Gentili studenti, docenti e famiglie,
con la presente informativa, il nostro Istituto Vi informa in merito al trattamento dei dati
personali connesso all’utilizzo di applicazioni di terze parti integrate nella piattaforma
Google Workspace for Education, ai sensi degli articoli 13 e 14 del Regolamento Generale
sulla Protezione dei Dati (GDPR – Regolamento UE 2016/679).
Per applicazioni di terze parti si intendono tutte quelle applicazioni sviluppate da fornitori
esterni a Google che possono integrarsi con Google Workspace e che l’Istituto ha valutato
necessarie per il perseguimento delle proprie finalità didattiche e formative.
1. TITOLARE DEL TRATTAMENTO
Il Titolare del trattamento è l’Istituto Comprensivo [Nome Istituto], con sede in [indirizzo], nella
persona del Dirigente Scolastico pro tempore, contattabile al seguente indirizzo e-mail: [email] – tel. [telefono].
Il Responsabile della Protezione dei Dati (RPD/DPO) è contattabile al seguente indirizzo e
mail: [email DPO] (se è il caso mettere Vargiu Scuola Srl, email: dpo@vargiuscuola.it).
2. FINALITÀ E BASE GIURIDICA DEL TRATTAMENTO
L’Istituto ha attivato sulla piattaforma Google Workspace for Education diverse applicazioni di
terze parti per finalità esclusivamente didattiche e formative, al fine di supportare le attività
educative degli studenti nell’ambito delle materie curricolari e dell’offerta formativa dell’Istituto.
Tali applicazioni possono riguardare, a titolo esemplificativo e non esaustivo: la creazione di
contenuti didattici multimediali, la progettazione grafica e la modellazione, lo sviluppo di
presentazioni interattive, l’apprendimento linguistico, la gamification didattica, la realizzazione
di mappe concettuali, la creazione di quiz e verifiche, e ogni altro strumento ritenuto funzionale
al perseguimento delle finalità istituzionali dell’Istituto.
La base giuridica del trattamento è individuata nell’interesse pubblico, ai sensi dell’art. 6,
par. 1, lett. e) del GDPR. L’uso di questi strumenti digitali avviene infatti per finalità istituzionali,
in quanto necessario per l’esecuzione dei compiti di interesse pubblico affidati all’Istituzione
scolastica nell’ambito dell’offerta formativa.
Non è pertanto richiesta l’acquisizione del consenso degli interessati, in quanto il trattamento
avviene in base a un fondamento normativo che individua nell’interesse pubblico la condizione
di liceità del trattamento stesso.
3. CATEGORIE DI DATI PERSONALI TRATTATI
Nell’ambito dell’uso delle applicazioni di terze parti, vengono trattati unicamente i dati di
autenticazione già presenti nell’account Google Workspace for Education degli studenti
e dei docenti, ossia: – indirizzo email istituzionale; – nome e cognome associati all’account.
Le applicazioni di terze parti operano in contesti didattici delimitati e, di norma, non
richiedono il caricamento di ulteriori dati personali rispetto a quelli già trattati dalla scuola
per finalità didattiche tramite l’account Google Workspace.
4.
PRINCIPIO DI MINIMIZZAZIONE E DIVIETO DI TRATTAMENTO DATI
PERSONALI
In conformità al principio di minimizzazione dei dati personali stabilito dall’art. 5 del GDPR,
secondo cui i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario
rispetto alle finalità per le quali sono trattati, l’Istituto dispone quanto segue:
NELL’UTILIZZO DELLE APPLICAZIONI DI TERZE PARTI È FATTO ESPRESSO DIVIETO
DI TRATTAMENTO DI DATI PERSONALI
In particolare, è vietato: – caricare, inserire o digitare nomi, cognomi o altri dati identificativi riferiti ad alunni,
docenti, personale scolastico o qualunque altra persona fisica; – caricare o inserire fotografie, immagini, video o registrazioni audio che consentano
l’identificazione di persone fisiche; – inserire qualsiasi informazione sensibile o particolare categoria di dati personali ai
sensi dell’art. 9 GDPR (dati relativi alla salute, dati biometrici, dati genetici, dati relativi
a convinzioni religiose o filosofiche, appartenenza sindacale, orientamento sessuale,
opinioni politiche, origine razziale o etnica); – caricare documenti, file o elaborati contenenti dati personali di terzi non pertinenti
all’attività didattica; – utilizzare le applicazioni per finalità diverse da quelle strettamente didattiche e
formative autorizzate dall’Istituto.
Gli studenti e i docenti sono tenuti a utilizzare le applicazioni di terze parti esclusivamente
per la creazione di contenuti didattici astratti, generici o di carattere disciplinare,
evitando qualsiasi riferimento a persone identificabili o identificabili anche indirettamente.
Il mancato rispetto di questa disposizione può configurare una violazione della normativa sulla
protezione dei dati personali e comportare responsabilità personale in capo al soggetto che
ha proceduto al trattamento non autorizzato, con possibili conseguenze anche di natura
disciplinare.
5. MODALITÀ DI TRATTAMENTO
I dati personali sono trattati con strumenti elettronici e telematici attraverso le applicazioni di
terze parti integrate in Google Workspace for Education.
Prima dell’attivazione di ciascuna applicazione di terze parti, l’Istituto procede a una prima
valutazione del rischio associato al suo utilizzo. Nel caso di rischio rilevante la scuola procede
ad una valutazione del rischio più approfondita all’interno di una DPIA nella quale si valuta
come ridurre l’entità di tale rischio per portarlo al di sotto di una soglia accettabile, anche in
considerazione del principio di minimizzazione dei dati sopra richiamato.
Il trattamento avviene nel rispetto delle misure di sicurezza tecnico-organizzative previste dal
GDPR per garantire un livello di sicurezza adeguato ai rischi.
6. TRASFERIMENTO DEI DATI VERSO PAESI EXTRA-UE
Le applicazioni di terze parti possono essere fornite da società con sede in Paesi diversi
dall’Unione Europea. In funzione della localizzazione geografica del fornitore, si applicano le
seguenti garanzie previste dal Capo V del GDPR:
6.1 Fornitori con sede nell’Unione Europea o nello Spazio Economico Europeo
Quando il fornitore dell’applicazione di terze parti ha sede nell’Unione Europea o in uno Stato
aderente allo Spazio Economico Europeo (Islanda, Liechtenstein, Norvegia), non si
configura alcun trasferimento di dati verso Paesi terzi e il trattamento avviene nel pieno
rispetto del GDPR, applicabile direttamente in tutti gli Stati membri.
6.2 Fornitori con sede negli Stati Uniti d’America
Quando il fornitore dell’applicazione ha sede negli Stati Uniti d’America, il trasferimento dei
dati personali avviene nel rispetto delle seguenti garanzie:
a) EU-U.S. Data Privacy Framework (DPF): se il fornitore statunitense è certificato
nell’ambito del quadro di adeguatezza EU-U.S. Data Privacy Framework, approvato dalla
Commissione Europea con decisione del 10 luglio 2023, il trasferimento dei dati avviene su
base di decisione di adeguatezza ai sensi dell’art. 45 GDPR. Tale decisione garantisce che
le società certificate DPF assicurano un livello di protezione dei dati personali sostanzialmente
equivalente a quello garantito nell’Unione Europea.
L’elenco aggiornato delle società certificate è consultabile al seguente indirizzo:
https://www.dataprivacyframework.gov/list
b) Clausole Contrattuali Standard (SCC): nel caso in cui il fornitore statunitense non sia
certificato DPF, il trasferimento dei dati avviene sulla base delle Clausole Contrattuali
Standard approvate dalla Commissione Europea (art. 46, par. 2, lett. c) del GDPR), che
costituiscono garanzie adeguate per la protezione dei dati personali trasferiti.
6.3 Fornitori con sede in altri Paesi extra-UE
Quando il fornitore dell’applicazione ha sede in un Paese extra-UE diverso dagli Stati Uniti e
per il quale non esiste una decisione di adeguatezza della Commissione Europea, il
trasferimento dei dati avviene sulla base delle Clausole Contrattuali Standard (SCC)
approvate dalla Commissione Europea ai sensi dell’art. 46, par. 2, lett. c) del GDPR.
Le Clausole Contrattuali Standard sono strumenti giuridici che impongono obblighi contrattuali
specifici ai fornitori di servizi che ricevono dati personali, garantendo che i dati trasferiti
beneficino di un livello di protezione adeguato.
Prima dell’attivazione di applicazioni fornite da società extra-UE, l’Istituto verifica l’esistenza
di idonee garanzie contrattuali e, ove necessario, effettua una valutazione d’impatto sulla
protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR.
7. PERIODO DI CONSERVAZIONE DEI DATI
I dati personali connessi all’autenticazione sulle applicazioni di terze parti (indirizzo email
istituzionale, nome e cognome) saranno conservati per il tempo strettamente necessario al
conseguimento delle finalità didattiche e comunque non oltre la conclusione del percorso
formativo dello studente presso l’Istituto, salvo diversi obblighi di legge.
I contenuti didattici creati dagli studenti potranno essere cancellati al termine dell’anno
scolastico o comunque su richiesta dell’interessato, compatibilmente con le esigenze di
documentazione dell’attività didattica.
8. DIRITTI DEGLI INTERESSATI
Gli interessati (studenti maggiorenni, genitori esercenti la responsabilità genitoriale
per studenti minorenni, docenti) hanno il diritto di:
• accedere ai propri dati personali (art. 15 GDPR);
• ottenere la rettifica dei dati inesatti o l’integrazione di quelli incompleti (art. 16
GDPR);
• ottenere la cancellazione dei dati, nei casi previsti dalla legge (art. 17 GDPR);
• ottenere la limitazione del trattamento (art. 18 GDPR);
• opporsi al trattamento per motivi legittimi (art. 21 GDPR);
• richiedere la portabilità dei dati (art. 20 GDPR);
• proporre reclamo all’Autorità di controllo (Garante per la Protezione dei Dati
Personali – www.garanteprivacy.it).
Per l’esercizio di tali diritti, è possibile rivolgersi al Titolare del trattamento o al
Responsabile della Protezione dei Dati (DPO) agli indirizzi indicati al punto 1.
9. NATURA DEL CONFERIMENTO
Pur non essendo richiesto il consenso al trattamento, il conferimento dei dati (limitatamente
ai dati di autenticazione dell’account Google Workspace) è obbligatorio ai fini della
partecipazione alle attività didattiche che prevedono l’uso delle applicazioni di terze parti.
L’eventuale rifiuto di utilizzare tali applicazioni potrà comportare l’impossibilità di svolgere
specifiche attività formative programmate dal docente.
Resta ferma la possibilità per i genitori di studenti minorenni di segnalare al Dirigente
Scolastico eventuali motivate ragioni ostative all’uso di determinate applicazioni per il proprio
figlio, al fine di individuare modalità alternative di svolgimento delle attività didattiche.
10. DISPOSIZIONI FINALI
La presente informativa è pubblicata nella sezione “Privacy” del sito web istituzionale
dell’Istituto ed è portata a conoscenza degli interessati mediante circolare interna e
pubblicazione sul registro elettronico.
L’Istituto si riserva di aggiornare la presente informativa in caso di attivazione di nuove
applicazioni di terze parti o di modifiche normative rilevanti. Eventuali aggiornamenti saranno
tempestivamente comunicati attraverso i canali istituzionali.
Per qualsiasi chiarimento o richiesta di informazioni, è possibile contattare il Responsabile
della Protezione dei Dati (DPO) all’indirizzo [email DPO].
Il Dirigente Scolastico