La normativa sulla distruzione di documenti

Come nell’articolo dedicato agli obblighi di legge e scadenze utili per capire entro quali termini e per quali ragioni conservare gli archivi cartacei, qui di seguito cerchiamo invece di far luce sulla normativa, o meglio le normative, da tenere in considerazione per una corretta distruzione di documenti. Gli argomenti che troverai (vai al punto con un semplice clic):

• Normativa Privacy
• GDPR
• Norme in materia ambientale
• Normativa europea DIN 66399
• Differenza fra dati sensibili e dati personali
• Tabella classi di protezione della normativa DIN 66399
• DIN 66399: tipo di supporti e lettere corrispondenti
• Documenti cartacei, i livelli di sicurezza
• Distruzione documenti, quale normativa?
• Tipo di documenti da distruggere
• Bruciare i documenti è possibile?
• Vantaggi della corretta distruzione di documenti
• Perché distruggere archivi di documenti cartacei scaduti?

Normativa Privacy

La Normativa sulla privacy (D. Lgs. n. 196/2003) è certamente quella ormai più nota, nonché per molti versi temuta, e corrisponde al Codice italiano di riferimento in materia di protezione dei dati personali. A questo è infatti affidata in Italia la disciplina sulla gestione di dati personali o sensibili, nel rispetto dei diritti e delle libertà della persona, quindi anche la conseguente responsabilità nel lasciare inopportunamente in circolazione documenti con dati personali, finanziari, dati su dipendenti, partner commerciali e altre anagrafiche di clienti o fornitori.

GDPR

Il GDPR (letteralmente General Data Protection Regulation) è invece il Regolamento generale sulla protezione dei dati, che stabilisce le regole e le responsabilità per il trattamento dei dati personali in tutta l’Unione europea. Quindi, anche questa normativa (UE 2016/679) in vigore in tutti i Paesi aderenti all’Unione dal 25 maggio del 2018, oltre alla protezione dei dati personali e riservati, stabilisce un obbligo di distruzione dei documenti una volta terminato l’utilizzo degli stessi. In altre parole definisce la responsabilità completa, dall’iniziale protezione degli archivi, che siano in formato digitale o cartaceo, fino alla distruzione a fine ciclo di utilizzo.

“Tutti i documenti che contengono dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati.”

Violare tali norme comporta per il responsabile legale di un’azienda una responsabilità di tre tipi: civile (Art. 15), penale (Art. 169, c.1) e amministrativa (Art. 160/162, c. 1/162, 2 e 3/164, c. 4).

Norme in materia ambientale

Il D. Lgs. n. 152 del 3 aprile 2006, che punta a elevare i livelli di qualità della vita umana, che va salvaguardata e promossa attraverso il miglioramento delle condizioni ambientali e quindi anche mediante l’utilizzo responsabile e razionale delle risorse naturali, traccia la visione d’insieme e le logiche secondo cui operare, anche in relazione alle norme per la distruzione di documenti. Quest’ultima non dovrà produrre inquinamento, quanto piuttosto favorire un recupero della materia prima.

Normativa europea DIN 66399 sulla distruzione documenti

La DIN 66399 (nota anche come norma ISO/IEC 21964 “Tecnologia per ufficio e dati – Distruzione di supporti dati”) è una normativa europea che regola la distruzione certificata dei documenti cartacei, nonché dei supporti dati che contengono informazioni sensibili o personali. L’acronimo stesso, DIN, è mutuato dal tedesco Deutsche Industrie Norm o anche Deutscher Industrie Normenausschuss, quindi a conferma di una condivisione su base europea della Norma industriale tedesca (Commissione tedesca per la normalizzazione nell’industria). Di fatto costituisce un’evoluzione rispetto alla precedente normativa DIN 32757 che si limitava a regolamentare la distruzione dei soli documenti cartacei. La normativa DIN 66399 regola infatti la distruzione di più tipologie di documenti, includendo i supporti elettronici e digitali, con una descrizione dettagliata di livelli, procedure e requisiti per una distruzione certificata sicura e affidabile. In pratica la normativa DIN 66399 costituisce lo stato dell’arte, a livello internazionale, per fissare ogni tipo di linee guida, in considerazione dei diversi supporti di archiviazione dati oggi disponibili, per tutelare la privacy di ogni cittadino e nell’interesse stesso delle aziende che trattano in particolare dati sensibili, oltre a quelli personali.

Differenza fra dati sensibili e dati personali

Mentre i dati personali si limitano alla semplice identificazione di una persona, quindi ad esempio nome e cognome, indirizzo di residenza, e-mail personale, numero di un documento (carta d’identità o codice fiscale), quelli sensibili consistono in ulteriori attributi della persona che, giustamente, richiedono una tutela ancora maggiore. Per fare un esempio pratico, sarebbe come non limitarsi a individuare esattamente di quale Mario Rossi parliamo, ma disporre di suoi dati sensibili (aggiornati proprio dal Regolamento UE n. 2016/679) tra cui:

• origine razziale ed etnica;
• credo religioso, convinzioni filosofiche o di altro genere;
• opinioni politiche;
• adesione a partiti, sindacati, associazioni o altre organizzazioni di carattere religioso, filosofico, politico o sindacale;
• stato di salute, vita e orientamento sessuale;
• dati genetici e biometrici.

Tabella classi di protezione della normativa DIN 66399

La normativa DIN 66399 suddivide in 3 classi fondamentali di riferimento il tipo di dati trattati, definendo a sua volta 7 diversi livelli di sicurezza nella distruzione dei documenti. Quindi, per ogni tipo di supporto, stabilisce un determinato standard.

Normativa DIN 66399: tipo di supporti e lettere corrispondenti

Ogni tipo di supporto dati richiede un livello di sicurezza adeguato per la sua distruzione, che va dal primo al settimo, in base alla classe di protezione dei dati. La normativa prevede sei tipi di supporti dati, contraddistinti da una lettera, riferita proprio al tipo di materiali:

• P (Paper): informazioni in dimensioni originali, come carta e forme di stampa;
• O (Optic): supporti dati ottici, come CD e DVD;
• T (Träger, supporto in tedesco): supporti dati magnetici, come dischetti con bande magnetiche;
• E (Electronic): supporti dati elettronici, come chiavette USB, schede di memoria, ecc.;
• F (Film): informazioni in dimensioni ridotte, come pellicole e lucidi;
• H (Hard disk): dischi rigidi con supporto dati magnetico.

Documenti cartacei, i livelli di sicurezza nella distruzione

Per la normativa DIN 66399, limitandoci al solo tipo di supporto cartaceo (P), in questa tabella descriviamo le caratteristiche che avrà il documento distrutto, in base al livello di sicurezza scelto dal cliente. Una volta che i documenti sono stati triturati e portati alle dimensioni richieste dai diversi livelli di sicurezza, il macero prodotto viene pressato e da questo create delle balle, così da essere agevolmente stoccato e avviato al riciclo.

Distruzione documenti, qual è normativa di riferimento?

La normativa DIN 66399, definendo nel dettaglio gli standard di distruzione dei documenti, ha lo scopo di garantire la protezione dei dati personali e il rispetto della privacy. Fa questo a livello europeo, in conformità con il Regolamento generale sulla protezione dei dati (GDPR). DIN 66399 e GDPR sono quindi complementari, contribuendo nell’insieme a garantire la sicurezza e la riservatezza dei dati personali, ma con modalità di definizione e ambiti diversi.

• La normativa DIN 66399 si focalizza sulla fase finale del ciclo di vita dei dati, ovvero la loro distruzione, e prevede delle specifiche procedure e dei livelli di sicurezza da adottare in base al tipo e alla classe di protezione dei dati.
• Il GDPR si applica a tutto il processo di trattamento dei dati personali, dalla raccolta alla conservazione, dalla trasmissione alla modifica, e prevede dei principi e dei diritti da rispettare, come la liceità, la trasparenza, la minimizzazione, la limitazione, la portabilità e la cancellazione dei dati.

Quindi, per una corretta gestione dei dati personali, è opportuno seguire sia le indicazioni della normativa DIN 66399 per la distruzione dei documenti e dei supporti dati, sia quelle del GDPR per il trattamento dei dati personali.

Tipo di documenti da distruggere

Come abbiamo già visto anche in questo articolo, la normativa sulla distruzione documentale si applica sia a documenti contabili sia ad altri documenti con dati sensibili relativi a persone (dipendenti, clienti) e aziende (la stessa azienda, aziende partner e altre realtà con cui si hanno rapporti di fornitura prodotti e servizi). La distruzione mediante triturazione che rende i documenti più o meno illeggibili (fino ai livelli P5, P6 e P7) è propedeutica a uno smaltimento corretto e certificato, con avvio al riciclo della sola materia prima, epurata cioè da punti metallici, fogli e altre parti in plastica o altri materiali diversi e potenzialmente inquinanti.

Bruciare i documenti è possibile?

Se leggendo questa domanda stai già immaginando una possibile via per ottenere un ipotetico risparmio, ecco alcune buone ragioni per accantonarla all’istante:

1. la distruzione di documenti cartacei mediante incenerimento, oltre a essere espressamente vietata dalla legge (quindi può portare a sanzioni anche gravi), non permette di avere alcuna dimostrazione e quindi certificazione (presente e futura) sull’avvenuta distruzione dei documenti stessi;
2. anche volendo per assurdo soppesare tra reali rischi e benefici, risulta decisamente antieconomica, anche per il mancato apporto di materia prima all’economia circolare, a cui si aggiunge l’inquinamento atmosferico e relativa produzione di Co2, visto che la carta non potrebbe neanche alimentare efficientemente un caminetto domestico al posto della legna da ardere;
3. il moderno concetto di “gerarchia dei rifiuti” mette sempre al primo posto la riduzione degli stessi (in termine di volumi prodotti), quindi il riciclo e solo come ultima opzione lo smaltimento.

Vantaggi della corretta distruzione di documenti

Anche se ci sono tipi di aziende diverse che offrono servizi di distruzione documenti, smaltimento e/o digitalizzazione, per cui si può passare da una basilare “raccolta rifiuti” a servizi ben più evoluti anche nella gestione, organizzazione e razionalizzazione di archivi, un primo vantaggio per i committenti che scelgono le più evolute fra queste può essere di poter anche conoscere in modo dettagliato i contenuti degli archivi cartacei e così scegliere con maggiore consapevolezza quali tenere e quali eliminare definitivamente. Dalla nostra esperienza sappiamo che non sono certo poche le stanze di archivi così obsoleti e dimenticati che si ha timore persino ad entrarci…

Ecodocumenti, al riguardo, implementa questa possibilità anche grazie al mese di archiviazione gratuita, dopo il ritiro in sede, servizio che mette a disposizione dei clienti proprio per questo tipo di valutazioni.

Oltre a ciò, un attestato come la Certificazione di macero documentale conforme alla norma serve a dimostrare che i documenti sono stati resi illeggibili. Inoltre è possibile assicurare anche la riservatezza operativa durante la lavorazione stessa dell’intero archivio (anche con registrazione video o con referente legale sul posto) disponendo in tal modo di un certificato di distruzione molto importante, come ulteriore garanzia di tutela della privacy e di sicurezza nella gestione delle pratiche aziendali. La prassi migliore è quella di tenere traccia delle operazioni di distruzione effettuate, registrando i documenti eliminati, la data di distruzione e la modalità utilizzata.

Come e perché distruggere archivi di documenti cartacei scaduti

Quando risultano superati tutti i termini e le cautele di conservazione che la legge prevede per le aziende, procedere con una distruzione ben organizzata e programmata permette di liberare spazio che può così essere dedicato ad altre attività e produrre nuova ricchezza, incrementando l’efficienza generale, invece che rappresentare un costo passivo. Raccolta, separazione, distruzione e corretto riciclaggio dei materiali, si coniugano appunto con la possibilità di conservare (tener traccia) e registrare nel tempo le progressive operazioni di ottimizzazione dell’archivio man mano effettuate. Smaltimento e distruzione del materiale documentale concorrono così a garantire maggiore compattezza dell’archivio fisico aziendale, anche in vista di una progressiva e totale digitalizzazione, liberandosi correttamente da documenti non più utili e anzi superflui, se non proprio dannosi… nel caso di inopportuna diffusione, con inutili rischi quali furti di identità, tentativi di truffa o altro tipo di violazioni della privacy. Al riguardo, ricordiamo l’art.2050 del Codice Civile rapportato ai potenziali rischi nella gestione della privacy:

“chiunque cagioni un danno ad altri nello svolgimento di un’attività pericolosa è tenuto al risarcimento dei danni se non prova di aver adottato tutte le misure idonee ad evitare tale danno”.

In conclusione, nel momento in cui gli obblighi fin qui descritti non vengano rispettati, il titolare del trattamento dei dati va incontro a sanzioni. Questo può accadere sia nel caso lo smaltimento dei documenti venga effettuato in maniera impropria o in modalità “fai da te” senza adeguata conoscenza dei regolamenti, sia nel caso di affidamento dell’attività a terzi, ma senza adeguati controlli o certificazioni. Per il titolare, quindi, è sempre preferibile poter dimostrare di essersi rivolto a un soggetto qualificato e abilitato che a sua volta svolge a regola d’arte tutti gli adempimenti previsti.