Sistemi informativi in ambito sanitario e protezione dei dati personali

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Sistemi informativi in ambito sanitario e protezione dei dati personali"

Ilario Frigerio
7 anni fa
Visualizzazioni

1 Sistemi informativi in ambito sanitario e protezione dei dati personali Il provvedimento del Garante del 4 giugno 2015, n. 331, Linee guida sul dossier sanitario elettronico Seminario di formazione 4 dicembre 2015 Dorotea Alessandra de Marco Funzionario Dipartimento tecnologie digitali e sicurezza informatica 1

2 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 2

3 Punto di partenza Analisi dei rischi 3 Analisi del contesto e individuazione dei beni da proteggere; identificare le minacce; identificare le vulnerabilità; rapportare le minacce alle vulnerabilità; definire l impatto su ciascun bene delle minacce vulnerabilità in relazione al mancato rispetto dei requisiti; valutare il rischio per ciascun bene

4 Principi Privacy Framework ISO Consenso e scelta 2. Legittimità e specifica delle finalità 3. Limitazione della raccolta 4. Minimizzazione dei dati 5. Limitazione di utilizzo, conservazione e divulgazione 6. Esattezza e qualità 7. Apertura, trasparenza e informativa 8. Partecipazione e accesso individuali 9. Responsabilizzazione 10. Sicurezza delle informazioni 11. Conformità alla privacy 4

5 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 5

6 Sistemi di autenticazione e di autorizzazione Partire dall analisi del contesto organizzativo. Principio del «need to know», indispensabilità e necessità verifica periodica della qualità e coerenza delle credenziali di autenticazione e dei profili di autorizzazione assegnati agli incaricati. Quando? Cadenza periodica - cambiamenti organizzativi - eventi anomali esiti negativi delle tempestiva revisione del profilo di abilitazione, alla eventuale disabilitazione dello stesso o alla disattivazione delle credenziali Esempi: meccanismi volti ad assicurare che gli accessi avvengano esclusivamente nell'ambito di intervalli temporali o di data predeterminati 6

7 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 7

8 Tracciabilità degli accessi e delle operazioni effettuate 1/2 Registrazione automatica in appositi file di log degli accessi e delle operazioni compiute. Cosa? l identificativo del soggetto incaricato che ha posto in essere l operazione di accesso; la data e l ora di esecuzione; l identificativo della postazione di lavoro utilizzata; l identificativo del paziente il cui dossier è interessato dall operazione di accesso da parte dell incaricato la tipologia dell operazione compiuta sui dati (anche le operazioni di semplice consultazione ). 8

9 Tracciabilità degli accessi e delle operazioni effettuate 2/2 Log periodo di conservazione non inferiore a 24 mesi dalla data di registrazione dell'operazione. caratteristiche di integrità e inalterabilità protetti con idonee misure contro ogni uso improprio accessibili a personale opportunamente incaricato e autorizzato dati contenuti devono essere trattati mediante aggregazione (possono essere trattati in forma non aggregata unicamente laddove ciò risulti indispensabile ai fini della verifica della liceità del trattamento dei dati) 9

10 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 10

11 Sistemi di audit log Presupposto: disponibilità log rilevamento di eventuali anomalie che possano configurare trattamenti illeciti, attraverso l utilizzo di indicatori di anomalie (c.d. alert) utili per orientare successivi interventi di audit. attivazione di specifici alert che individuino comportamenti anomali o a rischio relativi alle operazioni eseguite dagli incaricati del trattamento Esempi: accessi contemporanei, accessi eseguiti dallo stesso utente in un certo periodo di tempo, su uno stesso paziente, oltre soglie predefinite 11

12 Controllo interno attività periodica processo continuo di miglioramento per la verifica dell adeguatezza delle misure di sicurezza tecnico organizzative e la loro rispondenza alle disposizioni vigenti (compliance). unità organizzativa o personale diverso verifiche: a posteriori, a campione o a seguito di allarme derivante da sistemi di alert e di anomaly detection, sulla legittimità e liceità degli accessi ai dati effettuati dagli incaricati, sull integrità dei dati e delle procedure informatiche adoperate per il loro trattamento. attività documentata (sistemi verificati, operazioni effettuate, risultanze delle analisi eventuali criticità riscontrate) comunicazione esiti (persone e organi legittimati ad adottare decisioni). 12

13 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 13

14 Separazione e cifratura dei dati Il titolare deve individuare criteri per la separazione dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali (artt. 22, commi 6 e 7 del Codice). dati sensibili inintelligibili cifratura 14

15 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 15

16 Data breach obbligo di comunicazione al Garante del verificarsi di violazioni dei dati (data breach) o incidenti informatici (accessi abusivi, azione di malware ) Quando? entro 48 h Come? Modello Allegato B" al provvedimento del 4 giugno 2015 e inviate tramite posta elettronica o posta elettronica certificata all'indirizzo: databreach.dossier@pec.gpdp.it. Non solo disastri! 16

17 Profili tecnologici e misure di sicurezza Sistemi di autenticazione e di autorizzazione Tracciabilità degli accessi e delle operazioni effettuate Sistemi di audit log Separazione e cifratura dei dati Data breach Data protection officer 17

18 18 Data protection officer (DPO referente per la protezione dati) «Il Garante auspica che i titolari del trattamento individuino al loro interno una figura di responsabile della protezione dei dati che svolga il ruolo di referente con il Garante» Figura prevista fin dalla Direttiva 95/46/CE del Parlamento e del Consiglio del 24 ottobre 1995 (l articolo 18 prevede una semplificazione o addirittura l esonero dall obbligo di notificazione per gli Stati membri qualora il responsabile (rectius il titolare) del trattamento designi, conformemente alla legislazione nazionale applicabile, un incaricato alla protezione dei dati. Compiti: assicurare in maniera indipendente l applicazione delle disposizioni nazionali di attuazione della direttiva e tenere un registro dei trattamenti effettuati dal titolare del trattamento. Figura obbligatoria (Germania, Grecia, Ungheria), facoltativa (Francia).

19 19 Data protection officer (DPO referente per la protezione dati)

20 20 Grazie per l attenzione

Documenti analoghi

Sanità 2.0: quali strumenti per le Strutture Sanitarie?

Materiale didattico - Avv. Alessandra Delli Ponti Sanità 2.0: quali strumenti per le Strutture Sanitarie? LA CARTELLA CLINICA DIGITALE - IL DOSSIER SANITARIO- REFERTI ON LINE - FIRMA GRAFOMETRICA E LE