Circolare INAIL n. 8 del 25 febbraio 2009

Nuove norme organizzative e comportamentali per il trattamento dei dati personali

La circolare interviene per aggiornare la disciplina interna dell’INAIL in materia di protezione dei dati personali, in attuazione del D. Lgs. 30 giugno 2003, n. 196 e delle successive disposizioni e indicazioni richiamate nel quadro normativo. L’intervento si rende necessario per adeguare l’organizzazione dell’Istituto al mutato contesto regolatorio e all’evoluzione delle conoscenze tecniche in materia di sicurezza dei dati.

Quadro normativo e finalità dell’intervento

La circolare richiama il Codice in materia di protezione dei dati personali, il regolamento attuativo dell’Istituto, la deliberazione del Consiglio di Amministrazione n. 279 del 5 giugno 2008, la circolare n. 40 del 5 ottobre 2007 e i provvedimenti generali del Garante indicati nel testo. In questo quadro, l’Istituto ribadisce che il trattamento dei dati personali deve avvenire nel rispetto dei diritti e della dignità degli interessati e secondo le prescrizioni di sicurezza imposte dalla normativa.

Misure di sicurezza e disciplina interna

Il documento sottolinea che il Codice prevede, da un lato, l’obbligo generale di ridurre al minimo i rischi per i dati e, dall’altro, l’adozione delle misure minime di sicurezza di cui all’art. 33 e al Disciplinare tecnico allegato B. L’inosservanza di tali misure può assumere rilevanza penale. Per questo motivo viene evidenziata la necessità di una regolamentazione interna che non riguardi soltanto i sistemi informativi e informatici, ma anche:

• gli archivi cartacei;
• l’organizzazione dei processi di lavoro;
• l’organizzazione degli ambienti in cui avviene il trattamento;
• le modalità operative dei soggetti incaricati.

Nuove norme organizzative e comportamentali

Per garantire un’applicazione omogenea delle disposizioni sulla privacy e tutelare l’integrità dei dati contenuti negli archivi e nelle banche dati dell’Istituto, vengono approvate nuove Norme Organizzative e Comportamentali per il trattamento dei dati personali. Tali norme sostituiscono e aggiornano quelle già emanate con le note del 13 marzo 2000 e del 18 maggio 2007 e costituiscono la disciplina aziendale di riferimento per responsabili e incaricati del trattamento.

Destinatari e ambito di applicazione

Le nuove disposizioni si applicano a tutti gli incaricati del trattamento dei dati personali di cui INAIL è titolare, a prescindere dall’esistenza di un rapporto di lavoro subordinato. I responsabili del trattamento devono vigilare sull’osservanza delle regole, anche con controlli periodici, fermo restando il rispetto delle norme di legge e regolamento sui dati sensibili e sulle misure minime di sicurezza.

Obblighi di segnalazione e conseguenze dell’inosservanza

La circolare stabilisce che qualsiasi violazione, anomalia o situazione che esponga i dati a rischi di sicurezza o a un danno in atto deve essere immediatamente rilevata e comunicata al responsabile pro tempore del trattamento. Quest’ultimo provvede a informare il titolare e ad adottare le misure del caso.

L’inosservanza delle norme organizzative e comportamentali può integrare un inadempimento rispetto alle mansioni e agli obblighi del dipendente, con possibile valutazione ai fini dell’adozione di provvedimenti. Per i soggetti esterni responsabili o incaricati del trattamento, la mancata osservanza costituisce invece inadempimento contrattuale.

Diffusione della circolare e conservazione delle notifiche

La circolare deve essere portata a conoscenza di tutto il personale secondo le modalità previste dalla circolare n. 3/1973. Deve inoltre essere notificata, a cura dei soggetti individuati come responsabili del trattamento e, se necessario, tramite i Responsabili di Contratto, a tutte le imprese e ai collaboratori esterni che svolgono operazioni di trattamento su dati di titolarità INAIL.

La documentazione che comprova l’avvenuta notifica deve essere conservata agli atti di ciascuna Unità.