Circolare INAIL n. 40 del 5 ottobre 2007

Misure per l’attuazione del Codice in materia di protezione dei dati personali

La circolare INAIL n. 40 del 5 ottobre 2007 disciplina l’attuazione interna del d.lgs. 30 giugno 2003, n. 196 in materia di protezione dei dati personali. L’obiettivo è quello di rendere operativo il nuovo modello organizzativo privacy dell’Istituto, chiarendo ruoli, responsabilità, modalità di nomina del personale e obblighi informativi verso gli interessati.

Quadro normativo e misure già adottate

Il Codice privacy, in vigore dal 1° gennaio 2004, viene richiamato come testo unico che ha riordinato in modo organico la materia, riconoscendo il diritto soggettivo alla protezione dei dati personali. La circolare evidenzia che l’INAIL, in quanto soggetto pubblico che tratta dati personali, sensibili e giudiziari, ha già posto in essere una serie di adempimenti, tra cui:

• l’adozione di misure di sicurezza informatiche, organizzative, logistiche e procedurali;
• il Documento Programmatico sulla Sicurezza per l’esercizio 2006, aggiornato al 30 marzo 2007;
• il Regolamento attuativo del d.lgs. 196/2003, approvato dal Garante il 18 dicembre 2006 e adottato con deliberazione del Consiglio di Amministrazione n. 558 del 20 dicembre 2006;
• il nuovo modello organizzativo sulla privacy adottato con deliberazione del Consiglio di Amministrazione n. 119 del 28 marzo 2007.

Ruoli previsti dal Codice privacy

La circolare richiama la struttura dei soggetti del trattamento prevista dagli articoli 28, 29 e 30 del Codice:

• il titolare del trattamento è l’INAIL nel suo complesso;
• il responsabile del trattamento è il soggetto nominato per iscritto dal titolare, incaricato di sovrintendere all’intero processo di trattamento sulla base delle istruzioni ricevute;
• l’incaricato del trattamento è il soggetto che esegue materialmente il trattamento dei dati sotto la diretta autorità del titolare o del responsabile.

Responsabili del trattamento individuati

Per esigenze organizzative, l’INAIL ha individuato una serie di responsabili del trattamento, tra cui i Direttori centrali delle principali aree organizzative, il Coordinatore della Sovrintendenza Medica Generale, il Coordinatore dell’Avvocatura Generale, i Direttori regionali e i Direttori di alcuni centri e direzioni provinciali.

Per le strutture territoriali, la circolare precisa che, ferme restando le competenze dei Direttori regionali, la funzione concreta di coordinamento, controllo e verifica sull’operato degli incaricati è esercitata dai Dirigenti di II fascia nell’ambito delle rispettive competenze.

I responsabili devono attenersi alla normativa e alle istruzioni allegate alla lettera di nomina, già notificata con atto separato il 25 luglio 2007.

Nomina degli incaricati del trattamento

Gli incaricati sono i dipendenti che, nello svolgimento delle funzioni istituzionali, trattano materialmente i dati personali. La circolare ricorda che la designazione deve avvenire per iscritto, ma ammette anche le modalità semplificate previste dal Codice per le pubbliche amministrazioni, mediante la documentata preposizione a unità organizzative per le quali sia stato definito per iscritto l’ambito del trattamento consentito.

Nel caso dell’INAIL, considerata l’organizzazione per processi e la mobilità del personale, le nomine sono collegate ai compiti e alle funzioni svolte nell’ambito di ciascun processo. Tutti i macro processi rilevanti ai fini della disciplina sono descritti nell’allegato 1, che indica per ciascuno:

• le classi di incaricati;
• le strutture presso le quali essi operano;
• le operazioni di trattamento necessarie;
• le tipologie di dati utilizzati, distinte in comuni, sensibili e giudiziari.

Sulla base di tale allegato, il Dirigente di ogni Ufficio, Servizio o Sede individua i dipendenti riconducibili alle classi di incaricati descritte. Con la notifica della circolare, tali dipendenti sono nominati incaricati del trattamento dei dati inerenti al processo o all’unità organizzativa in cui prestano attività.

Istruzioni operative per gli incaricati e soggetti esterni

Ogni incaricato deve attenersi alle istruzioni impartite dal responsabile del trattamento e alle linee guida generali contenute nell’allegato 2.

La circolare estende l’obbligo di rispetto dei criteri e delle modalità di trattamento anche a soggetti che, pur non essendo dipendenti dell’Istituto, operano funzionalmente su dati di cui l’INAIL è titolare. Tra questi sono espressamente indicati:

• medici specialistici convenzionati;
• consulenti, limitatamente al periodo di collaborazione;
• addetti alla manutenzione;
• stagisti.

Per tali soggetti seguiranno apposite istruzioni per la nomina a responsabile o incaricato.

Informativa agli interessati

In attuazione dell’art. 13 del Codice, il titolare deve fornire agli interessati un’adeguata informativa scritta. La persona presso la quale i dati vengono raccolti deve essere informata di:

• finalità e modalità del trattamento;
• eventuale obbligatorietà del conferimento;
• conseguenze del rifiuto di fornire i dati;
• diritti esercitabili dall’interessato;
• dati identificativi del titolare e del responsabile.

L’allegato 3 contiene il modello di informativa.

Modalità di notifica della circolare

La circolare, completa degli allegati, deve essere portata a conoscenza:

• del personale in forza;
• degli ex dipendenti o dei loro superstiti titolari di pensione a carico dei fondi interni di previdenza.

La diffusione deve avvenire secondo le modalità previste dalla circolare n. 3/1973; per gli ex dipendenti la notifica avviene tramite raccomandata A/R a cura delle singole unità di appartenenza. Poiché tutti i destinatari sono "interessati" ai sensi della normativa, mentre sono "incaricati del trattamento" solo i dipendenti individuati dal dirigente sulla base dell’allegato 1, nel modulo di notifica devono essere distinti i diversi profili. Ogni struttura deve conservare agli atti la documentazione dell’avvenuta notifica.

Attenzione ai dati sensibili e giudiziari

La circolare sottolinea la particolare delicatezza dei dati sensibili e giudiziari e raccomanda la massima attenzione nella loro circolazione interna. Devono essere adottate soluzioni organizzative idonee a consentire lo svolgimento delle funzioni istituzionali eliminando ogni occasione di superflua conoscibilità di tali dati, anche da parte degli incaricati del trattamento.

Infine, l’INAIL, in quanto titolare, si riserva la possibilità di effettuare verifiche periodiche sull’osservanza delle disposizioni impartite.