libertà di espressione e di informazione; - per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il Titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il Titolare del trattamento; - per motivi di interesse pubblico nel settore della sanità pubblica; - a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, nella misura in cui la cancellazione rischia di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; - per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Il Titolare, con il supporto degli uffici interessati, comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali cancellazioni effettuate, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. La risposta all'interessato contiene i nominativi di tali destinatari, qualora l'interessato lo richieda. In particolare, se il Titolare del trattamento ha reso pubblici i dati personali oggetto della richiesta, esso è obbligata a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione, per cui il Titolare stesso identifica le misure per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato e per garantire la cancellazione di qualsiasi link, copia o riproduzione dei suoi dati personali. Qualora la richiesta riguardi la limitazione del trattamento dei dati, confermata la completezza e la fondatezza della richiesta stessa, il Titolare, trasmette agli uffici interessati un elenco dei dati personali di cui limitare il trattamento, in forma scritta, preferibilmente a mezzo email, e concorda con esse le misure per contrassegnare il dato personale in attesa di determinazioni ulteriori. Terminate le operazioni di contrassegno e limitazione del trattamento, gli uffici interessati comunicano al Titolare il completamento delle attività, in forma scritta, preferibilmente a mezzo email. Se il Titolare del trattamento ha reso pubblici i dati personali oggetto della richiesta, essa è obbligata a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione, per cui identifica le misure per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato e per garantire la cancellazione di qualsiasi link, copia o riproduzione dei suoi dati personali. Secondo le modalità indicate, il Titolare, con il supporto degli uffici interessati, predispone la risposta alla richiesta dell'interessato. Il Titolare, con il supporto degli uffici interessati, comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali limitazioni del trattamento effettuate, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. La risposta all'interessato contiene i nominativi di tali destinatari, qualora l'interessato lo richieda. Se il trattamento è limitato, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell'interessato o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un'altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell'Unione o di uno Stato membro. Il Titolare, con il supporto degli uffici interessati, verifica che, per i dati per i quali siano in corso delle limitazioni di trattamento, siano attuati solo i trattamenti consentiti, fino a revoca delle limitazioni. Il Titolare, con il supporto delle funzioni competenti, identifica i termini per la revoca della limitazione richiesta e ne informa l'interessato prima che detta limitazione sia revocata. Qualora la richiesta riguardi la portabilità dei dati, confermata la completezza e la fondatezza della richiesta stessa, il Titolare trasmette agli uffici interessati un elenco dei dati personali di cui effettuare la portabilità, in forma scritta, preferibilmente a mezzo email. Terminate le operazioni di portabilità, gli uffici interessati comunicano al Titolare stesso il completamento delle attività, in forma scritta, preferibilmente a mezzo email. Il diritto di ottenere la portabilità dei dati non deve ledere i diritti e le libertà altrui. Secondo le modalità indicate, il Titolare, con il supporto degli uffici interessati, predispone la risposta alla richiesta dell'interessato. Nel caso specifico, si applicano le seguenti regole. Per valutare la fondatezza della richiesta stessa, il Titolare, verifica se sussistano entrambe le condizioni seguenti: - il trattamento si basi sul consenso, anche in riferimento a dati sensibili, o su un contratto; - il trattamento sia effettuato con mezzi automatizzati. Inoltre, sono portabili i dati personali che: - riguardano l’interessato, e - sono stati forniti dall'interessato a un Titolare, intendendo sia i dati forniti consapevolmente e attivamente dall'interessato (ad esempio indirizzo postale, nome utente, età), sia i dati osservati forniti dall'interessato attraverso la fruizione di un servizio o l'utilizzo di un dispositivo (ad esempio cronologia delle ricerche effettuate dall’interessato e dati relativi al traffico). L'interessato può continuare a fruire e beneficiare del servizio offerto dal Titolare anche dopo che sia compiuta un'operazione di portabilità. La portabilità non comporta la cancellazione automatica dei dati conservati nei sistemi del Titolare, e non incide sul periodo di conservazione previsto originariamente per i dati oggetto di trasmissione. Il diritto alla portabilità non si applica al trattamento necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il Titolare del trattamento. | dati oggetto di portabilità sono riportati su un formato strutturato, di uso comune e leggibile da dispositivo automatico; ove possibile, tale formato dovrebbe essere interoperabile. La richiesta dell'interessato può comprendere la trasmissione diretta dei dati personali da un Titolare del trattamento all'altro, se tecnicamente fattibile. In tal caso, il Titolare, coinvolge le funzioni competenti per identificare le modalità per tale trasmissione diretta. Qualora la richiesta riguardi l'esercizio del diritto di opposizione, confermata la completezza e la fondatezza della richiesta stessa, il Titolare, trasmette alle funzioni competenti un elenco dei dati personali di cui interrompere il trattamento, compresa la profilazione, in forma scritta, preferibilmente a mezzo email. Terminate le operazioni di interruzione del trattamento, le funzioni competenti comunicano al Titolare il completamento delle attività, in forma scritta, preferibilmente a mezzo email. Secondo le modalità indicate, il Titolare, con il supporto delle funzioni competenti, predispone la risposta alla richiesta dell'interessato. Oltre quanto indicato, nel caso specifico, si applicano le seguenti regole. Nel contesto dell'utilizzo di servizi della società dell'informazione, l'interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche. Per valutare la fondatezza della richiesta stessa, il Titolare, verifica se la stessa riguarda dati personali che sono trattati per finalità di marketing diretto, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto, caso in cui l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità. La richiesta è fondata anche qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici, salvo se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico. Per valutare il respingimento della richiesta stessa, il Titolare, verifica l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica oa fini statistici, la richiesta viene respinta se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico. Il Titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, inclusi il diritto di ottenere l'intervento umano (non automatizzato) da parte del Titolare del trattamento, di esprimere la propria opinione e di contestare la decisione. Qualora la richiesta riguardi esercizio del diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, confermata la completezza e la fondatezza della richiesta stessa, secondo le modalità indicate, il Titolare, con il supporto degli uffici interessati, predispone la risposta alla richiesta dell'interessato. Oltre quanto indicato nel caso specifico, si applicano le seguenti regole. Per valutare il respingimento della richiesta stessa, il Titolare, verifica che la decisione sia stata presa al verificarsi di una delle seguenti condizioni: - sia necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un Titolare del trattamento; - sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il Titolare del trattamento); - si basi sul consenso esplicito dell'interessato. Comunque, tranne che nel secondo caso, il Titolare, verifica che siano in atto misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, almeno il diritto di ottenere l'intervento umano da parte del Titolare del trattamento, di esprimere la propria opinione e di contestare la decisione. Qualora i dati personali oggetto della richiesta siano trattati da uno o più responsabili del trattamento, il Titolare del trattamento definisce contrattualmente con i responsabili del trattamento le modalità con le quali essi assicurano l'obbligo di assistere il Titolare del trattamento con misure tecniche e organizzative adeguate nel dare seguito alle richieste di esercizio dei diritti dell'interessato, di cui il Titolare del trattamento resta legalmente responsabile. DOCUMENTO XII FORMAZIONE DEGLI AUTORIZZATI Al Titolare del trattamento dei dati è affidato il compito di verificare annualmente le necessità di formazione del personale autorizzato ad eseguire i compiti indicati nella lettera di autorizzazione. Per ogni autorizzato al trattamento il Titolare della Protezione dei Dati definisce, sulla base dell’esperienza e delle sue conoscenze ed in funzione anche di eventuali opportunità offerte dall'evoluzione tecnologica, se è necessaria una formazione specifica ulteriore e la organizza: Classi di incarico o tipologie Descrizione sintetica degli interventi formativi x 4 di autorizzati interessate CORSO DI FORMAZIONE PER SOGGETTI DEL TRATTAMENTO Oggetto : Informazione sul contenuto e disposizioni del Regolamento UE 2016/679 Uso delle CREDENZIALI DI ACCESSO ALLA RETE TITOLARE DEL TRATTAMENTO Concetti di “IGIENE INFORMATICA” RESPONSABILE DEL TRATTAMENTO Rilevanza legale del BACK- [omissis] Documento delle Misure a Tutela dei Dati delle [omissis] Natura giuridica della “LETTERA DI AUTORIZZAZIONE” COORDINATORI DI PLESSO Analisi dei rischi collegati alle attività proprie della categoria Organizzazione e procedure di sicurezza CORSO DI FORMAZIONE PER SOGGETTI DEL TRATTAMENTO Oggetto : Informazione sul contenuto e disposizioni del Regolamento UE 2016/679 DOCENTI Cenni di diritto scolastico (potestà genitoriale, uso delle immagini etc.) ADDETTI ALLA SICUREZZA (D.Lgs 81/08) Il Documento delle Misure a Tutela dei Dati delle Persone COMMISSIONE FORMAZIONE CLASSI MEMBRI Natura giuridica della “LETTERA DI AUTORIZZAZIONE” COMITATO DI VALUTAZIONE Analisi dei rischi collegati alle attività proprie della categoria COLLABORATORI SCOLASTICI Organizzazione e procedure di sicurezza XII. REVISIONI Il presente Documento delle Misure a Tutela dei Dati delle Persone, dovrà essere revisionato annualmente. Titolare del trattamento, in seguito all'acquisizione dell'incarico di Responsabile della Protezione dei Dati Personali (D.P.O.— R.P.D.) sulla base delle informazioni acquisite in uno o più colloqui intercorsi con il personale incaricato dal titolare del trattamento dei dati, a descrivere l’attività svolta negli uffici. Il Responsabile della Protezione dei Dati non è responsabile per l'esattezza delle informazioni fornite non altrimenti verificabili. Il Documento delle Misure a Tutela dei Dati delle Persone viene letto e confermato in ogni suo punto. Data f12/to/2022 Responsabile della Protezione dei Dati Personali (D.P.O.)