{"id":9737,"date":"2018-06-16T08:48:34","date_gmt":"2018-06-16T06:48:34","guid":{"rendered":"https:\/\/www.scuolaeamministrazione.it\/it\/?p=9737"},"modified":"2018-06-16T08:51:39","modified_gmt":"2018-06-16T06:51:39","slug":"privacy-si-cambia-benvenuto-gdpr","status":"publish","type":"post","link":"https:\/\/www.scuolaeamministrazione.it\/it\/privacy-si-cambia-benvenuto-gdpr\/","title":{"rendered":"Privacy, si cambia: benvenuto GDPR"},"content":{"rendered":"

Il nuovo regolamento europeo per la protezione dei dati armonizza le disposizioni legislative dei singoli Stati. Novit\u00e0 importanti anche per le scuole: nominare un RPD\u00a0 (Responsabile Trattamento Dati) non basta<\/strong><\/h3>\n

\u00a0<\/strong><\/p>\n

di Marco Graziuso<\/strong><\/p>\n

\u00a0<\/strong><\/p>\n

Abstract<\/strong><\/p>\n

Le scadenze e gli adempimenti del nuovo Regolamento UE sulla privacy impongono all’operatore di cambiare il proprio modo di lavorare, uniformandosi\u00a0 alle nuove disposizioni. Il Regolamento UE 2016\/679 del Parlamento europeo e del Consiglio in materia di protezione dei dati personali (GDPR), in vigore dal 25 maggio 2018, rappresenta un\u2019apprezzabile evoluzione rispetto all\u2019italiano Codice della privacy (D.Lgs. 196\/2003).<\/em><\/p>\n

 <\/p>\n

Molto rumore e tanta agitazione all’approssimarsi del 25 maggio 2018, data di entrata in vigore del nuovo Regolamento UE sulla privacy e sul trattamento dei dati personali, il GDPR 679\/2016<\/strong>.<\/p>\n

<\/p>\n

A distanza di un anno dalla sua pubblicazione in Gazzetta Ufficiale (noi\u00a0 lo abbiamo\u00a0 illustrato per tempo nelle pagine di questa rivista), le Istituzioni scolastiche si sono concentrate quasi esclusivamente sulla designazione del Responsabile del Trattamento dei Dati<\/strong> (RPD), previsto e disciplinato dall\u2019art. 37 e ss. del Regolamento, come se tale adempimento fosse l\u2019unico da assolvere.<\/p>\n

La fibrillazione \u00e8\u00a0 aumentata man mano che si avvicinava la scadenza, in attesa delle indicazioni ministeriali, finalmente pervenute con la Nota prot. n. 563 del 22 maggio 2018 che, disattendendo l’auspicata designazione unica a livello provinciale, ha lasciato l’onere dell’adempimento all\u2019autonoma responsabilit\u00e0 delle scuole, alle quali \u00e8 stata concessa la facolt\u00e0 di provvedervi con proprio personale interno oppure di avvalersi di risorse esterne, anche con il ricorso, eventualmente, ad accordi di rete fra scuole.<\/p>\n

 <\/p>\n

A tal proposito, alcune reti di ambito si sono immediatamente attivate, procedendo all\u2019affidamento dell’ incarico di RPD esterno per tutte le scuole della rete<\/strong>.<\/p>\n

Altre Istituzioni scolastiche, invece,\u00a0 hanno individuato la figura\u00a0 da designare (obbligatoriamente)\u00a0 tra le risorse interne disponibili e qualificate.<\/p>\n

 <\/p>\n

Al di l\u00e0 della correttezza della procedura di individuazione, qui si vuole sottolineare come si possa facilmente incorrere nel rischio di ritenere l\u2019assolvimento del mero adempimento della designazione del RPD l\u2019unico obiettivo delle disposizioni contenute nel Regolamento UE, che devono, invece, essere oggetto di studio e approfondimento continui.<\/p><\/blockquote>\n

Onestamente va riconosciuto che quella della privacy non \u00e8 l’unica tematica che rischia di essere accantonata dopo l\u2019assolvimento dell\u2019adempimento burocratico. Anche dopo l\u2019avvento della cosiddetta dematerializzazione, ancora oggi si tende a ritenere che la sola conservazione del registro giornaliero di protocollo informatico sia di per s\u00e8 sufficiente per essere in regola con l\u2019intera normativa dettata dal Codice dell\u2019Amministrazione Digitale (CAD).<\/p>\n

\u00a0<\/strong><\/p>\n

Accanto al singolo adempimento, occorre introdurre e sostenere una cultura del trattamento dei dati personali<\/strong>, altrimenti pu\u00f2 accadere che, paradossalmente, fra poco le scuole redigeranno il documento sui probabili rischi con le contromisure da adottare, mentre\u00a0 contemporaneamente negli uffici continueranno a far bella mostra di s\u00e8 i bigliettini con le password attaccati sui computer o la documentazione lasciata incustodita sulle scrivanie, a disposizione di chiunque voglia ficcarci il naso.<\/p>\n

 <\/p>\n

Tornando al Responsabile del Trattamento dei Dati, non deve allarmare affatto il peso della responsabilit\u00e0 attribuitagli dalla norma, nell\u2019ottica di promuovere e favorire lo sviluppo di buone pratiche: la sua designazione potr\u00e0 ricadere su risorse interne che sicuramente sono in grado di espletare al meglio tale ruolo.<\/p>\n

Chi meglio di una persona interna alla stessa scuola potr\u00e0 agevolare e accompagnare con continuit\u00e0 e costanza l\u2019applicazione delle nuove disposizioni sul trattamento dei dati personali?<\/p><\/blockquote>\n

 <\/p>\n

Infatti, i compiti del RPD sono cos\u00ec definiti<\/strong> dall\u2019art. 39 del Regolamento UE 679\/2016:<\/p>\n

\u201ca) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonch\u00e9 ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonch\u00e9 da altre disposizioni dell\u2019Unione o degli Stati membri relative alla protezione dei dati;<\/p>\n

    \n
  1. b) sorvegliare l\u2019osservanza del presente regolamento, di altre disposizioni dell\u2019Unione o degli Stati membri relative alla protezione dei dati nonch\u00e9 delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l\u2019attribuzione delle responsabilit\u00e0, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attivit\u00e0 di controllo;<\/li>\n
  2. c) fornire, se richiesto, un parere in merito alla valutazione d\u2019impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell\u2019articolo 35;<\/li>\n
  3. d) cooperare con l\u2019autorit\u00e0 di controllo;<\/li>\n
  4. e) fungere da punto di contatto per l\u2019autorit\u00e0 di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all\u2019articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione\u201d.<\/li>\n<\/ol>\n

     <\/p>\n

    Nell\u2019eseguire i propri compiti, il Responsabile della Protezione dei Dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del medesimo.<\/strong><\/p>\n

    Emerge con puntualit\u00e0 che la figura e i compiti del RPD sono diversi da quelli del Titolare e del Responsabile del trattamento che nell\u2019Istituzione scolastica sono assunti dal suo legale rappresentante, cio\u00e8 dal Dirigente scolastico.<\/p><\/blockquote>\n

     <\/p>\n

    Altri soggetti coinvolti restano ancora i cosiddetti incaricati del trattamento<\/strong>, <\/em>non espressamente previsti dal nuovo Regolamento ma, a norma dell\u2019art. 29, riconducibili a tutte quelle persone che nell\u2019ambito dell\u2019organizzazione sono tenute a trattare i dati personali, osservando le specifiche istruzioni impartite loro. Per l\u2019Istituzione scolastica, tali soggetti sono sicuramente da individuare nel personale docente e ATA.<\/p>\n

     <\/p>\n

    Pertanto, affinch\u00e8 si instauri e si consolidi una corretta gestione della privacy nella scuola, il RPD dovr\u00e0 attivarsi e assistere l\u2019Ufficio per:<\/p>\n