Per l Azienda Ospedaliera San Camillo Forlanini Il Direttore della U.O. (timbro e firma) Allegato. Roma, Dott./Sig U.O

Transcript

1 Roma, Allegato Dott./Sig U.O OGGETTO: Incarico ed istruzioni per il trattamento dei dati personali (art. 30 D. Lgs. n. 196/2003 -Codice Privacy) da parte del personale in servizio presso la/le U.O. in indirizzo. In relazione alle attività svolte da questa Azienda Ospedaliera per il costante aggiornamento delle procedure ed adempimenti necessari per il rispetto della normativa sulla privacy, confermiamo con la presente la designazione della S.V. quale Incaricato del trattamento di dati personali, ai sensi dell art. 30 del D. Lgs 196/2003 "Codice in materia di protezione dei dati personali" (d ora in avanti: Codice Privacy ). In relazione all ambito di trattamento consentito alla S.V. quale Incaricato, Le precisiamo che la S.V in servizio presso la suddetta U.O., è autorizzato al trattamento dei dati personali e sensibili relativi a pazienti per finalità di competenza della medesima UO, secondo i ruoli e compiti attribuiti ed in relazione agli ambiti dei trattamenti posti in essere nell'ambito dell'attività di servizio nell'azienda. Inoltre, Lei sarà tenuto quale Incaricato ad attenersi scrupolosamente alle istruzioni allegate alla presente (v. all. 1 ISTRUZIONI PER GLI INCARICATI DEL TRATTAMENTO DEI DATI PERSONALI) che costituiscono parte integrante del presente incarico, e alle ulteriori istruzioni che potranno essere impartite, anche successivamente, da questa Azienda e/o dal Responsabile della U.O. di appartenenza. Le ricordiamo che la violazione degli obblighi previsti dal Codice Privacy può esporre la nostra Azienda, i relativi esponenti ed anche i singoli incaricati a rischi sul piano delle responsabilità e sanzioni a livello civile, amministrativo ed anche penale. La preghiamo di voler cortesemente apporre la Sua firma per ricevuta della presente comunicazione e dei relativi allegati nell apposito elenco. Per l Azienda Ospedaliera San Camillo Forlanini Il Direttore della U.O. (timbro e firma) Area Governo Processi Amministrativi Coordinatore dott.ssa Anna Salducci PO Privacy/supporto alle Relazioni Sindacali Resp. Dott.ssa Cinzia Antonini privacy@scamilloforlanini.rm.it tel. 06/

2 Allegato 1 ISTRUZIONI PER GLI INCARICATI DEL TRATTAMENTO DEI DATI PERSONALI (Art. 30 del Codice Privacy) Di seguito sono riportate le istruzioni impartite all incaricato in merito al trattamento dei dati personali e sensibili effettuato nell ambito dell Azienda Ospedaliera San Camillo Forlanini per finalità di (barrare la/le ipotesi corrispondenti) tutela della salute degli interessati, ossia prevenzione, diagnosi, cura, riabilitazione, finalità rientranti in generale nei compiti del SSN e degli altri organismi sanitari pubblici attività amministrative correlate alle finalità di cura del paziente (es. prenotazione e pagamento delle prestazioni sanitarie, liste d'attesa, appuntamenti, accettazione,etc.) finalità di gestione del personale e del rapporto di lavoro dei dipendenti Si segnala che, alla fine del presente documento, è riportato un Glossario ad uso dei medesimi incaricati con la spiegazione del significato dei termini più ricorrenti, così come definiti dal Codice Privacy Ciascun Incaricato del trattamento dei dati personali, nell'ambito dei compiti e ruoli attribuiti, nonché della attività affidate, è tenuto ad attenersi alle seguenti istruzioni: effettuare operazioni di trattamento di dati personali soltanto per le finalità e con le modalità strettamente correlate allo svolgimento delle attività affidate e secondo le procedure, metodologie e prassi seguite dall Azienda Ospedaliera; accedere solo ai dati strettamente necessari all esecuzione delle predette attività ed ai sistemi, archivi o banche dati presenti presso l unità organizzativa in cui si presta la propria attività lavorativa; verificare che i dati acquisiti siano esatti e completi e che siano utilizzati in modo pertinente e non eccedente rispetto alle attività svolte e ai compiti assegnati; provvedere ad eseguire gli adempimenti previsti dal Codice Privacy secondo le presenti istruzioni e quelle eventualmente impartite di volta in volta dal Responsabile della U.O. di riferimento, utilizzando le procedure e modulistiche indicate dall Azienda Ospedaliera; mantenere la riservatezza sui dati di cui venga a conoscenza od in possesso per le attività svolte, senza divulgarli a terzi al di fuori dei casi connessi allo svolgimento delle stesse attività, secondo le indicazioni fornite dall Azienda Ospedaliera; astenersi, in caso di cessazione dell attività, dall effettuare operazioni di trattamento dei dati di cui sia venuto a conoscenza durante lo svolgimento dell incarico ed, in particolare, dal conservarli, duplicarli, comunicarli, o cederli a terzi; informare prontamente il Responsabile della UO di riferimento e/o le competenti funzioni dell Azienda Ospedaliera su ogni questione rilevante in relazione al trattamento di dati effettuato o su eventuali richieste ricevute dalle persone cui si riferiscono i dati; frequentare le attività formative organizzate dal Responsabile e/o dal Titolare sui contenuti e gli obblighi di legge. Al fine di evitare rischi di accesso non consentito, perdita o distruzione anche accidentale dei dati, ogni Incaricato deve inoltre attenersi a tutte le prescrizioni e misure di sicurezza che vengono qui di seguito riportate: controllare e custodire gli strumenti elettronici utilizzati per il trattamento dei dati e i documenti contenenti dati personali, di cui si è a conoscenza o in possesso per lo svolgimento delle attività e dei compiti assegnati, in modo tale da impedire l accesso a persone non autorizzate o trattamenti non consentiti; utilizzare il codice identificativo (user-id) e la password riservata assegnati per l accesso ai dati trattati mediante strumenti elettronici e custodirli garantendone la segretezza; la password deve esser composta da una sequenza di almeno otto caratteri, sia numerici che

3 alfabetici; nella generazione della password, si deve prestare la massima attenzione a non utilizzare elementi o notizie facilmente riconducibili all utilizzatore. Devono quindi, ad esempio, esser evitati riferimenti a: nome e cognome, data di nascita, numero di matricola, nome di familiari, numero di telefono di casa o dell ufficio, soprannomi noti, nonché nomi di personaggi famosi, ecc.; la password deve essere modificata al primo utilizzo ed ogni volta che viene richiesto dal sistema (al massimo3 mesi) ovvero in caso vi sia il dubbio che ne sia stata violata la segretezza. Nella generazione della nuova password, non devono essere utilizzate sequenze di caratteri già usate in precedenza; la password deve rimanere riservata e deve essere appositamente custodita (va, ad esempio, evitata l apposizione sul video-terminale, scrivania, ecc. di biglietti o adesivi contenti riferimenti alla password); in tutti i casi di allontanamento, anche temporaneo, dalla stazione di lavoro è necessario chiudere la propria sessione di lavoro. Tale accorgimento deve essere adottato soprattutto in caso di utilizzazione, da parte di più incaricati, della medesima stazione di lavoro; osservare scrupolosamente tutte le misure di sicurezza adottate a livello aziendale nonché prendere visione del Disciplinare interno sulle disposizioni riguardanti l uso della posta elettronica, internet, videofonini ed il trattamento dei dati personali dei lavoratori i trattamenti di dati contenuti in atti e documenti cartacei devono essere svolti garantendo sempre la corretta custodia degli stessi. I documenti non possono, pertanto, esser lasciati incustoditi sulla propria scrivania e/o in luoghi aperti al pubblico in assenza di altri incaricati addetti al medesimo trattamento; non devono esser consultati da altri incaricati non abilitati al trattamento; non possono esser riprodotti o fotocopiati se non per esigenze connesse alla finalità del trattamento; gli atti ed i documenti che contengono dati sensibili e/o sanitari e/o in ogni caso quelli tali da rendere necessaria un particolare livello di riservatezza sono conservati in fascicoli e folder separati, accessibili esclusivamente agli incaricati autorizzati. Gli incaricati addetti ad operazioni di trattamento su tali documenti, oltre alle accortezze di cui al punto precedente, sono tenuti alla fine della sessione di lavoro a depositare gli atti nei relativi archivi; In caso di risoluzione o scadenza del contratto, oppure nei casi in cui i dati personali non dovessero più servire per effettuare le attività dedotte in contratto, i dati medesimi dovranno essere restituiti all Azienda, oppure, a fronte di esplicita richiesta del Responsabile del trattamento, dovranno essere distrutti. La presente disposizione si riferisce anche alle eventuali copie di dati conservate presso le cliniche o case di cura dove vengono effettuate attività di intramoenia da parte del personale medico in servizio presso l Azienda. Si evidenzia altresì che tutti gli incaricati devono osservare le idonee misure adottate dall Azienda al fine di tutelare il rispetto dei diritti, delle libertà fondamentali e della dignità dei pazienti (art. 83 del Codice), volte in particolare a garantire: il rispetto, in relazione a prestazioni sanitarie o ad adempimenti amministrativi preceduti da un periodo di attesa all interno di strutture, di un ordine di precedenza e di chiamata degli interessati prescindendo dalla loro individuazione nominativa; l istituzione di appropriate distanze di cortesia, tenendo conto dell eventuale uso di apparati vocali o di barriere la prevenzione, durante i colloqui, dell indebita conoscenza da parte di terzi, di informazioni idonee a rivelare lo stato di salute l adozione di cautele per evitare che le prestazioni sanitarie, ivi compresa l eventuale documentazione di anamnesi, avvenga in situazioni di promiscuità derivanti dalle modalità o dai locali prescelti; Il rispetto della dignità dell interessato in occasione della prestazione medica ed in ogni operazione di trattamento dei dati; la previsione di opportuni accorgimenti volti ad assicurare che, ove necessario, possa essere data correttamente notizia o conferma anche telefonica ai soli terzi legittimati, di una prestazione di pronto soccorso; la previsione di adeguate modalità per informare i terzi legittimati in occasione di visite sulla dislocazione degli interessati nell ambito dei reparti, informandone previamente gli

4 interessati e rispettando eventuali loro contrarie manifestazioni legittime di volontà; la messa in atto di procedure, anche di formazione del personale, dirette a prevenire, nei confronti di estranei, una esplicita correlazione tra l interessato ed i reparti o strutture, indicative dell esistenza di un particolare stato di salute. la sottoposizione anche degli incaricati che non sono tenuti per legge al segreto professionale a regole di condotta analoghe al segreto professionale. Si ricorda, infine, che la violazione degli obblighi previsti dal Codice Privacy può esporre QUESTA Azienda Ospedaliera, i relativi esponenti ed anche i singoli Responsabili e/o Incaricati del trattamento a rischi sul piano delle responsabilità e delle sanzioni previste per legge a livello civile, amministrativo ed anche penale. Roma 2015 Per l Azienda Ospedaliera San Camillo Forlanini Il Direttore della U.O.

5 GLOSSARIO PRIVACY Trattamento: qualunque operazione o complesso di operazioni; concernenti la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modifica, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distribuzione di dati personali, anche se non registrati in una banca dati. Dati personali: qualunque informazione relativa alla persona fisica identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Dati sensibili: i dati relativi allo stato di salute di una persona, alle sue preferenze sessuali, alla sua origine razziale ed etnica, alla sua appartenenza sindacale o politica ed alle sue convinzioni religiose o filosofiche. Dati anonimi: i dati che in origine, o a seguito di trattamento, non possono essere associati ad una persona fisica identificata od identificabile Misure minime di sicurezza: il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Strumenti elettronici: gli elaboratori (computer o PC), i programmi informatici (software, applicativi) e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento. Autenticazione informatica: l insieme delle procedure informatiche il cui superamento consente agli incaricati, mediante l utilizzo di apposite credenziali, di effettuare uno specifico trattamento o un insieme di trattamenti di dati. Credenziali di autenticazione: codice identificativo (user-id, log-in, user-name) e parola chiave (password), nonché i dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l autenticazione informatica (come una smart card o penna USB). Parola chiave o password: la componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica. Sistema di autorizzazione: l insieme degli strumenti e delle procedure che abilitano l accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione dell incaricato. Titolare del trattamento: l Azienda Ospedaliera San Camillo Forlanini quale soggetto cui competono le decisioni in ordine alla finalità (tutela della salute e cura dei pazienti, correlate attività amministrative, gestione del personale, ecc.) alle modalità del trattamento di dati personali ed agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Responsabile del trattamento: la persona fisica, persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposto al trattamento di dati personali dal Titolare. L Azienda ha designato quali Responsabili i direttori/dirigenti delle UOC e quali Responsabili esterni le società informatiche che gestiscono i sistemi in cui sono presenti i dati di pazienti, dipendenti, ecc.. Incaricati del trattamento: le persone fisiche autorizzate, nell ambito di ogni unità o struttura, a compiere operazioni di trattamento sotto la diretta autorità o sorveglianza del Titolare o del Responsabile di riferimento. Interessato: la persona fisica (es.: paziente/utente) cui si riferiscono i dati raccolti e trattati nell ambito delle strutture dell Azienda Ospedaliera.

6 ELENCO INCARICATI ELENCO DEL PERSONALE DELLA U.O. CUI È STATA CONSEGNATA LA LETTERA DI INCARICO DEL TRATTAMENTO DEI DATI PERSONALI CON LE RELATIVE ISTRUZIONI Nome Cognome Data Firma dell Incaricato per ricevuta e presa visione Timbro e firma del Direttore della UO NB: il presente elenco con le firme degli incaricati deve essere inviato in copia alla UOC Affari Generali PO Privacy/supporto alle Relazioni Sindacali possibilmente via mail all'indirizzo : privacy@scamilloforlanini.rm.it Area Governo Processi Amministrativi Coordinatore dott.ssa Anna Salducci PO Privacy/supporto alle Relazioni Sindacali Resp. Dott.ssa Cinzia Antonini privacy@scamilloforlanini.rm.it tel. 06/

7 POSSIBILI GRUPPI DI INCARICATI NELL AMBITO DELL AZIENDA OSPEDALIERA: MEDICI DIR SANITARIA - COORD TRAPIANTI - IGIENE OSP. MEDICI DIR SANITARIA - COORD TRAPIANTI - IGIENE OSP. PERSONALE MED LEGALE E RISK MANAGEMENT PERSONALE MEDICINA DEL LAVORO E SPP PERSONALE FARMACIA PERSONALE LIBERA PROFESSIONE INFERMIERI E TECNICI AUSILIARI - OTA OSS PERSONALE UFFICIO RICOVERI PERSONALE AFFARI GENERALI PERSONALE GESTIONE DEL PERSONALE PERSONALE ACQUISIZIONE BENI E SERVIZI PERSONALE UOS INFORMATICA E PERSONALE INTERNO ADDETTO A SISTEMI INFORMATICI PERSONALE CONTROLLO DI GESTIONE PERSONALE AMMINISTRATIVO ALTRE STRUTTURE Ad esempio, per l'individuazione degli incaricati dovrebbero essere, in linea di massima, previsti moduli distinti per: a) dirigenti sanitari medici e non b) specializzandi c) personale sanitario non dirigente che opera in strutture assistenziali; d) personale amministrativo che opera in strutture assistenziali; e) personale amministrativo che opera in strutture amministrative/tecniche. I trattamenti consentiti sono rispettivamente connessi alle seguenti finalità: - sub a), b) e c) finalità di prevenzione, diagnosi cura e riabilitazione + attività amministrative correlate. - sub d) attività amministrative correlate a quelle di prevenzione, diagnosi cura e riabilitazione; - sub e), finalità istituzionali.