Circolare numero 191 del 1-9-1997

Tutela dei dati personali: prime misure di attuazione in INPS

La circolare definisce le prime istruzioni operative con cui l'INPS intende adeguarsi alla legge 31 dicembre 1996, n. 675 in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, tenendo conto anche delle modifiche introdotte dal d.lgs. 9 maggio 1997, n. 123 e della legge delega n. 676/1996. L'intervento è impostato come misura immediata e transitoria, in attesa di una regolamentazione organica della materia.

Quadro normativo di riferimento e deliberazione del Consiglio di amministrazione

Il Consiglio di amministrazione, con deliberazione n. 556 del 6 maggio 1997, ha ritenuto necessario avviare subito iniziative di adeguamento, anche di carattere formale, per rendere conforme l'attività dell'Istituto alla nuova disciplina. Nella deliberazione è dato atto che l'INPS dispone già di sistemi di protezione degli archivi sostanzialmente coerenti con le esigenze di sicurezza richieste dalla legge e che, in attesa del regolamento governativo sulle misure minime di sicurezza previsto dall'art. 15, comma 2, occorre evitare un incremento dei rischi.

La deliberazione individua inoltre le linee di indirizzo cui uniformare l'azione dei responsabili del trattamento, prevede verifiche periodiche sull'osservanza delle istruzioni impartite e dispone la temporanea sospensione della fornitura di dati personali a soggetti diversi dallo Stato e dagli enti pubblici non economici che li utilizzano per fini istituzionali.

Designazione dei Responsabili del trattamento

In applicazione dell'art. 8 della legge n. 675/1996, l'INPS designa due Responsabili del trattamento:

• il dott. Vittorio Crecco, Direttore centrale della Tecnologia informatica, per gli aspetti relativi alla gestione dei dati, degli archivi automatizzati e alla sicurezza;
• il dott. Umberto Fumarola, Direttore centrale del Sistema qualità, per la raccolta, la comunicazione e la diffusione dei dati trattati in forma automatizzata e per il trattamento dei dati cartacei.

I Responsabili devono operare d'intesa con il Direttore generale, assumendo le iniziative necessarie per l'applicazione della legge, predisponendo le comunicazioni al Garante, impartendo istruzioni agli incaricati, verificando le normative interne e le convenzioni interessate e riferendo almeno ogni tre mesi al Direttore generale e al Consiglio di amministrazione.

Sicurezza dei dati e protezione degli archivi

La circolare richiama l'obbligo, previsto dall'art. 15 della legge n. 675/1996, di ridurre al minimo i rischi di distruzione o perdita, anche accidentale, di accesso non autorizzato e di trattamento non consentito o non conforme alle finalità della raccolta. Pur in attesa dell'individuazione delle misure minime con apposito D.P.R. entro l'8 novembre 1997, viene ribadito che presso l'Istituto è già attivo un articolato sistema di misure di sicurezza.

Viene richiamata la Circolare n. 65 del 24 febbraio 1994, che ha istituito la figura del "Responsabile della sicurezza", individuata nel Direttore vicario o in un dirigente della sede, e la Circolare n. 20 del 23 gennaio 1995, che disciplina aree critiche e utenze. Ai Responsabili della sicurezza spetta verificare, anche mediante gli strumenti SAP di gestione e controllo, la corretta utilizzazione del sistema da parte degli utenti.

La circolare impone inoltre:

• il costante aggiornamento dei profili di autorizzazione al trattamento e all'accesso ai dati;
• una prima ricognizione immediata dei profili di autorizzazione, da ripetersi con cadenza trimestrale;
• controlli rigorosi sull'attuazione delle misure di sicurezza, con segnalazione di eventuali anomalie ai Direttori di sede;
• la comunicazione all'Ufficio Sviluppo e Telecomunicazioni di ogni variazione degli incarichi che comporti nuovo accesso alle banche dati o cessazione dell'abilitazione.

Per la sicurezza fisica dei dati si ribadisce la necessità di controllare l'accesso ai locali dove sono custoditi archivi magnetici e cartacei, nonché di conservare le copie degli archivi automatizzati in armadi ignifughi. Le stesse regole si applicano agli archivi dei sistemi AS/400, ai sistemi LSX, alla gestione della contabilità, al controllo presenze e alle stazioni di lavoro personal computer. Viene infine richiamata la sanzione prevista dall'art. 36 della legge n. 675/1996 per l'omessa adozione delle misure di sicurezza necessarie.

Incaricati del trattamento e limiti operativi

Sono considerati incaricati del trattamento i dipendenti, amministrativi o informatici, autorizzati a compiere operazioni sui dati personali nei limiti delle competenze e delle abilitazioni assegnate. La nozione include le operazioni di raccolta, registrazione, organizzazione, conservazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione dei dati.

Gli incaricati, sia quelli addetti ai rapporti con il pubblico sia quelli impegnati in altre attività di trattamento, devono attenersi alla normativa sulla riservatezza e alle disposizioni sul diritto di accesso. È inoltre richiamato l'art. 27 della legge n. 675/1996, che disciplina la comunicazione dei dati tra amministrazioni pubbliche e verso soggetti diversi dal settore pubblico, ammettendola soltanto nei casi previsti dalla legge o dal regolamento o quando necessaria per funzioni istituzionali.

Informativa all'interessato

In attuazione dell'art. 10 della legge n. 675/1996, l'interessato deve essere informato prima della raccolta dei dati su:

• finalità e modalità del trattamento;
• natura obbligatoria o facoltativa del conferimento;
• conseguenze di un eventuale rifiuto;
• soggetti o categorie di soggetti ai quali i dati possono essere comunicati;
• ambito di diffusione;
• diritti riconosciuti dall'art. 13;
• identità del titolare e del responsabile.

La raccolta dei dati da parte di soggetti pubblici è normalmente finalizzata alla definizione delle domande o allo svolgimento dell'attività istituzionale. L'informativa deve essere sempre resa al momento della raccolta, secondo lo schema allegato alla circolare. In attesa della revisione della modulistica, il testo va riprodotto su fogli da consegnare agli interessati.

Consenso e disciplina dei dati sensibili

La circolare chiarisce che l'art. 11 della legge n. 675/1996 richiede, per privati ed enti pubblici economici, il consenso espresso dell'interessato, salvo le ipotesi di esclusione previste dall'art. 12. Viene tuttavia sottolineato che tale meccanismo non si applica in via generale alla pubblica amministrazione, poiché l'art. 27 consente il trattamento da parte dei soggetti pubblici solo per finalità istituzionali e nei limiti di legge e regolamento.

Per i dati sensibili, la disciplina richiamata prevede che il trattamento da parte di soggetti pubblici, esclusi gli enti pubblici economici, sia consentito soltanto se autorizzato da espressa disposizione di legge che specifichi dati trattabili, operazioni eseguibili e rilevanti finalità di interesse pubblico. Per il periodo transitorio di dodici mesi dall'entrata in vigore della legge, i trattamenti già in corso possono proseguire anche in assenza delle disposizioni legislative richieste, purché sia stata effettuata comunicazione al Garante.

Convenzioni, comunicazione dei dati e rapporti con soggetti esterni

Per dare attuazione alla verifica delle normative interne e delle convenzioni interessate dalla legge, le strutture centrali e periferiche devono trasmettere entro il 30 settembre alla Direzione Centrale Sistema Qualità copia delle convenzioni in essere. La finalità è consentire il controllo e la formulazione di eventuali proposte di modifica per l'adeguamento alla legge n. 675/1996.

In materia di comunicazione e scambio di dati con soggetti esterni, il Consiglio di amministrazione dispone in via temporanea la sospensione della fornitura di dati personali a soggetti diversi dallo Stato e dagli enti pubblici non economici che li utilizzano per finalità istituzionali.

Precisazioni sui patronati, sui consulenti del lavoro e sui professionisti

Il messaggio del Direttore generale del 14 maggio 1997 chiarisce che la sospensione dell'accesso ai dati individuali verso soggetti privati non incide sul diritto degli enti di patronato di ricevere informazioni sullo stato delle richieste e delle pratiche per le quali sia stato conferito formale mandato di patrocinio. I patronati possono accedere ai dati tramite computer dedicati, limitatamente allo stato del procedimento e alle sole pratiche patrocinate; se servono dati ulteriori non presenti nel sistema dedicato, l'accesso deve avvenire tramite il personale dell'Istituto.

Per i consulenti del lavoro, i dati necessari allo svolgimento dell'incarico possono essere forniti solo per aziende già mandatate o per quelle per le quali il mandato sia presentato al momento della richiesta. La circolare richiama in proposito la disciplina contro l'abusivismo nell'attività di consulenza del lavoro e le indicazioni sulla legittimazione e validità formale degli incarichi. È richiamato anche il messaggio n. 17061 del 2 dicembre 1996 per quanto riguarda procuratori e avvocati iscritti agli albi professionali.

Comunicazioni e notifiche al Garante

Tutte le comunicazioni e le notifiche dei trattamenti al Garante devono essere curate dai Responsabili del trattamento d'intesa con il Direttore generale, in coerenza con quanto stabilito dalla deliberazione del Consiglio di amministrazione.

Informativa INPS allegata e diritti dell'interessato

L'informativa allegata alloca l'Istituto come titolare del trattamento e indica come responsabili il Direttore della Direzione Centrale Tecnologia Informatica e il Direttore della Direzione Centrale Sistema Qualità. Il testo precisa che i dati richiesti sono necessari per definire la domanda o per svolgere le funzioni istituzionali, che il mancato conferimento può causare impossibilità o ritardi nella lavorazione e che i dati possono essere trattati anche con strumenti automatizzati.

È previsto che i dati possano essere comunicati alla banca o all'ufficio postale prescelti per il pagamento delle prestazioni e, nei limiti di legge, ad altre amministrazioni o enti per fini istituzionali. L'informativa segnala inoltre la possibile utilizzazione di soggetti esterni che svolgono servizi o attività strumentali per conto dell'Istituto, purché selezionati con procedure contrattuali pubbliche e con garanzie equivalenti di riservatezza.

L'allegato riproduce infine i diritti dell'interessato ex art. 13 della legge n. 675/1996, tra cui:

• accesso all'esistenza dei trattamenti;
• informazione sulle modalità indicate dalla legge;
• conferma dell'esistenza dei dati e comunicazione intelligibile degli stessi;
• cancellazione, trasformazione in forma anonima o blocco dei dati trattati illegittimamente;
• aggiornamento, rettifica e integrazione;
• attestazione dell'avvenuta comunicazione delle rettifiche ai destinatari dei dati;
• opposizione per motivi legittimi e, separatamente, per finalità commerciali o promozionali;
• possibilità di delega o procura scritta a terzi.

La circolare si chiude richiamando tutti i dirigenti centrali e periferici ad adottare ogni ulteriore cautela utile per la puntuale applicazione della normativa in materia di tutela dei dati personali.