Comunicazione agli interessati ai sensi dell’art. 34 del Regolamento (UE) 2016/679 relativa a violazione dei dati personali

La presente comunicazione è rivolta agli allievi, ai genitori o esercenti la responsabilità genitoriale, ai docenti e al personale ausiliario scolastico che sono stati interessati da un evento di sicurezza informatica che ha coinvolto un sistema informatico della sede operativa di San Donà di Piave della Fondazione Salesiani per la Formazione Professionale INE – is, di seguito indicata come “Fondazione” e viene inviata a seguito di un'approfondita attività di analisi tecnica e di individuazione dei dati coinvolti, conclusa nel mese di luglio 2026, che ha consentito di identificare con precisione il numero e le categorie di interessati e di ricostruire con sufficiente dettaglio la dinamica dell'incidente.

In sintesi, la Fondazione, in qualità di titolare del trattamento dei dati personali, informa che è stata accertata una violazione di dati personali riconducibile a un accesso abusivo e non autorizzato ai sistemi informatici della sede di San Donà di Piave. In particolare le verifiche svolte hanno consentito di accertare che soggetti non autorizzati hanno avuto accesso a un server di stampa e scansione interno della Scuola e hanno esfiltrato il contenuto della cartella di rete denominata “scansioni_segreteria”, corrispondente a circa 1.627 documenti in formato PDF relativi al periodo compreso tra il 2018 e il 25 marzo 2026. L'evento verosimilmente si è verificato alla fine del mese di marzo 2026 ed è stato rilevato il 20 aprile 2026.

Non appena l’evento è stato scoperto il 20 aprile 2026, sono state immediatamente attivate le misure tecniche e organizzative necessarie al contenimento dell’incidente, alla messa in sicurezza dei sistemi coinvolti e alla mitigazione dei possibili effetti pregiudizievoli per gli interessati.

Contestualmente, la Fondazione ha provveduto a presentare denuncia alle competenti Autorità di Pubblica Sicurezza e a notificare la violazione al Garante per la protezione dei dati personali, in conformità a quanto previsto dal Regolamento (UE) 2016/679 in materia di data breach.

Natura dell’evento

La normativa europea definisce come “violazione di dati personali” qualsiasi attività che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.

La ricostruzione tecnica dell’accaduto e le ulteriori attività di verifica sono state comunque avviate senza ritardo e sono proseguite secondo le procedure interne di gestione dell’incidente. In particolare le verifiche hanno evidenziato che una copia dei dati è stata temporaneamente resa disponibile online da soggetti terzi non autorizzati e successivamente rimossa a seguito del tempestivo intervento del reparto IT della Fondazione.

Categorie di dati coinvolti

In relazione alla posizione del singolo interessato, i dati coinvolti potrebbero comprendere:

• Dati anagrafici e identificativi: nome, cognome, sesso, luogo e data di nascita, codice fiscale, estremi e copia di documenti di identità (carta d'identità, passaporto, patente, tessera sanitaria), certificati di nascita;
• Dati di contatto e residenza: indirizzo di residenza e domicilio, numeri di telefono fisso e mobile (personali e dei genitori), indirizzi email;
• Dati relativi alla carriera scolastica e formativa: iscrizioni, frequenza, pagelle, voti, esiti di scrutini, crediti formativi, diplomi, qualifiche professionali, esiti di esami, sedi e orari di stage, verbali di orientamento, segnalazioni di inadempienza scolastica;
• Dati relativi allo stato di salute e a specifiche esigenze educative (categorie particolari di dati ex art. 9 GDPR): verbali di pronto soccorso, diagnosi mediche, certificati di idoneità sportiva e lavorativa, libretti e certificati vaccinali, prescrizioni e piani terapeutici per la somministrazione di farmaci in orario scolastico, certificazioni di disabilità grave (Legge 104/92), segnalazioni di disagio socio-familiare, stato di adozione;
• Dati finanziari, reddituali e contrattuali: estremi di bonifici, codici IBAN, modelli ISEE, dichiarazioni IRPEF, cedolini stipendio, contratti di assunzione, comunicazioni Unilav, destinazione TFR;
• Dati relativi a documenti amministrativi e organizzativi connessi al rapporto scolastico o lavorativo con l'Istituto
• ulteriori informazioni trattate nei sistemi informatici scolastici in funzione delle attività didattiche, amministrative e organizzative.

Alla data della presente comunicazione, non risultano evidenze di utilizzi fraudolenti dei dati, ferma restando la necessità di mantenere un adeguato livello di attenzione per il futuro rispetto a possibili utilizzi impropri o tentativi di contatto ingannevoli da parte di terzi soggetti venuti in possesso di tali informazioni.

Possibili conseguenze per gli interessati

In casi di questo genere, i possibili effetti possono consistere nella perdita di riservatezza, accessi non autorizzati a informazioni personali, utilizzi indebiti dei dati di contatto, comunicazioni fraudolente, rischio di frodi finanziarie e furto d'identità qualificato, tentativi di phishing, disponibilità di copie di documenti di identità, rischio di discriminazione, danno reputazionale o altri pregiudizi ai diritti e alle libertà delle persone fisiche. L’art. 34 GDPR prevede infatti la comunicazione agli interessati quando la violazione è suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà.

Misure già adottate

La Fondazione ha posto in essere, senza ritardo, le seguenti misure:

• attivazione delle procedure interne di gestione dell’incidente;
• contenimento dell’evento e messa in sicurezza dei sistemi informatici coinvolti;
• analisi tecnica per verificare natura ed estensione della violazione;
• rafforzamento delle misure di protezione e monitoraggio dei sistemi;
• denuncia alle Autorità di Pubblica Sicurezza;
• notifica al Garante per la protezione dei dati personali.

Misure di prudenza raccomandate agli interessati cui è diretta questa comunicazione.

Si raccomanda a tutti gli interessati di:

• prestare particolare attenzione a email, messaggi o telefonate anomale apparentemente riferibili alla Scuola;
• non comunicare credenziali, password, codici di accesso o dati personali in risposta a richieste non verificate;
• verificare con attenzione link, allegati e mittenti delle comunicazioni ricevute;
• segnalare tempestivamente eventuali anomalie o sospetti utilizzi impropri dei propri dati ai recapiti sotto indicati.

Contatti

Per ulteriori informazioni sulla presente comunicazione, nonché per l’esercizio dei diritti riconosciuti dagli articoli 15 e seguenti del Regolamento (UE) 2016/679, gli interessati possono rivolgersi a:

Fondazione Salesiani per la Formazione Professionale INE - is
Via dei Salesiani 15 - 30174 Venezia
Email/PEC: privacy.fp@salesianinordest.it / fondazione.fp@pec.salesianinordest.it 

Responsabile della protezione dei dati (DPO): avv. Marco Bernabè raggiungibile mediante email dpo.fp@salesianinordest.it

La Fondazione conferma il massimo impegno nel proseguire ogni attività utile alla tutela dei dati personali trattati e alla prevenzione di ulteriori eventi analoghi.

Venezia, 29.07.2026

Il Titolare del trattamento
Fondazione Salesiani per la Formazione Professionale INE - is