Art. 53 — Tenuta della documentazione

Il testo della norma, in chiaro

L’articolo 53 è la norma che “digitalizza” la burocrazia della sicurezza: dice come può essere tenuta tutta la documentazione prevista dal Testo Unico.

Co. 1 — È consentito usare sistemi di elaborazione automatica dei dati per memorizzare qualunque tipo di documentazione prevista dal decreto. Co. 2 — Il sistema informatico deve però garantire alcuni requisiti: accesso riservato ai soli soggetti abilitati dal datore di lavoro; validazione delle informazioni consentita solo alle persone responsabili, in funzione della natura dei dati; operazioni di validazione univocamente riconducibili a chi le ha effettuate tramite codice identificativo; modifiche solo aggiuntive rispetto ai dati già memorizzati (nulla si cancella, tutto si storicizza); possibilità di riprodurre a stampa i documenti; conservazione su almeno due distinti supporti di memoria, con programmi di protezione da codici virali; una procedura scritta che descrive la gestione del sistema, senza riportare i codici di accesso. Co. 3 — Nelle aziende articolate su più sedi o settori funzionali, l’accesso ai dati può avvenire tramite reti di comunicazione elettronica, con trasmissione delle credenziali in modalità criptata e fermi i requisiti del comma 2 su immissione e validazione. Co. 4 — La documentazione, cartacea o informatica, va custodita nel rispetto della normativa sulla protezione dei dati personali. Co. 5 — Tutta la documentazione rilevante in materia di salute e sicurezza può essere tenuta su un unico supporto, cartaceo o informatico; le comunicazioni verso enti e amministrazioni pubbliche possono avvenire con sistemi informatizzati, nel formato indicato dalle strutture riceventi. Co. 6 — Norma transitoria: fino all’operatività del sistema informativo previsto dall’art. 8 restavano in vigore le disposizioni sul registro infortuni e sui registri degli esposti ad agenti cancerogeni e biologici. Il registro infortuni è stato poi abolito dal D.Lgs. 151/2015; i registri degli esposti restano disciplinati dai rispettivi Titoli del decreto.

Cosa significa in pratica

L’articolo 53 risponde a una domanda che ogni azienda si pone: posso buttare i faldoni e tenere tutto sul gestionale? La risposta è sì, a condizione che il sistema non sia un semplice archivio di PDF, ma garantisca ciò che garantiva la carta firmata: sapere chi ha inserito un dato, quando, e avere la certezza che nessuno lo abbia riscritto a posteriori.

È il punto più delicato in caso di infortunio. Se l’ispettore o il pubblico ministero chiedono il verbale di consegna dei DPI o il registro dell’addestramento, un file Word modificabile da chiunque vale poco: la norma pretende accessi profilati, validazioni tracciate e modifiche solo aggiuntive proprio perché il documento informatico deve poter reggere in giudizio come quello cartaceo. Per questo i software seri di gestione della sicurezza lavorano con log immutabili, versioning e firme elettroniche — una logica che trovi approfondita nella guida alla digitalizzazione della sicurezza.

Il comma 5 è quello che semplifica davvero la vita: supporto unico. Nomine, attestati di formazione, scadenzario, verbali di riunione periodica, verifiche delle attrezzature: tutto può convivere in un solo archivio digitale, consultabile anche dalle sedi periferiche via rete (comma 3). Attenzione però a non confondere il contenitore con il contenuto: l’art. 53 disciplina come conservare i documenti, non ne allenta i requisiti sostanziali. Il DVR continua a richiedere data certa o le sottoscrizioni dell’art. 28, secondo le modalità richiamate dall’art. 29; la cartella sanitaria resta sotto la responsabilità del medico competente con i vincoli di segreto professionale che trovi nella guida alla cartella sanitaria e di rischio.

Il comma 6, infine, spiega un equivoco ancora diffuso: il registro infortuni non esiste più come obbligo. Era mantenuto in via transitoria in attesa del SINP e il D.Lgs. 151/2015 lo ha abolito; oggi il flusso informativo passa dalle denunce telematiche all’INAIL. Restano invece pienamente in vigore i registri degli esposti ad agenti cancerogeni e biologici previsti dai Titoli IX e X.

Obblighi e soggetti coinvolti

• Datore di lavoro: decide il sistema di tenuta, abilita i soggetti che possono accedere e valida le regole di gestione; risponde della custodia nel rispetto della disciplina privacy.
• Dirigenti e uffici HR/HSE: sono tipicamente le “persone responsabili” della validazione dei dati; le loro operazioni devono essere riconducibili a ciascuno tramite identificativo personale.
• Esercente del sistema (interno o fornitore del software): redige la procedura di gestione richiesta dal comma 2 e assicura doppio supporto di conservazione e protezione da malware.
• Medico competente: applica le regole dell’art. 53 alla documentazione sanitaria, nel rispetto degli obblighi propri dell’art. 25.
• Organi di vigilanza: davanti a un archivio digitale possono pretendere la riproduzione a stampa dei documenti; il comma 2 impone che il sistema lo consenta.

Errori comuni

1. Scambiare una cartella condivisa per un sistema conforme. File modificabili da tutti, senza profili di accesso né tracciatura, non rispettano il comma 2: in sede ispettiva quel “archivio” ha una capacità probatoria fragile.
2. Digitalizzare il DVR dimenticando la data certa. Lo scanner non basta: senza firma elettronica con marcatura temporale, o senza le sottoscrizioni previste dall’art. 28, la versione digitale non prova la tempestività della valutazione.
3. Nessun backup su supporto distinto. La norma chiede la conservazione su almeno due supporti di memoria: il gestionale in cloud senza copia di sicurezza documentata, o il PC unico dell’ufficio tecnico, non soddisfano il requisito.
4. Tenere ancora il registro infortuni “perché si è sempre fatto così” e, magari, trascurare invece i registri degli esposti a cancerogeni dove sarebbero dovuti: il primo non è più obbligatorio, i secondi sì.
5. Ignorare la privacy sugli archivi della sicurezza. Idoneità sanitarie e dati sugli infortuni sono dati sulla salute: lasciarli accessibili a chiunque in azienda viola il comma 4 prima ancora del GDPR.