GESTIONE PRIVACY GESTIONE PRIVACY

Transcript

1 Pagina 1 di 9 1. SCOPO CAMPO DI APPLICAZIONE ABBREVIAZIONI, TERMINI E DEFINIZIONI RIFERIMENTI RESPONSABILITA E RUOLI PROCEDURA... 5 IL DOCUMENTO PROGRAMMATICO DELLA SICUREZZA VIENE PREDISPOSTO SEGUENDO LE INDICAZIONI DI SEGUITO RIPORTATE:... 8 A - ANALISI DELLA SITUAZIONE ALL INTERNO DELL AZIENDA OSP... 8 B - MISURE MINIME DI SICUREZZA ADOTTATE E DA ADOTTARE ALLEGATI E DOCUMENTI DI REGISTRAZIONE Allegato 1: LISTA DI DISTRIBUZIONE DELLA PROCEDURA... 9 Revis. Data Redazione Verifica Firma di Approvazione Descrizione 0 Gruppo di RSGQ prima emissione della lavoro Privacy procedura

2 Pagina 2 di 9 1. SCOPO La presente procedura definisce le responsabilità in merito al trattamento dei dati personali, affinché questo si svolga nel rispetto dei diritti e delle liberta' fondamentali, nonche' della dignita' dell'interessato, con particolare riferimento alla riservatezza, all'identita' personale e al diritto alla protezione dei dati personali. La procedura garantisce che il trattamento dei dati personali in Istituto e' disciplinato in modo che sia assicurato un elevato livello di tutela dei diritti e delle liberta' di cui sopra nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalita' previste per il loro esercizio da parte degli interessati, nonche' per l'adempimento degli obblighi da parte dei titolari del trattamento. 2. CAMPO DI APPLICAZIONE La presente procedura è applicata per la gestione del trattamento dei dati sensibili riferibili a: Pazienti e loro familiari Dipendenti 3. ABBREVIAZIONI, TERMINI E DEFINIZIONI Ai fini della presente procedura si intende per: a) "trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; b) "dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; c) "dati identificativi", i dati personali che permettono l'identificazione diretta dell'interessato; d) "dati sensibili", i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati,associazioni od organizzazioni a carattere religioso, filosofico,politico o sindacale, nonche' i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e) "dati giudiziari", i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualita' di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale; f) "titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalita', alle modalita' del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; g) "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;

3 Pagina 3 di 9 h) "incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; i) "interessato", la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali; l) "comunicazione", il dare conoscenza dei dati personali a uno o piu' soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; m) "diffusione", il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; n) "dato anonimo", il dato che in origine, o a seguito di trattamento, non puo' essere associato ad un interessato identificato o identificabile; o) "blocco", la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; p) "banca di dati", qualsiasi complesso organizzato di dati personali, ripartito in una o piu' unita' dislocate in uno o piu' siti; q) "Garante", l'autorita' di cui all'articolo 153, istituita dalla legge 31 dicembre 1996, n. 675, r) "misure minime", il complesso delle misure tecniche,informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31; s) "gruppo di lavoro per la Privacy", Formato dal Responsabile Aziendale per la Privacy, dai Responsabili per la Privacy, dal Responsabile dei Sistemi Informativi e da tecnici di settore provenienti dalle Strutture: ICT, Ingegneria Clinica e Gestione Risorse Umane, ritenendo in tale modo di raggruppare tutte le competenze necessarie per la gestione della tutela della privacy degli utenti e dei dipendenti. Si riunisce almeno due volte all anno. Ha il compito di elaborare e rivedere le procedure per la tutela della privacy, la relativa documentazione ed il DPS, ciascuno secondo le proprie competenze. 4. RIFERIMENTI ESTERNI d.lg. 30 luglio 1999 n. 281, articoli 8, comma 1, 11 e 12; d.lg. 30 giugno 2003 n. 196 INTERNI PRO-Q-02

4 Pagina 4 di 9 5. RESPONSABILITA E RUOLI Responsabilità Attività Commissario Straordinario Nomina Gruppo di lavoro Individua e nomina il Responsabile Aziendale per la Privacy Nomina, su proposta dei Direttori Scientifico, Sanitario ed Amministrativo che li individuano, i Responsabili della Privacy per le aree di competenza Gruppo di lavoro Privacy Esamina normativa Elabora Documento Programmatico Sicurezza Individua misure di sicurezza Si riunisce periodicamente ed occasionalmente per riesaminare mantenimento sicurezza Effettua il censimento di banche dati e misure sicurezza Verifica rispetto normativa Recepisce e diffonde le modifiche ed integrazioni alla vigente normativa Elabora la notifica al Garante Elabora i reclami e gli obiettivi Responsabile Aziendale Privacy Elabora piano di formazione per i Responsabili e gli Incaricati del trattamento dei dati Verifica rispetto normativa per quanto di sua competenza Effettua la notifica al Garante in quelle situazioni in cui le particolari modalità del trattamento o la natura dei dati personali facciano ritenere che sussistano rischi per la riservatezza o la dignità dell individuo Raccoglie ed archivia i documenti di registrazione in materia di privacy Responsabile ICT Elabora il DPS per la parte relativa alle proprie competenze Verifica rispetto normativa per quanto di sua competenza Responsabile Ingegneria Clinica Elabora la parte del DPS per la parte relativa alle proprie competenze (apparecchiature, software e banche dati connessi all utilizzo delle apparecchiature biomedicali) Responsabili trattamento dati Individuano incaricati trattamento dati e li comunicano al Responsabile per la Privacy

5 Pagina 5 di 9 Danno idonee Comunicazioni ai pazienti ed ai dipendenti in materia di Privacy Sono responsabili della verifica della raccolta del consenso pazienti/dipendenti e della conservazione dei documenti Incaricati trattamento dati Sono responsabili della raccolta del consenso pazienti / dipendenti Sono responsabili del trattamento dei dati sensibili per i fini e con i limiti stabiliti dai rispettivi Responsabili Sono nominati dai Responsabili per la Privacy con le modalità di seguito descritte 6. PROCEDURA RACCOLTA CONSENSO E GESTIONE RECLAMI E RICHIESTE DEGLI UTENTI consegna raccolta consenso fornisce informazioni compilato e lo inserisce in cartella (previa verifica) consegna e consenso aggiuntivo (studi clinici) per i ricoverati: fornisce copia consenso a portineria e caposal reclami sulla privacy trasmette reclamo a responsab ile az. Privacy gestisce il reclamo Personale amministrativo punto di accesso Segreteria di reparto Personale volontario Infermieri Tecnici

6 Pagina 6 di 9 Medici URP Resp. Privacy Aziendale Resp. Privacy Area RACCOLTA CONSENSO DIPENDENTI E GESTIONE RECLAMI DIPENDENTI consegna raccolta consenso fornisce informazioni compilato (e lo verifica) inserisce in cartella reclami/ric hieste informaz sulla privacy trasmette reclamo a responsabi le az. Privacy gestisce il reclamo Personale sanitario ed amministrativo Uff. Tutela Salute URP Resp. Privacy Aziendale Resp. Privacy Area

7 Pagina 7 di 9 GESTIONE DELLE NOMINE, DELLA INDIVIDUAZIONE DEGLI INCARICATI E DELLE INFORMAZIONI FORNITE NOMINA A RESPONSABILE INTERNO DEL TRATTAMENTO La legge prevede la possibilità di individuare, nell ambito dell organizzazione aziendale, uno o più soggetti cui l azienda (titolare del trattamento) delega le funzioni fondamentali ed i relativi poteri per la corretta attuazione degli obblighi di legge e per garantire l effettuazione di trattamenti leciti e conformi ai principi della stessa legge. La nomina è, tuttavia, facoltativa: spetta alla singola azienda valutare l opportunità di creare questa funzione aziendale. L XXXXX ha individuato più responsabili del trattamento all interno dell azienda (ripartendo funzioni e poteri per aree aziendali). I responsabili sono nominati a mezzo lettera predisposta dal Commissario Straordinario (MOD- PRO-Q-10-01), su proposta dei Direttori Scientifico, Sanitario ed Amministrativo. I responsabili, all atto della nomina, firmano per accettazione la lettera di incarico consegnata contestualmente alle istruzioni (MOD-PRO-Q-10-02) Il Responsabile per la Privacy custodisce ed aggiorna l elenco dei responsabili della Privacy per area (MOD-PRO-Q-10-07) La scelta dei responsabili è motivata dal possesso dei soggetti individuati delle competenze e della professionalità. In ogni caso il titolare del trattamento ha obbligo di vigilanza sull operato del responsabile. La nomina è deliberata dal soggetto titolare del relativo potere in base alle norme statutarie. ISTRUZIONI RESPONSABILE TRATTAMENTO Al responsabile del trattamento vengono forniti, oltre ad una adeguata formazione, le informazioni descritte nel dettaglio nell allegato MOD-PRO-Q DESIGNAZIONE E ISTRUZIONI AGLI INCARICATI Il Codice sulla privacy (art. 30) impone all azienda titolare del trattamento di designare gli incaricati del trattamento e di fornire a tutte queste persone incaricate del trattamento delle istruzioni scritte. La designazione e la definizione delle istruzioni viene compiuta dai responsabili per la privacy. Almeno una volta all anno il Responsabile deve verificare ed, eventualmente, aggiornare l elenco degli incaricati e dei relativi ambiti di trattamento consentiti (punti e 27 del disciplinare tecnico). La finalità di queste istruzioni scritte è quella di individuare gli specifici trattamenti che l incaricato può legittimamente effettuare conformemente alle proprie mansioni aziendali.

8 Pagina 8 di 9 Pertanto, le istruzioni devono contenere l individuazione delle banche dati cui l incaricato può accedere, la definizione delle finalità per le quali si effettuano i trattamenti, l eventuale ambito di comunicazione e/o diffusione all esterno. Inoltre, in forza degli specifici obblighi in materia di sicurezza imposti all azienda dal Codice e dal disciplinare allegato al Codice, è necessario dettare anche prescrizioni puntuali sulle misure di sicurezza adottate a tutela dei dati: queste misure dovranno essere osservate da ogni singolo incaricato. Dal punto di vista gestionale delle misure di sicurezza per i trattamenti informatici, le diverse mansioni (e,di conseguenza, le banche dati con le relative diverse finalità di trattamento) si concretizzano in un sistema di autenticazione all accesso del sistema informatico che prevede diversi profili di autorizzazione (punti e 14 del disciplinare tecnico). Le istruzioni possono essere nominative od anche per gruppi omogenei di lavoro o per funzioni aziendali (art comma e punti 15 e 27 del disciplinare tecnico); in caso di cambiamento di mansioni che comportino la variazione delle finalità del trattamento da svolgere o il mutamento dei data base accessibili, è necessario modificare le istruzioni scritte già fornite. Possono essere designate quali incaricati solo le persone fisiche. ELABORAZIONE E GESTIONE DEL DOCUMENTO PROGRAMMATICO SICUREZZA Il documento programmatico sulla sicurezza costituisce una sorta di manuale della sicurezza aziendale ai fini del trattamento dei dati personali tutelati dal Codice sulla privacy. Questo documento rappresenta una misura opportuna per analizzare la situazione all interno dell Istituto ed organizzare le procedure a garanzia della sicurezza nei trattamenti: tuttavia costituisce una misura minima da adottare obbligatoriamente e da aggiornare entro il 31 marzo di ogni anno (in base al punto 19 del disciplinare tecnico allegato al d.lgs. n. 196/2003). IL DOCUMENTO PROGRAMMATICO DELLA SICUREZZA VIENE PREDISPOSTO SEGUENDO LE INDICAZIONI DI SEGUITO RIPORTATE: A - ANALISI DELLA SITUAZIONE ALL INTERNO DELL AZIENDA OSP - Descrizione del sistema informatico dell AZ. Osp; - Analisi ed elenco dei trattamenti di dati personali; - Analisi ed elenco dei trattamenti di dati particolari ; - Struttura organizzativa funzionale al trattamento dati e singole responsabilità; - Analisi dei rischi e dei danni conseguenti; B - MISURE MINIME DI SICUREZZA ADOTTATE E DA ADOTTARE Procedure operative al fine di garantire la predisposizione delle misure minime di sicurezza previste dal Disciplinare Tecnico; Criteri tecnici ed organizzativi per la protezione delle aree e dei locali e procedure di controllo per l accesso; Criteri e procedure per assicurare l integrità e la disponibilità dei dati; Criteri e procedure per il ripristino dell accesso ai dati (Piano di Disaster Recovery); Criteri per garantire la predisposizione delle misure minime nel caso di trattamenti affidati all esterno della struttura aziendale; C - FORMAZIONE E ADEGUAMENTO DEL DOCUMENTO - Piani di formazione per gli incaricati del trattamento;

9 Pagina 9 di 9 - Programma di revisione ed adeguamento del documento. Il DPS è elaborato dal Gruppo di Lavoro per la Privacy, coordinato dal Responsabile per la Privacy, ed è sottoposto a revisione almeno annuale entro il mese di marzo. 7. ALLEGATI E DOCUMENTI DI REGISTRAZIONE Lista di distribuzione MOD-PRO-Q Lettera di Nomina Responsabile Privacy MOD-PRO-Q Istruzioni Responsabile Privacy MOD-PRO-Q Informativa al Paziente MOD-PRO-Q Raccolta Consenso Informato Paziente MOD-PRO-Q Designazione e istruzione incaricati MOD-PRO-Q Richiesta informazioni a URP MOD-PRO-Q Elenco Responsabili Privacy per area MOD-PRO-Q Informativa al dipendente e raccolta consenso informato 7.1 Allegato 1: LISTA DI DISTRIBUZIONE DELLA PROCEDURA Funzione - Ufficio Commissario Straordinario Direttore Scientifico Direttore Sanitario Direttore Amministrativo Numero copia controllata 1 - cartacea 2 - cartacea 3 - cartacea 4 - cartacea Firma per avvenuta ricezione Responsabili Privacy elettronica - intranet Tutti i dipendenti elettronica - intranet La distribuzione in forma controllata avviene attraverso la rete INTranet e avvisando a mezzo posta elettronica le funzioni individuate nella lista di distribuzione dell avvenuto inserimento o modifica del documento.