DICHIARA. Nello specifico dei prodotti e dei servizi sopra citati Microcosmos Multimedia S.r.l. CERTIFICA

Transcript

1 1 Dichiarazione di conformità dei prodotti e dei servizi Microcosmos per la gestione della forma associativa Medicina in Rete di cui al comma 8 dell art. 40 del D.P.R. 28 luglio 2000, n. 270 (Accordo Collettivo Nazionale per la disciplina dei rapporti con i Medici di Medicina Generale) al D.Lgs. 30 giugno 2003 n.196 (Codice in materia di protezione dei dati personali) Dal 1 gennaio 2004 è in vigore il Codice in materia di protezione dei dati personali di cui al Decreto Legislativo n.196 del 30 giugno 2003 che disciplina tutta la materia in merito al trattamento ed alla protezione dei dati personali e sensibili redatto dall Autorità Garante per la Privacy. La società Microcosmos Multimedia S.r.l., con unica sede in Torino, Corso Vinzaglio 1, è titolare dell applicativo software per la gestione della forma associativa Medicina in Rete, di cui al comma 8 dell art. 40 del D.P.R. 270/2000, denominato Phronesis Net e Main contractor nei confronti dell utente finale del servizio di Hosting dedicato in I.D.C. idoneo alla sua realizzazione. La finalità dell applicazione software e del servizio telematico offerto è quella di consentire ai Medici di Medicina Generale di gestire i dati delle cartelle cliniche dei propri pazienti e di quelli degli altri medici appartenenti alla medesima forma associativa, nel pieno rispetto di quanto disposto dal D.P.R. 270/2000 e dal D.Lgs. 196/2003, tramite la centralizzazione dei loro archivi presso i server dislocati nell Internet Data Center di Telecom Italia S.p.A. in Pomezia (Roma), S.S. 148 Pontina Km. 29,100 (già Saritel S.p.A. società fusa per incorporazione nell I.T. di Telecom Italia S.p.A., Viale Parco dei Medici 61, Roma). In merito al trattamento dei dati personali e sensibili inerenti alla salute dei pazienti gestiti con il sopra citato prodotto (Software Phronesis Net) e servizio (Hosting dedicato in I.D.C. Telecom Italia) si precisa che: 1)Ciascun Medico di Medicina Generale, titolare della licenza d uso del programma Phronesis Net e del servizio atto a gestire la Medicina in rete proposto da Microcosmos Multimedia S.r.l., in quanto titolare delle scelte dei pazienti che ha in carico, è da ritenersi: Titolare del trattamento dei dati personali e sensibili dei propri assistiti, Responsabile del trattamento dei dati personali e sensibili dei pazienti degli altri medici componenti la medesima forma associativa, mentre l eventuale Segretaria od Infermiera, alle sue dirette dipendenze, è Incaricata del trattamento dei dati personali e sensibili dei pazienti di tutti i medici dell associazione. 2)Microcosmos Multimedia S.r.l., con sede in Torino, Corso Vinzaglio 1, in quanto Main contractor nei confronti dell utente finale (Medici di Medicina Generale

2 2 associati ex art. 40 del D.P.R. 270/2000) della propria applicazione software e del servizi telematici proposti per la gestione della Medicina in Rete Geografica assume, tramite il suo legale rappresentante o persona da lui delegata, l incarico di Titolare del trattamento dei dati per il complesso e nell interezza del servizio offerto. 3)Microcosmos Multimedia S.r.l., con sede in Torino, Corso Vinzaglio 1, in quanto responsabile dell assistenza e della manutenzione della propria applicazione software Phronesis Net, assume, limitatamente a tali funzioni, tramite il suo legale rappresentante o persona da lui delegata, l incarico di Responsabile del trattamento dei dati personali e sensibili registrati negli archivi dei medici titolari delle relative licenze d uso i quali le conferiscono, a tale riguardo, formale incarico. 4)MultiCom S.a.s., con sede in Pineto (TE), Via Livorno 25, in quanto designata da Microcosmos Multimedia S.r.l. ad erogare l assistenza sistemistica alla propria applicazione per la gestione della Medicina in Rete Geografica denominata Phronesis Net, assume, limitatamente a tale funzione, tramite il suo legale rappresentante o persona da lui delegata, l incarico di Incaricata del trattamento dei dati registrati sui server dislocati presso l Internet Data Center di Telecom Italia S.p.A. in Pomezia (Roma), S.S. 148 Pontina Km. 29,100. Tutto ciò premesso, Microcosmos Multimedia S.r.l. DICHIARA che, in ottemperanza a quanto disposto dal D.Lgs del 30 giugno 2003, n. 196, in data 17 dicembre 2004 ha provveduto ad effettuare, in quanto Titolare del trattamento, la Notificazione di tale trattamento dati all Autorità Garante per la protezione dei dati personali, tramite iscrizione al Registro dei trattamenti N allegata alla presente dichiarazione, ed ha predisposto la relativa redazione del Documento Programmatico per la Sicurezza per l anno Nello specifico dei prodotti e dei servizi sopra citati Microcosmos Multimedia S.r.l. CERTIFICA la piena corrispondenza di questi ultimi a quanto disposto dall art. 34 del D.Lgs. 30 giugno 2003 n.196 che disciplina il trattamento dei dati mediante l utilizzo di strumenti elettronici, come di seguito riportato: 1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell allegato B, le seguenti misure minime: a. autenticazione informatica; b. adozione di procedure di gestione delle credenziali di autenticazione; c. utilizzazione di un sistema di autorizzazione;

3 3 d. aggiornamento periodico dell individuazione dell ambito del trattamento strumenti elettronici; e. protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f. adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g. tenuta di un aggiornato documento programmatico sulla sicurezza; h. adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. Di seguito si riportano alcune osservazioni in merito all utilizzo dell applicativo software e dei servizi telematici proposti: A) Osservazioni relative all utilizzo del software Phronesis Net a) autenticazione informatica: Il programma adotta un meccanismo di autenticazione basato su nome utente e password. La password deve essere composta da almeno 8 caratteri alfanumerici e non deve contenere riferimenti agevolmente riconducibili all utente (All.B pto 5). Il programma automaticamente, dopo tre mesi, richiede la sostituzione della password e verifica che non sia riutilizzata la stessa (All.B pto 5) b) adozione di procedure di gestione delle credenziali di autenticazione: Il programma consente all utente titolare di modificare il nome utente e la password, assegnando i relativi account ai vari responsabili ed agli incaricati del trattamento dati (All.B pto 6). L utente titolare deve revocare una password se l utente non accede al programma da oltre sei mesi (All.B pto 7) c) utilizzazione di un sistema di autorizzazione: Il programma consente di definire il profilo di ogni singolo utente (responsabile od incaricato), variando di conseguenza le modalità di accesso alle funzioni: lettura, scrittura e stampa (All.B pto 13) d) aggiornamento periodico dell individuazione dell ambito del trattamento strumenti elettronici: Verificare con cadenza almeno annuale i profili di ogni utente (All.B pti ); operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti ed a determinati programmi informatici: Aggiornare periodicamente antivirus e firewall a protezione di tutto il sistema (All.B pti ); operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata.

4 f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi: Il programma automaticamente avverte l utente che, trascorsi sette giorni dall ultimo backup è necessario procedere ad un nuovo backup degli archivi con verifica dell effettivo loro ripristino (All.B pto 23); operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata g) tenuta di un aggiornato documento programmatico sulla sicurezza: Operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari: I dati trasmessi tramite il software Phronesis Net sono criptati tramite l utilizzo di vari algoritmi di cifratura (All.B pti ). B) Osservazioni relative all utilizzo del servizio di Hosting dedicato in I.D.C. per la gestione della Medicina in rete geografica a) autenticazione informatica; Per accedere al sistema l utente deve prima autenticarsi mediante il collegamento al server e successivamente all archivio del medico mediante quindi due livelli di accesso. Il meccanismo di autenticazione è basato su nome utente e password. La password deve essere composta da almeno 8 caratteri alfanumerici e non deve contenere riferimenti agevolmente riconducibili all utente (All.B pto 5). Il programma automaticamente, dopo tre mesi, richiede la sostituzione della password e verifica che non sia riutilizzata la stessa (All.B pto 5) b) adozione di procedure di gestione delle credenziali di autenticazione: Il programma consente all utente titolare di modificare il nome utente e la password, assegnando i relativi account ai vari responsabili ed agli incaricati del trattamento dati (All.B pto 6). L utente titolare deve revocare una password se l utente non accede al programma da oltre sei mesi (All.B pto 7) c) utilizzazione di un sistema di autorizzazione: Il programma consente ad ogni singolo medico dell associazione, titolare del proprio archivio, di stabilire (assegnare) per ogni altro collega a lui associato, e per ogni sezione della cartella clinica (anamnesi, esami strumentali e di laboratorio, terapie, certificati, ecc.), privilegi personalizzati d accesso in lettura (nascondi), scrittura (modifica od aggiungi) e stampa dei dati memorizzati (privilegi estesi), fino a rendere invisibile il singolo dato registrato in cartella, se particolarmente riservato e sensibile d) aggiornamento periodico dell individuazione dell ambito del trattamento strumenti elettronici:

5 5 Verificare con cadenza almeno annuale i profili di ogni utente (All.B pti ); operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti ed a determinati programmi informatici: Operazioni garantite dalle policy di sicurezza dell Internet Data Center di Telecom Italia S.p.A f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi: Operazioni garantite dalle policy di sicurezza dell Internet Data Center di Telecom Italia S.p.A g) tenuta di un aggiornato documento programmatico sulla sicurezza: Operazione a carico del Titolare del trattamento o persona da lui appositamente incaricata h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari: I dati trasmessi tramite il software Phronesis Net sono criptati tramite l utilizzo di vari algoritmi di cifratura (All.B pti ). Torino 17/12/2004 Per Microcosmos Multimedia Il legale rappresentante