- L'art. 53 consente l'utilizzo di sistemi informatici per la memorizzazione di qualsiasi documentazione prevista dal D.Lgs. 81/2008, con specifici requisiti di sicurezza informatica.
- Il sistema deve garantire accesso controllato, validazione delle informazioni da parte dei responsabili, tracciabilità delle modifiche, possibilità di stampa e conservazione su doppio supporto con protezione antivirus.
- Le informazioni sono accessibili tramite reti di comunicazione elettronica con trasmissione criptata delle password.
- Deve essere redatta una procedura documentata di gestione del sistema, senza indicazione dei codici di accesso.
Art. 53 D.Lgs. 81/2008 (SIC) – Tenuta della documentazione
In vigore dal 15/05/2008
1. È consentito l'impiego di sistemi di elaborazione automatica dei dati per la memorizzazione di qualunque tipo di documentazione prevista dal presente decreto legislativo.
2. Le modalità di memorizzazione dei dati e di accesso al sistema di gestione della predetta documentazione devono essere tali da assicurare che: a) l'accesso alle funzioni del sistema sia consentito solo ai soggetti a ciò espressamente abilitati dal datore di lavoro; b) la validazione delle informazioni inserite sia consentito solo alle persone responsabili, in funzione della natura dei dati; c) le operazioni di validazione dei dati di cui alla lettera b) siano univocamente riconducibili alle persone responsabili che le hanno effettuate mediante la memorizzazione di codice identificativo autogenerato dagli stessi; d) le eventuali informazioni di modifica, ivi comprese quelle inerenti alle generalità e ai dati occupazionali del lavoratore, siano solo aggiuntive a quelle già memorizzate; e) sia possibile riprodurre su supporti a stampa, sulla base dei singoli documenti, ove previsti dal presente decreto legislativo, le informazioni contenute nei supporti di memoria; f) le informazioni siano conservate almeno su due distinti supporti informatici di memoria e siano implementati programmi di protezione e di controllo del sistema da codici virali; g) sia redatta, a cura dell'esercente del sistema, una procedura in cui siano dettagliatamente descritte le operazioni necessarie per la gestione del sistema medesimo. Nella procedura non devono essere riportati i codici di accesso.
3. Nel caso in cui le attività del datore di lavoro siano articolate su vari sedi geografiche o organizzate in distinti settori funzionali, l'accesso ai dati può avvenire mediante reti di comunicazione elettronica, attraverso la trasmissione della password in modalità criptata e fermo restando quanto previsto al comma 2 relativamente alla immissione e validazione dei dati da parte delle persone responsabili.
4. La documentazione, sia su supporto cartaceo che informatico, deve essere custodita nel rispetto del decreto legislativo 30 giugno 2003, n. 196 , in materia di protezione dei dati personali.
5. Tutta la documentazione rilevante in materia di igiene, salute e sicurezza sul lavoro e tutela delle condizioni di lavoro può essere tenuta su unico supporto cartaceo o informatico. Ferme restando le disposizioni relative alla valutazione dei rischi, le modalità per l'eventuale eliminazione o per la tenuta semplificata della documentazione di cui al periodo che precede sono definite con successivo decreto, adottato, previa consultazione delle parti sociali, sentita la Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome di Trento e di Bolzano, entro dodici mesi dalla data di entrata in vigore del presente decreto.
6. ((Fino ai 12 mesi)) successivi all'adozione del decreto interministeriale di cui all'articolo 8 comma 4, del presente decreto restano in vigore le disposizioni relative ai registri degli esposti ad agenti cancerogeni e biologici.
Stesso numero, altri codici
- Art. 53 Codice Civile: Godimento dei beni
- Articolo 53 Codice della Crisi d'Impresa e dell’Insolvenza
- Articolo 53 Codice del Consumo: Conferma scritta delle informazioni
- Articolo 53 Codice della Strada: Motoveicoli
- Articolo 53 Codice di Procedura Civile: Giudice competente
- Articolo 53 Codice di Procedura Penale: Autonomia del pubblico ministero nell’udienza. Casi di sostituzione
La dematerializzazione della documentazione di sicurezza
L'art. 53 del D.Lgs. 81/2008 ha aperto la strada alla gestione informatica della documentazione di sicurezza — DVR, registri degli infortuni, schede di sorveglianza sanitaria, verbali delle riunioni periodiche — in un'epoca in cui la digitalizzazione non era ancora diventata il paradigma dominante della pubblica amministrazione e del mondo del lavoro. La norma è significativa perché non si limita ad autorizzare la tenuta digitale dei documenti, ma fissa una serie di requisiti tecnici e organizzativi che devono essere rispettati per garantire l'integrità, la sicurezza e la tracciabilità delle informazioni.
I requisiti tecnici del sistema informatico
Il comma 2 elenca i requisiti che il sistema di elaborazione automatica dei dati deve soddisfare. L'accesso deve essere consentito solo ai soggetti espressamente abilitati dal datore di lavoro (lett. a). La validazione delle informazioni — cioè la loro approvazione ufficiale — deve essere possibile solo per le persone responsabili in funzione della natura dei dati (lett. b). Le operazioni di validazione devono essere tracciabili e univocamente riconducibili ai responsabili che le hanno effettuate, mediante codice identificativo autogenerato dagli stessi (lett. c). Le modifiche alle informazioni — incluse quelle relative alle generalità e ai dati occupazionali dei lavoratori — devono essere solo aggiuntive a quelle già memorizzate: non è possibile cancellare o sovrascrivere dati precedenti, ma solo aggiungere nuove informazioni (lett. d). Deve essere possibile riprodurre su supporto cartaceo le informazioni memorizzate (lett. e). Le informazioni devono essere conservate su almeno due distinti supporti informatici, con programmi di protezione antivirus (lett. f). Deve essere redatta una procedura di gestione del sistema (lett. g).
La tracciabilità e l'immutabilità dei dati: un presidio di trasparenza
Il principio per cui le modifiche ai dati devono essere solo aggiuntive e non sostitutive — in pratica, un meccanismo di audit trail — è il requisito più rilevante sul piano della tutela dell'integrità documentale. Esso impedisce che i dati vengano alterati retroattivamente, garantendo che la storia documentale della gestione della sicurezza sia sempre consultabile. Questo requisito è coerente con i principi di buona tenuta della documentazione tecnico-amministrativa e si avvicina ai meccanismi previsti per i sistemi di gestione documentale certificati (es. standard ISO/IEC 27001 per la sicurezza informatica).
Reti di comunicazione e accesso remoto
Il comma 3 prevede che nelle aziende articolate su più sedi geografiche o organizzate in settori funzionali distinti, l'accesso ai dati possa avvenire mediante reti di comunicazione elettronica, con trasmissione criptata delle credenziali di accesso. Questa disposizione — già visionaria al momento dell'entrata in vigore del decreto nel 2008 — descrive in sostanza i requisiti minimi per un sistema cloud aziendale di gestione documentale della sicurezza. I software di gestione integrata della sicurezza (HSE management software) comunemente disponibili sul mercato sono progettati per soddisfare questi requisiti.
Profili pratici: software di gestione e compliance
Per datori di lavoro e RSPP, l'art. 53 suggerisce una lista di verifiche per i sistemi informatici adottati: il sistema consente la gestione differenziata dei profili di accesso? Registra automaticamente chi ha validato quali informazioni e quando? Mantiene la storicità di tutte le modifiche? Consente l'esportazione in formato cartaceo? Le credenziali sono trasmesse in modo criptato? I dati sono ridondanti su almeno due supporti con protezione antivirus attiva? In caso di ispezione, questi elementi possono essere verificati dagli organi di vigilanza come parte del controllo sulla tenuta della documentazione di sicurezza.
Domande frequenti
Il DVR può essere tenuto esclusivamente in formato digitale senza una versione cartacea?
Sì, l'art. 53 consente la tenuta informatica di tutta la documentazione di sicurezza, incluso il DVR. Tuttavia, il sistema deve essere in grado di riprodurlo su supporto cartaceo in qualsiasi momento (lett. e), e gli organi di vigilanza hanno diritto di accedervi. In caso di ispezione, deve essere possibile stamparlo immediatamente.
Un RSPP può modificare il DVR informatico senza che il datore di lavoro ne sia informato?
No. Il sistema deve tracciare tutte le operazioni di validazione, con identificazione univoca del responsabile che le ha effettuate (lett. c). Ogni modifica al DVR lascia una traccia permanente nel sistema, con indicazione di chi ha apportato la modifica e quando.
È possibile usare un servizio cloud per conservare la documentazione di sicurezza?
Sì, purché il sistema rispetti i requisiti dell'art. 53: accesso controllato con autenticazione sicura, tracciabilità delle modifiche, ridondanza su almeno due supporti, protezione antivirus e trasmissione criptata delle credenziali. I principali servizi cloud aziendali (Microsoft 365, Google Workspace, ecc.) con configurazione adeguata soddisfano questi requisiti.
Cosa deve contenere la procedura di gestione del sistema informatico ex art. 53?
La procedura deve descrivere dettagliatamente le operazioni necessarie per la gestione del sistema: profili di accesso e loro assegnazione, procedure di backup, aggiornamento antivirus, modalità di validazione dei documenti, procedure di ripristino in caso di perdita dei dati. Non deve contenere i codici di accesso.