Dott.ssa Elena Tuvinelli

Transcript

1 Dott.ssa Elena Tuvinelli

2 LEGGE sulla PRIVACY Ogni professionista è obbligato al rispetto delle norme sulla privacy (Legge 31 dicembre 1996 n. 675). La normativa prevede, tra l'altro, la redazione del Documento Programmatico Sicurezza, come previsto dal decreto legislativo 196/2003 (recentemente semplificato). Il Documento Programmatico sulla Sicurezza è un documento di pianificazione della sicurezza dei dati che attesta l'adeguamento della struttura alle leggi vigenti. Banche dati, schedari, registri, cartelle cliniche dovranno essere conservati con opportuni accorgimenti al fine di tutelarne la riservatezza.

3 Alcune nozioni Nell'ordinamento italiano la disciplina in materia di dati personali ( comunemente definita legge sulla privacy) è dettata principalmente da: D. Lgs. 196/2003 (il c.d. Codice della Privacy ), artt. 13 Cost. (garanzia di tutela libertà individuale) e 21 Cost. (libertà di espressione) Codice Penale (Capo III, Sez. IV: delitti contro la inviolabilità del domicilio)

4 Codice in materia di protezione dei dati personali (C.d.P.) Riprendendo l assunto dell articolo 15 Cost. il codice stabilisce come priorità il fatto che chiunque ha diritto alla protezione dei dati personali che lo riguardano (art. 1) Le finalità pertanto sono di garantire che Il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato con particolare riferimento alla riservatezza, all identità personale, e al diritto alla protezione dei dati personali. (art. 2)

5 Come si garantiscono tali finalità? Assicurando un elevato livello di tutela dei diritti e delle libertà nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per il loro esercizio da parte degli interessati, nonché per l adempimento degli obblighi da parte dei titolari del trattamento. Riducendo al minimo l utilizzazione dei dati personali e di dati identificativi in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate tramite dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. A tale scopo vengono utilizzati sistemi informativi e programmi informatici configurati ad hoc

6 Definizioni In base all art. 4 del Codice della Privacy si intende: Trattamento: Qualunque operazione o complesso di operazioni effettuate anche senza l ausilio di strumenti elettronici, che riguardino la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati

7 Dato personale qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Dati identificativi, i dati personali che permettono l identificazione diretta dell interessato Dati sensibili cioè idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale

8 Soggetti ex art. 4 C.d.P INTERESSATO L'interessato è la persona, fisica o giuridica, l'ente o l'associazione cui si riferiscono i dati personali trattati TITOLARE DEL TRATTAMENTO Il titolare del trattamento è la persona fisica o giuridica, ente pubblico o privato cui compete ogni decisione circa il trattamento dei dati personali, ivi compreso il profilo della sicurezza RESPONSABILE DEL TRATTAMENTO Il responsabile del trattamento è la persona, fisica o giuridica, la Pubblica Amministrazione o qualsiasi altro ente incaricati dal titolare del trattamento dei dati INCARICATI Sono le persone fisiche che il Titolare o il Responsabile autorizzano a compiere operazioni di trattamento dei dati

9 Sempre in base all art. 4 Comunicazione il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati in qualsiasi forma, anche mediante la loro messa a disposizione o consultazione Diffusione il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione Dato anonimo quello che in origine, o aseguito di trattamento, non può essere associato ad un interessato identificato o identificabile Blocco consiste nella conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento Banca dati qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti

10 Infine l art 4 prevede Garante l autorità prevista all art 153 e istituita con legge n 675/96 1. Il Garante opera in piena autonomia e con indipendenza di giudizio e di valutazione. 2. Il Garante è organo collegiale costituito da quattro componenti, eletti due dalla Camera dei deputati e due dal Senato della Repubblica con voto limitato. I componenti sono scelti tra persone che assicurano indipendenza e che sono esperti di riconosciuta competenza delle materie del diritto o dell'informatica, garantendo la presenza di entrambe le qualificazioni

11 Il Garante, anche avvalendosi dell'ufficio e in conformità al codice, ha il compito di: a) controllare se i trattamenti sono effettuati nel rispetto della disciplina applicabile e in conformità alla notificazione, anche in caso di loro cessazione e con riferimento alla conservazione dei dati di traffico b) esaminare i reclami e le segnalazioni e provvedere sui ricorsi presentati dagli interessati o dalle associazioni che li rappresentano c) prescrivere anche d'ufficio ai titolari del trattamento le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti d) vietare anche d'ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco e) denunciare i fatti configurabili come reati perseguibili d'ufficio, dei quali viene a conoscenza nell'esercizio o a causa delle funzioni;

12 Quando è consentito il trattamento dei dati sullo STATO DI SALUTE di una persona? Che cosa può fare l'interessato in caso di trattamento di suoi dati personali? Quali informazioni devono essere fornite all'interessato? Quali sono i dati sensibili? Qualunque informazione, relativa alla persona, in grado di rivelare lo stato di salute è definito dato sensibile che non può essere diffuso. Con il consenso dell interessato si può procedere al cd. trattamento dei dati, ossia ad es.: la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, la cancellazione ecc.

13 CHI SONO I SOGGETTI DEL TRATTAMENTO - gli esercenti le professioni sanitarie; - gli organismi sanitari. Sono esclusi: - gli esercenti le cosiddette arti ausiliarie (es.: tecnico ortopedico, igienista dentale, infermiere, ostetrico ecc.) - i praticanti la medicina alternativa (es.: chiropratica, neuropatia) quando non sono in possesso del titolo e dell abilitazione all esercizio della professione medica. COME SI SVOLGE IL TRATTAMENTO DEI DATI raccolta; registrazione dei dati (su dischetti, cartelle ecc.); conservazione dei documenti in cui sono contenuti i dati in archivi con accesso controllato; utilizzo da parte di chi è espressamente incaricato al trattamento; comunicazione a soggetti determinati ove sia espressamente previsto da una legge che autorizzi tale operazione in conformità al parere del Garante per la protezione dei dati personali; diffusione.

14 Dati personali I dati personali in ambito sanitario sono quelli idonei a rivelare lo stato di salute (oltre che la vita sessuale), vale a dire tutte le nozioni e le informazioni positive e negative sulle condizioni corporali e mentali di una persona. Sono dati sanitari anche: i dati genetici che riguardano i caratteri ereditari di un individuo; le fotografie scattate a fini di interventi chirurgici. A questi dati il Codice della Privacy dedica molta attenzione circondando il trattamento di particolari cautele e misure di sicurezza (quali ad esempio il divieto di diffusione), misure che variano a seconda del soggetto (pubblico o privato) che lo pone in essere ma, anche e soprattutto, a seconda della finalità del trattamento che cerca di mediare fra due interessi contrapposti: 1. quello dell interessato a far si che l informazione non sia trattata (se non per ragioni legate alla sua sfera personale) o comunicata o divulgata; 2. quello della collettività che, se esistente, è spesso contrapposto. Generalmente, la disciplina connessa ai trattamenti in ambito sanitario è particolarmente favorevole alla tutela del singolo, ma viene ristretta quando vengono in rilievo esigenze di protezione o tutela (sanitaria) della collettività.

15 Ambito soggettivo del Codice della PrivacyT Il Codice della Privacy nella parte dedicata ai dati personali in ambito sanitario individua, in primo luogo, l ambito soggettivo di applicazione e le due categorie destinatarie della disciplina: esercenti le professioni sanitarie; organismi sanitari. La prima categoria ricomprende i medici-chirurghi, soggetti che esercitano un attività medica per la quale è richiesto un titolo di studio, un abilitazione da parte dell Autorità Pubblica e, se necessario, l iscrizione in un apposito albo. Sono esclusi dall applicazione della normativa: gli esercenti le cosiddette arti ausiliarie: tecnico ortopedico, igienista dentale, infermiere, ostetrico, fisioterapista, logopedista ecc. i praticanti la medicina alternativa (per esempio chiropratica, neuropatia), quando non sono in possesso del titolo e dell abilitazione all esercizio della professione medica. Nella seconda categoria ricadono le ASL, le ASO, gli enti di ricerca e sperimentazione medica e i centri di ricerca e sperimentazione medica e i centri di igiene ambientali pubblici, i servizi di prevenzione e sicurezza sul lavoro.

16 QUANDO I DATI POSSONO ESSERE TRATTATI I dati sono trattati: con il consenso dell interessato senza autorizzazione del Garante se il trattamento riguarda dati e operazioni indispensabili per perseguire una finalità di tutela della salute o dell incolumità fisica dell interessato; senza il consenso dell interessato, ma previa autorizzazione del Garante, se la finalità di tutela della salute riguarda un terzo o la collettività. QUALE INFORMATIVA DEVE ESSERE FORNITA ALL INTERESSATO All interessato devono essere comunicate: le finalità e le modalità del trattamento cui sono destinati i dati; la natura obbligatoria o facoltativa del conferimento dei dati; le conseguenze di un eventuale rifiuto di rispondere; i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato del responsabile.

17 Consenso dell interessato Gli esercenti le professioni sanitarie e gli organismi sanitari pubblici trattano i dati personali sanitari con il consenso dell interessato e senza autorizzazione del Garante se il trattamento riguarda dati e operazioni indispensabili per perseguire una finalità di tutela della salute o dell incolumità fisica dell interessato, oppure, senza il consenso dell interessato, ma previa autorizzazione del Garante (che deve sentire il Consiglio Superiore di Sanità), se la finalità di tutela della salute riguarda un terzo o la collettività. Il sistema del consenso è semplificato rispetto alla previsione generale che richiede che il consenso al trattamento dei dati sensibili avvenga espressamente e per iscritto. Il consenso al trattamento di dati idonei a rivelare lo stato di salute non solo nel caso in cui esso riguardi informazioni utili a tutelare interessi della collettività, ma anche quando il trattamento attenga la salute o l incolumità dell interessato può essere espresso per iscritto o verbalmente. In quest ultimo caso si compie con registrazione dell espressione da parte del professionista sanitario o dell operatore per conto dell azienda sanitaria. Può esprimere il consenso: l interessato; il legale rappresentante o un prossimo congiunto o un familiare o un convivente o il responsabile della struttura presso cui dimora l interessato, nel caso di impossibilità fisica o di incapacità di intendere e di volere dell interessato (interdizione); Il consenso deve essere ottenuto prima del trattamento dei dati, ma vi sono casi in cui è possibile ottenerlo successivamente: se vi è impossibilità fisica, incapacità di agire o di intendere e volere dell interessato e non vi sia una persona abilitata al consenso; se sussiste un grave rischio per la salute o l incolumità dell interessato; se vi sono esigenze di urgenza medica. La comunicazione dei dati deve avvenire in modo intellegibile anche attraverso una grafia comprensibile e, in caso di comunicazione di codici o sigle, devono essere forniti i parametri per la comprensione del significato. I dati che, anche a seguito di verifiche, risultino eccedenti o non pertinenti o non indispensabili non possono essere utilizzati, salvo che per l eventuale conservazione, a norma di legge, dell atto o del documento che li contiene.

18 DIRITTI DEL CITTADINO L interessato può chiedere al titolare o al responsabile del trattamento dei dati personali: - di conoscere le finalità dei dati personali - le modalità del trattamento - l aggiornamento dei dati - la cancellazione dei dati - il modello di richiesta è reperibile in teria+di+protezione+dei+dati+personali.pdf In caso di mancata risposta o di risposta non soddisfacente l interessato può: rivolgersi al Tribunale rivolgersi al Garante della privacy (e in tal caso non è più possibile rivolgersi al Tribunale) proponendo: un reclamo una segnalazione un ricorso. Per informazioni, assistenza nelle procedure e nei rapporti con il Garante, richieste di documentazione e materiale informativo v.

19 Deontologia del garante e buona condotta Promuove nell ambito delle categorie interessate, nell osservanza del principio di rappresentatività e tenendo conto dei criteri direttivi delle raccomandazioni del Consiglio d Europa sul trattamento dei dati personali, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, ne verifica la conformità alle leggi e ai regolamenti anche attraverso l esame di osservazioni di soggetti interessati e contribuisce a garantirne la diffusione e il rispetto. I codici sono pubblicati sulla Gazzetta Ufficiale a cura del Garante e il loro rispetto costituisce condizione essenziale per la liceità e correttezza del trattamento dei dati personali effettuato da soggetti privati e pubblici

20 INFORMATIVA L'art. 13 C.d.P. dispone Il Titolare ha l'obbligo di informare previamente l'interessato l interessato oralmente o per iscritto: delle finalità del trattamento della natura obbligatoria o facoltativa del conferimento dei dati delle conseguenze del rifiuto al conferimento dell'ambito di comunicazione e diffusione dei dati dell'eventuale trasferimento dei dati all'estero dei diritti dell'interessato ai sensi e per gli effetti dell'art. 7 C.d.P. (riguarda l accesso ai dati personali) del Titolare, del Responsabile e degli Incaricati

21 Consenso preventivo Se vengono trattati dati sensibili ai sensi e per gli effetti degli artt C.d.P. oltre all'informativa è necessario che l'interessato presti il proprio consenso che deve essere: esplicito libero documentato per iscritto in modo da essere inequivocabile. Il silenzio, pertanto, non può essere considerato una forma consenso. Il consenso è l'espressione da parte dell'interessato della propria autorizzazione al trattamento dei dati. Il trattamento senza consenso comporta sanzioni civili e penali. Ai fini della corretta informazione e del contestuale ottenimento del consenso si ricorre alla lettera informativa e di consenso, che contiene sia l'informativa che la richiesta di consenso.

22 Lettera informativa e di consenso Ai fini della corretta informazione e del contestuale ottenimento del consenso si ricorre alla lettera informativa e di consenso, che contiene sia l'informativa che la richiesta di consenso. Particolare disciplina riguarda anche misure di sicurezza che devono essere adottate ai fini del trattamento dei dati. Sono previste misure minime di sicurezza obbligatorie come recita il dettato dell'art. 33 C.d.P., che si distinguono in base al fatto che il trattamento dei dati venga effettuato CON o SENZA l'ausilio di strumenti informatici.

23 Art. 34 trattamenti con strumenti elettronici Devono essere rispettate le seguenti misure minime di sicurezza: autenticazione informatica adozione procedure gestione adozione di procedure di delle credenziali di autenticazione uso di un sistema di autorizzazione aggiornamento periodico dell'ambito del trattamento consentito ai singoli incaricati ed agli addetti alla gestione e manutenzione degli strumenti elettronici protezione di strumenti e dati da trattamenti illeciti, di dati, accessi non consentiti e determinati programmi informatici tenuta di un aggiornato Documento Programmatico sulla Sicurezza utilizzo di un sistema cifrato o codificato per il trattamento di dati circa lo stato di salute o la vita sessuale da parte di organismi sanitari In caso di trattamento di dati sensibili o giudiziari la password è modificata almeno ogni tre mesi. Il Titolare deve fornire agli incaricati prescrizioni circa la segretezza delle passwords (che devono essere uniche ed aggiornate almeno una volta l'anno) e custodia dei dispositivi smart card. Con cadenza settimanale deve essere effettuata una copia di back up degli archivi

24 ART. 35 TRATTAMENTI SENZA AUSILIO DI STRUMENTI ELETTRONICI richiede le seguenti misure minime: aggiornamento periodico dell'ambito del trattamento consentito ai singoli incaricati o alle unità organizzative previsione di procedure per l'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati Gli incaricati al trattamento devono essere individuati con un documento a scadenza annuale e devono essere impartite istruzioni scritte circa la gestione e custodia dei dati. I documenti contenti dati sensibili affidati agli incaricati per lo svolgimento delle proprie mansioni sono controllati e custoditi dagli incaricati stessi sino alla restituzione, in modo da impedire l'accesso a persone prive di autorizzazione. L'accesso agli archivi contenenti dati sensibili deve essere controllato ed i soggetti ammessi devono essere identificati e registrati, controllandone sia l'identità che il tempo di permanenza nel locale

25 Modalità del trattamento e requisiti dei dati I dati personali oggetto di trattamento sono: Trattati in modo lecito e secondo correttezza Raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi Esatti, e se necessario, aggiornati Pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati Conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati

26 Danni cagionati per effetto del trattamento In base al disposto dei secondo comma art.11 i dati personali trattati in violazione della disciplina del codice non possono essere utilizzati. Pertanto l art.15 specifica che chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art.2050 cc e che il danno non patrimoniale è risarcibile anche in caso di violazione dell art. 11

27 Cessazione del trattamento In caso di cessazione, per qualsiasi causa, di un trattamento i dati sono: a) distrutti b) ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione d) conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta

28 Formula di acquisizione del consenso per il trattamento di dati sensibili Luogo... Data... Cognome... Nome... Il/La sottoscritto/a, acquisite le informazioni fornite dal titolare del trattamento ai sensi dell'art. 13 del D.lgs. n. 196/2003, e consapevole, in particolare, che il trattamento riguarderà i dati "sensibili" di cui all'art.4 comma 1lett. d), nonché art.26 del D.lgs.196/2003, vale a dire i dati "idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale": presta il suo consenso per il trattamento dei dati necessari allo svolgimento delle operazioni indicate nell'informativa. Firma leggibile... presta il suo consenso per la comunicazione dei dati ai soggetti indicati nell'informativa. (nel caso in cui sia prevista anche la comunicazione dei dati sensibili dell'interessato) Firma leggibile... presta il suo consenso per la diffusione dei dati nell'ambito indicato nell'informativa. (nel caso in cui sia prevista anche la diffusione dei dati sensibili diversi da quelli idonei a rivelare lo stato di salute dell'interessato; questi ultimi, infatti, non possono essere diffusi). Firma leggibile...

29