Area Informativa sulla Privacy
Regolamento UE n.679/2016 in materia di trattamento dei dati
Il 25.5.2018 è entrato in vigore il Regolamento (UE) n.679/2016 in materia di trattamento dei dati personali. In attuazione del Regolamento UE, l’organizzazione della nostra scuola prevede:
Titolare del trattamento dei dati è l’Istituto scolastico, legalmente rappresentato dal Dirigente scolastico.
Responsabile del trattamento interno dei dati è il DSGA.
Il Responsabile della Protezione dei Dati (RPD) è la Prof.ssa Letizia Pratesi, contattabile via e-mail a rpd@e-santoni.org.
Titolare e responsabili possono essere contattati ai recapiti istituzionali della scuola.
Incaricati e quindi autorizzati al trattamento sono amministrativi, tecnici, docenti e collaboratori scolastici, per le mansioni di propria competenza.
La lista dei responsabili esterni è consultabile presso l’istituzione scolastica.
Informativa sul trattamento dei dati personali degli utenti che consultano il nostro sito.
L’informativa è prevista dal D.lgs. n. 196/2003 e ss.mm.ii e art. 13 del Regolamento UE 679/2016.
L’informativa è resa solo per il nostro sito e non vale per altri siti web eventualmente consultati dall’utente tramite link. A seguito della consultazione di questo sito possono essere trattati dati relativi a persone identificate o identificabili.
Il titolare del trattamento
Il titolare del trattamento dei dati personali è l’Istituto scolastico, legalmente rappresentato dal Dirigente scolastico pro tempore.
Dati di contatto RPD
Prof.ssa Letizia Pratesi, e-mail: rpd@e-santoni.org.
Dati di navigazione
I dati di navigazione rilevati, indirizzi IP, URI delle risorse richieste, sistema operativo, ed altro sono eventualmente utilizzati soltanto per informazioni statistiche anonime.
Dati forniti volontariamente dall’utente
L’invio facoltativo, esplicito e volontario di posta elettronica agli indirizzi indicati su questo sito comporta la successiva acquisizione dell’indirizzo del mittente, necessario per rispondere alle richieste, nonché degli eventuali altri dati personali inseriti nella missiva.
Specifiche informative di sintesi verranno progressivamente riportate o visualizzate nelle pagine del sito predisposte per particolari servizi a richiesta.
È escluso il trattamento di dati particolari (ex sensibili) o giudiziari.
Modalità del trattamento
I dati personali sono trattati con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti.
Diritti degli interessati
I soggetti cui si riferiscono i dati personali hanno il diritto in qualunque momento di ottenere la conferma che sia o meno in corso un trattamento di dati personali che li riguardano e di ottenere l’accesso ai dati personali, la rettifica o la cancellazione degli stessi, la trasformazione in forma anonima, la limitazione al trattamento o il blocco dei dati trattati in violazione di legge, nonché di opporsi in ogni caso, per motivi legittimi, al loro trattamento (art. 15 e ss. del Regolamento UE 679/2016). L’esercizio dei premessi diritti può essere esercitato mediante comunicazione scritta o comunicazione da inviare all’indirizzo e-mail piis003007@istruzione.it e, per
conoscenza, a privacy@e-santoni.org. E’ possibile anche utilizzare il MODELLO esercizio diritti in materia di protezione dei dati personali. L’istanza, se non firmata digitalmente, deve essere presentata con allegata copia del documento di riconoscimento in corso di validità. L’istanza può essere presentata anche da parte di un delegato, fornendo copia della delega e del documento di riconoscimento del delegato e delegante.
Diritto di reclamo
Gli interessati hanno inoltre il diritto di proporre reclamo al Garante, come previsto dall’art. 77 del Regolamento UE 679/2016, o di adire le opportune sedi giudiziarie, se ritengono che il trattamento dei dati personali a loro riferiti effettuato attraverso questo sito avvenga in violazione di quanto previsto dal Regolamento stesso.
Tutta la documentazione privacy, comprese le informative al trattamento dei dati, è consultabile nella sezione Privacy della sezione Amministrazione Trasparente.
RESPONSABILITÀ DEL PERSONALE AUTORIZZATO AL TRATTAMENTO
Si richiama l’attenzione di tutto il personale sull’obbligo di conoscere, rispettare e applicare le disposizioni in materia di protezione dei dati personali, con particolare riferimento al Regolamento (UE) 2016/679 (GDPR), al D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101, nonché alle istruzioni impartite dall’Istituto in qualità di Titolare del trattamento.
La protezione dei dati personali non costituisce un adempimento meramente formale o esclusivamente riconducibile alla funzione del Responsabile della Protezione dei Dati (RPD/DPO), ma rappresenta un obbligo organizzativo e professionale che coinvolge ogni lavoratore che, nello svolgimento delle proprie mansioni, abbia accesso o comunque venga a conoscenza di dati personali.
Si richiama in modo particolare e testuale l’articolo 29 del Regolamento (UE) 2016/679:
Articolo 29 – Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento
“Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.”
La disposizione è particolarmente rilevante per il personale scolastico. Docenti, personale amministrativo, assistenti tecnici, collaboratori scolastici e ogni altro soggetto che, in relazione alle proprie mansioni, possa accedere a dati personali, operano infatti nell’organizzazione del Titolare e devono attenersi alle istruzioni impartite dal Titolare del trattamento. Il principio è stato ribadito recentemente dal Garante per la protezione dei dati personali: “il titolare può adibire al trattamento dei dati personali soltanto persone che operino sotto la sua autorità e che siano state previamente istruite in ordine al trattamento.” La stessa Autorità, con un provvedimento dell’11 giugno 2026, ha nuovamente richiamato congiuntamente gli artt. 29 e 32, par. 4, sottolineando il rapporto tra accesso ai dati, istruzioni del titolare e corretto trattamento da parte del personale autorizzato/designato.
L’articolo 32 GDPR impone al Titolare e al Responsabile del trattamento l’adozione di misure tecniche e organizzative adeguate al rischio. Tra queste il Regolamento ricomprende espressamente: “l’appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali”. La formazione, pertanto, non deve essere considerata un’attività meramente facoltativa o accessoria, ma costituisce una delle misure organizzative attraverso le quali l’Istituto assicura la sicurezza dei trattamenti. L’articolo 32, par. 4, rafforza ulteriormente il principio stabilendo che il Titolare e il Responsabile devono fare in modo che chiunque operi sotto la loro autorità e abbia accesso ai dati non li tratti se non è istruito in tal senso, salvo specifico obbligo derivante dal diritto dell’Unione o dello Stato.
L’articolo 5, paragrafo 2, introduce il principio di responsabilizzazione (accountability).
Il Titolare non deve soltanto rispettare i principi del GDPR, ma deve essere anche in grado di dimostrare di averli rispettati.
La formazione del personale assume pertanto una duplice funzione:
- costituisce una misura organizzativa di prevenzione;
- consente all’Istituzione scolastica di documentare l’adozione delle misure necessarie a garantire la conformità al GDPR.
L’articolo 24 stabilisce che il Titolare mette in atto misure tecniche e organizzative adeguate per garantire e dimostrare che il trattamento è effettuato conformemente al Regolamento.
Nell’ambito scolastico ciò comporta necessariamente l’organizzazione di un sistema nel quale:
- siano individuati i soggetti autorizzati/designati;
- siano definite le rispettive competenze;
- siano impartite istruzioni operative;
- il personale sia adeguatamente formato;
- siano documentate le attività formative;
- siano effettuati, ove necessario, aggiornamenti e richiami.
Il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, all’articolo 2-quaterdecies prevede che il Titolare o il Responsabile possano attribuire specifici compiti e funzioni connessi al trattamento dei dati a persone fisiche espressamente designate, che operano sotto la loro autorità.
Ne deriva che il personale scolastico che, in ragione delle proprie mansioni, accede ai dati personali deve operare nel rispetto delle specifiche istruzioni ricevute e dei limiti del proprio incarico.
La corretta individuazione del personale autorizzato non costituisce, dunque, una semplice formalità amministrativa: è parte integrante del sistema di sicurezza del trattamento.
L’articolo 28 disciplina i rapporti tra Titolare e Responsabile del trattamento. In particolare, il paragrafo 3, lettera b), stabilisce che il Responsabile deve garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.
L’articolo 39, paragrafo 1, lettera b), attribuisce al Responsabile della Protezione dei Dati il compito di:
- informare e fornire consulenza al Titolare, al Responsabile e ai dipendenti che effettuano il trattamento;
- sorvegliare l’osservanza del GDPR;
- attribuire particolare attenzione alle attività di sensibilizzazione e formazione del personale.
Il RPD/DPO, tuttavia, non sostituisce il personale nell’adempimento dei propri obblighi e non assume la responsabilità delle operazioni materialmente compiute dagli addetti al trattamento.
Il suo ruolo è di consulenza, sorveglianza e sensibilizzazione; la corretta esecuzione delle operazioni rimane in capo ai soggetti che effettuano il trattamento secondo le rispettive competenze.
Il Garante ha espressamente ricondotto la sensibilizzazione e la formazione del personale tra i compiti del RPD previsti dall’art. 39 GDPR.
Alla luce delle disposizioni sopra richiamate, si precisa che il personale che, nello svolgimento delle proprie mansioni, accede a dati personali deve essere adeguatamente istruito e formato.
Si richiama con particolare fermezza l’attenzione di tutto il personale sul fatto che la mancata partecipazione ingiustificata alla formazione o agli aggiornamenti obbligatori disposti dall’Istituzione scolastica non è priva di conseguenze.
Una volta che il Titolare abbia:
- individuato il personale che deve essere formato;
- impartito formalmente l’istruzione;
- comunicato le modalità e i termini della formazione;
- messo concretamente a disposizione il percorso formativo;
- assicurato al personale la possibilità di parteciparvi;
Il personale è tenuto a:
- partecipare alle attività formative obbligatorie;
- prendere conoscenza delle istruzioni impartite;
- rispettare le procedure adottate dall’Istituto;
- utilizzare correttamente gli strumenti e le piattaforme;
- non accedere a dati non necessari allo svolgimento delle proprie mansioni;
- non comunicare o diffondere dati a soggetti non autorizzati;
- segnalare tempestivamente eventuali incidenti o violazioni;
- mantenere la riservatezza sulle informazioni conosciute per ragioni di servizio;
- aggiornarsi quando l’Istituto dispone specifici percorsi di formazione o aggiornamento.
Le sanzioni amministrative del GDPR sono disciplinate principalmente dall’articolo 83 e riguardano le violazioni del Regolamento secondo il relativo sistema di responsabilità.
Tuttavia, il dipendente che non adempia a un obbligo formativo formalmente disposto dall’Amministrazione, oppure che, pur essendo stato istruito, violi consapevolmente le istruzioni ricevute e proceda a trattamenti non autorizzati o illeciti, può essere esposto alle conseguenze previste dall’ordinamento e dal rapporto di lavoro, comprese, ricorrendone i presupposti, responsabilità disciplinari, organizzative e professionali, oltre alle eventuali ulteriori responsabilità previste dalla legge in relazione alla concreta condotta e agli eventuali danni prodotti. La responsabilità deve pertanto essere valutata in concreto, tenendo conto delle mansioni, delle istruzioni ricevute, della formazione effettuata o rifiutata, della condotta posta in essere, della prevedibilità del rischio e delle conseguenze dell’eventuale violazione.
Ogni componente della comunità scolastica deve essere consapevole che una violazione dei dati personali può derivare anche da comportamenti apparentemente banali:
- invio di una e-mail al destinatario errato;
- utilizzo improprio di “CC” anziché “CCN”;
- diffusione di elenchi di studenti o personale;
- pubblicazione di documenti contenenti dati personali;
- condivisione impropria di credenziali;
- utilizzo di account altrui;
- accesso a dati non necessari;
- conservazione di documenti contenenti dati personali in luoghi non protetti;
- divulgazione di informazioni relative ad alunni, famiglie o dipendenti;
- comunicazioni contenenti dati sanitari;
- utilizzo improprio di piattaforme digitali o strumenti di intelligenza artificiale;
- fotografie, video o registrazioni effettuate e diffuse senza adeguata verifica dei presupposti;
- mancata segnalazione di un incidente di sicurezza.
È pertanto obbligo di ogni lavoratore segnalare immediatamente al referente individuato dall’Istituto qualsiasi evento che possa configurare una violazione dei dati personali, senza attendere di stabilire autonomamente se l’evento costituisca o meno un data breach.
È opportuno precisare che anche il Garante, in un provvedimento del dicembre 2025 riguardante un istituto scolastico, ha richiamato espressamente l’art. 29 GDPR e l’art. 2-quaterdecies del Codice, rilevando che l’istituto aveva impartito le istruzioni al personale solo successivamente rispetto alla condotta oggetto dell’istruttoria. Il precedente è particolarmente significativo per le istituzioni scolastiche.
La responsabilità della complessiva organizzazione del sistema di protezione dei dati rimane in capo al Titolare del trattamento, che deve adottare misure adeguate e dimostrarne l’effettiva applicazione.
Parallelamente, ogni lavoratore è responsabile del corretto svolgimento delle operazioni che compie nell’ambito delle proprie mansioni, secondo le istruzioni ricevute.
Ne consegue una responsabilità organizzativa differenziata:
TITOLARE DEL TRATTAMENTO
→ organizza il sistema, impartisce istruzioni, individua i soggetti autorizzati, predispone misure adeguate e documenta la compliance.
RPD/DPO
→ informa, consiglia, sensibilizza, supporta e sorveglia l’osservanza del GDPR nell’ambito dei propri compiti.
PERSONALE AUTORIZZATO/DESIGNATO
→ riceve le istruzioni, partecipa alla formazione, tratta esclusivamente i dati necessari alle proprie mansioni e rispetta rigorosamente le procedure.
RESPONSABILI DEL TRATTAMENTO
→ garantiscono il rispetto degli obblighi contrattualmente e normativamente previsti dall’art. 28 GDPR.
Questa distinzione è coerente con le Linee guida EDPB 07/2020, che chiariscono che i dipendenti che trattano dati utilizzando le risorse interne del Titolare agiscono sotto la sua autorità e sono vincolati alle relative istruzioni ai sensi dell’art. 29. Pertanto, a decorrere dalla ricezione della presente comunicazione, ciascun dipendente è tenuto a considerare la formazione e l’aggiornamento in materia di protezione dei dati personali come parte integrante degli obblighi connessi allo svolgimento delle proprie mansioni, quando richiesti dall’Istituzione scolastica.
Il personale che, senza giustificato motivo, non partecipi alle attività formative obbligatorie o non completi nei termini il percorso assegnato sarà oggetto di specifico monitoraggio individuale. Ancora più grave è la situazione del soggetto che, pur avendo ricevuto istruzioni, tratti dati personali al di fuori delle proprie competenze, acceda a dati non necessari, divulghi informazioni a soggetti non autorizzati o violi consapevolmente le procedure di sicurezza. In tali ipotesi potranno essere valutate le responsabilità conseguenti alla specifica condotta, anche alla luce della gravità della violazione e degli eventuali danni o rischi arrecati agli interessati e all’Istituzione. Tutto il personale è invitato a considerare la protezione dei dati personali come una componente essenziale della professionalità richiesta nell’ambito dell’Istituzione scolastica.
La scuola tratta quotidianamente una quantità rilevante di dati personali relativi a:
- studenti e studentesse;
- minori;
- famiglie;
- personale docente e ATA;
- collaboratori e fornitori;
- soggetti con disabilità;
- dati relativi alla salute;
- dati relativi alla carriera scolastica;
- dati amministrativi, contabili e fiscali;
Istituto Statale Istruzione Superiore
- immagini, registrazioni e credenziali;
- informazioni contenute nei registri elettronici e nelle piattaforme digitali.
La particolare delicatezza del contesto scolastico impone, pertanto, un livello elevato di attenzione e consapevolezza. Nessun dipendente può ritenere di essere esonerato dagli obblighi di protezione dei dati per il solo fatto che non svolga direttamente attività amministrative. Anche il personale docente e collaboratore scolastico può venire quotidianamente a conoscenza di dati personali di studenti, famiglie e colleghi e deve pertanto rispettare le istruzioni ricevute e i limiti derivanti dalle proprie mansioni.
Si dispone, pertanto, che tutto il personale:
- partecipi alle attività formative obbligatorie organizzate dall’Istituto;
- completi gli eventuali moduli formativi assegnati entro i termini stabiliti;
- prenda visione delle istruzioni operative sul trattamento dei dati personali;
- sottoscriva, ove richiesto, l’attestazione di avvenuta presa visione;
- partecipi agli eventuali aggiornamenti successivi;
- segnali tempestivamente ogni possibile violazione dei dati personali;
- si astenga da qualsiasi trattamento non autorizzato o non necessario allo svolgimento delle proprie mansioni.
La presente comunicazione costituisce formale richiamo all’osservanza degli obblighi di istruzione, formazione, riservatezza, sicurezza e corretto trattamento dei dati personali.
La tutela dei dati degli studenti, delle famiglie e del personale costituisce una responsabilità istituzionale che richiede la collaborazione consapevole di ciascun componente della comunità scolastica.
Tanto per i dovuti adempimenti