Circolare Inail n. 19 del 12 maggio 2020

Quadro normativo

Richiamo al Codice privacy (d.lgs. 196/2003), al GDPR (Reg. UE 2016/679), provvedimenti del Garante e varie determinazioni/circolari Inail rilevanti per il modello organizzativo della privacy.

Designazione degli autorizzati

Tutti i dipendenti sono considerati autorizzati al trattamento in relazione a incarichi, mansioni e strumenti; l'autorizzazione deriva dal ruolo o da incarichi assegnati dal diretto responsabile.

Gestione delle abilitazioni informatiche

Le abilitazioni informatiche corrispondono a designazioni formali; i responsabili assegnano, monitorano e rimuovono le abilitazioni non più necessarie (es. pensionamento, trasferimento, cambio incarico). I dipendenti devono segnalare abilitazioni errate e non utilizzarle indebitamente.

Obblighi degli autorizzati (principi GDPR)

Massima riservatezza, diligenza nell'acquisizione, aggiornamento, conservazione e cancellazione dei dati; divieto di accessi non autorizzati; obbligo di mantenere il segreto anche dopo la cessazione dell'incarico.

Gestione delle violazioni e segnalazione incidenti

Definizione di data breach e incidente di sicurezza; obbligo di segnalazione immediata al responsabile e al RPD per i data breach e comunicazione al CERT (cert@inail.it) per gli incidenti di sicurezza.

Gestione delle password

Regole per la complessità e custodia delle password: non condividerle, non trascriverle in chiaro, non usare credenziali su siti esterni e cambiare la password in caso di compromissione; futura introduzione di autenticazione forte.

Uso degli strumenti elettronici e postazione

Divieti sull'uso improprio di sistemi e dispositivi, obbligo di clear desk/clear screen, blocco macchina quando ci si allontana, custodia/stampa sicura dei documenti e rispetto del copyright; segnalazione di posta sospetta a horus@inail.it o postasospetta@inail.it.

Posta elettronica e utilizzo di internet

Informativa aggiornata obbligatoria sull'uso di posta e internet: attenzione ad allegati e link, limitare invii esterni di dati riservati, evitare siti non attendibili per tutelare integrità e riservatezza.

Dispositivi mobili

Regole per dispositivi aziendali: divieto di installare app non ufficiali o dannose, vietato usare reti pubbliche/insicure per trasmissione dati e rispetto della Politica dei dispositivi mobili.

Conservazione e trasferimento file

Sconsigliato l'uso di cloud non autorizzati e supporti removibili; preferire InailOneDrive e server centrali (SharePoint) per cifratura, condivisione sicura e backup periodico.

Sicurezza dei documenti cartacei

Custodia in armadi chiusi a chiave, non lasciare documenti incustoditi, chiudere locali fuori orario, distruggere rese inintelligibili prima della dismissione.

Controlli, aggiornamenti e sanzioni

La Dcod pubblicherà aggiornamenti e istruzioni; l'Istituto verificherà il rispetto delle disposizioni e le violazioni possono comportare provvedimenti disciplinari commisurati e, nei casi gravi, conseguenze penali.