Circolare numero 123 del 18-06-2015

Aggiornamento della governance privacy INPS

La circolare definisce il nuovo assetto interno dell’INPS in materia di protezione dei dati personali, reso necessario dall’ampliamento delle competenze istituzionali e dall’integrazione con altri enti previdenziali, che hanno comportato l’acquisizione e la gestione di ulteriori dati, anche sensibili e giudiziari. Il documento aggiorna quindi il quadro organizzativo e operativo rispetto alla precedente circolare n. 50 del 2007, alla luce del Codice in materia di protezione dei dati personali.

Principi generali del trattamento

L’Istituto è tenuto a garantire che ogni trattamento avvenga nel rispetto dei principi fondamentali del Codice. La circolare richiama il diritto alla protezione dei dati personali, la finalità determinata e legittima del trattamento, la necessità di limitare la raccolta alle sole informazioni indispensabili, la proporzionalità delle operazioni rispetto agli scopi perseguiti, nonché i principi di liceità, correttezza e prevenzione dei rischi.

In concreto, i dati devono essere:

• trattati in modo lecito e corretto;
• raccolti per scopi determinati, espliciti e legittimi;
• esatti e, se necessario, aggiornati;
• pertinenti, completi e non eccedenti;
• conservati solo per il tempo necessario alle finalità del trattamento.

È inoltre richiamato il divieto di utilizzare dati trattati in violazione della normativa.

Dati comuni, sensibili e giudiziari

La circolare distingue i dati personali comuni dai dati sensibili e giudiziari, rilevando che per questi ultimi la disciplina è più rigorosa. Sono considerati dati sensibili quelli idonei a rivelare origine razziale o etnica, convinzioni religiose, filosofiche o di altro genere, opinioni politiche, adesione a partiti, sindacati, associazioni o organizzazioni, nonché stato di salute e vita sessuale. I dati giudiziari sono quelli idonei a rivelare provvedimenti iscrivibili nel casellario giudiziale o la qualità di imputato o indagato.

Per tali dati il trattamento è consentito solo se indispensabile allo svolgimento delle attività istituzionali e, per i soggetti pubblici, solo in presenza di una specifica base normativa che indichi dati, operazioni e finalità di rilevante interesse pubblico.

Regolamenti interni e istruzioni operative

In coerenza con la disciplina di riferimento, l’INPS ha adottato un Regolamento per il trattamento dei dati sensibili e giudiziari, approvato con deliberazione del Consiglio di Amministrazione n. 343 del 13 dicembre 2006. Il Regolamento e quelli degli ex INPDAP, ENPALS e IPOST sono disponibili in intranet e servono a delimitare i confini del trattamento consentito all’interno dell’Istituto.

La circolare precisa che non è consentito effettuare trattamenti di dati sensibili e giudiziari al di fuori delle ipotesi contemplate nei Regolamenti; ogni violazione può integrare un illecito con conseguenze penali, civili e amministrative. Le istruzioni operative specifiche per gli incaricati sono rinviate all’Allegato 2.

Modalità del trattamento e misure di sicurezza

Le operazioni di trattamento possono essere eseguite su supporti cartacei o con strumenti elettronici, ma in entrambi i casi devono essere adottate misure di sicurezza adeguate a ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o trattamento non conforme alle finalità della raccolta.

Per i dati idonei a rivelare lo stato di salute e la vita sessuale la regola generale è la conservazione separata rispetto agli altri dati personali, quando questi ultimi siano trattati per finalità che non richiedono l’uso di tali informazioni.

Consenso e informativa

Poiché l’INPS è un soggetto pubblico, il trattamento avviene senza acquisire il consenso degli interessati, ai sensi dell’art. 18, comma 4, del Codice. Resta fermo l’obbligo di fornire l’informativa prevista dall’art. 13. La circolare richiama a tal fine l’informativa generale disponibile sul sito istituzionale e presso le sedi territoriali aperte al pubblico, oltre alle informative specifiche predisposte per i singoli procedimenti amministrativi.

Modello organizzativo privacy dell’INPS

La circolare ricostruisce il sistema delle responsabilità privacy dell’Istituto, individuando le tre figure principali previste dal Codice: Titolare, Responsabile e Incaricato del trattamento.

Il Titolare è l’INPS nel suo complesso. Ciò significa che l’Istituto, a livello centrale, definisce le linee strategiche e organizzative del trattamento, i criteri di raccolta e utilizzo dei dati e le misure di sicurezza, assumendo anche i correlati obblighi nei confronti degli interessati e del Garante.

I Responsabili del trattamento sono i direttori e dirigenti delle strutture centrali e territoriali, nonché i coordinatori generali delle attività professionali, secondo l’assetto indicato dalla determina n. 10 del 2 aprile 2015. Essi sovrintendono all’intero processo di trattamento nell’ambito delle unità organizzative di competenza e operano sulla base delle istruzioni del Titolare.

Gli Incaricati del trattamento sono le persone fisiche che svolgono materialmente le operazioni di trattamento. Per semplificazione organizzativa, l’INPS designa ogni dipendente incaricato del trattamento mediante la documentata preposizione a un’unità organizzativa, con individuazione per iscritto dell’ambito di trattamento consentito. L’ordine di servizio di assegnazione al dipendente vale anche come atto di nomina. L’Incaricato può trattare solo i dati e le operazioni espressamente connessi alle attività lavorative affidate e deve attenersi alle istruzioni del Responsabile e alle linee guida generali contenute nell’Allegato 2.

Responsabili esterni e controllo sui trattamenti affidati a terzi

L’INPS può affidare a soggetti esterni alcune attività, operazioni o servizi tramite contratto o convenzione. In questi casi tali soggetti possono essere designati Responsabili esterni del trattamento ai sensi dell’art. 29 del Codice.

La circolare sottolinea che l’Istituto mantiene la titolarità del trattamento, conserva l’autonomia decisionale e il potere di controllo sugli outsourcers, impartisce istruzioni al momento della nomina e deve vigilare sul loro rispetto anche mediante verifiche periodiche. È altresì precisato che la designazione dei Responsabili spetta al Titolare, con la sola possibilità di delega del Presidente alla firma degli atti di nomina dei Responsabili esterni.

Ufficio centrale di monitoraggio e coordinamento

Per assicurare un punto unitario di raccordo nel processo di adeguamento alla disciplina privacy, è stato istituito presso la Direzione generale l’Ufficio centrale di monitoraggio e coordinamento in materia di protezione dei dati personali e accesso alle banche dati. L’Ufficio sovrintende alla corretta applicazione delle norme, coordina i soggetti coinvolti nei trattamenti, tratta le questioni di maggiore rilievo e cura i rapporti con il Garante, il Ministero vigilante e gli altri soggetti pubblici e privati interessati.

Sanzioni e responsabilità

La circolare evidenzia che i trattamenti illeciti o non conformi alla normativa espongono a responsabilità penali, amministrative e civili. In particolare, l’art. 167 del Codice punisce chi tratta dati personali in violazione della disciplina, al fine di profitto o di danno, con pene detentive fino a tre anni. Inoltre, l’art. 15 prevede il risarcimento del danno ai sensi dell’art. 2050 c.c., qualificando il trattamento dei dati come attività pericolosa e comportando l’inversione dell’onere della prova nel giudizio risarcitorio.

Abrogazione delle precedenti disposizioni e diffusione

La circolare e le istruzioni allegate abrogano le precedenti disposizioni interne in materia di protezione dei dati. Il documento deve essere notificato, secondo le consuete modalità, a tutto il personale, ai collaboratori a qualsiasi titolo, ai membri dei comitati centrali e periferici e, per il personale assente per lunghi periodi, mediante raccomandata con avviso di ricevimento.