INPS. Aggiornato il modello organizzativo privacy

In attuazione del “Codice in materia di protezione dei dati personali” (decreto legislativo 30 giugno 2003, n. 196), l’INPS ha aggiornato la propria governance della privacy, ridefinendo l’assetto dei ruoli, delle responsabilità, dei compiti attinenti alla protezione dei dati personali. Tale Codice, in particolare, individua tre principali figure: il “Titolare del trattamento”; il “Responsabile del trattamento” e l’“Incaricato del trattamento”. Più nel dettaglio:
• il “Titolare” del trattamento è l’INPS nel suo complesso;
• il “Responsabile” del trattamento, a norma dell’art. 29 del Codice, è il soggetto designato dal Titolare che sovraintende all’intero processo del trattamento dei dati, dalla iniziale acquisizione fino alla eventuale cessazione o distruzione, sulla base delle istruzioni impartitegli dal Titolare stesso;
• l’“Incaricato del trattamento”, secondo la previsione del Codice, è la persona fisica che esegue materialmente le operazioni di trattamento dei dati, con l’ausilio di strumenti informatici e/o mediante supporti cartacei, sotto la diretta autorità del Titolare o del Responsabile.

A comunicarlo è stato l’INPS con la circolare n. 13/2015.

Principi generali – I principi generali per il trattamento dei dati personali sono:
1. il diritto alla protezione dei dati personali. Si tratta di una regola fondamentale, secondo la quale ogni individuo ha il diritto che il trattamento dei suoi dati personali si svolga nel rispetto dei suoi diritti e libertà fondamentali, nonché della sua dignità, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali;
2. il principio di finalità. È il principio secondo cui la raccolta dei dati deve essere collegata alla finalità perseguita, che deve essere legittima, determinata e non incompatibile con l’impiego dei dati. In particolare, per espressa previsione del Codice, qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni;
3. il principio di necessità nel trattamento dei dati. Tale regola impone che le raccolte e i trattamenti di dati siano limitati alle sole informazioni necessarie all’attività, in modo da ridurre al minimo l’utilizzo di dati personali e di dati identificativi;
4. il principio di proporzionalità. Tale principio prevede che una volta riscontrata, osservando il principio di necessità, la possibilità di trattare dati personali, occorre altresì verificare, in ogni fase del trattamento, se le singole operazioni siano in concreto pertinenti e non eccedenti le finalità perseguite;
5. il principio di liceità e correttezza. È la regola che impone al soggetto che agisce sui dati personali che il trattamento posto in essere sia conforme alla legge e che la raccolta e le altre operazioni avvengano in modo trasparente per l’interessato e non mediante ricorso ad artifizi e raggiri;
6. il divieto di utilizzo. Il Codice prevede che i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati;
7. il principio di prevenzione a tutela dell’integrità del dato e degli abusi. I dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

Inoltre, i dati personali oggetto di trattamento devono essere:
• trattati in modo lecito e secondo correttezza;
• raccolti e registrati per scopi determinati, espliciti e legittimi, e utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;
• esatti e, se necessario, aggiornati;
• pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
• conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Sanzioni - Sul versante sanzionatorio, molte sono le norme che si applicano al Titolare, con ipotesi di responsabilità direttamente in capo ai soggetti che materialmente compiono le operazioni di trattamento dei dati.
Tra gli illeciti penali, si segnala l’articolo 167 del Codice, a norma del quale, chi agisca al fine di trarne per sé o per altri profitto o di recare ad altri un danno, trattando dati personali in violazione della normativa, è punito con pene detentive che possono arrivare anche a tre anni di reclusione.
Mentre per quel che concerne la responsabilità civile per danni, il Codice, all’articolo 15, dispone che chiunque cagioni “danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile” e che “il danno non patrimoniale è risarcibile anche in caso di violazione dell'articolo 11”.