Source: https://www.icaldenomattarello.it/istituto-comprensivo/organizzazione/privacy.html
Timestamp: 2018-10-16 06:58:51+00:00

Document:
Dal 25 maggio 2018 è efficace il Regolamento (UE) 2016/679 del Parlamento europeo e delConsiglio (General Data Protection Regulation - GDPR) relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
Responsabile protezione dati (RPD) Responsabile protezione dati (RPD)
Provincia Autonoma di Trento/Dipartimento della conoscenza Ufficio supporto giuridico del sistema scolastico ed educativo provinciale
E-mail: supporto.giuridico.scuola@provincia.tn.it
PEC: serv.istruzione@pec.provincia.tn.it
ALLEGATI CIRCOLARE N. 2/2018 PRIVACY
PRINCIPALI CONTENUTI DEL REGOLAMENTO PRIVACY (Allegato 1)
«trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati, e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;
«violazione dei dati personali»: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.
principi applicabili al trattamente dei dati personali
Principio di «liceità, correttezza e trasparenza»: i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell'interessato;
principio di «limitazione della finalità»: i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali;
principio di «minimizzazione dei dati»: i dati personali sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati;
principio di «esattezza»: i dati personali sono esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati;
principio di «limitazione della conservazione»: i dati personali sono conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato;
principio di «integrità e riservatezza»: i dati personali sono trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali.
Il Regolamento (art. 5, paragrafo 2) richiede al titolare di rispettare tutti questi principi e di essere “in grado di comprovarlo”. Questo è il principio detto di “responsabilizzazione” o accuntability che viene poi esplicitato ulteriormente dall’art. 24, paragrafo 1 del Regolamento dove si afferma che “il titolare mette in atto misure tecniche ed organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente Regolamento”.
progettazione e impostazione predefinita della protezione dei dati
L'articolo 25, paragrafo 1 del GDPR (privacy by design) prevede che il titolare del trattamento tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi connessi al trattamento“sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso ... mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati”.
Pertanto, fin dalla progettazione delle attività di trattamento, è necessario considerare, in particolare per quanto riguarda la realizzazione o l’acquisizione di soluzioni informatiche, che tali soluzioni siano adeguate al fine di garantire il rispetto della suddetta disposizione.
Tra le misure da attuare dovrà essere presa in considerazione, in particolare, la pseudonimizzazione, che consiste nel ”trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile”.
Normalmente essa è ottenuta scorporando i dati identificativi dagli altri dati personali e attribuendo uno stesso codice ai dati anonimizzati e ai dati identificativi; i dati sono quindi resi accessibili in forma anonima, quando non è più necessaria l’identificazione dell’interessato, ma, se necessario, è comunque possibile porre fine alla pseudonimizzazione riassociando i dati anonimi ai dati identificativi.
Inoltre, è essenziale la piena applicazione del principio di minimizzazione dei dati che consiste nel trattamento dei soli dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
L’articolo 25, paragrafo 2 del DGPR (privacy by default) dispone che “Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica”.
Il titolare del trattamento, quindi, deve predisporre nei mezzi informatici utilizzati le suddette impostazioni predefinite (o di default), necessarie per la protezione dei dati personali.
Ai sensi dell’art. 30 del DGPR "ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità". Il registro deve contenere tutte le informazioni elencate in tale disposizione.
Inoltre, come chiarito al paragrafo 2, anche il responsabile del trattamento “deve tenere un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento”.
Il registro costituisce un importante strumento di programmazione nonchè di valutazione ed analisi del rischio in quanto fornisce una visione di insieme dei trattamenti posti in essere dall’istituzione scolastica e la sua compilazione rappresenta l’occasione per effettuare una ricognizione completa di tutti gli strumenti informatici impiegati in ciascun trattamento.
Il registro dei trattamenti, che deve avere forma scritta anche elettronica, rappresenta inoltre uno degli strumenti di controllo e supervisione a disposizione del Garante. Il paragrafo 4 dell’art. 30 prevede infatti che, su richiesta, il titolare del trattamento mette il Registro a disposizione dell’autorità di controllo.
Sebbene il paragrafo 5 preveda che le disposizioni relative al registro “non si applicano alle imprese o organizzazioni con meno di 250 dipendenti”, viene poi precisato che tale esclusione si applica “a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, [dati sensibili] o i dati personali relativi a condanne penali e a reati di cui all'articolo 10”. La portata delle eccezioni è così ampia da ricomprendere quasi tutti i trattamenti effettuati dalle istituzioni scolastiche pertanto, esse, sono soggette all’obbligo di tenuta del registro delle attività di trattamento.
Il Regolamento generale sulla protezione dei dati modifica in modo sostanziale la disciplina dell’informativa, ampliandone il contenuto.
Gli articoli 13 e 14 del GDPR indicano dettagliatamente le informazioni che l’informativa deve contenere.
L’informativa è data, in linea di principio, per iscritto e preferibilmente in formato elettronico. Deve avere una forma concisa, trasparente, intelligibile per l’interessato e facilmente accessibile. Massima attenzione deve essere prestata al linguaggio utilizzato che deve essere chiaro e semplice adottando informative idonee nel caso in cui le stesse siano rivolte a minori.
L'informativa deve essere fornita all'interessato prima di effettuare la raccolta dei dati (se raccolti direttamente presso l'interessato - art. 13 del Regolamento).
Nel caso in cui, invece, i dati non siano raccolti direttamente presso l'interessato (art. 14 del Regolamento), l'informativa deve essere fornita entro un termine ragionevole che non può superare un mese dalla raccolta, oppure al momento della comunicazione dei dati (a terzi o all'interessato).
L'articolo 32, paragrafi 1 e 2 del GDPR dispone quanto segue:
“1. Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
2. Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati”.
In base a tale disposizione, il titolare del trattamento è obbligato ad approntare un efficace sistema di sicurezza dei trattamenti. Le misure di sicurezza adottate dovranno garantire un livello di sicurezza adeguato al rischio connesso al singolo trattamento e non potranno più essere previsti obblighi generalizzati di adozione di misure minime di sicurezza in quanto è rimessa al titolare e al responsabile del trattamento la valutazione, caso per caso, delle misure di sicurezza necessarie in relazione ai rischi specificatamente individuati.
Il titolare, in base al principio di responsabilizzazione (accountability), deve essere in grado di dimostrare di aver garantito un livello di sicurezza adeguato al rischio. L’approccio del Regolamento è quindi rivolto alla responsabilizzazione dei titolari e dei responsabili in ordine all’adozione di comportamenti proattivi tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del Regolamento. A queste figure è affidato il compito di delineare e decidere in autonomia le modalità, le garanzie e i limiti del trattamento dei dati personali nel rispetto delle disposizioni e dei principi del Regolamento.
Ogni istituzione scolastica deve mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio.
Per quanto riguarda le applicazioni informatiche gestite in modo autonomo e i trattamenti cartacei, dovranno essere definite misure adeguate che saranno descritte nel registro dei trattamenti, con riferimento ad ogni specifico trattamento.
L'articolo 35, paragrafo 1 del GDPR dispone che “Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali”.
La valutazione d'impatto, secondo quanto stabilito dal paragrafo 3, dev'essere effettuata, in particolare e prioritariamente:
nel caso di valutazione sistematica degli aspetti personali relativi a persone fisiche, basata su trattamenti automatizzati, che produce effetti giuridici o incide sulle persone fisiche;
nel caso di trattamenti che coinvolgono particolari categorie di dati (dati sensibili) o dati relativi a condanne penali e reati (dati giudiziari);
nell'ipotesi in cui i trattamenti siano connessi a sistemi di videosorveglianza.
Nei casi in cui il trattamento continui a presentare un rischio elevato, è necessario consultare il Garante secondo la procedura di consultazione preventiva descritta all’articolo 36 del Regolamento.
L'articolo 29 del GDPR prevede che "Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri'.
Inoltre, l'articolo 32 del GDPR titolato “Sicurezza del trattamento” stabilisce, al paragrafo 4, che "il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri'.
Il legislatore europeo ha quindi introdotto a carico dei titolari e dei responsabili del trattamento un obbligo di formazione di tutte le persone autorizzate al trattamento. Tale obbligo costituisce una delle fondamentali misure di sicurezza propedeutiche al trattamento stesso.
Il Regolamento europeo sulla protezione dei dati definisce responsabile del trattamento “la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”. La necessità di ricorrere a un responsabile del trattamento si presenta, in particolare, in caso di affidamento di servizi informatici, o altri tipi di servizi, che comportano il trattamento di dati personali forniti dall’istituzione scolastica.
Il titolare del trattamento è tenuto a ricorrere a responsabili del trattamento "che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato” (articolo 28, paragrafo 1, del GDPR).
Il paragrafo 2 stabilisce che “il responsabile del trattamento non ricorre ad altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento”.
L’articolo 28, paragrafo 3, del Regolamento impone che il contratto (o altro atto giuridico vincolante) tra titolare e responsabile del trattamento disciplini i seguenti aspetti: oggetto, durata, natura e finalità del trattamento, tipo di dati personali trattati e categorie di interessati. Le lettere da a) ad h) del paragrafo 3 determinano, inoltre, i criteri/principi da applicare per redigere il contratto tra titolare e responsabile del trattamento.
L'articolo 28, paragrafo 3, lettera a), del Regolamento stabilisce, in particolare, che il responsabile del trattamento possa trattare i dati personali “soltanto su istruzione documentata del titolare del trattamento”;
Le citate disposizioni rendono, dunque, necessaria la revisione degli atti attraverso i quali sono stati regolati, sino ad oggi, i rapporti con i responsabili del trattamento.
Il Regolamento generale sulla protezione dei dati (articoli da 15 a 22) ha esteso notevolmente la portata dei diritti dell'interessato già esistenti (quali ad esempio il diritto di accesso e il diritto di informativa) e ha previsto nuovi diritti (in particolare, il diritto di limitazione del trattamento, il diritto alla portabilità e il diritto all’oblio).
Il titolare del trattamento deve agevolare l'esercizio dei diritti da parte dell'interessato, adottando ogni misura (tecnica e organizzativa) a ciò idonea.
Il termine per la risposta all'interessato è, per tutti i diritti, 1 mese, prorogabile di altri 2 mesi in casi di particolare complessità; il titolare deve comunque dare un riscontro all'interessato entro 1 mese dalla richiesta, anche in caso di diniego, informandolo della possibilità di proporre reclamo al Garante o di proporre ricorso giurisdizionale.
Il riscontro all'interessato di regola deve avvenire in forma scritta, anche attraverso strumenti elettronici che ne favoriscano l'accessibilità; può essere dato oralmente solo se così richiede l'interessato stesso (articolo 12, paragrafo 1, del Regolamento). La risposta fornita all'interessato non deve essere solo intelligibile, ma anche concisa, trasparente e facilmente accessibile, oltre a utilizzare un linguaggio semplice e chiaro.
L'esercizio dei diritti è, in linea di principio, gratuito per l'interessato. Spetta al titolare valutare la complessità del riscontro all'interessato e stabilire l'ammontare dell'eventuale contributo da chiedere all'interessato, ma soltanto se si tratta di richieste manifestamente infondate o eccessive (anche ripetitive), oppure se sono chieste più copie dei dati personali nel caso del diritto di accesso (in quest'ultimo caso il titolare deve tenere conto dei costi amministrativi sostenuti).
Si indicano di seguito alcuni dei principali diritti riconosciuti all’interessato:
Diritto di accesso (art. 15 Reg) l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:
periodo di conservazione o criteri per definirlo;
sussistenza del diritto dell'interessato di chiedere rettifica o cancellazione dei dati o limitazione od opposizione al trattamento;
diritto di proporre reclamo al Garante;
se non raccolti presso l'interessato, presso chi sono stati raccolti i dati personali;
sussistenza di un processo decisionale automatizzato, nonché logica dello stesso e relative conseguenze;
nel caso di trasferimento dei dati fuori dall'Unione Europea, quali garanzie siano state applicate.
Diritto di limitazione del trattamento art. 18 Reg.
Trattasi del diritto riconosciuto all’interessato, di ottenere dal titolare del trattamento la limitazione del trattamento qualora ricorrano le ipotesi indicate dall’art. 18. Il diritto alla limitazione del trattamento è esercitabile sia in caso di violazione dei presupposti di liceità del trattamento sia nel caso in cui l’interessato chieda la rettifica dei dati (in attesa della rettifica da parte del titolare) sia nel caso in cui l’interessato si opponga al trattamento dei propri dati personali ai sensi dell’art. 21 del GDPR, nelle more della valutazione della richiesta da parte del titolare.
L’articolo 33, paragrafo 1, del Regolamento prevede che “In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo”.
La notifica all’Autorità dell’avvenuta violazione non è quindi obbligatoria ma subordinata ad una valutazione, da parte del titolare, del rischio per i diritti e le libertà degli interessati. Per quanto riguarda i rischi legati alla violazione dei dati personali si rinvia al Considerando n. 85 del Regolamento.
In conformità al principio di responsabilizzazione, qualora il titolare valuti improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà della presone fisiche, e sia in grado di dimostrarlo, potrà omettere la notifica all’Autorità.
1) la descrizione della natura della violazione (inclusi, se possibile, categorie e numero approssimativo di interessati, nonché categorie e numero approssimativo di registrazioni di dati);
2) nome e dati di contatto del responsabile della struttura, o del responsabile della protezione dei dati o di chi possa fornire informazioni più complete o dettagliate;
3) le probabili conseguenze della violazione dei dati personali;
4) le misure adottate, o di cui si propone l'adozione, per contrastare la violazione e ridurne i possibili effetti negativi.
Ai sensi dell’articolo 33, paragrafo 1, del Regolamento, il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all'autorità di controllo di verificare il rispetto del presente articolo”.
L’art. 34 del GDPR prevede che, qualora la violazione dei dati personali presenta un rischio elevato per le libertà delle persone fisiche, il titolare del trattamento comunichi la violazione all’interessato senza ingiustificato ritardo, fatta eccezione nei casi in cui si verifichino le circostanze indicate al paragrafo 3.
INFORMATIVA PRIVACY “generale” (Allegato 2)
articoli 13 e 14 del Regolamento (UE) 2016/679
In osservanza del principio di trasparenza previsto dall’art. 5 del Regolamento, l’istituzione scolastica Le fornisce le informazioni richieste dagli artt. 13 e 14 del Regolamento (rispettivamente, raccolta dati presso l’Interessato e presso terzi).
Titolare del trattamento dei dati personali è ISTITUTO COMPRENSIVO ALDENO-MATTARELLO, nella persona del Dirigente scolastico pro tempore, con sede legale: via della Torre Franca, 1, tel. 0461 945237, fax 0461 946007 e-mail dir.aldeno.mattarello@scuole.provincia.tn.it, pec: ic.aldeno-mattarello@pec.provincia.tn.it
Il titolare è anche il soggetto designato per il riscontro all’Interessato in caso di esercizio dei diritti ex art. 15 – 22 del Regolamento, di seguito descritti.
Direttore dell’Ufficio supporto giuridico del sistema scolastico ed educativo provinciale
Telefono 0461 497259 e fax 0461 497216
e-mail: supporto.giuridico.scuola.provincia.tn.it
(indicare, nell’oggetto: “Richiesta intervento RPD ex art. 38 Reg. UE”)
[INSERIRE IL FLAG E COMPILARE]
¨ sono stati raccolti presso …………………………………………………………
¨ provengono dalle seguenti fonti accessibili al pubblico: ……………………………………………………
¨ sono stati raccolti presso l’Interessato (Lei medesimo).
[INSERIRE IL FLAG]
¨ Dati personali diversi da particolari categorie di dati (c.d. dati comuni) – [specificare tipologia]
¨ Dati personali appartenenti a particolari categorie di dati (c.d. dati sensibili) – [specificare tipologia]
¨ Dati personali relativi a condanne penali e reati (c.d. dati giudiziari) – [specificare tipologia]
¨ Dati relativi allo stato di salute, genetici, biometrici (c.d. dati supersensibili)
[OPZIONI: valutare i casi “A” e “B” e decidere quali mantenere]
A – per adempimento di un obbligo legale cui è soggetto il Titolare (art. 6, par. 1, lett. c), del Regolamento) e, in particolare per [inserire la specifica finalità e la norma su cui si fonda]:
…………………………………………………………………………………………………………., ai sensi e per gli effetti di …………………………………………………..
B – per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il Titolare (art. 6, par. 1, lett. e), del Regolamento) e, in particolare per [inserire la specifica finalità e la norma su cui si fonda]:
[qualora il conferimento fosse obbligatorio e le conseguenze fossero le seguenti] Il conferimento dei Suoi dati personali è obbligatorio per le finalità di cui sopra e per tutte quelle ausiliarie e connesse (quali, ad esempio, attività di controllo e consultive); il rifiuto al conferimento dei dati comporterà l’impossibilità di [ALTERNATIVE] fornire la prestazione/corrispondere alla richiesta connessa alla specifica finalità.
[qualora il conferimento fosse facoltativo e le conseguenze fossero le seguenti] Il conferimento dei Suoi dati personali è facoltativo; il rifiuto al conferimento dei dati, però, comporterà l’impossibilità di [ALTERNATIVE] fornire la prestazione/corrispondere alla richiesta connessa alla specifica finalità.
[OPZIONE, da inserire solo se sussistono dati sensibili]
un motivo di interesse pubblico rilevante, in particolare così come individuato dalla Legge …………………. [OPPURE] dall’art. 7, comma 2, del D. Lgs. ……………………………………..
[OPZIONE, da inserire solo se sussistono dati sanitari]
Quanto ai dati relativi allo stato di salute, che non possono essere diffusi, si evidenzia altresì come tali dati siano trattati nel rispetto di quanto previsto dal Garante nel Provv. n. …………….., dd. ………………………….; [OPZIONE, da inserire solo qualora il provvedimento del Garante lo richieda. In tal caso, aggiungere lo specifico consenso in calce al modulo] per tali dati, pertanto, è necessario il Suo consenso esplicito.
Il trattamento sarà effettuato [ALTERNATIVE] con modalità cartacee / con modalità cartacee e con strumenti automatizzati (informatici/elettronici) con logiche atte a garantire la riservatezza, l’integrità e la disponibilità dei dati stessi / con strumenti automatizzati (informatici/elettronici) con logiche atte a garantire la riservatezza, l’integrità e la disponibilità dei dati stessi.
I Suoi dati saranno trattati, esclusivamente per le finalità di cui sopra, dal personale dipendente e da Addetti al trattamento dei dati, specificamente autorizzati ed istruiti.
Sempre per le finalità indicate, i Suoi dati potranno essere trattati da soggetti che svolgono attività strumentali per il Titolare, che prestano adeguate garanzie circa la protezione dei dati personali e nominati Responsabili del trattamento ex art. 28 del Regolamento. L’elenco aggiornato dei Responsabili è consultabile [OPZIONI] al sito …………………………… / presso i nostri uffici siti in ……….
[ALTERNATIVE; si propongono alcune soluzioni, ciascuna da adattare al caso di specie. Il trattamento sub B., C. e D. è consentito solo se necessario per la conclusione o esecuzione di un contratto con l’interessato, oppure se previsto da norma di legge; inoltre, non è tendenzialmente consentito su “categorie particolari” di dati]
[A. Se non c’è profilazione] E’ esclusa l’esistenza di un processo decisionale automatizzato, compresa la profilazione.
[B. Per la “profilazione generica”] Il trattamento è eseguito anche mediante una profilazione: [specificare in che termini viene effettuata]
[C. Per le “decisioni basate sulla profilazione”] Il trattamento è eseguito anche mediante un processo decisionale automatizzato, compresa la profilazione; in particolare, tale trattamento automatizzato dei dati, consiste nell’utilizzo dei dati personali per valutare, ad esempio: il rendimento professionale, la situazione economica, la salute, le preferenze, l’affidabilità, il comportamento o l’ubicazione. La logica utilizzata è la seguente: [indicare in modo semplice e conciso la metodologia di elaborazione dei dati / lo specifico software]…………………………………………………………….; pertanto, le conseguenze di tale specifico trattamento sono le seguenti: [indicare l’effetto del trattamento automatizzato o della profilazione]………………………………………………………………………………………....
[D. Per le “decisioni totalmente automatizzate”] Il trattamento è eseguito mediante un processo decisionale interamente automatizzato, compresa la profilazione; in particolare, tale trattamento automatizzato dei dati, consiste nell’utilizzo di dei dati personali per valutare, ad esempio: il rendimento professionale, la situazione economica, la salute, le preferenze, l’affidabilità, il comportamento o l’ubicazione. La logica utilizzata è la seguente: [indicare in modo semplice e conciso la metodologia di elaborazione dei dati / lo specifico software]…………………………………………………………….; pertanto, le conseguenze di tale specifico trattamento sono le seguenti: [indicare l’effetto del trattamento automatizzato o della profilazione]……………………………………………………………………………………….…
La informiamo che i Suoi dati saranno comunicati
a) alle seguenti categorie di destinatari:
per l’adempimento del seguente obbligo di legge al quale è soggetto il Titolare: ……………………………………………. Pertanto, il conferimento dei dati personali è obbligatorio; il rifiuto alla comunicazione dei dati comporterà l’impossibilità di [ALTERNATIVE] fornire la prestazione/corrispondere alla richiesta connessa alla specifica finalità.
b) alle seguenti categorie di destinatari:
per l’esecuzione del seguente compito di interesse pubblico, o connesso all’esercizio di pubblici poteri di cui è investito il Titolare: …………………………………………………….. Pertanto, il conferimento dei Suoi dati personali è obbligatorio; il Suo rifiuto alla comunicazione dei dati comporterà l’impossibilità di [ALTERNATIVE] fornire la prestazione/corrispondere alla richiesta connessa alla specifica finalità.
I Suoi dati personali [ALTERNATIVE] non saranno diffusi / , fermo il divieto di diffusione dei dati relativi alla salute (oltre che di quelli genetici e biometrici), saranno diffusi ai sensi e per gli effetti delle seguente norma: ………………………………………….………..
I dati personali saranno trasferiti fuori dall’Unione Europea e, in particolare, in [indicare il/i Paese/i]……………………………………………………………….. Il trasferimento dei dati nel/i Paese/i terzo/i indicato/i è tutelato da: [specificare quale delle condizioni previste agli artt. 44 e ss. del Regolamento UE 2016/679 consentono il trasferimento extra U.E.] ……………………………..…………..
[Se non è indicato un termine preciso, indicare i criteri utilizzati per determinarlo]
In osservanza del succitato principio di limitazione della conservazione, Le comunichiamo che il periodo di conservazione dei Suoi dati personali [OPZIONALE] , come previsto nel “massimario di scarto”, o in eventuali norme di legge o di regolamento, è di:
…………………… per i dati diversi da quelli compresi nelle “particolari categorie”,
…………………… per i dati appartenenti alle “categorie particolari”,
…………………… per i dati relativi alle condanne penali/reati,
dalla raccolta dei dati stessi.
Trascorso tale termine i dati saranno cancellati, fatta salva la facoltà del Titolare di conservarli ulteriormente per finalità compatibili con quelle sopra indicate [OPZIONE, se si realizza tale eventualità e non è già stata prevista tra le finalità del trattamento], ovvero per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.
[OPZIONE, se prevista l’opzione B., C. o D. al § 5. dell’informativa] Relativamente ai dati trattati per finalità di profilazione, o con trattamenti automatizzati, il termine di conservazione è di ………
[OPZIONE. Se prevista l’opzione D. al § 5. dell’informativa e tale opzione è necessaria per la conclusione o esecuzione del contratto] Il diritto di ottenere l’intervento umano da parte del Titolare, di esprimere la propria opinione e di contestare la decisione.
[OPZIONE, solo se prestato il consenso per i dati sanitari (ai sensi del provvedimento del Garante)]
Con riferimento al consenso rilasciato per i dati relativi allo stato di salute, Lei ha altresì il diritto di revocare il consenso stesso in qualsiasi momento, senza pregiudicare la liceità del trattamento sino al momento della revoca.
INFORMATIVA PRIVACY “per i contratti di fornitura e servizi (Allegato 3)
CIRCOLARE N. 2/2018 PRIVACY
“per i contratti di fornitura e servizi”
La informiamo che i Suoi dati saranno trattati dalla nostra istituzione scolastica, [denominazione istituzione scolastica], che è il titolare del trattamento e può essere contattata ai seguenti recapiti:
Per tutte le questioni relative al trattamento dei Suoi dati personali e all'esercizio dei Suoi diritti, potrà rivolgersi al nostro Responsabile della protezione dei dati, che può essere contattato ai seguenti recapiti:
Tratteremo i Suoi dati se il trattamento è necessario all'esecuzione di un contratto di cui Lei è parte (anche in qualità di legale rappresentante) o all'esecuzione di misure precontrattuali adottate su Sua richiesta.
Inoltre, tratteremo i Suoi dati se il trattamento è necessario per adempiere un obbligo legale oppure se è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri.
stipulazione, esecuzione ed estinzione di un contratto, inclusi gli adempimenti attinenti alla liquidazione e al pagamento;
favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche e promuovere la partecipazione al dibattito pubblico, secondo quanto stabilito dalla normativa in materia di trasparenza e, in particolare, dal decreto legislativo 14 marzo 2013, n. 33;
attività di controllo e ispettive, in particolare per gli accertamenti d’ufficio svolti secondo le disposizioni in materia di documentazione amministrativa contenute nel Decreto del Presidente della Repubblica 28 dicembre 2000, n. 445.
Il conferimento dei dati personali è un un requisito necessario per la stipulazione del contratto; se Lei non conferisce i dati richiesti, il contratto non potrà essere stipulato.
Destinatari dei dati dati e trattamento di dati ottenuti da terzi.
I Suoi dati saranno comunicati a terzi solo se la comunicazione è necessaria all’esecuzione del contratto, nei casi specificati dallo stesso contratto, oppure se è necessaria per adempiere un obbligo legale o è previsto dalla normativa dell’Unione europea oppure da legge o regolamento.
In particolare, i Suoi dati potranno essere comunicati alle amministrazioni certificanti (ad esempio, INPS e CCIAA) per accertamenti d’ufficio ai sensi dell’articolo 43 Decreto del Presidente della Repubblica 28 dicembre 2000, n. 445; il trattamento in base a tale disposizione comprende l’accesso diretto agli archivi delle amministrazioni certificanti. Tratteremo i dati ottenuti dalle amministrazioni certificanti per il completamento dei relativi controlli. I dati ottenuti comprendono anche dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza, che saranno richiesti al casellario giudiziario per la verifica dei requisiti di onorabilità secondo quanto previsto dalla normativa in materia.
I Suoi dati saranno pubblicati nella sezione “Amministrazione trasparente” nei casi previsti dalla normativa in materia di trasparenza.
Per il trattamento dei dati ci avvaliamo di responsabili del trattamento che trattano i dati per nostro conto, il cui elenco aggiornato è reperibile esercitando il diritto di accesso.
I Suoi dati saranno conservati per il periodo di tempo specificato, per ogni tipologia di documento, nel massimario di conservazione e scarto approvato con deliberazione della Giunta provinciale n. 2503 del 30 dicembre 2015. Se nel massimario è indicato un tempo di conservazione illimitato, i Suoi dati saranno trattati per il tempo necessario in relazione alle finalità specificate e successivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.
Lei potrà esercitare in ogni momento i Suoi diritti in relazione ai dati trattati, in base ai quali potrà in particolare:
chiedere l’accesso ai Suoi dati personali, anche per ottenere copia degli stessi;
ottenere la rettifica o l’integrazione dei dati inesatti o incompleti;
se ne ricorrono i presupposti normativi, opporsi al trattamento o esercitare il diritto di limitazione.
Lei, inoltre, ha diritto di proporre reclamo al Garante per la protezione dei dati personali.
INFORMATIVA PRIVACY “modalità di gestione dei dati personali nel sito web dell’istituzione...
La presente informativa descrive le modalità di gestione del sito web ufficiale dell’istituzione scolastica e dei siti da essa gestiti in riferimento al trattamento dei dati personali degli utenti, identificati o identificabili, che lo consultano e che interagiscono con esso e con i servizi web dell’istituzione scolastica accessibili per via telematica. L'informativa è resa ai sensi dell´art. 13 del Regolamento UE 2016/679 e si ispira alla Raccomandazione n. 2/2001 relativa ai requisiti minimi per la raccolta di dati personali on-line nell'Unione Europea, adottata il 17 maggio 2001 dal Gruppo istituito dall'art. 29 della direttiva n. 95/46/CE. In particolare, la presente informativa intende fornire notizie relative alle modalità, ai tempi e alla natura delle informazioni che i Titolari del trattamento devono fornire agli utenti quando questi si collegano a pagine web, indipendentemente dagli scopi del collegamento. L´informativa è resa solo per il sito web ufficiale dell’istituzione scolastica……………………………………….. e dei siti da essa gestiti e non per altri siti web esterni, eventualmente consultati dall’utente tramite link.
Il Titolare del trattamento dei dati personali è l’istituzione scolastica………………………………nella persona del Dirigente scolastico pro tempore, con sede legale …………………………….., tel……………………………,fax……………………..e-mail……………………….pec:…………………………………………………………….Responsabile della protezione dei dati è:
Via Giuseppe Gilli, 3 – 38021 Trento (TN)
telefono: +39 0461 497250
Il sito web consente l'immissione di dati personali per specifiche finalità.
Per massima trasparenza ed in via generale, si informa che i dati ricevuti saranno utilizzati esclusivamente per l'erogazione del servizio richiesto e per il solo tempo necessario per la fornitura del servizio. Le informazioni che gli utenti del sito riterranno di rendere pubbliche tramite i servizi e gli strumenti messi a disposizione degli stessi, saranno fornite dall'utente consapevolmente e volontariamente, esentando il titolare del trattamento da qualsiasi responsabilità in merito ad eventuali violazioni delle leggi. Spetta all'utente verificare di avere i permessi per l'immissione di dati personali di terzi o di contenuti tutelati dalle norme nazionali ed internazionali.
I dati raccolti tramite il sito web durante il suo funzionamento sono utilizzati esclusivamente per le finalità indicate nella specifica informativa inserita nel sito web, nonché conservati per il tempo strettamente necessario così come definito nella specifica informativa (anche in relazione ai massimari di scarto e di archivio).
I trattamenti connessi ai servizi web di questo sito hanno luogo presso la sede dell'istituzione scolastica e sono curati solo da personale tecnico autorizzato al trattamento, oppure da eventuali soggetti autorizzati ad occasionali operazioni di manutenzione.
In questa categoria di dati rientrano gli indirizzi IP o i nomi a dominio dei computer utilizzati dagli utenti che si connettono al sito, gli indirizzi in notazione URI (Uniform Resource Identifier) delle risorse richieste, l'orario della richiesta, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta, il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.) ed altri parametri relativi al sistema operativo e all'ambiente informatico dell'utente. Questi dati vengono utilizzati al solo fine di ricavare informazioni statistiche anonime sull'uso del sito e per controllarne il corretto funzionamento e vengono conservati per il tempo strettamente necessario. I dati potrebbero essere utilizzati per l'accertamento di responsabilità in caso di ipotetici reati informatici ai danni del sito.
Dati forniti volontariamente dall’utente. L'invio facoltativo, esplicito e volontario di posta elettronica agli indirizzi indicati su questo sito comporta la successiva acquisizione dell'indirizzo del mittente, necessario per rispondere alle richieste, nonché degli eventuali altri dati personali inseriti nella missiva.Cosa sono i cookies? I cookies sono piccoli files di testo che i siti web usano per memorizzare e raccogliere informazioni attraverso il browser. Sono utilizzati principalmente per misurare e migliorare la qualità del sito attraverso l'analisi del comportamento dei visitatori, per personalizzare le pagine e ricordare le preferenze degli utenti.
La "cookie law" (Direttiva 2009/136/CE) ha comportato la modificazione dell’art 122 del Codice in materia di protezione dei dati personali (D. Lgs. 196/2003), l'articolo richiede che sia ottenuto il consenso dai visitatori per memorizzare o raccogliere ogni informazione sul computer o su ogni altro dispositivo connesso al web.
Policy dell’istituzione scolastica in materia di cookies: si veda l’informativa tecnica sull’utilizzo dei Cookies predisposta dall’istituzione scolastica.
A parte quanto specificato per i dati di navigazione, con l'uso o la consultazione del presente sito gli utenti approvano esplicitamente la presente informativa e acconsentono al trattamento dei loro dati personali in relazione alle modalità e alle finalità descritte, compresa l'eventuale comunicazione a terzi se necessaria per l'erogazione di un servizio. Il conferimento dei dati e quindi il consenso alla raccolta e al trattamento dei dati è facoltativo; l'utente può negare il consenso e può revocare in qualsiasi momento un consenso già fornito. Tuttavia, negare il consenso può comportare l'impossibilità di erogare alcuni servizi e l'esperienza di navigazione nel sito potrebbe essere compromessa.
L'utente potrà esercitare, nei confronti del Titolare ed in ogni momento, i diritti previsti dal Regolamento, utilizzando gli appositi moduli od i contatti precisati sopra.
Gli interessati possono contattare il responsabile della protezione dei dati (RPD) per tutte le questioni relative al trattamento dei loro dati personali e all'esercizio dei loro diritti derivanti dal Regolamento utilizzando i contatti precisati sopra.
ESERCIZIO DEI DIRITTI IN MATERIA DI PROTEZIONE DEI DATI PERSONALI (Allegato 5)
Al Dirigente dell’istituzione scolastica
OGGETTO: ESERCIZIO DEI DIRITTI IN MATERIA DI PROTEZIONE DEI DATI PERSONALI
Il/La sottoscritto/a______________________________________________________________________________
nato/a a____________________________________ il ____________________________________________
(BARRARE SOLO LE CASELLE CH E INTERESSANO )
Accesso ai dati personali (art. 15 del Regolamento UE 2016/679)
ai sensi dell’art. 15 del Regolamento UE 2016/679 di confermargli/le se sia in corso un trattamento di dati personali che lo/la riguardano e, qualora la conferma dia esito positivo, di fornirgli/le una copia dei dati stessi.
La presente richiesta riguarda (al fine di fornire un più celere riscontro, indicare, se possibile, i dati personali, le categorie di dati personali o il trattamento cui si fa riferimento):
Richiesta di conoscere alcune notizie sul trattamento (art. 15 del Regolamento UE 2016/679)
Il/la sottoscritto/a chiede di conoscere:
i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare in caso di trasferimento dei dati in Paesi terzi o ad organizzazioni internazionali;
il periodo di conservazione dei dati ovvero il criterio utilizzato per determinare tale periodo;
l’esistenza di un processo decisionale automatizzato, la logica utilizzata, l’importanza e le conseguenze che il trattamento hanno per l’interessato;
l’origine dei dati, se raccolti presso terzi;
le adeguate garanzie, applicate ai sensi dell’art. 46 del Regolamento UE 2016/679, se i dati personali sono trasferiti ad un Paese terzo (fuori dall’Unione Europea) o ad un’organizzazione internazionale.
La presente richiesta riguarda (indicare, se possibile, i dati personali, le categorie di dati o il trattamento cui si fa riferimento):
Richiesta di intervento sui dati (rettifica, integrazione, cancellazione e limitazione – artt. 16, 17, 18 e 19 del Regolamento UE 2016/679)
Il/la sottoscritto/a richiede:
la correzione del/dei seguente/i dato/i personale/i (indicare quale/i dato/i personale/i) perché errato/i, nella forma seguente:
l’integrazione del/dei seguente/i dato/i personale/i (indicare quale/i dato/i personale/i) perché incompleto/i, nella forma seguente:
la cancellazione[1] del/dei seguente/i dato/i personale: (indicare quale/i dato/i personale/i)
per i motivi seguenti: (barrare laddove necessario)
perché la finalità istituzionale dell’istituzione scolastica è stata raggiunta
perché è stata fatta opposizione dal/dalla sottoscritto/a ed ha avuto esito a lui/a lei favorevole
perché il dato o i dati sono stati trattati in violazione di legge
per adempiere al seguente obbligo legale (indicarlo in breve)
[OPZIONALE: da inserire soltanto qualora l’informativa preveda il consenso e, quindi, la revoca del consenso tra i diritti dell’interessato] per revoca del consenso
la limitazione del trattamento[2] per il/i dato/i seguente/i: (indicare quale/i dato/i personale/i)
per i seguenti motivi (barrare laddove necessario):
perché si ritiene che il dato o i dati non siano esatti e fino al momento in cui verranno rettificati
perché, pur ritenendo il trattamento dei dati illecito, il/la sottoscritto/a è contrario alla cancellazione dei dati
perché i dati, pur non essendo più necessari all’istituzione scolastica, servono al/alla sottoscritto/a per l’accertamento, l’esercizio o la difesa di un proprio diritto in sede giudiziaria
il/la sottoscritto/a si è opposto al trattamento dei propri dati ed è in attesa della verifica in merito alla prevalenza dei suoi legittimi motivi
¨ di conoscere i destinatari (a cui sono stati trasmessi i dati personali) a cui il Titolare ha comunicato le rettifiche/cancellazioni/limitazioni
Opposizione al trattamento (art. 21 del Regolamento UE 2016/679)
Il/la sottoscritto/a si oppone al trattamento del/dei seguente/i dato/i personale:
(indicare quale/i dato/i personale/i)
per i seguenti motivi connessi alla situazione particolare (indicarli in breve):
[OPZIONALE: la seguente sezione (“Diritti connessi ad una decisione esclusivamente basata su un trattamento automatizzato”) dev’essere inserita solo qualora la specifica informativa contempli tali diritti dell’interessato]
Diritti connessi ad una decisione esclusivamente basata su un trattamento automatizzato, compresa la profilazione (art. 22 del Regolamento UE 2016/679)
Il/la sottoscritto/a, relativamente alla decisione derivante dal
trattamento esclusivamente automatizzato:
esercita il diritto di ottenere un intervento decisionale umano;
esprime la propria seguente opinione:______________________________________________________________________
contesta la decisione assunta
Il/la sottoscritto/a si riserva il diritto di ricorrere all’Autorità giudiziaria, o di proporre reclamo all’Autorità Garante se entro 1 mese (estensibile fino a tre mesi in caso di particolare complessità) dal ricevimento della presente istanza non perverrà un riscontro idoneo.
Recapito per le comunicazioni:
Via/Piazza________________________________________________________________________________
Comune__________________________________________________________________________________
Provincia ______________________________________________ Codice postale ___________________
telefax:___________________________
Allegare copia di un documento di riconoscimento:
[1] La cancellazione del dato non si applica nella misura in cui il trattamento sia necessario: a) per l’esercizio del diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo legale previsto dal diritto europeo o dello Stato membro cui è soggetto il titolare del trattamento; c) per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio dei pubblici poteri; d) per motivi di interesse pubblico nel settore della sanità pubblica; e) ai fini di archiviazione nel pubblico interesse, di ricerca scientifica e storica o a fini statistici; f) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. Deroghe possono essere altresì previste in base agli ordinamenti giuridici nazionali.
[2] Significa che, ad esclusione della conservazione, ogni operazione di trattamento del dato oggetto di limitazione è temporaneamente sospeso. I dati potranno essere trattati dall’istituzione scolastica solo: a) per l’esercizio o la difesa giudiziale di un diritto da parte della Provincia, b) per la tutela dei diritti di un terzo, oppure c) per motivi di rilevante interesse pubblico.
pdf 20180924114804008
pdf Menu scolastico
pdf ELEMROMAGNANO1819
pdf MEDIEMATTARELLO1819
pdf ELEMMATTARELLO1819
pdf Notainformativapersiti
pdf Biciclettata AVIS2018
pdf Progetto istituto 2017 2020

References: art. 13
 art. 18
 art. 15
 art. 38
 art. 28
 § 5
 § 5