ea bo eb. M-LVI- é604/01/ e il Data Controller CRISTIANO ROSSI devono valutare anche il rischio informatico che può essere definit come il rischio di danni economici (rischi diretti) e di reputazione (rischi indiretti) derivanti dall'uso dell tecnologia, intendendosi con ciò sia i rischi impliciti nella tecnologia (i cosiddetti rischi di natura endogena) che rischi derivanti dall'automazione, attraverso l'uso della tecnologia, di processi operativi aziendali (i cosiddeti rischi di natura esogena). : Vv Nel GDPR un chiaro riferimento alle misure di sicurezza già si trova nell'art. 24 quando si chiarisce che il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado dimostrare, che il trattamento dei dati personali è effettuato conformemente al Regolamento (principio di Le accountability). - 675E000 - OTTODOLOHd OB SIDIY A questo riguardo ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO in accordo con i propri consulenti ha delineato negli anni una protezione perimetrale che posa garantire standard adeguati di sicurezza e a t proposito dichiara che il patrimonio aziendale relativo alla sicurezza è elencato qui sotto. Antivirus Installati antivirus centralizzato con monitoraggio attività file Firewall Installati firewall software Crittografia in Essere nessuna crittografia N- LI - 30/01/31 Dispositivi USB aziendali dispositivo usb semplice Sistemi di backup BACKUP PER SERVIZI IN CLOUD Frequenza backup: giornalmente Modalità di ripristino: non previsto Tempi di ripristino: non previsto Tipo backup: sistema di backup in cloud GESTITO DALLE AZIENDE CHE FORNISCONO SERVIZI IN CLOUD pag. 5 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 BACKUP SU HD ESTERNO Frequenza backup: GIORNALMENTE Modalità di ripristino: A RICHIESTA Tempi di ripristino: IN BASE ALLE DIMENSIONI DEL FILE Tipo backup: sistema di backup locale commerciale GESTITO DALLE AZIENDE CHE FORNISCONO SERVIZI IN CLOUD N- LI- 406/01/ D O Data processor esterno SISPC - SISTEMA INFORMATIVO SANITARIO PREVENZIONE COLLETTIVÉ® DELLA REGONE TOSCANA o Permessi relativi ai trattamenti aziendali elettronici/cartacei: g I Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio - L'I- TT0%/OL/ZL - 6758000 - OTTODOLOHd OULSIDAY - ESZIIEY Stato Vaccinale degli Studenti SI SI SI SI SI SI SI SI SI SI SI e Contatti COVID-19 pag. 11 di 61 ISTITUTO COMPRENSIVO STATALE Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 La figura dell' "incaricato" del trattamento (ex art. 30 Codice), il regolamento non ne esclude la presenza in quanto fa riferimento a "persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare del responsabile" in particolare, art. 4, n. 10, del regolamento. Quindi anche se il GDPR non prevede la figure autonoma dell'incaricato, questo non vieta che se il titolare o il responsabile del trattamento, oltre a fare tutt83 quello che il regolamento espressamente prevede per "le persone autorizzate al trattamento dei dati persona sotto l'autorità diretta del titolare o del responsabile", vogliono anche fare (su base volontaria) una ulterior8 responsabilizzazione di queste persone attraverso una specifica lettera di attribuzione di incarico e identificare queste persone utilizzando il termine "Incaricato" lo possono fare. Questa modalità operativa potrebbe anch essere considerata una buona prassi volta a poter ulteriormente sostenere la dimostrabilità della compliance dij GDPR. Ma questa facoltà non deve essere intesa come un obbligo normativo come lo è invece per il Codicf? Privacy la nomina a incaricato prevista dall' art. 30, che al punto 2 prevede che la designazione dell'incaricato sia effettuata per iscritto e che nell'atto di nomina si debba individuare puntualmente l'ambito del trattament SID consentito. L'azienda ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO in accordo con quanto affermato dal Garant per la protezione dei dati italiano ha deciso di nominare le figure dei data Handler, ovvero coloro che gestiscon e trattano il dato per nome dell'azienda. Si premette che ogni singolo individuo persona fisica o giuridica hgg firmato e ricevuto le lettere di incarico, i mansionari e la policy privacy. LI - #T0G/O LL - 675E000 - OTIODOLO Data handler UGO ANTONINO Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio Data handler LAILA BONICHI Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazioni AREA ALUNNI/ REGISTRO SI SI SI SI SI SI SI SI SI SI SI ELETTRONICO AREA PROTOCOLLO SI SI SI SI SI SI SI SI SI SI SI Data handler DANIELE CACIOLI Permessi relativi ai trattamenti aziendali elettronici/cartacei: pag. 12 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazione AREA ALUNNI/ REGISTRO SI SI SI SI SI SI SI SI SI SI SI ELETTRONICO AREA ECONOMATO E SI SI SI SI SI SI SI SI SI SI SI BILANCIO AREA PERSONALE/ SI SI SI SI SI SI SI SI SI SI SI RETRIBUZIONI - L'I- #T0S/0 1/31 - 6r5E000 - OTIOGOLOHd OULSIDIY - ESZIIBYV - 800EE89IHY AREA PROTOCOLLO SI SI SI SI SI SI SI SI SI SI SI Data handler ANNA FARESE Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio Data handler SUSANNA LORENI Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio Data handler ANNA MEZZACAPO Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio AREA ALUNNI/ REGISTRO SI SI SI SI SI SI SI SI SI SI SI ELETTRONICO AREA PERSONALE/ SI SI SI SI SI SI SI SI SI SI SI RETRIBUZIONI AREA PROTOCOLLO SI SI SI SI SI SI SI SI SI SI SI Data handler TIZIANA NENCETTI | Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazio AREA ALUNNI/ REGISTRO SI SI SI SI SI SI SI SI SI SI SI ELETTRONICO AREA PERSONALE/ SI SI SI SI SI SI SI SI SI SI SI RETRIBUZIONI AREA PROTOCOLLO SI SI SI SI SI SI SI SI SI SI SI Data handler CRISTIANO ROSSI Permessi relativi ai trattamenti aziendali elettronici/cartacei: Trattamento Raccolta Inserimento Registrazione Modifica Cancellazione Distruzione Lettura Consultazione Creazione Stampa Comunicazione INFORMATIVA COVID-19 SI NO NO NO NO NO NO NO NO NO NO pag. 13 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 AREA ALUNNI/ REGISTRO SI SI SI SI ELETTRONICO AREA ECONOMATO E SI SI SI SI BILANCIO AREA PERSONALE/ SI SI SI SI RETRIBUZIONI AREA PROTOCOLLO SI SI SI SI - L'I- 6606/0L/L - 675000 - OTIODOLOHd OHLSIDIY - ESZIIEV - 800EE89IHVY Stato Vaccinale degli Studenti SI SI SI SI e Contatti COVID-19 pag. 14 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 NOMINE INCARICATI L'azienda ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO per essere totalmente compliant alle direttive del nuovo regolamento europeo della privacy ha deciso di fare le seguenti nomine delle figure aziendali previst& dalla normativa: = N-LI- 606/01/GHE OULSI Il Data Processor e il Data Controller vigilano per garantire agli interessati che i dati saranno trattati sol per la finalità dichiarata e solo per la parte strettamente necessaria al trattamento. Si impegnano inoltr entro i limiti della ragionevolezza, a modificare e correggere tutti i dati che risultano nel frattempo diver dagli originali, a tenerli sempre aggiornati e a cancellare tutti quei dati che risultano eccedenti trattamento dichiarato. Il trattamento segue i seguenti criteri di liceità: Interesse pubblico o esercizio di pubblici poteri. Per le seguenti motivazioni: Il sistema si è reso necessario ai sensi della Legge 4 Dicembre 2017 n. 172 di conversione del Decret3 Legge 16 Ottobre 2017 n. 148, della circolare ministeriale congiunta MIUR MINSAL prot. 467 e 2166 del 27/2/2018, del D.L. 9 marzo 2020, n. 14, dell'ordinanza del presidente della Giunta Regionale n. 92 déP 15 Ottobre 2020 . i D Articolo 8 (dati riguardanti i minori): o Nel trattamento "Stato Vaccinale degli Studenti e Contatti COVID-19" vengono trattati dati riguardanti & minori: N L'ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO , trattando dati di minori tramite il trattamentd_ "Stato Vaccinale degli Studenti e Contatti COVID-19", in osservanza dell'articolo 8 del GDPR si impegna* a comunicare eventuali modifiche al trattamento ai tutori degli Studenti. Cc Articolo 9 (dati sanitari, biometrici e giudiziari): Nel trattamento "Stato Vaccinale degli Studenti e Contatti COVID-19" non vengono trattati dati sanitari, biometrici e giudiziari Durata del trattamento: Il trattamento "Stato Vaccinale degli Studenti e Contatti COVID-19" ha una durata indefinibile: pag. 37 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 L'ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO dichiara il trattamento "Stato Vaccinale degli Studenti e Contatti COVID-19" con data indefinita in quanto continuerà a tenerlo in vita per poter proseguire la propria attività. Il Data controller e il Data processor vigileranno affinché si possa garantire agli interessati che, una volta raggiunte le finalità del presente trattamento, i dati verranno cancellati. e Profilazione: N- LI- 406/01/ SCUOLE SICURE - (sistema di backup: nessun sistema di backup) DI CODICE FISCALE DEGLI UTENTI (Dati personali) - NOME E COGNOME DEGLI UTENTI (Dati personali) 7} NUMERO CELLULARE DEGLI UTENTI (Dati personali) 3 O Trattamento "Stato Vaccinale degli Studenti e Contatti COVID-19" 3 SISPC - (sistema di backup: BACKUP PER SERVIZI IN CLOUD) o CLASSE FREQUENTATA (SOLO STUDENTI) (Dati personali) - CODICE FISCALE DEGLI INTERESSATI (Datb personali) - COGNOME E NOME DEGLI INTERESSATI (Dati personali) - DATA, LUOGO DI NASCITA, SESS N-LI- ZZ0Z/01/ZL - 64SE000 - ORCÌ DEGLI INTERESSATI (Dati personali) - E-MAIL DEGLI INTERESSATI (NON OBBLIGATORIO) (Dati persona - TELEFONO DEGLI INTERESSATI (Dati personali) pag. 40 di 61 ISTITUTO COMPRENSIVO STATALE P.zza S.Francesco, N.1 Lucignano (AR) Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 PRIVACY IMPACT ASSESSMENT L'azienda ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO espone qui di seguito le valutazioni di impatto sulla privacy dei trattamenti sopra elencati. ZIIEV - 800EE89IHY PRIVACY IMPACT ASSESSMENT TRATTAMENTO SERVIZIO PAGO IN RETE L'ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO con sede in P.ZZA S.FRANCESCO,1, 52046 D LUCIGNANO (AR), nell'ottica di assolvimento dell'obbligo del Privacy Impact Assessment ovvero dell'articolo 35 della GDPR dichiara quanto segue: LOHd OHISIDAY ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO effettua il seguente trattamento: SERVIZIO PAGO | RETE meglio descritto nel registro dei trattamenti Lo scopo è quello di: L'ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO, tramite il trattamento "SERVIZIO PAGO IN RETEQ tratta i sopraindicati dati per. LA GESTIONE DEGLI AVVISI TELEMATICI ALL'INTERNO DEL SERVIZI® "PAGO IN RETE" PER I DIVERSI SERVIZI EROGATI DALL’ISTITUTO, (TASSE SCOLASTICHE, VIAGGI ® OTIOD ISTRUZIONE ECC).. Il Data Processor e il Data Controller vigilano per garantire agli interessati che i dati saranno trattati solo per | finalità dichiarata e solo per la parte strettamente necessaria al trattamento. Si impegnano inoltre, entro i limi della ragionevolezza, a modificare e correggere tutti i dati che risultano nel frattempo diversi dagli originali, SD tenerli sempre aggiornati e a cancellare tutti quei dati che risultano eccedenti al trattamento dichiarato. © | dati raccolti necessitano per la gestione del servizio Pago in Rete D ll O IS Oo G essenziale e indispensabile per il corretto perseguimento dell'oggetto sociale cosi come la sua proporzionalità e non eccedenza. A tale proposito è stato effettuato un ridimensionamento delle banche dati PAGO IN RETE cancellando tutti i dati che non sono strettamente necessari al trattamento dichiarato. ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO, per garantire una sempre maggiore libertà dei diritti e sicurezza dei dati agli interessati si sforza continuamente di trovare le migliori mitigazioni a tutti i rischi ai quali i dati in nostro possesso possono andare incontro. in particolare segnaliamo di aver individuato i seguenti rischi: pag. 41 di 61 ISTITUTO COMPRENSIVO STATALE Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 Accessi esterni non autorizzati Allagamento Alterazione dolosa o colposa dati avvenuta internamente Attacco Ransomware Azione di virus informatici o di codici malefici Carenza di consapevolezza, disattenzione o incuria Comunicazione illegale dei dati e dei documenti - TEOZ/O LZ L - 675000 - OTIOVO LOHd OULSIDIY - ESZIIEV - 800EE891dY Copia abusiva Degrado dei supporti e delle apparecchiature Cortocircuito elettrico Distruzione di apparecchiature o di supporti Fenomeni meteorologici Furto Apparecchiature Incendio Ingressi non autorizzati a locali/aree ad accesso ristretto Malfunzionamento hardware o software Mancanza di continuità di alimentazione elettrica Mancata manutenzione del sistema informativo Perdita credenziali Polvere, corrosione o gelo Possibile rottura dell'hard disk o altri componenti hardware/software Accessi tramite dispositivi mobili non autorizzati Errato utilizzo doloso o colposo del software Mancata distruzione o restituzione dei supporti raggiunta la finalità Dei sopraelencati rischi, in accordo con i consulenti IT abbiamo posto in essere le seguenti mitigazionk Aggiornamento interno dei software Antivirus centralizzato con monitoraggio attività file Autenticazione utenti Manutenzione spot apparecchiature Tali mitigazioni danno al trattamento SERVIZIO PAGO IN RETE una compliance alla sicurezza del 78% La sua valutazione ci porta ad affermare che per importanza dei dati di questo trattamento e principio proporzionalità il trattamento stesso ha una valutazione di impatto più che accettabile. Tuttavia segnaliamo anche che sono stati individuate alcune criticità che possono mettere a rischio i dati anche se in misura minimale. A questo proposito segnaliamo: 7 Dispositivo USB semplice Infine, per sensibilizzare tutti i dipendenti incaricati al trattamento ad una sempre maggiore attenzione alla protezione dei dati abbiamo realizzato e consegnato a ciascuno una policy di sicurezza la cui visione è disponibile nella sezione policy di sicurezza. ottemperato a quanto richiesto dal GDPR in base al principio di proporzionalità, all'importanza e la quantità dei pag. 42 di 61 ISTITUTO COMPRENSIVO STATALE Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 dati in loro possesso. LUCIGNANO, li 24/06/2020 N- LI- 406/01/ I Il Data Processor e il Data Controller vigilano per garantire agli interessati che i dati saranno trattati solo per Ir finalità dichiarata e solo per la parte strettamente necessaria al trattamento. Si impegnano inoltre, entro i limi della ragionevolezza, a modificare e correggere tutti i dati che risultano nel frattempo diversi dagli originali, a tenerli sempre aggiornati e a cancellare tutti quei dati che risultano eccedenti al trattamento dichiarato. Hd OULSIDIH Obblighi di legge cui è soggetto l'Istituto; dati raccolti e trattati per legge essenziale e indispensabile per il corretto perseguimento dell'oggetto sociale cosi come la sua proporzionalit e non eccedenza. A tale proposito è stato effettuato un ridimensionamento delle banche dati bSCUOLA, DO SISSI, cancellando tutti i dati che non sono strettamente necessari al trattamento dichiarato. O ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO, per garantire una sempre maggiore libertà dei diritti 8 sicurezza dei dati agli interessati si sforza continuamente di trovare le migliori mitigazioni a tutti i rischi ai quali M-LVI-c04/01/ COVID-19 meglio descritto nel registro dei trattamenti €E891H Il trattamento riportai seguenti criteri di liceità: La gestione si è resa necessaria a seguito della chiusura delle scuole a causa dell'emergenza nazionale dovut8 alla diffusione del coronavirus. EV -8 essenziale e indispensabile per il corretto perseguimento dell'oggetto sociale cosi come la sua proporzionalita e non eccedenza. A tale proposito è stato effettuato un ridimensionamento delle banche dati cancellando tutti] dati che non sono strettamente necessari al trattamento dichiarato. SID ISTITUTO COMPRENSIVO STATALE DI LUCIGNANO, per garantire una sempre maggiore libertà dei diritti eg sicurezza dei dati agli interessati si sforza continuamente di trovare le migliori mitigazioni a tutti i rischi ai quali® dati in nostro possesso possono andare incontro. L/aL - 675000 - OTTODOLOHd in particolare segnaliamo di aver individuato i seguenti rischi: Accessi esterni non autorizzati Allagamento Carenza di consapevolezza, disattenzione o incuria Comunicazione illegale dei dati e dei documenti Copia abusiva Cortocircuito elettrico Incendio Ingressi non autorizzati a locali/aree ad accesso ristretto Dei sopraelencati rischi, in accordo con i consulenti IT abbiamo posto in essere le seguenti mitigazioni: TE mitigazioni danno al trattamento INFORMATIVA COVID-19 una compliance alla sicurezza del 0% - 660 La sua valutazione ci porta ad affermare che per importanza dei dati di questo trattamento e principio di proporzionalità il trattamento stesso ha una valutazione di impatto più che accettabile. 1 C Infine, per sensibilizzare tutti i dipendenti incaricati al trattamento ad una sempre maggiore attenzione alla protezione dei dati abbiamo realizzato e consegnato a ciascuno una privacy policy la cui visione è disponibile nella sezione privacy policy. ottemperato a quanto richiesto dal GDPR in base al principio di proporzionalità, all'importanza e la quantità dei dati in loro possesso. pag. 52 di 61 ISTITUTO COMPRENSIVO STATALE Distretto scolastico N. 32 - Cod. Fisc. 92031960518 Tel. 0575 / 836144 — Fax. 0575/837003 LUCIGNANO, li 24/06/2020 II Data Processor [omissis] N- LI- 406/01/