CHECK LIST PER LE VERIFICHE DI CONFORMITA DELLE ATTIVITÀ ALLA NORMATIVA SULLA PRIVACY 1

Transcript

1 CHECK LIST PER LE VERIFICHE DI CONFORMITA DELLE ATTIVITÀ ALLA NORMATIVA SULLA PRIVACY 1 Data: Struttura 2 : Compilato a cura di: 1. È stato individuato nell ambito della struttura un referente per la privacy? Se si, indicarne il/i nome/i 2. Sono state individuate le attività della struttura che comportano una raccolta e/o un trattamento di dati personali 3? Se si, descrivere od allegare eventuali tabelle/elenco dei trattamenti 3. Sono stati rilevati casi di trattamento di dati per i quali occorra valutare la sussistenza o meno dell obbligo per l Azienda di notificazione al Garante (art. 37) 4? Se si, specificare 4. Per i dati personali raccolti dalla struttura si provvede a fornire l informativa agli interessati (art. 13) e ad acquisirne eventualmente il consenso, secondo la modulistica e le procedure indicate dall Azienda o comunque predisposta dalla struttura? Se si, precisarne le modalità/allegare moduli, testi o formule in uso 5. Viene seguita una procedura di documentazione, archiviazione o registrazione dei consensi rilasciati dagli interessati? Se si, precisarne le modalità/allegare eventuale documentazione 1 D.lgs. n. 196/2003, recante il Codice in materia di protezione dei dati personali, e successive modificazioni ed integrazioni, di seguito il Codice Privacy. 2 Direzione, Area/ Dipartimento, Unità Operativa 3 Trattamenti di dati relativi a utenti o pazienti, dipendenti, collaboratori, consulenti, stagisti, candidati, fornitori, visitatori, ecc. 4 Ad esempio, trattamenti di dati genetici e/o di dati biometrici, trattamenti di dati sanitari a fini di: procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti, monitoraggio della spesa sanitaria. 1

2 6. Si è provveduto alla designazione degli addetti della struttura (dipendenti, collaboratori, stagisti, ecc.) quali incaricati del trattamento dei dati personali (art. 30)? Se si, specificare/allegare documentazione di riferimento 7. Si provvede alla verifica periodica (con cadenza almeno annuale) degli ambiti di trattamento consentiti agli incaricati del trattamento, nonché delle banche dati e degli archivi cui hanno accesso? Se si, precisare/allegare documentazione di riferimento 7. Sono state impartire agli incaricati le istruzioni necessarie per assicurare il corretto trattamento dei dati personali ed è svolta una vigilanza sull osservanza delle stesse? Se si, precisare/allegare documentazione di riferimento 8. Sono stati programmati e/o svolti interventi formativi per il personale incaricato in materia di privacy e protezione dei dati personali? Se si, descrivere sinteticamente.. 9. Vi sono attività affidate a soggetti terzi (es. in outsourcing) che comportino un trattamento di dati personali? Se si, come sono stati regolati i rapporti sotto il profilo privacy (es.: designazione a responsabile del trattamento: art. 29)? Specificare e allegare documentazione anche contrattuale di riferimento 10. Esiste una procedura per la gestione ed il riscontro delle richieste rivolte, per il tramite della struttura, all Azienda da parte degli interessati (es. utenti dei servizi sanitari) di accesso, rettifica e cancellazione dei dati, nonché opposizione al loro trattamento (ex artt. 7 e ss.)? Se si, specificare/allegare documentazione di riferimento 11. Vi sono stati casi in materia di privacy per la struttura, relativi ad istanze, reclami, segnalazioni o ricorsi degli interessati o richieste/accertamenti/ispezioni da parte di autorità giudiziarie, amministrative, di polizia giudiziaria od altri organismi ed enti di controllo? Se si, specificare/allegare documentazione di riferimento.. 2

3 12. Sono applicate e verificate le misure di sicurezza per la protezione dei dati personali, gestiti con l ausilio di strumenti elettronici (computer e sistemi informativi), secondo le procedure indicate dall Azienda (artt. 31, 33 e ss., All. B)? Indicare sinteticamente modalità o procedure di riferimento (rinvio a questionario sicurezza) 13. Sono applicate e verificate le misure di sicurezza per la protezione dei dati personali in relazione alla tenuta e conservazione di documenti, fascicoli e archivi cartacei, secondo le indicazioni e prassi vigenti in Azienda? Indicare sinteticamente modalità o procedure di riferimento 14. In relazione all utilizzo di atti o documenti contenenti dati sanitari ed eventuali altri dati sensibili o giudiziari 5 da parte degli incaricati: sono state adottate misure per limitare l accesso a tali documenti esclusivamente a persone preventivamente autorizzate? sono impartite le ulteriori specifiche istruzioni scritte per assicurarne il controllo e la custodia durante la loro lavorazione? i documenti contenenti dati sensibili o giudiziari vengono restituiti dall incaricato autorizzato ad accedervi al termine delle operazioni di trattamento? esiste un sistema di controllo per l'accesso agli archivi contenenti dati sensibili e/o giudiziari? esiste una procedura di identificazione (tramite, ad esempio strumenti elettronici o incaricati della vigilanza) e registrazione per l'eventuale accesso agli archivi dopo l' orario di chiusura o di preventiva autorizzazione delle persone che vi accedono? 5 Per dati sensibili si intendono i dati idonei a rivelare lo stato di salute e la vita sessuale, l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale; per dati giudiziari i dati idonei a rivelare i provvedimenti giudiziari penale (iscritti al casellario giudiziale o all anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti) o la qualità di imputato o indagato. 3

4 15. Sono stati individuati i sistemi, applicazioni, database, banche dati, archivi elettronici e file (anche elenchi, tabelle, documenti in formato excel, access, word, ecc.) utilizzati dalla struttura e/o creati nell ambito della medesima struttura localmente e non gestiti a livello centralizzato? Se si, indicare le denominazioni o le tipologie 16. Sono state rilevati problemi o criticità relativamente all applicazione delle misure di sicurezza per la protezione dei dati che meritano di essere segnalati? Se si, descrivere sinteticamente 17. Sono state assunte iniziative e misure per garantire: - la riservatezza e la dignità del paziente nei colloqui e nelle prestazioni mediche, nonché nella raccolta della documentazione di anamnesi, in modo anche da prevenire la conoscenza di dati sanitari da parte di terzi? - la corretta comunicazione ai soli terzi legittimati di informazioni, anche per telefono, sulle prestazioni di pronto soccorso fornite all interessato e/o sulla presenza/dislocazione dei paziente nei reparti ospedalieri, informandone preventivamente gli interessati e rispettandone le eventuali, contrarie manifestazioni di volontà? - l istituzione di appropriate distanze di cortesia e, nei periodi di attesa, di ordini di precedenza o chiamata degli interessati che prescindano dalla loro individuazione nominativa? - la comunicazione delle informazioni sanitarie al paziente solo per il tramite di un medico o di un infermiere incaricato dallo stesso medico e la consegna di documentazione sanitaria (referti, certificazioni, ecc.) ai diretti interessati o a terzi muniti di delega scritta ed in busta chiusa? Se si, indicare sinteticamente casi, modalità e procedure. 18. Altro: Roma, Responsabile della Struttura (firma) 4

5 Tabella per la rilevazione del trattamento dei dati personali Dipartimento/ Area/ Organismo/ U.O.C./U.OS. D. ID (1) Attività/Finalità trattamento (2) Interessati (3) Categorie dati (4) Dati sensibili e/o giudiziari (5) Modalità trattamento (6) Strumenti trattamento (7) Altre strutture interne ed esterne coinvolte (8) Banche dati (9)

6 Tabella per la rilevazione del trattamento dei dati personali Istruzioni (1) Per ciascun trattamento di dati personali va riportato, accanto all acronimo della struttura, un codice numerico che ne consenta una identificazione più rapida. Es.: per Area Processi Gestionali APG 01, 02, 03, ecc.; per Dipartimento Emergenza ed Accettazione per l urgenza, DEA 01, 02, 03) (2) Indicare la finalità perseguita ovvero l attività o funzione istituzionale svolta (es. gestione del personale, attività didattica o formativa, amministrazione e contabilità, ecc.; oppure per il governo clinico: attività di prevenzione, diagnosi, cura, assistenza, riabilitazione, ricerca statistica e/o scientifica, sperimentazione clinica, attività certificatorie e di vigilanza, ecc.), con i riferimenti normativi (legge o regolamento), ove presenti. (3) Per ciascuna finalità/attività vanno indicate le categorie di persone cui i dati si riferiscono, cd. interessati dal trattamento (utenti dei servizi o pazienti, dipendenti, collaboratori, fornitori, ecc.); (4) Indicare le categorie dei dati oggetto del trattamento (es. anagrafici, sanitari come quelli contenuti nelle cartelle cliniche od altre documentazioni sanitarie o certificazioni mediche, fiscali, contabili, bancari come gli estremi di un conto corrente, foto, registrazioni audio video, stato matricolare o di servizio, curriculum, ecc.); (5) Indicare la natura dei dati indicando se tra le categorie di dati riportate vi siano dati sensibili (es. dati sanitari, opinioni politiche, appartenenza a sindacati, convinzioni religiose o filosofiche, origini razziali od etniche, abitudini sessuali) o giudiziari (provvedimenti penali, la qualità di indagato od imputato, es.: casellario giudiziario). (6) Indicare per ciascuna finalità se i dati di riferimento vengono raccolti direttamente presso l interessato ovvero presso terzi (es. da altri enti, società od associazioni) descrivendo altresì le modalità di raccolta (es. raccolta tramite moduli, schede o questionari; sistemi o strumenti elettronici, strumenti di videosorveglianza o di rilevazione di dati biometrici; test psico-attitudinali, ecc). Inoltre, descrivere sinteticamente le operazioni materialmente effettuate sui dati oggetto di trattamento (es. conservazione dei dati, elaborazione, organizzazione in archivi cartacei ovvero banche dati elettroniche, interconnessione associazione o raffronto con dati provenienti da diverse banche dati, definizione dei profili, comunicazione, ecc. ). (7) Indicare se i trattamento avviene con strumenti elettronici quali PC stand alone o portatili, computer in rete locale, intranet od internet, e/o con supporti ed archivi cartacei. (8) Indicare altre strutture eventualmente coinvolte, anche in parte, nell ambito dell attività di trattamento descritto e i soggetti terzi ai quali i dati oggetto di trattamento possono essere comunicati (es. strutture accreditate, altre Aziende Sanitarie ed Ospedaliere, INPS, INAIL, medici convenzionati, farmacie convenzionate, ecc.). (9) Descrivere brevemente od indicare direttamente l eventuale denominazione della banca dati o del programma software od applicativo informatico utilizzato nell ambito della specifica attività/finalità di trattamento, precisando anche ove siano presenti elenchi, tabelle o documenti creati localmente (in excel, word, ecc.).