Privacy. D. Lgs. 196/03 e regolamentazione interna. Dr. Mauro Vitacca

Transcript

1 Privacy D. Lgs. 196/03 e regolamentazione interna Dr. Mauro Vitacca

2 Disposizioni interne Regolamento aziendale di applicazione della normativa di cui al Decreto Legislativo 196/03 (normativa Privacy) e successive modifiche ed integrazioni. DIRAMM003 Disponibile sul Sito intranet

3 Trattamento qualunque operazione o complesso di operazioni svolte con o senza l ausilio di strumenti elettronici che concerne le operazioni di: Raccolta dati Registrazione Organizzazione Conservazione Consultazione Elaborazione Blocco Modificazione Utilizzo interconnessione Comunicazione Diffusione cancellazione Distruzione Selezione estrazione raffronto

4 Il dato personale e identificativo Il dato personale rappresenta qualunque informazione relativa a persona fisica, persona giuridica, Ospedale od associazione identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale dati identificativi: dati personali che permettono l'identificazione diretta dell'interessato Es. nome, cognome, denominazione sociale, indirizzo, , codice fiscale, partita iva, nr. c/c, nr. cellulare

5 Il dato sensibile I dati sensibili, ai sensi dell'art. 4 del D. Lgs. 196/03, sono quei dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione ai partiti, sindacati associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rilevare lo stato di salute e la vita sessuale dell'interessato Es. cartella clinica, certificato medico, busta paga con trattenuta sindacale

6 I dati giudiziari dati giudiziari: i dati personali idonei a rivelare provvedimenti in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale

7 Dati esclusivamente personali Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto all'applicazione del codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione. Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza dei dati di cui agli articoli 1 e 31

8 Comunicazione e diffusione Anche i dati non organizzati in un archivio sono soggetti alle norme sulla privacy Comunicazione: dare conoscenza a uno o più soggetti (escluso l interessato, il titolare, il responsabile e gli incaricati) in qualunque forma, anche solo lasciandoli a disposizione per consultazione Diffusione: dare conoscenza dei dati personali a soggetti indeterminati in qualunque forma, anche solo lasciandoli a disposizione per consultazione

9 Il trattamento dei dati I dati devono: Essere trattati in modo lecito e secondo correttezza Raccolti e registrati per scopi determinati, espliciti e legittimi ed utilizzati in altre operazioni di trattamento in termini compatibili con tali scopi Essere esatti e se necessario aggiornati Pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati Conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo no superiore a quello necessario agli scopi per i quali essi siano raccolti o successivamente trattati.

10 Il trattamento dei dati Il trattamento dei dati personali è ammesso con il consenso dell interessato (salvo eccezioni) Il trattamento dei dati sensibili è ammesso solo con il consenso scritto dell interessato e con la preventiva autorizzazione del Garante (sussistono autorizzazioni generali; es. trattamento dei dati sensibili nel rapporto di lavoro; autorizzazione al trattamento dei dati idonei a rilevare lo stato di salute e la vita sessuale)

11 Autorizzazione del Garante

12 Autorizzazione del Garante

13 Autorizzazione del Garante

14 Cessazione del trattamento dei dati In caso di cessazione i dati devono: Essere distrutti Ceduti ad altro titolare purché destinati ad altro trattamento coerente agli scopi per i quali sono stati raccolti conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti alla normativa comunitaria e ai codici di deontologia e di buona condotta

15 Non è richiesto il consenso (alcuni esempi) Quando è necessario ad adempiere un obbligo previsto dalla legge, da un regolamento o da una direttiva comunitaria È necessario per eseguire obblighi derivanti da un contratto del quale è parte l interessato per adempiere, prima della conclusione del contratto, a specifiche richieste dell interessato Riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque È necessario per la salvaguardia della vita o dell incolumità fisica di un terzo Esclusa la diffusione, è necessario ai fini delle investigazioni difensive o per far valere o difendere un diritto in sede giudiziaria È necessario in conformità ai rispettivi codici di deontologia per scopi scientifici o statistici, o per scopi storici presso archivi privati dichiarati di notevole interesse storico

16 Consenso al trattamento

17 Le figure coinvolte Titolare dei dati Responsabili del trattamento Incaricati al trattamento Gruppo per la privacy Referente aziendale per la privacy L interessato

18 Il titolare Il Titolare del trattamento è L Ospedale Villa Salus, nella figura del Direttore Generale Il Titolare provvede nei casi previsti dalla legge: ad assolvere l'obbligo di notificazione al Garante; a richiedere al Garante l'autorizzazione al trattamento dei dati sensibili, ove necessaria; ad adottare, per quanto di competenza, le misure necessarie a garantire la sicurezza dei dati personali; a nominare i Responsabili, e ad impartire loro le necessarie istruzioni per la corretta gestione e tutela dei dati personali, ivi compresa la salvaguardia della loro integrità e sicurezza; a verificare periodicamente l'osservanza dell'attività svolta dai Responsabili rispetto alle istruzioni impartite, anche con riguardo agli aspetti relativi alla sicurezza dei dati => AL FINE DI GARANTIRE LA SICUREZZA DEI DATI IL TITOLARE PUO IMPARTIRE LA DISPOSIZIONE DI REFERTARE CON STRUMENTI INFORMATICI E NON PIU CON MODALITA CARTACEA

19 Contitolari Soggetti che, unitamente al titolare, esercitano le decisioni in ordine alle finalità, modalità di trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo di sicurezza = potere reale

20 Responsabili del trattamento Area amministrativa, tecnica e di Staff: Il Direttore Amministrativo è il Responsabile del trattamento dei dati personali effettuato presso gli uffici/servizi da lui diretti. Il Responsabile del CED è il Responsabile del trattamento dei dati personali effettuato nell ambito delle attività di sua competenza. Area Sanitaria. Il Direttore Sanitario è Responsabile del trattamento dei dati personali effettuato presso la Direzione Sanitaria. I Responsabili delle Strutture Semplici e Complesse sono responsabili dei trattamenti effettuati all'interno delle medesime; La dirigente dei servizi infermieristici è il Responsabile del trattamento dei dati personali effettuato presso gli uffici/servizi da lei diretti.

21 Compiti dei responsabili I Responsabili del trattamento dei dati personali compiono tutto quanto è necessario per il rispetto delle vigenti disposizioni in tema di riservatezza I Responsabili, inoltre, collaborano con il Gruppo per la privacy provvedendo a: fornire le informazioni richieste; informare, tempestivamente, di tutte le questioni rilevanti ai fini del D. Lgs 196/03 comunicare l'inizio di ogni nuovo trattamento nonché la cessazione o la modifica dei trattamenti già in essere all'interno del proprio settore di competenza ai fini dell'aggiornamento dell'anagrafe dei trattamenti di dati personali aziendale

22 Incaricati tutti coloro che materialmente effettuano le operazioni di trattamento di dati. (in pratica ogni dipendente e ogni consulente) i Responsabili devono prescrivere che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria al trattamento (profilo di Autorizzazione)

23 Gruppo Privacy Direttore Sanitario che funge da Referente Aziendale per la Privacy con il compito di coordinare le attività del Gruppo Privacy Referente della Qualità Responsabile Sistemi Informativi Direttore Amministrativo Responsabile Ufficio Contabilità Bilancio e Convenzioni

24 Compiti del Gruppo Privacy (1) garantire al titolare il supporto nei rapporti con il Garante e nei rapporti con altri soggetti pubblici o privati per quanto riguarda gli adempimenti derivanti dalla normativa in materia; collaborare alla stesura del documento programmatico per la sicurezza dei dati; vigilare sull'osservanza del regolamento aziendale sulla privacy fornendo la necessaria consulenza in ordine alle problematiche in tema di riservatezza; tenere aggiornato il censimento dei trattamenti dei dati personali sensibili sulla base delle comunicazioni effettuate dai responsabili del trattamento;

25 Compiti del Gruppo Privacy (2) controllare, con la collaborazione degli uffici competenti, l esistenza e aggiornamento dell'elenco degli archivi cartacei e/o magnetici dei dati personali e/o sensibili custoditi a livello aziendale; controllare che venga tenuto ed aggiornato il basamento informativo aziendale, anche relativamente agli archivi cartacei; controllare l'aggiornamento della lista utenza; promuovere attività di formazione a livello aziendale in tema di normativa sulla riservatezza dei dati.

26 criteri per l esecuzione del trattamento dei dati personali (1) Il trattamento dei dati deve essere effettuato con modalità atte ad assicurare il rispetto dei diritti e della dignità dell'interessato. => UTILIZZO DEI NUMERI E NON DEI NOMI => ATTENZIONE ALL UTILIZZO DEI PIANI DI LAVORO DELLE ATTIVITA AMBULATORIALI (NO RICICLO CARTA) => NON LASCIARE IN POSTI ACCESSIBILI A TERZI CARTELLE CLINICHE, REFERTI, CARTELLE AMBULATORIALI, CARTELLE INFERMIERISTICHE, REGISTRI S.O. => CHIUDERE SOTTO CHIAVE LA DOCUMENTAZIONE SENSIBILE CON INDIVIDUAZIONE DEL RESPONSABILE DELL ARCHIVIO (IL RESPONSABILE ULTIMO RESTA SEMPRE IL RESPONSABILE DELLA UO/SERVIZIO)

27 criteri per l esecuzione del trattamento dei dati personali (2) Oggetto del trattamento devono essere i soli dati essenziali per svolgere attività istituzionali. => NON RACCOGLIERE DATI CHE NON SERVONO

28 criteri per l esecuzione del trattamento dei dati personali (3) I dati personali devono essere trattati in modo lecito raccolti e registrati per scopi determinati, espliciti e legittimi ed utilizzati in operazioni del trattamento in termini non incompatibili con tali scopi.

29 criteri per l esecuzione del trattamento dei dati personali (4) I Responsabili del trattamento sono tenuti a verificare periodicamente l'esattezza e l'aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite nei singoli casi, anche con riferimento ai dati che l'interessato fornisce di propria iniziativa. => NESSUN PROBLEMA PER TUTTE LE INFORMAZIONI (PERTINENTI) RIPORTATE IN CARTELLA CLINICA E AMBULATORIALE (rispetto delle finalità perseguite) => SBAGLIATO COPIARE SU ALTRI SUPPORTI CARTACEI E INFORMATICI DATI GIA INSERITI SU MEDRIS

30 criteri per l esecuzione del trattamento dei dati personali (5) Nei trattamenti è autorizzata solo l'esecuzione delle operazioni strettamente necessarie al perseguimento delle finalità per le quali il trattamento è consentito => ANCORA UNA VOLTA E SBAGLIATO COPIARE SU ALTRI SUPPORTI CARTACEI E INFORMATICI DATI GIA INSERITI SU MEDRIS

31 criteri per l esecuzione del trattamento dei dati personali (6) I trattamenti di dati effettuati utilizzando le banche dati di diversi titolari, sono utilizzati nelle sole ipotesi previste da espressa disposizione di legge.

32 criteri per l esecuzione del trattamento dei dati personali (7) I dati idonei a rivelare lo stato di salute e la vita sessuale sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedono il loro utilizzo.

33 Il consenso al trattamento dei dati Per le attività ambulatoriali il consenso è raccolto dagli operatori delle casse: la dichiarazione ha validità di un anno Per i ricoveri il consenso viene fato firmare e immesso in cartella clinica Il consenso è valido se: Espresso liberamente Dato in forma specifica (non riferito a trattamento generico per fini imprecisati) Preceduto da chiara informativa (che permetta la decisione con nozione di causa)

34 Diritti dell interessato (1) di conoscere, mediante accesso gratuito, l'esistenza di trattamenti di dati che possono riguardarlo; di essere informato su: gli estremi identificativi del Titolare e del Responsabile del trattamento; le finalità e le modalità del trattamento; l'eventuale ambito di comunicazione e diffusione;

35 Diritti dell interessato (2) di ottenere a cura del Titolare o del Responsabile, senza ritardo: a) la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intelligibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento; la richiesta può essere rinnovata, salva l'esistenza di giustificati motivi, con intervallo non minore di 90 giorni; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;

36 Diritti dell interessato (3) c) l'aggiornamento, la rettifica ovvero, qualora vi abbia interesse, l'integrazione dei dati; d) l'attestazione che le operazioni di cui ai punti b e c sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato; => CHI CUSTODISCE L ARCHIVIO DEI DATI (CARTACEO O INFORMATICO) FORNISCE LE INFORMAZIONI ALL INTERESSATO

37 Norme di comportamento generale (1) E compito dei Direttori Responsabili delle Unità Operative e del Poliambulatorio dare disposizioni volte a rispettare, nello svolgimento delle prestazioni ambulatoriali, così come nello svolgimento delle attività di reparto, un ordine di chiamata dei pazienti prescindendo dalla loro individuazione nominativa; E compito dei Direttori Responsabili delle Unità Operative predisporre soluzioni tali da prevenire, durante colloqui, l'indebita conoscenza da parte di terzi di informazioni idonee a rivelare lo stato di salute;

38 Norme di comportamento generale (2) E compito dei Direttori Responsabili delle Unità Operative predisporre soluzioni volte ad evitare che le prestazioni sanitarie, ivi compresa l'eventuale documentazione di anamnesi, avvenga in situazioni di promiscuità derivanti dalle modalità o dai locali prescelti; E compito di tutti gli operatori assicurare il rispetto della dignità dell'interessato in occasione della prestazione medica e in ogni operazione di trattamento dei dati;

39 Norme di comportamento generale (3) E compito di tutti i dipendenti attenersi alle procedure predisposte volte: ad assicurare le adeguate modalità per informare i terzi legittimati in occasione di visite sulla dislocazione degli interessati nell'ambito dei reparti, informandone previamente gli interessati e rispettando eventuali loro contrarie manifestazioni legittime di volontà; a prevenire nei confronti di estranei un'esplicita correlazione tra l'interessato e reparti o strutture, indicativa dell'esistenza di un particolare stato di salute;

40 Norme di comportamento generale (4) Vengono estesi a tutti i dipendenti i doveri inerenti il segreto professionale già regolato, per il personale sanitario, dalle norme di legge e dalle rispettive norme deontologiche. E dovere di ogni dirigente medico attenersi a quanto previsto dall art. 88 del D. Lgs. 196/03 utilizzando le apposite etichette da apporre ai ricettari fornite dalla Direzione Sanitaria.

41 Sicurezza dei dati Il concetto di sicurezza dei dati è caratterizzato da tre attributi del dato Integrità, Riservatezza, Disponibilità Sicurezza dei dati significa perciò la capacità di salvaguardare la riservatezza, l integrità e la disponibilità delle informazioni da rischi

42 Il dato, sia cartaceo che digitale, può assumere diversi stati: Formazione del dato Trattamento del dato Conservazione del dato Archiviazione del dato In ogni momento il dato è sottoposto a una serie di rischi che possono essere fisici e logici. Sicurezza del dato significa implementare procedure, organizzative e software, che permettano di abbassare il più possibile il tasso di rischio.

43 Rischi di tipo fisico Furto, danneggiamento o utilizzo improprio di apparecchiature; Copia o lettura indebita di dati e informazioni (cartacei e non); Perdita di dati e informazioni (cartacei e non); Manipolazione, alterazione e distruzioni di dati e informazioni (cartacei e non),

44 Rischi di tipo logico Rilevazione indebita di dati in transito sulla rete aziendale; Inserimento illegale di software Anomalie di funzionamento dei programmi Contagio a mezzo di virus o altro

45 Misure minime di sicurezza trattamento non informatizzato Previsione di procedure per un idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti Previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati

46 carta Suggerimenti per gestire la 1. Produrne poca 2. Conservarne di meno 3. Farsi una serie di domande e prevedere le adeguate soluzioni: Ci sono dati personali o sensibili? Sono dati indispensabili? Dove viene prodotto il documento? Dove viene temporaneamente conservato il documento? Chi accede al documento? Coloro che accedono al documento accedono a dei dati che non sono necessari per lo svolgimento del loro lavoro? Dove viene archiviato il documento? È conservato sotto chiave? Chi ha le chiavi? Sono identificabili le persone che hanno le chiavi? Come viene distrutto il documento? (DIRSAN005 Procedura per lo scarto del materiale d archivio)

47 Misure minime di sicurezza trattamento informatizzato Autenticazione informatica Adozione di procedure per la gestione delle credenziali di autenticazione Utilizzazione di un sistema di autorizzazione Aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici Protezione dei dati contro accessi non consentiti e determinati programmi informatici (antivirus) Aggiornamento almeno semestrale del software (antivirus) Salvataggio almeno settimanale dei dati Aggiornamento del DPS Protezione dei dati contro accessi abusivi (firewall) Adozione di tecniche di cifratura dei dati sensibili Adozione di procedura per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi

48 Il DPS CAPITOLO I INQUADRAMENTO STRUTTURALE E ORGANIZZATIVO 1. Inquadramento dei dati e modalità di trattamento 2. Elaborazione dell organigramma delle persone che hanno accesso ai dati 3. Descrizione dei ruoli e delle responsabilità di ciascun incaricato CAPITOLO II ANALISI DEI RISCHI 1. Rischi di distruzione o perdita intenzionale o accidentale 2. Rischi di violazione dell integrità dei dati 3. Rischi di accesso non autorizzato 4. Rischi connessi alla rete, ed al reimpiego dei supporti di sicurezza CAPITOLO III MISURE DI CONTENIMENTO DEL RISCHIO 1. Misure di prevenzione 2. Misure di contenimento e riduzione del danno 3. Misure atte a coprire patrimonialmente il danno (assicurazione) CAPITOLO IV CONTINGENCY PLANNING E DISASTER RECOVERY 1. Descrizione del piano di emergenza per consentire al titolare l immediata disponibilità dei dati danneggiati o perduti CAPITOLO V PROGRAMMA DI FORMAZIONE DEGLI INCARICATI 1. Formazione degli addetti (incaricati) CAPITOLO VI CAUTELE IN CASO DI AFFIDAMENTO A TERZI 1. Caso di affidamento della sicurezza ad una struttura esterna 2. Istruzioni analitiche da impartire al terzo 3. Istituzione dei controlli del rispetto delle istruzioni CAPITOLO VII MISURE PER TRATTAMENTO DATI SENSIBILI 1. Criteri per la cifratura o separazione dagli altri dati, per i dati personali sensibili (stato di salute, vita sessuale, origini razziali, opinioni politiche ecc.) CAPITOLO VIII PIANO DI VERIFICHE E AGGIORNAMENTO 1. Modalità di controllo e aggiornamento del DPS

49 Onere della sicurezza (1) Utilizzando gli strumenti informatici forniti dall Ospedale gran parte dell onere della sicurezza ricade sul Sistema Informativo Incaricati e Responsabili devono attenersi solo a quanto previsto da REGOLAMENTO DI ACCESSO AI SERVIZI DI RETE (CED001) MODALITA' DI CONSULTAZIONE ARCHIVIO INFORMATICO DOCUMENTI INTERNI (CED002) ISTRUZIONI PER L'ACCESSO ALLA INTRANET AZIENDALE (CED004) MANUALE DI UTILIZZO DELLA INTRANET AZIENDALE (CED006) ALTRE DISPOSIZIONI SPECIFICHE

50 Onere della sicurezza (2) Chi NON utilizza gli strumenti informatici di refertazione autorizzati dall Ospedale si assume l onere e la responsabilità della sicurezza dei dati prodotti e archiviati.

51 Onere della sicurezza (3) In particolare tutti gli utenti delle rete informatica Ospedaliera sono tenuti alla conservazione dei propri dati di accesso come previsto dal Regolamento CED0001. La responsabilità della gestione dei dati di accesso è personale. E fatto tassativo divieto di comunicare a terzi in qualsiasi caso i propri dati di accesso personali.

52 Sanzioni previste (illeciti civili) Art. 161 Assenza informativa privacy: Sanzione da a euro Assenza informativa privacy per dati sensibili o giudiziari: Sanzione da a euro

53 Sanzioni previste (illeciti penali) Art. 167 Trattamento illecito di dati personali: reclusione da 6 a 18 mesi Art. 169 Omessa adozione di misure necessarie alla sicurezza dei dati: Arresto fino a 2 anni (N.B. difficile dimostrare ad un giudice di non saper utilizzare un computer quando questo è lo strumento atto a garantire la sicurezza dei dati)