Vademecum del Garante sul trattamento dei dati personali a scuola

AGGIORNAMENTO DEL 23/05/2018

Il 25/5/2018 entrerà in vigore il nuovo Regolamento Europeo 679/2016 sulla protezione dei dati personali che andrà a sostituire anche la normativa italiana sull'argomento e alla quale si dovranno adeguare anche le scuole per il trattamento dei dati personali e sensibili degli alunni.

Si resta in attesa di conoscere quindi le indicazioni che il Garante vorrà fornire per le scuole, in aggiornamento a quelle sotto presentate.

Sul sito del Garante www.garanteprivacy.it/web/guest/regolamentoue è possibile trovare testi del regolamento, guide e indicazioni; si riporta anche una Nota sulla nuova normativa predisposta dalla FISH.

---

Il Garante per la privacy nel giugno 2010 ha diffuso il Vademecum "La_privacy_tra_i_banchi_di_scuola" sul trattamento dei dati personali a scuola che raccoglie gli orientamenti emersi in precedenti propri documenti e decisioni.
Se ne riporta una sintesi.

Nella premessa si afferma che né si possono divulgare dati sensibili, né si possono rifiutare agli interessati informazioni dovute alla trasparenza.

Le scuole pubbliche devono dare informativa completa di quali dati raccolgono e di come li utilizzano, mentre non occorre il consenso degli utenti per la raccolta e il trattamento quando questo sia necessario per la realizzazione del diritto allo studio.

Le scuole private oltre ad informare gli utenti sulle modalità di utilizzo dei dati raccolti, devono anche ottenere l'esplicito consenso alla raccolta e al trattamento.

I dati raccolti devono comunque servire per le finalità del servizio di istruzione,
Ad esempio: dati etnici per le iscrizioni degli stranieri; dati religiosi per l’insegnamento della religione cattolica o delle materie alternative, nonché per garantire la libertà di credo (mensa scolastica con riguardo a cibi particolari); dati sullo stato di salute per gli alunni con disabilità ai fini dell'iscrizione; dati sulle opinioni politiche o filosofiche di associazioni in caso di elezioni di organi collegiali; dati giudiziari solo nei limiti in cui siano necessari per garantire il diritto allo studio di alunni detenuti o in regime di protezione.

Gli interessati hanno diritto di accesso per conoscere i contenuti dei documenti con i propri dati sensibili per eventuali correzioni o cancellazioni. Ciò ai sensi della legge n° 241/90 sulla trasparenza amministrativa.

Restano fermi il dovere di segreto d’ufficio da parte dei docenti e l’obbligo di custodia degli elaborati contenenti dati personali e notizie riservate. Mentre la lettura in classe dei temi personali è rimessa alla sensibilità del docente.

Quanto ai voti sui tabelloni essi vanno pubblicati per il principio di trasparenza secondo le indicazioni del MIUR. E'  vietato però il riferimento, ad esempio, alle prove differenziate per gli alunni con disabiltà.

Nelle circolari e comunicazioni è vietato fare riferimenti anche impliciti che possano far identificare i minori coinvolti in situazioni delicate.

Solo su richiesta degli interessati le scuole possono comunicare a terzi i risultati scolastici , per motivi di orientamento o inserimento lavorativo.

In ogni caso è vietata la comunicazione degli indirizzi di alunni per motivi di marketing e pubblicità.

È consentita la raccolta di questionari contenenti dati personali per motivi di ricerca, solo con il consenso degli interessati.

È necessario il consenso degli interessati nel caso di comunicazioni sistematiche o di diffusione, anche su siti, delle foto o delle riprese ufficiali e personali in occasioni di manifestazioni (saggi, recite...) o gite scolastiche.

Con il consenso di docenti e studenti è ammessa la registrazione audio/video della lezione.

L’utilizzo delle impronte digitali o di altri dati biometrici per rilevare la presenza di un gruppo di individui è giustificato soltanto dall’esistenza di reali esigenze di sicurezza, determinate da concrete e gravi situazioni di rischio.

È vietata la diffusione di registrazioni con i telefonini senza in consenso degli interessati.

Non è consentita la video-sorveglianza nei confronti degli alunni.

---

OSSERVAZIONI

Il documento è interessante perchè raccoglie in un unico testo orientamenti che il Garante ha espresso nel tempo in situazioni diverse.
Non presenta però novità specifiche rispetto a quanto già portato a conoscenza in precedenza.
Le famiglie degli alunni con disabilità trovano in esso un rafforzamento dei loro diritti, specie con riguardo all'ottenimento di copie del PEI e circa la non pubblicazione sui tabelloni di dati discriminatori.

---

Vedi anche le schede:
n° 60. Trattamento dei dati sensibili da parte di pubbliche amministrazioni con particolare riguardo agli alunni con handicap
n° 124. Finalmente tutelata la privacy degli alunni con handicap

---

Pubblicato il 22/6/2010

Garante: Provvedimento in materia di videosorveglianza - 8 aprile 2010

Videosorveglianza
L´adozione di sistemi di videosorveglianza è in crescita costante. Questi sistemi trattano dati personali come la voce e l´immagine che sono da considerarsi, in base alla Direttiva 95/46/CE ed alla normativa italiana, informazioni riferite ad una persona identificata o identificabile.

Le dimensioni assunte dal fenomeno, soprattutto grazie alle possibilità offerte dalle nuove tecnologie, hanno spinto il Garante ad intervenire per individuare un punto di equilibrio tra esigenze di sicurezza, prevenzione e repressione dei reati, e diritto alla riservatezza e libertà delle persone.

Nel luglio del 2000 è stata portata a termine la prima indagine sulla presenza di telecamere visibili in Italia.

Nel novembre 2000 il Garante ha emanato delle linee guida contenenti gli indirizzi per garantire che l´installazione di dispositivi per la videosorveglianza rispetti le norme sulla privacy e sulla tutela della libertà delle persone, in particolare assicurando la proporzionalità tra mezzi impiegati e fini perseguiti.

La materia è stata poi ulteriormente regolata da due provvedimenti generali del Garante, emanati rispettivamente nel 2004 e nel 2010, che contengono prescrizioni vincolanti per tutti i soggetti che intendono avvalersi di sistemi di videosorveglianza e precise garanzie per la privacy dei soggetti i cui dati vengano eventualmente raccolti e trattati tramite tali sistemi.

Il provvedimento del 2010, in particolare, sostituisce il precedente e lo integra tenendo conto delle più recenti disposizioni normative in materia e delle possibilità offerte dalla nuove tecnologie. Una speciale attenzione è dedicata alle garanzie sul fronte dell´informazione ai soggetti che transitano in aree videosorvegliate (sempre obbligatori i cartelli informativi, salvo nel caso di telecamere installate a fini di sicurezza pubblica) e ai limiti per la conservazione dei dati raccolti tramite telecamere e videosorveglianza, che può superare le 24 ore solo in casi particolari (indagini di polizia e giudiziarie, sicurezza degli istituti di credito, ecc.).

Questa scheda raccoglie, oltre ai provvedimenti generali, le decisioni più significative dell´Autorità riguardanti il settore, gli articoli della Newsletter, i comunicati stampa e altre notizie sull´argomento, oltre ad alcuni documenti elaborati in ambito internazionale.

Provvedimenti principali

• Provvedimento in materia di videosorveglianza
  8 aprile 2010 [doc. web. n. 1712680]

Propaganda elettorale. Garante privacy: vietato telefonare agli elettori senza consenso

Propaganda elettorale. Garante privacy: vietato telefonare agli elettori senza consenso  

Al Garante stanno giungendo varie segnalazioni in ordine a pubblicità elettorale telefonica in vista delle prossime elezioni regionali e amministrative. A questo proposito il Garante privacy ricorda, ancora una volta, a partiti politici, comitati promotori, sostenitori e singoli candidati che non è possibile contattare telefonicamente i cittadini che non abbiano espresso un preventivo consenso ad essere chiamati.
Roma, 18 marzo 2010

Le Regole del Garante per la Rottamazione dei PC

La Rottamazione dei PC usati (Raee - Rifiuti di apparecchiature elettriche ed elettroniche)e la sicurezza dei dati personali registrati sui relativi hard disk, sono sicuramente materia che interessa il Garante della Privacy, che ha recentemente consigliato di adottare le seguenti procedure...(leggi)

DPS/2007: Abbiamo adottato un nuovo criterio di valutazione dei Rischi

Per fare in modo che la valutazione dei Rischi che incombono sui dati oggetti del trattamento in azienda sia il più veritiera possibile, la Cedam srl quest'anno ha messo a punto un Questionario di Valutazione più specifico. Da tale questionario suddiviso opportunamente nelle varie aree:

• Accessi alle sedi
• Archiviazione e custodia dei documenti
• Struttura informatica - HW
• Struttura informatica - Sw
• Struttura organizzativa

viene calcolato automaticamente il rischio esistente sui vari strumenti che in azienda vengono utilizzati per trattare i dati, e cioè:

• Schedari cartacei e affini
• Computer non in rete ma in uffici presidiati
• Computer non in rete ma in uffici con presenza assidua di personale
• Computer stand alone con collegamento ad internet
• Computer stand alone senza collegamento ad internet
• Computer in rete con collegamento ad una intranet
• Computer in rete con collegamento ad internet

In seguito a tale rischio e alla tipologia degli archivi trattati, viene fissato il Rischio Complessivo Aziendale e da questo punto si parte per identificare la serie di contro-misure da mettere in essere per abbattere il rischio calcolato. Contatta i nostri uffici per ulteriori chiarimenti. Cedam srl

Il DPS (Documento Programmatico sulla Sicurezza) compie un anno

Entro il 31 marzo 2007 dovrà essere effettuato il rinnovo del DPS aggiornandone i contenuti. Quello di quest’anno è il primo rinnovo di legge da quando è entrato in vigore il D.lgs. 196/’03. Occorre quindi effettuare una serie di verifiche per controllare la corrispondenza di quanto accertato a livello previsionale il 31 marzo 2006, con quello che poi è successo effettivamente nei mesi successi. Gli scostamenti eventuali, riguardano: -) gli archivi soggetti al trattamento, -) il responsabile e gli incaricati (interni ed esterni), -) i nuovi strumenti introdotti (hardware, software, apparecchiature varie), -) la distribuzione di compiti e responsabilità. Inoltre, in base agli imprevisti riscontrati in questo anno trascorso (virus arrivati, attacchi subiti, evoluzione della tecnologia, disattenzioni varie del personale, etc…), occorrerà definire nuovamente ed in senso evolutivo rispetto all’anno precedente: -)l’analisi dei rischi che incombono sui dati, suddivisi in base alle seguenti macro riclassificazioni: -)rischi riguardanti gli operatori -)rischi riguardanti gli strumenti -)rischi riguardanti il contesto fisico-ambientale -)le misure da adottare ed eventualmente confermare o cambiare quelle attualmente in vigore -)la pianificazione per gli interventi formativi previsti per il Responsabile ed i suoi incaricati Purtroppo, il Decreto in questione, è molto chiaro in merito e non ci lascia nessuna attenuante. Qualsiasi azienda, essendovi tenuta, è obbligata non solo ad ottemperare a tutte le misure minime, ma ad implementare le misure idonee, con notevole imbarazzo da parte delle aziende nel determinare quale limite raggiungere sulla strada della sicurezza dei dati personali. Allora che facciamo? continua a leggere >>>

Le linee guida del Garante per posta elettronica e internet

I datori di lavoro pubblici e privati non possono controllare la posta elettronica e la navigazione in Internet dei dipendenti, se non in casi eccezionali. Spetta al datore di lavoro definire le modalità d'uso di tali strumenti ma tenendo conto dei diritti dei lavoratori e della disciplina in tema di relazioni sindacali. Il Garante privacy, con un provvedimento generale che sarà pubblicato sulla “Gazzetta Ufficiale”, fornisce concrete indicazioni in ordine all'uso dei computer sul luogo di lavoro. “La questione è particolarmente delicata – afferma il relatore Mauro Paissan – perché dall'analisi dei siti web visitati si possono trarre informazioni anche sensibili sui dipendenti e i messaggi di posta elettronica possono avere contenuti a carattere privato. Occorre prevenire usi arbitrari degli strumenti informatici aziendali e la lesione della riservatezza dei lavoratori”. L'Autorità prescrive innanzitutto ai datori di lavoro di informare con chiarezza e in modo dettagliato i lavoratori sulle modalità di utilizzo di Internet e della posta elettronica e sulla possibilità che vengano effettuati controlli. Il Garante vieta poi la lettura e la registrazione sistematica delle e-mail così come il monitoraggio sistematico delle pagine web visualizzate dal lavoratore, perché ciò realizzerebbe un controllo a distanza dell'attività lavorativa vietato dallo Statuto dei lavoratori. Viene inoltre indicata tutta una serie di misure tecnologiche e organizzative per prevenire la possibilità, prevista solo in casi limitatissimi, dell'analisi del contenuto della navigazione in Internet e dell'apertura di alcuni messaggi di posta elettronica contenenti dati necessari all'azienda. Il provvedimento raccomanda l'adozione da parte delle aziende di un disciplinare interno, definito coinvolgendo anche le rappresentanze sindacali, nel quale siano chiaramente indicate le regole per l'uso di Internet e della posta elettronica. Il datore di lavoro è inoltre chiamato ad adottare ogni misura in grado di prevenire il rischio di utilizzi impropri, così da ridurre controlli successivi sui lavoratori. Per quanto riguarda Internet è opportuno ad esempio: individuare preventivamente i siti considerati correlati o meno con la prestazione lavorativa; utilizzare filtri che prevengano determinate operazioni, quali l'accesso a siti inseriti in una sorta di black list o il download di file musicali o multimediali. Per quanto riguarda la posta elettronica, è opportuno che l'azienda: renda disponibili anche indirizzi condivisi tra più lavoratori (info@ente.it; urp@ente.it; ufficioreclami@ente.it), rendendo così chiara la natura non privata della corrispondenza; valuti la possibilità di attribuire al lavoratore un altro indirizzo (oltre quello di lavoro), destinato ad un uso personale; preveda, in caso di assenza del lavoratore, messaggi di risposta automatica con le coordinate di altri lavoratori cui rivolgersi; metta in grado il dipendente di delegare un altro lavoratore (fiduciario) a verificare il contenuto dei messaggi a lui indirizzati e a inoltrare al titolare quelli ritenuti rilevanti per l'ufficio, ciò in caso di assenza prolungata o non prevista del lavoratore interessato e di improrogabili necessità legate all'attività lavorativa. Qualora queste misure preventive non fossero sufficienti a evitare comportamenti anomali, gli eventuali controlli da parte del datore di lavoro devono essere effettuati con gradualità. In prima battuta si dovranno effettuare verifiche di reparto, di ufficio, di gruppo di lavoro, in modo da individuare l'area da richiamare all'osservanza delle regole. Solo successivamente, ripetendosi l'anomalia, si potrebbe passare a controlli su base individuale. Il Garante ha chiesto infine particolari misure di tutela in quelle realtà lavorative dove debba essere rispettato il segreto professionale garantito ad alcune categorie, come ad esempio i giornalisti. Roma, 5 marzo 2007

Si aprono le porte del tribunale per il "Genio" italiano delle truffe on-line

Sono stati gli stessi agenti della Polizia postale ad affibbiarli il soprannome di “Genio” così da distinguerlo dai comuni truffatori, visto che E.Z. 27enne studente del Politecnico di Torino residente ad Ivrea, di comune proprio non aveva nulla grazie alla capacità di forzare i sistemi di sicurezza delle grandi banche italiane come se niente fosse.Una capacità dimostrata in prima persona direttamente. >>>

Privacy in azienda: i limiti del garante

Riepiloghiamo per chi non avesse tempo di leggersi tutte le disposizioni in merito, alcuni passaggi importanti: Il garante per la privacy fissa i paletti per la protezione dei dati personali in azienda. Con un documento di una ventina di pagine, stabilisce in via generale che “Le informazioni di carattere personale possono essere trattate dal datore di lavoro nella misura in cui siano necessarie per dare corretta esecuzione al rapporto di lavoro; talvolta, sono anche indispensabili per attuare previsioni contenute in leggi, regolamenti, contratti e accordi collettivi. In ogni caso, deve trattarsi di informazioni pertinenti e non eccedenti e devono essere osservate tutte le disposizioni della vigente disciplina in materia di protezione dei dati personali che trae origine anche da direttive comunitarie”. Poi scende nel dettaglio e in sintesi stabilisce >>>

Navigare su Internet per motivi personali in azienda non è motivo di licenziamento

Il Tribunale di Perugia, con ordinanza, ha reintegrato nel posto di lavoro un dipendente che era stato licenziato, in quanto si era collegato numerosissime volte a internet, a fini personali, avvalendosi del PC messogli a disposizione dall’azienda. Il Tribunale ha ritenuto che il comportamento del lavoratore è stato scorretto, ma di per sé non è stato di gravità tale da giustificare il licenziamento. La datrice di lavoro, infatti, non ha mai contestato al lavoratore né un calo di rendimento né il fatto di aver procurato danni all’azienda. A seguito del reclamo presentato dalla datrice di lavoro, il Tribunale di Perugia, in composizione collegiale, ha confermato il provvedimento e ha ritenuto che «poiché la condotta addebitata al lavoratore è solamente quella dell’uso (sia pure smodato) del PC per finalità personali, occorre evidenziare che una simile condotta – pur sicuramente illecita – non integra nemmeno giustificato motivo di licenziamento, dal momento che (art. 50 CCNL) l’uso di strumenti aziendali per un lavoro (ipotesi senz’altro estendibile all’uso attuato per svago) estraneo all’attività dell’azienda costituisce illecito disciplinare che legittima unicamente la sospensione dal lavoro e dalla retribuzione».

Etica della sicurezza.

La soluzione è un modello collaborativo che esca dai confini dell'azienda.Dall'epoca "cavalleresca" degli hacker alla ricerca del gesto éclatante,siamo passati alla criminalità organizzata che vede nella rete un campod'azione particolarmente allettante. Alla vulnerabilità per gli attacchi siassocia una vulnerabilità dovuta alla complessità di un vero e proprioecosistema fatto di milioni di macchine e milioni di utenti con l'aggiuntadella totale mobilità. É difendibile un sistema simile? Quali sono iprincipi della sicurezza che rimangono validi e quali i miti da sfatare?Quali cambiamenti dopo l'11 settembre e, soprattutto, quali strategieadottare per difendere il valore dell'informazione? Sappiamo per certo chel'informazione è un bene prezioso e che potrà essere difeso solo con unosforzo collaborativo che superi l'egoismo dei singoli e consideri la rete unpatrimonio comune. >>>

Truffa al Bancomat: ecco il funzionamento della "lingua di serpente" (Video)

Un nome singolare per una truffa d’annata. Realizzabile in molti modi, consiste in un blocco fittizio della carta bancomat, in modo da far credere all’ignara vittima il ritiro della stessa, non prima che un distinto signore, con la scusa di rendersi utile la inviti a ri-digitare nuovamente il codice PIN.A questo punto mentre la vittima si allontana dalla banca sconsolata ed arrabbiata per la trafila burocratica che dovrà affrontare >>>

Rapporto McAfee sulla criminologia virtuale: il crimine organizzato e internet

Il mondo sta cambiando grazie al progresso tecnologico e con lui anche la criminalità. Se il 2005 è stato un anno di transizione con il passaggio dal ragazzino esperto di informatica a vere e proprie bande criminali, il 2006 invece ha segnato il "boom" del cybercrime aumentato a livello mondiale più delle altre forme di crimine. McAfee nel rapporto 2006 analizza, con casi reali, questo nuovo fenomeno che a quanto pare è solo all’inizio. >>>

Maggiori garanzie sul posto di lavoro: le linee guida del Garante privacy

Alcune indicazioni dal garante sull'uso dei molti dati che con le nuove tecnologie le aziende acquisiscono e mantengono sui propri dipendenti. >>>

Microsoft: Obbligatoria l'autenticazione online anche per Microsoft Office. Per le copie pirate scattano limitazioni

Volete scaricare, installare ed usare un funzione extra in Microsoft Office? Preparatevi allora a dover verificare che la vostra copia della suite di produttività sia autentica. Secondo quanto riporta PcWorld.com, Microsoft renderà obbligatoria l'adesione al programma Office Genuine Advantage (introdotto già ad Aprile come pilota) a partire dalla giornata di oggi. L'autenticazione sarà anche necessaria per usare i template (modelli) presenti su Office Online mentre il download degli aggiornamenti per Office (Office Update) necessiterà di una verifica di autenticità solo a partire da Gennaio prossimo. >>>

Il virus più pericoloso e tenace di Ottobre? Si chiama Stratio

L’allarme virus sul Web non tende a calare. Mese dopo mese, nonostante gli incessanti inviti agli utenti di installare antivirus aggiornati sul proprio Pc, risulta sempre infinita la lista dei codicilli che mirano a sottrarre furtivamente dati sensibili o a danneggiare, anche fisicamente, i computer. Sophos, società leader nel settore della sicurezza informatica, ha reso nota la classifica dei malware e dei falsi allarmi che hanno dominato la scena nel mese di ottobre 2006, causando problemi agli utenti di tutto il mondo. Leggi >>>

Il 50% delle imprese italiane con almeno 10 addetti ha problemi di virus

Secondo quanto riportato dall’annuario statistico dell’ISTAT relativo al periodo 2002-04, emergerebbe come il nostro paese abbia preso una sempre maggiore dimestichezza con il mondo digitale e con la rete Internet. Tale approccio sarebbe particolarmente sensibile nell’ambito aziendale, dove il 91,7% delle aziende utilizza un collegamento internet, e fra questi l’88,9% utilizza la posta elettronica. Leggi >>>

Cosa succede se si lascia il computer acceso di notte a casa?

Si subiscono almeno 50 attacchi Molti utenti Internet lasciano il proprio computer acceso anche di notte per svariati motivi con attivo il proprio collegamento internet. Ma cosa succede quando si va a dormire? >>>

Non è reato spiare le email dei dipendenti. Il tribunale: i pc appartengono all’azienda.

Assolto un dirigente che era entrato nella casella di una impiegata e aveva scoperto corrispondenza privata con un collega. >>>

Possono utilizzare la vs email, reperita su internet, per inviarvi offerte commerciali?

Possono utilizzare la vs email, reperita su internet, per inviarvi offerte commerciali o roba simile non richiesta? Ecco il parere del Garante…. >>>