DELIBERAZIONE DEL DIRETTORE GENERALE N. 317 Del 01/12/2014

Transcript

1 DELIBERAZIONE DEL DIRETTORE GENERALE N. 317 Del 01/12/2014 Oggetto: Adozione del Documento di politica aziendale in materia di privacy, del nuovo Regolamento Aziendale in materia di protezione dei dati personali e del nuovo censimento dei trattamenti di dati personali (Ce.Tra.) Immediatamente eseguibile NO Struttura proponente: UOC Legale Dirigente proponente: Dr. Dino Ravaglia Responsabile del procedimento: Dr.ssa Chiara Chiarugi Responsabile Unico del procedimento: Conto di bilancio Importo di spesa euro CDR (centro di responsabilità) CDC (centro di costo) Progetto Finanziato (codice) Previsto Budget Trasversale Autorizzazione Spesa nr. UOC Bilancio Previsto nel bilancio di previsione 2014 Previsto nel CE del mese Non comporta costi Direttore UOC Bilancio Allegati: SI/NO SI Da trasmettere a: C/D C/D Altro: C/D UOS Gestione Assicurazioni e Privacy Dipartimento Amm.vo D D D D Tutte le UU.OO. Az.li C Legenda C: per conoscenza D: destinatario Allegato A2 PG AAA 004 rev. 3 1

2 Oggetto: Adozione del Documento di politica aziendale in materia di privacy, del nuovo Regolamento Aziendale in materia di protezione dei dati personali e del nuovo censimento dei trattamenti di dati personali (Ce.Tra.). IL DIRETTORE GENERALE Visto il D.Lgs. n. 196/2003 e s.m.i. Codice in materia di protezione dei dati personali ; Visto il Regolamento Regionale di attuazione dell articolo 1, comma 1, della L.R. 3 aprile 2006 n. 13, adottato con Decreto del Presidente della Giunta Regionale nr. 6/R del 12/02/2013, contenente la disciplina del trattamento dei dati sensibili e giudiziari da parte della Regione Toscana, aziende sanitarie, enti, aziende e agenzie regionali e soggetti pubblici nei confronti dei quali la Regione esercita poteri di indirizzo e controllo; Premesso che il sistema aziendale privacy necessita di un adeguamento che tenga conto, da un lato, dell evoluzione tecnologica intervenuta negli ultimi anni, che ha portato alla progressiva implementazione di nuove infrastrutture informatiche per lo svolgimento delle attività istituzionali aziendali, dall altro lato, del nuovo modello organizzativo dell Ospedale per Intensità di Cura e dello sviluppo della continuità tra Ospedale e Territorio; Rilevato più specificamente che: - l implementazione, da parte dell Azienda USL 11 Empoli, degli strumenti informatici ed informativi attinenti non solo all area direzionale per il controllo operativo, manageriale e strategico, ma anche all area diagnostica e biomedica, pervenuta a forme sempre più sofisticate di integrazione e consolidamento delle informazioni cliniche in formato digitale, non può prescindere da un ripensamento delle politiche di gestione dei dati sanitari, finalizzato a perseguire il giusto equilibrio nella tutela dei due fondamentali diritti della persona, entrambi di rango costituzionale: il diritto alla salute e il diritto alla riservatezza; - il modello organizzativo dell Ospedale per Intensità di Cura comporta, per il personale infermieristico, una modifica dell assetto operativo privacy finora delineato, per la necessità per questa tipologia di personale di trattare, in relazione ai bisogni assistenziali, dati relativi a tutti i pazienti ricoverati nel setting di riferimento, venendo meno quindi la possibilità di circoscrivere gli ambiti del trattamento consentito agli incaricati del trattamento con riferimento ad uno specifico reparto (U.O.); 2

3 Precisato che per il personale dirigente medico e sanitario si conferma invece l attualità del vigente assetto privacy, in quanto, diversamente da quanto detto per il personale infermieristico, la presa in carico del paziente continua ad essere effettuata da parte dell unità operativa specialistica e dai professionisti alla medesima assegnati in base alla loro specializzazione, dal momento che questa avviene non in base alla specialità ma alla gravità; Ritenuto pertanto opportuno intervenire su più fronti, anche mediante la strutturazione di progetti di Business Process Reengineering, al fine di assicurare che i percorsi sanitari e amministrativi aziendali siano allineati alla normativa vigente in materia di protezione dei dati personali; Dato atto che con documento di qualità AAA 006 del 9 ottobre 2014 è stato adottato il progetto di lavoro per la semplificazione del sistema privacy aziendale, volto alla semplificazione ed all aggiornamento delle procedure aziendali interessate, affidando ad uno specifico gruppo di lavoro il compito di elaborare proposte alla Direzione Aziendale, in particolare relativamente alla semplificazione ed aggiornamento del censimento dei trattamenti dati aziendale (cd. Ce.Tra.) e alla revisione del Regolamento aziendale privacy; Considerata l opportunità che tali atti si ispirino ad un documento di politica aziendale in materia di privacy, con il quale la Direzione, facendo leva prima di tutto sull etica e sul rispetto dei valori morali e deontologici da parte dei propri operatori: - definisce i percorsi utili e necessari a garantire il diritto degli utenti all autodeterminazione per il trattamento dei loro dati sensibili a fini di prevenzione, diagnosi, cura e riabilitazione; - fornisce indirizzi per la gestione informatica di dati di tipo altamente sensibile o per i quali la normativa vigente prescrive la tutela dell anonimato (es. HIV, IVG, tossicodipendenza ecc..); - definisce le politiche di accesso ai software aziendali, in linea con le prescrizioni normative vigenti e con gli indirizzi forniti dall Autorità Garante nei vari provvedimenti e linee guida nel tempo emanati; - sostiene la revisione e l aggiornamento periodico, e straordinario in ipotesi di modifiche significative, dei profili di autorizzazione e delle abilitazioni ai programmi informativi aziendali in base agli ambiti dei trattamenti consentiti a ciascun operatore ed in maniera tale da garantire il principio della necessità del trattamento; Vista la bozza di Documento di Politica Aziendale in materia di Privacy, la bozza di Regolamento aziendale per la protezione dei dati personali presentata dalla UOS Gestione Assicurazioni e Privacy 3

4 ed il nuovo censimento dei trattamenti dei dati personali predisposto dal gruppo di lavoro a ciò appositamente deputato, condiviso con i Direttori dei vari Dipartimenti aziendali / Rete o loro delegati; Atteso che l adozione del nuovo Ce.Tra. comporta la necessità di rivedere tutte le nomine degli incaricati del trattamento effettuate in Azienda sulla base del precedente censimento, al fine di renderle aggiornate ed allineate al nuovo schema; Considerato che l adozione del nuovo Ce.Tra. e la nomina degli incaricati devono essere effettuate contestualmente, senza soluzione di continuità, in modo da evitare che il personale effettui trattamenti di dati personali sulla base di atti di nomina ad incaricato del trattamento non allineati con il censimento in quel momento vigente; Ritenuto pertanto opportuno adottare i seguenti documenti, tutti allegati al presente atto del quale costituiscono parte integrante e sostanziale: 1) Documento di politica aziendale in materia di privacy, allegato A); 2) Regolamento per la protezione dei dati personali in attuazione del d.lgs. n. 196/2003 e ss.mm.ii., allegato B); 3) Censimento dei trattamenti aziendale, allegato C); Dato atto che il nuovo Ce.Tra., consentendo una chiara individuazione dell ambito del trattamento consentito a ciascuna unità operativa, apre la possibilità di designare gli incaricati del trattamento ai sensi dell art. 30, comma 2, del Codice sulla Privacy e dell art. 5 del presente Regolamento mediante la documentata preposizione della persona fisica ad una unità, prescindendo quindi dalla designazione formale individuale da parte di ogni singolo responsabile del trattamento; Precisato che sono fatti salvi i casi in cui, in ossequio ai principi di indispensabilità, non eccedenza e necessità, il dipendente, per l espletamento delle funzioni attribuite, non abbia necessità di effettuare tutti i trattamenti dati afferenti alla struttura di assegnazione e si renda quindi opportuna una più selettiva individuazione delle tipologie dei trattamenti dati al medesimo autorizzate; in tali ipotesi i trattamenti consentiti, nell ambito di quelli di competenza della struttura di assegnazione, sono elencati in apposito documento di nomina, firmato dal Responsabile del trattamento dati interessato; Dato atto che, quanto agli incarichi di responsabili del trattamento conferiti al personale dipendente in correlazione all affidamento di un incarico di natura gestionale 4

5 (direzione/responsabilità di U.O.), restano in vigore tutti gli incarichi vigenti al momento dell adozione del presente atto deliberativo fino alla scadenza degli incarichi di direzione/responsabilità di struttura affidati; Precisato altresì che la responsabilità dei trattamenti dati affidata riguarda esclusivamente i trattamenti effettuati dal personale assegnato alla struttura gestita e non si estende quindi all intero processo relativo ad ogni singolo trattamento dati; per tale motivo per ciascuno dei trattamenti dati elencati nel censimento aziendale dei trattamenti (cd. Ce.Tra.) può esservi più di un responsabile, ciascuno deputato a garantire il rispetto dei principi privacy per la parte di attività di competenza della propria struttura; Precisato, più in particolare che, con riferimento al personale infermieristico, coinvolto, come sopra evidenziato, nei trattamenti dei dati personali dei pazienti in cura presso l intero setting di ricovero, la responsabilità del trattamento dati dagli stessi effettuati non compete al dirigente del ruolo medico/sanitario direttore/responsabile della struttura presso la quale detto personale presta funzionalmente servizio, ma al dirigente del ruolo delle professioni sanitarie direttore/responsabile della struttura alla quale detto personale è formalmente assegnato; Dato atto che, relativamente al personale dirigente medico o sanitario che esercita attività liberoprofessionale intramoenia e ai dirigenti medici o sanitari dipendenti di altra AUSL o AOU che svolgono attività libero-professionale presso i locali aziendali, restano in vigore tutte le nomine effettuate correlate a contratti o convenzioni ancora in essere, fino alla loro scadenza; Dato atto infine che, con riferimento specifico agli incarichi libero professionali e ai contratti di collaborazione coordinata e continuativa, qualificati dal nuovo regolamento privacy responsabili del trattamento, si rende necessario avviare, a cura della UOS Gestione Assicurazioni e Privacy con la collaborazione della UOC Amministrazione e Politiche delle Risorse Umane, una verifica delle nomine ad oggi effettuate con riferimento agli incarichi ancora in essere al fine di consentirne la relativa revisione in base al censimento dei trattamenti di nuova adozione; Ritenuto opportuno: A) informare a cura della UOS Gestione Assicurazioni e Privacy: 1) i Responsabili del trattamento, mediante l invio di specifica comunicazione per posta elettronica, in ordine ai documenti adottati ed alla revisione dei trattamenti dati come da nuovo Ce.Tra. che verrà allegato; 2) tutto il personale, mediante l invio di apposita nota tramite il programma informatico Iris Web, 5

6 in ordine ai documenti adottati ed alle conseguenti nuove nomine ad incaricati del trattamento dati, allegando anche il censimento dei trattamenti aziendale; B) delegare i Responsabili dei trattamenti dati di riferimento ad aggiornare, sulla base del nuovo censimento dei trattamenti dati, le nomine degli incaricati che, pur non essendo dipendenti dell Azienda, effettuano trattamenti dati di competenza della struttura dagli stessi gestita (es. tirocinanti, professionisti esterni che fanno parte di organismi o commissioni operanti presso l Azienda ecc..); Dato atto che dalla presente deliberazione non derivano costi; Atteso che l istruttoria del presente atto è stata curata dalla Dott.ssa Chiara Chiarugi, PO Supporto Giuridico alla Direzione Aziendale, sotto il coordinamento del Responsabile della U.O.S. Gestione Assicurazioni e Privacy, Dott. Luca Frati; Vista la proposta del Direttore della U.O.C. Legale, Dott. Dino Ravaglia, che ne attesta la regolarità tecnica, amministrativa e la legittimità; Vista la sottoscrizione del Direttore del Dipartimento Amministrativo, Dott. Dino Ravaglia, che ne attesta la coerenza agli indirizzi e agli obiettivi del Dipartimento medesimo; Acquisiti i pareri favorevoli del Direttore Sanitario e del Direttore Amministrativo; Visto l'art. 3-ter del D.Lgs. n. 502/92 articolo introdotto dal D.Lgs. n. 229 del 16/06/99 e l art. 42, comma 2 della Legge Regionale Toscana n. 40 del 24 febbraio 2005; DELIBERA Per le motivazioni espresse in premessa, che qui si intendono integralmente richiamate: 1) di adottare i seguenti documenti, tutti allegati al presente atto del quale costituiscono parte integrante e sostanziale: - Documento di politica aziendale in materia di privacy, allegato A); - Regolamento per la protezione dei dati personali in attuazione del d.lgs. n. 196/2003 e ss.mm.ii., allegato B); - Censimento dei trattamenti aziendale, allegato c); 6

7 2) di dare atto che il nuovo Ce.Tra., consentendo una chiara individuazione dell ambito del trattamento consentito a ciascuna unità operativa, apre la possibilità di designare gli incaricati del trattamento ai sensi dell art. 30, comma 2, del Codice sulla Privacy e dell art. 5 del presente Regolamento mediante la documentata preposizione della persona fisica ad una unità, prescindendo quindi dalla designazione formale individuale da parte di ogni singolo responsabile del trattamento; 3) di precisare che sono fatti salvi i casi in cui, in ossequio ai principi di indispensabilità, non eccedenza e necessità, il dipendente, per l espletamento delle funzioni attribuite, non abbia necessità di effettuare tutti i trattamenti dati afferenti alla struttura di assegnazione e si renda quindi opportuna una più selettiva individuazione delle tipologie dei trattamenti dati al medesimo autorizzate; in tali ipotesi i trattamenti consentiti, nell ambito di quelli di competenza della struttura di assegnazione, sono elencati in apposito documento di nomina, firmato dal Responsabile del trattamento dati interessato; 4) di dare atto che, quanto agli incarichi di responsabili del trattamento conferiti al personale dipendente in correlazione all affidamento di un incarico di natura gestionale (direzione/responsabilità di U.O.), restano in vigore tutti gli incarichi vigenti al momento dell adozione del presente atto deliberativo fino alla scadenza degli incarichi di direzione/responsabilità di struttura affidati; 5) di precisare che la responsabilità dei trattamenti dati affidata riguarda esclusivamente i trattamenti effettuati dal personale assegnato alla struttura gestita e non si estende quindi all intero processo relativo ad ogni singolo trattamento dati; per tale motivo per ciascuno dei trattamenti dati elencati nel censimento aziendale dei trattamenti (cd. Ce.Tra.) può esservi più di un responsabile, ciascuno deputato a garantire il rispetto dei principi privacy per la parte di attività di competenza della propria struttura; 6) di precisare, più in particolare che, con riferimento al personale infermieristico, coinvolto, come evidenziato in narrativa, nei trattamenti dei dati personali dei pazienti in cura presso l intero setting di ricovero, la responsabilità del trattamento dati dagli stessi effettuati non compete al dirigente del ruolo medico/sanitario direttore/responsabile della struttura presso la quale detto personale presta funzionalmente servizio, ma al dirigente del ruolo delle professioni sanitarie direttore/responsabile della struttura alla quale detto personale è formalmente assegnato; 7) di dare atto che, relativamente al personale dirigente medico o sanitario che esercita attività 7

8 libero-professionale intramoenia e ai dirigenti medici o sanitari dipendenti di altra AUSL o AOU che svolgono attività libero-professionale presso i locali aziendali, restano in vigore tutte le nomine effettuate correlate a contratti o convenzioni ancora in essere, fino alla loro scadenza; 8) di dare atto infine che, con riferimento specifico agli incarichi libero professionali e ai contratti di collaborazione coordinata e continuativa, qualificati dal nuovo regolamento privacy responsabili del trattamento, si rende necessario avviare, a cura della UOS Gestione Assicurazioni e Privacy con la collaborazione della UOC Amministrazione e Politiche delle Risorse Umane, una verifica delle nomine ad oggi effettuate con riferimento agli incarichi ancora in essere al fine di consentirne la relativa revisione in base al censimento dei trattamenti di nuova adozione; 9) di informare a cura della UOS Gestione Assicurazioni e Privacy: - i Responsabili del trattamento, mediante l invio di specifica comunicazione per posta elettronica, in ordine ai documenti adottati ed alla revisione dei trattamenti dati come da nuovo Ce.Tra. che verrà allegato; - tutto il personale, mediante l invio di apposita nota tramite il programma informatico Iris Web, in ordine ai documenti adottati ed alle conseguenti nuove nomine ad incaricati del trattamento dati, allegando anche il censimento dei trattamenti aziendale; 10) di delegare i Responsabili dei trattamenti dati di riferimento ad aggiornare, sulla base del nuovo censimento dei trattamenti dati, le nomine degli incaricati che, pur non essendo dipendenti dell Azienda, effettuano trattamenti dati di competenza della struttura dagli stessi gestita (es. tirocinanti, professionisti esterni che fanno parte di organismi o commissioni operanti presso l Azienda ecc..); 11) di dare atto che, con riferimento specifico agli incarichi libero professionali e ai contratti di collaborazione coordinata e continuativa, qualificati dal nuovo regolamento privacy responsabili del trattamento, si rende necessario avviare, a cura della UOS Gestione Assicurazioni e Privacy con la collaborazione della UOC Amministrazione e Politiche delle Risorse Umane, una verifica delle nomine ad oggi effettuate con riferimento agli incarichi ancora in essere al fine di consentirne la relativa revisione in base al censimento dei trattamenti di nuova adozione; 12) che dalla presente deliberazione non derivano costi; 8

9 13) di trasmettere al Collegio Sindacale il presente atto a norma di quanto previsto dall'art. 3 ter del D.Lgs. n. 502/92, articolo introdotto dal D.Lgs. n. 229/99, e dall art. 42, comma 2, della L.R.T. n. 40/2005. Il Dirigente proponente U.O.C. Legale Dott. Dino Ravaglia Il Direttore Generale Dott.ssa Monica Piovi Il Direttore Dipartimento Amministrativo Dott. Dino Ravaglia Il Direttore Sanitario Dott. Renato Colombai Il Direttore Amministrativo Dott. Gabriele Morotti Allegato A3 PG AAA 004 rev. 3 9

10 CERTIFICATO DI PUBBLICAZIONE Pubblicata all`albo dell`azienda Usl dal 18/12/2014 al 01/01/2015 Esecutiva ai sensi della Legge Regionale Toscana n.40 del 24 febbraio 2005 in data 02/01/2015 Trasmissioni: data destinatario protocollo 18/12/2014 INVIATO COLLEGIO SINDACALE UOC LEGALE Per conoscenza: Partecipare a: 10