Decreto Legislativo 30giugno 2003, n. 196 Codice in materia di protezione dei dati personali

Transcript

1 Decreto Legislativo 30giugno 2003, n. 196 Codice in materia di protezione dei dati personali Definizioni Dato personale Qualsiasi informazione che riguardi persone fisiche identificate o che possono essere identificate anche attraverso altre informazioni, ad esempio, attraverso un numero o un codice identificativo. Sono, ad esempio, dati personali: il nome e cognome, l indirizzo, il codice fiscale; ma anche un immagine, la registrazione della voce di una persona, la sua impronta digitale, i dati bancari, ecc. Dato sensibile Si tratta di un dato personale che, per la sua natura, richiede particolari cautele: sono dati sensibili quelli che possono rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altra natura, le opinioni politiche, l adesione a partiti, sindacati o associazioni a carattere religioso filosofico o politico, lo stato di salute e la vita sessuale delle persone. Dato giudiziario I dati personali che rivelano l esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale (quali, ad es., i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione). Rientrano in questa categoria anche la qualità di imputato o di indagato. Dato anonimo Il dato che in origine e a seguito di trattamento non può essere associato ad un interessato identificato o identificabile. Trattamento (di dati personali) Un operazione o un complesso di operazioni che hanno per oggetto dati personali. La definizione del Codice è molto ampia, perché comprende la raccolta, la registrazione, l organizzazione, la conservazione, la modificazione, la selezione, l estrazione, l utilizzo, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati. Ciascuna di tali operazioni è una forma di trattamento di dati.

2 Per es. lo scarto dei documenti d archivio contenenti dati personali è un operazione di trattamento (distruzione) di dati. La registrazione a protocollo di un documento contenente dati personali (es. domanda di pensionamento) è un operazione di trattamento. Il trattamento può essere effettuato con o senza l ausilio di strumenti elettronici. Tra le operazioni del trattamento si evidenziano (in quanto soggette anche a particolare disciplina) le seguenti operazioni. Comunicazione Far conoscere dati personali a uno o più soggetti determinati (che non siano l interessato, il responsabile o l incaricato), in qualunque forma, anche attraverso la loro messa a disposizione o consultazione. Diffusione Divulgare dati personali al pubblico o, comunque, ad un numero indeterminato di soggetti (ad esempio, è diffusione la pubblicazione di dati personali su un quotidiano o su una pagina web. E diffusione la pubblicazione sull albo delle delibere del direttore generale). I soggetti del trattamento: Titolare, Responsabile, Incaricato. Titolare del trattamento La persona fisica, l impresa, l ente, l associazione, ecc. a cui fa capo il trattamento di dati personali e che assume le decisioni fondamentali sugli scopi e sulle modalità del trattamento medesimo (comprese le misure di sicurezza). Nei casi in cui il trattamento sia svolto da una società o da una pubblica amministrazione per titolare va intesa l entità nel suo complesso e non l individuo o l organo che l amministra o la rappresenta. Responsabile La persona, la società, l ente, l associazione o l organismo cui il titolare affida, anche all esterno, per la particolare esperienza o capacità, compiti di gestione e controllo del trattamento dei dati. La designazione del responsabile è facoltativa (art. 29 del Codice). Possono essere nominati più responsabili. I compiti affidati al Responsabile devono essere analiticamente specificati per iscritto. Incaricato (del trattamento)

3 La persona fisica autorizzata a compiere operazioni di trattamento dal titolare o dal responsabile. In sostanza il dipendente o il collaboratore che per conto della struttura del titolare elabora o utilizza materialmente i dati personali sulla base delle istruzioni ricevute dal titolare medesimo (e/o dal responsabile, se designato). Tutti coloro che trattano dati personali devono essere designati incaricati del trattamento attraverso designazione scritta. E equiparata la preposizione della persona fisica ad una unità per la quale è individuato, per iscritto, l ambito del trattamento consentito agli addetti all unità medesima. Interessato La persona fisica cui si riferiscono i dati personali. Diritti dell interessato Il Codice in materia di protezione dei dati personali riconosce all interessato una serie di diritti per quanto riguarda il trattamento dei dati personali, tra i quali: - il diritto di accesso ai propri dati personali direttamente presso chi li detiene (titolare del trattamento), ossia il diritto di ottenere la conferma della loro esistenza e la loro comunicazione e di sapere da dove sono stati acquisiti e quali sono i criteri e gli scopi del trattamento; - il diritto di ottenere la cancellazione o il blocco di dati che sono trattati violando la legge (ad es. perché non è stato chiesto il consenso quando necessario); tali diritti possono essere esercitati anche quando non ci sono più motivi validi per conservare ulteriormente i dati, in origine legittimamente acquisiti; - il diritto di aggiornare, correggere o integrare i dati inesatti e incompleti; - il diritto di opporsi, per motivi legittimi, al trattamento dei propri dati; Presupposto per l esercizio dei diritti è l Informativa Informativa Le informazioni che il titolare del trattamento deve fornire ad ogni interessato, verbalmente o per iscritto. L informativa deve precisare quali sono gli scopi e le modalità del trattamento; se l interessato è obbligato o no a fornire i dati; quali sono le conseguenze se i dati non vengono forniti; a chi possono essere comunicati o diffusi i dati; quali sono i diritti riconosciuti all interessato; chi sono il titolare e il/gli eventuali responsabili del trattamento.

4 Nel caso di dati sensibili o giudiziari, l informativa richiama anche la normativa in base alla quale è effettuato il trattamento. I contenuti che l informativa deve avere sono comunque previsti dal Codice. I principi generali La disciplina 1. Principio di finalità Per ogni trattamento la finalità (scopo) deve essere determinata, esplicita e legittima (es. gestione del rapporto di lavoro, tutela della salute..). 2. Principio di necessità I sistemi informativi ed i programmi informatici sono configurati in modo da ridurre al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi o opportune modalità che permettano di identificare l interessato solo in caso di necessità. In sostanza, i sistemi informativi devono essere configurati in modo da utilizzare dati personali solo se necessario in base agli scopi del trattamento. 3. Principio di pertinenza (o proporzionalità) I dati personali trattati devono essere pertinenti e non eccedenti rispetto alle finalità del trattamento. Per es. per la liquidazione di una fattura ad un professionista (scopo gestione rapporto lavoro autonomo) non serve raccogliere e registrare e cioè trattare dati quali lo stato civile del professionista. 4. Principio di indispensabilità Rafforza i principi di necessità e di pertinenza rispetto ai dati sensibili. I soggetti pubblici possono trattare solo i dati sensibili e giudiziari indispensabili per svolgere le attività istituzionali che non possono essere adempiute mediante dati anonimi o dati personali di natura diversa. Rispetto ai dati sensibili e giudiziari indispensabili, possono essere effettuate solo le operazioni indispensabili per il perseguimento delle finalità per le quali il trattamento è consentito. Per es. per il recupero di un ticket non pagato per un RX (scopo), non è necessario trattare il dato sensibile relativo alla diagnosi contenuta nel referto RX.

5 Requisiti dati I dati personali oggetto di trattamento devono essere esatti e se necessario aggiornati, pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti o successivamente trattati. Il trattamento dei dati personali da parte dei soggetti pubblici. Il trattamento dei dati personali è consentito agli enti pubblici solo per lo svolgimento delle funzioni istituzionali. Trattasi di condizione necessaria e sufficiente (cioè non occorrono altri presupposti) tranne che per le operazioni di comunicazione e diffusione di dati personali in quanto operazioni particolarmente delicate. La diffusione di dati personali (es. pubblicazione su internet dei compensi percepiti dai consulenti della P.A.) è ammessa solo se prevista da norme di legge o di regolamento (per es. il D. Lgs. 33/2013 sulla trasparenza). Allo stesso modo è disciplinata la comunicazione di dati personali da parte dei soggetti pubblici a privati. La comunicazione da un soggetto pubblico ad altro soggetto pubblico, in mancanza di previsione normativa, è ammessa se necessaria per lo svolgimento di funzioni istituzionali, previa apposita comunicazione al Garante per la protezione dei dati personali. Per il trattamento dei dati personali da parte dei soggetti pubblici il decreto non prevede il consenso all interessato. Pertanto, l eventuale consenso dell interessato non sana un trattamento effettuato al di fuori dei presupposti richiesti dal D. Lgs. 196 (per es. la pubblicazione su internet di un dato personale in assenza di una norma di legge o di regolamento che preveda tale diffusione, non è sanata dalla raccolta del consenso dell interessato. Il trattamento è illecito) Il trattamento dei dati sensibili e giudiziari da parte dei soggetti pubblici Il trattamento dei dati sensibili e giudiziari da parte di enti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati: - i dati che possono essere trattati; - le operazioni eseguibili; - le finalità di rilevante interesse pubblico perseguite.

6 Se la legge specifica solo le finalità di rilevante interesse pubblico (già indicate anche dal codice), i dati e le operazioni eseguibili sono disciplinate da apposito Regolamento. Per le Aziende Sanitarie della Regione Emilia Romagna è il Regolamento n. 1/2014 della Regione Emilia Romagna. La diffusione di dati sensibili e giudiziari è ammessa solo se prevista da espressa disposizione di legge. La diffusione di dati idonei a rivelare lo stato di salute è vietata. Trattamento di dati idonei a rivelare lo stato di salute, da parte di organismi sanitari pubblici Il trattamento per finalità di tutela della salute o dell incolumità fisica dell interessato presuppone il consenso dell interessato. Il consenso è la libera manifestazione di volontà dell interessato con cui questi accetta espressamente un determinato trattamento dei suoi dati, del quale è stato previamente informato. Il consenso può essere prestato per iscritto o oralmente. In tale ultimo caso è annotato dall esercente la professione sanitaria o dall organismo sanitario pubblico. Misure di sicurezza Sono tutti gli accorgimenti tecnici ed organizzativi, i dispositivi elettronici o i programmi informatici utilizzati per garantire che i dati non vadano distrutti o persi anche in modo accidentale, che solo le persone autorizzate possano avere accesso ai dati e che non siano effettuati trattamenti contrari alle norme di legge o diversi da quelli per cui i dati erano stati raccolti. Il codice prevede che i dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi sopra descritti (di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta). Il Codice, dispone che i titolari del trattamento siano comunque tenuti ad adottare (almeno) alcune misure volte ad assicurare un livello minimo di protezione dei dati personali (misure minime di sicurezza). Le misure minime di sicurezza sono stabilite, in via generale, dagli articoli 34 e 35 del Codice e, nel dettaglio tecnico, dall Allegato B intitolato appunto Disciplinare tecnico in materia di misure minime di sicurezza.

7 Misure minime per il trattamento di dati personali effettuato con strumenti elettronici (elencate nell art. 34 e disciplinate nell Allegato B): - autenticazione informatica; - adozione di procedure di gestione delle credenziali di autenticazione; - utilizzazione di un sistema di autorizzazione; - aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; - protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; - adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; - adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. Misure minime di sicurezza per il trattamento di dati personali effettuato senza l ausilio di strumenti elettronici: - aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati o alle unità organizzative; - previsione di procedure per un idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; - previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati. Le misure minime di sicurezza devono essere obbligatoriamente applicate.