DOCUMENTO PROGRAMMATICO SULLA SICUREZZA

Transcript

1 I.T.A.C.A. Istituto Terapie e Attività Con Animali Piazza I. Nievo Roma Web: y.com E mail: itaca@poderelecceta.com Tel DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (Legge 31/12/1996, n. 675, D.P.R , n. 318, D L 30/6/03 n. 196 e successive modifiche e integrazioni) * * * L associazione senza fini di lucro I.T.A.C.A. (Istituto Terapie e Attività Con Animali), con sede in Roma, CAP 00153, Piazza Ippolito Nievo 5 Codice Fiscale In qualità di titolare di dati personali e in considerazione dell obbligo di adottare le misure minime di sicurezza previste dalla normativa sopraindicata, al fine di proteggere in ogni fase il trattamento di tali dati, redige il seguente DOCUMENTO Ai sensi del Codice in Materia di Protezione dei Dati Personali e del Disciplinare Tecnico in Materia di Misure Minime di Sicurezza (D L 30/6/03 n. 196) Premessa Il titolare, detentore di dati personali comuni e sensibili, intende custodirli e controllarli in modo da ridurre al minimo mediante l adozione di idonee e preventive misure di sicurezza i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità di raccolta. Elenco dei trattamenti di dati personali L associazione ITACA opera nel campo dell educazione, riabilitazione e terapia, soprattutto con l ausilio di animali, e persegue attività di divulgazione, formazione e ricerca, nonché di educazione, riabilitazione e terapia a favore di persone diversamente abili o sofferenti di disturbi psicofisici o disagi sociali. Il Presidente, nonché diversi soci e collaboratori, sono professionalmente abilitati ad operare in ambito psico-socio-sanitario. Vengono pertanto trattati: dati personali dei soci e dei collaboratori dati personali e sensibili degli utenti dei programmi educativi/terapeutici (individui e famiglie) La struttura di riferimento è l Associazione I.T.A.C.A. con sede legale in Roma, piazza I. Nievo 5. Il trattamento e l archiviazione dei dati avvengono presso la Sede Operativa, Podere Lecceta Chianni (PI). Non esistono, allo stato attuale, sottosezioni o uffici. La documentazione contenente i dati sensibili viene consegnata, su supporto cartaceo o informatico, direttamente dagli interessati, o dai loro tutori legali, previa autorizzazione scritta al trattamento, allo scopo di fornire agli psicologi dell Associazione le informazioni necessarie a programmare le attività educative e riabilitative. Tali documenti vengono archiviati senza alcuna ulteriore elaborazione e consultati esclusivamente, su autorizzazione del responsabile, e nei limiti da esso definiti, dai collaboratori incaricati del trattamento educativo/terapeutico programmato.

2 Anche le relazioni e osservazioni relative alle attività riabilitative effettuate vengono elaborate su supporto cartaceo o informatico e consegnate/inviate agli utenti stessi oppure, in caso di minorenni o disabili, ai legali tutori. Copia della documentazione conferita dagli interessati, nonché delle relazioni e osservazioni effettuate, viene conservata negli archivi dell Associazione, in formato cartaceo o su supporto informatico rimovibile, per ulteriori interventi educativi e riabilitativi,. I dati personali non sensibili vengono raccolti e conservati sia su supporto cartaceo, sia su supporti magnetici rimovibili. Esclusivamente e scopo di studio, valutazione clinica e ricerca scientifica, e dietro consenso informato degli interessati, durante i programmi educativi, riabilitativi e terapeutici, potranno essere effettuate riprese video o foto dei clienti sottoposti a trattamento. Le immagini verranno conservate, come gli altri dati sensibili, su supporto cartaceo o magnetico rimovibile, in classificatori o armadi chiusi a chiave. Qualora tali immagini dovessero essere utilizzate a scopo scientifico per pubblicazioni o relazioni a seminari o convegni, i volti vengono oscurati. Tutti i dati vengono raccolti e aggiornati secondo correttezza, in misura non eccedente rispetto alle finalità per cui sono stati raccolti o trattati e conservati solo per il tempo strettamente necessario, a meno che non siano destinati a studio e ricerca scientifica. Distribuzione dei compiti e delle responsabilità L associazione ITACA non ha dipendenti e non è suddivisa in sezioni o uffici e, in quanto titolare della raccolta e del trattamento dei dati personali e sensibili, è rappresentata dal Presidente che ha il compito di garantire la riservatezza dei dati e, ove necessario, di autorizzare alcuni collaboratori incaricati a consultare, analizzare e aggiornare i dati raccolti. Il Presidente può inoltre designare in qualità di responsabile del trattamento dei dati personali e/o sensibili, un socio che, per esperienza e affidabilità, garantisca il rispetto della normativa in materia di trattamento e sicurezza dei dati. Analisi dei rischi che incombono sui dati I rischi dovuti a comportamenti degli operatori e/o al contesto fisico-ambientale sono ridotti al minimo, in quanto attualmente la residenza del responsabile è adiacente alla sede dell associazione I.T.A.C.A. ed ai locali dove sono conservati ed elaborati i dati. Esistono pertanto controlli quotidiani e molto accurati sia per evitare l intromissione di persone non autorizzate nei locali sia per mantenere gli impianti in piena efficienza. Per quanto riguarda gli eventi relativi agli strumenti, in particolare virus o intercettazione di informazioni in rete i rischi sono ridotti al minimo in quanto a) il computer è provvisto di un ottimo antivirus con aggiornamento automatico, b) i dati sensibili non vengono mai immessi in rete, c) l acquisizione ed elaborazione dei dati viene effettuata tramite programmi non accessibili attraverso la rete. Impatto di eventuali incidenti I dati trattati dall Associazione sono in numero molto limitato Si tratta dei dati personali dei collaboratori e dei soci (circa 50 nel 2014) e dati sensibili (certificazioni cliniche, relazioni e osservazioni comportamentali) relativi a utenti (circa 15 nel 2014). Misure in essere Informazioni essenziali

3 Sono state adottate le seguenti misure di sicurezza: è stata nominata responsabile del trattamento dei dati la dottoressa Marina Giuseppini, psicologa, nata a Genova il 24/06/1947 e residente a Chianni (PI), Podere Lecceta 203; il trattamento dei dati personali non sensibili avviene esclusivamente previa autorizzazione degli interessati informati dei diritti previsti dall Art. 7 del Codice in Materia di Protezione dei Dati Personali; il trattamento dei dati sensibili avviene esclusivamente previa autorizzazione scritta degli interessati, tramite la sottoscrizione di un documento compilato in base a quanto stabilito dall Art. 7 del Codice in Materia di Protezione dei Dati Personali; i dati personali e sensibili sono presenti solo su supporti cartacei o magnetici rimovibili, che possono essere riposti, al temine del lavoro, in armadi o classificatori chiusi a chiave; l accesso ai dati personali e sensibili è consentito soltanto a incaricati autorizzati dal responsabile per il tempo strettamente necessario all espletamento delle prestazioni educative e terapeutiche e degli altri compiti assegnati; il computer, utilizzato con supporti rimovibili, è dotato di idoneo programma contro il rischio di intrusione e di un buon antivirus costantemente aggiornato; i documenti non più necessari allo svolgimento delle attività statutarie devono essere totalmente distrutti o restituiti agli utenti. Ulteriori elementi per la descrizione analitica delle misure di sicurezza L associazione tratta un numero limitato di dati personali dei collaboratori e dei soci (circa 50 nel 2014) e di dati sensibili degli utenti (circa 15 nel 2014). Pertanto la gestione della sicurezza e il controllo della privacy dei dati personali e sensibili trattati possono essere gestiti personalmente dal titolare/responsabile, sia per quanto riguarda i locali adibiti alla raccolta dei documenti, sia a livello di gestione informatica, effettuata da un solo computer posto negli stessi locali. a) Protezione dei locali I locali contenenti dati personali o sensibili su supporti cartacei e/o magnetici rimovibili sono siti in CHIANNI (PI), Podere Lecceta 203. Al di fuori dell orario di lavoro e/o in assenza del titolare/responsabile o di un collaboratore da lui specificamente incaricato, detti locali sono chiusi a chiave. Durante l orario di lavoro, i locali contenenti dati su supporti cartacei e/o magnetici rimovibili (archivi, mobili contenenti la documentazione) sono ubicati in modo tale che ciascun addetto possa rilevare a vista il tentativo di intrusione da parte di persone estranee e, di conseguenza, impedirne l accesso. Per gli stessi motivi, l ubicazione di computer e stampante (non esiste apparecchio telefax) non consente ad estranei di leggere o asportare documenti non ancora prelevati dal responsabile o incaricato. b) Computer e supporti informatici Per evitare la possibilità di perdita o contaminazione di dati in rete si è stabilito quanto segue: nessun dato personale o sensibile viene immesso in rete o in programmi accessibili tramite rete;

4 tutti i dati personali o sensibili sono trattati utilizzando esclusivamente supporti cartacei o supporti magnetici rimovibili, in modo da poter riporre dopo l uso i documenti o supporti informatici in contenitori sigillati; l accesso alla rete, per l invio o la ricezione di messaggi, è protetto da password, utilizzata e custodita solo dal responsabile. Per evitare l accesso ai dati contenuti nel computer da parte di persone non autorizzate, si è stabilito quanto segue: L accesso è consentito solo ad incaricati direttamente autorizzati dal titolare/responsabile, per il tempo strettamente necessario all espletamento del servizio e dei compiti assegnati; I supporti di salvataggio vengono archiviati e conservati in classificatori/armadi che, al termine dell orario di lavoro, vengono chiusi a chiave; Nel caso in cui gli utenti trasmettano dati personali tramite , la presenza di una password, custodita ed utilizzata solo dal responsabile per l accesso in rete, determina un adeguato livello di sicurezza, in quanto inibisce ad estranei l accesso alla posta elettronica; I supporti magnetici contenenti dati personali, possono essere riutilizzati esclusivamente previa formattazione o totale cancellazione dei contenuti, in modo da impedire la lettura dei precedenti. c) Supporti cartacei Allo scopo di evitare possibili intromissioni, ogni supporto cartaceo contenente dati sensibili viene inoltrato direttamente agli utenti tramite spedizione postale. E stato disposto che qualsiasi documento venga spedito o consegnato agli utenti, o ad altri soggetti esterni autorizzati, inserito in apposite buste o cartelline non trasparenti. Misure soggette a revisione periodica Il titolare è impegnato a perfezionare le misure già adottate tramite: adeguata manutenzione di armadi e contenitori per garantire l integrità dei dati, la migliore custodia e il più alto livello di riservatezza; aggiornamento costante del sistema antivirus; responsabilizzazione massima di tutti gli operatori anche tramite interventi formativi ed informativi. Criteri e modalità di ripristino della disponibilità dei dati Il computer in dotazione risulta sollevato da terra, in modo da evitare eventuali perdite di dati dovuti ad allagamenti. Il computer è dotato di programma antivirus che viene aggiornato con cadenza giornaliera; tale programma consente di rilevare immediatamente all apertura di un file la presenza di un virus. L integrità dei dati è garantita mediante idonee procedure di salvataggio giornaliero su supporti magnetici rimovibili

5 Pianificazione degli interventi formativi I soci e i collaboratori dell Associazione, per esperienza personale e formazione professionale, sono consapevoli della normativa riguardante la privacy, inoltre il presente documento viene consegnato al responsabile e agli incaricati. Non si ritiene pertanto indispensabile attivare specifici corsi di formazione ma il responsabile della privacy si impegna a richiamare, verbalmente oppure, ove necessario, tramite specifici pro memoria scritti, al rispetto della normativa stabilita per legge. Trattamenti affidati all esterno Di regola, nessun trattamento dei dati sensibili è affidato a strutture esterne. Solo in caso di ricerca è possibile che elaborazioni di dati ai fini statistici vengano affidate ad esperti esterni. In tale caso verranno applicate le misure esposte al paragrafo successivo. Per quanto riguarda i dati personali, al solo scopo di adempiere ad obblighi amministrativi e fiscali, essi possono essere conferiti a enti o professionisti esterni, che forniscono massime garanzie per quanto riguarda la riservatezza dei trattamenti effettuati Cifratura dei dati o separazione dei dati identificativi L unico scopo statutario dell Associazione per cui è prevista l utilizzazione, in modo anonimo dei dati raccolti, per fini non immediati, è quello dello studio e della ricerca scientifica. In questo caso si garantisce che i dati identificativi degli utenti siano cifrati in base a un codice alfanumerico. L eventuale pubblicazione dei dati garantirà quindi l anonimato degli utenti sottoposti a ricerca. Questi ultimi saranno comunque adeguatamente informati dell utilizzazione a scopo scientifico dei dati da loro conferiti e dei loro diritti. I collaboratori interni o esterni eventualmente incaricati dell elaborazione dei dati firmeranno documenti che li impegnino al rispetto dell anonimato e all attenta custodia dei materiali esaminati. Conclusioni Il presente documento scaturisce da un analisi di valutazione dei rischi, ma è previsto l aggiornamento del medesimo nel caso di sostituzione di attrezzature o di cambiamento nella disposizione degli spazi di lavoro, che modifichino sostanzialmente i criteri di sicurezza sopra indicati. Gli incaricati del trattamento sono puntualmente informati delle disposizioni contenute nel presente documento e obbligati a uniformarsi ad esse e il titolare o il responsabile da esso preposto è tenuto a vigilare sull osservanza delle disposizioni stesse. Copia del presente documento è consegnata ad ogni responsabile ed incaricato del trattamento. Si provvederà a perfezionare le anzidette misure in base all esperienza e ad una analisi sempre più approfondita dei rischi. Chianni, 2 marzo 2015 Agg. 3/015 I.T.A.C.A. Istituto Terapie e Attività Con Animali (Il Presidente Dott. Marina Giuseppini)