Allegato Tecnico MIM · sezione 2
Ricostruire, mesi dopo, che cosa è successo davvero
La sezione 2 dell'Allegato chiede trasparenza e verificabilità: il procedimento deliberativo deve poter essere ricostruito a posteriori. Nella pratica significa che, quando un genitore impugna una delibera o un revisore chiede conto di una nomina, la scuola deve poter esibire una cronologia che nessuno abbia potuto ritoccare. Ecco com'è fatta.
Una catena, non una tabella di log
Ogni voce del registro contiene l'impronta della voce precedente. Ne risulta una catena: modificare o togliere una riga rompe il collegamento con tutte quelle che seguono, e l'alterazione diventa evidente. Non è una promessa di buona condotta dell'amministratore di sistema — è una proprietà che si può verificare.
La verifica è un comando che ripercorre la catena e segnala il punto esatto in cui si spezza. In produzione la tabella è protetta anche a livello di base dati contro modifiche e cancellazioni: il registro è in sola aggiunta.
Ogni istituto ha la propria catena, indipendente dalle altre.
Che cosa dice la norma
Sez. 2 — «Ricostruzione ex post del procedimento deliberativo» e «verificabilità dell'integrità del registro». Sono due requisiti distinti: il primo chiede che i fatti siano scritti, il secondo che si possa dimostrare che non sono stati riscritti.
Che cosa viene registrato
Le operazioni che contano per il procedimento e per la sicurezza, ciascuna con l'autore, il momento e il contesto:
- Accessi: ingresso riuscito, ingresso rifiutato, uscita volontaria, disconnessione per inattività, revoca di una sessione.
- Sedute: creazione, convocazione con i destinatari, apertura, chiusura, annullamento con la motivazione.
- Presenze: certificazioni, verifiche del numero legale, rettifiche manuali con la motivazione; le scansioni del QR, anche quelle fallite, con esito e finestra.
- Votazioni ed elezioni: apertura, atto di voto, chiusura, annullamento, ripetizione, esportazioni.
- Verbali e documenti: salvataggio della bozza (con lunghezza e impronta del testo, non il testo), approvazione, consolidamento con l'impronta, firme, esportazioni, pubblicazione dei documenti e prese visione.
- Videoconferenza: ingressi e uscite dalla stanza, provvedimenti di moderazione.
- Configurazione: modifiche alla matrice dei permessi, eccezioni per singola persona, variazioni all'anagrafica e alla composizione degli organi, azioni dell'assistenza tecnica.
Che cosa, di proposito, non registriamo
Un registro che scrive tutto è un archivio di dati personali travestito da misura di sicurezza. Tre esclusioni sono deliberate:
- La scelta espressa in uno scrutinio segreto. Il registro annota che una persona ha votato, mai che cosa. Se lo annotasse, il segreto sarebbe finto.
- Il testo del verbale. Al salvataggio si annotano lunghezza e impronta del contenuto: bastano a dimostrare che cosa è stato salvato e quando, senza duplicare l'atto dentro al registro.
- Il codice fiscale di chi non è in anagrafica. Quando un accesso viene rifiutato perché la persona non è censita, si conserva un'impronta calcolata con chiave: serve a riconoscere tentativi ripetuti, non a identificare un estraneo.
Consultazione, filtri, esportazione
Il registro si filtra per azione, per autore e per intervallo di date, e si esporta in CSV: è la forma in cui lo si allega a una risposta, a una verifica o a un procedimento. L'accesso al registro è un permesso a sé, che l'istituto assegna a chi ritiene.
Anche le attivazioni dei moduli fatte dall'assistenza tecnica compaiono nel registro, con l'assistenza come autore: la leva commerciale finisce agli atti come tutto il resto.
Perché il registro non si cancella
La piattaforma applica davvero i termini di conservazione impostati dall'istituto: un processo notturno cancella presenze, documenti e verbali oltre il termine, e ogni cancellazione è essa stessa registrata. Il registro attività, però, è escluso dalla cancellazione automatica, e la scelta è motivata: è il documento che dimostra la regolarità del procedimento e la sua integrità nel tempo, richiesto dalle sezioni 2 e 5 dell'Allegato. Cancellarlo dopo tre anni significherebbe rendere non più dimostrabile proprio ciò che si è tenuti a poter dimostrare.
È una scelta che ogni titolare deve poter valutare con il proprio DPO: per questo è scritta e motivata nella documentazione, non nascosta in un valore predefinito.
Continua a leggere
GDPR, DPIA e conservazione
Basi giuridiche, minimizzazione, cifratura e il rapporto fra registro immutabile e diritto alla cancellazione.
Approfondisci →
Votazioni e scrutinio segreto
Che cosa il registro scrive di una votazione, e che cosa non scriverà mai.
Approfondisci →
Accesso con CIE ID
Accessi, rifiuti e sessioni: la prima categoria di eventi che finisce nel registro.
Approfondisci →
Vuoi vedere DeliberaCerta sulla vostra scuola?
Una dimostrazione dura mezz'ora e si fa sui vostri organi: il vostro consiglio, i vostri numeri, una votazione vera dall'apertura all'esito.