Privacy, si cambia: benvenuto GDPR

Il nuovo regolamento europeo per la protezione dei dati armonizza le disposizioni legislative dei singoli Stati. Novità importanti anche per le scuole: nominare un RPD  (Responsabile Trattamento Dati) non basta di Marco Graziuso AbstractLe scadenze e gli adempimenti del nuovo Regolamento UE sulla privacy impongono all’operatore di cambiare il proprio modo di lavorare, uniformandosi  alle nuove disposizioni. Il Regolamento UE 2016/679 del Parlamento europeo e del Consiglio in materia di protezione dei dati personali (GDPR), in vigore dal 25 maggio 2018, rappresenta un’apprezzabile evoluzione rispetto all’italiano Codice della privacy (D.Lgs. 196/2003).

 

Molto rumore e tanta agitazione all’approssimarsi del 25 maggio 2018, data di entrata in vigore del nuovo Regolamento UE sulla privacy e sul trattamento dei dati personali, il GDPR 679/2016.

A distanza di un anno dalla sua pubblicazione in Gazzetta Ufficiale (noi  lo abbiamo  illustrato per tempo nelle pagine di questa rivista), le Istituzioni scolastiche si sono concentrate quasi esclusivamente sulla designazione del Responsabile del Trattamento dei Dati (RPD), previsto e disciplinato dall’art. 37 e ss. del Regolamento, come se tale adempimento fosse l’unico da assolvere.

La fibrillazione è  aumentata man mano che si avvicinava la scadenza, in attesa delle indicazioni ministeriali, finalmente pervenute con la Nota prot. n. 563 del 22 maggio 2018 che, disattendendo l’auspicata designazione unica a livello provinciale, ha lasciato l’onere dell’adempimento all’autonoma responsabilità delle scuole, alle quali è stata concessa la facoltà di provvedervi con proprio personale interno oppure di avvalersi di risorse esterne, anche con il ricorso, eventualmente, ad accordi di rete fra scuole.

 

A tal proposito, alcune reti di ambito si sono immediatamente attivate, procedendo all’affidamento dell’ incarico di RPD esterno per tutte le scuole della rete.

Altre Istituzioni scolastiche, invece,  hanno individuato la figura  da designare (obbligatoriamente)  tra le risorse interne disponibili e qualificate.

 

Al di là della correttezza della procedura di individuazione, qui si vuole sottolineare come si possa facilmente incorrere nel rischio di ritenere l’assolvimento del mero adempimento della designazione del RPD l’unico obiettivo delle disposizioni contenute nel Regolamento UE, che devono, invece, essere oggetto di studio e approfondimento continui.

Onestamente va riconosciuto che quella della privacy non è l’unica tematica che rischia di essere accantonata dopo l’assolvimento dell’adempimento burocratico. Anche dopo l’avvento della cosiddetta dematerializzazione, ancora oggi si tende a ritenere che la sola conservazione del registro giornaliero di protocollo informatico sia di per sè sufficiente per essere in regola con l’intera normativa dettata dal Codice dell’Amministrazione Digitale (CAD).

 

Accanto al singolo adempimento, occorre introdurre e sostenere una cultura del trattamento dei dati personali, altrimenti può accadere che, paradossalmente, fra poco le scuole redigeranno il documento sui probabili rischi con le contromisure da adottare, mentre  contemporaneamente negli uffici continueranno a far bella mostra di sè i bigliettini con le password attaccati sui computer o la documentazione lasciata incustodita sulle scrivanie, a disposizione di chiunque voglia ficcarci il naso.

 

Tornando al Responsabile del Trattamento dei Dati, non deve allarmare affatto il peso della responsabilità attribuitagli dalla norma, nell’ottica di promuovere e favorire lo sviluppo di buone pratiche: la sua designazione potrà ricadere su risorse interne che sicuramente sono in grado di espletare al meglio tale ruolo.

Chi meglio di una persona interna alla stessa scuola potrà agevolare e accompagnare con continuità e costanza l’applicazione delle nuove disposizioni sul trattamento dei dati personali?

 

Infatti, i compiti del RPD sono così definiti dall’art. 39 del Regolamento UE 679/2016:

“a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;

1. b) sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
2. c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;
3. d) cooperare con l’autorità di controllo;
4. e) fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione”.

 

Nell’eseguire i propri compiti, il Responsabile della Protezione dei Dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo.

Emerge con puntualità che la figura e i compiti del RPD sono diversi da quelli del Titolare e del Responsabile del trattamento che nell’Istituzione scolastica sono assunti dal suo legale rappresentante, cioè dal Dirigente scolastico.

 

Altri soggetti coinvolti restano ancora i cosiddetti incaricati del trattamento, non espressamente previsti dal nuovo Regolamento ma, a norma dell’art. 29, riconducibili a tutte quelle persone che nell’ambito dell’organizzazione sono tenute a trattare i dati personali, osservando le specifiche istruzioni impartite loro. Per l’Istituzione scolastica, tali soggetti sono sicuramente da individuare nel personale docente e ATA.

 

Pertanto, affinchè si instauri e si consolidi una corretta gestione della privacy nella scuola, il RPD dovrà attivarsi e assistere l’Ufficio per:

• pubblicare le nuove informative, con la previsione puntuale dei fondamenti di liceità del trattamento dei dati – come indicati all’art. 6 del Regolamento –, in una forma concisa, trasparente, intellegibile e facilmente accessibile, utilizzando un linguaggio chiaro e semplice;
• richiedere il consenso al trattamento dei dati, quando non sia previsto specificamente da disposizioni o non sia pertinente alle finalità proprie dell’Istituzione scolastica, come per esempio nel caso di pubblicazione di foto e video sul sito web, anche a fini divulgativi;
• pubblicare le istruzioni per il personale docente e Ata;
• pubblicare la propria policy del sito web;
• pubblicare un disciplinare sull’uso di internet.

 

 

Linee guida per il trattamento e la protezione dei dati personali per gli incaricati del trattamento

Ai sensi del Regolamento UE 679/2016 (GDPR), al quale si rimanda per ogni ulteriore approfondimento, le presenti Linee Guida contengono la descrizione delle misure operative da adottare per garantire la sicurezza dei dati personali.

 

1. Costituisce trattamento qualunque operazione, svolta con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernente la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati.

 

2. Nello svolgimento delle proprie mansioni, l’incaricato che tratta i dati personali dovrà:

• accedere solo ai dati strettamente necessari all’esercizio delle proprie mansioni;
• trattare i dati personali in modo lecito e secondo correttezza;
• raccogliere e registrare i dati personali per scopi determinati, espliciti e legittimi, ed utilizzarli solo per operazioni di trattamento compatibili con le finalità connesse all’attività svolta;
• verificare che i dati siano esatti, aggiornandoli nel caso in cui si renda necessario, e che siano pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti e successivamente trattati;
• conservare i dati  in forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti e successivamente trattati;
• comunicare o eventualmente diffondere o trasferire all’esterno i dati personali esclusivamente ai soggetti autorizzati e riceverli legittimamente per le finalità per le quali gli stessi sono stati raccolti e comunque nel rispetto delle istruzioni ricevute;
• fornire sempre l’informativa agli interessati, ai sensi dell’art 13 del D.lvo 196/2003, utilizzando i moduli appositamente predisposti;
• accertarsi che gli interessati abbiano autorizzato l’uso dei dati richiesti;
• informare prontamente il responsabile del trattamento di ogni circostanza idonea a determinare pericolo di dispersione o utilizzazione non autorizzata dei dati;
• accertarsi dell’identità degli interessati e della loro autorizzazione al trattamento al momento del ritiro di documentazione in uscita;
• non fornire telefonicamente o a mezzo fax dati e informazioni senza avere la certezza dell’identità del destinatario;
• non lasciare a disposizione di estranei  documenti o supporti di memorizzazione (floppy disk, cd, dvd) che contengono dati personali o sensibili;
• accertarsi della distruzione di documenti inutilizzati contenenti dati personali o sensibili;
• non abbandonare la postazione di lavoro, senza aver provveduto a custodire in luogo sicuro i documenti contenenti dati personali (es. archivi o contenitori muniti di serratura);

in caso di utilizzo di strumenti informatici:

• scegliere una password che sia composta da otto caratteri e non facilmente intuibile, evitando che contenga riferimenti alla propria persona (es. proprio nome o di congiunti, date di nascita, ecc.);
• curare la conservazione della propria password ed evitare di comunicarla ad altri;
• cambiare la propria password periodicamente (almeno una volta ogni tre mesi in caso di trattamento di dati sensibili o giudiziari, altrimenti ogni 6 mesi), o qualora si ritenga sia compromessa, e comunque prontamente all’assegnazione delle credenziali di accesso;
• consegnare la password in uso (trascritta su un biglietto chiuso in busta sigillata e controfirmata) al custode delle credenziali per la conservazione;
• spegnere correttamente il computer al termine di ogni sessione di lavoro;
• non abbandonare la propria postazione di lavoro per la pausa o altri motivi senza aver spento la postazione di lavoro o aver inserito uno screen saver con password;
• in caso di utilizzo di  posta elettronica, non aprire documenti di cui non sia certa la provenienza e controllare accuratamente l’indirizzo dei destinatari prima di inviare email contenenti in allegato o nel corpo del messaggio dati personali.

 

 

SCARICA QUI IL DISCIPLINARE INTERNO SULL’USO DELLA POSTA ELETTRONICA E DI INTERNET