Ne abbiamo parlato alcuni giorni fa: uno studente quindicenne di Cesena ha modificato i risultati delle valutazioni/verifiche sul Registro Elettronico della scuola, vicenda sulla quale sono ancora in corso indagini.

L’abusiva intromissione e modifica dei registri on line rappresenta un “data breach” (violazione dei dati) ai sensi della disciplina della privacy, da cui derivano una serie di obblighi: la notifica al Garante, la comunicazione agli interessati e, in ogni caso, la messa in atto di azioni per rimediare all’illecito e per prevenirne altri. Il massimo della sanzione prevista dal GDPR n. 2016/679 per la violazione degli obblighi di sicurezza arriva a 10 milioni di euro!!!

Il registro elettronico, acquistato da aziende specializzate, è nella responsabilità delle stesse scuole che, con la consulenza del DPO (responsabile della protezione dei dati), devono assicurare riservatezza/integrità del registro. Pertanto, l’accesso abusivo a dati di studenti, famiglie e docenti può generare una sanzione per violazione del Regolamento privacy, ma anche dare il via a richieste di risarcimento contro la scuola, che ha lasciato “entrare” intrusi informatici.

Ci potrebbero essere, inoltre, anche risvolti disciplinari e/o erariali nei confronti del personale scolastico, verificato l’esito delle indagini (ancora in corso).

Ad esempio, al dirigente scolastico e al personale incaricato dei sistemi informativi si potrebbe chiedere conto delle vulnerabilità dei sistemi usati e al docente a cui siano state (eventualmente) sottratte le credenziali usate per il data breach potrebbe dover rendere conto della negligente custodia delle credenziali. In entrambi i casi i responsabili potrebbero essere condannati dalla Corte dei conti al rimborso delle sanzioni irrogate dal Garante.

Poi, se l’operatore economico fornisse un registro elettronico senza un adeguato livello di protezione predefinito … potrebbe essere contestato l’inadempimento contrattuale.

Mala tempora currunt!!!