Tel. – fax 0184-660674 –e-mail Questo indirizzo e-mail è protetto dallo spam bot. Abilita Javascript per vederlo.  

 

C.F.90076990085

 

INDICE

PARTE 1ª - L’Istituzione Scolastica............ 3

PARTE 2ª - La metodologia e le informazioni generali sui dati....... 5

Il DPS e l’approccio adottato. 5

Come è stata effettuata la rilevazione 5

Informazioni generali sui dati trattati.. 5

Dati sensibili e giudiziari 7

PARTE 3ª - Il quadro della situazione 7

L’analisi dei trattamenti........... 7

Quadro di sintesi... 7

Attività e banche dati........... 8

I trattamenti: chi li effettua e con quali strumenti 9

Trattamenti affidati all’esterno.......... 10

Parte 4ª - Rischi stimati - misure di sicurezza....... 10

Valutazione dei rischi 10

Misure di sicurezza 12

Verifica periodica 15

PARTE 5ª - Gli allegati......... 16

 

Prot. n. 1364/A32 

Il Dirigente dell’Istituzione Scolastica

VISTO il decreto Legislativo 30 giugno 2003, n. 196 recante il codice in materia di protezione dei dati personali, e segnatamente gli art. 34 ss, nonché l’allegato B del suddetto D.lgs., contenente il disciplinare tecnico in materia di misure minime di sicurezza;

Considerato che l’istituzione Scolastica, in quanto dotata di un autonomo potere decisionale, ai sensi dell’art. 28 del  d.Lgs. n. 196 del 2004, deve ritenersi titolare del trattamento dei dati personali;

Atteso che la suddetta Istituzione scolastica è tenuta a prevedere ed applicare le misure minime di sicurezza di cui agli art. 31 e ss. del D.Legs.196/2003 ,

adotta

il presente Documento programmatico sulla sicurezza dei dati redatto ai sensi e per gli effetti dell’art. 34, comma 1, lettera g) del D. lgl. 196/2003 e e del disciplinare tecnico allegato B.

 

PARTE 1ª - L’Istituzione Scolastica

L’ Istituto Comprensivo Sanremo Foce  di Sanremo ha sede in via Panizzi, 4 (Cap 18038 – Tel. 0184/660674). L’Istituto Comprensivo  comprende  3 plessi di scuola dell’infanzia, 5 di scuola primaria,  1 di Scuola Secondaria di Primo Grado ubicati nel territorio del comune di Sanremo e Ospedaletti.

L’Istituto, ex Direzione Didattica II Circolo, in data 1.9.2009  ha acquisito la nuova denominazione e nuova Personalità giuridica.

L’indirizzo e-mail utilizzato per le comunicazioni istituzionali è: Questo indirizzo e-mail è protetto dallo spam bot. Abilita Javascript per vederlo.

L’indirizzo PEC è : Questo indirizzo e-mail è protetto dallo spam bot. Abilita Javascript per vederlo.

La struttura della scuola può essere così rappresentata:

Dirigente scolastico pro-tempore, Luigia Necco

Vicario pro-tempore, Marcello MOSCHERINI

Dsga e Responsabile del trattamento dei dati personali, Angela CARLI f.f.

La scuola ha protocollato dall’1.9.2009  919 atti  in uscita e 2.257  atti in entrata. E’ frequentata da 834 studenti, suddivisi in 32  classi di Scuola primaria, 3 classi di Scuola Secondaria di Primo Grado e 7 sezioni di Scuola dell’Infanzia  e il personale è composto da 97  docenti e 29  unità Ata.

Anche in seguito ai risultati del lavoro di ricognizione eseguito in vista del presente documento, la scuola ha già iniziato il percorso volto a :

• organizzare i trattamenti di dati in formato cartaceo, con particolare riguardo all’attività di Segreteria, in modo da garantire un’idonea custodia dei documenti e di riservare l’accesso alle aree in cui si effettuano i trattamenti ai soli soggetti incaricati;
• porre in essere le misure di sicurezza adeguate per la protezione dei dati trattati in formato elettronico.

PARTE 2ª - La metodologia e le informazioni generali sui dati

Il DPS e l’approccio adottato

Il presente DPS è stato redatto a seguito di una rilevazione sistematica dei dati personali trattati dalla scrivente Istituzione scolastica e di un’analisi dell’infrastruttura tecnologica esistente, con particolare riferimento alle caratteristiche della rete, dei Personal Computer, dei sistemi di sicurezza in uso.

E’ seguita un’analisi dei rischi ed una valutazione in ordine alla possibilità che possano verificarsi episodi di utilizzo improprio dei dati, di loro perdita o distruzione e di accesso non autorizzato.

Sono state, di conseguenza, individuate misure ulteriori, rispetto a quelle già in essere, per ridurre i rischi rilevati.

Come è stata effettuata la rilevazione

La compilazione “partecipata”, da parte del Dirigente scolastico, del Dsga e del responsabile interno dei sistemi informativi, ha consentito una valutazione complessiva più generale dello stato dell’organizzazione e dei fabbisogni dell’Istituzione scolastica e, con essa, l’individuazione di soluzioni migliorative delle sue prestazioni.

Informazioni generali sui dati trattati

La scuola, nell’ambito delle finalità istituzionali perseguite, può trattare, anche mediante strumenti elettronici, i dati individuati dall’articolo 4 lettere b), c) d) e) del Decreto Legislativo 30 Giugno 2003, n°196.

I trattamenti avvengono nel rispetto degli obblighi derivanti dalla legislazione nazionale e comunitaria, nonché da fonti di natura regolamentare.

Tra le disposizioni sopra menzionate, si evidenzia il particolare rilievo dei trattamenti previsti dalla seguente normativa:

• R.D. n. 653/1925, D.Lgs. n. 297/1994, D.P.R. n. 275/1999;
• Legge 19/03/1990 n°50, Decreto Interministeriale 1 febbraio 2001, n. 44 e le norme in materia di contabilità generale dello Stato;
• Legge n. 104/1992, Legge n. 53/2003, D.Lgs. n. 165/2001;
• D.Lgs. n. 151/2001, l’art. 112 del Dlgs 193/2004, i Contratti Collettivi di Lavoro Nazionali ed Integrativi stipulati ai sensi delle norme vigenti;
• tutta la normativa collegata alle citate disposizioni.

I trattamenti sono legati alla erogazione dei servizi formativi ed educativi dell’Istituzione scolastica, ai connessi rapporti con gli alunni e le famiglie, agli adempimenti relativi alla gestione e alla formazione del personale, agli adempimenti di contabilità e bilancio.

In linea generale, i dati trattati riguardano:

• persone fisiche, identificate o identificabili, quali nominativo, data di nascita, residenza, domicilio, stato di famiglia, codice fiscale, obblighi  di leva;
• persone giuridiche quali la forma giuridica, la sede legale, la data di costituzione, informazioni relative agli organi rappresentativi e legali, partita Iva, codice fiscale, la titolarità di diritti o la disponibilità di beni strumentali;
• presenze, prestazioni previdenziali, stipendi, permessi, ferie, malattia, stato di servizio e altri dati connessi al rapporti di lavoro del personale della scuola;
• procedimenti di natura penale, civile, tributaria e amministrativa;
• rapporti del Dirigente scolastico e dei docenti con le famiglie;
• attività degli organi collegiali dell’Istituzione scolastica;
• atti negoziali od offerte commerciali provenienti da fornitori di beni e servizi, ivi comprese eventuali attività professionali svolte a fini formativi;
• rapporti e convenzioni con aziende e agenzie formative, per stage e tirocini degli alunni;
• altri soggetti, situazioni, eventi in applicazione di disposizioni di Legge o Regolamenti.

Dati sensibili e giudiziari

Quanto ai trattamenti di dati sensibili e giudiziari in formato elettronico, va rilevato che è stata effettuata una ricognizione completa. Il trattamento di dati sensibili in formato elettronico effettuato da questa scuola appare piuttosto circoscritto e si limita esclusivamente alle finalità connesse alla sua funzione istituzionale. Questo può riguardare particolari situazioni di disagio o handicap fisico/psichico sopportate dagli alunni o dal personale e/o a particolari esigenze da queste derivanti, casi particolari di malattie o infortuni, nonché l’indicazione della sigla sindacale a favore della quale viene eseguita la trattenuta. Non si segnala, al momento, alcun trattamento in formato elettronico di dati giudiziari.

PARTE 3ª - Il quadro della situazione

L’analisi dei trattamenti

Lo studio relativo ai trattamenti di dati (in formato elettronico) effettuato dalla Istituzione scolastica è avvenuta nel seguente modo:

1.     sono state rilevate le attività in essere che comportano il trattamento elettronico di dati personali;

2.     sono state individuate le strutture e/o le figure professionali incaricate dei trattamenti;

3.     sono stati rilevati e descritti gli strumenti informatici utilizzati per il trattamento dei dati.

Quadro di sintesi

La scuola è dotata, complessivamente, di 85 personal computers e 2 portatili.

 I pc utilizzati per il trattamento di dati personali, collegati tra loro tramite la rete interna degli uffici di segreteria e di direzione, sono 8  (compreso il pc server), più 1 non in rete contenente gli archivi dell’ex Direzione Didattica II Circolo.

La rete interna è servita da un sistema di protezione antivirus e da un sistema di back up automatico dei dati. Installata nel 2004, ha finora dato prova di una buona affidabilità.  La scuola è dotata  di un sistema “firewall” a protezione da eventuali tentativi di intrusione nella rete dall’esterno.

Attività e banche dati

I trattamenti in formato elettronico effettuati dagli incaricati si concentrano sulle seguenti banche dati.

 

Area	Attività	Banca dati
Dirigenza Scolastica	Rappresentanza dell’istituzione scolastica	Documenti vari
Amministrativa	Protocollo	Corrispondenza in entrata e uscita
Amministrativa	Personale	Retribuzione e status
Amministrativa	Personale	Permessi, congedi, malattie
Amministrativa	Gestione alunni	Studenti
Amministrativa	Contabilità e bilancio	Contributi delle famiglie
Amministrativa	Contabilità e bilancio	Forniture/Fornitori
Amministrativa	Contabilità e bilancio	Richieste di finanziamento
Amministrativa	Contabilità e bilancio	Altri contributi
Amministrativa	Contabilità e bilancio	Progetti finanziati e partnership

 

Tutte le banche dati sopra indicate sono residenti sul server e gestite attraverso i software Sissi e Argo e gli applicativi Word ed Excel. I dati trattati con questi due ultimi applicativi sono contenuti in una cartella denominata “Cartella condivisa” e, in una cartella personale per ogni postazione denominata “Documenti ”. Entrambe le cartelle sono residenti sul server e i documenti in esse contenuti sono pertanto salvati in automatico, secondo le modalità più avanti descritte.

Dati di natura sensibile, del tipo già descritto a pag.6, possono essere contenuti nelle seguenti banche dati: “Documenti ”, “Corrispondenza in entrata e uscita”, “Permessi, congedi, malattie” e “Studenti”. Le altre banche dati contengono esclusivamente semplici dati personali.

I trattamenti: chi li effettua e con quali strumenti

Il trattamento di dati personali in formato elettronico contenuti dalle banche dati sopra indicate è effettuato dal Dirigente scolastico e dal personale di segreteria, sotto la direzione e il controllo del Direttore SGA. Il personale di segreteria effettua le seguenti operazioni di trattamento: registrazione, inserimento, archiviazione, consultazione e cancellazione dati. Le operazioni di comunicazione e diffusione dei dati sono effettuate solo su specifica autorizzazione del Dirigente scolastico. 

L’accesso al sistema informatico è consentito a sole persone autorizzate .

La posta elettronica è gestita dal Sig. Buonfiglio Sebastiano; la Intranet dal Sig. Mosca Antonio.

I personal computer abilitati al trattamento dei dati sono i 9 pc, già citati in precedenza, connessi alla rete interna della segreteria. Tutte le macchine sono di recente acquisizione (anni 2004-2005) e utilizzano il sistema operativo Windows XP Professional, ad eccezione del pc server che utilizza Windows 2000 Server. Tutti i pc sono protetti dall’antivirus di rete Trend Micro Security Agent, regolarmente aggiornato, e sono dotati di un sistema di autenticazione informatica (più avanti descritto in dettaglio). A tutti, inoltre, è applicato un dispositivo di oscuramento automatico dello schermo con nuova richiesta di password al momento della ripresa del lavoro.

 

Trattamenti affidati all’esterno

La scuola ha un contratto di durata annuale con la ditta “Argo” per la manutenzione dei software gestionali e, per la manutenzione hardware ed eventuali esigenze di affiancamento nella gestione della sicurezza e del ripristino dei dati, si avvale dei servizi della ditta “WLnet” di Arma di Taggia (IM), con contratti annuali .

Il Titolare del trattamento conferisce l’incarico di Amministratore di sistema al soggetto incaricato della gestione della sicurezza delle risorse informatiche: il Sig.Sandro MAGGIO.della Ditta WLnet   nell’ambito del contratto annuale di assistenza tecnica e/ o riparazione.

L’amministratore di sistema, nell’espletamento delle sue funzioni legate alla sicurezza e alla manutenzione informatica, ha facoltà di accedere in qualunque momento, anche da remoto, e dopo aver richiesto l’autorizzazione all’utente interessato, al personal computer di ciascun dipendente.

Parte 4ª - Rischi stimati - misure di sicurezza

Valutazione dei rischi

La scuola ha valutato il complesso dei rischi relativi alla gestione dei dati, in funzione di fattori diversi, quali il comportamento degli operatori, il contesto fisico-ambientale, le strumentazioni in dotazione, la probabilità che un certo numero di eventi dannosi per la sicurezza dei dati possa verificarsi e l’entità del danno eventuale che ne può derivare per l’integrità e la riservatezza dei dati.

Va detto che, a giudizio di questa Istituzione scolastica, il quadro che emerge dell’analisi fatta è sostanzialmente rassicurante.

L’analisi legata al comportamento degli operatori, non ha evidenziato criticità.

E’evidente come un lavoratore poco diligente o, addirittura, operante con volontà dolosa o fraudolenta, possa potenzialmente arrecare gravi danni all’Istituzione scolastica. Ma va altresì rilevato il buon livello d’affidabilità del personale operante in questa scuola.

Non vi sono mai stati problemi per la gestione delle password personali di accesso ai computer, né comportamenti sleali o fraudolenti, né comportamenti caratterizzati da particolare incuria. E’ dunque bassa la probabilità che questi eventi si verifichino. In relazione agli accorgimenti e ai comportamenti da porre in essere per una corretta tutela della privacy, va detto che il personale della scuola ha generalmente dato prova di attenersi a quegli obblighi di riservatezza già precedentemente connessi allo svolgimento delle proprie mansioni. Si ritiene che una maggiore consapevolezza in materia di tutela della privacy sia già stata acquisita in conseguenza del piano di formazione fin qui svolto dalla scuola, e ulteriore progressi verranno assicurati in seguito alla imminente consegna delle lettere di incarico al trattamento dei dati, e in seguito agli ulteriori momenti di formazione che la scuola ha intenzione di programmare in futuro.

Dal momento che non si ravvisano ragioni di tutela della riservatezza tali da imporre che uno o più incaricati non possano accedere ad alcune tipologie di dati personali oggetto di trattamento, non appare necessario prevedere profili di autorizzazione distinti, per le diverse persone.

Di norma tali incarichi sono assegnati a partire dal 1° settembre, data di inizio del nuovo anno scolastico che coincide con le assegnazioni di sede del personale.

Al presente documento è allegato l’elenco dei provvedimenti adottati .

Dall’analisi dei rischi legati al contesto socio-ambientale emerge una situazione abbastanza rassicurante.

A memoria del compilatore del presente documento, non risultano tentativi di furto, o episodi di vandalismo, a danno delle attrezzature della scuola, e in particolare, di quelle informatiche utilizzate per il trattamento dei dati. Si ritiene tuttavia di non poter escludere del tutto tali eventualità, anche in considerazione della dislocazione al piano terra degli uffici di segreteria e della non presenza di particolari dispositivi di sicurezza passiva.

Va detto comunque che, durante l’orario di funzionamento della scuola, l’ingresso dell’Istituto e, in particolare, dei locali dove avviene il trattamento dei dati e dove questi sono custoditi, è costantemente vigilato. Al termine dell’orario di apertura detti locali vengono regolarmente chiusi a chiave e, eventuali accessi fuori orario, avvengono solo dietro espressa autorizzazione del Dirigente scolastico. I documenti cartacei e le copie di back up dei dati trattati in formato elettronico, inoltre, sono conservati in appositi armadi dotati di serratura posti all’interno dei locali di segreteria. E’ intenzione della scuola quella di limitare il più possibile l’accesso a tali locali al solo personale di segreteria, compatibilmente con il normale svolgimento delle attività scolastiche.

Non si segnalano particolari rischi (come: radiazioni elettromagnetiche, umidità o temperature eccessive, etc.) derivanti dal contesto ambientale. Contro i rischi di perdita accidentale di dati, che potrebbero derivare da un’interruzione improvvisa dell’energia elettrica, la scuola ha in funzione appositi dispositivi in grado di garantirne la continuità.

Un quadro piuttosto soddisfacente emerge dall’analisi dei rischi legati agli strumenti informatici utilizzati ma che, tuttavia, evidenzia una necessità di intervento.

Fermo restando che, vista anche la loro estrema diffusione, non si ritiene possibile poter escludere del tutto il verificarsi di episodi di virus informatici o di programmi recanti danno, la scuola ritiene di aver già adottato una parte delle misure (previste dal Disciplinare tecnico allegato al D.lgs. 196/03) per proteggersi da tali rischi. Queste sono quelle a protezione della rete e dei pc, già illustrate a pag. 7 ed 8 del presente documento. Si segnala inoltre, quale ulteriore accorgimento volto a migliorare la sicurezza della dotazione informatica della scuola, il regolare aggiornamento del sistema operativo e di tutti i software in uso nella scuola. 

Protezione server

Il pc server è ubicato negli uffici di segreteria, il cui ingresso è vigilato durante l’orario di apertura della scuola e chiuso a chiave dopo quello di chiusura. Al server, come del resto agli altri pc, si accede previa procedura di autenticazione informatica, in linea con quanto descritto nel Disciplinare tecnico, ed è applicato un dispositivo di oscuramento automatico dello schermo, con richiesta di password alla ripresa di nuova sessione di lavoro.

Misure di sicurezza

Backup dei dati. Nell’ottica di minimizzarne il rischio di perdita o di distruzione, anche accidentale, la scuola ha adottato un sistema che prevede il salvataggio automatico dei dati, con scadenza quotidiana. Il salvataggio viene effettuato su supporti “data tape” di tipo “DDS 2”, in seguito custodite in armadi chiusi a chiave.

Per quanto riguarda le prove di ripristino dei dati, per verificare che il salvataggio eseguito sia andato a buon fine, la scuola ne effettua di periodiche, così come previsto dal Disciplinare tecnico allegato al D.lgs. 196/03.

Della funzione di salvataggio e di ripristino dei dati si occupa l’addetto di segreteria ad essa preposto, anche avvalendosi della collaborazione della ditta “WLnet”.

Sistema di autenticazione informatica. L’accesso ai pc utilizzati per il trattamento dei dati avviene solo previa digitazione di credenziali di autenticazione composte da 2 elementi: username e password. Queste ultime sono formate da una sequenza di almeno 8 caratteri, sono anonime, personalizzate e modificate, così come previsto dal Disciplinare tecnico, almeno ogni 3 mesi .

Alle credenziali sono associati dei privilegi di accesso che consentono l’intervento solo sulle aree e il tipo di trattamento corrispondenti all’incarico di competenza del singolo utente.

Dell’assegnazione e modifica delle password si occupa il Dsga, secondo la procedura in linea con quanto previsto dal Disciplinare tecnico e in grado di garantire il normale svolgimento dell’attività lavorativa, anche in caso di assenza dell’incaricato: comunicazione della psw in busta chiusa all’incaricato, modifica della psw eseguita dall’incaricato al primo utilizzo, consegna della nuova psw, in busta chiusa, da parte dell’incaricato al responsabile.

 

Misure da adottare

Sarà cura del Titolare e del Responsabile la verifica periodica del rispetto delle istruzioni e delle misure di sicurezza adottate dalla scuola. Più in generale, si vigilerà sul tipo di trattamento effettuato dalla scuola, che deve sempre essere compreso nelle sue finalità istituzionali e, per nessuna ragione, prescindere da queste. Uguale cura verrà posta nella verifica e nell’aggiornamento, almeno annuale, degli ambiti del trattamento consentito ai singoli incaricati

 

Formazione degli incaricati.

La previsione di interventi formativi degli incaricati del trattamento rientra tra gli aspetti più importanti del presente documento.

In effetti, una gestione impropria da parte del personale ATA chiamato alla gestione dei dati personali nonché del corpo insegnante per quel che attiene il trattamento dei dati degli alunni effettuato con i registri di classe, la mancanza di chiare direttive esplicative e l’assenza di strumenti di controllo di facile e rapida applicazione costituiscono le cause principali del verificarsi, anche inconsapevole, di danni agli interessati, ed in definitiva la causa prioritaria di trattamenti illegittimi e non conformi alle specifiche finalità dell’Istituzione Scolastica.

Gli interventi formativi sono programmati in modo da avere luogo al verificarsi di una delle seguenti circostanze.

• al momento dell’ingresso in servizio;
• in occasione di cambiamenti di mansioni che implichi modifiche rilevanti rispetto al trattamento dei dati personali;
• in occasione della introduzione di nuovi significativi strumenti con conseguenti rilevanti modifiche nel trattamento di dati personali

E’ previsto a breve un seminario di formazione per gli insegnanti sulla sicurezza e la protezione dei minori nella navigazione in Internet

Scopo della formazione

Il D.Lgs. 196/2003 impone la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla  protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. Di conseguenza l’ Istituto  prevede interventi formativi degli incaricati del trattamento, finalizzati a renderli edotti dei seguenti aspetti:

• profili della disciplina sulla  protezione dei dati personali che appaiono più rilevanti per l’attività svolta dagli incaricati e delle conseguenti responsabilità che ne derivano;
• rischi che incombono sui dati;
• misure disponibili per prevenire eventi dannosi e procedure da seguire;
• modalità per mantenersi aggiornati sulle misura di sicurezza adottate dal titolare

Gli interventi formativi possono avvenire.

• Mediante la consegna di materiale esplicativo riguardante le norme, gli adempimenti richiesti nonché le misure minime di sicurezza applicate dall’istituto,
• All’interno o dell’Istituto, a cura del responsabile per la sicurezza, del responsabile del trattamento e di altri soggetti esperti della materia;
• All’esterno dell’Istituto, presso soggetti specializzati.

Verifica periodica

La scuola si impegna a verificare ed aggiornare periodicamente le modalità adottate per garantire la sicurezza dei dati personali trattati. Il DPS verrà aggiornato entro il 31 Marzo di ogni anno. Il titolare si impegna a riferire, nella relazione accompagnatoria del bilancio di esercizio, dell’avvenuta redazione o aggiornamento del presente documento.

 

PARTE 5ª - Gli allegati

Al presente DPS è allegata la documentazione che completa il dossier relativo alla garanzia della sicurezza dei dati trattati nella scuola Gli allegati sono:

• il/i modello/i della/e lettera/e di incarico ad effettuare i trattamenti
• la/le nomina/e a responsabile del trattamento
• la nomina a custode delle password
• la nomina dell’amministratore di sistema
• l’organigramma d’istituto

• linee guida in materia di sicurezza dei dati

Il presente documento, redatto il giorno 26  del mese di marzo dell’anno 2010, è stato assunto al protocollo dell’ Istituto in data 26 marzo 2010 col numero 1364/A32.

L’originale del presente documento viene custodito presso l’Amministrazione Scolastica, per essere esibito in caso di controlli.

 

 

IL TITOLARE DEL TRATTAMENTO

Il DIRIGENTE SCOLASTICO

(Dott.ssa Luigia NECCO)