DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (D.P.S) D.Lgs. n 196 del 30 giugno 2003

Transcript

1 DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (D.P.S) D.Lgs. n 196 del 30 giugno Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 1

2 INDICE 1. GENERALITA PREMESSA SULL AZIENDA OSPEDALIERA SCOPO E CAMPO DI APPLICAZIONE PRINCIPALI RIFERIMENTI LEGISLATIVI, CONTRATTUALI E TECNICI STRUTTURA DEL DOCUMENTO GESTIONE DEL DOCUMENTO ACRONIMI E DEFINIZIONI CONTENUTI DEL DOCUMENTO ELENCO DEI TRATTAMENTI DI DATI PERSONALI ( ALL. B 19.1) ELENCO DEI TRATTAMENTI DESCRIZIONE DEI FLUSSI Trattamenti amministrativi Trattamenti di dati sensibili NATURA DEI DATI Tipologie di dati Dati Personali Dati identificativi Dati personali sensibili Dati genetici Dati giudiziari Dati anonimi OPERAZIONI STANDARD: OPERAZIONI PARTICOLARI Tipologia dei dati trattati dall Azienda Ospedaliera di Desenzano del Garda Dati personali: Dati sensibili: Dati giudiziari: Elenco dei trattamenti che riguardano le attività relative a: I SOGGETTI DEL TRATTAMENTO Titotale: Responsabili: Incaricati Interessati: DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITÀ NELL AMBITO DELLE STRUTTURE PREPOSTE AL TRATTAMENTO (19.2) TITOLARE DEL TRATTAMENTO RESPONSABILI DEL TRATTAMENTO DI DATI PERSONALI Competenze dei Responsabili del trattamento Esterni INCARICATI DEL TRATTAMENTO: GLI INTERNI ALLE STRUTTURE DEI RESPONSABILI RESPONSABILE DEI SISTEMI INFORMATIVI ANALISI DEI RISCHI CHE INCOMBONO SUI DATI (19.3) PREMESSA ANALISI DEL RISCHIO VALUTAZIONE DEL RISCHIO RISCHI DI MAGGIORE RILEVANZA E SOGLIE DI ACCETTABILITÀ VIDEOSORVEGLIANZA TELELAVORO/TELEREFERTAZIONE LE MISURE DA ADOTTARE PER GARANTIRE L INTEGRITÀ E LA DISPONIBILITÀ DEI DATI, NONCHÉ LA PROTEZIONE DELLE AREE E DEI LOCALI RILEVANTI AI FINI DELLA LORO CUSTODIA E ACCESSIBILITÀ (ALLEGATO B PUNTO 19.4) GESTIONE DEI DATI TRATTATI MEDIANTE STRUMENTI ELETTRONICI TUTELA FISICA DEGLI APPARATI COLLOCAZIONE DEI SERVER E DEGLI APPARATI DI RETE POLITICHE DI GESTIONE DEI GUASTI Sicurezza Logica Misure minime di sicurezza MISURE ULTERIORI DI SICUREZZA Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 2

3 7.6 POLICY AZIENDALE PER L USO DEI SERVIZI/APPLICAZIONI IN RETE User Id e Password Password di prima attivazione e password personale Scelta della password personale Riattivazione della password UTILIZZO DELLE POSTAZIONI DI LAVORO UTILIZZO DEI SERVIZI DI RETE Internet Posta Elettronica Applicazioni MISURE DI PROTEZIONE DA VIRUS INFORMATICI (MALICIUS CODE) Adempimenti in materia di amministratori di sistema Provvedimenti del 27 Novembre 2008, 12 Febbraio 2009 e 25 Giugno GESTIONE DEI DATI TRATTATI SENZA L AUSILIO DI STRUMENTI ELETTRONICI LA DESCRIZIONE DEI CRITERI E DELLE MODALITÀ PER IL RIPRISTINO DELLA DISPONIBILITÀ DEI DATI IN SEGUITO A DISTRUZIONE O DANNEGGIAMENTO DEGLI STESSI O DEGLI STRUMENTI ELETTRONICI (19.5) CRITERI E PROCEDURE PER GARANTIRE L INTEGRITÀ DEI DATI DOCUMENTAZIONE PROCEDURE DI BACKUP DELLE BASI DI DATI PRESENTI SUI SERVER Supporti utilizzati per le copie di backup Numero di copie di backup effettuate Tipologie e procedure automatizzate e/o programmate utilizzate Tabella riassuntiva dei Backup Aziendali PROCEDURE DI BACKUP DATABASE SQL E ORACLE PROCEDURA PER DISASTER RECOVERY MACCHINE SERVER IL SISTEMA PACS (PICTURE ARCHIVING AND COMUNICATION SYSTEM) Che cosa è un Pacs Criteri per garantire l integrità dei dati ed il loro backup Gestione utenti clienti Procedure ed aggiornamento e disaster recovery LA FORMAZIONE DEGLI INCARICATI (19.6) FORMAZIONE INTERNA FORMAZIONE PROGETTO CRS-SISS DESCRIZIONE DEI CRITERI DA ADOTTARE PER GARANTIRE L ADOZIONE DELLE MISURE MINIME DI SICUREZZA IN CASO DI TRATTAMENTO DI DATI PERSONALI AFFIDATI IN CONFORMITÀ AL CODICE, ALL ESTERNO DELLA STRUTTURA DEL TITOLARE (19.7) DATI PERSONALI IDONEI A RIVELARE LO STATO DI SALUTE E LA VITA SESSUALE DI CUI AL PUNTO 24, L INDIVIDUAZIONE DEI CRITERI DA ADOTTARE PER LA CIFRATURA O PER LA SEPARAZIONE DI TALI DATI DAGLI ALTRI DATI PERSONALI DELL INTERESSATO (19.8) ATTIVITA DA SVOLGERE NEL PROGETTO CRS-SISS DESCRIZIONE DEI TRATTAMENTI DI PROPRIA TITOLARITÀ MISURE DI SICUREZZA DA ADOTTARE IN CONFORMITÀ ALLA LEGGE E ALLA REGIONE Trattamenti interessati Responsabilità e Organizzazione di sicurezza Formazione incaricati interni alla A.O Gestione del Rischio Sicurezza Fisica Sicurezza Logica Log dei Dati Protezione dati sanitari Programmi pericolosi Procedura di backup/continuità del servizio Sicurezza della Connettività al CRS-SISS Controlli Verifiche e Audit CONTRIBUTO DEI RESPONSABILI DESIGNATI ALLEGATI AL DOCUMENTO REVISIONE E FIRMA DEL DOCUMENTO Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 3

4 1. GENERALITA 1.1 Premessa sull Azienda Ospedaliera L Azienda Ospedaliera di Desenzano del Garda, costituita con decorrenza 1 Gennaio 1998 (a seguito dell emanazione della Legge Regionale n. 31 del Luglio 1997 e della successiva Deliberazione del C.R. n. VI/472 del ) dall accorpamento dei Presidi Ospedalieri esistenti nelle ex Aziende USSL 17 di Salò e n. 19 di Leno, ha personalità giuridica di diritto pubblico ed è dotata di autonomia organizzativa, amministrativa, patrimoniale, contabile e tecnico gestionale. É Azienda Ospedaliera di rilievo regionale ai sensi della Legge Regionale n. 31/97. L Azienda Ospedaliera di Desenzano del Garda, di seguito per brevità denominata Azienda o AOD, ha la propria sede legale in Desenzano d/g (BS) in località Montecroce. Il Centro Direzionale Direzione Generale, ubicato in località Montecroce di Desenzano d/g, è la sede stabilmente organizzata per lo svolgimento delle funzioni aziendali di Direzione. Il Centro Direzionale, inteso come insieme delle funzioni di Direzione Strategica con i relativi uffici di staff, è attualmente ubicato in palazzine attigue all Ospedale di Desenzano d/g. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 4

5 Strutture dell Azienda sul territorio P Ospedale di Desenzano d/g: Località Montecroce, Desenzano d/g (BS) Ospedale Villa dei Colli di Lonato: Via Arriga Alta, Lonato (BS) Ospedale Civile La Memoria di Gavardo: Via Andrea Gosa, Gavardo (BS) Ospedale di Salò: Piazza Bresciani, Salò (BS) Ospedale di Manerbio: Via Marconi, Manerbio (BS) Ospedale di Leno: Via Donatori di Sangue, Leno (BS) Poliambulatorio di Gargnano: Via Repubblica, Gargnano (BS) Poliambulatorio Nozza di Vestone: Via Reverberi, Vestone (BS) Altre sedi minori dove sono ubicate le attività psichiatriche territoriali ed i punti prelievo aziendali. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 5

6 Topologia della Rete Aziendale: Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 6

7 1.2 Scopo e campo di applicazione Il presente Documento Programmatico sulla Sicurezza delle Informazioni (DPS), ha finalità prevalentemente di organizzare in maniera sistematica e coerente quanto disposto dalla normativa vigente, la politica Aziendale in materia di privacy, e della sicurezza del trattamento dei dati personali e sensibili. E lo strumento mediante il quale l Azienda Ospedaliera di Desenzano del Garda esprime la linea di condotta in materia di sicurezza, nel quadro delle vigenti normative nazionali: lo strumento finalizzato a consentire l efficacia degli interventi e l efficiente impiego delle risorse, sulla base delle disposizioni vigenti in materia di protezione di dati, nonché nel rispetto della dignità del cittadino; Il documento rispecchia non solo la politica dell Azienda, ma mira ad esserne una fedele riproduzione, ed è integrato da linee guida organizzative dell Azienda, da documenti e regolamenti dedicati e sviluppati dalla Direzione, dai Presidi, dai Dipartimenti e dalle singole Strutture; Nel documento si trovano inoltre, le indicazioni prescrittive sui livelli di sicurezza, le misure di sicurezza che devono essere adottati da parte del TITOLARE, dei RESPONSABILI e degli INCARICATI. Scopo quindi di questo documento è anche quello di stabilire i requisiti delle misure di sicurezza organizzative, fisiche e logiche da adottare nel corso del 2011, affinché siano rispettati gli obblighi in materia di sicurezza previsti dal D. lgs. 196/2003 sulla protezione dei dati personali. Il documento è emesso dal Legale Rappresentante dell Azienda Ospedaliera di Desenzano del Garda in qualità di TITOLARE dei trattamenti e deve essere osservato da tutti coloro che trattano i dati di relativa pertinenza. Il contenuto del documento deve, per le parti di competenza, essere comunicato dai rispettivi Responsabili a tutto il personale INCARICATO del trattamento. Eventuali situazioni di deviazione accertate rispetto a quanto precisato nel presente documento dovranno essere poste a norma nel più breve tempo possibile. 1.3 Principali riferimenti legislativi, contrattuali e tecnici Con il Decreto legislativo 30 giugno 2003, n. 196 è stato emanato il Testo Unico denominato Codice in materia di protezione dei dati personali. Il provvedimento riunisce in unico contesto la legge 675/1996 e gli altri decreti legislativi, regolamenti e codici deontologici, che si sono succeduti in questi anni, e contiene anche importanti innovazioni che tengono conto dei numerosi pareri del Garante sulla protezione dei dati personali e della direttiva UE 2002/58 sulla riservatezza nelle comunicazioni elettroniche. Il Codice, entrato in vigore quasi integralmente il 1 gennaio 2004, ha sostituito la Legge n. 675 del 31 dicembre 1996 "Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali" e molte disposizioni di legge e di regolamento. Infatti, l art. 183 del Codice elenca una serie di disposizioni di legge e di regolamento abrogati dalla data entrata in vigore del medesimo (1 gennaio 2004), tra le quali: la stessa Legge n. 675/1996 e successive modificazioni; il Decreto Legislativo n. 135/1999 Disposizioni integrative della L. 31 dicembre 1996, n. 675, sul trattamento di dati sensibili da parte dei soggetti pubblici ; il Decreto Legislativo n. 282/1999 Disposizioni per garantire la riservatezza dei dati personali in ambito sanitario ; il D.P.R. n. 318/1998 Regolamento recante norme per l'individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell'articolo 15, comma 2, della L. 31 dicembre 1996, n Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 7

8 Il Codice è diviso in tre parti: la prima dedicata alle disposizioni generali, riordinate in modo tale da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato; la seconda è la parte speciale dedicata a specifici settori: questa sezione, oltre a disciplinare aspetti in parte inediti (informazione giuridica, notificazioni di atti giudiziari, dati sui comportamenti debitori), completa anche la disciplina per il settore degli organismi sanitari e quella dei controlli a distanza sui lavoratori riaffermando quanto previsto dall art. 4 dello Statuto dei Lavoratori. In particolare, ai trattamenti di dati personali in ambito sanitario sono specificamente dedicati gli articoli da 75 a 94; la terza affronta la materia delle tutele amministrative e giurisdizionali con il consolidamento delle sanzioni amministrative e penali e con le disposizioni relative all'ufficio del Garante. L ALLEGATO B-Disciplinare tecnico in materia di misure minime di sicurezza- dispone che entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige, anche attraverso il responsabile, se designato, un Documento Programmatico sulla Sicurezza (DPS) contenente idonee informazioni sui punti dettagliatamente previsti dall Allegato B. Il Documento Programmatico Sulla Sicurezza (DPS) definisce quindi la Politica Aziendale in materia di privacy e le Misure di sicurezza approntate dall Ente per garantire il livello minimo di garanzia nel trattamento dei dati personali. Il DPS, da custodirsi presso la sede dell Azienda Ospedaliera di Desenzano del Garda, deve essere oggetto di rinnovo entro il 31 marzo di ogni anno. Detto Documento deve essere conosciuto ed applicato dal Titolare, dal Responsabile se designato, dagli Incaricati, ciascuno secondo le proprie competenze. Vista la normativa in materia di trattamento di dati personali ed in particolare: il Decreto legislativo 30 giugno 2003 n. 196 (Codice in materia di protezione dei dati personali) con particolare riferimento al suo allegato B denominato: Disciplinare tecnico in materia di misure minime di sicurezza; Il Regolamento Regionale del 18 luglio 2006 n 9. Regolamento per il trattamento dei dati sensibili e giudiziari di competenza della Giunta Regionale, delle Aziende Sanitarie, degli enti e delle agenzie regionali, degli enti vigilanti della Regione Lombardia. (pubblicato nel B.U.R.L. 2 supplemento Ordinario al n luglio 2006) Il Decreto del Direttore Generale n 475 del 25 maggio 2009, avente per oggetto aggiornamento elenco e conseguenti nomine dei Responsabili e sostituti del trattamento dei dati personali dell Azienda Ospedaliera di Desenzano Anno 2009 (Area tecnico-amministrativa-professionale); Il Decreto del Direttore Generale n 476 del 25 maggio 2009, avente ad oggetto aggiornamento elenco e conseguenti nomine del Responsabili del trattamento dati personali dell Azienda Ospedaliera di Desenzano Anno 2009 (Area medica e sanitaria non medica); Decreto del Direttore Generale in cui si approva annualmente entro il 31 marzo il presente Documento Programmatico sulla Sicurezza. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 8

9 Al fine di ottemperare alla normativa ora richiamata L Azienda Ospedaliera di Desenzano del Garda, in persona del Titolare del trattamento dati, redige il Documento Programmatico Sulla Sicurezza (DPS) 1.4 Struttura del documento Per rispondere alla complessità delle relazioni e per assecondare la distribuzione di responsabilità tra i soggetti coinvolti nel trattamento, questo Documento Programmatico sulla Sicurezza (DPS), redatto a cura del TITOLARE, risulta strutturato come segue: Il Documento Programmatico sulla sicurezza contiene idonee informazioni riguardo: L elenco dei trattamenti di dati personali; La distribuzione dei compiti e delle responsabilità; L analisi dei rischi che incombono sui dati; Le misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevati ai fini della loro custodia e accessibilità; La descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; La previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; La descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare; Per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato. 1.5 Gestione del documento Il presente documento è valido per un anno. Trascorso tale termine, e comunque ad ogni variazione nel numero di RESPONSABILI il documento sarà oggetto di revisione per adeguarlo, sia alle variazioni nel numero di RESPONSABILI, che ad eventuali variazioni del livello di rischio a cui sono soggetti i dati personali o ad eventuali modifiche della tecnologia informatica. 1.6 Acronimi e definizioni Per una migliore leggibilità del documento di seguito si riportano le definizioni e gli acronimi maggiormente utilizzati. Le fonti da cui tali definizione/acronimi provengono sono principalmente il Testo Unico della Privacy (TUP) TERMINE/ACRONIMO Auditing di sicurezza Autenticazione Credenziale Dato personale DESCRIZIONE E un esame, generalmente condotto da seconde o terze parti, del sistema di gestione della sicurezza di un organizzazione per verificarne l efficacia nel tempo. Processo secondo il quale un Utente fa uso di una credenziale per convalidare la propria identità. Informazione conosciuta o posseduta unicamente da colui che ne è intestatario Qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 9

10 TERMINE/ACRONIMO Dati sensibili DPS Identificazione TITOLARE RESPONSABILE INCARICATO Ruolo Sicurezza fisica (misure per la) Sicurezza logica (misure per la) Utente DESCRIZIONE Dati personali idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico, sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Documento Programmatico sulla Sicurezza Processo secondo il quale un Utente dichiara la propria identità. TITOLARE del trattamento dati Responsabile trattamento dati nominato dal TITOLARE INCARICATO del trattamento dati. Per ruolo si intende una informazione composta da: mansione svolta (definita anche come ruolo applicativo ); contesto organizzativo nel quale si presta l attività (cosiddetto contesto funzionale ) Si intendono quelle per contrastare: furto o danneggiamento delle apparecchiature informatiche diffusione o distruzione non autorizzata di informazioni personali interruzione dei processi informatici. Si intendono quelle per controllare l autorizzazione all accesso alle informazioni. In questo documento con il termine Utente si indica genericamente il personale di qualsiasi struttura ed organizzazione che, per compiere il proprio lavoro, accede al sistema informatico. Il termine utente, per una migliore precisazione, può essere sostituito da: Operatore, per indicare l operatore sociosanitario (es. medici e dirigenti di strutture socio-sanitarie, che quindi sono in grado di effettuare prescrizioni e accedere ai dati del paziente) Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 10

11 1.7 Contenuti del Documento L Azienda Ospedaliera di Desenzano del Garda, adotta il presente documento, in ottemperanza del punto 19 del Disciplinare Tecnico (allegato B), per descrivere la propria politica di sicurezza in materia di trattamento di dati personali ed i criteri organizzativi per la loro attuazione. Il Documento Programmatico sulla sicurezza contiene idonee informazioni riguardo: L elenco dei trattamenti di dati personali; La distribuzione dei compiti e delle responsabilità;l analisi dei rischi che incombono sui dati; Le misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevati ai fini della loro custodia e accessibilità; La descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; La previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; La descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare; Per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato. 2. ELENCO DEI TRATTAMENTI DI DATI PERSONALI ( ALL. B 19.1) Vista la normativa in materia di trattamento di dati personali, ai fini della stesura dei punti riguardanti il Documento Programmatico sulla Sicurezza in base a quanto stabilito dal: Del D.Lgs. 196 del 30/06/2003 Dell allegato A (Codici di Deontologia) Dell allegato B (disciplinare Tecnico in materia di misure minime di sicurezza) Dal Regolamento Regionale per il trattamento dei dati sensibili e giudiziari Si definisce l elenco dei trattamenti relativi alle operazioni sotto indicate poste in essere dall Azienda Ospedaliera di Desenzano del Garda, come indicato all interno dell allegato B del Codice in materia di trattamento dei dati. Ai fini di una più specifica individuazione, l elenco dei trattamenti è stato suddiviso in Operazioni Standard e Operazioni Particolari. 1) Trattamenti per finalità amministrative: l Azienda acquisisce i dati relativi alle prestazioni da questi erogate a beneficio dei clienti, in modo da adempiere ai propri compiti istituzionali. La stessa agisce come TITOLARE dei trattamenti dei dati per le proprie finalità amministrative; 2) Trattamenti per finalità sanitarie: gli operatori sanitari sono messi in grado, se e quando necessario e solamente su autorizzazione esplicita di un dato paziente, di scambiarsi i dati sanitari relativi a detto paziente ai fini di prevenzione e terapia. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 11

12 2.1 Elenco dei trattamenti Descrizione dei Flussi Trattamenti amministrativi I flussi nell'ambito dei trattamenti amministrativi e sanitari interessano gli operatori sanitari, tecnici e amministrati. Si premette che: qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali; nel trattare i dati il soggetto pubblico osserva i presupposti e i limiti stabiliti dal Codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti; salvo quanto previsto nella parte II del Codice (cioè dagli articoli 75 a 94 ) per gli esercenti le professioni sanitarie e gli organismi sanitari pubblici, i soggetti pubblici non devono richiedere il consenso dell interessato. si osservano le disposizioni di cui all'articolo 25 del Codice in tema di divieto di comunicazione e diffusione. I dati relativi agli eventi (erogazioni di prestazioni) sono archiviati nella banca dati del Dominio Centrale mantenendo una completa separazione fisica e logica tra i dati sanitari ed i dati anagrafici e gestendo i flussi dei dati in forma cifrata e firmati elettronicamente. Può accedere al dettaglio di una posizione solamente un Utente che già risulti abilitato ad accedere ai dati in funzione del suo ruolo ricoperto nella organizzazione socio sanitaria (es. funzionario dell Azienda Ospedaliera addetto alle pratiche di esenzione alla spesa sanitaria). L'accesso è consentito pertanto a tali Utenti abilitati a seguito di un processo di autenticazione e autorizzazione Trattamenti di dati sensibili I flussi nell'ambito dei trattamenti di dati relativi allo stato di salute, interessano molti operatori dell Azienda ( es. medici, dirigenti sanitari, infermieri) i quali sono in grado di scambiarsi i dati di un paziente su espressa autorizzazione di quest'ultimo. I trattamenti relativi ai flussi sono autorizzati dal cittadino tramite l'espressione del consenso scritto. Per quanto riguarda l ambito sanitario, il Codice semplifica l'informativa da rilasciare ai pazienti e consente di manifestare il consenso al trattamento dei dati idonei a rivelare lo stato di salute con un'unica dichiarazione resa al medico di famiglia o all'organismo sanitario (il consenso vale anche per la pluralità di trattamenti a fini di salute erogati da distinti reparti e unità dello stesso organismo, nonché da più strutture ospedaliere e territoriali). L art. 82 disciplina i casi in cui l informativa e il consenso possono essere dati anche dopo la prestazione. Una norma transitoria - art. 181, comma 1, lettera e - stabilisce che per i trattamenti iniziati prima del gennaio 2004 le modalità semplificate per l'informativa e la manifestazione del consenso, ove necessario, possono essere utilizzate dal medico di medicina generale, dal pediatra di libera scelta e dagli organismi sanitari anche in occasione del primo ulteriore contatto con l'interessato, al più tardi entro il 30 settembre Per il settore sanitario vengono inoltre codificate misure per il rispetto dei diritti del paziente: distanze di cortesia niente appelli nominativi dei pazienti in sala di attesa certezze e cautele nelle informazioni telefoniche e nelle informazioni sui malati ricoverati estensione delle esigenze di riservatezza anche agli operatori sanitari non tenuti al segreto professionale (art.83). Viene introdotta la possibilità di non rendere immediatamente identificabili in farmacia gli intestatari di ricette relative a medicinali a carico del Servizio Sanitario Nazionale (art. 87). A questo riguardo, la disposizione transitoria sopra citata - art. 181, comma 1, lettera f - rende obbligatorio a decorrere dall l utilizzo dei modelli di cui all art. 87, comma 2 (modello cartaceo per le ricette di medicinali a carico totale o parziale del SSN, integrato da un tagliando unito ai bordi delle zone predisposte per l indicazione delle generalità e dell indirizzo dell assistito che consenta la visione dei dati solo con una momentanea separazione nei casi consentiti). L art. 88 disciplina le prescrizioni di medicinali non a carico del SSN. L art. 89 fa salva l applicazione delle disposizioni che prevedono il rilascio di ricette che non identificano l interessato o recanti particolari annotazioni, comprese quelle contenute nel D.L. n. 123/1998, convertito in L. n. 94/1998, recante Disposizioni urgenti in materia di sperimentazioni cliniche in campo oncologico e altre misure in materia Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 12

13 sanitaria (l art. 5 di tale D.L. disciplina la prescrizione di preparazioni magistrali). Lo stesso art. 89 contiene un ulteriore disposizione sulla conservazione delle ricette nei casi in cui deve essere accertata l identità dell interessato ai sensi del T.U. in materia di stupefacenti e sostanze psicotrope. Per i dati genetici viene previsto il rilascio di un'apposita autorizzazione da parte del Garante, sentito il Ministro della salute. Gli articoli da 91 a 94 disciplinano il trattamento di dati idonei a rivelare lo stato di salute mediante carte, le modalità di conservazione e di accesso alle cartelle cliniche, il certificato di assistenza al parto, il trattamento di dati idonei a rivelare lo stato di salute contenuti in banche dati, registri, e schedari. 2.2 Natura dei dati Tipologie di dati I dati cui si riferisce il Codice si distinguono in: Dati personali Dati identificativi Dati personali sensibili Dati giudiziari Dati anonimi Dati Personali Il dato personale è qualsiasi informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale Dati identificativi Il dati identificativo è il dato personale che permette l identificazione diretta dell interessato Dati personali sensibili Il dato personale sensibile è il dato personale idoneo a rivelare l origine razziale, ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale Dati genetici Il dato che, indipendentemente dalla tipologia, riguarda la costituzione genotipica d un individuo, ovvero i caratteri genetici trasmissibili nell ambito di un gruppo di individui legati da vincoli di parentela Dati giudiziari Il dato giudiziario è il dato idoneo a rivelare provvedimenti di cui all articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale Dati anonimi Il dato anonimo è il dato che in origine, o a seguito del trattamento, non può essere associato ad un interessato identificato o identificabile. Ai fini di una più specifica individuazione, l elenco dei trattamenti è stato suddiviso in: Operazioni Standard Operazioni Particolari. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 13

14 2.3 Operazioni standard: Raccolta (acquisizione verbale e/o documentale diretta o indiretta, acquisizione informatica da archivi regionali o da altri soggetti esterni) Elaborazione diretta Registrazione Aggregazione Organizzazione Consultazione Modificazione Selezione Estrazione Raffronto Utilizzo Diffusione Trasformazione in forma anonima Blocco accesso Conservazione Distruzione Cancellazione 2.4 Operazioni particolari Interconnessioni con altri trattamenti o archivi: Aziende Sanitarie e Ospedaliere, Uffici territoriali del Governo, Comuni, Ministero della Salute, ISTAT, Albo Professionale Infermieristico, Albo Medici Provinciale, Inail, Inpdap, Regioni e Province, Centro Nazionale Trapianti, Registro Mondiale dei Trapianti, Istituto Superiore della Sanità, Amministrazione Penitenziaria, Ministero della Giustizia, Archivi prestazioni (schede SIDI Modelli ISSAD, anagrafe regionale assistiti, Registro Tumori, Registro donatori organi, Registro paralisi flaccide acute). Comunicazioni di dati con interessato identificabile: Esercenti la patria potestà, Enti previdenziali, Autorità Giudiziaria, Organi di controllo, Organizzazioni sindacali, Dipartimento Funzione Pubblica, Forze dell ordine, Compagnie di assicurazione, M.T.C., Centri Regionali per l impiego, Fornitori Tipologia dei dati trattati dall Azienda Ospedaliera di Desenzano del Garda Dati personali: Dati relativi a persone fisiche e persone giuridiche in rapporto con l Azienda, dati relativi a denuncie, dati relativi al personale dipendente, dati relativi al personale con contratti di collaborazione, a tempo determinato e studenti Dati sensibili: Dati idonei a rivelare patologie descritte nel registro nazionale delle malattie rare e/o in quelli regionali; dati idonei a rilevare la gravità o il decorso del quadro clinico delle patologie genetiche; dati idonei a identificare malattie ereditarie; dati relativi alle malformazioni congenite; dati idonei ad accertare maternità e paternità; dati relativi a indagini epidemiologiche; dati relativi a indagini sulla popolazione; dati idonei a rivelare: stato di salute, malattie mentali, la vita sessuale, malattie infettive e diffusive, lo stato di sieropositività, lo stato di AIDS conclamato, lo stato di disabilità,; dati relativi all utilizzo di particolari ausili protesici, a fenomeni epidemiologici, a esiti diagnostici e programmi terapeutici, alla prenotazione di esami clinici e visite specialistiche, a prescrizioni farmaceutiche e cliniche; dati idonei a rivelare l identità del donatore e del ricevente; dati desumibili da: cartelle cliniche di ricovero, schede di dimissione ospedaliera, certificazione di assistenza al parto, archivi di attività diagnostico/terapeutiche, multiterapia Di Bella, certificazioni di morte, registri e documenti relativi alle sperimentazioni cliniche, accertamenti relativi all idoneità lavorativa, gestione reclami; dati idonei a rivelare caratteristiche religiose e di opinione; schede personali relative all iscrizione ai sindacati. Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 14

15 - Procedure del Servizio Qualità dell Azienda Ospedaliera di Desenzano relative ai dati sensibili: PT 01 SGQ 02 Modalità di gestione dei moduli e degli stampati 03 CARTACEO SGQR 03 Documentazione sanitaria fornita dal paziente 03 Intranet PT 01 SGQ 03 Gestione della Cartella Clinica 05 Intranet PT 03 SGQ 03 PT 04 SGQ 03 Archiviazione, conservazione e consegna della documentazione a rilievo sanitario Gestione delle Cartelle Cliniche in caso di annullamento del ricovero o modifica del nome 03 Cartaceo 01 Intranet PT 05 SGQ 03 Controllo delle SDO presso i Presidi aziendali 02 Intranet PT 06 SGQ 03 Linee guida e modalità operative per una corretta gestione del ricovero ospedaliero 01 Intranet PT 08 SGQ 03 Adempimenti connessi con le nascite/parti in ospedale 02 Cartaceo PT 10 SGQ 03 Modalità di gestione del colloquio con il paziente, rilascio del Consenso Informato e trattamento dei dati personali 03 Intranet PG Accettazione Amministrativa del ricovero 04 Intranet PT 02 della PG Processo di prenotazione, accettazione e registrazione degli utenti ambulatoriali 00 Intranet Dir. San. Az. PT 17 Accoglienza ospedaliera donne vittime di violenza 00 Intranet Dir. San. Az. PT 19 Gestione del trasporto intraospedaliero del paziente 00 Intranet SITRA PT 03 Gestione processo cartella infermieristica 00 Intranet Dati giudiziari: Contenzioso, atti relativi ad indagini, ovvero tutti quei dati personali idonei a rivelare provvedimenti di cui all art. 3 comma 1, da a) a o) e da r) a u) del D.P.R. 14 novembre 2002, n 313 in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative, dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli art. 60 e 61 del codice di procedura penale Elenco dei trattamenti che riguardano le attività relative a: Assistenza Sanitaria collettiva in ambiente di lavoro 1. Tutela dai rischi infortunistici e sanitari connessi con gli ambienti di vita e di lavoro 2. Profilassi specifica delle malattie infettive e diffusive: vaccinazioni 3. Rilevazione reazioni avverse a vaccino 4. Denuncia obbligatoria delle malattie infettive e diffusive e delle tossinfezioni alimentari 5. Programmi di diagnosi precoce 6. Continuità assistenziale Ospedaliera (guardia medica notturna e festiva) Assistenza Territoriale 7. Riconoscimento del diritto all esenzione per patologia/invalidità e gestione archivio esenti 8. Attività medico legale 9. Assistenza protesica (come specialisti prescrittori ortopedia- fisiatria) 10. Assistenza domiciliare programmata e integrata Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 15

16 Attività trasversali 11. Emergenza territoriale: 118, pronto soccorso 12. Attività fisica e sportiva 13. Assistenza specialistica ambulatoriale e riabilitazione 14. Promozione e tutela della salute mentale 15. Materno infantile (compresi particolari registri e/o certificazioni, quali: IVG, aborti spontanei, nascite, assistenza al parto) 16. Assistenza farmaceutica ospedaliera 17. Sperimentazione clinica dei medicinali 18. Farmacovigilanza 19. Autorizzazione alla importazione dei farmaci non registrati in Italia per utilizzo su singolo paziente 20. Erogazione a totale carico del Servizio sanitario nazionale, qualora non vi sia alternativa terapeutica valida, di medicinali inseriti in apposito elenco predisposto dalla Commissione Unica del Farmaco 21. Malattie rare 22. Assistenza sanitaria ai detenuti (occasionale) 23. Attività medico-legale inerente l istruttoria delle richieste di indennizzo per danni da vaccinazioni obbligatorie, trasfusioni e somministrazione di emoderivati 24. Attività medico-legale inerente l accertamento dell idoneità in ambito di diritto al lavoro (assunzione nel pubblico impiego; idoneità allo svolgimento di mansioni lavorative; controllo dello stato di malattia di dipendenti pubblici e privati) 25. Consulenze e pareri medico-legali in tema di colpa professionale, causa di servizio, informazione e consenso 26. Attività medico-legali in ambito necroscopico 27. Registri e studi epidemiologici 28. Gestione del rapporto di lavoro con il personale dipendente 29. Promozione e tutela della salute del cittadino 30. Registro dichiarazioni donatori di organi 31. Attività di controllo per paralisi flaccide acute (poliomeliti) Direzione Generale Ha l obbiettivo di assolvere i compiti di indirizzo strategico, coordinamento e integrazione e controllo attraverso strutture professionali specializzate coordinate dalle due Direzioni Aziendali (Amministrativa e Sanitaria) Il Direttore Generale è il Titolare della funzione di organizzazione e di Indirizzo. I poteri spettanti al Direttore Generale sono quello occorrenti per la responsabilità della gestione complessiva e per la nomina dei Responsabili della Strutture Operative. Per l assolvimento delle diverse funzioni e responsabilità assegnate. Nello specifico: Dati relativi al servizio di prevenzione e protezione, dati relativi al personale dipendente e dati personali relativi a persone fisiche e personale giuridiche in rapporto con l Azienda, nonchè tutte le tipologie di dati personali e sensibili necessari all espletamento della funzione di Direzione in relazione a fini specifici. Direzione Sanitaria Ha il compito di partecipare alla Direzione dell Azienda assumendo diretta responsabilità alle funzioni attribuite alla propria competenza e concorre laddove previsto e richiesto alla formazione delle decisioni della Direzione Generale. Svolge inoltre una funzione di indirizzo e controllo operativo di organizzazione e sviluppo delle risorse umane, assicurando appropriate comunicazioni tra la Direzione Generale e le strutture Operative di afferenza. Nello specifico: gestione dati personali e sensibili relativi ai ricoveri ospedalieri, prestazioni ambulatoriale e psichiatria, comitato etico, comitato trasfusionale ospedaliero per il buon uso del sangue, Comitato Infezioni Ospedaliere, risk management. Dati relativi al personale dipendente appartenenti al servizio infermieristico-tecnico e riabilitativo aziendale. Direzione Amministrativa Ha l obiettivo di dirigere i servizi amministrativi dell Azienda e fornisce un parere di legittimità su tutti gli atti amministrativi. Fornisce supporto al Direttore Generale nella definizione e realizzazione degli obiettivi assegnati dalla Regione, verifica la rispondenza ai principi di efficacia efficienza ed economicità degli atti aziendali, e la loro conformità alle leggi vigenti. Nello specifico: dati relativi a contenziosi vari (clienti, dipendenti, fornitori) recupero Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 16

17 crediti, rivalse, sanzioni disciplinari denunce, dati del personale dipendente (attività libera professionale, area pagamento, telefonia mobile, formazione) Servizio Amministrazione del Personale Definisce ed attua le politiche in materia di personale, organizzazione e relazioni industriali, garantendo la coerenza con gli indirizzi strategici della Regione e dell Azienda. Assicura la pianificazione degli organici ed il controllo del costo del lavoro in coerenza con gli obiettivi economici della Regione e del Governo. Nello specifico: schede del personale dipendente, certificati di servizio, redditi, cedolini, stipendi, cartellini presenze, curriculum vitae, iscrizioni ai sindacati, deleghe e permessi sindacali, appartenenza a categorie protette (invalidità), registro infortuni, dati relativi al nucleo familiare, modello 98, flussi Regionali Ministeriali, cessione del quinto dello stipendio. Direzione di Presidio La Direzione di Presidio, nel rispetto delle strategie, degli obiettivi, della mission aziendale, ed attraverso un budget annuo di risorse assegnate, provvede responsabilmente, nei limiti dell autonomia assegnata dalla Direzione Aziendale, alla gestione ed al buon funzionamento del Presidio di competenza in ordine agli aspetti organizzativi ed igienico-sanitari. Nello specifico: certificati di degenza, certificati INAIL, registro donazioni organi, certificazioni ambulatoriali, schede di dimissioni ospedaliera, registro cornee e trapianti, visite e attività del medico competente, certificazioni per gli infortuni o malattie professionali, cartelle cliniche, registro operatorio, registro nosologico, denunce obbligatorie di malattie infettive, medicina legale, ricoveri libera professione, pratiche neonati non riconosciuti. Servizio gestione approvvigionamenti e servizio tecnico patrimoniale Ha il ruolo di garantire l acquisto dei beni e l appalto dei servizi necessari all Azienda, verificandone l economicità e la rispondenza documentale alle norme. Nello specifico: Dati personali relativi a persone fisiche e personale giuridiche in rapporto con l Azienda (fornitori) Servizio Economico Finanziario Ha il ruolo di assicurare la gestione e lo sviluppo del sistema contabile dell Azienda per la corretta redazione dei bilanci e l ottimale utilizzo delle finanziarie. Nello specifico: Dati personali e sensibili relativi alla gestione ed emissione di fatture e ricevute per prestazioni sanitarie erogate, dati relativi all applicazione della normativa antimafia ed antiriciclaggio, gestione parziale dei dati stipendiali dei dipendenti, gestione anagrafica e dati contabili di clienti e fornitori. 2.5 I soggetti del trattamento Titotale: Azienda Ospedaliera Desenzano del Garda Responsabili: Responsabili Direzioni di Presidio, Responsabili UU.OO. area tecnico-amministrativa-professionale, Responsabili UU.OO. area medica e sanitaria non medica (l elenco aggiornato dei Responsabili del Trattamento è disponibile presso l U.O. Affari Legali, Assicurativi e del Contenzioso) Incaricati Tutti i dipendenti interni e consulenti Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 17

18 2.5.4 Interessati: Tutti gli utenti che a vario titolo richiedono una prestazione o un servizio presso la struttura e rilasciano una serie di dati personali. Tutto il personale dipendente e non con il quale l azienda ha stipulato un rapporto contrattuale e che a vario titolo (legittimo) ne tratta il dato 3. DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITÀ NELL AMBITO DELLE STRUTTURE PREPOSTE AL TRATTAMENTO (19.2) 3.1 Titolare del trattamento L Azienda Ospedaliera di Desenzano del Garda, in qualità di TITOLARE del trattamento, predispone attraverso la Direzione Generale le opportune procedure per mettere in atto le misure di protezione previste dal presente documento. Poiché tra i compiti che la Legge assegna al TITOLARE e che non sono delegabili, è prevista la vigilanza sul rispetto da parte dei RESPONSABILI delle istruzioni impartite, nonché sulla puntuale osservanza delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. Esercita inoltre, il controllo indiretto, sulle corrette modalità di trattamento effettuate da tutti gli altri RESPONSABILI nominati. Le verifiche effettuate si basano su incontri periodici che la Direzione avrà con i RESPONSABILI nominati per valutare i rapporti di attività da questi generati. Oltre questa verifica vengono analizzati i rapporti prodotti dagli Audit di Sicurezza che i RESPONSABILI nominati sono tenuti ad eseguire. Con specifico riferimento al progetto CRS-SISS L Azienda Ospedaliera di Desenzano del Garda a seguito della delibera della Regione Lombardia n 5198 del 02/08/2007, tratta i dati relativi alle prestazioni sanitarie erogate a beneficio degli assistiti, in modo da adempiere ai propri compiti istituzionale, in accordo con il regolamento regionale n 9 del 18 luglio 2006 (Regolamento per il trattamento dei dati sensibili e giudiziari di competenza della Giunta Regionale, delle aziende sanitarie, degli enti e agenzie regionali, degli enti vigilati dalla Regione Lombardia) Azienda Ospedaliera di Desenzano - Loc. Montecroce Desenzano del Garda (BS) 18