Il trasferimento di dati personali tramite e-mail
Ciao Iscritto
in data odierna è stata inserita la seguente circolare nel sito Istituto Comprensivo Statale Gattamelata
Circ. n. 113 del 05/05/2021
A TUTTO IL PERSONALE
Riceviamo dal nostro Responsabile della Protezione dei Dati il seguente testo che contiene informazioni molto importanti in merito al trattamento dei dati personali. Egregio Titolare del Trattamento dei dati a poche settimane dal terzo compleanno della piena entrata in vigore del G.D.P.R. è tempo di bilanci, soprattutto con riferimento alle violazioni di cui, il mondo della scuola, si è reso maggiormente responsabile con conseguenze variabili sia in termini di gravità dei danni arrecati sia di entità delle sanzioni irrogate. Il nostro osservatorio, che tra clienti diretti e casi conosciuti supera le mille istituzioni scolastiche sparse un po’ in tutta Italia, ci permette di stilare una classifica dei principali data breach (violazioni dei dati) avvenute e tale elenco vede svettare come ipotesi più frequente, la trasmissione di e-mail recanti dati personali, ad indirizzi di posta elettronica errati (nel senso di appartenenti a soggetti diversi dai reali destinatari della comunicazione). Questa fattispecie ammette diverse casistiche: - L’invio all’indirizzo e-mail del soggetto che ci segue o ci precede nell’elenco; - L’invio alla mailing list degli allievi anziché a quella dei membri del consiglio di classe; - L’utilizzo di “rispondi a tutti” che comporta la trasmissione dei dati a soggetti che non avrebbero diritto di conoscerli; - L’errore materiale nella trascrizione dell’indirizzo e-mail (ad esempio mando la posta a mario.rossi@alice.it quando in realtà il mio destinatario è mario.rossi@libero.it). E’ evidente a tutti come, l’effetto deflagrante di una condotta del genere, sarà molto diverso a seconda che il documento trasmesso sia una circolare informativa generica, oppure una relazione per i servizi sociali, la neuropsichiatria, un P.E.I. o un P.D.P. In questi ultimi casi si verifica uno degli illeciti più gravi ossia l’indebita divulgazione di dati di natura particolare (sensibile) riferiti (spesso) a soggetti minorenni, sanzionata dal Garante della privacy in modo decisamente significativo (mediamente una sanzione amministrativa pecuniaria di € 4.000,00 per ogni soggetto danneggiato). Superfluo dire come, in aggiunta alla sanzione amministrativa, possa determinarsi un obbligo di risarcimento del danno in sede civile e come tali conseguenze, a legislazione vigente, siano a carico del Dirigente Scolastico in qualità di Titolare del trattamento, il quale potrà poi rivalersi sul soggetto che ha commesso la violazione a patto che lo stesso sia stato efficacemente formato e messo in condizione di lavorare secondo legge. Come evitare questo rischio ? In occasione di ogni colloquio e di ciascun corso di formazione svolto, abbiamo precisato che LA COMUNICAZIONE TRAMITE E-MAIL NON E’ UN MODO ADEGUATO PER TRASMETTERE DATI PERSONALI, SOPRATTUTTO SE TALI DATI SONO DELICATI (SENSIBILI) ! Salvo che non si adottino alcune precauzioni: 1) Il documento sia anonimo o anonimizzato. E’ “anonimo” il documento che non contiene riferimenti diretti né indiretti alla persona a cui fa riferimento. Talvolta, non sempre ma spesso quando si tratta di uno scambio di dati interno, come potrebbe essere quello tra docenti che condividono il P.E.I. da redigere a più mani, il documento potrebbe “girare” in modo anonimo ed il nome dell’allievo potrebbe essere inserito solamente al termine della compilazione. E’ “anonimizzato” il documento in cui, al posto del nome e cognome dell’interessato, sia riportato un codice identificativo (ad esempio il codice SIDI dell’allievo). 2) Il documento sia criptato o quantomeno bloccato mediante una parola chiave (password). Tutti i software più comuni (word. Excel, PDF etc.), consentono di inserire una password che permetta l’apertura del file solamente a chi ne sia in possesso. Tale password dovrebbe poi essere comunicata al destinatario corretto tramite un altro canale (una telefonata, una seconda e-mail, una lettera o altro) in modo che chiunque riceva il file non essendone il legittimo destinatario non possa leggerlo in quanto privo della password di apertura. 3) Il testo della e-mail contenga un “disclaimer” ossia una formula di esclusione della responsabilità. Il testo che Vi abbiamo consigliato in passato è il seguente: Il contenuto di questa e-mail (e degli eventuali allegati) è strettamente confidenziale e destinato alla/le persona/e a cui è indirizzato. Se avete ricevuto questa comunicazione per errore, ci scusiamo per l’accaduto e Vi invitiamo cortesemente a darcene notizia scrivendoci all’indirizzo xxx@yyy.it ed a distruggere il messaggio ricevuto. Vi ricordiamo che la diffusione, l'utilizzo e/o la conservazione dei dati ricevuti per errore costituiscono violazioni alle disposizioni del Regolamento UE 2016/679 in materia di tutela dei dati personali. L’apposizione di questo testo non esonera in alcun modo dalla responsabilità connessa all’errata trasmissione ma solo da quella legata all’uso scorretto ulteriore che il destinatario sbagliato possa farne. Le precauzioni di cui ai punti 1 e 2 sono tra loro alternative, mentre quella al punto 3 è da attuare sempre. Al fine di evitare le spiacevoli conseguenze sul piano umano e giudiziario che possono derivare da questi frequenti errori, Le chiedo di voler condividere con tutti i Suoi dipendenti queste indicazioni e di vigilare affinché le stesse vengano adottate. QUALI SONO LE ALTRE VIOLAZIONI PIU’ FREQUENTEMENTE SANZIONATE ? I device contenenti dati personali (chiavette usb, hard disk portatili, smartphone, pc etc.) Devono essere protetti da password efficaci, in caso di smarrimento o furto, i dati in essi contenuti non devono poter essere accessibili da parte di chi li ritrova o li ha sottratti. Se un malfattore ruba la chiavetta usb ad un insegnante che custodisce su di essa foto, p.e.i. Ed altri documenti, ci troveremo di fronte a due violazioni di legge, la prima commessa dal ladro che risponde del reato di furto, la seconda commessa dall’insegnante (scuola) che risponde dell’illecito amministrativo di non aver adottato le misure di sicurezza previste dalla legge per la protezione dei dati. La pubblicazione dei dati sulle aree accessibili del sito internet istituzionale e del registro elettronico possono avvenire solamente dopo attenta verifica di coloro che sono in possesso della password di accesso a quell’area. Pubblicare il p.e.i. di giuseppe bianchi di 3c in un’area del registro accessibile ai docenti della 3c e’ assolutamente corretto, fare lo stesso in un’area accessibile a tutti i docenti dell’istituto e’ invece sbagliato, poiche’ viola il principio di minimizzazione del trattamento dei dati (difatto forniamo gli stessi anche a molti insegnanti che non hanno nessun motivo per vedere quel p.e.i.),infine, pubblicarlo in un’area accessibile a tutti i genitori della 3c e’ una pubblicazione illecita che comportera’ sicure conseguenze sanzionatorie. Grazie a tutti per la collaborazione Il Dirigente Scolastico (prof. Giovanni Santoro)
