Source: https://it.scribd.com/document/345510504/corso-privacy
Timestamp: 2020-06-01 13:22:44+00:00
Document Index: 166609859

Matched Legal Cases: ['art. 2', 'art. 11', 'art.1', 'art.2', 'art. 2050', 'art.4', 'art.4', 'art.4', 'art. 7', 'art.4', 'art.29', 'art.4', 'art.4', 'art.30', 'art. 30', 'art. 29', 'art. 24', 'art. 176', 'sentenza ', 'art. 24', 'art. 45']

Il Trattamento dei dati a scuola tra Trasparenza e Riservatezza
SalvaSalva corso privacy per dopo
privacy_it_it
Regolamento Trofeo ParkVolley Junior 2013
HA ANCORA SENSO OGGI LA PRIVACY ?
Per privacy s’intende comunemente il diritto della persona di impedire che le informazioni che la riguardano siano trattate da altri, se non si sia volontariamente dato il proprio consenso al trattamento dei propri dati.
Ma come si fa a parlare di privacy con telefonini che rivelano la nostra posizione anche quando sono spenti ? Che dire poi delle carte di credito o dei bancomat? O ancora dei fastpay o dei telepass autostradali? Inoltre siamo sempre di più sul web nei social network. Con la condivisione dei file esiste il rischio che la propria privacy possa essere violata.
“Per la mia generazione la privacy non è un valore”.
Così Mark Zuckerberg, fondatore di Facebook, in un’intervista a Repubblica.
In effetti a chi non piace condividere con gli amici via Facebook tutto ciò che facciamo o leggiamo o guardiamo nel Web? Ebbene la nostra privacy è a rischio: i pulsanti come “ Mi piace” o ”Share” permettono di tracciare i percorsi della nostra navigazione e il social network sa tutto sulla nostra navigazione. Quindi la privacy è ancora un valore? Certo. La privacy deve essere un valore perché è un diritto inviolabile posto a garanzia del fatto che ciascuno di noi possa scegliere o meno di esprimere volontariamente ciò che è , liberamente , nel rispetto delle libertà altrui. Se il valore che si dà alle informazioni riguardanti la propria persona è scarso è perché si conoscono solo sommariamente i problemi legati alla materia di sicurezza; allora è opportuno fare formazione .
Le INFORMAZIONI alle quali abbiamo accesso per il nostro lavoro si possono RICEVERE ma si possono anche DIVULGARE ,
Quindi , non è solo la nostra Privacy ad essere in pericolo e a dover essere rispettata ma anche quella degli altri.
E’ quindi importante , soprattutto per dei pubblici dipendenti , rispettare e far rispettare il diritto alla riservatezza di alunni , famiglie e colleghi .
● La nozione di Privacy ha origini antiche e non ha avuto sempre connotazioni univoche. ● Nell’antica Grecia ad es. era un dovere per i cittadini maschi partecipare alla vita pubblica. La riservatezza fine a sé stessa , come vita spesa fuori dal mondo comune , era considerata quasi antisociale tanto che lo stesso Platone riteneva che in una società ideale non vi fosse alcun bisogno di una sfera privata dove rifugiarsi. Anzi veniva considerato un pretesto per sottrarsi agli obblighi etici e sociali.
● In età medievale il termine divenne sinonimo di Familiare. Nella società feudale il potere pubblico come noi lo conosciamo si frammentava , si disseminava di casa in casa trasformando ogni dimora in un piccolo stato sovrano dove si esercita un potere che , pur essendo limitato ad una famiglia , conservava ugualmente il suo carattere pubblico. La fitta rete di relazioni che collegavano gli individui che ne facevano parte , caratterizzava la società feudale. Finché non si sviluppò il senso di Intimità. L’intimità consentiva all’individuo di distaccarsi dalla vita in comune con i propri associati :
Intimità nel sonno , intimità nei pasti , intimità nel rituale religioso e sociale e infine intimità di pensiero. Ciò segna la fine delle reciproche relazioni sociali tra i ranghi inferiori e superiori del regime feudale che portò alla sua disgregazione ed all’affermazione della riservatezza nella sua connotazione a noi più vicina. Questo fu possibile grazie alla progressiva costruzione
dell’alfabetizzazione. Tra il XVIII e il XIX secolo si affermò il cosiddetto Right to privacy cioè la privacy in ambito giuridico. Nacque l’esigenza di protezione giuridica della personalità di un individuo equiparando la violazione della privacy a quella del domicilio privato.
Il diritto alla Privacy nell’ordinamento italiano:
La tutela generale dell’interesse alla riservatezza trova fondamento negli artt. 3 e 13 della Costituzione. Il primo parla di pari dignità sociale dell’uomo, il secondo dell’inviolabilità della libertà della persona. La riservatezza è dunque quell’interesse che in base ad una certa valutazione legislativa e sociale risulta fondamentale per l’individuo al quale si riconosce un certo ambito privato dal quale poter escludere l’altrui ingerenza e l’indiscriminata pubblicizzazione di ciò che lo riguarda nell’intimo. Il rifiuto di tale riconoscimento finirebbe col menomare gravemente la persona pregiudicando la sua dignità. Definendo la riservatezza un valore essenziale della persona , il diritto alla privacy diventa diritto inviolabile tutelato dall’art. 2 della Costituzione
“La Repubblica riconosce e garantisce i diritti inviolabili dell'uomo, sia come singolo sia nelle formazioni sociali ove si svolge la sua personalità e richiede l'adempimento dei doveri inderogabili di solidarietà politica, economica e sociale”.
Il nostro codice civile (approvato con r.d. 16 marzo 1942 n.262) non aveva previsto alcuna norma in tema di trattamento dei dati personali. La riservatezza dell’individuo non godeva di una specifica protezione. Pertanto non veniva tutelata
I giudici chiamati a pronunciarsi in merito all’esistenza di un diritto ad un risarcimento, rispetto a lamentate violazioni della riservatezza, poiché essa non godeva di una specifica protezione, concludevano che non poteva affermarsi alcun diritto al risarcimento del danno .
L’emersione di un diritto soggettivo al controllo sulle informazioni, riguardanti sé medesimo, ma detenute da altri, si è avuto con l’approvazione della legge 31 /12 /96 n.675.
Tale disposizione (meglio nota come legge sulla privacy) è stata introdotta nel nostro sistema giuridico in attuazione di una Direttiva comunitaria (la Dir. 95/46 del 24 ottobre 1995)
In Italia si è quindi dovuto attendere il 1996 per avere una normativa che si occupasse del trattamento dei dati personali con la Legge 675. Questa esigenza di riservatezza , mutevole nel tempo , aumenta in modo direttamente proporzionale alla diffusione dei computer ed alla necessità di limitare l’accesso indiscriminato alle banche dati in essi contenute. Ciò ha provocato l’adeguamento della normativa relativa. Così Il 30 giugno 2003 viene approvato il decreto legislativo n. 196, recante il Codice in materia di protezione dei dati personali Da esso emerge con chiarezza il ruolo centrale assunto dal consenso del titolare dei dati e il carattere sanzionatorio della norma in caso di violazioni delle disposizioni in esso contenute. Si codifica che il trattamento dei dati personali integra un valore immanente a qualsiasi attività pubblica e nell’art. 11, comma 2 si precisa che: “i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali, non possono essere utilizzati”.
Il rispetto delle forme dell’azione dell’amministrazione costituisce un elemento essenziale nella valutazione dei comportamenti degli apparati pubblici essendo prioritaria rispetto alle valutazioni sul merito.
Un’attività -seppur meritoria ed opportuna -può essere censurata, in quanto realizzata in virtù di un trattamento
illecito dei dati. ( Es. l’esclusione dalle graduatorie per la L.104)
Costituzione Italiana, artt. 2 , 3 e 13
Art. 2 La Repubblica riconosce e garantisce i diritti inviolabili dell'uomo, sia come singolo, sia nelle formazioni sociali ove si svolge la sua personalità, e richiede l'adempimento dei doveri inderogabili di solidarietà politica, economica e sociale. Art. 3 Tutti i cittadini hanno pari dignità sociale e sono eguali davanti alla legge, senza distinzione di sesso, di razza, di lingua, di religione, di opinioni politiche, di condizioni personali e sociali. È compito della Repubblica rimuovere gli ostacoli di ordine economico e sociale, che, limitando di fatto la libertà e la uguaglianza dei cittadini, impediscono il pieno sviluppo della persona umana e l'effettiva partecipazione di tutti i lavoratori all'organizzazione politica, economica e sociale del Paese. Art. 13 La libertà personale è inviolabile…
(art.1) “Chiunque ha diritto alla protezione dei dati personali che lo riguardano”
(art.2)“Il presente testo unico, di seguito denominato "codice", garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali”
1. Il presente regolamento, identifica nelle schede allegate, le tipologie di dati sensibili e giudiziari e di operazioni indispensabili per la gestione del sistema dell'istruzione, nel perseguimento delle finalità di rilevante interesse pubblico individuate dal codice e dalle specifiche previsioni di
● Si tratta di Atti di Indirizzo , Interpretazioni del Garante della Privacy su specifici argomenti e in specifici settori. Es. come comportarsi con i temi a scuola ,o come conciliare la trasparenza nel sito della scuola col rispetto della privacy
L’attività di una qualsiasi amministrazione pubblica, comporta, inevitabilmente, l’elaborazione di una pluralità di informazioni
Tali informazioni sono, nella maggior parte dei casi, assunte mediante strumenti cartacei e successivamente rielaborate mediante strumenti elettronici
Perseguiti dall’amministrazione scolastica implica l’acquisizione di dati concernenti :
- i lavoratori impegnati nelle attività di istruzione , di amministrazione e di collaborazione
- i beneficiari delle prestazioni : gli studenti le proprie famiglie, i fornitori di beni e servizi.
delle informazioni ricevute per fini istituzionali ,devono perciò avvenire:
- Nel rispetto delle norme e dei valori assunti dal nostro sistema
- Con la possibilità di controllare la circolazione delle informazioni di cui si viene in possesso.
Qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali. Nel trattare i dati il soggetto pubblico osserva i presupposti e i limiti stabiliti dal codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti. …… Il trattamento dei dati sensibili da parte di soggetti pubblici è Consentito solo se autorizzato da espressa disposizione di legge
Art. 15 Danni cagionati per effetto del trattamento 1.Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. 2.Il danno non patrimoniale è risarcibile anche in caso di violazione dell‘articolo 11.
a) trattati in modo lecito e secondo correttezza;b) raccolti e registrati per scopi
determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento intermini compatibili con tali scopi; c) esatti e, se necessario, aggiornati;
d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali
sono raccolti o successivamente trattati;e) conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.
2. I dati personali trattati in violazione della disciplina rilevante in materia
di trattamento dei dati personali non possono essere utilizzati.
Il trattamento dei dati viene qualificato come ‘esercizio di attività pericolosa’ (art. 2050 c.c.)
Vale il “principio dell’inversione dell’onere della prova”.
l’aver adottato le misure minime evita sanzioni amministrative o penali, ma non esime da un eventuale risarcimento danni !!!
• Massima discrezione
Alcuni “consigli”
• Pochi “scambi informativi” tra colleghi.
• Nessuno “scambio informativo” con l’esterno
il ricorso alla tecnologia informatica non è determinante per il compimento dell'atto. Alcuni esempi:
• ingiuria;
• diffamazione;
• minacce e molestie;
• trattamento illecito dei dati personali e violazione della privacy;
• violazione dei diritti d'autore.
reati informatici ricorso alla tecnologia informatica è determinante per il compimento dell'atto.
accesso abusivo ad un sistema informatico e telematico,
diffusione di programmi diretti a danneggiare o interrompere un sistema;
• danneggiamento informatico,
detenzione abusiva di codici di accesso a sistemi informatici o telematici;
• frode informatica.
• Art. 161 Informativa all'interessato omessa o non idonea: da 3.000 a 18.000 € (da 5.000 a 30.000 € nei casi di dati sensibili o giudiziari), (e fino al triplo) Omessa informativa per dati sensibili o giudiziari o in caso di trattamenti che presentano rischi specifici o di maggiore rilevanza o di pregiudizio Sanzione da € 5.000 a € 30.000
● Art. 162. Altre fattispecie ● 1. La cessione dei dati in violazione di quanto previsto dall'articolo 16, comma 1, lettera b), o di altre disposizioni in materia di disciplina del trattamento dei dati personali è punita con la sanzione amministrativa del pagamento di una somma da cinquemila euro a trentamila euro.
● 2. La violazione della disposizione di cui all'articolo 84, comma 1, è punita con la sanzione amministrativa del pagamento di una somma da cinquecento euro a tremila euro.
● Art. 163. Omessa o incompleta notificazione ● 1. Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ai sensi degli
● articoli 37 e 38, ovvero indica in essa notizie incomplete, è punito con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell'ordinanza- ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento che la applica.
● • Art 164 Omessa informazione o omessa esibizione dei documenti richiesti dal Garante: da 4.000 a 24.000 € .
● SANZIONI PENALI
● • Art 167 Trattamento illecito di dati personali: reclusione da 6 mesi a 3 anni.
● • Art 168 False dichiarazioni o comunicazioni al Garante:
● • Art 169 Omessa adozione misure minime di sicurezza: arresto fino a 2 anni o sanzione amministrativa, pagamento di una somma da 10.000 € a 50.000 €.
● • Art 170 Inosservanza dei provvedimenti del Garante:
reclusione da 3 mesi a 2 anni.
Art. 4-Definizioni Art. 5-Oggetto e ambito di applicazione Artt. 28-30-Soggetti che effettuano il trattamento Artt. 33-35-Misure minime di sicurezza - Disciplinare tecnico allegato B Artt. 95-96 Istruzione Artt. 161,167,169,170-Sanzioni
Cos’è il Trattamento dei dati
Art. 4. Definizioni ● 1. Ai fini del presente codice si intende per:
● a) "trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modifica, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati;
I profili oggettivi:
● i dati.ai sensi dell’art.4 del Codice
● i dati oggetto di trattamento si distinguono in
● sensibili
● giudiziari
● personali
● identificativi
● I dati costituiscono le informazioni inerenti individui, persone giuridiche, enti o associazioni, usualmente utilizzati dall’amministrazione per le funzioni d’istituto.
● La cura delle funzioni istituzionali implica necessariamente l’acquisizione e l’elaborazione di dati, quindi, come già osservato, si può affermare che
● non può curarsi l’interesse pubblico senza trattare dati personali.
● Ai sensi dell’art.4, comma 1, lett.b) del Codice, integra "dato personale", qualunque “informazione relativa a persona fisica, persona giuridica, ente associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale”. Lett. c) "dati identificativi", i dati personali che permettono l'identificazione diretta dell'interessato;
● E’un dato personale ogni informazione, relativa ad un individuo o una persona giuridica, ente o associazione che permetta l'identificazione diretta dell'interessato”.
● Alla luce di siffatta definizione, è evidente che, la maggior parte delle informazioni attinenti agli individui o alle persone giuridiche, enti o associazioni, debbano ricondursi nell’ambito dei dati personali.
● Art. 4 lett. d) "dati sensibili", i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale;
Il legislatore ha caratterizzato i dati sensibili, identificandoli come i dati personali espressivi dei valori qualificanti la personalità dell’ individuo o del gruppo.
● Non si hanno quindi distinzioni fra individui e collettività, più o meno organizzate: le informazioni inerenti i convincimenti di un gruppo godono della medesima tutela delle corrispondenti informazioni relative al singolo.
● L’interessato cui si riferiscono le informazioni, può anche non prestare alcuna attenzione alla riservatezza delle stesse, ostentando addirittura i valori in cui si riconosce (si pensi all’esibizione di una spilla raffigurante un logo sindacale o politico), ma non per questo l’amministrazione può esautorare la normativa esistente per i dati sensibili.
Il dato conserva la sua qualità a prescindere dalla sua conoscibilità per fatto dell’interessato. Anche l’inattualità del dato non incide sulle condizioni del trattamento. Si pensi all’appartenenza ad un’organizzazione sindacale di un lavoratore che si sia, successivamente, dissociato dalla linea dell’organizzazione, ma non abbia informato l’amministrazione. L’apparato pubblico è comunque tenuto a proteggere il dato sensibile, anche qualora il lavoratore non condivida più i valori insiti nel dato stesso
Sul punto si è pronunciato il Garante per la protezione dei dati personali, con riferimento alle“riprese video ed alle fotografie raccolte dai genitori, durante recite e saggi scolastici”. Il Garante ha espressamente sancito che le riprese, sebbene possano avere ad oggetto minori con disabilità fisiche, non violano la privacy ,in quanto “non destinate a diffusione, ma raccolte per fini personali e destinate ad un ambito familiare o amicale”. Garante per la protezione dei dati personali, Newsletters dell’8-21 dicembre
Dalla pronuncia, per converso, si deduce che le suddette immagini, qualora fossero raccolte dall’istituzione scolastica, per fini promozionali (archiviazione nel sito istituzionale) o commerciali (vendita delle videocassette relative alle stesse recite, ovvero produzione e vendita di calendari con le immagini delle classi), coinvolgendo minori e raffigurando, eventualmente, anche portatori di disabilità varie, dovrebbero essere precluse, in quanto non afferenti all’offerta formativa.
L’art.4, comma 1, lett. e) del Codice, qualifica come “dati giudiziari”, i dati personali “idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale”. Tale definizione circoscrive le informazioni da assoggettarsi alla più stringente disciplina dei dati giudiziari.
L’INTERESSATO O LA PERSONA PRESSO LA QUALE SONO RACCOLTI I DATI PERSONALI SONO PREVIAMENTE INFORMATI ORALMENTE O PER ISCRITTO.
I dati dell’interessato possono essere usati a seconda dei vari casi con o senza il suo consenso
● Consenso(Art. 23)
● 1. ammesso solo con il consenso espresso
● 2. Il consenso è validamente prestato solo
● 1. se è espresso liberamente
● 2. se è documentato per iscritto
● 3. se sono state rese all'interessato le informazioni di cui all'articolo 13.
● 3. in forma scritta quando il trattamento
● riguarda dati sensibili (e ricordarsi che occorre la notifica!!!)
Il consenso non sempre è necessario
In alcuni casi il trattamento può essere effettuato senza il consenso degli interessati.
Il consenso non è necessario se…
● I dati sono stati raccolti e sono conservati perché così prescrive la legge o un regolamento o una norma comunitaria.
Il consenso non è necessario …
● Quando il trattamento è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza.
Il consenso non è necessario se…
● Il trattamento di dati è necessario per adempiere agli obblighi previsti da un contratto.
● I dati sono ricavati da pubblici registri, atti o documenti che chiunque può conoscere.
● In tutti gli altri casi si deve informare l’interessato dei trattamenti che si vogliono effettuare con una
“informativa”.
Nell’informativa è necessario specificare …
● Quali sono gli scopi e le modalità del trattamento
● Se l'interessato è obbligato o no a fornire i dati
● Quali sono le conseguenze se i dati non vengono forniti
● I soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi
● Quali sono i diritti riconosciuti all'interessato
Nell’informativa è necessario specificare
● Se i dati sono presso l'interessato, oppure presso terzi
● Chi sono il titolare e il responsabile del trattamento e dove sono raggiungibili (indirizzo, telefono, fax ecc.). ● Se il titolare ha designato più
responsabili è indicato
almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole
l’elenco aggiornato dei responsabili.
● I diritti dell’interessato Previsti dall’art. 7 e le modalità di ricorso al Garante in caso di Trattamento dei dati contrastante Con la norma vigente
■ La legge sulla privacy riconosce all'interessato alcuni importanti diritti nel trattamento dei propri dati personali
● L’interessato è la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali
Il diritto di accessoai propri dati
● Il diritto di accesso ai propri dati personali direttamente presso chi li detiene (titolare del trattamento) - ossia il diritto di ottenere la conferma della loro esistenza e la loro comunicazione e di sapere da dove sono stati acquisiti e quali sono i criteri e gli scopi del trattamento, in questo caso il titolare può chiedere il pagamento di una somma ("contributo spese") se non detiene dati dell'interessato.
Il diritto di ottenere la cancellazione o il blocco
● Il diritto di ottenere la cancellazione o il blocco di dati che sono trattati violando la legge (ad esempio, perché non è stato chiesto il consenso). Tali diritti possono essere esercitati anche quando non ci sono più motivi validi per conservare i dati
Il diritto di aggiornare i dati inesatti
● Il diritto di aggiornare, correggere o integrare i dati inesatti e incompleti.
Il diritto di opporsi al trattamento dei propri dati
● Il diritto di opporsi, per motivi legittimi, al trattamento dei propri dati.
Il diritto di opporsi al trattamento dei propri dati per scopi commerciali
● Il diritto di opporsi al trattamento dei propri dati per scopi di informazione commerciale o per l'invio di materiale pubblicitario o di vendita diretta, oppure per ricerche di mercato
ll Titolare Il Responsabile L’incaricato Il Garante Il RESPONSABILE del Sistema informativo
( d.lgs. 39/93 Norme in materia di sistemi informativi automatizzati delle PA )
● L’art.4, comma 1, lett. f) del Codice delinea la figura del titolaredel trattamento quale:
● “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”.
● L’art.29, comma 5 del Codice che, al fine di precisare i rapporti fra titolare e responsabile del trattamento, dispone che:
● “il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni e delle proprie istruzioni”.
● Da ciò si evince che:
● il titolare deve impartire istruzioni
● il medesimo deve procedere a verifiche periodiche al fine di assicurare il rispetto delle prescrizioni dirette a disciplinare il trattamento dei dati
Il “titolare” è l'entità nel suo complesso (ad
esempio, la società, il ministero, l'ente pubblico,
taluna delle persone fisiche che operano
nella relativa struttura e che concorrono, in concreto, ad esprimerne la volontà o che sono legittimati a manifestarla all'esterno (ad esempio, l'amministratore delegato, il ministro, il direttore generale, il presidente, il legale rappresentante, ecc.)”.
● L’intestazione della qualità di titolare del trattamento dei dati personali in capo all’istituzione scolastica, all’Ambito Terr., all’USR, al Dipartimento ministeriale, implica che le attività connesse a tale ruolo(ossia l’adozione di istruzioni e la vigilanza) debbano essere esercitate da chi è legittimato a manifestare la volontà dell’istituzione scolastica, ossia, rispettivamente, il Dirigente scolastico, il Dirigente dell’Ambito Territoriale, il Direttore regionale, il Capo Dipartimento.
● Tali soggetti dovranno quindi attivarsi per garantire il rispetto delle prescrizioni vigenti, assumendosi altresì le (proprie) responsabilità rispetto a comportamenti omissivi e/o negligenti.
● L’art.4, comma 1, lett. g) del Codice, precisa che per “responsabile del trattamento", deve intendersi “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali”.
● Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
● Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti.
● I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare
● Tali disposizioni inducono a ritenere che:
● ove si ha un trattamento dei dati, mentre è sempre individuabile un titolare, non necessariamente si ha un responsabile
● la designazione del responsabile deve essere formalizzata(atto del preporre)
● L’individuazione del responsabile, presso gli apparati scolastici, integra una valutazione del Dirigente scolastico, fondata sull’esame delle funzioni espletate dal personale in servizio presso l’istituzione. ● Direttore dei Servizi Generali Amministrativi (D.S.G.A.) l’attribuzione al medesimo della qualità di responsabile del trattamento, appare come ipotesi più accreditata.
● Ai sensi dell’art.4, comma 1, lett. h) del Codice, possono qualificarsi come "incaricati", solo “le persone fisiche autorizzate a compiere operazioni di trattamento dei dati dal titolare o dal responsabile”.
● L’art.30 del Codice, a sua volta, precisa che: Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite
● La designazione è effettuata per iscritto e individua puntualmente l'ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unità per la quale è individuato, per iscritto, l'ambito del trattamento consentito agli addetti all'unità medesima
● Da tali definizioni si evince che: ove si ha un trattamento dei dati, mentre è sempre individuabile un titolare, non necessariamente si ha un incaricato
● L’incaricato deve essere designato o dal responsabile o dal titolare del trattamento
● La designazione non è necessariamente nominativa potendosi procedere ad una designazione impersonale, ossia nei confronti di tutti gli addetti ad un’unità
● L’individuazione degli incaricati costituisce una scelta ponderata sulla base dei compiti e della collocazione nella struttura, di competenza del titolare e/o del responsabile.
● L’affermazione contenuta nella Direttiva PCM- DFP n.1 del 2005, secondo cui gli incaricati sarebbero “i soli che possono materialmente effettuare le operazioni di trattamento di dati personali”, deve essere interpretata nel senso che ……. ● …. oltre al titolare ed al responsabile, gli incaricati sono gli unici soggetti legittimati a trattare dati personali all’interno degli apparati pubblici.
● Il Codice ammette di qualificare come incaricati tutti gli addetti impegnati presso una certa struttura ● (es.: la segreteria dell’istituto, ovvero l’ufficio relativo al personale o la ragioneria … )
● Il personale docente tratta dati dell’alunno
● ( registro di classe , del prof., scheda alunno, notizie dell’alunno diversamente abile , gli elaborati)
● Pertanto il docente viene incaricato del trattamento dei dati
● Gli incaricati dovranno attenersi alle misure di sicurezza previste dal codice ed alle ulteriori direttive ed istruzioni adottate dall’Istituzione Scolastica, in armonia con quanto previsto nel DPS(Documento Programmatico sulla Sicurezza)
IL GARANTE - www.garanteprivacy.it
● 1. Opera in piena autonomia e con indipendenza
● 2. E’ organo collegiale costituito da quattro componenti esperti di riconosciuta competenza delle materie del diritto o dell'informatica,
● 3. I componenti eleggono nel loro ambito un presidente,
● 4. Il presidente e i componenti durano in carica quattro anni e non possono essere confermati per più di una volta;
● 5. il presidente e i componenti non possono esercitare, a pena di decadenza, alcuna attività professionale o di consulenza, né essere amministratori o dipendenti di enti pubblici o privati, né ricoprire cariche elettive.
RESPONSABILE del Sistema informativo dlgs 39/93 Norme in materia di sistemi informativi automatizzati delle PA ● E’ il referente cui compete la pianificazione degli interventi di automazione e l’individuazione delle misure di sicurezza informatica
● L'attribuzione delle funzioni di amministratore di sistema deve avvenire previa valutazione delle caratteristiche di esperienza, capacità e affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
● Anche quando le funzioni di amministratore di sistema o assimilate sono attribuite solo nel quadro di una designazione quale incaricato del trattamento ai sensi dell'art. 30 del Codice, il titolare e il responsabile devono attenersi comunque a criteri di valutazione equipollenti a quelli richiesti per la designazione dei responsabili ai sensi dell'art. 29.
● LINEE GUIDA IN MATERIA DI SICUREZZA PER IL DOCENTE INCARICATO DEL TRATTAMENTO
● Vengono di seguito indicate le misure operative da adottare per garantire la sicurezza dei dati personali e, in particolare, dei dati sensibili e giudiziari:
● - Custodire in apposito armadio dotato di serratura nella stanza individuata come sala professori dell’edificio i seguenti documenti:
● 1-Registro personale
● 2-Certificati medici esibiti dagli alunni a giustificazione delle assenze
● 3-Qualunque altro documento contenente dati personali o sensibili degli alunni
● Verificare la corretta funzionalità dei meccanismi di chiusura dell’armadio, segnalando tempestivamente al responsabile di sede eventuali anomalie.
● - Consegnare il registro di classe al collaboratore scolastico incaricato, al termine delle attività didattiche giornaliere, per la sua custodia in apposito armadio dotato di serratura nella stanza individuata come sala professori dell’edificio.
● - Seguire le istruzioni del docente responsabile dell’aula di informatica.
● - Seguire le istruzioni del docente responsabile di sede nel caso di trattamento dei dati personali per fini diversi da quelli relativi ai punti 1 e 2.
● - Tutte le comunicazioni indirizzate agli uffici della sede centrale, ad altro personale della scuola e al dirigente scolastico debbono essere consegnate in busta chiusa al responsabile di sede o al protocollo della sede centrale. Non è consentito, se non espressamente autorizzato, l’utilizzo del fax, della posta elettronica e dei collegamenti alla rete internet per il trattamento dei dati personali.
● Per i docenti che utilizzano l’aula di informatica (nel caso di trattamento di dati personali) e per il responsabile dell’aula di informatica:
● Seguire le seguenti istruzioni operative per l’utilizzo dei personal computers :
● Non lasciare floppy disk, cartelle o altri documenti a disposizione di estranei;
● Non consentire l’accesso ai dati a soggetti non autorizzati;
● Riporre i supporti in modo ordinato negli appositi contenitori e chiudere a chiave classificatori e armadi dove sono custoditi;
● Scegliere una password con le seguenti caratteristiche:
● originale
● composta da otto caratteri
● che contenga almeno un numero
● che non sia facilmente intuibile, evitando il nome proprio, il nome di congiunti, date di nascita e comunque riferimenti alla propria persona o lavoro facilmente ricostruibili
● curare la conservazione della propria password ed evitare di comunicarla ad altri;
● cambiare periodicamente (almeno una volta ogni tre mesi) la propria password;
● modificare prontamente (ove possibile) la password assegnata dal custode delle credenziali;
● trascrivere su un biglietto chiuso in busta sigillata e controfirmata la nuova password e consegnarla al custode delle credenziali;
● spegnere correttamente il computer al termine di ogni sessione di lavoro;
● non abbandonare la propria postazione di lavoro senza aver spento la postazione di lavoro o aver inserito uno screen saver con password;
● comunicare tempestivamente al Titolare o al Responsabile qualunque anomalia riscontrata nel funzionamento del computer;
● utilizzare le seguenti regole per la posta elettronica:
non aprire documenti di cui non sia certa la provenienza non aprire direttamente gli allegati ma salvarli su disco e controllarne il contenuto con un antivirus controllare accuratamente l’indirizzo dei destinatario prima di inviare dati personali
Docenti – Assistenti Amministrativi – Collaboratori Scolastici
● Dati relativi agli alunni
● Gestione del personale
● Stipendi
● Archivi relativi ai fornitori
● Affari generali
● Protocollo
● Rapporti con enti e imprese
Area didattica / Dati relativi agli alunni
❑ DATI PERSONALI
•Fascicolo personale
✓Curriculum studi ✓Dati personali ✓Dati dei genitori ✓Fotografia
•Registro iscrizioni •Registro tasse scolastiche •Registro certificati •Registro diplomi
❑ DATI SENSIBILI
✓Cittadinanza ✓Convinzione religiosa ✓Stato di salute ✓Situazione di handicap ✓Vaccinazioni
Art.22 comma 7: i dati relativi allo stato di salute sono conservati separatamente da altri dati personali
❑ COMUNICAZIONE dati personali
✓Elenchi di classe ✓Elenchi elettorali ✓Registri di classe ✓Registro del professore ✓Registro dei consigli di classe ✓Registro dei voti ✓Registro esiti esami e idoneità
✓Invio registri Ambito Territoriale ✓Pratica Infortuni (INAIL – Assicurazione – Pubblica Sicurezza) ✓Pratiche Viaggi istruzione (passaporto collettivo – visto) ✓Documentazione viaggi studio (foto + dati personali)
❑ COMUNICAZIONE dati sensibili
✓Diagnosi Funzionale
Docenti Gruppo Handicap
✓Stato di salute
Personale di mensa Docenti Ed.Fisica
✓Convinzioni religiose
Docenti Consiglio Classe Docenti mensa
➢Finalità Istituzionali
❑ DIFFUSIONE DATI
> elenchi di classe
> esiti scrutini ed esami
➢Finalità non Istituzionali
N.B.= Art. 96 si possono diffondere solo su richiesta degli interessati
❑ CUSTODIA
➢Archivio
> presso l’ufficio didattica
> luogo dove si conservano i dati
❖ Dati informatici – backup (disco da conservare in cassaforte)
❑ SOGGETTI COINVOLTI
➢Dirigente Scolastico ➢Collaboratori del D.S. ➢Direttore SGA
➢Assistenti Amministrativi Area Didattica ➢Docenti ➢Tecnici informatica ( password – chiave d’ingresso dati) ➢Collaboratori Scolastici
Area personale / Gestione del personale
• Fascicolo personale
✓Dati personali ✓Dati dei familiari ✓Servizio prestato ✓Curricolo studi ✓Aggiornamento e Formazione
✓Cittadinanza ✓Convinzione religiosa ✓Iscrizione sindacati ✓Stato di salute ✓Situazione di handicap ✓Situazioni familiari ✓Procedimenti disciplinari
✓Elenchi del personale ✓Elenchi elettorali ✓Registro dei consigli di classe ✓Registro dei voti ✓Registro esiti esami e idoneità ✓Pratiche viaggi istruzione ✓Invio dati al CSA ✓INPS ✓INPDAP ✓Servizi Vari (MEF) ✓Ragioneria (MEF) ✓Altre scuole
✓Pratica infortuni
INAIL – Assicurazione – Pubbl. Sicurezza
Personale di Mensa ASL per accertamenti
Dirigente Scolastico (orario/altro) Mensa
✓Organigramma nominativo ✓Graduatorie ✓Piano lavoro personale ATA ✓Contratti ✓Nomine / Incarichi nominativi
N.B.= Art.96 si possono diffondere solo su richiesta degli interessati
> presso l’ufficio del personale
➢Assistenti Amministrativi Area Personale ➢Tecnici informatica ( password – chiave d’ingresso dati) ➢Collaboratori Scolastici
Area Contabilità / Stipendi
❑ DATI PERSONALE
✓ Dati personali
✓ Dati nucleo familiare
✓ Situazioni stipendiali
✓ Ritenuta sindacale
✓ Esistenza particolari situazioni
(pignoramenti, assegni mantenimento, cessioni ecc … )
✓ Cedola stipendi e accessori
✓ Registro stipendi
❑ COMUNICAZIONE dati personale
✓INPS ex INPDAP ✓SERVIZI VARI (MEF) ✓RAGIONERIA (MEF) ✓Altre scuole
Area Contabilità Area affari generali Protocollo, archivio, rapporti con enti e imprese.
❑ ALTRI DATI TRATTATI
✓Anagrafe prestazioni (personale interno ed esterno) ✓Contratti o convenzioni con soggetti esterni ✓Elenco fornitori
Area Contabilità / Stipendi & Archivi relativi ai fornitori
> presso l’ufficio amministrativo
➢Assistenti Amministrativi Area Amministrativa e Affari Generali ➢Tecnici informatica ( password – chiave d’ingresso dati) ➢Assistenti Tecnici ➢Collaboratori Scolastici
Privacy ed accesso ai documenti
L’art. 24 c.3 della legge 241/90 è stato integrato dall’art. 176 del Codice il quale prevede che dopo le parole “mediante strumenti Informatici” sono inserite le seguenti “ fuori dei casi di accesso a dati personali da parte della persona a cui i dati si riferiscono”
● Fatto salvo quanto previsto dall'articolo 60, i presupposti, le modalità, i limiti per l'esercizio del diritto di accesso a documenti amministrativi contenenti dati personali, e la relativa tutela giurisdizionale, restano disciplinati dalla legge 7 agosto 1990, n. 241, e successive modificazioni e dalle altre disposizioni di legge in materia, nonché dai relativi regolamenti di attuazione, anche per ciò che concerne i tipi di dati sensibili e giudiziari e le operazioni di trattamento eseguibili in esecuzione di una richiesta di accesso. Le attività finalizzate all'applicazione di tale disciplina si considerano di rilevante interesse pubblico.
● Quando il trattamento concerne dati idonei a rivelare lo stato di salute o la vita sessuale, il trattamento è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi è di rango almeno pari ai diritti dell'interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile.
● 1. Si considerano di rilevante interesse pubblico, ai sensi degli articoli 20 e 21, le finalità di:
● a) verifica della legittimità, del buon andamento, dell'imparzialità dell'attività amministrativa, nonché della rispondenza di detta attività a requisiti di razionalità, economicità, efficienza ed efficacia per le quali sono, comunque, attribuite dalla legge a soggetti pubblici funzioni di controllo, di riscontro ed ispettive nei confronti di altri soggetti;
● b) accertamento, nei limiti delle finalità istituzionali, con riferimento a dati sensibili e giudiziari relativi ad esposti e petizioni, ovvero ad atti di controllo o di sindacato ispettivo di cui all'articolo 65, comma 4.
● Si considerano di rilevante interesse pubblico, ai sensi degli articoli 20 e 21, le finalità di applicazione della disciplina in materia di concessione, liquidazione, modifica e revoca di benefici economici, agevolazioni, elargizioni, altri emolumenti e abilitazioni.
● 2. Si intendono ricompresi fra i trattamenti regolati dal presente articolo anche quelli indispensabili in relazione:
● a) alle comunicazioni, certificazioni ed informazioni previste dalla normativa antimafia……………
● Richiesta di informazioni del genitore
● • Non “chiudere la porta” alla famiglia;
● • Mediazione 1: chiacchierata informale e generica con il genitore,utile per apprendere elementi sufficienti per esercitare la sua funzione;
● • Mediazione 2: dirottare la richiesta su un docente particolarmente stimato dall’alunno e dalla famiglia;
● • Mediazione 3: attenuare il contrasto utilizzando equilibrio e diplomazia, evidenziando la situazione dell’alunno e il contestuale diritto del genitore obbligato al mantenimento.
Richiesta di accesso del genitore
● • Occorre richiesta formale di accesso motivata (interesse concreto ed effettivo); notifica al controinteressato (completezza del contraddittorio in un giudizio di accesso coinvolgente la riservatezza di terzi – giur. non univoca sul carattere impugnatorio del giudizio)
● • Operare sempre bilanciamento degli interessi;
● • All’obbligo di mantenimento è collegato il diritto di conoscere il comportamento del figlio in ordine alle materie oggetto della prestazione (mantenimento, educazione, istruzione). Il genitore agisce anche per ottemperare al suo dovere di garantire un’adeguata istruzione al figlio
● • L’obbligo di mantenimento si affievolisce in caso di comprovato atteggiamento di inerzia del maggiorenne (TAR Bari Sez. Prima sentenza n°2782/2003)
Visita ispettiva -Segnalazione dei genitori
● • La difesa degli interessi incisi dall’attività amministrativa non può prescindere dalla conoscenza anche degli atti dei terzi che ne hanno costituito il presupposto (cfr. C.d.S., Sez. VI,
22.1.2001)
● • TAR Piemonte (Sentenza n°716, del 18 novembre 1999):
accesso integrale agli atti del procedimento disponendo l’oscuramento dei nominativi dei genitori;
● • La disposizione è presa in chiave di bilanciamento degli interessi;
● • Tutelare coloro che hanno sollecitato, con il proprio esposto, l’azione repressiva o ispettiva, onde evitare possibili comportamenti ritorsivi (TAR Lombardia - Milano, Sez IV
● dell’08-11-2004, n°5716)
Richiesta di accesso ai registri scolastici
● • La conoscenza dei documenti è necessaria per curare o difendere i propri interessi giuridici; ● • La richiesta va sempre adeguatamente motivata; ● • Giurisprudenza prevalente (si veda ad esempio TAR Toscana 6266/2004): la visione dei soli dati dell’alunno consente di tutelare adeguatamente gli interessi dello stesso;
Dati relativi agli altri alunni della classe -1
● • La conoscenza di tali dati esula dall'interesse personale dei ricorrenti;
● • Ingerenza nella sfera di riservatezza di altri soggetti;
● • Non è ammissibile un’analisi comparativa completa circa la valutazione ed i metodi adottati dai professori con riguardo a tutta la classe (T.A.R Calabria 2314/2000)…”;
● • Non è ammissibile un generico controllo dell’attività posta in essere dal corpo insegnante;
● • Sindacato sugli atti che riguardano gli altri alunni:
astrattamente ammissibile in caso di rilevanti “episodi di disparità di trattamento”.
● Dati relativi agli altri alunni della classe -2
● • Nell’ambito scolastico, non esiste competizione tra gli alunni; in linea tendenziale, nessuna utilità deriva dalla comparazione con il profitto scolastico di altri alunni;
● • E’ astrattamente ammissibile in sede di giudizio, la verifica di altre valutazioni, come sintomi di una generale irregolarità delle procedure eseguite, di fronte ad interessi di notevole rilevanza giuridica;
● • Il sindacato si ferma alla verifica delle regole procedimentali TAR Lombardia (Sentenza 501/2005);
● • Spetta al Consiglio di Classe giudicare se le lacune di un alunno siano tali da dover essere ritenute molto gravi. Si tratta di un apprezzamento discrezionale di “carattere tecnico-didattico” sindacabile solo in presenza di evidenti illogicità.
Accesso agli atti del collegio docenti
● • Il componente di un organo collegiale dell’Amministrazione ha un qualificato interesse concreto e diretto a disporre delle copie dei verbali e di ogni altro atto; in quanto titolare del “munus” può disporre di detti atti per una più attenta verifica, studio ed approfondimento degli stessi (Sentenza 3042/2005 del Consiglio di Stato)
● • La qualità di componente di organi collegiali abilita a poter disporre di ogni utile risultanza documentale, fatti salvi i casi di segretazione, elencati all’art. 24 della Legge 241/90
● • Si rivela a volte insufficiente la conoscenza dei contenuti acquisibile attraverso la pubblicazione degli stessi presso l'albo (come per i verbali del Consiglio d'Istituto) o la rituale lettura del verbale relativo alla riunione precedente (come per i verbali del Collegio docenti).
COSA E' IL DPS
Il DPS è un manuale di pianificazione della sicurezza dei dati in azienda: descrive come si tutelano i dati personali di dipendenti, collaboratori, clienti, utenti, fornitori ecc. in ogni fase e ad ogni livello (fisico, logico, organizzativo) e come si tuteleranno in futuro (programmazione, implementazione misure, verifiche, analisi dei risultati ecc.). ● SCOPO DEL DPS
● descrivere la situazione attuale(analisi dei rischi,distribuzione dei compiti, misure approntate, distribuzione delle responsabilità ecc.)
● il percorso di adeguamento prescelto dalla struttura per adeguarsi alla normativa privacy.
● il documento deve avere data certa e deve essere aggiornato annualmente. Il testo unico impone come data per la redazione e l'aggiornamento il 31 marzo di ogni anno –
● Una copia del DPS deve essere custodita presso la sede per essere consultabile e deve essere esibita in caso di controlli.
● Il titolare del trattamento deve dare conto nella relazione accompagnatoria del bilancio annuale dell'avvenuta redazione/aggiornamento del DPS.
Per redigere il DPS il dirigente scolastico deve provvedere:
● A nominare uno o più responsabili;
● A nominare gli incaricati;
● A disporre affinché si proceda al censimento dei trattamenti nell'organizzazione per potere effettuare le notificazioni;
● Ad emanare un regolamento sul trattamento, la comunicazione e la diffusione dei dati;
● A predisporre l'informativa;
● Ad adottare un piano per aumentare le misure di sicurezza
IL D.P.S. CONTIENE
● L’elenco dei trattamenti dei dati personali
● La distribuzione dei compiti e delle responsabilità in ordine al trattamento
● L’analisi dei rischi che incombono sui dati
● Le misure atte a garantire la disponibilità e l’integrità dei dati ,la protezione delle aree e dei locali
● individuazione delle risorse da proteggere quelle cioè che trattano dati personali e/o sensibili
● Luoghi fisici
● Risorse hardware
● Risorse dati
● Risorse software
● La distribuzione dei compiti e delle responsabilità in ordine al trattamento Il responsabile è designato dal titolare facoltativamente
CONTIENE ANCORA
● Criteri per il ripristino dei dati in seguito e distruzione o danneggiamento
● Previsione di interventi formativi per gli incaricati
● Procedure in caso di affidamento del trattamento all’esterno
● Criteri da adottare per la cifratura dei dati sensibili
● I rischi sono Distruzione o perdita anche accidentale dei dati
● Trattamento non consentito o non conforme alle finalità di raccolta
● Le misure atte a garantire la disponibilità e l’integrità dei dati la protezione delle aree e dei locali
● Misure Antintrusione
● Contro allagamenti, incendi
● Contro il furto o accesso di persone non autorizzate
● Contro la cancellazione non autorizzata di dati o la manomissione
● La conversione del Decreto Legge n. 5 del 9 febbraio 2012 ( c.d. Decreto semplificazioni ), avvenuta con la Legge 4 aprile 2012 n. 35, conferma definitivamente la
● soppressione dell’obbligo – in capo a titolari di trattamento di dati sensibili e giudiziari effettuato mediante strumenti elettronici – di redigere, e quindi di tenere aggiornato, il DPS.
● Cosa succede alla privacy?
● L’art. 45 del decreto n. 5/2012, ora convertito in legge, ha infatti soppresso, oltre la lettera g) al comma 1 dell’articolo 34 del Codice Privacy (Decreto Legislativo n. 196 del 30 giugno 2003), anche il comma 1-bis dello stesso articolo – introdotto dalla Legge 6 agosto 2008 n. 133– il quale, oltre a prevedere le ipotesi che permettevano di redigere una semplice Autocertificazione in luogo del DPS, reggeva il Provvedimento del Garante del 27 novembre 2008, disciplinante procedure semplificate, tra cui la stessa struttura del DPS, per i soggetti pubblici e privati che trattano dati per finalità amministrativo- contabile.
● Conseguenza di tali soppressioni è stato anche il venir meno del punto 19 dell’Allegato B al Codice, riguardante il termine di redazione e il contenuto del DPS, nonché del successivo punto 26, attinente il riferimento alla redazione del documento nell’eventuale relazione accompagnatoria del bilancio.
● Il Decreto “Semplifica Italia” del febbraio 2012 quindi, con un solo colpo di spugna ha rimosso ● tanto l’adempimento formale originario quanto i successivi provvedimenti volti a semplificarlo,
● In effetti, l’onda del cambiamento era già iniziata nel corso del 2011 con la citata Legge n. 106 che, oltre ad introdurre ulteriori norme semplificative in tema di Autocertificazione (ad oggi, come detto, abrogate perché non più necessarie), ha aggiunto altre ipotesi di esonero dal consenso, anche in tema di dati sensibili contenuti nei curricula spontaneamente trasmessi dagli interessati per l’instaurazione di un rapporto di lavoro.
● Successivamente, la Legge 22 dicembre 2011, n. 214, ha ulteriormente intaccato la normativa,
● togliendo spessore ad alcune definizioni che rappresentano le colonne portanti del Codice
● Privacy: dal concetto di "dato personale" e di "interessato al trattamento" è stato infatti rimosso ogni riferimento a persone giuridiche, enti e associazioni: l’intento è evidenziare che gli unici soggetti meritevoli di norme miranti alla protezione di dati personali, a prescindere quindi dalle finalità del trattamento, sono esclusivamente le persone fisiche.
● Da ultimo, la Legge 35/2012, citata in premessa, ha concluso l’opera – non solo consentendo il trattamento dei dati giudiziari anche quando effettuato in attuazione di protocolli di intesa con il Ministero dell’Interno per ragioni di prevenzione e contrasto dei fenomeni di criminalità organizzata – ma anche, come visto all’inizio, abolendo il DPS.
● Certo, se pensiamo al solo DPS – al di là degli aspetti formali legati alla sua redazione, ai relativi termini, ai contenuti prescritti dall’Allegato B al Codice, al di là del peso burocratico presentato a chi era tenuto a redigerlo – potremmo riconoscere che si trattava di un documento che aveva la sua pratica importanza, una misura di sicurezza utile, solo per il fatto di raccogliere insieme diversi aspetti legati alla protezione dei dati personali, diventando per molti titolari di trattamento un vero e proprio riferimento, soprattutto in un mondo sempre più orientato all’informatizzazione.
● Peraltro, a dispetto di quanto indicato nella relazione al Decreto Legge 5/2012, che definisce "meramente superfluo" l’adempimento del DPS in quanto "non realizza un’effettiva tutela della sicurezza dei dati e dei sistemi informatici", l’Autorità Garante, in occasione del discorso di fine mandato tenuto dal presidente F. Pizzetti, non ha propriamente condiviso la decisione di abolirlo, ritenendo invece che tale documento era “utile a limitare in parte l’eventuale responsabilità per la perdita, la cancellazione o il furto dei dati, consentendo di provare che si era fatto almeno quanto richiesto come misura minima per evitare il verificarsi dell’evento”.
PIU' SOSTANZA AI CONTROLLI
● Cosa succederà ora in sede di controllo da parte delle autorità preposte?
● Il DPS, effettivamente, aveva senz’altro lo scopo di illustrare una situazione, in capo al titolare del trattamento obbligato a redigerlo, riguardante la
tipologia di dati trattati, gli strumenti utilizzati, le finalità del trattamento nonché l’applicazione delle misure di sicurezza e protezione in relazione a determinati rischi; dava un’idea dell’organigramma
e della distribuzione dei compiti fra i soggetti
coinvolti, forniva informazioni sui trattamenti affidati
a soggetti esterni e sulla formazione data agli
● E se quanto contenuto nel DPS non avesse corrisposto alla realtà effettiva ?
● Vorrà dire che i “controllori” saranno indotti, d’ora in avanti, a mettere da parte le rappresentazioni e i propositi risultanti da un semplice documento e si orienteranno direttamente sugli aspetti concreti, cioè sull’effettiva applicazione delle misure di cui agli articoli 31 e seguenti del Codice Privacy nonché del relativo Allegato B, che descrive la modalità pratica di tale applicazione.
● I titolari del trattamento devono quindi ora concentrare maggiormente la loro attenzione sulle seguenti tematiche:
● • autenticazione informatica e adozione di procedure di gestione delle credenziali di autenticazione;
● • utilizzo di un sistema di autorizzazione;
● • aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici, fornendo opportune e chiare istruzioni per l'effettiva protezione dei dati;
● • protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti degli stessi, ad accessi non consentiti e a programmi informatici dannosi;
● • aggiornamento degli strumenti elettronici al fine di prevenirne la loro vulnerabilità e correggerne i difetti;
● • adozione di procedure e fornitura di istruzioni per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;
● • adozione di misure di protezione e ripristino specifiche per i dati sensibili e giudiziari rispetto ad accessi abusivi e fornitura di istruzioni tecniche e organizzative per la custodia e l’uso dei supporti rimovibili contenenti tale tipologia di dati;
● predisposizione e sottoscrizione di attestazioni di conformità da parte di soggetti esterni, rispetto alla struttura del titolare, riguardanti il rispetto delle disposizioni privacy nell’ambito dei loro interventi e/o trattamenti; ● • adozione di altre misure finalizzate alla protezione e conservazione dei dati, in caso di utilizzo di strumenti diversi da quelli elettronici.
● Da questo elenco si comprende bene che sarebbe comunque utile e opportuno predisporre un documento interno (possiamo anche non chiamarlo più DPS…) che riepiloghi tutti gli aspetti illustrati in modo da attestare che viene rispettato da parte del titolare del trattamento quanto stabilito dal Codice Privacy;
● chiaro poi, ovviamente, che questi dovrà anche dimostrare di aver messo in pratica ciò che risulta sulla carta.
● ad esempio quello riportante l’elenco degli amministratori di sistema con l’indicazione delle funzioni a loro assegnate,
● quello relativo alla loro nomina,
● oppure le attestazioni di conformità, anche su base contrattuale, sul rispetto delle regole in tema di privacy rilasciate da incaricati che effettuano interventi di manutenzione sui sistemi elettronici) che, in presenza del DPS, erano a volte trascurati, altre volte proprio inesistenti.
● Ricordiamo, tra l’altro, che il citato Provvedimento del Garante di novembre 2008, contiene importanti prescrizioni di carattere pratico riguardanti l’attività degli amministratori di sistema, in virtù della potenziale facoltà, per questi soggetti, di trattare molteplici dati personali: ci si riferisce, in particolare, all’implementazione, presso la struttura del titolare, di sistemi informatici che forniscono traccia di tutte le operazioni (access log) effettuate dagli amministratori di sistema nell’espletare la propria attività, al fine di consentire al titolare del trattamento un controllo ed una verifica costante sulla correttezza del loro operato.
● Anche le nomine dei responsabili del trattamento, se designati, e le nomine degli incaricati nonché le informative – con l’eventuale richiesta di consenso all’interessato – acquisiranno, accanto ad una maggiore rilevanza in sede di controllo, una rinnovata identità; documenti, fra l’altro, soggetti ad eventuale aggiornamento