ISTITUTO COMPRENSIVO CASCIANA TERME LARI - C.F. 81002050508 C.M. PIIC83000B - A2C2521 - AA.OO Prot. 0006476/U del 28/12/2022 10:51 Archivio, accesso, privacy, trasparenza e relazioni con il pubblico ISTITUTO COMPRENSIVO STATALE Scuola dell’ Infanzia, Primaria e Secondaria di I grado Via Belvedere 27/B — 56035 CASCIANA TERME-LARI (PI) Tel. 0587/687060 — Meccanografico PIIC83000B — Cod. Fisc. 81002050508 Email: piic83000b@istruzione.it — piic83000b@pec.istruzione.it Casciana Terme Lari, 28 dicembre 2022 Sig. Fabio Pietrosanti con domicilio digitale all’indirizzo PEC: comunicazioni(@pec.monitora-pa.it p.c. Al Direttore Generale Ufficio Scolastico Regione Toscana drto@postacert.istruzione.it Oggetto: istanza di riesame ai sensi dell’art. 5, c.7, D.Lgs. n. 33/2013 relativo all’accesso civico generalizzato. Con riferimento alla risposta inviata da questa istituzione scolastica in data 17 ottobre 2022, nonché alla risposta all’istanza di riesame presentata dalla S.V. all’Ufficio Scolastico Regionale per la Toscana fornita dal medesimo in data 1 dicembre u.s. con protocollo n. AOODRTO 18850, si viene a dichiarare quanto di seguito: 1) Richiesta di copia del contratto (o altro atto giuridico) sottoscritto per l’utilizzo di Posta elettronica istituzionale, piattaforme DAD/DDI, software house che fornisce il registro elettronico relativamente agli anni scolastici 2020/2021, 2021/2022, 2022/2023; a) in relazione alla posta elettronica istituzionale, gli istituti usufruiscono, in concessione, di una casella di posta elettronica e di una casella di posta certificata PEC ministeriale. Da ciò ne consegue che le software house fornitrici dei servizi di posta (Microsoft per la PEO, Aruba per la PEC dal 2020 al 2022 e Infocert per la PEC nell’a.s. 2022/23) sono scelte a livello ministeriale e la relativa contrattualizzazione è stata gestita dall’amministrazione centrale del Ministero. Pertanto, questo Istituto non può accogliere la sua richiesta, in quanto trattasi di documento prodotto e sottoscritto da soggetto terzo e non in disponibilità della scuola; b) in relazione alle piattaforme DaD/DDI email utilizzate dall’Istituto, si rammenta che queste sono concesse agli Istituti Scolastici di ogni grado con una licenza di utilizzo gratuita. Per questo motivo non esiste un contratto economico sottoscritto tra le parti. Il rapporto tra le parti è regolato dai Termini di condizioni e utilizzo della piattaforma, che l’Istituto ha sottoscritto prima dell’attivazione del servizio. Tali termini di utilizzo sono pubblici e sono reperibili sui siti web delle piattaforme in questione. L'Istituto, conformemente alle indicazioni ricevute, ha in utilizzo la piattaforma G-Suite, successivamente sostituita da Google Workspace for Education Fundamentals; il contratto con 1 termini di servizio è consultabile al link https://workspace.google.com/intl/it/terms/education terms.htm]; c) in relazione alla richiesta dei contratti sottoscritti tra lo scrivente Istituto e le software house, che forniscono i servizi di Registro Elettronico e Segreteria Digitale, si segnala che questi sono pubblicati nell’apposita sezione di Amministrazione Trasparente, raggiungibile dal sito istituzionale, in osservanza del d.lgs. n. 33/2013 e comunque mediante 1l seguente link: https://www.trasparenzascuole.it/Public/AmministrazioneTrasparenteV2.aspx?Customer 1d=4834e435- 39d7-4ca9-92a5-2816e5602e9d&PID=b401d174-46cc-4a53-a215-3397558213ab 2) Richiesta — DPIA per servizi di videoconferenza o piattaforma che consenta il monitoraggio sistematico degli utenti per gli A.S. 2020-21 e 2021-22 L’Istituto ha in uso piattaforme di videoconferenza, ma non utilizza piattaforme che consentano il monitoraggio sistematico degli utenti. In riscontro a tale punto, si richiama il provvedimento del 26 marzo 2020, con cui il Garante per la protezione dei dati personali ha voluto fornire una serie di chiarimenti in merito all’utilizzo dei sistemi di didattica a distanza e dei registri elettronici. In particolare, il Garante, con riferimento alle valutazioni di impatto ha affermato che “/a valutazione di impatto, che l’art. 35 del Regolamento richiede per i casi di rischi elevati, non è necessaria se il trattamento effettuato dalle istituzioni scolastiche e universitarie, ancorché relativo a soggetti in condizioni peculiari quali minorenni e lavoratori, non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi per i diritti e le libertà degli interessati.” Ad esempio, non è richiesta la valutazione di impatto per il trattamento effettuato da una singola scuola (non, quindi, su larga scala) nell’ambito dell’utilizzo di un servizio on line di videoconferenza o di una piattaforma che non consente il monitoraggio sistematico degli utenti o comunque non ricorre a nuove soluzioni tecnologiche particolarmente invasive (quali, tra le altre, quelle che comportano nuove forme di utilizzo dei dati di geolocalizzazione o biometrici). A tal riguardo occorre precisare che, con il già menzionato provvedimento, 1l Garante non ha in alcun modo derogato all'applicazione del GDPR per asseriti motivi emergenziali, fornendo solamente precisazioni utili ad un corretto approccio alla didattica a distanza in vista della sua massiva adozione. La DPIA, quindi, è obbligatoria in casi specifici e normati, tra i quali non ricadono 1 trattamenti di dati in ambito scolastico , non effettuando la scuola nessuno dei trattamenti di cui alle lettere a), b) e c) del suddetto articolo (trattamenti automatizzati (punto a), né su larga scala (punto b) né sistematici (punto c), atteso che il trattamento dei dati avviene per le sole finalità istituzionali. La scuola ha utilizzato la piattaforma attivando le sole funzionalità previste e gestendo gli accessi e le abilitazioni tramite la creazione di specifiche utenze con specifici permessi. La scuola ha abilitato 1 soli servizi essenziali regolati da termini di utilizzo che vincolano i Provider di servizio alla non registrazione e alla non divulgazione dei dati. L’Istituto non può accogliere la richiesta, in quanto trattasi di documenti non previsti e non obbligatori. 3) Misure tecniche previste e adottate per attivare i soli servizi strettamente necessari alla formazione, nel caso di utilizzo di piattaforme più complesse che eroghino servizi più complessi anche non rivolti esclusivamente alla didattica, negli anni scolastici 2020/2021, 2021/2022, 2022/2023; In merito al punto in oggetto, si rappresenta che l’Istituto non fa uso di applicativi aggiuntivi complessi non confacenti ad un ambiente scolastico . L'utilizzo delle piattaforme multimediali è sempre stato indirizzato verso l'ottenimento di uno strumento efficace e complementare delle attività di didattica, così come ricordato dalla nota del Garante Italiano in data 26 marzo 2020. La richiesta appare inoltre generica, non individuando con esattezza la documentazione richiesta e connotata da carattere esplorativo, oltre che riferirsi anche a dati che, in quanto “non rivolti esclusivamente alla didattica”, sembrano esulare dai compiti istituzionali. L’istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori. 4) Richiesta di copia di DPIA per posta elettronica, DaD, DDI e registro elettronico per V’A.S. 2022-23 Come già rappresentato in precedenza al punto 2), si evidenzia che l’art 35 GDPR prevede precisi casi in cui è necessaria la DPIA. Tra questi non rientrano quelli in esame. L’istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori. 5) Copia della valutazione di impatto del trasferimento dei dati all'estero (TIA), afferente all'eventuale trattamento dei dati in paesi terzi (ovvero che si trovino al di fuori dell'Unione Europea) necessario per la fruizione ed il funzionamento dei servizi di posta elettronica, messaggistica, videoconferenza, didattica a distanza, didattica digitale integrata, registro elettronico, adottati nell'anno scolastico 2022/2023; Come già indicato nel riscontro alla richiesta di cui al punto 1), le software house sono scelte a livello Ministeriale. L'eventuale necessità di DPIA è stata quindi esaminata centralmente dal Ministero competente. L’istituto non può quindi accogliere la richiesta, in quanto trattasi di documento prodotto e sottoscritto da soggetto terzo e non nella disponibilità della scuola. Per quanto concerne gli altri servizi (messaggistica, videoconferenza, etc.), si rappresenta che anche in questo caso la valutazione di impatto sulla protezione dei dati (DPIA) non ricade in questa ipotesi, e ciò in quanto gli istituti scolastici non effettuano trattamenti automatizzati (punto a art. 35, comma 3 GDPR), né su larga scala (punto b, art. 35 comma 3 GDPR) né sistematici (punto c art. 35, comma 3 GDPR). L’istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori. 6) Copia della valutazione comparativa per P’A.S. 2022-23 per l’acquisizione di piattaforme di posta elettronica, messaggistica, videoconferenza, didattica a distanza, didattica digitale integrata, registro elettronico, adottate nell’anno scolastico 2022/2023. In riscontro al presente punto, si rileva come la normativa che regola gli acquisti da parte delle scuole richiama non solo l’applicazione del CAD [omissis] ma anche del codice dei contratti pubblici (d.lgs. 50/16) e del regolamento di contabilità delle scuole (Decreto 28 agosto 2018, n. 129), i quali non indicano alcun obbligo di conservare agli atti della scuola valutazioni comparative per acquisti sotto-soglia. Inoltre, in relazione ai servizi di videoconferenza, DDI e messaggistica, non è stata effettuata alcuna valutazione comparativa in quanto le piattaforme in uso sono state fornite gratuitamente e opzionate sulla base delle indicazioni rese dal Ministero. L’istituto non può quindi accogliere la richiesta, in quanto trattasi di documenti non previsti né obbligatori. Il Dirigente Scolastico [omissis] documento firmato digitalmente