REGOLAMENTO PER LA SICUREZZA DEI DATI PERSONALI

Transcript

1 CASA DI RIPOSO CESARE BERTOLI NOGAROLE ROCCA (VR) REGOLAMENTO PER LA SICUREZZA DEI DATI PERSONALI TRATTAMENTO EFFETTUATO CON ELABORATORI NON COLLEGATI IN RETE E NON ACCESSIBILI DA ALTRI ELABORATORI O TERMINALI 1

2 TRATTAMENTO EFFETTUATO CON ELABORATORI ACCESSIBILI DA ALTRI ELABORATORI SOLO ATTRAVERSO RETI NON DISPONIBILI AL PUBBLICO CASA DI RIPOSO CESARE BERTOLI NOGAROLE ROCCA (VR) ART. 1 CAMPO DI APPLICAZIONE Le disposizioni di cui al D.P.R , n. 318, si applicano al trattamento dei dati personali effettuato presso la Casa di Riposo Cesare Bertoli di Nogarole Rocca, per il tramite del personale che il Responsabile del trattamento dati dell Ente incaricherà per iscritto ai sensi delle disposizioni di cui al comma 5 dell art. 8 della legge 675/1996. ART. 2 - MODALITA DEL TRATTAMENTO DEI DATI EFFETTUATO MEDIANTE ELABORATORI Il trattamento dei dati personali archiviati presso gli elaboratori della Casa di Riposo Cesare Bertoli di Nogarole Rocca è effettuato con le modalità indicate nelle seguenti tabelle: TRATTAMENTO RELATIVO A DATI PERSONALI DIVERSI DA QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996: L elaboratore deve essere utilizzato, per la gestione delle attività dell Ente, esclusivamente da parte delle figure professionali che il Responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha specificatamente incaricato del trattamento. L accesso al menù dei programmi gestionali o al desktop di windows avviene tramite parola chiave (password) da inserire all avvio del computer. La parola chiave password è fornita agli incaricati del trattamento, per iscritto, da parte del Responsabile dell Ufficio o Servizio o dall Amministratore di Sistema, se nominato. gli incaricati del trattamento hanno l obbligo del segreto professionale sulla parola chiave. Il responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha pieno accesso a tutte le informazioni che concernono le parole chiave. I soggetti preposti alla custodia delle parole chiave sono i responsabili degli uffici o dei reparti, rispettivamente per gli elaboratori di propria competenza, oppure l Amministratore di Sistema, se nominato. Tali soggetti, previa comunicazione al Responsabile del trattamento dati dell Ente, possono altresì autonomamente provvedere alla sostituzione della parola chiave quando lo ritengano opportuno. L utilizzo di supporti esterni di memorizzazione (cd, dischetti, nastri, ecc.) è consentito esclusivamente per l attività gestionale dell ente e deve essere preceduto da controllo, con specifico programma, al fine di garantirne l integrità dai programmi di cui all art. 615-quinquies del codice penale (i cosiddetti virus informatici ). Il responsabile del servizio deve effettuare la cancellazione dei files che non sono più utilizzati. Il responsabile del trattamento provvede, con specifico programma, a far effettuare controlli periodici degli archivi e programmi installati nell elaboratore al fine di controllare l eventuale presenza di virus informatici. A cadenza periodica il responsabile del servizio dispone che siano effettuati i salvataggi dei dati archiviati con conservazione dei supporti di back up in luogo differente da dove è installato il computer, dentro un contenitore ad isolamento termico e magnetico. 2

3 TRATTAMENTO EFFETTUATO CON ELABORATORI ACCESSIBILI DA ALTRI ELABORATORI MEDIANTE UNA RETE DI TELECOMUNICAZIONI DISPONIBILI AL PUBBLICO TRATTAMENTO RELATIVO A DATI PERSONALI DIVERSI DA QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996: L elaboratore deve essere utilizzato, per la gestione delle attività dell Ente, esclusivamente da parte delle figure professionali che il Responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha specificatamente incaricato del trattamento. L accesso al menù dei programmi gestionali o al desktop di windows avviene tramite parola chiave (password) da inserire all avvio del computer. Oltre a quanto sopraindicato è attribuito a ciascun incaricato del trattamento un codice identificativo personale per l utilizzo dell elaboratore che non può, neppure in tempi diversi, essere assegnato a persone diverse. La parola chiave per l accesso al computer ed il codice personale sono assegnati all incaricato del trattamento, per iscritto, dal responsabile dell ufficio o del servizio, rispettivamente per gli elaboratori in rete di propria competenza, o dall Amministratore di sistema, se nominato. Non è consentita l utilizzazione di un medesimo codice identificativo personale per accedere contemporaneamente alla stessa applicazione da diverse stazioni lavoro. gli incaricati del trattamento hanno l obbligo del segreto professionale sulla parola chiave e sul codice personale per l utilizzazione dell elaboratore. Il responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha pieno accesso a tutte le informazioni che concernono le parole chiave ed i codici identificativi personali degli incaricati del trattamento. I soggetti preposti alla custodia delle parole chiave e dei codici personali sono i responsabili degli uffici o dei reparti, rispettivamente per gli elaboratori di propria competenza, o l Amministratore di Sistema, se nominato. Tali soggetti, previa comunicazione al Responsabile del trattamento dati dell ente, possono altresì autonomamente provvedere alla sostituzione della parola chiave e dei codici identificativi personali quando lo ritengano opportuno. I codici identificativi personali per l utilizzo dei programmi gestionali devono essere disattivati a cura dei responsabili degli uffici o servizi o dell Amministratore di Sistema in caso di perdita da parte degli incaricati del trattamento della qualità che consentiva l accesso all elaboratore o di mancato utilizzo (ad esempio durante i periodi di assenza delle dipendenti per maternità) dei medesimi per un periodo superiore ai sei mesi. Gli elaboratori devono essere protetti contro il rischio di intrusione ad opera di programmi di cui all art. 615-quinquies del codice penale, mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati, da parte del Responsabile del trattamento dati o dell Amministratore di Sistema, con cadenza almeno semestrale. L utilizzo di supporti esterni di memorizzazione (cd, dischetti, nastri, ecc.) è consentito esclusivamente per l attività gestionale dell ente e deve essere preceduto da controllo, con specifico programma, al fine di garantirne l integrità dai programmi di cui all art. 615-quinquies del codice penale (i cosiddetti virus informatici ). Il responsabile del servizio deve effettuare la cancellazione dei files che non sono più utilizzati. Il responsabile del trattamento provvede, con specifico programma, a far effettuare controlli periodici degli archivi e programmi installati nell elaboratore al fine di controllare l eventuale presenza di virus informatici. A cadenza periodica il responsabile del servizio dispone che siano effettuati i salvataggi dei dati archiviati con conservazione dei supporti di back up in luogo differente da dove è installato il computer, dentro un contenitore ad isolamento termico e magnetico. TRATTAMENTO RELATIVO A DATI PERSONALI CHE COMPRENDONO ANCHE QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996. Quando il trattamento di dati personali comprende anche i dati indicati agli artt. 22 e 24 della legge 675/1996, oltre a quanto previsto nella prima parte della tabella, si applicano le seguenti ulteriori prescrizioni: il Responsabile del trattamento dati dell ente, dopo aver verificato la validità delle richieste di accesso ai dati personali di cui all art. 22 della legge 675/1996, consente l accesso ai dati agli incaricati del trattamento ed assegna una ulteriore autorizzazione, relativa ai soli dati la cui conoscenza è necessaria e sufficiente per lo svolgimento delle operazioni di trattamento o manutenzione, singolarmente o per gruppi di lavoro (ad esempio alle categorie degli infermieri professionali, degli operatori socio-assistenziali, ecc.). Il Responsabile, periodicamente, e comunque almeno una volta all anno, verifica la sussistenza delle condizioni per la conservazione della autorizzazione al trattamento dei dati sensibili. I supporti già utilizzati per il trattamento possono essere riutilizzati qualora le informazioni precedentemente contenute non siano in alcun modo tecnicamente recuperabili, altrimenti devono essere distrutti. I dati idonei a rivelare lo stato di salute sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo. 3

4 TRATTAMENTO RELATIVO A DATI PERSONALI DIVERSI DA QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996: L elaboratore deve essere utilizzato, per la gestione delle attività dell ente, esclusivamente da parte delle figure professionali che il Responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha specificatamente incaricato del trattamento. L accesso al menù dei programmi gestionali o al desktop di windows avviene tramite parola chiave (password) da inserire all avvio del computer. Oltre a quanto sopraindicato è attribuito ciascun incaricato del trattamento un codice identificativo personale per l utilizzo dell elaboratore che non può, neppure in tempi diversi, essere assegnato a persone diverse. La parola chiave per l accesso al computer ed il codice personale sono assegnati all incaricato del trattamento, per iscritto, dal responsabile dell ufficio o del servizio, rispettivamente per gli elaboratori in rete di propria competenza. Non è consentita l utilizzazione di un medesimo codice identificativo personale per accedere contemporaneamente alla stessa applicazione da diverse stazioni lavoro. gli incaricati del trattamento hanno l obbligo del segreto professionale sulla parola chiave e sul codice personale per l utilizzazione dell elaboratore. Il responsabile del trattamento dati della Casa di Riposo Cesare Bertoli ha pieno accesso a tutte le informazioni che concernono le parole chiave ed i codici identificativi personali degli incaricati del trattamento. I soggetti preposti alla custodia delle parole chiave e dei codici personali sono i responsabili degli uffici o dei reparti, rispettivamente per gli elaboratori di propria competenza, o l Amministratore di Sistema, se nominato. Tali soggetti, previa comunicazione al Responsabile del trattamento dati dell Ente, possono altresì autonomamente provvedere alla sostituzione della parola chiave e dei codici identificativi personali quando lo ritengano opportuno. I codici identificativi personali per l utilizzo dei programmi gestionali devono essere disattivati a cura dei responsabili degli uffici o servizi o dell Amministratore di Sistema in caso di perdita da parte degli incaricati del trattamento della qualità che consentiva l accesso all elaboratore o di mancato utilizzo (ad esempio durante i periodi di assenza delle dipendenti per maternità) dei medesimi per un periodo superiore ai sei mesi. Gli elaboratori devono essere protetti contro il rischio di intrusione ad opera di programmi di cui all art. 615-quinquies del codice penale, mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati, da parte del Responsabile del trattamento dati o dall Amministratore di Sistema, con cadenza almeno semestrale. L utilizzo di supporti esterni di memorizzazione (cd, dischetti, nastri, ecc.) è consentito esclusivamente per l attività gestionale dell ente e deve essere preceduto da controllo, con specifico programma, al fine di garantirne l integrità dai programmi di cui all art. 615-quinquies del codice penale (i cosiddetti virus informatici ). Il responsabile del servizio deve effettuare la cancellazione dei files che non sono più utilizzati. Il responsabile del trattamento provvede, con specifico programma, a far effettuare controlli periodici degli archivi e programmi installati nell elaboratore al fine di controllare l eventuale presenza di virus informatici. A cadenza periodica il responsabile del servizio dispone che siano effettuati i salvataggi dei dati archiviati con conservazione dei supporti di back up in luogo differente da dove è installato il computer, dentro un contenitore ad isolamento termico e magnetico. TRATTAMENTO RELATIVO A DATI PERSONALI CHE COMPRENDONO ANCHE QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996. Quando il trattamento di dati personali comprende anche i dati indicati agli artt. 22 e 24 della legge 675/1996, oltre a quanto previsto nella prima parte della tabella, si applicano le seguenti ulteriori prescrizioni: il Responsabile del trattamento dati dell ente, dopo aver verificato la validità delle richieste di accesso ai dati personali di cui all art. 22 della legge 675/1996, consente l accesso ai dati agli incaricati del trattamento ed assegna una ulteriore autorizzazione, relativa ai soli dati la cui conoscenza è necessaria e sufficiente per lo svolgimento delle operazioni di trattamento o manutenzione, singolarmente o per gruppi di lavoro (ad esempio alle categorie degli infermieri professionali, degli operatori socio-assistenziali, ecc.). Il Responsabile, periodicamente, e comunque almeno una volta all anno, verifica la sussistenza delle condizioni per la conservazione della autorizzazione trattamento dei dati sensibili. Il Responsabile deve individuare i singoli elaboratori attraverso i quali è possibile effettuare operazioni di trattamento autorizzandone espressamente l utilizzo ed indicando le misure di sicurezza da adottare durante i collegamenti. I supporti già utilizzati per il trattamento possono essere riutilizzati qualora le informazioni precedentemente contenute non siano in alcun modo tecnicamente recuperabili, altrimenti devono essere distrutti. I dati idonei a rivelare lo stato di salute sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo. 4

5 Art. 3 - ART. 3 MODALITA TRATTAMENTO DEI DATI PERSONALI EFFETTUATO CON STRUMENTI DIVERSI DA QUELLI ELETTRONICI O COMUNQUE AUTOMATIZZATI Il trattamento dei dati personali, utilizzati dall ente per la gestione delle attività istituzionali, disposto senza strumenti elettronici o comunque automatizzati è effettuato con le modalità indicate nella seguente tabella: TRATTAMENTO RELATIVO A DATI PERSONALI DIVERSI DA QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996 Il Responsabile nel designare gli incaricati del trattamento per iscritto e nell impartire le istruzioni ai sensi degli articoli 8, comma 5, e 19 della legge 675/1996 e successive modifiche e integrazioni, prescrive, contemporaneamente, che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti loro assegnati definendo quindi l ambito di accesso. Gli atti, i documenti e le schede contenenti i dati devono essere conservati in archivi ad accesso selezionato. Si intende per archivio ad accesso selezionato quell archivio che è protetto da sistemi di chiusura che sono attivati al termine di utilizzo dell archivio stesso ed a cui possono accedere esclusivamente le figure professionali, incaricate del trattamento dati, espressamente autorizzate dal Responsabile dell Ente. Gli atti, i documenti e le schede occorrenti per l esecuzione della attività lavorativa possono essere affidati agli incaricati del trattamento i quali devono però procedere alla conservazione dei medesimi ed alla loro restituzione al termine delle operazioni affidate. Il responsabile del trattamento dati dell ente ha accesso agli archivi dell Ente. I documenti che non sono più utilizzati devono essere tagliati in pezzi prima di essere buttati nei contenitori per rifiuti. TRATTAMENTO RELATIVO A DATI PERSONALI CHE COMPRENDONO ANCHE QUELLI INDICATI DAGLI ARTT. 22 E 24 DELLA LEGGE 675/1996. Quando il trattamento di dati personali comprende anche i dati indicati agli artt. 22 e 24 della legge 675/1996, oltre a quanto previsto nella prima parte della tabella, si applicano le seguenti ulteriori prescrizioni: Se affidati agli incaricati del trattamento, gli atti, i documenti e le schede contenenti i dati sono conservati, al di fuori dei momenti di utilizzo durante l attività gestionale, fino alla restituzione, in contenitori muniti di serratura. L accesso agli archivi deve essere controllato, nel senso che deve essere consentito solo alle figure professionali espressamente autorizzate dal Responsabile del trattamento dati dell Ente, ed inoltre devono essere identificati e registrati i soggetti che vi vengono ammessi dopo l orario di chiusura degli archivi stessi. I supporti non informatici contenenti la riproduzione di informazioni relative al trattamento di dati personali di cui all art. 22 delle legge 675/1996 (es. fotocopie) devono essere conservati e custoditi con le modalità sopraindicate. I dati idonei a rivelare lo stato di salute sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo. Approvato con deliberazione del Consiglio di Amministrazione n.09 del

6 6