Allegato Tecnico MIM · sezioni 5 e 6

La protezione dei dati, con il dettaglio che serve al DPO

L'Allegato chiede protezioni applicative, minimizzazione, cifratura, registrazione degli accessi e una valutazione d'impatto «in particolare per i sistemi di voto digitale». Questa pagina è scritta per chi quella valutazione deve firmarla: dice che cosa fa la piattaforma, che cosa dipende dall'installazione, e che cosa consegniamo perché il titolare possa adottare i propri documenti.

Chi è titolare e chi responsabile

Titolare del trattamento è ciascuna istituzione scolastica, per i dati dei propri organi. Il fornitore della piattaforma è responsabile del trattamento ai sensi dell'art. 28 GDPR, e la nomina fa parte della fornitura insieme alla dichiarazione di conformità prevista dalla sezione 9 dell'Allegato.

Non è una formalità: è la ragione per cui l'inventario dei trattamenti che consegniamo è una base per il registro art. 30 della scuola, e non un documento nostro da accettare in blocco.

Isolamento fra istituti: due barriere, entrambe chiuse per difetto

Un docente che lavora su due scuole ha un ruolo diverso in ciascuna, e i due contesti non comunicano. L'isolamento poggia su due meccanismi indipendenti: un filtro applicato a ogni interrogazione dei dati e un controllo di autorizzazione che nega per difetto — se non riesce a stabilire il contesto, rifiuta invece di lasciar passare.

Un dettaglio che vale la pena raccontare: chiedendo un identificativo appartenente a un altro istituto, la risposta è «non trovato», non «non autorizzato». La differenza non è estetica — «non autorizzato» confermerebbe che quell'identificativo esiste, e cioè rivelerebbe qualcosa di un'altra scuola.

Minimizzazione: si vede da ciò che si smette di raccogliere

I dati richiesti alla federazione CIE sono ridotti a codice fiscale, nome e cognome. La data di nascita, che pure era disponibile, è stata eliminata: non serviva.
Il codice fiscale di chi non è in anagrafica non viene mai scritto in chiaro nei registri; se ne conserva un'impronta con chiave, che consente di contare i tentativi senza identificare.
In interfaccia il codice fiscale è mascherato.
Le firme del verbale non duplicano il codice fiscale del firmatario.
La rilevazione delle presenze registrava un'impronta del dispositivo: è stata rimossa, perché non identificava in modo affidabile e non aggiungeva protezione.
I registri del server video non contengono identificativi personali.
Nessun dato biometrico viene trattato: la «soglia di attenzione» chiede una conferma, non analizza il volto.
La trascrizione della discussione non viene salvata: entra nel verbale solo ciò che il redattore inserisce e salva.

Cifratura e protezioni applicative

Lato applicazione: sessioni cifrate, code di notifica cifrate e cifratura per campo con AES-256 dei testi che possono contenere dati particolari ai sensi degli artt. 9 e 10 GDPR — quelli in cui, per la natura di ciò che gli organi discutono, un dato sanitario o giudiziario può comparire. Il campo resta cifrato anche per chi legge la base dati.

Sul fronte applicativo standard: protezione contro le richieste falsificate, limitazione della frequenza sugli accessi, validazione degli input (codice fiscale, CSV, moduli), controlli di autorizzazione su ogni risorsa e risposta «non trovato» sugli identificativi di altri istituti.

La parte che dipende dall'installazione

Cifratura del disco, TLS, backup, segregazione degli ambienti e conservazione a norma non sono proprietà del software: sono proprietà di come viene installato e gestito. Per questo alla fornitura si accompagna una lista di verifica dell'infrastruttura, da completare per ogni installazione, che è il presupposto della dichiarazione di conformità del fornitore.

Conservazione applicata, non dichiarata

Molte piattaforme dichiarano un termine di conservazione in informativa e poi non cancellano niente. Qui la conservazione si imposta per istituto e viene eseguita: un processo notturno cancella oltre il termine le presenze e le scansioni, i documenti (il file e la sua riga) e i verbali (lo snapshot e la sua riga). Ogni cancellazione finisce nel registro attività.

Il registro attività è escluso dalla cancellazione automatica, per scelta motivata: è ciò che dimostra la regolarità e l'integrità del procedimento nel tempo. La motivazione è scritta nella documentazione perché il titolare possa valutarla con il proprio DPO, non sepolta in un valore predefinito.

Nessuna terza parte, nessun cookie di profilazione

Nella piattaforma esistono due soli cookie, entrambi tecnici e di prima parte: quello di sessione e quello contro le richieste falsificate. Sul dispositivo resta inoltre una sola chiave di memoria locale, per ricordare se si preferisce il tema chiaro o scuro. Non c'è altro, e non c'è nessuno script di terze parti.

Per i soli cookie tecnici il consenso non è dovuto: non c'è quindi nessun banner da cliccare. È una conseguenza dell'architettura, non una scelta di comodo — i caratteri tipografici sono ospitati sul dominio, il riconoscimento vocale è self-hosted, il server video è proprio. Nessuna di queste componenti fa uscire un indirizzo IP verso un terzo per il solo fatto che qualcuno apra una pagina.

Anche questo sito di presentazione è statico e senza cookie.

Diritti dell'interessato, e i due limiti che dichiariamo apertamente

Accesso, rettifica, cancellazione, limitazione, opposizione e portabilità si esercitano verso la scuola titolare. Due limiti sono strutturali, e preferiamo scriverli qui invece di farli scoprire a una richiesta:

Il voto espresso in uno scrutinio segreto non è estraibile. Non perché ci rifiutiamo, ma perché il collegamento fra la persona e la scheda non esiste nella base dati. È lo stesso motivo per cui non è estraibile da nessun altro.
Il registro attività non si rettifica né si cancella. È immutabile per costruzione: è la condizione perché serva a qualcosa. Le richieste che lo riguardano si trattano nel perimetro delle limitazioni previste dalla normativa per gli obblighi di conservazione e di prova.

Che cosa consegniamo al titolare

Inventario dei trattamenti ancorato al codice, come base per il registro art. 30 dell'istituto.
Bozza tecnica di DPIA per il sistema di voto digitale, da adottare dal titolare con il proprio DPO — la valutazione d'impatto la firma la scuola, non il fornitore.
Modello di informativa artt. 13-14 per la singola scuola, con tabella delle finalità e delle basi giuridiche e i termini di conservazione.
Cookie policy, breve perché il perimetro è breve.
Nomina a responsabile art. 28 e dichiarazione di conformità del fornitore prevista dalla sezione 9 dell'Allegato.
Lista di verifica dell'infrastruttura da completare per l'installazione.

Le basi giuridiche proposte nei modelli restano proposte: la qualificazione definitiva è del titolare e del suo DPO. Un fornitore che dichiarasse chiusa quella valutazione al posto della scuola starebbe facendo un favore apparente.

Vuoi vedere DeliberaCerta sulla vostra scuola?

Una dimostrazione dura mezz'ora e si fa sui vostri organi: il vostro consiglio, i vostri numeri, una votazione vera dall'apertura all'esito.

Richiedi una dimostrazione Leggi la mappa di conformità