Il Regolamento (UE) 2016/679 (GDPR) impone al titolare del trattamento – l’Istituzione scolastica, rappresentata dal Dirigente scolastico – di adottare le misure tecniche e organizzative idonee a tutelare i dati personali trattati. Fra queste rientra la definizione delle procedure di gestione delle violazioni, di cui la presente circolare fornisce una sintesi operativa.

Che cosa è una violazione di dati personali (data breach)

L’art. 4, punto 12, del GDPR definisce il data breach come «la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati». Ne sono esempi:
• sottrazione o copia non autorizzata di un documento cartaceo o informatico con dati personali;
• perdita o furto di una pen drive, di un notebook o di altro dispositivo contenente dati personali;
• impossibilità di accedere ai dati per cause accidentali, virus o attacchi informatici;
• dati e documenti cifrati da un ransomware o resi inaccessibili;
• perdita o distruzione di dati per incidenti, incendi o calamità;
• divulgazione non autorizzata di dati personali;
• e-mail inviata a più destinatari in «a:» o «cc:», rendendo visibili a ciascuno gli indirizzi altrui.

Che cosa deve fare il personale della scuola

Il contenimento dei rischi dipende dalla tempestività dell’intervento. Il dipendente che rilevi una possibile violazione di dati personali deve darne immediata comunicazione al Dirigente scolastico o, in caso di sua temporanea indisponibilità, al Responsabile della protezione dei dati (RPD/DPO) o alle altre figure che gestiscono i sistemi informatici e l’assistenza normativa, così da consentire il più rapido intervento. La mancata comunicazione di una violazione di cui si sia venuti a conoscenza può comportare provvedimenti disciplinari. La diffusione o l’uso improprio, da parte di chiunque, di dati acquisiti a seguito della violazione, oltre a violare il regolamento d’istituto, può configurare un illecito con conseguenze civili e penali.
Che cosa devono fare i genitori e gli studenti Anche gli studenti e i genitori possono venire a conoscenza di una violazione — ad esempio rinvenendo un documento lasciato incustodito o ricevendo per errore comunicazioni via e-mail o su piattaforma non a loro destinate. In tal caso è necessario darne immediata comunicazione al Dirigente scolastico o, in subordine, al RPD/DPO, preferibilmente con una prima segnalazione telefonica in orario di servizio della segreteria e, comunque, via e-mail (contatti al paragrafo successivo). La segnalazione tempestiva consente all’istituto di arrestare o minimizzare le conseguenze dell’evento. La diffusione o l’uso improprio di dati acquisiti a seguito di una violazione può avere conseguenze civili e penali.

A chi segnalare la violazione

Di seguito i riferimenti da utilizzare per le segnalazioni:
Istituzione scolastica – e-mail: catf04000p@istruzione.it, tel.: 070.500786
Responsabile della protezione dei dati (RPD/DPO) – Mario Mureddu – e-mail: mario.mureddu.dpo@gmail.com, tel.: 351.9088944

Che cosa fa l’amministrazione dopo la segnalazione

Ricevuta la segnalazione, il Dirigente scolastico, con il supporto del RPD/DPO e delle eventuali figure tecniche, contiene la violazione, svolge una prima indagine e ne valuta la gravità, identificando i rischi per gli interessati e le misure da adottare. Sulla base di tale valutazione decide se e come notificare la violazione al Garante — entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo motivare l’eventuale ritardo — e se darne comunicazione agli interessati nei casi di rischio elevato. Il parere del RPD/DPO è acquisito, ma la decisione finale spetta al titolare, in forza del principio di responsabilizzazione. Ogni violazione, notificata o meno, è annotata nel registro delle violazioni.
La comunicazione al Garante da parte dell’amministrazione, ove dovuta, si effettua tramite la procedura telematica disponibile all’indirizzo https://servizi.gpdp.it/databreach/s/.