IL COORDINATORE UNICO S.C. SISTEMI INTEGRATI AZIENDALI OSPEDALE-TERRITORIO E FLUSSI INFORMATIVI

Transcript

1 ATTI del DIRETTORE GENERALE dell anno 2018 Deliberazione n del 30/05/ Atti U.O. S.C. Gestione Op. Area Territoriale Oggetto: DEFINIZIONE DEL NUOVO MODELLO ORGANIZZATIVO PRIVACY AZIENDALE IL COORDINATORE UNICO S.C. SISTEMI INTEGRATI AZIENDALI OSPEDALE-TERRITORIO E FLUSSI INFORMATIVI Premesso che, con DGR n. X/4473 del , è stata costituita l Azienda Socio Sanitaria Territoriale (ASST) Santi Paolo e Carlo e che, pertanto, quest ultima, ai sensi dell art. 2, comma 8, lettera c), della Legge Regionale n. 23 dell , a decorrere dall è subentrata nei rapporti giuridici attivi e passivi facenti capo alle A.O. San Paolo e A.O. San Carlo. Vista la propria Deliberazione n. 1 dell , esecutiva ai sensi di legge, avente ad oggetto Presa d atto della DGR n. X/4473 del Attuazione L.R. 23/2015: Costituzione Azienda Socio Sanitaria Territoriale (ASST) Santi Paolo e Carlo ; Richiamati: - il D.Lgs. 196/2003 relativo alla protezione dei dati personali (di seguito Codice privacy); - il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)» (di seguito RGPD), in vigore dal 24 maggio 2016, e applicabile a partire dal 25 maggio 2018; - la propria Deliberazione n. 991 del 22/06/2016, con cui si provvedeva a definire la composizione ed i compiti del Comitato Aziendale Privacy; - la propria Deliberazione n del 21/12/2016, con cui si provvedeva a modificare la composizione ed i compiti del Comitato Aziendale Privacy; - la propria Deliberazione n. 680 del 09/05/2018, con cui si provvedeva a nominare il Responsabile della Protezione dei Dati (di seguito RPD); Premesso che il RGPD, impone un differente modello privacy rispetto a quello definito dall ASST sulla base del Codice privacy attualmente in vigore; Considerato quindi necessario introdurre un nuovo modello privacy che armonizzi i dettami del RGPD con le peculiarità organizzative dell ASST Santi Paolo e Carlo; Pag.: 1/7

2 Verificato - che il RGDP introduce una nuova terminologia per le figure che rilevano ai fini della privacy e che tale terminologia parzialmente muta la precedente usata nella documentazione interna dell ASST e dei due presidi ospedalieri; - che si rende necessario ridefinire i ruoli e le responsabilità relative alla privacy per rendere aderente la struttura organizzativa aziendale (così come definita nel POAS) agli adempimenti previsti dal RGPD; Ritenuto pertanto, al fine di consentire la maggior chiarezza possibile offrire la seguente tabella di raffronto dei termini delle figure che rilevano ai fini della privacy: modello privacy ASST modello privacy GDPR Significato del vocabolo nel GDPR Commento Titolare Titolare La persona fisica o giuridica, l Autorità pubblica o qualsiasi altro organismo che determina le finalità ed i mezzi del trattamento di dati Per l ASST è il Direttore Generale pro tempore Co-titolare Co-titolare Altra persona fisica o giuridica, o Autorità pubblica o qualsiasi altro organismo che concorre con il Titolare a determinare le finalità ed i mezzi del trattamento di dati personali E il direttore Generale o figura equivalente di altro Ente o Società che condivide per convenzione o contratto le finalità ed i mezzi del trattamento dati con il Titolare Interessato Interessato La persona fisica proprietaria dei dati personali che vengono trattati dall ASST E la persona fisica a cui l ASST deve chiedere il consenso (a più livelli) per il trattamento dei dati Responsabile interno Responsabile esterno Responsabile La persona fisica o giuridica, l autorità pubblica o altro organismo che tratta dati personali per conto del Il rapporto che vincola il Responsabile del trattamento al Titolare è disciplinato da un contratto o da altro atto Pag.: 2/7

3 modello privacy ASST modello privacy GDPR Significato del vocabolo nel GDPR Commento titolare del trattamento giuridico Incaricato Persona Autorizzata La persona fisica autorizzata al trattamento sotto la responsabilità diretta del Titolare o del Responsabile Il rapporto che vincola la persona autorizzata al Responsabile o al Titolare del trattamento è disciplinato da un contratto o da altro atto giuridico Responsabile Protezione dei Dati Figura introdotta dal GDPR. Persona terza ed imparziale cui spetta relazionarsi con il vertice aziendale. E punto di contatto tra l ASST ed il Garante Privacy da un lato e tra l ASST e l interessato dall altro E stato nominato con deliberazione n. 680 del 9/5/2018 Terzo Terzo Chiunque non sia l interessato né titolare, né responsabile, né persona autorizzata al trattamento sotto l autorità diretta del Titolare o del Responsabile L ASST non comunica dati personali a Terzi, se non con il consenso dell interessato e a soli fini istituzionali Destinatario Destinatario La persona fisica o giuridica, l autorità pubblica o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. L ASST discrimina i destinatari in base alle finalità del trattamento Responsabile Sicurezza Informazioni Figura non prevista nel GDPR E il responsabile dell applicazione delle politiche di sicurezza Pag.: 3/7

4 modello privacy ASST modello privacy GDPR Significato del vocabolo nel GDPR Commento delle informazioni. E normata dalle Linee Guida emesse da Lombardia Informatica Amministratore di sistema Figura non prevista nel GDPR Soggetto preposto alla gestione e alla manutenzione di un impianto di elaborazione dati o di sue componenti E normato dal Provvedimento del Garante Privacy del 27/11/2008 Comitato Aziendale Privacy Organo non previsto dal GDPR Organismo che affianca in modo consultivo il Direttore Generale nella sua funzione di Titolare. Ritenuto - di individuare e autorizzare con successivi atti i Direttori medici di presidio, i Direttori di Dipartimento (ivi compresi i dipartimenti funzionali/gestionali) nonché tutti i Dirigenti Responsabili di Struttura (sia complessa che semplice), così come individuati nel POAS, come Responsabili Interni del trattamento; - di individuare e autorizzare con successivi atti i Titolari dei fornitori che trattano dati personali per trattamenti di cui l ASST Santi Paolo e Carlo è titolare a seguito di contratti di fornitura di beni, servizi e lavori, come Responsabili Esterni del trattamento; - di individuare e autorizzare con successivo atto il Direttore del SIA per la supervisione e la gestione degli Amministratori di Sistema sia interni che dei fornitori; Ritenuto altresì di incaricare i Responsabili Interni a provvedere, tramite le apposite procedure informatiche messe a disposizione dall ASST, alla nomina del proprio personale quale soggetto autorizzato ai trattamenti effettuati nella propria struttura; Pag.: 4/7

5 Ritenuto altresì di cooptare il RPD fra i membri del Comitato Aziendale Privacy e di assegnare a quest ultimo quali nuovi compiti la stesura delle DPIA per i trattamenti che presentano un elevato rischio iniziale ivi compresa l eventuale segnalazione al Garante per i trattamenti che presentassero un elevato rischio residuo nonché la gestione dei Data Breach ivi compresa la stesura della comunicazione al garante e agli interessati laddove si rendessero necessarie; tutto questo premesso, propone l adozione della conseguente deliberazione; IL DIRETTORE GENERALE Acquisiti i pareri favorevoli del Direttore Amministrativo, del Direttore Sanitario e del Direttore Socio- Sanitario; DELIBERA Per i motivi di cui in premessa che qui si intendono integralmente trascritti: 1. di approvare il nuovo modello organizzativo privacy come in premessa specificato; 2. -di individuare e autorizzare con successivi atti i Direttori medici di presidio, i Direttori di Dipartimento (ivi compresi i dipartimenti funzionali/gestionali) nonché tutti i Dirigenti Responsabili di Struttura (sia complessa che semplice), così come individuati nel POAS, come Responsabili Interni del trattamento; 3. -di individuare e autorizzare con successivi atti i Titolari dei fornitori che trattano dati personali per trattamenti di cui l ASST Santi Paolo e Carlo è titolare a seguito di contratti di fornitura di beni, servizi e lavori, come Responsabili Esterni del trattamento; 4. di individuare e autorizzare con successivo atto il Direttore del SIA per la nomina, la supervisione e la gestione degli Amministratori di Sistema informatico, rappresentati sia da personale interno che da fornitori esterni; 5. di incaricare i Responsabili Interni a provvedere, tramite le apposite procedure informatiche da acquisirsi da parte dell ASST, alla nomina del proprio personale quale soggetto autorizzato ai trattamenti effettuati nella propria struttura; 6. di cooptare il RPD fra i membri del Comitato Aziendale Privacy e di assegnare a quest ultimo quali nuovi compiti la stesura delle DPIA per i trattamenti che presentano un elevato rischio iniziale ivi compresa l eventuale segnalazione al Garante per i trattamenti che presentassero un elevato rischio residuo nonché la gestione dei Data Breach ivi compresa la stesura della comunicazione al garante e agli interessati laddove si rendessero necessarie; Pag.: 5/7

6 7. di dare atto che il presente provvedimento non comporta oneri di spesa; 8. di dare atto che il presente provvedimento è assunto su proposta del Coordinatore Unico S.C. Sistemi Integrati Aziendali Ospedale Territorio e Flussi Informativi; 9. di dare atto che il presente provvedimento deliberativo è immediatamente esecutivo, in quanto non soggetto a controllo di Giunta Regionale, verrà pubblicato sul sito internet Aziendale, ai sensi dell art. 17, comma 6, della L.R. n. 33 del 30 dicembre 2009 e ss. mm. ii. Pag.: 6/7

7 Documento firmato digitalmente da: Direttore Amministrativo Dott.ssa Maria Grazia Colombo, Direttore Sanitario Dott. Mauro Moreno, Direttore Socio Sanitario Dott.ssa Daniela Malnis, Direttore Generale Dott. Marco Salmoiraghi ai sensi delle norme vigenti D.P.R. n.513 del 10/11/1997, D.C.P.M. del 08/02/1999, D.P.R. n. 445 del 08/12/2000, D.L.G. Del 23/01/2002 Pratica trattata da: PierMauro Sala Dirigente/Responsabile proponente: PierMauro Sala Il presente atto si compone di n. 7 pagine. Pag.: 7/7