Rapporto esplicativo

2.4 Sezione 4 – Misure per prevenire l’utilizzazione abusiva del numero d’assicurato

2.4.1 Articolo 7 – Principi

Il capoverso 1 contiene principi generali, validi per tutti gli utenti, concernenti la limitazione

dell’accesso (sia fisico che elettronico) al numero d’assicurato alle sole persone che ne hanno bisogno per svolgere il proprio lavoro. Il capoverso 2, invece, riguarda unicamente gli utenti che impiegano sistemi complessi. Un sistema è considerato complesso, quando più applicazioni fanno capo alla medesima banca dati o quando un’applicazione è utilizzata da numerosi utenti. Nella pratica, gli utenti di sistemi complessi hanno comunque interesse ad effettuare un’analisi dei rischi. Questa deve sempre tenere conto anche della necessità di proteggere il numero d’assicurato. A seconda dei risultati dell’analisi, vanno adottati provvedimenti adeguati. Tutti gli altri utenti, per esempio un piccolo studio medico privato, devono rispettare le prescrizioni minime di sicurezza dell’Allegato 2.

2.4.2 Articolo 8 – Trasmissione di dati attraverso reti pubbliche

Quando si trasmettono dati attraverso reti pubbliche, vi è un rischio più elevato che i dati pervengano a persone cui non sono destinati. Mediante una cifratura conforme allo stato della tecnica è possibile ovviare a questo inconveniente.

2.4.3 Articolo 9 – Utilizzazione e comunicazione

Il presupposto per una protezione efficace contro gli abusi è che il numero d’assicurato sia utilizzato unicamente da servizi e istituzioni autorizzati. Chi utilizza il numero senza esserne autorizzato è punibile in virtù dell’articolo 87 LAVS. Tuttavia, possono verificarsi abusi anche a causa del comportamento scorretto di servizi e istituzioni autorizzati ad utilizzare sistematicamente il numero. Questo rischio sussiste in particolare se il numero d’assicurato è utilizzato per scopi diversi da quelli previsti

nell’ambito dello svolgimento dei compiti o è trasmesso illecitamente a terzi. Gli utenti autorizzati devono tenere conto di questo rischio, informando adeguatamente il proprio personale nel quadro della formazione e del perfezionamento, al fine di garantire che il numero d’assicurato sia utilizzato

unicamente per lo svolgimento dei compiti previsti e sia comunicato a terzi unicamente quando ciò è ammesso. In questo contesto vanno osservate le disposizioni legali in materia di comunicazione dei dati vigenti nel relativo settore d’attività.

3 Allegati 1 e 2

L’Allegato 1 descrive dettagliatamente la logica del numero di controllo, determinante per la verifica prevista dall’articolo 4. Nell’Allegato 2 sono descritte le prescrizioni minime di sicurezza per l’impiego di mezzi informatici e supporti di memoria nell’utilizzazione sistematica del numero d’assicurato. Questi allegati non necessitano di particolari spiegazioni. L’unico punto che richiede un commento è il numero 5 dell’Allegato 2.

3.1 Allegato 2 numero 5

Il numero 5 prevede che i sistemi informatici devono tenere traccia di importanti attività e avvenimenti e che questi vanno analizzati periodicamente. I processi interessati sono molteplici e variano secondo la configurazione del sistema, ragion per cui non è possibile farne un elenco completo, valido per tutti gli utenti. A titolo di esempio possono essere menzionati:

• l’avviamento e l’arresto del sistema,

• l’autenticazione,

• i tentativi di autenticazione falliti;

• i tentativi di accesso falliti;

• l’attribuzione e la modifica di privilegi;

• tutte le azioni che richiedono privilegi più ampi.