REGOLAMENTO AZIENDALE SULLA VIDEOSORVEGLIANZA

Transcript

1 REGOLAMENTO AZIENDALE SULLA VIDEOSORVEGLIANZA REVISIONI DATA REVISIONE PREDISPOSTO DA APPROVATO DA 31/05/ Internal Audit Direzione Generale

2 SCOPO L Azienda Ospedaliera per l Emergenza Cannizzaro di Catania (di seguito denominata Azienda ) adotta il presente Regolamento per disciplinare l utilizzo del sistema di videosorveglianza (di seguito, anche SVS ) in essere nel perimetro interno ed esterno della relativa struttura ospedaliera. Il presente Regolamento disciplina finalità e modalità di gestione del SVS, e dei relativi sistemi di accesso, in ottemperanza, tra l altro, a quanto previsto da: - Regolamento UE n.679/2016 ( GDPR ). -Provvedimento generale del Garante dell 8 aprile 2010 in materia di videosorveglianza (anche Provvedimento generale del Garante ). - Legge n.300 del 1970 ( Statuto dei lavoratori ), ed in particolare art. 4 come riformato dal D.lgs. n. 151 del Il presente Regolamento è stato aggiornato in relazione all esito della richiesta di verifica preliminare presentata dall Azienda al Garante per la protezione dei dati personali (di seguito anche Garante ), con note del 28 febbraio 2017 e del 4 aprile 2017, ed in relazione al Provvedimento del Garante n. 256 del 31 maggio 2017 in risposta alla suddetta richiesta. DEFINIZIONI Rientrano nella disciplina del presente Regolamento le attività di seguito elencate: - Videosorveglianza: sistema o dispositivo che permette la visione e la registrazione su supporti singoli, abbinati ad altre fonti o conservati in banche dati di immagini di aree o zone delimitate; - Videocontrollo: sistema o dispositivo che permette la visione unicamente in tempo reale di aree o zone delimitate. Una sezione specifica del presente Regolamento, di cui all Art. 8, è dedicata al Videocontrollo all interno delle sale operatorie, che come prescritto dal sopraccitato Provvedimento generale, in considerazione dei dati sensibili oggetto del trattamento, merita una particolare tutela affinché il trattamento si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato. Art. 1 FINALITA DELLA ATTIVITA DI VIDEOSORVEGLIANZA L Azienda effettua attività di videosorveglianza esclusivamente per le seguenti finalità: 1. Per garantire la sicurezza del patrimonio aziendale e delle persone che, a vario titolo, frequentano gli ambienti delle strutture aziendali o che accedono agli stessi. 2. Per il perseguimento di finalità di cura delle persone che si avvalgono delle prestazioni erogate dall Azienda (c.d. videocontrollo nelle sale operatorie). Al fine di perseguire la finalità di sicurezza di cui al punto 1, l Azienda potrà installare, direttamente o per tramite dell Istituto di Vigilanza gestore del relativo servizio, sistemi di videosorveglianza anche da remoto all interno di aree interne od esterne del perimetro aziendale per scongiurare concreti pericoli o per le quali ricorra una effettiva esigenza di deterrenza. L attività di videosorveglianza per finalità di cura di cui al punto 2. si svolge nel rispetto dei diritti e delle libertà fondamentali nonché della dignità dell interessato. Ai sensi dell art. 4 dello Statuto dei Lavoratori, l Azienda non utilizza le immagini prodotte dal SVS al solo fine del controllo delle attività lavorative o di localizzazione dei dipendenti. 2

3 Art.2. PRINCIPI L attività di videosorveglianza è attivata nei luoghi in cui altre misure (es. sistemi di allarme, controlli fisici o logistici, misure di protezione agli ingressi) non sono sufficienti o non si sono rivelate in passato tali, e non sono attuabili o non sono parimenti efficaci. L attività di videosorveglianza è svolta nel rispetto del principio di proporzionalità nella scelta delle modalità di ripresa e dislocazione degli impianti, in modo da comportare comunque un trattamento di dati pertinenti e non eccedenti rispetto alle finalità perseguite. I dati raccolti per i fini sopra elencati non sono utilizzati per finalità diverse o ulteriori e non possono essere diffusi o comunicati a terzi, salvo esigenze di polizia o di giustizia e nel rispetto dei limiti sanciti dalle normative applicabili. ART. 3 CAMPO DI APPLICAZIONE Il presente Regolamento si applica a tutti gli impianti di videosorveglianza e di videocontrollo installati presso tutte le strutture aziendali. Art. 4 MODALITÀ DI GESTIONE DEL SVS 4.1 Ubicazione La tipologia di videosorveglianza effettuata in Azienda prevede impianti che effettuano la videosorveglianza sia con registrazione di immagini che con visione in tempo reale. Le telecamere di videosorveglianza in tutto il perimetro dell Azienda Ospedaliera sono 81 fisse e 3 Speed Dome e sono collocate nelle seguenti principali aree: Parcheggio multipiano: n 1 DVR e n 15 telecamere interne. Amministrazione Edificio D: n 1 NVR e n 2 DVR posizionati presso il CED, n 21 telecamere fisse e n 3 Speed Dome esterne. Ingresso sbarre automatiche: n 1 DVR posto nella biglietteria e n 10 telecamere esterne. Monoblocco edifici F1, F2 e F3: n 2 DVR posti nella stanza telefonica edificio F2 Piano -2 e n 32 telecamere interne e ingressi mezzi. Presso il Centro di Gestione delle Emergenze sono ubicati i monitor che raccolgono le immagini registrate dalle telecamere, nonché i supporti fisici della registrazione; per entrambi l accesso è segregato al solo personale competente delle ditte esterne che forniscono i servizi di guardiania e videosorveglianza nonché manutenzione (si veda per maggiori dettagli il paragrafo relativo alle Misure di sicurezza ). Le telecamere sono installate e posizionate in modo da raccogliere solo i dati strettamente necessari per il raggiungimento delle finalità perseguite, registrando le sole immagini indispensabili, limitando l angolo visuale delle riprese, evitando (quando non indispensabile) immagini dettagliate o dettagli comunque non rilevanti. La localizzazione delle telecamere e le modalità di ripresa sono determinate in ottemperanza a quanto sopra precisato. L angolatura e la panoramica delle riprese sono effettuate con modalità tali da limitare l angolo di visuale all area per il controllo della quale si installa il sistema di videosorveglianza, evitando di inquadrare zone private non interessate alla finalità dell impianto. Non sono sottoposte a diretta visione le postazioni della Azienda presso le quali avviene la timbratura elettronica del personale dipendente dalla Azienda Cannizzaro. I monitor degli impianti di videosorveglianza sono collocati in locali appartati, ove non vi è afflusso di persone estranee all Azienda. In ogni modo la collocazione dei monitor sarà tale da non permettere la visione delle immagini, neanche occasionalmente, a persone estranee. 3

4 4.2 Funzionalità Le telecamere installate sono di norma fisse, con consultazione in tempo reale e /o in differita ove ricorrano i presupposti descritti nella sezione Misure di Sicurezza. Le scelte in merito a tipologia di telecamera e alla modalità di consultazione sono state indirizzate nel rispetto dei principi di pertinenza, proporzionalità e di non eccedenza. 4.3 Termini di conservazione delle immagini In applicazione del principio di proporzionalità nella conservazione delle immagini raccolte mediante videosorveglianza, ed in considerazione delle ragioni di specifica esigenza di sicurezza trasmesse al Garante con la richiesta di verifica preliminare, ed ottenuta dal Garante la risposta positiva alla richiesta di prolungamento dei termini di conservazione, le immagini sono conservate per un massimo di 20 giorni dalla loro acquisizione, e sono successivamente automaticamente cancellate. Si rinvia al paragrafo misure di sicurezza per l indicazione delle misure previste per tutelare la sicurezza, l integrità e l accesso segregato delle immagini conservate. 4.4 Elenco delle telecamere installate L elenco delle telecamere installate è mantenuto e aggiornato a cura del Settore Tecnico. Nell elenco, per ciascuna telecamera, sono indicate le funzionalità (monitoraggio in tempo reale o registrazione), la localizzazione, eventuali specifiche di configurazione (es. per quante ore è accesa; se si attiva solo al movimento delle persone, ecc.) e il supporto di registrazione su cui le immagini vengono memorizzate. 4.5 Fornitori esterni Tutti gli impianti di videosorveglianza della AOE sono in appalto/gestione a ditte esterne; i relativi rapporti contrattuali garantiscono: - la formale comunicazione all Azienda Ospedaliera dei nominativi degli addetti alla manutenzione; - l obbligo degli addetti alla manutenzione ed all estrapolazione delle immagini al segreto sulle immagini che eventualmente visionino nell adempimento dei propri compiti; - le misure di sicurezza adottate sulle immagini registrate, coerentemente con quanto sancito nel paragrafo Misure di sicurezza del presente Regolamento; - la consegna, al personale della ditta esterna addetto alla sorveglianza e/o all estrapolazione delle immagini in caso di necessità, del presente Regolamento per presa visione e accettazione. Art.5 INFORMATIVA Gli utenti ed i dipendenti così come ogni ulteriore interessato sono informati del fatto che stanno per accedere in una zona complessivamente video sorvegliata tramite apposita informativa. A tal fine negli ambienti e negli spazi sottoposti a videosorveglianza sono installati, in posizione chiaramente visibile, appositi cartelli contenenti l informativa minima e semplificata conforme al modello stabilito dal Garante per la Protezione dei Dati Personali (allegato n.1). I suddetti cartelli, conformemente a quanto previsto dal par. 3.1 del Provvedimento generale del Garante dell 8 aprile 2010: sono collocati prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti; hanno un formato ed un posizionamento tale da essere chiaramente visibili in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno; inglobano un simbolo esplicito e di immediata comprensione, e sono diversificati al fine di informare se le immagini sono solo visionate o anche registrate. 4

5 L Azienda si conforma inoltre a tutti gli elementi di cui all art.13 del GDPR, ed espone in bacheca nelle principali aree di attesa dell AOE il modulo di informativa estesa, di cui all allegato 2. Art. 6 MISURE DI SICUREZZA In conformità con l art del Provvedimento generale del Garante dell 8 aprile 2010 in materia di videosorveglianza e con le prescrizioni del GDPR in materia di misure di sicurezza, è compito dell AOE prevedere misure di sicurezza adeguate al fine di minimizzare il rischio di impatti lesivi dei diritti e libertà fondamentali degli utenti dell AOE associato al SVS. I monitor per la visualizzazione delle immagini raccolte in tempo reale sono collocati in area segregata con accesso consentito al solo personale della ditta esterna incaricata della manutenzione del SVS del Centro di Gestione delle Emergenze. I monitor non possono accidentalmente essere visionati da altri soggetti. I nominativi degli incaricati della ditta esterna sono comunicati dalla stessa, e ricevono istruzioni relative alla custodia e segretezza rispetto ai dispositivi di videocontrollo. La ditta esterna elabora un documento mensile, relativo ai turni da rispettare dei singoli dipendenti. I suddetti soggetti ricevono inoltre copia del presente Regolamento di cui prendono visione e accettazione. I supporti digitali contenenti le immagini soggette a conservazione sono riposti in luoghi con accesso segregato al solo personale della ditta esterna incaricata del servizio di guardiania e videosorveglianza (si rimanda all Art. 7 per le informazioni relative alle nomine dei Responsabili esterni). I suddetti supporti registrano in DVR le immagini entro il tempo limite di conservazione autorizzato dal Garante per l AOE e le registrazioni più vecchie sono automaticamente sovrascritte dalle più recenti e quindi cancellate definitivamente. I supporti sono riutilizzati per la registrazione continua delle immagini. Nel caso in cui il supporto debba essere sostituito per eccessiva usura, esso viene distrutto a cura della ditta esterna attraverso sistemi di distruzione protetta in base al tipo di guasto. Nel caso di guasti sugli hard disk, la ditta esterna provvede a distruggere quest ultimi e consegnare il disco danneggiato al Settore Tecnico dell AOE, delegata alla distruzione del disco stesso. I supporti di memorizzazione delle riprese contenenti dati sensibili non riportano esternamente l indicazione di nominativi o comunque di dati atti ad identificare i soggetti ripresi nelle registrazioni. Solo la ditta esterna che ha provveduto all installazione delle telecamere, e che è nominata Responsabile esterno del relativo trattamento, ha la possibilità di estrapolare e accedere alle immagini richieste. Contrariamente, nessun dipendente interno o della ditta che presta, invece, servizi di guardiania e che ha il solo compito di monitorare e visualizzare le immagini real time, ha la possibilità di estrapolare o accedere al sistema di registrazione. Nel caso di richieste di estrapolazione e/o accesso alle immagini raccolte attraverso SVS secondo le modalità stabilite all art. 9 del presente Regolamento, l estrapolazione delle immagini è svolta dalla suddetta ditta e da parte del personale competente della stessa. Il supporto rilasciato è criptato e può essere visionato solo dal Responsabile designato allo scopo, in luogo segregato dalla visione accidentale di soggetti terzi. Il supporto è restituito alla ditta esterna per lo smaltimento sicuro. 5

6 Art. 7 RESPONSABILITÀ TITOLARE, RESPONSABILI E INCARICATI DEGLI IMPIANTI GESTITI DIRETTAMENTE DALL AZIENDA E DEL TRATTAMENTO DEI DATI Il Titolare del Trattamento dei dati raccolti con i sistemi di videosorveglianza è l'azienda Ospedaliera per l Emergenza Cannizzaro di Catania, nella persona del suo rappresentante legale pro-tempore. I Responsabili interni del trattamento dei dati raccolti con i sistemi di videosorveglianza e videocontrollo, tra cui i Responsabili delle UO mediche, saranno identificati con specifica e successiva determinazione. I Responsabili identificati potranno designare, in ottemperanza alle prescrizioni del GDPR (ed in particolare dell art. 28), altri co-responsabili designati all adempimento di specifiche funzioni. La nomina conterrà lo specifico riferimento alle attività di utilizzo e gestione dei sistemi di videosorveglianza e videocontrollo, unitamente alle istruzioni sulle operazioni consentite. Sono fatte salve tutte le ulteriori prescrizioni in tema di nomina del Responsabile del trattamento previste dal GDPR. Con specifico riferimento alle ditte esterne responsabili del SVS o di parti dello stesso, le stesse, ed il personale addetto alle specifiche funzioni nell ambito dell AOE, saranno nominati Responsabili esterni del relativo trattamento dei dati e riceveranno copia del presente Regolamento, affinché l attività assegnata sia svolta conformemente a quanto ivi disposto. Per quanto attiene alle responsabilità dell impianto e del trattamento dei dati relativi agli impianti di video controllo nelle sale operatorie si rimanda all Art. 8 del presente Regolamento. Art. 8 VIDEOCONTROLLO NELLE SALE OPERATORIE Considerata la natura sensibile dei dati, l installazione e l utilizzo degli impianti di ripresa nelle sale operatorie è svolta garantendo che il trattamento rispetti i diritti e le libertà fondamentali, nonché la dignità dell interessato. Il controllo di ambienti sanitari e il monitoraggio di pazienti ricoverati in particolari reparti o ambienti (ad es. unità di rianimazione, reparti di isolamento) è limitato ai casi di comprovata indispensabilità, derivante da specifiche esigenze di cura e tutela della salute degli interessati. Nell attivazione e nell utilizzo degli impianti all interno di sale operatorie sono inoltre rispettate le vigenti garanzie e le procedure di cui all art. 4 della L. 300/70 come modificato dall art. 23, comma 1, del decreto legislativo 151/2015, e pertanto la ripresa diretta del lavoratore è limitata ai soli casi in cui sia inevitabile per il perseguimento degli scopi che hanno determinato l installazione dell impianto e non è ammessa l installazione di sistemi di videosorveglianza in luoghi riservati esclusivamente ai lavoratori o non destinati all attività lavorativa (ad es. bagni, spogliatoi, docce, armadietti e spazi ricreativi). Autorizzati al trattamento delle immagini acquisite attraverso videocontrollo nelle sale operatorie sono esclusivamente: - il Responsabile della UO di riferimento, che ha ricevuto apposita nomina, - il personale medico, infermieristico e tecnico assegnato all intervento. Al fine di garantire la necessaria riservatezza del paziente, i monitor riservati al controllo sono posizionati all interno della sala operatoria non accessibile al pubblico. Art.9 ACCESSO ALLE IMMAGINI RACCOLTE ATTRAVERSO IL SISTEMA DI VIDEOSORVEGLIANZA Il diritto di accesso da parte dell interessato alle immagini raccolte attraverso il sistema di videosorveglianza, da garantire ai sensi dell art. 12 del GDPR, avviene in ottemperanza alle finalità esplicitate dal presente Regolamento. Pertanto, in relazione alla finalità di garantire la sicurezza del patrimonio aziendale e delle persone che, a vario titolo, frequentano gli ambienti delle strutture aziendali o che accedono agli stessi, come descritto all Art. 1 del presente Regolamento, il soggetto portatore di un interesse 6

7 legittimo può esercitare il proprio diritto all accesso entro 20 giorni dalla raccolta dell immagine di videosorveglianza presentando al Settore Tecnico il Modulo di richiesta di cui all Allegato 3, unitamente alla denuncia dell evento all Autorità Giudiziaria. La richiesta sarà accolta a fronte del pagamento del corrispettivo per le attività di estrapolazione e conservazione della registrazione, previsto da apposito tariffario predisposto dalla ditta e approvato dall AOE, che sarà puntualmente comunicato al Soggetto Interessato. La ricezione, da parte dell AOE, del Modulo di richiesta di accesso compilato dal Soggetto Interessato, e della relativa denuncia, consente all AOE di far estrarre a cura della ditta esterna, e conservare, le immagini raccolte dal SVS, le quali saranno rilasciate successivamente solo a fronte della richiesta o del mandato dell Autorità Giudiziaria competente, o comunque nel rispetto degli obblighi di legge. L AOE potrà accedere alle immagini del SVS attraverso richiesta di visione o estrapolazione alla ditta esterna, per le finalità esplicitate all art. 1 del presente Regolamento e nel rispetto di tutte le garanzie poste dal presente Regolamento e dalla normativa applicabile. Nei casi in cui emerga la necessità da parte dell AOE di accedere al le immagini del SVS, la richiesta alla ditta esterna è presentata dai soggetti autorizzati dell AOE secondo le modalità descritte nel disciplinare di gara e/o di riferimento. Le immagini saranno estrapolate con le modalità e le misure di sicurezza esplicitate nel paragrafo 6 del presente Regolamento, visionate esclusivamente da parte dei Responsabili indicati nel paragrafo 7 del presente Regolamento, e successivamente cancellate mediante meccanismi di cancellazione sicura, a cura dell Ufficio Tecnico dell AOE o della ditta esterna incaricata. Sono fatti salvi tutti gli ulteriori obblighi di legge inerenti l eventuale richiesta di accesso su richiesta di Autorità Giudiziaria e/o Forze dell Ordine. 7