Privacy formazione personale docente Dott Giovanni Gobbi Responsabile

Privacy formazione personale docente Dott. Giovanni Gobbi – Responsabile protezione dati

• Trattare i dati erroneamente è rischioso per i minori, per il DS, per i docenti e per il buon funzionamento dell’organizzazione

Perché è rischioso per i minori? • Pensiamo per esempio ad un docente che si sveglia una mattina e in buona fede decide di utilizzare un servizio digitale non autorizzato da parte dell’Istituto • Che cosa potrebbe succedere? • Nell’iscrizione al servizio accetta inconsapevolmente dei termini di servizio che prevedono il trattamento dei dati per finalità di marketing e/o profilazione dell’utente • L’alunno potrebbe ricevere nell’email istituzionale delle proposte di vendita di servizi a pagamento. La famiglia potrebbe dire: chi ha detto alla scuola di dare a Google i dati di mio figlio per finalità di marketing?

Perché è rischioso per il DS? • Sanzioni disciplinari previste dal GDPR • Potenziale perdita di reputazione dell’Istituto Scolastico

Perché è rischioso per i docenti? • La perdita di una chiavetta non crittografata con all’interno dati sulla salute degli alunni potrebbe essere accidentalmente utilizzata da uno sconosciuto per scopi personali (per esempio furto di dati per iscrizione a siti pericolosi) • In questo caso la responsabilità ricade direttamente sul docente

Istruzione per i docenti circa il trattamento dei dati personali • Lettera di incarico con trattamenti e modalità di trattamento dei dati aggiornata • Procedura per l’utilizzo delle credenziali istituzionali • Procedura sull’archiviazione dei elaborati scolastici in digitale • Procedura sull’uso dei servizi aggiuntivi per la DDI • Procedura PEI / PDP • Queste procedure devono essere contestualizzate al singolo Istituto con l’aiuto del DPO / Animatore digitale / Responsabile della rete

Lettera di incarico • Trattamenti: • La tipologia di trattamenti per cui i dati vengono trattati deve essere contestualizzata prendendo come riferimento il registro dei trattamenti (per questo il registro dei trattamenti è da considerarsi non semplicemente un adempimento burocratico ma un adempimento di tipo organizzativo) • Quando si sale di versione con il registro dei trattamenti potrebbero essere introdotti dei nuovi trattamenti (come per esempio la DDI), oppure determinati trattamenti come il PEI / PDP potrebbero essere gestiti in maniera diversa a seconda del singolo Istituto

Modalità di trattamento • Ambiti e relative misure di protezione • Misure applicabili ai PC della rete didattica • Misure applicabili alle chiavette USB personali in accordo con le misure di sicurezza ICT per la PA • Misure applicabili al registro elettronico • Misure applicabili alle comunicazioni • Misure applicabili alle foto e video • Utilizzo delle piattaforme didattiche • Misure applicabili al PEI / PDP • Misure applicabili all’utilizzo dei propri dispositivi personali utilizzati per al DDI • Raccolta di informazione da moduli

Misure di protezione applicabili ai PC della rete didattica • Non trattare dati personali sui pc della rete della didattica se non in maniera strettamente indispensabile e nel rispetto di tutte le misure di sicurezza; • Al termine di un’operazione che coinvolga il trattamento dei dati il docente dovrà cancellare i dati dal cestino e dalla funzione «download» del pc utilizzato; • Non archiviare i dati sui pc della rete della didattica; • Le password di accesso ai PC della rete didattica vengono assegnate in via solo provvisoria da parte del Responsabile della rete e cambiate dall’utente al primo utilizzo che ne diventa diretto responsabile; • Dovrebbe essere previsto il cambio password periodico per i PC della rete didattica (come DPO suggerisco almeno una volta all’anno); • Disconnettersi dalla sessione al termine della propria attività didattica e da tutti i PC della rete didattica;

Misure di protezione applicabili alle chiavette USB personali • Utilizzare le chiavette crittografate e preferire all’utilizzo della chiavetta il salvataggio dei dati sul Drive del proprio account istituzionale; • Divieto di salvare sulla chiavetta i seguenti dati sensibili: informazioni su alunni con disabilità/BES/DSA, certificati sanitari, dati sulle allergie, dati sulle vaccinazioni, dati sulle prove d’esame differenziate • In caso di perdita o accesso non autorizzato a questi dati personali ne siete i diretti responsabili

Corretto utilizzo del Drive (1) • Cancellare dal Drive personale i dati che non devono essere conservati per legge al termine delle finalità di utilizzo e comunque non oltre il termine del ciclo degli studi dello studente (principio della «limitazione della finalità» ex art. 5 c. 1 lett. b) del GDPR); • FAQ del Garante scuola e privacy del 2019 15) Le scuole possono consentire a soggetti legittimati di svolgere attività di ricerca tramite questionari, da sottoporre agli alunni, contenenti richieste di informazioni personali? Sì, ma soltanto se i ragazzi e, nel caso di minori, chi esercita la responsabilità genitoriale, siano stati preventivamente informati sulle modalità di trattamento e sulle misure di sicurezza adottate per proteggere i dati personali degli alunni e, ove previsto, abbiano acconsentito al trattamento dei dati. Ragazzi e genitori devono, comunque, avere sempre la facoltà di non aderire all’iniziativa.

Corretto utilizzo del Drive (2) • Bisogna definire se l’informativa breve deve essere resa alle famiglie attraverso Classroom o attraverso il registro elettronico • Bisognerà definire nel Manuale della gestione documentale dell’Istituto quali sono gli incaricati che devono tenere traccia della presa visione di questa informativa (se solo la segreteria o anche i docenti) e le modalità di comunicazione agli interessati (quando rendere l’informativa); • Ratio dell’informativa: • Mettere i docenti nell’ottica di cancellare dal proprio Drive almeno al termine dell’anno scolastico tutti i dati non necessari in relazione alla finalità (banche dati degli alunni partecipanti alle gite e ai progetti scolastici) • Mettere i docenti nell’ottica di archiviare i dati degli elaborati in digitale secondo la procedura stabilita da parte dell’Istituto Scolastico

Corretto utilizzo del Drive (3) e procedura sulla corretta archiviazione degli elaborati digitali • Le recenti linee guida sulla DDI dicono espressamente che l’Animatore digitale insieme al Team digitale devono stabilire un «repository» o una cartella di archiviazione degli elaborati digitali degli alunni; • Questo non è punto banale soprattutto se state utilizzando Classroom per l’assegnazione di compiti o verifiche anche in presenza; • Sebbene la circolare 44/2005 del Ministero dei Beni e delle Attività Culturali faccia riferimento all’archiviazione degli elaborati scolastici per un’annata a campione in maniera illimitata ogni 10 anni, risulterebbe difficile applicare la stessa modalità anche in cartaceo e quindi suggerisco di archiviare tutti gli elaborati in digitale in maniera illimitata;

Corretto utilizzo del Drive (3) e procedura sulla corretta archiviazione degli elaborati digitali • Procedura • L'Animatore digitale crea nel Drive condiviso una cartella nominata "Repository verifiche" per il singolo anno scolastico; • All'interno della cartella "Repository verifiche" l'Animatore digitale crea una sottocartella per singolo docente; • L'Animatore digitale condivide la sottocartella con il docente stesso; • Il singolo docente sposterà nella sottocartella a lui dedicata all’interno della cartella "Repository verifiche" la singola cartella degli elaborati effettuati nei vari corsi inizialmente archiviata solo nel Drive personale del docente; • Modalità di archiviazione: potrebbe essere la condivisione di un’unica cartella con corretta nomenclatura dei file es 20200928_mariorossi 2 C_matematica;

Corretto utilizzo del Drive (3) e procedura sulla corretta archiviazione degli elaborati digitali • Rimane da definire se archiviare tutte le verifiche o solamente quelli che vengono considerati come compiti in classe • VANTAGGI DI QUESTA PROCEDURA • UTILIZZO DELLA STESSA TECNOLOGIA (DRIVE) • EVITARE DI PRENDERE VISIONE DEGLI ELABORATI DEGLI ALTRI DOCENTI • POTENZIALI PROBLEMATICHE • PASSAGGIO DI CONSEGNA IN CASO DI CAMBIO DELL’ANIMATORE DIGITALE • EVENTUALE MIGRAZIONE DEGLI ELABORATI DIGITALI DAI SERVIZI AGGIUNTIVI AL DRIVE CONDIVISO

Misure applicabili al registro elettronico • Effettuare il log out dal registro di classe in caso di interruzione della lezione anche laddove sia presente per default un sistema di disconnessione automatico

Misure di protezione applicabili alle comunicazioni • Mantenere la riservatezza professionale come codice di condotta a tutela della privacy dello studente (DPR 249/1998); • La comunicazione degli avvisi in classe, soprattutto quelli afferenti a questioni sensibili, deve avvenire in maniera neutra e riservata; • Consegnare alla segreteria al termine dell’orario di lezione (e non lasciare in classe) eventuali documenti cartacei ritirati dagli alunni; • Non costituire gruppi di classe Whatsapp, Telegram, ed equivalenti con gli studenti o con i genitori al fine di evitare violazioni sulla confidenzialità dei dati; • Non comunicare materiale didattico o effettuare comunicazioni relative alla didattica da indirizzi email personali privati (diversi da quelli istituzionali); • Non comunicare con le famiglie anche dalle aule virtuali dei servizi aggiuntivi; • Utilizzare in via preferenziale il registro elettronico per le comunicazioni scuola-famiglia; • Se non fosse possibile comunicare con le famiglie attraverso gli indirizzi email istituzionali utilizzare l’indirizzo email privato previa conferma da parte della segreteria che l’indirizzo email sia quello corretto; • Usare prudenza e buon senso nel gestire la corrispondenza prima di inviare una comunicazione contente dati personali; • Utilizzare adeguati canali di comunicazione con gli studenti e con le famiglie previsti per Regolamento e/o secondo le direttive del Titolare;

Misure applicabili alle foto e ai video • Ogni pubblicazione fatta sui propri social avviene sotto la responsabilità privata del docente e la scuola è esente da questa responsabilità; • Prima di diffondere video/foto dell’attività didattica a soggetti esterni (stampa, pubblicazioni di settore, enti e soggetti del territorio ed altro) è richiesta l’autorizzazione del Titolare;

Didattica in digitale • DIVIETO DI EROGAZIONE DELLA DIDATTICA IN DIGITALE ATTRAVERSO ACCOUNT PERSONALI (NON ISTITUZIONALI): Significherebbe che i docenti che sono, secondo l’art. 29 del GDPR, soggetti autorizzati al trattamento dei dati all’interno dell’assetto organizzativo del Titolare, si troverebbero, in caso di utilizzo degli account personali, a trattare dati delle famiglie al di fuori dell’organigramma istituzionale privacy; • L’accordo con la G-SUITE è stato implementato tra Google e la scuola, non tra Google e i privati; • Un comportamento di questo tipo è assolutamente una violazione alla confidenzialità dei dati delle famiglie e non è conforme alla corretta definizione delle responsabilità in ambito privacy;

Utilizzo delle piattaforme didattiche • La difficoltà della didattica a distanza consiste nel riportare in digitale l’ambiente giuridico in presenza; • Per quanto riguarda le piattaforme configurate da parte dell’Istituto scolastico non ci sono particolari rischi di utilizzo se: • Si utilizzano i servizi essenziali della piattaforma; • Si verifica l’accesso alle video-lezioni da parte di sconosciuti; • L’intromissione di soggetti sconosciuti comporterebbe una violazione alla confidenzialità e potenzialmente all’integrità dei dati dei partecipanti alla video-lezione; • Si verifica che gli studenti non accedano alle video-lezioni o alle virtuali attraverso account personali (non istituzionali); • Comporterebbe una violazione alla confidenzialità dei dati delle famiglie perché il trattamento dei dati delle famiglie non sarebbe autorizzato per la didattica: gli utenti devono connettersi, salvo imprevisti o casi straordinari, alle video-lezioni attraverso account istituzionale;

Servizi aggiuntivi • Sono tutte le estensioni ed applicazioni di terze parti che trovate in internet cui è possibile accedere attraverso la G-SUITE; • Per questo tipo di servizi è necessario seguire la procedura e le indicazioni fornite da parte dell’Istituto Scolastico; • L’utilizzo non regolamentato dei servizi aggiuntivi può comportare dei rischi non irrilevanti soprattutto per i minori; • Trattamento da parte delle piattaforme dei dati per finalità proprie del fornitore (marketing e profilazione) oltre che per le finalità didattiche perseguite dalla scuola; • Trasferimento dei dati in USA (questione delicata): Sarebbe inutile cercare di risolvere i problemi con Google se poi con il semplice accesso ad un servizio aggiuntivo qualunque i dati dell’organizzazione vengono trasferiti in USA

Parametri di valutazione per DPO/Animatore digitale/Responsabile della rete (1) • Verificare che il servizio aggiuntivo sia presente nel market place di Agid che garantisce la conformità alle normative cloud per la PA https: //cloud. italia. it/marketplace/ • I servizi aggiuntivi presenti su questo market place da una parte sono sicuri dall’altra si presentano come piattaforme complesse (Saa. S) che richiedono di essere configurate con l’aiuto del Responsabile della rete • Software as a Service (Saa. S) è un insieme di mezzi, servizi e competenze che consente alle aziende di esternalizzare alcuni aspetti del loro sistema informativo (messaggistica, sicurezza, . . . ) e sostituirli con un costo di funzionamento piuttosto che con un investimento vero e proprio.

Parametri di valutazione per DPO/Animatore digitale/Responsabile della rete (2) • Verificare che il servizio aggiuntivo sia presente nel Chrome web store o nel Market place di Google https: //chrome. google. com/webstore/category/extensions? hl=it https: //gsuite. google. com/marketplace/? hl=it

• La presenza dei servizi aggiuntivi all’interno dei Market place di Google comporterebbe i seguenti vantaggi: • Ci si muove all’interno di un mercato dove vengono proposti dei servizi gratuiti; • Il loro utilizzo può essere consentito attraverso la raccolta di un consenso per tutti gli utenti minori di 18 anni; • Facilitazione all’iscrizione attraverso log in con credenziali istituzionali e quindi quando verrebbe cancellato l’account G-SUITE del docente per effetto domino si dovrebbero cancellare anche tutte le iscrizioni ai servizi aggiuntivi; • Rischi: • La presenza dei servizi aggiuntivi nei market place di Google non implica che i termini di servizio proposti dai singoli servizi non vadano applicati (bisogna quindi valutare caso per caso); • • Finalità del fornitore del servizio (alcuni servizi aggiuntivi fanno marketing); Trasferimento dei dati extra UE; Copertura del trattamento dei dati dei minori attraverso la politica COPPA; Altro (termini di servizio di sviluppatori privati);

• Mathtype – market place – norme sulla privacy – marketing • Prezi – market place – norme sulla privacy – no per minori di 13 anni • Form limiter – market place – sviluppatore privato condizioni particolari • Equatio – chrome web store – norme sulla privacy – privacy shield

Parametri di valutazione per DPO/Animatore digitale/Responsabile della rete (5) • Prime considerazioni sulle estensioni: • Nimbus, nod reactions for google meet, google meet grid view, google dictionary, print friendly & PDF, ublock origin, meet attendace, book creator, kahoot, Wix -> sono tutte presenti nel Chrome web store • Prime considerazioni sulle applicazioni: • flubaroo, flat for Google docs, mindmeister, dochub -> presenti nel market place di Google

Parametri di valutazione per DPO/Animatore digitale/Responsabile della rete (3) • Se il servizio non è presente in nessun market place valutare almeno la possibilità di accedere attraverso il Single sign on ovvero identificarsi al servizio attraverso il log in di Google con le credenziali istituzionali • Evitare di creare account specifici per il servizio • Non effettuare il log in attraverso social network privati o account personali (non istituzionali) • Altre app: additioapp non presente negli store (SSO e server in EU), Seesaw (trasferimento dati in USA)

Parametri di valutazione per DPO/Animatore digitale/Responsabile della rete (4) • In ogni caso l’utilizzo di questo tipo di servizi da parte degli studenti presuppone che: • Sia stato prestato il consenso da parte delle famiglie (per tutti i servizi aggiuntivi Google richiede la raccolta del consenso per i minori di 18 anni) • Sia stata fatta un analisi da parte del team digitale e DPO • Siano state fornite dell’istruzioni sul loro utilizzo • Se era stato effettuato il log in attraverso account personali non istituzionali negli anni passati è necessario rieffettuare il log in attraverso le credenziali fornite con l’account istituzionale • Non prestare il consenso per conto delle famiglie • Prima di utilizzare piattaforme e servizi aggiuntivi al di fuori di quelli autorizzati da parte dell’Istituto Scolastico è necessario avvisare DS e DPO

Indicazioni sull’utilizzo delle piattaforme didattiche • Riferire al DS/Animatore digitale e DPO l’intenzione di utilizzo di qualsiasi piattaforma al di fuori quelle autorizzate da parte della scuola; • Seguire la procedura fornita da parte della scuola; • Verificare l’identità degli autorizzati e dei partecipanti alle aule virtuali; • Non fare accedere alla piattaforma persone non autorizzate; • Generare le riunioni attraverso Google calendar istituzionale o Google classroom • Non diffondere codici di accesso alle aule virtuali a terzi non interessati; • Cancellare dal drive personale i dati che non devono essere conservati per legge al termine della finalità di utilizzo e comunque non oltre il termine del ciclo degli studi dello studente; • Seguire la procedura per l’archiviazione dei compiti in digitale elaborata dal team digitale; • Seguire la procedura sul corretto utilizzo delle credenziali istituzionali;

Procedura sul corretto utilizzo delle credenziali sia per i docenti sia per gli studenti • Non sottovalutare l’importanza della password; • Anche se potrebbe risultare antipatico le password vanno cambiate al minimo una volta all’anno: • Questo vale per l’accesso ai PC della rete della didattica; • Per l’accesso al registro elettronico; • Per l’accesso alle piattaforme istituzionali; • Aspetti da tenere in considerazione • • Generazione e comunicazione delle credenziali; Conservazione delle credenziali; Utilizzo della password (cambio password e meccanismo di reset della password); Cancellazione delle credenziali;

Misure di protezione applicabili al PEI/PDP • La questione si riconduce a come digitalizzare il PEI/PDP per i seguenti trattamenti: • • Elaborazione Archiviazione Consultazione Trasmissione • Gruppo di lavoro in atto • • Soluzione registro elettronico Procedura di pseudonimizzazione Google – scuola LAN Piattaforma Univr • Per il PEI/PDP in cartaceo no alla diffusione via Whatsapp, no alla diffusione dei documenti via email con nome e cognome e altri dati degli studenti

Misure di protezione applicabili all’utilizzo dei propri dispositivi personali utilizzati per la DDI • Linee guida BYOD

Data breach • In caso di violazione alla confidenzialità, integrità o disponibilità dei dati il docente dovrà contattare il prima possibile e comunque prima di 72 ore il Dirigente scolastico, il DSGA o il DPO • La violazione dovrà essere registrata sul registro delle violazioni • In caso di violazioni con impatto sugli interessati dovrà essere convocato un tavolo tecnico convocazione del DS, Responsabile della rete, team digitale e DPO per valutare se dare comunicazione all’Autorità Garante, agli interessati stessi e per mettere in piedi le necessarie misure tecniche ed organizzative per risolvere o contenere l’incidente.

Contatti DPO Tel: 349 6162342 email: info@gobbidpo. it