Il trattamento dei dati senza l ausilio di strumenti elettronici. Dott.ssa Priscilla Dusi Consulente Aziendale

Transcript

1 Il trattamento dei dati senza l ausilio di strumenti elettronici Dott.ssa Priscilla Dusi Consulente Aziendale

2 Il trattamento di dati personali senza l ausilio di strumenti elettronici Poiché i rischi di perdite, danneggiamento e comunicazione non autorizzata di dati personali sono presenti anche nel caso i dati non siano conservati in sistemi informativi, ma si trovino ad esempio archiviati su supporti cartacei, il disciplinare indica specifiche modalità tecniche da adottare, in caso di trattamento con strumenti diversi da quelli elettronici.

3 Il trattamento di dati personali senza l ausilio di strumenti elettronici Gli incaricati debbono ricevere delle istruzioni scritte, in grado di indicare le modalità di controllo e custodia dei documenti, su cui sono riportati i dati personali. Attenzione alle parole: per custodia si intende l impedire che terzi possano accedere indebitamente al documento o sottrarlo, mentre per controllo si intende che l interessato deve verificare l integrità e la completezza dei documenti trattati.

4 Il trattamento di dati personali senza l ausilio di strumenti elettronici Inoltre, nell ambito della filosofia di base del disciplinare, che prevede che ai dati personali accedano solo gli incaricati che ne hanno realmente bisogno, il titolare deve, almeno una volta l anno, effettuare una ricognizione di tutti i profili di accesso degli incaricati, per verificare se determinati privilegi di accesso sono ancora congrui con le mansioni svolte.

5 Il trattamento di dati personali senza l ausilio di strumenti elettronici Particolari cautele debbono essere prese quando i supporti, ad esempio cartacei, non sono conservati all interno degli archivi, ma vengono affidati agli incaricati, per svolgere operazioni di trattamento. In questo caso, i documenti debbono essere controllati e custoditi dagli incaricati fino alla restituzione ed al ritorno in archivio, in modo da impedire che i dati possano essere letti o fotocopiati da soggetti privi di autorizzazione.

6 Il trattamento di dati personali senza l ausilio di strumenti elettronici Il documento non indica le modalità con le quali gli incaricati debbono tenere sotto controllo e custodia questi documenti, ma è evidente che nelle istruzioni scritte, che verranno consegnate, dovranno essere indicate non solo le misure, ma dovranno anche eventualmente essere messi a disposizione appropriati strumenti di protezione, come ad esempio, armadi blindati, casseforti o, in casi meno critici, cassetti che possano essere chiusi a chiave.

7 Il trattamento di dati personali senza l ausilio di strumenti elettronici In pratica, il disciplinare prevede che questi dati su supporto non elettronico debbano essere tenuti per il massimo tempo possibile all interno degli archivi protetti, ed ogni qual volta vengono asportati, ci si accerti che le condizioni di controllo e custodia siano almeno di pari livello.

8 Il trattamento di dati personali senza l ausilio di strumenti elettronici Ecco la ragione per la quale il titolare ed il responsabile devono stabilire delle regole precise in merito all accesso agli archivi, facendo in modo che l accesso sia consentito solo a soggetti, il cui profilo di autorizzazione al trattamento dei dati sia congruo con le esigenze e le modalità di accesso.

9 Il trattamento di dati personali senza l ausilio di strumenti elettronici Nulla impedisce che vengano introdotti sistemi automatizzati di controllo dell accesso all archivio, ad esempio dotando gli incaricati di tessere magnetiche, che permettono di sbloccare la porta principale dell archivio e, successivamente, eventuali ulteriori armadi blindati, all interno dei quali siano conservate particolari categorie di dati sensibili.

10 Ricette mediche Come già detto ci sono diverse tipologie di ricette mediche: - RICETTE MEDICHE NON RIPETIBILI - RICETTE MEDICHE RIPETIBILI - RICETTE MEDICHE SPECIALI (per rilascio di medicinali stupefacenti) - RICETTE MEDICHE DEL SEVIZIO SANITARIO NAZIONALE (SSN) - RICETTE VETERINARIE

11 Ricette mediche non ripetibili Sono quelle ricette che dobbiamo trattenere al momento della vendita del medicinale e trattenere negli archivi cartacei per 6 mesi prima di distruggerle

12 Ricette mediche ripetibili Sono quelle ricette che generalmente hanno validità di sei mesi e possono essere utilizzate per 10 volte. In alcuni casi è il medico stesso che la rilascia che può decidere diverse durate di utilizzo. Questa tipologia di ricetta viene lasciata al cliente pertanto non è compito del farmacista archiviarla.

13 Ricette mediche speciali per rilascio di medicinali stupefacenti Anche queste dobbiamo trattenerle al momento della vendita del medicinale e conservate negli archivi cartacei per 2 anni prima di distruggerle

14 Ricette mediche del Servizio Sanitario Nazionale (SSN) Sono quelle ricette che, a norma di Convenzione (DPR 371/1998), non devono essere archiviate in farmacia bensì vanno consegnate all ASL competente.

15 Ricette veterinarie Le farmacie dovranno conservare copia cartacea anche di queste ricette. La durata dell archiviazione è di 5 anni prima di poterle distruggere

16 Ricette mediche Ricordiamo che le ricette cartacee non devono essere conservate tutte insieme nello stesso archivio. Ogni tipologia di ricetta necessita del proprio luogo sicuro dove conservarla e, come già detto in precedenza e quindi come saprete già, dal momento che si tratta di dati sensibili, gli archivi dovranno essere chiusi a chiave (armadi, cassetti, stanza dedicata) e solo le persone incaricate potranno accedervi

17 Suggerimenti per una prudente gestione di dati personali su supporto cartaceo La gestione dei dati personali abbondanza di documenti cartacei ha luogo spesso in proporzione significativa attraverso l impiego di schede, fascicoli e altri documenti tradizionalmente cartacei.

18 Suggerimenti per una prudente gestione di dati personali su supporto cartaceo qualche consiglio è necessario fornire una serie di consigli quali ad esempio: non lasciare nulla di incustodito Non lasciate mai incustoditi fascicoli, incartamenti, corrispondenza, schede o altri documenti che contengano dati personali o informazioni

19 Suggerimenti per una prudente gestione di dati personali su supporto cartaceo dati sensibili Se i dati da trattare rientrano tra quelli sensibili ai sensi dell articolo 22 della legge 675, non gettare via le copie cartacee non gettate mai via inappropriatamente copie cartacee di dati, informazioni, procedure, elenchi di soggetti, diagrammi di attività e altre informazioni la cui indebita diffusione possa avere conseguenza critiche per la vostra organizzazione.

20 Suggerimenti per una prudente gestione di dati personali su supporto cartaceo distruzione di documenti, elenchi e fascicoli Distruggete i fogli in maniera opportuna, possibilmente avvalendovi di apposite macchine tritacarte, e se fosse necessario mangiateli come nei film di spie e agenti segreti!

21 Suggerimenti per una prudente gestione di dati personali su supporto cartaceo distruzione delle fotocopie mal riuscite se sbagliate la fotocopia di un documento che contiene dati personali, se è storta, se è troppo scura o non si legge a sufficienza, non gettatela nel cestino prima di averla distrutta. rischio di trashing Esiste una tecnica di ricerca di informazioni chiamata trashing che si basa proprio sul ripescare documenti finiti nella spazzatura: una fotocopia che a noi non piace, può essere invece molto apprezzata da curiosi o malintenzionati.

22 Dati sanitari I dati sanitari vanno conservati in fascicoli separati. Il lavoratore assente per malattia, ad esempio, è tenuto a consegnare al proprio titolare un certificato senza la diagnosi ma con la sola indicazione dell inizio e della durata presunta dell infermità. Il datore di lavoro non può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia di infortuni o malattie professionali all Inail, il datore di lavoro deve limitarsi a comunicare solo le informazioni connesse alla patologia denunciata.

23 Dati sanitari I dati sanitari vanno conservati in fascicoli separati. Il lavoratore assente per malattia è tenuto a consegnare al proprio ufficio un certificato senza la diagnosi ma con la sola indicazione dell inizio e della durata presunta dell infermità. Il datore di lavoro non può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia di infortuni o malattie professionali all Inail, il datore di lavoro deve limitarsi a comunicare solo le informazioni connesse alla patologia denunciata.

24 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Mentre i dati personali custoditi nei sistemi informativi e all interno di archivi protetti sono ragionevolmente difesi da accessi illeciti, accade purtroppo spesso che le precauzioni adottate in fase di trasporto da un insediamento all altro non siano soddisfacenti.

25 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Può capitare assai spesso che documenti cartacei contenenti dati personali, anche sensibili, vengano inseriti in una busta e abbandonati sul sedile di un autovettura, talvolta lasciata incustodita anche per lungo tempo. Oppure tali dati possono essere inseriti in una borsa o cartella che rappresenta un attraente bersaglio per uno scippatore.

26 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO E le stesse preoccupazioni valgono per i dati inseriti in un PC portatile, che viene trasportato in giro per il mondo, talvolta lasciato incustodito nelle camere d albergo in condizioni tali che un soggetto interessato potrebbe estrarre da questo computer dati, che il Codice vuole siano tutelati con particolare attenzione.

27 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Per queste ragioni il Codice si preoccupa di dare specifiche indicazioni su come cd-rom, memory stick o altri supporti informatici, nonché i documenti su supporto cartaceo, vengano debitamente protetti in fase di trasporto.

28 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Nel caso di dati ad alto rischio, come i dati sensibili genetici, si prescrive perfino l utilizzo di un contenitore con serratura (ad esempio una borsa con chiusura protetta da una serratura a codice numerico o da chiave, oppure con altri accorgimenti, come una busta sigillata, che mette in immediata evidenza una possibile violazione.

29 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Indipendentemente dallo strumento specifico di protezione dei dati, è indispensabile che l incaricato che trasporta i dati, presti particolare attenzione non abbandonando mai i dati stessi ed accertandosi che essi non siano in alcun modo accessibili a terzi estranei.

30 Trasporto di dati personali RACCOMANDAZIONI RELATIVE AL TRASPORTO DI DATI PERSONALI SU SUPPORTO CARTACEO O INFORMATICO Tanto che il disciplinare di sicurezza impone che i dati trasferiti su supporto informatico, se particolarmente sensibili, debbano essere addirittura preventivamente cifrati con un algoritmo crittografico, in modo che un eventuale sottrazione non possa consentire al malvivente di venire a conoscenza dei dati stessi.

31 Altre raccomandazioni in fase di comunicazione ALTRE RACCOMANDAZIONI IN FASE DI COMUNICAZIONE DEI DATI PERSONALI E NELLE COMUNICAZIONI TELEFONICHE CONVENZIONALI Se un visitatore chiede di fare una telefonata, comporre personalmente il numero e solo dopo passare la cornetta al visitatore. Se vengono richiesti via telefono dati personali, accertarsi sempre che il richiedente abbia titolo a richiederli. In caso di dati sensibili o in circostanze particolari si valuti la possibilità di utilizzare mezzi più sicuri di comunicazione dei dati.

32 Altre raccomandazioni in fase di comunicazione ALTRE RACCOMANDAZIONI IN FASE DI COMUNICAZIONE DEI DATI PERSONALI E NELLE COMUNICAZIONI TELEFONICHE CONVENZIONALI Quando si devono comunicare dati personali via telefono ci si accerti che terzi estranei nelle vicinanze non possano udirli.

33 Altre raccomandazioni in fase di comunicazione ALTRE RACCOMANDAZIONI IN FASE DI COMUNICAZIONE DEI DATI PERSONALI E NELLE COMUNICAZIONI TELEFONICHE CONVENZIONALI Ricordare che le comunicazioni via telefono cellulare analogico ETACS sono facilmente intercettabili, mentre le comunicazioni via telefono cellulare digitale GSM sono protette crittograficamente. Prima di inviare a un corrispondente un fax con dati personali, ci si accerti che sia pronto a riceverli e che non vengano abbandonati presso la macchina ricevente, in attesa di essere rilevati.