1. Premessa e quadro normativo

L’Istituto Comprensivo “A. Angiulli – De Bellis” riconosce la protezione dei dati personali come diritto fondamentale e tutela la riservatezza, la dignità e i diritti degli alunni, delle famiglie, del personale scolastico e delle altre persone che intrattengono rapporti con l’Istituzione scolastica.

Il trattamento dei dati personali è disciplinato, nei rispettivi ambiti di applicazione, dalle seguenti disposizioni:

• Articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, sulla vita privata e la protezione dei dati personali.
• Articolo 16 del Trattato sul funzionamento dell’Unione europea (TFUE).
• Regolamento (UE) 2016/679 (GDPR), relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), come modificato e integrato, tra l’altro, dal decreto legislativo 10 agosto 2018, n. 101.
• Legge 7 agosto 1990, n. 241, in materia di procedimento amministrativo e accesso ai documenti.
• Decreto legislativo 7 marzo 2005, n. 82 (Codice dell’amministrazione digitale), e successive modificazioni.
• Decreto legislativo 14 marzo 2013, n. 33, in materia di trasparenza amministrativa, nel rispetto dei limiti alla diffusione dei dati personali.
• Legge 13 luglio 2015, n. 107, per le disposizioni pertinenti all’organizzazione e alle attività scolastiche.

Si applicano inoltre le disposizioni di settore pertinenti, i provvedimenti del Garante per la protezione dei dati personali e le indicazioni delle autorità competenti.

Il decreto legislativo 18 maggio 2018, n. 51 disciplina un diverso e specifico ambito relativo ai trattamenti per finalità di prevenzione e repressione dei reati e non costituisce la disciplina ordinaria delle attività scolastiche.

2. Titolare del trattamento

Ai sensi dell’articolo 4, paragrafo 1, punto 7, e dell’articolo 24 del GDPR, il Titolare del trattamento è l’Istituto Comprensivo “A. Angiulli – De Bellis”, che determina finalità e mezzi dei trattamenti di propria competenza.

3. Responsabile della Protezione dei Dati (RPD/DPO)

Ai sensi degli articoli 37, 38 e 39 del GDPR, l’Istituto designa un Responsabile della Protezione dei Dati (RPD/DPO), con compiti di informazione, consulenza, sorveglianza sull’osservanza della normativa e cooperazione con il Garante per la protezione dei dati personali.

Il RPD/DPO costituisce un punto di contatto per le questioni relative alla protezione dei dati personali. I dati di contatto del RPD/DPO sono resi pubblici ai sensi dell’articolo 37, paragrafo 7, del GDPR.

4. Principi applicabili al trattamento

Ai sensi dell’articolo 5 del GDPR, i trattamenti rispettano i principi di:

• Liceità, correttezza e trasparenza: trattamento fondato su un’idonea base giuridica e informazioni comprensibili.
• Limitazione della finalità: raccolta per scopi determinati, espliciti e legittimi.
• Minimizzazione: trattamento dei soli dati adeguati, pertinenti e necessari.
• Esattezza: dati esatti e, se necessario, aggiornati.
• Limitazione della conservazione: conservazione per periodi compatibili con le finalità e gli obblighi di legge.
• Integrità e riservatezza: protezione contro accessi non autorizzati, perdite e trattamenti illeciti.
• Responsabilizzazione: capacità del Titolare di dimostrare il rispetto dei principi.

5. Finalità e basi giuridiche del trattamento

L’Istituto tratta dati personali per lo svolgimento delle attività istituzionali, educative, didattiche, amministrative e organizzative, nei limiti indicati dalle informative relative ai singoli trattamenti.

Le principali basi giuridiche sono l’articolo 6, paragrafo 1, lettere c) ed e), del GDPR: adempimento di obblighi legali ed esecuzione di compiti di interesse pubblico o connessi all’esercizio di pubblici poteri. Si applica, ove pertinente, l’articolo 2-ter del decreto legislativo 196/2003.

Per i trattamenti che richiedono una diversa base giuridica, compreso il consenso quando effettivamente necessario, l’Istituto fornisce le specifiche informazioni previste dalla normativa.

Il consenso non è, di regola, la base giuridica dei trattamenti necessari allo svolgimento delle funzioni istituzionali della scuola.

6. Trattamento di categorie particolari di dati

Il trattamento di categorie particolari di dati personali, tra cui dati relativi alla salute e alle convinzioni religiose, è effettuato soltanto quando ricorrono le condizioni previste dall’articolo 9 del GDPR, dall’articolo 2-sexies del decreto legislativo 196/2003 e dalle pertinenti disposizioni di settore.

Particolare attenzione è riservata alle informazioni relative a disabilità, bisogni educativi e condizioni di salute degli alunni. I dati relativi alla salute non possono essere diffusi, neppure attraverso il sito istituzionale.

7. Protezione dei dati personali dei minori

L’Istituto presta particolare attenzione alla tutela dei minori, in coerenza con il considerando 38 del GDPR.

Nei casi di servizi della società dell’informazione offerti direttamente ai minori e di trattamento fondato sul consenso, si applicano l’articolo 8 del GDPR e l’articolo 2-quinquies del decreto legislativo 196/2003, che stabilisce in Italia la soglia di quattordici anni. Questa disposizione non introduce un obbligo generalizzato di consenso per le ordinarie attività scolastiche.

La pubblicazione di fotografie, video e contenuti identificativi degli alunni deve rispettare le basi giuridiche applicabili, le finalità dichiarate e le specifiche disposizioni di tutela dei minori.

8. Informative e trasparenza

In applicazione degli articoli 12, 13 e 14 del GDPR, l’Istituto mette a disposizione degli interessati informative chiare e accessibili sui trattamenti di dati personali.

In base al trattamento, le informative indicano:

• identità e recapiti del Titolare e del RPD/DPO;
• finalità e basi giuridiche del trattamento;
• categorie di dati e, quando previsto, loro provenienza;
• destinatari o categorie di destinatari;
• eventuali trasferimenti verso Paesi terzi;
• periodi di conservazione o relativi criteri;
• diritti degli interessati e modalità per esercitarli;
• eventuale obbligatorietà del conferimento;
• ulteriori informazioni richieste dagli articoli 13 e 14, ove applicabili.

9. Sicurezza e riservatezza dei dati

Ai sensi degli articoli 24, 25 e 32 del GDPR, il Titolare adotta misure tecniche e organizzative adeguate ai rischi dei trattamenti, comprese, ove appropriate, la gestione delle autorizzazioni, la sicurezza degli strumenti informatici, la protezione degli accessi e la formazione del personale.

Gli eventuali responsabili esterni del trattamento sono individuati e disciplinati secondo l’articolo 28 del GDPR.

Le eventuali violazioni dei dati personali sono gestite secondo gli articoli 33 e 34 del GDPR, inclusi gli obblighi di notifica e comunicazione quando previsti.

10. Conservazione dei dati personali

I dati sono conservati per periodi determinati in relazione alle finalità dei trattamenti e agli obblighi di legge.

La gestione e la conservazione dei documenti amministrativi e scolastici avvengono anche nel rispetto del decreto legislativo 82/2005 e delle disposizioni in materia di archivi e conservazione documentale.

I periodi di conservazione o i criteri utilizzati per determinarli sono indicati nelle informative pertinenti.

11. Pubblicazione di dati e documenti sul sito istituzionale

La pubblicazione di atti e documenti sul sito istituzionale avviene nel rispetto della normativa in materia di pubblicità legale, trasparenza e protezione dei dati personali, con particolare riferimento al decreto legislativo 33/2013, all’articolo 2-ter del decreto legislativo 196/2003 e ai principi dell’articolo 5 del GDPR.

Prima della pubblicazione, l’Istituto valuta la necessità e la pertinenza dei dati personali contenuti nei documenti, con particolare riguardo ai dati dei minori, ai dati relativi alla salute e alle altre informazioni soggette a limitazioni di diffusione.

12. Diritti degli interessati

Gli interessati possono esercitare, nei casi e nei limiti previsti dalla normativa, i diritti di cui agli articoli 15–22 del GDPR:

• accesso ai dati personali (articolo 15);
• rettifica (articolo 16);
• cancellazione (articolo 17);
• limitazione del trattamento (articolo 18);
• portabilità, ove applicabile (articolo 20);
• opposizione, ove applicabile (articolo 21);
• tutele relative ai processi decisionali automatizzati, compresa la profilazione, nei casi previsti dall’articolo 22.

Le richieste possono essere indirizzate al Titolare tramite i recapiti istituzionali indicati in questa pagina.

Ai sensi dell’articolo 12, paragrafo 3, del GDPR, il Titolare fornisce riscontro senza ingiustificato ritardo e comunque entro un mese dalla richiesta, salve le proroghe consentite dalla normativa.

13. Reclami e tutela dei diritti

Ai sensi dell’articolo 77 del GDPR, chi ritiene che il trattamento dei propri dati violi il Regolamento può proporre reclamo al Garante per la protezione dei dati personali.

Restano ferme le forme di tutela giurisdizionale previste dagli articoli 78 e 79 del GDPR e dalle disposizioni nazionali applicabili.

14. Documentazione ufficiale

In questa sezione sono raccolti i documenti adottati o pubblicati dall’Istituto in materia di protezione dei dati personali.

15. Riferimenti normativi e istituzionali

• Regolamento (UE) 2016/679 – Testo ufficiale su EUR-Lex.
• Normattiva – Legislazione italiana vigente (consultare il decreto legislativo 196/2003 e le successive modifiche).
• Garante per la protezione dei dati personali – Scuola.
• Garante per la protezione dei dati personali – Sito istituzionale.

Questa pagina contiene informazioni generali sul quadro normativo e sull’organizzazione della protezione dei dati personali. Non sostituisce le informative specifiche previste dagli articoli 13 e 14 del GDPR.