Organo: INAIL - CONSIGLIO DI AMMINISTRAZIONE
Documento: Deliberazione n. 558 del 20 dicembre 2006.
Oggetto: Regolamento attuativo del Decreto Legislativo 30 giugno 2003 n. 196.

IL CONSIGLIO DI AMMINISTRAZIONE
nella seduta del 20 dicembre 2006

Premesso che:

•  gli articoli 20, comma 2, e 21, comma 2, del decreto legislativo 30 giugno 2003, n. 196 ("Codice in materia di protezione dei dati personali") stabiliscono che nei casi in cui una disposizione di legge specifichi la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e giudiziari trattabili ed i tipi di operazioni su questi eseguibili, il trattamento è consentito solo in riferimento a quei tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi;

•  il medesimo art. 20, comma 2, prevede che detta identificazione debba essere effettuata nel rispetto dei principi di cui all'art. 22 del citato Codice, in particolare, assicurando che i soggetti pubblici:

•  trattino i soli dati sensibili e giudiziari indispensabili per le relative attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa;

•  raccolgano detti dati, di regola, presso l'interessato;

•  verifichino periodicamente l'esattezza, l'aggiornamento dei dati sensibili e giudiziari, nonché la loro pertinenza, completezza, non eccedenza ed indispensabilità rispetto alle finalità perseguite nei singoli casi;

•  trattino i dati sensibili e giudiziari contenuti in elenchi, registri o banche di dati, tenuti con l'ausilio di strumenti elettronici, con tecniche di cifratura o mediante l'utilizzazione di codici identificativi o di altre soluzioni che li rendano temporaneamente inintelligibili anche a chi è autorizzato ad accedervi;

•  conservino i dati idonei a rivelare lo stato di salute e la vita sessuale separatamente da altri dati personali trattati per finalità che non richiedono il loro utilizzo;

•  sempre ai sensi del citato art. 20, comma 2, del Codice, detta identificazione deve avvenire con atto di natura regolamentare adottato in conformità al parere espresso dal Garante, ai sensi dell'art. 154, comma 1, lettera g);

•  l'art. 20, comma 4, del Codice, prevede che l'identificazione di cui sopra venga aggiornata e integrata periodicamente;

considerato che possono spiegare effetti maggiormente significativi per l'interessato le operazioni svolte, in particolare, pressoché interamente mediante siti web, o volte a definire in forma completamente automatizzata profili o personalità di interessati, le interconnessioni e i raffronti tra banche di dati gestite da diversi titolari, oppure con altre informazioni sensibili e giudiziarie detenute dal medesimo titolare del trattamento, nonché la comunicazione dei dati a terzi, la diffusione e il trasferimento dei dati all'estero;

ritenuto di individuare analiticamente negli allegati, con riferimento alle predette operazioni che possono spiegare effetti maggiormente significativi per l'interessato, quelle effettuate da questo Istituto, in particolare le operazioni di raffronto con altre informazioni sensibili e giudiziarie detenute dal medesimo titolare del trattamento, di comunicazione a terzi, nonché di trasferimento di dati idonei a rivelare lo stato di salute all'estero ai sensi dell'art. 43 del d.lgs. 196/2003;

ritenuto, altresì, di indicare sinteticamente anche le operazioni ordinarie che questo Istituto deve necessariamente svolgere per perseguire le finalità di rilevante interesse pubblico individuate per legge (operazioni di raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, utilizzo, blocco, cancellazione e distruzione);

considerato che, per quanto concerne tutti i trattamenti di cui sopra, è stato verificato il rispetto dei principi e delle garanzie previste dall'art. 22 del Codice, con particolare riferimento alla pertinenza, non eccedenza e indispensabilità dei dati sensibili e giudiziari utilizzati rispetto alle finalità perseguite, all'indispensabilità delle predette operazioni per il perseguimento delle finalità di rilevante interesse pubblico individuate per legge, nonché all'esistenza di fonti normative idonee a rendere lecite le medesime operazioni o, ove richiesta, all'indicazione scritta dei motivi;

visto il provvedimento generale del Garante della protezione dei dati personali del 30 giugno 2005 (pubblicato in G.U. n. 170 del 23 luglio 2005);

vista l'autorizzazione n.7 del 21 dicembre 2005 del Garante della protezione dei dati personali in materia di trattamento dei dati a carattere giudiziario;

visto il parere del Garante reso ai sensi dell'art. 154 del d. Lgs. n. 196/2003 in data 14 dicembre 2006;

visto l'art. 181, comma 1, lett. a) del D. Lgs. n. 196/2003, secondo il quale i soggetti pubblici che, nello svolgimento delle proprie attività istituzionali, trattano dati sensibili e giudiziari, devono identificare con atto di natura regolamentare, entro il 31 dicembre 2005, i tipi di dati e le operazioni effettuate ai sensi degli articoli 20, commi 2 e 3 e 21 del citato decreto legislativo;

vista la Legge n 88 del 9 marzo 1989 “Ristrutturazione dell'Istituto nazionale della previdenza sociale e dell'Istituto nazionale per l'assicurazione contro gli infortuni sul lavoro”;

visto il decreto legislativo 30 giugno 1994, n. 479 con il quale è stato definito il nuovo assetto ordinamentale dell'Istituto Nazionale per l'Assicurazione contro gli Infortuni sul Lavoro e le Malattie Professionali;

visto il Decreto del Presidente della Repubblica 24 settembre 1997, n. 367 “Regolamento concernente norme per l'organizzazione ed il funzionamento dell'Istituto Nazionale per l'Assicurazione contro gli Infortuni sul Lavoro”;

visto il Regolamento di Organizzazione dell'Ente, approvato con la deliberazione del Consiglio di Amministrazione n. 232 del 1° luglio 1999 e successive modificazioni;

visto l'Ordinamento delle Strutture Centrali e Territoriali, approvato con deliberazione del Consiglio di Amministrazione n. 248 del 15 luglio 1999 e successive modifiche,

considerata la necessità di dare al presente regolamento la più ampia diffusione nell'ambito dell'Istituto attraverso la pubblicazione nel sito internet dell'INAIL;

rilevato che il presente atto non comporta impegno di spesa a carico del bilancio dell'Istituto e pertanto non ha rilevanza sotto il profilo contabile, eccezion fatta delle spese eventualmente sostenute per la sua diffusione;

vista la relazione del Direttore generale in data 15 dicembre 2006;

con il parere consultivo favorevole del Direttore generale,

DELIBERA

il seguente Regolamento per il trattamento dei dati sensibili e giudiziari ai sensi del Decreto Legislativo n. 196/2003:

ARTICOLO 1

Oggetto del Regolamento

Il presente regolamento è adottato in attuazione del D. Lgs. 30 giugno 2003, n. 196 ed identifica i tipi di dati sensibili e giudiziari e le operazioni eseguibili da parte dell'INAIL nello svolgimento delle proprie funzioni istituzionali.

ARTICOLO 2

Individuazione dei tipi di dati e di operazioni eseguibili

1.In attuazione delle disposizioni di cui agli artt. 20, comma 2, e 21, comma 2, del D. Lgs. 30 giugno 2003, n. 196, gli allegati che formano parte integrante del presente regolamento, contraddistinti dai numeri da 1 a 15, identificano i tipi di dati sensibili e giudiziari per cui è consentito il relativo trattamento, nonché le operazioni eseguibili in riferimento alle specifiche finalità di rilevante interesse pubblico perseguite nei singoli casi ed individuate nel D. Lgs. n. 196/2003 (artt. 65, 66, 67, 68, 71, 73, 85, 86 e 112).

2.I dati sensibili e giudiziari individuati dal presente regolamento sono trattati previa verifica della loro pertinenza, completezza e indispensabilità rispetto alle finalità perseguite nei singoli casi, specie nel caso in cui la raccolta non avvenga presso l'interessato.

3.Le operazioni di raffronto, comunicazione e trasferimento dei dati idonei a rivelare lo stato di salute all'estero individuate nel presente regolamento sono effettuate soltanto se indispensabili allo svolgimento degli obblighi o compiti di volta in volta indicati, per il perseguimento delle rilevanti finalità di interesse pubblico specificate e nel rispetto delle disposizioni rilevanti in materia di protezione dei dati personali, nonché degli altri limiti stabiliti dalla legge e dai regolamenti.

4.I raffronti con altre informazioni sensibili e giudiziarie detenute dall'INAIL sono consentite soltanto previa verifica della loro stretta indispensabilità nei singoli casi ed indicazione scritta dei motivi che ne giustificano l'effettuazione(art. 22 del d. lgs. n. 196/2003).

5.Sono inutilizzabili i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali (artt. 11 e 22, comma 5, del d. lgs. n. 196/2003).

ARTICOLO 3

Riferimenti normativi

Al fine di una maggiore semplificazione e leggibilità del presente regolamento, le disposizioni di legge, citate nella parte descrittiva delle "fonti normative" degli allegati, si intendono come recanti le successive modifiche e integrazioni.

Indice dei trattamenti