Circolare numero 50 del 6-3-2007

Protezione dei dati personali e adeguamento INPS al d.lgs. 196/2003

La circolare fornisce un inquadramento organico della disciplina sulla privacy introdotta dal d.lgs. 30 giugno 2003, n. 196 e illustra gli adempimenti adottati dall’INPS per conformarsi al nuovo quadro normativo. L’obiettivo è definire principi, responsabilità organizzative e misure di sicurezza per il trattamento dei dati personali, con particolare attenzione ai dati sensibili e giudiziari.

Quadro normativo e principi fondanti

Il Codice in materia di protezione dei dati personali, vigente dal 1° gennaio 2004, ha sostituito la precedente legge n. 675/1996 e successive modificazioni, raccogliendo in un testo unico la disciplina sulla tutela dei dati personali. La circolare evidenzia che il Codice rappresenta il primo modello di codificazione organica della privacy in Europa e tiene conto della normativa comunitaria e internazionale.

Tra gli elementi di maggior rilievo viene richiamato il diritto alla protezione dei dati personali, sancito dall’art. 1 come diritto fondamentale della persona, distinto dal diritto alla riservatezza. Tale diritto consente all’interessato di conoscere e controllare la circolazione delle informazioni che lo riguardano.

Altro principio di sistema è quello di necessità del trattamento, previsto dall’art. 3, che integra i principi di pertinenza e non eccedenza già presenti nella precedente normativa. In base a tale principio i sistemi informativi e i programmi informatici devono essere progettati per ridurre al minimo l’uso di dati personali e identificativi, escludendo il trattamento ogni volta che le finalità possano essere raggiunte con dati anonimi o con modalità che consentano l’identificazione dell’interessato solo se necessario. Il mancato rispetto del principio di necessità comporta, per le amministrazioni, l’impossibilità di utilizzare i dati trattati, ai sensi dell’art. 11, comma 2.

Adempimenti dell’Istituto e documentazione di sicurezza

In quanto soggetto pubblico che tratta dati personali, sensibili e giudiziari sia con strumenti elettronici sia su supporto cartaceo, l’INPS ha dovuto adottare misure ulteriori rispetto a quelle già previste dalla legge n. 675/1996. La circolare indica che l’Istituto ha introdotto misure di sicurezza informatiche, organizzative, logistiche e procedurali più elevate, in attuazione degli articoli 31-35 del Codice.

È stato inoltre aggiornato il documento programmatico sulla sicurezza, previsto dall’art. 34 del Codice e da aggiornare entro il 31 marzo di ogni anno, con successivo riferimento nella relazione accompagnatoria al bilancio dell’Istituto. Il documento, approvato dal Consiglio di Amministrazione con deliberazione n. 99 del 29 marzo 2006, comprende:

• l’elenco dei trattamenti di dati personali;
• i compiti e le responsabilità di chi tratta i dati;
• l’analisi dei rischi;
• i criteri e le procedure per garantire integrità e disponibilità dei dati;
• i criteri tecnici e organizzativi per la protezione delle aree e dei locali;
• le procedure di controllo degli accessi ai locali di trattamento;
• i criteri e le procedure per il ripristino dei dati in caso di distruzione o danneggiamento;
• il piano di formazione degli incaricati;
• i criteri per le misure di sicurezza nei trattamenti affidati all’esterno;
• i criteri di cifratura o di separazione dei dati sensibili o giudiziari negli archivi elettronici;
• le modalità di trattamento e conservazione dei dati sensibili o giudiziari su supporto cartaceo;
• la realizzazione delle misure previste dai punti 20-24 del Disciplinare tecnico;
• i criteri e le procedure per la sicurezza delle trasmissioni e per le restrizioni di accesso via telematica.

La circolare segnala anche la predisposizione di un testo aggiornato e integrato del regolamento per la disciplina dei dati sensibili.

Soggetti del trattamento

Il Codice individua tre figure fondamentali: titolare, responsabile e incaricato del trattamento, richiamate rispettivamente dagli articoli 28, 29 e 30.

Il titolare del trattamento è l’INPS nel suo complesso. La circolare precisa che, quando il trattamento è effettuato da una persona giuridica o da una pubblica amministrazione, il titolare coincide con l’ente nel suo complesso oppure con un’unità o un organismo periferico dotato di autonomia decisionale sulle finalità e modalità del trattamento, compreso il profilo della sicurezza.

Il responsabile del trattamento è il soggetto nominato per iscritto dal titolare che sovraintende all’intero processo di trattamento, dall’acquisizione alla cessazione o distruzione, sulla base delle istruzioni ricevute.

L’incaricato del trattamento è chiunque esegua materialmente il trattamento sotto la diretta autorità del titolare o del responsabile, con strumenti informatici o supporti cartacei.

Modello organizzativo privacy dell’INPS

L’entrata in vigore del Codice ha imposto alle pubbliche amministrazioni una revisione della propria organizzazione per garantire effettivamente i diritti e le libertà dell’interessato. Poiché la privacy incide sulla quasi totalità delle attività amministrative, il Consiglio di Amministrazione dell’Istituto ha adottato con deliberazione n. 251 del 21 dicembre 2004 un nuovo modello organizzativo privacy.

Il modello prevede un organismo denominato "coordinamento privacy", con funzioni di indirizzo, pianificazione e promozione delle attività in materia di protezione dei dati personali, oltre alla nomina dei responsabili interni del trattamento.

Responsabili del trattamento

Ai sensi dell’art. 29 del Codice, i responsabili devono essere scelti tra soggetti che offrano, per esperienza, capacità e affidabilità, idonea garanzia del rispetto della disciplina in materia di trattamento e del relativo profilo di sicurezza.

Per esigenze organizzative, con la deliberazione n. 251 del 21 dicembre 2004 l’INPS ha nominato responsabili del trattamento:

• il Direttore centrale organizzazione;
• il Direttore centrale sviluppo e gestione risorse umane;
• il Direttore centrale sistemi informativi e telecomunicazioni;
• il Direttore centrale approvvigionamenti, logistica e gestione patrimonio;
• il Coordinatore generale medico-legale;
• i Direttori regionali;
• i Direttori provinciali.

Poiché nell’organizzazione dell’Istituto le funzioni dei Direttori provinciali sono svolte anche dai Direttori subprovinciali, e considerato che le Direzioni provinciali e subprovinciali sono state individuate come centri di responsabilità di secondo livello con deliberazione n. 174 del 7 giugno 2006, anche i Direttori subprovinciali sono designati responsabili del trattamento. I responsabili devono attenersi alla legge e alle istruzioni contenute nell’Allegato 1 della circolare.

Incaricati del trattamento e modalità di designazione

Gli incaricati sono i dipendenti che possono materialmente effettuare le operazioni di trattamento dei dati personali. L’art. 30 del Codice richiede la loro designazione per iscritto, ma prevede anche forme semplificate, particolarmente utili nelle pubbliche amministrazioni, attraverso la preposizione documentata a unità organizzative con ambito di trattamento determinato.

Nel sistema dell’INPS, basato sulla metodologia di lavoro per processi e sulla mobilità del personale, la nomina a incaricato è collegata ai compiti e alle funzioni svolte. Con la notifica della circolare, ciascun dipendente è designato incaricato del trattamento, per il processo o l’unità organizzativa in cui opera, nei limiti specificati dal responsabile e in relazione ai mezzi richiesti dalla natura delle funzioni svolte.

L’ambito del trattamento consentito coincide con l’insieme delle attività attraverso cui, nelle diverse unità organizzative, si realizzano le richieste di servizio e le richieste di consulenza. Gli incaricati devono attenersi alle istruzioni del responsabile e alle istruzioni generali contenute nell’Allegato 2.

La circolare deve essere consegnata, insieme agli allegati, a tutti i dipendenti, i quali devono attestare ricezione e presa visione, con particolare riferimento alle istruzioni che li riguardano come incaricati del trattamento.

Le stesse modalità e criteri di trattamento si applicano anche a soggetti esterni che svolgono operazioni su dati di titolarità dell’Istituto, tra cui:

• medici specialistici convenzionati;
• medici della ASL che effettuano visite di controllo per conto dell’Istituto;
• medici competenti convenzionati;
• consulenti, limitatamente al periodo di collaborazione;
• addetti alla manutenzione;
• stagisti.

Per tali soggetti esterni, la nomina a responsabile o incaricato sarà disciplinata da apposite istruzioni.

Dati sensibili e giudiziari

La circolare raccomanda particolare cautela nel trattamento dei dati sensibili e giudiziari, considerata la loro delicatezza, rinviando alle modalità operative già illustrate nella circolare n. 145 del 25 agosto 2003.

Viene inoltre sottolineata la necessità di ridurre al minimo la circolazione di tali dati all’interno dell’Istituto, predisponendo soluzioni organizzative che consentano di svolgere le funzioni istituzionali senza esporre a conoscenza superflua i dati sensibili e giudiziari, neppure da parte degli incaricati. A tale proposito è richiamato il principio di separatezza di cui all’art. 3, comma 5, del d.lgs. n. 135/1999, ribadito e precisato dal Garante.

Misure di sicurezza e controlli interni

Le misure di sicurezza previste dal Codice e adottate dall’Istituto sono distinte in due categorie.

Le misure minime sono quelle la cui mancata adozione comporta sanzioni penali per chi, pur essendovi tenuto, ometta di applicarle.

Le misure idonee, o più ampie, sono invece determinate autonomamente dal titolare in funzione delle specificità dell’attività svolta; la loro mancata adozione può concorrere, in caso di danno, all’individuazione delle responsabilità e al conseguente risarcimento.

La circolare segnala che restano ancora da attivare la classificazione dei dati e il sistema di monitoraggio, che, una volta completati, rafforzeranno ulteriormente le misure già esistenti. È infine ribadito che l’Istituto, quale titolare, può effettuare verifiche periodiche sul rispetto delle disposizioni e delle istruzioni impartite.

Indicazioni finali

La circolare invita tutte le strutture a dare quanto prima attuazione alle disposizioni contenute nel testo, secondo le modalità indicate negli allegati, al fine di garantire un trattamento dei dati conforme al Codice e coerente con il sistema di sicurezza e di responsabilità delineato per l’Istituto.