Circolare n. 53 del 30 settembre 2009

Adozione del nuovo modello organizzativo privacy dell'Istituto

La circolare n. 53 del 30 settembre 2009 illustra le misure adottate per dare attuazione al Codice in materia di protezione dei dati personali, alla luce del nuovo assetto organizzativo dell'Istituto. Il documento comunica l'approvazione di un nuovo modello organizzativo privacy, che sostituisce integralmente quello precedente, e ne sintetizza i principali contenuti operativi.

Quadro normativo e contesto di riferimento

L'intervento si colloca nel processo di adeguamento dell'Istituto al D. Lgs. 30 giugno 2003, n. 196 e successive modificazioni. La circolare richiama anche le precedenti deliberazioni dell'Istituto che avevano disciplinato il regolamento attuativo, il primo modello organizzativo privacy e le successive revisioni dovute alle riorganizzazioni delle Strutture Centrali e Territoriali.

Nuovo modello organizzativo in materia di protezione dei dati personali

Il Presidente-Commissario Straordinario ha approvato il nuovo modello organizzativo in tema di protezione dei dati personali, rappresentato nel funzionigramma allegato. Il nuovo assetto sostituisce integralmente il modello già adottato con la deliberazione del Consiglio di Amministrazione n. 279/2008, al fine di allineare la governance della privacy alla riorganizzazione interna dell'Istituto.

Titolari del trattamento e riparto delle competenze

La circolare conferma che i titolari del trattamento dei dati personali sono il Presidente dell'Istituto, il Consiglio di Amministrazione e il Direttore Generale. A questi organi sono attribuite competenze distinte:

• al Presidente e al Consiglio di Amministrazione spettano gli atti di indirizzo e regolamentazione generale, compresa la definizione del modello organizzativo privacy;
• al Direttore Generale spettano gli atti attuativi e gestionali, tra cui la nomina dei responsabili, l'emanazione delle istruzioni per garantire la liceità del trattamento, la vigilanza sulla loro osservanza, l'adozione del Documento Programmatico sulla Sicurezza, gli adempimenti verso il Garante e la gestione di eventuali vertenze relative al trattamento dei dati.

Individuazione dei responsabili interni

In base al nuovo modello, sono individuati come responsabili del trattamento diversi soggetti apicali e responsabili di strutture, tra cui:

• i Responsabili delle Direzioni Centrali;
• il Sovrintendente Medico Generale;
• i Coordinatori Generali delle Consulenze Professionali;
• il Responsabile della Struttura Tecnico Amministrativa di Servizio al Consiglio di Indirizzo e Vigilanza;
• il Responsabile del Nucleo di Valutazione e Controllo Strategico (NUVACOST);
• l'Avvocato Generale, al quale è attribuita anche la competenza a designare come incaricati tutti i legali dipendenti dell'Istituto, sia dell'Avvocatura Generale sia di quelle territoriali;
• il Responsabile dell'Ufficio Rapporti Assicurativi Extranazionali;
• i responsabili di specifiche strutture di servizio, quali Servizio Ispettorato ed Audit, Ufficio Stampa, Servizio Centrale Acquisti e Servizio Formazione, con l'eccezione del Casellario Centrale Infortuni, indicato dalla normativa come autonomo titolare dei dati trattati;
• il Responsabile della Tipografia di Milano;
• i responsabili del Centro Protesi di Vigorso di Budrio e del Centro di Riabilitazione Motoria di Volterra;
• i Responsabili delle Direzioni Regionali;
• il Responsabile della Direzione Provinciale di Trento;
• il Responsabile della Direzione Provinciale di Bolzano;
• il Responsabile della Sede Regionale di Aosta.

Tali responsabili devono controllare e coordinare i trattamenti riferiti alle rispettive competenze, nominare gli incaricati, impartire istruzioni e svolgere i controlli previsti dalla normativa vigente.

Responsabili esterni e trattamento affidato a soggetti terzi

Qualora il trattamento dei dati personali sia affidato a soggetti esterni, la nomina dei responsabili esterni compete al Direttore Generale. La circolare precisa che per tali nomine si applica per analogia il criterio già adottato per i responsabili interni. La Direzione Centrale Programmazione Organizzazione e Controllo provvederà successivamente a fornire istruzioni sugli aspetti organizzativi per la formalizzazione delle nomine.

Nomina degli incaricati del trattamento

Le nomine a incaricato del trattamento restano legate ai compiti e alle funzioni svolte nell'ambito di ciascun processo, secondo il criterio già previsto dal precedente modello organizzativo. Lo stesso criterio si applica ai medici a rapporto libero professionale, ai consulenti limitatamente al periodo di collaborazione e agli stagisti.

Poiché il nuovo assetto organizzativo dell'Istituto deriva dalla reingegnerizzazione dei processi e dal nuovo Regolamento di Organizzazione e Ordinamento delle Strutture Centrali e Territoriali, la circolare preannuncia un aggiornamento della circolare n. 40 del 5 ottobre 2007, che conteneva le indicazioni per l'individuazione degli incaricati e dei relativi ambiti di trattamento.

Incaricati operanti presso enti esterni

Per i soggetti dipendenti di enti esterni utilizzati dall'Istituto per attività esternalizzate, la nomina a incaricati del trattamento compete al responsabile esterno del rispettivo ente. Quest'ultimo deve individuare e nominare gli incaricati secondo le prescrizioni normative e comunicare all'Istituto, in particolare al responsabile di riferimento, i nominativi designati, aggiornando tali informazioni in caso di variazioni.

Diffusione della circolare

La circolare dispone che il contenuto sia portato a conoscenza del personale mediante affissione all'apposito albo presente in ogni Unità e tramite notifica con le consuete modalità previste dalla circolare n. 3/1973.