Traccia
Un genitore segnala di aver visualizzato, accedendo al registro elettronico, i dati di alunni di un’altra classe, fra cui annotazioni su certificazioni e sul sostegno. Il fornitore, contattato dalla segreteria, parla di «disallineamento temporaneo dei profili». Il candidato illustri gli adempimenti del dirigente scolastico.
Quadro normativo
- Artt. 4, 5, 24, 28, 32, 33, 34 gdpr-regolamento-ue-2016-679; dlgs-196-2003 come modificato dal dlgs-101-2018.
- Provvedimenti e linee guida del garante-privacy sul registro elettronico.
- Ruoli: l’istituzione scolastica è titolare, il fornitore del registro è responsabile del trattamento ex art. 28.
Impostazione della risposta
- Qualificare l’evento: è una violazione di dati personali (accesso non autorizzato), non un semplice disservizio. Riguarda categorie particolari di dati (salute, sostegno): il rischio va presunto elevato fino a prova contraria.
- Contenere: chiedere al fornitore la sospensione immediata della funzionalità o il ripristino dei profili, con richiesta scritta e conferma dell’orario dell’intervento.
- Documentare: acquisire dal responsabile i log degli accessi, l’estensione temporale, quanti utenti hanno potuto vedere quali dati. Il contratto ex art. 28 obbliga il responsabile ad assistere il titolare.
- Valutare il rischio con il dpo e registrare l’evento nel registro delle violazioni, obbligatorio in ogni caso.
- Notificare al Garante entro 72 ore dalla conoscenza (art. 33). Se le informazioni non sono complete, si notifica ugualmente in forma parziale, integrando dopo: il termine decorre dalla conoscenza, non dalla ricostruzione completa.
- Comunicare agli interessati senza ingiustificato ritardo (art. 34), perché il rischio è elevato: qui gli interessati sono le famiglie degli alunni i cui dati sono stati esposti.
- Misure correttive: verifica della configurazione dei profili, richiesta di un’attestazione di conformità al fornitore, valutazione della DPIA se non aggiornata, formazione del personale autorizzato.
- Rapporto contrattuale: valutare l’inadempimento del responsabile e le conseguenze contrattuali; la responsabilità verso gli interessati resta comunque del titolare.
Atti da produrre
Richieste scritte al fornitore, registro delle violazioni, notifica al Garante, comunicazione alle famiglie interessate, verbale delle misure correttive, eventuale aggiornamento della DPIA.
Errori da evitare
- Attendere la relazione del fornitore lasciando scadere le 72 ore.
- Considerarlo un problema del fornitore: il titolare è la scuola.
- Comunicare genericamente a tutte le famiglie invece che agli interessati, o non comunicare affatto trattandosi di dati sulla salute.
- Omettere la registrazione interna quando si conclude che la notifica non è dovuta: il registro va compilato comunque.
Collegamenti
gestione-data-breach · registro-trattamenti · nomina-dpo · trasparenza-e-privacy