Circolare Inail n. 37 del 20 ottobre 2020

Quadro normativo

Richiamo alle norme rilevanti: Codice privacy, GDPR (Reg. UE 2016/679), provvedimenti del Garante e determinazioni presidenziali Inail che definiscono il modello organizzativo privacy.

Modello organizzativo e responsabilità

Adozione del nuovo modello organizzativo (determinazione 12/03/2020 n.53) che elimina il 'responsabile interno' e distribuisce responsabilità interne; designazione degli autorizzati al trattamento secondo circolare n.19/2020.

Rispetto dei principi del GDPR

Le Strutture devono garantire liceità, minimizzazione, sicurezza e trasparenza nei trattamenti, estendendo le istruzioni anche a collaboratori esterni e vigilando sui comportamenti del personale.

Registro delle attività di trattamento (art.30)

Le Strutture comunicano e aggiornano i trattamenti al registro centralizzato, fornendo informazioni su tempi di conservazione, dati di minori e trasferimenti verso paesi terzi.

Valutazione d'impatto (DPIA, artt.35-36)

La Direzione centrale per l’organizzazione digitale con il RPD valuta la necessità di DPIA, fornisce metodologia e le Strutture contribuiscono con i dati necessari; la DPIA va svolta preventivamente e riesaminata periodicamente.

Informative e consenso (artt.12-14,7-8)

Predisposizione e aggiornamento di informative adeguate per tipologia di interessato; Direzione digitale fornisce modelli generali e le Strutture contribuiscono per informative specifiche e gestione del consenso.

Sorveglianza e ruolo del RPD (art.24 e 39)

Il RPD vigila sull'osservanza del GDPR; le Strutture supportano la sorveglianza fornendo evidenze su registro, misure di sicurezza, gestione del rischio, DPIA e diritti degli interessati.

Gestione dei data breach (artt.33-34)

Obbligo di segnalare al RPD ogni violazione, fornire supporto alle indagini, compilare la Scheda di Data Breach e, se necessario, attivare il Cert Inail; le violazioni possono riguardare anche supporti cartacei.

Esercizio dei diritti degli interessati (artt.15-22)

Canale principale 'Inail Risponde' per le richieste; le Strutture forniscono informazioni su richiesta del RPD e inoltrano tempestivamente richieste ricevute su mail/PEC alla casella protezionedati@inail.it.

Contratti, convenzioni e nomina responsabili (art.28)

Le Strutture verificano garanzie dei fornitori, definiscono clausole su sicurezza/smart exchange e procedono alla nomina formale del responsabile del trattamento quando dovuto, trasmettendo copia al RPD.

Comunicazione e formazione

Il RPD e la Direzione digitale promuovono iniziative di awareness; la Direzione risorse umane cura la formazione del personale che tratta dati e la Direzione comunicazione diffonde le policy.

Gestione documenti informatici e cartacei

Prescrizioni su uso sicuro di stampanti/fax, custodia di documentazione cartacea, divieto di archiviare dati su dispositivi non autorizzati e uso di strumenti istituzionali (OneDrive, Teams, SharePoint) per condivisione e mobilità.

Protocollo e caselle di posta

Sensibilizzazione del personale di protocollo, accesso alle caselle limitato al personale autorizzato, attenzione a inoltri di mail contenenti dati personali e organizzazione dello smistamento.

Videosorveglianza

Obbligo di informativa a più livelli (cartelli visibili e informativa estesa), protezione tecnica delle immagini, nomina scritta degli incaricati, conservazione limitata (poche ore fino a max 24h salvo eccezioni) e rispetto dello Statuto dei Lavoratori per impianti audiovisivi.

Misure per il contenimento Covid-19

Le Strutture informano e formano i lavoratori sulle misure anti-contagio, forniscono informative specifiche e definiscono procedure operative per accesso alle sedi (es. rilevamento temperatura) nel rispetto della privacy.

Visitatori e sicurezza accessi

Gestione dei dati dei visitatori per finalità di sicurezza: individuazione addetti autorizzati, informativa prima dell'accesso e procedure operative per rilascio dei permessi d'ingresso.

Dati nelle attività sanitarie e ruolo del medico competente

Linee guida per sale d'attesa, visite e documentazione sanitaria per tutelare dignità e riservatezza; il medico competente è titolare autonomo per i trattamenti sanitari con obblighi specifici ai sensi della normativa di settore.