Circolare numero 77 del 7-4-1998

Legge n. 675/1996: ulteriori disposizioni operative su informativa e consenso

La circolare interviene a integrare le istruzioni già fornite dall’Istituto in materia di tutela delle persone rispetto al trattamento dei dati personali e sensibili. L’obiettivo è uniformare le procedure delle sedi nel rapporto con gli interessati, precisando quando vada acquisito il consenso, come debba essere resa l’informativa e in quali ipotesi il consenso non sia richiesto.

Quadro di riferimento e finalità della nota

La circolare si colloca in continuità con la precedente n. 191 del 1° settembre 1997, che aveva impartito le prime disposizioni di attuazione della legge n. 675/1996, riservandosi ulteriori chiarimenti in base ai provvedimenti del Garante per la protezione dei dati personali. Viene inoltre richiamato il messaggio n. 5636 del 27 gennaio 1998, con il quale erano già stati trasmessi i testi delle deleghe per la riscossione delle quote associative, adeguati alla nuova disciplina.

Informativa all’interessato

L’informativa prevista dall’art. 10 della legge n. 675/1996 deve essere resa ogni volta che l’INPS proceda all’acquisizione di dati personali o sensibili. Le sedi devono riprodurre il testo su foglio separato, in fronte-retro, e consegnarlo all’interessato, che può trattenerlo.

L’informativa deve rendere noti, in sintesi:

• le finalità e modalità del trattamento;
• la natura obbligatoria o facoltativa del conferimento dei dati e le conseguenze di un eventuale rifiuto;
• l’ambito di comunicazione e diffusione;
• i soggetti titolari e responsabili del trattamento;
• i diritti esercitabili dall’interessato.

Raccolta del consenso e gestione della modulistica

Contestualmente alla raccolta dei dati e alla consegna dell’informativa, deve essere acquisito il consenso scritto dell’interessato al trattamento dei dati personali e sensibili. Il soggetto deve barrare la casella SI o NO nel modulo predisposto e restituirlo firmato al momento della raccolta dei dati.

Se il medesimo soggetto ha già espresso, per una determinata pratica o prestazione, un consenso o un diniego, non è necessario procedere a una nuova acquisizione per ulteriori trattamenti relativi alla stessa pratica/prestazione. In tal caso, però, l’interessato deve sottoscrivere l’apposita dichiarazione riportata in calce al modulo del consenso.

In attesa della ristampa della modulistica completa, le sedi devono riprodurre il testo del consenso secondo lo schema allegato e acquisirlo agli atti dei singoli fascicoli.

Esclusione per i certificati di malattia

La circolare stabilisce una deroga specifica: per la presentazione dei certificati di malattia da parte degli assicurati, le sedi non devono fornire l’informativa né acquisire il consenso. La questione sarà risolta in modo strutturale a livello centrale con la prossima ristampa della relativa modulistica.

Fattispecie frequenti in cui il consenso va acquisito

La nota individua alcune ipotesi ricorrenti nelle quali, in generale, l’INPS è tenuto ad acquisire il consenso dell’interessato:

• trattamento e comunicazione di dati sensibili, ad esempio in pratiche che riguardano stato di salute, infermità, diagnosi, cura e terapia;
• pratiche che comportano il pagamento di contributi sindacali o, più in generale, adempimenti connessi al versamento di quote di iscrizione a sindacati, partiti o organizzazioni di carattere politico, sindacale o religioso;
• trasferimento di dati personali e sensibili verso paesi esteri, comunitari o extracomunitari, ad esempio nelle pratiche in regime di convenzione internazionale;
• comunicazione dei dati a società di informatica e di archiviazione utilizzate dall’Istituto per lo svolgimento della propria attività, ad esempio per la stampa e postalizzazione dei bollettini contributivi.

Richieste di consenso provenienti da soggetti privati

La circolare segnala che pervengono alle sedi molte informative e richieste di consenso formulate da soggetti privati che intrattengono o hanno intrattenuto rapporti di fornitura con l’INPS, oppure che inviano bollettini o newsletter all’Istituto. In tali casi, la maggior parte delle richieste non richiede il consenso, perché rientra nelle ipotesi di esclusione previste dall’art. 12 della legge n. 675/1996.

Le ipotesi richiamate sono le seguenti:

• trattamento di dati raccolti e detenuti in base a un obbligo di legge, regolamento o normativa comunitaria;
• trattamento necessario per l’esecuzione di obblighi derivanti da un contratto di cui l’interessato è parte, oppure per informative precontrattuali richieste dall’interessato, oppure per l’adempimento di un obbligo legale;
• trattamento di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque.

Schema di risposta alle richieste esterne

Per rispondere alle richieste di consenso provenienti da soggetti privati, l’Istituto mette a disposizione uno schema di risposta allegato. Il testo da utilizzare precisa che, nei casi sopra indicati, il consenso non è richiesto; al di fuori di tali casi, l’INPS non consente alcun trattamento di dati di cui è titolare o comunque in possesso per fini istituzionali. Se la richiesta riguarda fattispecie particolari non riconducibili alle ipotesi esentate, il mittente deve specificare i dati e le necessità di trattamento cui la richiesta fa riferimento.

Testo dell’informativa e contenuti essenziali

L’allegato 1 riporta il testo dell’informativa ex art. 10, nel quale l’INPS spiega che, nell’esercizio della propria attività istituzionale, tratta dati personali e sensibili degli assistiti. Vengono richiamate le definizioni di dato personale e di dato sensibile della legge n. 675/1996, nonché le principali categorie di informazioni trattate.

L’informativa specifica inoltre:

• le finalità del trattamento, limitate all’esecuzione della domanda o della procedura dell’interessato nei limiti delle norme retributive, previdenziali, fiscali, sanitarie e assicurative;
• le modalità del trattamento, comprese raccolta, registrazione, elaborazione, interconnessione, comunicazione, diffusione, cancellazione e distruzione, anche con mezzi elettronici o automatizzati;
• le ipotesi in cui il conferimento è obbligatorio o necessario;
• le conseguenze del rifiuto di conferire i dati nei casi in cui essi siano necessari alla gestione della pratica;
• i destinatari della comunicazione dei dati, pubblici e privati;
• l’assenza di diffusione generalizzata dei dati;
• il possibile trasferimento all’estero quando necessario per la trattazione della pratica.

Titolare, responsabili e diritti dell’interessato

Il titolare del trattamento è indicato nell’INPS con sede in Via Ciro il Grande 21, Roma. I responsabili del trattamento sono individuati nel Direttore della Direzione Centrale Sistema Qualità, per raccolta, comunicazione e diffusione dei dati, e nel Direttore della Direzione Centrale Tecnologia Informatica, per la gestione dei dati, degli archivi automatizzati e per il profilo della sicurezza.

L’informativa richiama poi i diritti dell’interessato previsti dall’art. 13 della legge n. 675/1996, tra cui il diritto di accesso, di ottenere conferma dell’esistenza dei dati, di chiederne cancellazione, trasformazione in forma anonima, blocco, aggiornamento, rettifica o integrazione, nonché di opporsi al trattamento per motivi legittimi o per finalità commerciali.

Modulo di consenso e dichiarazione di consenso già prestato

L’allegato 2 contiene il modulo di consenso al trattamento dei dati personali e sensibili, che accompagna la pratica o domanda dell’interessato. Il modulo prevede consensi distinti per:

• trattamento di eventuali dati sensibili necessari alla pratica;
• trasferimento all’estero dei dati personali e sensibili;
• comunicazione dei dati a soggetti che gestiscono servizi informatici, di postalizzazione e di archiviazione;
• comunicazione dei dati sensibili ad altri enti o amministrazioni pubbliche per fini diversi da quelli della pratica, ove necessario per le rispettive funzioni istituzionali.

Il modulo avverte anche delle conseguenze del mancato consenso nei casi rilevanti, in particolare l’impossibilità di istruire, liquidare o gestire la pratica, oppure ritardi nella gestione e liquidazione quando intervengano soggetti esterni per servizi informatici o di archiviazione. È inoltre prevista un’alternativa dichiarazione con cui l’interessato attesta di aver già fornito all’INPS il proprio consenso.

Allegato per le risposte a terzi

L’allegato 3 contiene lo schema di risposta da inviare a chi chieda il consenso al trattamento dei dati dell’Istituto. Il testo ribadisce che, nelle ipotesi previste dall’art. 12 della legge n. 675/1996, il consenso non è richiesto e che, fuori da tali casi, l’INPS non autorizza trattamenti di dati di cui è titolare o comunque in possesso per finalità istituzionali. Quando la richiesta riguardi situazioni particolari, il richiedente deve fornire una descrizione più precisa dei dati e delle esigenze di trattamento.