Source: http://docplayer.it/3849828-Regolamento-aziendale-sulla-tutela-della-privacy.html
Timestamp: 2017-12-16 11:29:24+00:00

Document:
REGOLAMENTO AZIENDALE SULLA TUTELA DELLA PRIVACY - PDF
Download "REGOLAMENTO AZIENDALE SULLA TUTELA DELLA PRIVACY"
1 REGOLAMENTO AZIENDALE SULLA TUTELA DELLA PRIVACY Art. 1 Oggetto Il presente regolamento disciplina gli interventi diretti alla tutela della privacy in ambito sanitario. Esso si attiene alle disposizioni attuative del D.lgs. 196/03 e rappresenta un atto d indirizzo in materia di protezione dei dati personali eseguiti, dall Azienda Ospedaliera Universitaria G. Martino di Messina, nel rispetto della dignità e del diritto alla riservatezza delle persone fisiche e giuridiche, le quali esercitano, a diversi livelli di responsabilità e di funzione, un rapporto diretto o indiretto con l azienda. Esse sono gli utenti, il personale dipendente, i fornitori, gli Enti e gli organismi pubblici e privati. L Azienda adotta idonee e preventive misure di sicurezza, volte a ridurre al minimo i rischi di perdita dei dati, di accesso non autorizzato al trattamento oppure di trattamento illecito e non conforme alle finalità della raccolta. L Azienda adotta, altresì, le misure necessarie per facilitare l esercizio dei diritti dell interessato, ai sensi dell art. 7 del D.lgs. 196/03. Art. 2 Dati Personali Il dato personale (art. 4, comma 1, lett. b) del D.lgs. 196/03) è qualunque informazione relativa a persona fisica, giuridica, Ente o associazione identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Il dato sensibile, ai sensi dell art. 4, comma 1, lett. d) del D.lgs. 196/03, è quel dato personale idoneo a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l adesione ai partiti politici, ai sindacati, ad associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché il dato personale idoneo a rivelare lo stato di salute e la vita sessuale dell interessato. Art.3 Trattamento dei dati personali Con l espressione trattamento, ai sensi dell art. 4, comma 1, lett. a) del D.lgs. 196/03, deve intendersi qualunque operazione o complesso di operazioni, effettuati anche senza l ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati personali acquisiti dall interessato. Qualunque trattamento di dati personali, da parte dell Azienda, è consentito soltanto per lo svolgimento delle funzioni istituzionali (art. 18, comma 2 D.lgs. 196/03), al fine di adempiere a compiti ad essa attribuiti da leggi e/o regolamenti. Il trattamento dei dati sensibili è invece consentito solo col consenso dell interessato, previa informativa nella quale sono specificate le modalità del trattamento e le finalità di rilevante interesse pubblico perseguite.
2 In ottemperanza ai principi di liceità, pertinenza e non eccedenza dei dati, la pubblicazione delle deliberazioni contenenti dati sensibili, deve avvenire previa selezione dei soli dati personali, la cui inclusione, nelle deliberazioni medesime, sia realmente necessaria per il raggiungimento delle finalità proprie di ciascun provvedimento. Art. 4 Criteri per l esecuzione del trattamento dei dati personali Il trattamento dei dati deve essere effettuato con modalità atte ad assicurare il rispetto del diritto di riservatezza e della dignità dell interessato. Oggetto del trattamento devono essere i soli dati personali necessari per lo svolgimento delle attività istituzionali. I dati personali devono essere trattati in modo lecito e corretto, raccolti e registrati secondo fini legittimi. I dati devono essere esatti, aggiornati, pertinenti e non eccedenti rispetto alle finalità per le quali sono raccolti e trattati. Nei trattamenti è autorizzata solo l esecuzione delle operazioni strettamente necessarie al perseguimento delle finalità per le quali il trattamento è consentito, anche quando i dati sono raccolti nello svolgimento di compiti di vigilanza, di controllo o ispettivi. E compito del Referente privacy aziendale e dei Responsabili del trattamento verificare, per delega del Titolare del trattamento, la liceità e la correttezza dei trattamenti, l esattezza e l aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite per compiti istituzionali. I dati che, anche a seguito di verifiche, risultassero eccedenti, non pertinenti o non necessari, non potranno essere utilizzati, salvo che per l eventuale conservazione, a norma di legge, dell atto che li contiene. I trattamenti di dati effettuati attraverso l accesso in banche dati, facenti capo a Titolari diversi dall Azienda (interconnessione di banche dati), sono espletati in base ad espressa disposizione di legge o approvata regolamentazione. In ogni caso devono essere adottate misure tali da garantire che i dati personali, soprattutto quelli sensibili, siano accessibili ai soli incaricati del trattamento e nella misura strettamente necessaria allo svolgimento delle mansioni di ciascuno. Art. 5 Comunicazione dei dati La comunicazione dei dati personali, da parte dell Azienda ad altri soggetti pubblici, è ammessa esclusivamente per fini istituzionali e/o, nei casi in cui vi sia il consenso dell interessato. Tale consenso viene acquisito previa informativa sulle finalità e le modalità di comunicazione dei suddetti dati (art. 19, comma 2, D.lgs. 196/03). La diffusione dei dati personali è ammessa unicamente per fini istituzionali, quando sia prevista da una norma di legge o da una regolamentazione d istituto (art. 19, comma 3 D.lgs. 196/03). I dati idonei a rivelare lo stato di salute non possono essere comunicati senza il consenso dell interessato (art. 22, comma 8 D.lgs. 196/03). Il consenso al trattamento, acquisito anche verbalmente dall interessato, è subordinato comunque all obbligo dell informativa sulle finalità e modalità di trattamento.
3 Art. 6 Informativa all interessato L informativa sulle finalità e le modalità di trattamento dei dati personali deve essere fornita obbligatoriamente all interessato. Essa può essere fornita mediante modello cartaceo (da accludere alla cartella clinica) o anche in forma verbale; oppure può essere esibita in formato poster, con l obbligo di affissione nei locali di maggiore transito dell utenza. L informativa deve essere fornita obbligatoriamente, a prescindere dalle modalità di acquisizione del consenso. Essa deve contenere gli elementi tassativamente indicati dall art. 13 del D.lgs. 196/03 e più specificatamente: la tipologia di dati trattati; le finalità e le modalità con le quali vengono trattati i dati; l obbligatorietà o meno del conferimento dei dati; i diritti dell interessato; gli estremi identificativi del Titolare e/o del Responsabile al trattamento; L informativa all interessato sulle finalità e le modalità di trattamento dei dati, costituisce parte integrante della cartella clinica adottata dall Azienda. Art. 7 Consenso al trattamento dei dati L Azienda Ospedaliera Universitaria Policlinico G. Martino di Messina tratta i dati idonei a rivelare lo stato di salute, per fini esclusivamente istituzionali, secondo le modalità previste dalla Legge ovvero: 1. senza acquisire preventivamente il consenso dall interessato, se il trattamento riguarda operazioni indispensabili a garantire l immediata tutela della salute o dell incolumità fisica dell interessato; 2. previo consenso dell interessato, acquisito in forma scritta o verbale, se il trattamento dei dati è differibile all atto assistenziale, il quale non ha carattere d urgenza: ad esempio la raccolta dei dati sensibili inerenti al ricovero in day hospital. In entrambe le modalità resta l obbligo dell informativa fornita anche verbalmente. Il modello per l acquisizione del consenso dei dati personali, da parte dell interessato, costituisce parte integrante della cartella clinica adottata dall Azienda. Nell ambito di attività istituzionali amministrative, concernenti il trattamento dei dati personali, per fini legittimi, non è obbligatorio richiedere il consenso scritto dell interessato, fermo restando il rispetto dell obbligo dell informativa. Art. 8 Il Titolare del trattamento dei dati personali Il Titolare del trattamento, ai sensi dell art. 4, comma 1, lett. f) del D.lgs. 196/03, è l Azienda Ospedaliera Universitaria Policlinico G. Martino, la cui persona giuridica è rappresentata dal Direttore Generale. Al Titolare del trattamento competono le decisioni in ordine alle finalità, alle modalità del trattamento dei dati personali ed alle misure organizzative utilizzate, in materia di privacy, ivi compreso il profilo della sicurezza. Egli si avvale, per il coordinamento delle attività di tutela della privacy, del Responsabile Aziendale della Privacy, il quale riveste un profilo di carattere esclusivamente funzionale, sia in materia di tutela della privacy che di sicurezza dei dati. Il Titolare del trattamento ovvero il Direttore Generale
4 risponde, in sede penale e civile, degli effetti sanzionatori per mancata ottemperanza alle disposizioni normative sulla tutela della privacy. Art. 9 - Il Responsabile Aziendale della Privacy Il Responsabile Aziendale della Privacy è un Responsabile del trattamento, delegato dal Titolare del trattamento, con atto deliberativo n. 231 del 30 marzo 2007, a coordinare gli interventi diretti alla tutela della privacy e a verificare l adozione delle misure di sicurezza nel trattamento dei dati personali. Il Responsabile Aziendale della Privacy risponde in sede penale e civile degli effetti sanzionatori per mancata ottemperanza alle disposizioni normative in materia di privacy. Egli per delega del Titolare del trattamento è preposto: ad assolvere all obbligo di notificazione del trattamento dei dati dell Azienda, secondo quanto disposto dal Garante per la protezione dei dati personali; a redigere modelli atti a fornire l informativa e ad acquisire il consenso al trattamento dei dati da parte dell interessato; a redigere regolamenti, manuali e codici comportamentali sulla tutela della privacy; a richiedere le autorizzazioni per trattamenti non preventivamente autorizzati o ad effettuare le dovute comunicazioni al Garante, in caso di ricorso o di modifica della notifica del trattamento; ad adottare, per quanto di competenza, le misure atte a garantire la sicurezza nel trattamento dei dati personali, redigendo ed aggiornando il Documento Programmatico sulla Sicurezza dei dati; ad impartire, ai Responsabili del trattamento, le necessarie istruzioni per una corretta gestione dei dati a tutela della privacy, ivi compresa la salvaguardia della loro integrità e sicurezza; a diffondere la cultura della privacy in Azienda, mediante la progettazione di interventi formativi in ECM, per i Responsabili e gli incaricati del trattamento. -Art. 10 L Incaricato del trattamento dei dati personali Incaricato del trattamento è il personale dipendente dell Azienda che, nell esercizio delle sue mansioni, tratta dati personali, sia in forma cartacea che automatizzata. La sua designazione ad incaricato è contenuta in un atto formale di nomina, sottoscritto dal Responsabile del trattamento dell Unità operativa a cui egli risulta essere adibito. L Incaricato è tenuto ad osservare le disposizioni organizzative impartite dal Responsabile Aziendale della Privacy, ovvero deve trattare i dati nel rispetto dei principi di legittimità, pertinenza e stretta necessità, ponendo attenzione alle varie procedure di trattamento e particolarmente alle operazioni concernenti la comunicazione e la diffusione dei dati. L incaricato che tratta dati personali in forma automatizzata è tenuto ad osservare le procedure di sicurezza dei dati, indicate nell allegato B del Dlgs 196/03 e nel Documento Programmatico della Sicurezza dei dati dell Azienda. L Incaricato, in relazione alle funzioni svolte, ha una responsabilità civile ed amministrativa.
5 Art. 11 Coordinamento aziendale per la privacy Il Coordinamento privacy aziendale assolve una funzione consultiva e di verifica dell efficacia degli interventi adottati dal Responsabile Aziendale per la Privacy, in materia di tutela della protezione dei dati personali. Esso provvede a vagliare e ad avallare i Documenti programmatici della sicurezza dei dati, i regolamenti, i manuali ed, in genere, tutti gli atti formali e deliberativi, finalizzati all ottemperanza della privacy in Azienda. Il Coordinamento privacy aziendale è costituito da persone dotate da comprovata esperienza in materia di privacy. I membri che lo compongono sono: 1. il Direttore Amministrativo o un Dirigente Amministrativo da lui delegato; 2. il Direttore Sanitario o un Dirigente Sanitario da lui delegato; 3. il Direttore dello staff della Direzione Generale o un suo delegato; 4. il Responsabile Aziendale per la Privacy o un suo delegato; 5. il Direttore del Servizio Informatico Aziendale o un suo delegato; 6. un legale interno all azienda o un suo delegato. Il Coordinamento privacy aziendale non ha responsabilità penale e civile, in quanto la sua funzione riveste solo carattere consultivo, ma ha responsabilità amministrativa. Art Notificazione del trattamento dei dati personali al Garante della protezione dei dati Il Codice impone a qualsiasi persona fisica o giuridica, cui competono le decisioni in merito alle finalità e alle modalità di trattamento dei dati personali, di notificare al Garante per la protezione dei dati personali, una serie di condizioni relative alla tipologia dei dati trattati, alla natura del trattamento, alla custodia dei dati, al trasferimento dei dati, alle misure di sicurezza adottate per ridurre al minimo i rischi, ecc. L atto di notificazione del trattamento dei dati personali, verrà formalizzato dall Azienda, verrà inviato al Garante della privacy secondo le modalità ed entro i termini previsti dalla Legge. Esso può essere oggetto di verifica ispettiva da parte dell Authority per la protezione dei dati personali. Art. 13 Diritti dell interessato Secondo quanto disposto dall art. 7 del D.lgs. 196/03, l interessato ha diritto, redigendo formale richiesta indirizzata all Ufficio del Referente privacy, di conoscere: 1. la conferma dell esistenza o meno di dati personali che lo riguardano e la loro comunicazione in forma intelligibile; 2. l indicazione: o dell origine del trattamento dei suoi dati personali; o delle finalità e delle modalità del trattamento; o della logica applicata in caso di trattamento effettuato con l ausilio di strumenti elettronici; o degli estremi identificativi del Titolare;
6 o dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati; 3. l interessato può richiedere: o l aggiornamento, la rettificazione ovvero, qualora vi abbia o interesse, l integrazione dei dati; la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; 4. L interessato ha inoltre il diritto di opporsi in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta. Nel caso in cui intenda presentare ricorso, per fatti inerenti al trattamento dei propri dati personali, l utente dovrà rivolgere istanza scritta all Ufficio Referente privacy aziendale. L interessato, nell esercizio dei diritti sopra riportati, può conferire, per iscritto, in sua vece, delega o procura a persone fisiche o ad associazioni. Art. 14 Trattamento di dati affidati all esterno Agli Enti, agli organismi, agli altri soggetti pubblici e privati esterni all Azienda, ai quali siano affidati attività o servizi, con esclusivo riferimento alle connesse operazioni di trattamento dei dati, viene loro attribuita la funzione di Responsabile del trattamento, ai sensi dell art. 29 del D.lgs. 196/03. Nei contratti di affidamento di attività o di servizi a soggetti esterni all Azienda, può essere inserita apposita clausola di garanzia, con la quale il soggetto affidatario si impegna, per i trattamenti di dati effettuati, in forza del rapporto contrattuale, all osservanza delle norme di legge sulla protezione dei dati personali. Art Documento Programmatico sulla Sicurezza Ai sensi degli articoli, da 33 a 36, del D.lgs. 196/03 e dell Allegato B del medesimo codice, l Azienda Ospedaliera Universitaria Policlinico G. Martino ha redatto il Documento Programmatico della Sicurezza dei Dati (Prot. n del ). Tale Documento deve essere aggiornato annualmente sulla base dell analisi dei rischi, che emerge dal monitoraggio delle misure logiche, fisiche ed organizzative, adottate dall Azienda al fine di garantire, in maniera continuativa e migliorativa, la tutela della privacy nel trattamento dei dati. Il Documento programmatico della sicurezza dei dati è oggetto di verifica ispettiva da parte del Garante. Art. 16 Diritto di accesso alla documentazione sanitaria Ai sensi dell art. 92 d.lgs. 196/03, eventuali richieste di rilascio di copia della cartella clinica e dell acclusa scheda di dimissione ospedaliera, da parte di soggetti diversi dall interessato, non accompagnate da delega, possono essere accolte, in tutto o in parte, solo se la richiesta è giustificata dalla documentata necessità:
7 1. di far valere o difendere un diritto in sede giudiziaria di rango pari a quello dell interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile; 2. di tutelare, in conformità alla disciplina sull accesso ai documenti amministrativi, una situazione giuridicamente rilevante, di rango pari a quella dell interessato, ovvero consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e inviolabile. Le richieste di accesso alle cartelle cliniche ospedaliere di un terzo, senza delega, sono valutate dal Direttore Sanitario, che ne ha la responsabilità, applicando i criteri già enunciati. Le modalità, in ordine alle richieste di rilascio di copie della documentazione sanitaria, sono oggetto di apposita regolamentazione. Tutta la documentazione sanitaria (non solo la cartella clinica) può essere ordinariamente ritirata, anche da persona diversa dal diretto interessato, purché sulla base di una delega scritta e mediante consegna dei documenti in busta chiusa. I dati personali idonei a rivelare lo stato di salute possono essere resi noti all interessato solo attraverso le forme previste dall art. 84 del d.lgs. 196/03. Art. 17 La Formazione in ECM sulla tutela della privacy nelle Aziende Sanitarie L Azienda Ospedaliera Universitaria Policlinico G. Martino ha intrapreso, nel contesto delle strategie organizzative, finalizzate all osservanza della privacy, la progettazione di interventi formativi, rivolti sia al profilo sanitario che amministrativo. Tali percorsi formativi, i cui destinatari sono sia i Responsabili che gli incaricati nel trattamento dei dati, sono accreditati dal Ministero della Salute, nell ambito dei programmi di Educazione continua medica realizzati dall Azienda Ospedaliera Universitaria Policlinico G. Martino.

References: Art. 1
 art. 7
 Art. 2
 art. 4
 Art.3
 art. 4
 Art. 4
 Art. 5
 Art. 6
 art. 13
 Art. 7
 Art. 8
 art. 4
 Art. 9
 Art. 11
 Art. 13
 art. 7
 Art. 14
 art. 29
 Art. 16
 art. 92
 art. 84
 Art. 17