LA PROTEZIONE DEI DATI PERSONALI

1. LA PROTEZIONE DEI DATI PERSONALI D.lgs 196/2003 IL CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI

2. Informazioni generali • Il Codice sulla Privacy, approvato con D.lgs. 196 del 2003, è entrato in vigore dal mese di gennaio 2004 con la conseguente abrogazione delle disposizioni normative e regolamentari in vigore • L’obiettivo di riunire in un unico documento tutta le legislazione in materia di Privacy vuole accompagnarsi anche con la semplificazione della applicabilità della Legge

3. In Italia … Soltanto nel 1980 si inizia a parlare di Privacy con il preciso e chiaro scopo di tutelare le informazioni di carattere “Riservato” relative a tutti gli individui ponendo le basi per la futura L. 675 del 1996, e per il successivo D.lgs. 196 del 2003 (attualmente in vigore)

4. Il Garante per la protezione dei dati personali Il Garante • E’ l’autorità di controllo e vigilanza istituita dalla legge 31 dicembre 1996 n. 675. • Il compito del Garante è quello di assicurare la tutela dei diritti e delle libertà fondamentali nonché il rispetto della dignità nel trattamento dei dati personali

5. Indirizzi del Garante Il Garante per la protezione dei dati personali ha un’unica sede a RomaPiazza di Monte Citorio n. 121 00186 ROMAE-mail:garante@garanteprivacy.itFax: (+39) 06.69677.785Centralino telefonico: (+39) 06.69677.1Reclami, segnalazioni e richieste di documentazionepossono essere inviate al predetto indirizzo o via e-mail Ufficio relazioni con il pubblicoPer informazionilunedì - venerdi ore 10-13E-mail:urp@garanteprivacy.it Servizio relazioni con i mezzi di informazioneE-mail:ufficiostampa@garanteprivacy.it

6. Art.1: Diritto alla protezione dei dati personali “Chiunque ha diritto alla protezione dei dati che lo riguardano” Si pone quindi l’attenzione sulla tutela del diritto alla riservatezza dei dati personali. Lo sviluppo di tecnologie, che consentono l’identificazione, la conservazione e la comunicazione di dati sollecita la necessità di proteggere la sfera privata dell’individuo e il suo diritto alla riservatezza. Deve ancora svilupparsi la cultura della gestione del dato personale

7. Art. 2: Finalità • … ”il codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato ... e del diritto alla protezione dei dati personali” In questo articolo due concetti fondamentali: • la raccolta dei dati personali avviene esclusivamente previo consenso dell’interessato • il trattamento dei dati personali avviene esclusivamente per l’assolvimento di obblighi previsti per legge a salvaguardia della dignità individuale.

8. Art. 4: Le definizioni - 1 • Banca dati Complesso di dati organizzati • Trattamento Operazione relativa alla raccolta, conservazione, organizzazione e “lavorazione” • Dato personale Es: il numero di matricola dell’interessato Informativa relativa a persona fisica, giuridica ente o associazione, identificabile anche indirettamente con riferimento a qualsiasi altra informazione

9. Art. 4: Le definizioni - 2 • Dato sensibile Es: l’appartenenza a categorie protette o portatori di handicap I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose filosofiche o politiche, l’adesione a partiti, sindacati, o associazione ad organizzazione, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

10. Art. 4: Le definizioni - 3 • Titolare Persona fisica o giuridica alla quale spetta assumere decisioni in merito alla finalità e modalità del trattamento. Può semplicemente essere indicata anche solo la ragione sociale di un’Azienda • Responsabile Persona fisica o giuridica, Pubblica Amministrazione, ecc., preposta al trattamento dei dati

11. Art. 4: Le definizioni - 4 • Incaricato • Persona fisica o giuridica autorizzata a compiere operazioni di trattamento dei dati. Designato dal Titolare o dal Responsabile • Interessato • Soggetto a cui si riferiscono i dati

12. Art. 13: L’Informativa • Prima di iniziare la raccolta dei dati, il Titolare deve dare puntuale informativa all’interessato della finalità e delle modalità con le quali gli stessi verranno raccolti e trattati • La raccolta dei dati può avere natura facoltativa o obbligatoria • Durante il trattamento devono essere rispettate le Misure Minime di sicurezza definite dal Garante

13. Art. 23: Il consenso • E’ possibile trattare dei dati solo dopo aver fatto avere l’Informativa all’interessato e aver ricevuto dallo stesso il consenso al trattamento. • Qualora la natura del trattamento dei dati fosse obbligatoria in esecuzione di obblighi di legge, o in esecuzione di obblighi contrattuali, il consenso può non essere richiesto in quanto il Garante ha individuato e definito le autorizzazioni necessarie • Il consenso in forma scritta è obbligatoriamente richiesto all’interessato quando si trattano dati sensibili

14. Art. 7: Diritti dell’interessato • L’interessato ha diritto di sapere se i suoi dati saranno raccolti e organizzati, con quali finalità saranno trattati e con l’ausilio di quali strumenti elettronici, e se gli stessi saranno comunicati a terzi • All’interessato compete accertarsi che i dati a lui relativi siano aggiornati, esatti e trattati in modo lecito e con correttezza • Ha altresì il diritto di chiederne la modificazione e/o la cancellazione ogni qualvolta lo ritenga opportuno

15. Le Misure Minime di Sicurezza • E’ l’insieme delle modalità tecniche che il Titolare (o il Responsabile) deve adottare al fine di salvaguardare i dati trattati da eventuali danneggiamenti (sono definite nell’Allegato B del Codice) • Una fra queste è la redazione del Documento Programmatico per la Sicurezza (DPS) • La mancata osservazione delle misure minime di sicurezza comporta reato amministrativo o penale

16. Il DPS - 1 Deve contenere: • Elenco dei trattamenti dei dati personali • Distribuzione dei compiti e delle responsabilità • Analisi dei rischi che incombono e che i dati possono subire • I criteri specifici per la gestione dei dati sensibili

17. Il DPS - 2 • Misure da adottare per: Garantire l’integrità e la disponibilità dei dati garantire la protezione dei locali di custodia ripristinare i dati in seguito a danneggiamento • L’elenco degli interventi formativi previsti per gli incaricati e gli addetti del trattamento dati

18. Nella scuola - 1 Le scuole hanno l’obbligo di far conoscere agli studenti e alle loro famiglie – se gli studenti sono minorenni – come usano i loro dati personali. Devono cioè rendere noto, attraverso un’adeguata informativa, quali dati raccolgono e come li utilizzano. Le scuole pubbliche non sono tenute a chiedere il consenso per il trattamento dei dati personali degli studenti. Gli unici trattamenti permessi sono quelli necessari al perseguimento di specifiche finalità istituzionali oppure quelli espressamente previsti dalla normativa di settore. Alcune categorie di dati personali degli studenti e delle famiglie – come quelli sensibili e giudiziari – devono essere trattate con estrema cautela, verificando prima non solo la pertinenza e completezza dei dati, ma anche la loro indispensabilità rispetto alle “rilevanti finalità pubbliche” che si intendono perseguire.

19. Nella scuola - 2 Gli articoli che riguardano la scuola sono il 95 e il 96 Art. 95: “Si considerano di rilevante interesse pubblico, ai sensi degli artt. 20 e 21, le finalità di istruzione e formazione in ambito scolastico, professionale, superiore o universitario, con particolare riferimento a quelle svolte anche in forma integrata

20. Nella scuola - 3 Art. 96: Trattamento dei dati relativi a studenti • “Al fine di agevolare l’orientamento, la formazione e l’inserimento professionale, anche all’estero, le scuole e gli istituti scolastici di istruzione secondaria, su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o giudiziari …”

21. Nella scuola - 4 • Ferma la disposizione … sulla tutela del diritto dello studente alla riservatezza • Restano altresì ferme le vigenti disposizioni in materia di pubblicazione dell’esito degli esami mediante affissione nell’albo dell’Istituto e di rilascio di diplomi e certificati • I dati relativi agli esiti scolastici non sono dati sensibili in quanto attengono solo al rendimento scolastico

22. Adempimenti essenziali da adottare a scuola - 1 • Il Titolare del trattamento dati è di norma lo stesso Dirigente scolastico o l’Istituto • Il Responsabile del Trattamento è di norma il Dirigente del Servizio Amministrativo o il Responsabile dei Sistemi informativi • Nomina di tutti i Responsabili e Incaricati con distribuzione e definizione dei relativi compiti

23. Adempimenti essenziali da adottare a scuola - 2 Chi sono gli incaricati: Gli incaricati sono tutti coloro che hanno accesso ai dati, sensibili e non, anche in modo occasionale, perciò lo sono tutti i Docenti (compresi i supplenti temporanei), i Collaboratori amministrativi, i Collaboratori scolastici ed eventuale personale esterno che accede ai dati degli studenti

24. I dati sensibili in ambito scolastico - 1 I dati cui hanno accesso i docenti sono: • Il registro di classe e il registro personale • Il registro dei verbali del consiglio di classe • La documentazione relativa alla programmazione didattica • I documenti di valutazione • La documentazione sullo stato di handicap • I certificati medici degli studenti • Eventuale corrispondenza con le famiglie degli studenti

25. I dati sensibili in ambito scolastico - 2 I dati scolastici sensibili per i quali occorre maggiore attenzione sono: • Certificati medici relativi allo stato di salute sia dei docenti che degli studenti • La scelta di seguire l’insegnamento della religione cattolica • I dati relativi a portatori di handicap • I dati relativi a situazioni particolari (come la separazione dei genitori e l’affidamento o l’adozione)

26. Accorgimenti da adottare - 1 • Non far uscire documenti dalla sede scolastica neanche temporaneamente • Non fare copie della documentazione (tanto meno diffonderle) salvo autorizzazione del Titolare • Durante il trattamento mantenere i documenti contenenti dati personali fuori dalla portata di persone non addette al trattamento

27. Accorgimenti da adottare - 2 • Al termine del trattamento custodire i documenti all’interno di archivi muniti di serratura o comunque in luoghi non facilmente accessibili • In caso di allontanamento anche temporaneo dal posto di lavoro, o comunque dal luogo dove vengono trattati i dati, l’Incaricato dovrà verificare che non vi sia possibilità da parte di terzi, anche se dipendenti non incaricati, di accedere a dati personali per i quali era in corso un qualunque tipo di trattamento

28. Accorgimenti da adottare - 3 • Nessun dato potrà essere comunicato a terzi o diffuso senza la preventiva specifica autorizzazione del Titolare o del Responsabile. • Le comunicazioni agli interessati (genitori o chi ne fa le veci) dovranno avvenire in forma riservata, se effettuate per iscritto dovranno essere consegnate agli interessati in busta chiusa o in fogli piegati e spillati, tranne quando si tratti di dati per loro natura pubblici come i voti riportati dagli alunni nelle prove di qualsiasi tipo, valutazioni intermedie e finali.

29. Accorgimenti da adottare - 4 • All’atto della consegna di documenti l’incaricato dovrà assicurarsi dell’identità dell’interessato o di chi è stato delegato al ritiro del documento in forma scritta. • Le stesse norme si applicano anche per il trattamento dati in formato elettronico.

30. Tenuta dei registri - 1 In quanto archivi contenenti dati personali • I dati personali su supporto cartaceo possono essere trattati solo da personale debitamente incaricato e nel rispetto delle disposizioni contenute nelle lettere d'incarico. • Durante il trattamento, mantenere i documenti contenenti dati personali fuori dalla portata di vista di terzi anche se dipendenti dell’istituzione; • Al termine del trattamento, conservare gli atti e i documenti contenenti dati sensibili, in contenitori muniti di serratura o in ambienti ad accesso selezionato e vigilato, fino alla restituzione; • In caso di allontanamento anche temporaneo dal posto di lavoro, o comunque dal luogo dove vengono trattati i dati verificare che non vi sia possibilità da parte di terzi non incaricati, anche se dipendenti, di accedere ai dati personali in corso di trattamento.

31. Tenuta dei registri - 2 • Ogni insegnante in servizio, in qualità di Incaricato al trattamento dati personali ha accesso agli archivi presenti all’interno dell’Istituto contenenti i dati necessari allo svolgimento delle mansioni assegnate, in particolare: • Verbali, registri e altri documenti contenenti dati personali e sensibili degli alunni che gestisce e delle loro famiglie; • Gli archivi contenenti dati sull’attività educativa e formativa della scuola.

32. Tenuta dei registri - 3 • Il docente si attiene alle istruzioni impartite dal Titolare del trattamento nell’utilizzare i dati personali e sensibili. In particolare: • Elaborare i dati personali e sensibili limitatamente agli alunni che gestisce relativi all’attività didattica, comprese le attività ricreative e le altre iniziative messe in atto della scuola; • Trattenere i dati per il tempo strettamente necessario allo svolgimento delle mansioni assegnate, e comunque riporli negli archivi alla fine delle operazioni giornaliere; • Riportare immediatamente al Titolare ogni elemento che rappresenti una violazione della norma di legge e del documento programmatico interno; • Contribuire al miglioramento delle misure adottate a garanzia della privacy. • Adottare e rispettare le misure di sicurezza predisposte dal Titolare e dai Responsabili del Trattamento.

33. Istruzioni per i registri di classe - 1 • Durante l'orario delle lezioni devono essere tenuti in classe affidati alla custodia dell'insegnante di turno; • Negli spostamenti degli alunni in aule diverse, laboratori o in palestra DEVE essere il DOCENTE accompagnatore a portare con sé il registro senza affidarlo alla custodia degli alunni; • Agli STUDENTI è consentita la consultazione del registro di classe solo SOTTO SORVEGLIANZA del docente;

34. Istruzioni per i registri di classe - 2 • Al momento della ricreazione e della mensa, nelle sezioni a tempo prolungato della scuola primaria, della scuola secondaria, e nella scuola dell’infanzia anche al termine delle lezioni, l’insegnante di turno provvede alla custodia del registro riponendolo in un cassetto o armadio dell’aula e, ove possibile, chiudendo il contenitore o l’aula a chiave; • Nella scuola primaria e secondaria, al termine delle lezioni i registri di classe vengono depositati dall'insegnante dell'ultima ora in sala insegnanti per essere da qui prelevati il giorno dopo, all'inizio delle lezioni.

35. Istruzioni per le certificazioni • Le giustificazioni per la riammissione in classe vanno conservate nella cartellina acclusa al registro di classe; • I certificati medici eventualmente ricevuti dai docenti vanno conservati con cura e consegnati al più presto in Segreteria in busta chiusa; • I dati sulla salute che devono rimanere disponibili per i trattamenti necessari (es.: diete speciali) vanno conservati in luogo custodito e a ingresso vigilato.

36. Istruzioni per registro personale • Durante l'orario di servizio il docente è responsabile della custodia e della conservazione dei registri personali e dei documenti di valutazione; • Fuori dall'orario di servizio il registro viene conservato in un cassetto - possibilmente chiuso a chiave - dell’aula di classe o sezione (infanzia) o nel cassetto riservato al docente in sala insegnanti; • Le aule e la sala insegnanti costituiscono ambienti ad accesso limitato e vigilato: genitori, alunni e personale estraneo non sono autorizzati ad accedere all’aula insegnanti se non accompagnati; il personale collaboratore scolastico vigila e controlla gli accessi.

37. Vademecum - 1 • Origini razziali ed etniche I dati sulle origini razziali ed etniche possono essere trattati dalla scuola per favorire l’integrazione degli alunni stranieri. • Convinzioni religiose Gli istituti scolastici possono utilizzare i dati sulle convinzioni religiose al fine di garantire la libertà di credo – che potrebbe richiedere ad esempio misure particolari per la gestione della mensa scolastica – e per la fruizione dell’insegnamento della religione cattolica o delle attività alternative a tale insegnamento.

38. Vademecum - 2 • Stato di salute I dati idonei a rivelare lo stato di salute possono essere trattati per l’assegnazione del sostegno agli alunni disabili; per la composizione delle classi; per la gestione delle assenze per malattia; per l’insegnamento domiciliare e ospedaliero nei confronti degli alunni affetti da gravi patologie; per la partecipazione alle attività sportive, alle visite guidate e ai viaggi di istruzione.

39. Vademecum - 3 • Convinzioni politiche Le opinioni politiche possono essere trattate dalla scuola esclusivamente per garantire la costituzione e il funzionamento degli organismi di rappresentanza: ad esempio, le consulte e le associazioni degli studenti e dei genitori.

40. Vademecum - 4 • Dati di carattere giudiziario I dati di carattere giudiziario possono essere trattati per assicurare il diritto allo studio anche a soggetti sottoposti a regime di detenzione o di protezione. Il trattamento di dati sensibili e giudiziari è previsto anche per tutte le attività connesse ai contenziosi con gli alunni e con le famiglie (reclami, ricorsi, esposti, provvedimenti di tipo disciplinare, ispezioni, citazioni, denunce all’autorità giudiziaria, etc.), e per tutte le attività relative alla difesa in giudizio delle istituzioni scolastiche.

41. Vademecum - 5 • Trattamento dei dati nelle istituzioni scolastiche private Per poter trattare i dati personali le scuole private sono obbligate non solo a presentare un’informativa completa, ma anche a ottenere il consenso puntuale e liberamente espresso dei soggetti interessati (studenti maggiorenni, famiglie…). Nel caso di trattamento di dati giudiziari e sensibili, gli istituti privati sono tenuti a rispettare anche le prescrizioni contenute nelle autorizzazioni generali del Garante, le quali esplicitano i trattamenti consentiti. È possibile, ad esempio, elaborare informazioni sulle convinzioni religiose degli studenti, al fine di permettere la scelta di avvalersi o meno dell’insegnamento della religione cattolica.

42. Vademecum - 6 • Diritto di accesso ai dati personali Anche in ambito scolastico, ogni persona ha diritto di conoscere se sono conservate informazioni che la riguardano, di apprenderne il contenuto, di farle rettificare se erronee, incomplete o non aggiornate. Per esercitare questi diritti è possibile rivolgersi direttamente al “titolare del trattamento” (la scuola) anche tramite suoi incaricati o responsabili. Se non si ottiene risposta, o se il riscontro non è sufficiente, è possibile rivolgersi alla magistratura ordinaria o al Garante. A tale proposito, è opportuno precisare che l’accesso agli atti amministrativi è regolato dalla L. 241/90 e non dal Codice della privacy, né vigilato dal Garante per la protezione dei dati personali.

43. Vademecum - 7 • Temi in classe Non commette violazione della privacy l’insegnante che assegna ai propri alunni lo svolgimento di temi in classe riguardanti il loro mondo personale o familiare.Nel momento in cui gli elaborati vengono letti in classe - specialmente se sono presenti argomenti delicati - è affidata alla sensibilità di ciascun insegnante la capacità di trovare il giusto equilibrio tra le esigenze didattiche e la tutela dei dati personali. Restano comunque validi gli obblighi di riservatezza già previsti per il corpo docente riguardo al segreto d’ufficio e professionale, nonché quelli relativi alla conservazione dei dati personali eventualmente contenuti nei temi degli alunni.

44. Vademecum - 8 • Voti, scrutini, tabelloni, esami di stato Non esiste alcun provvedimento del Garante che imponga di tenere segreti i voti dei compiti in classe e delle interrogazioni, gli esiti degli scrutini o degli esami di Stato, perché le informazioni sul rendimento scolastico sono soggette a un regime di trasparenza. Il regime attuale relativo alla conoscibilità dei risultati degli esami di Stato è stabilito dal Ministero dell’istruzione. Per il principio di trasparenza a garanzia di ciascuno, i voti degli scrutini e degli esami devono essere pubblicati nell’albo degli istituti. È necessario prestare attenzione, però, a non fornire – anche indirettamente – informazioni sulle condizioni di salute degli studenti, o altri dati personali non pertinenti. Ad esempio, il riferimento alle “prove differenziate” sostenute dagli studenti portatori di handicap non va inserito nei tabelloni affissi all’albo dell’istituto, ma deve essere indicato solamente nell’attestazione da rilasciare allo studente.

45. Vademecum - 9 • Circolari e comunicazioni scolastiche Il diritto–dovere di informare le famiglie sull’attività e sugli avvenimenti della vita scolastica deve essere sempre bilanciato con l’esigenza di tutelare la personalità dei minori. È quindi necessario, ad esempio, evitare di inserire nelle comunicazioni scolastiche elementi che consentano di risalire, anche indirettamente, all’identità di minori coinvolti in vicende particolarmente delicate.

46. Vademecum - 10 • Marketing e pubblicità Non è possibile utilizzare i dati presenti nell’albo degli istituti scolastici per inviare materiale pubblicitario a casa degli studenti. La conoscibilità a chiunque degli esiti scolastici (ad esempio attraverso il tabellone affisso nella scuola) risponde a essenziali esigenze di trasparenza. Ciò non autorizza soggetti terzi a utilizzare i dati degli studenti per altre finalità come, ad esempio, il marketing e la promozione commerciale.

47. Vademecum - 11 • Questionari per attività di ricerca Svolgere attività di ricerca con la raccolta di informazioni personali, spesso anche sensibili, tramite questionari da sottoporre agli alunni, è consentito soltanto se i ragazzi, o i genitori nel caso di minori, sono stati preventivamente informati sulle modalità di trattamento e conservazione dei dati raccolti e sulle misure di sicurezza adottate. Gli intervistati, inoltre, devono sempre avere la facoltà di non aderire all’iniziativa.

48. Vademecum - 12 • Recite, gite e foto di classe Non violano la privacy le riprese video e le fotografie raccolte dai genitori, durante le recite, le gite e i saggi scolastici. Le immagini, in questi casi, sono raccolte per fini personali e destinate a un ambito familiare o amicale e non alla diffusione. Va però prestata particolare attenzione alla eventuale pubblicazione delle medesime immagini su Internet, e sui social network in particolare. In caso di comunicazione sistematica o diffusione diventa, infatti, necessario ottenere il consenso delle persone presenti nelle fotografie e nei video. Se a utilizzare le immagini o riprese è la scuola, queste saranno raccolte e trattate dall’insegnante titolare del trattamento e conservate presso i locali della scuola per comunicazioni sulle attività didattiche realizzate (mostre, cartelloni, sito web…). Gli interessati che non vogliono aderire a questa forma di comunicazione segnaleranno la loro volontà direttamente all’incaricato al trattamento.

49. Vademecum - 13 • Registrazione della lezione È possibile registrare la lezione esclusivamente per scopi personali, ad esempio per motivi di studio individuale. Per ogni altro utilizzo o eventuale diffusione, anche su Internet, è necessario prima informare adeguatamente le persone coinvolte nella registrazione (professori, studenti…), e ottenere il loro esplicito consenso. Nell’ambito dell’autonomia scolastica, gli istituti possono decidere di regolamentare diversamente o anche di inibire gli apparecchi in grado di registrare.

50. Vademecum - 14 • Dati biometrici L’utilizzo delle impronte digitali o di altri dati biometrici per rilevare la presenza di un gruppo di individui è giustificato soltanto dall’esistenza di reali esigenze di sicurezza, determinate da concrete e gravi situazioni di rischio. Il sistema di rilevamento delle impronte digitali, ad esempio, è stato giudicato sproporzionato rispetto all’obiettivo di consentire agli studenti l’accesso ai servizi di mensa universitaria.