Source: http://docplayer.it/5538697-Istruzioni-per-il-trattamento-di-dati-personali.html
Timestamp: 2019-01-16 17:39:59+00:00

Document:
ISTRUZIONI PER IL TRATTAMENTO DI DATI PERSONALI - PDF
Download "ISTRUZIONI PER IL TRATTAMENTO DI DATI PERSONALI"
1 ISTRUZIONI PER IL TRATTAMENTO DI DATI PERSONALI (a norma dell art. 29, comma 4, del Codice in materia di protezione dei dati personali, emanato con decreto legislativo 30 giugno 2003, n. 196, più oltre denominato Codice) I Dirigenti pro-tempore nominati responsabili del trattamento dei dati personali, sono tenuti all osservanza dei compiti di seguito specificati. 1. CENSIMENTO DEI TRATTAMENTI DEI DATI PERSONALI (riferimento artt. 7, comma 1, lett. f, e 9, commi 6 e 7 Reg.) Il Regolamento aziendale (art, 7, comma 1 e art.9, commi 6 e 7) prevede che il Referente aziendale per la privacy, individuato nel direttore dell Area Sviluppo risorse aziendali, provveda, in collaborazione con i responsabili del trattamento, al censimento di tutti i trattamenti di dati personali effettuati nel suo ambito. Tale censimento assume particolare importanza ai fini della verifica della liceità, pertinenza e non eccedenza alle finalità istituzionali perseguite dai trattamenti di dati effettuati all interno dell Azienda, tenuto conto di quanto prescritto dagli articoli 20 e 21 del Codice, nonché ai fini dell adozione delle misure di sicurezza, atte a garantire la riservatezza, la conservazione e la protezione dei dati, e a ridurne i rischi di distruzione o perdita, anche accidentale, e di accesso non autorizzato. Entro il 31 luglio 2006 (termine che è stato oggetto di una serie di successive proroghe legislative), tutte le pubbliche amministrazioni sono tenute ad emanare il Regolamento per il trattamento dei dati sensibili e giudiziari ai sensi degli articoli 20 e 21 del Codice 196/2003. Per semplificare l emanazione dei regolamenti in presenza di più amministrazioni che gestiscono trattamenti di dati sensibili e giudiziari per le medesime finalità, il Codice ha previsto la possibilità che il Garante si esprimesse una volta per tutte su uno schema di regolamento-tipo. La Conferenza dei presidenti delle Regioni ha licenziato il testo del Regolamento-tipo per i trattamenti dei dati sensibili e giudiziari effettuati dalle regioni e dalle aziende sanitarie riguardanti, sul quale il Garante ha espresso recentemente parere favorevole, Il regolamento al quale saranno allegate 44 schede relative ai diversi trattamenti di competenza delle aziende sanitarie è in corso di adozione da parte del Consiglio regionale. Le schede, di cui si fornisce in allegato l elenco, contengono, per ciascun trattamento, le seguenti indicazioni: - fonti normative del trattamento - finalità del trattamento con riferimento alla vigente normativa - tipologia dei dati trattati; - modalità di trattamento dei dati; - tipologia delle operazioni eseguite; - descrizione del trattamento e del flusso eseguito. Per il censimento previsto dal Regolamento aziendale, che dovrà riguardare oltre che i dati sensibili e giudiziari anche quelli comuni, al fine di accertare lo stato delle misure di sicurezza anche in funzione dell aggiornamento del documento programmatico per la sicurezza, ciascun
2 responsabile del trattamento dovrà comunicare al referente, con modalità che saranno successivamente indicate: a) le informazioni concernenti: 1) la tipologia dei dati che sono trattati dalla struttura cui è preposto; 2) le operazioni di trattamento eseguite; 3) gli archivi cartacei e/o informatici ove sono raccolti, elaborati e conservati i dati stessi (es. fascicoli del personale, anagrafica delle ditte, ecc.); 4) le norme di legge o di regolamento di riferimento che autorizzano il trattamento di quei dati. b) l inizio di eventuali nuovi trattamenti e la cessazione o modifica dei trattamenti in corso, ai fini dell aggiornamento del censimento stesso e della notifica di variazione, di cui all art. 38, comma 4 del Codice. Si fa presente dopo l emanazione del Regolamento regionale per il trattamento dei dati nessun trattamento di dati sensibili e giudiziari potrà essere effettuato in difformità a quanto indicato nel Regolamento regionale stesso. 2. NOMINA DEGLI INCARICATI (riferimento art. 5 Reg.) La nomina degli incaricati costituisce adempimento fondamentale per la liceità del trattamento e il rispetto delle misure di sicurezza previste. Il responsabile del trattamento deve provvedere con atto scritto: a) all individuazione delle persone fisiche incaricate allo svolgimento delle operazioni di trattamento dei dati personali; b) individuare puntualmente l ambito del trattamento consentito a ciascun incaricato; c) fornire alle medesime persone le necessarie istruzioni, secondo l allegato schema, che potrà essere adattato, a seconda dell organizzazione e dei compiti della struttura. Gli adempimenti di cui sopra possono essere assolti anche mediante documentata preposizione dell incaricato ad una struttura per la quale è individuato, per iscritto, l ambito del trattamento consentito. 3. INFORMATIVA AGLI INTERESSATI (riferimento art. 12 Reg.) 3.1. Obbligo dell informativa L informativa è un obbligo imposto dall articolo 13 del Codice che consente all interessato di conoscere: a) le modalità di trattamento dei dati personali; b) gli scopi per cui sono trattati; c) la natura obbligatoria o facoltativa del conferimento dei dati; d) le conseguenze di un eventuale rifiuto di rispondere; e) i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati o che possono esserne a conoscenza in qualità di responsabili o incaricati e l'ambito di diffusione dei dati medesimi; f) le norme di legge di riferimento, qualora siano raccolti dati sensibili;
3 g) gli estremi identificati del titolare (l Azienda, sede legale di., via ) e della struttura responsabile del trattamento ( ... telefono ); h) l ufficio ove è conoscibile l elenco aggiornato dei responsabili del trattamento; i) le facoltà ed i diritti riconosciuti dall art. 7 del Codice. L omessa o l inidonea osservanza degli obblighi sull informativa comporta, ai sensi dell art. 161 del Codice, l applicazione da parte del Garante per la protezione dei dati personali di sanzioni amministrative a carico dell inadempiente Dati forniti direttamente dall interessato Se i dati personali sono forniti direttamente dall interessato, l informativa deve essergli resa prima della raccolta dei suoi dati Dati raccolti presso terzi Se i dati personali non sono forniti direttamente dall interessato, l'informativa deve essere resa allo stesso all'atto della registrazione dei dati o, qualora sia prevista la loro comunicazione a terzi, non oltre la prima comunicazione ai terzi medesimi. L informativa non è necessaria quando: a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; b) i dati sono raccolti presso i terzi, ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o comunque per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento; c) comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero a giudizio del Garante stesso si rilevi impossibile Modalità per l informativa L informativa può essere resa oralmente o per iscritto. A tal fine, il responsabile del trattamento deve curare gli aspetti organizzativi per l attuazione degli stessi adempimenti previsti dall art. 13 del Codice, dando le necessarie istruzioni al personale incaricato alla raccolta od alla comunicazione dei dati e utilizzando gli strumenti predisposti dall Azienda, indicati nell art. 12 del regolamento. 4. CONDIZIONI NORMATIVE PER IL TRATTAMENTO (riferimento art. 9 Reg.) 4.1. Dati personali comuni I dati personali comuni devono essere trattati soltanto per l assolvimento delle funzioni istituzionali dell Azienda, nel rispetto dei limiti previsti dal Codice. Per il trattamento dei predetti dati, non è necessario acquisire il consenso dell interessato.
4 4.2. Dati sensibili I dati sensibili diversi da quelli idonei a rivelare lo stato di salute possono essere trattati soltanto nelle ipotesi previste dall art. 20 del Codice, e cioè: a) quando il trattamento sia regolamentato da espresse disposizioni di legge nelle quali siano specificati i dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite; b) quando sia specificata da un dispositivo di legge la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, strettamente necessari e pertinenti in relazione alle finalità perseguite nei singoli casi, identificati e resi pubblici con apposito atto di natura regolamentare dell Azienda adottato in conformità del parere espresso dal Garante; c) quando il trattamento non è previsto da un espressa disposizione di legge, con l autorizzazione del Garante, se il trattamento dei dati sensibili sia necessario per lo svolgimento di attività previste per legge e con l identificazione e pubblicità dei tipi di dati e operazioni eseguibili nei modi previsti alla lettera b). Per il trattamento dei predetti dati, non è necessario acquisire il consenso dell interessato. 4.3 Dati personali idonei a rivelare lo stato di salute Il trattamento dei dati personali idonei a rivelare lo stato di salute è in particolare effettuato: a) per la tutela della salute e dell incolumità fisica dell interessato o di un terzo o della collettività; b) per finalità amministrative o socio-sanitarie; c) per finalità di ricerca scientifica, in campo medico, biomedico o epidemiologico. Il trattamento per finalità di tutela della salute e dell incolumità fisica dell interessato è effettuato in presenza dei seguenti presupposti: a) previa informativa, resa ai sensi dell art. 12 del regolamento e del precedente punto 3 delle presenti istruzioni; b) con il consenso espresso dall interessato; c) in caso di incapacità di intendere e di volere o di impossibilità fisica dell interessato, con il consenso dei soggetti di cui all articolo 82, comma 2, lettera a) del Codice (cioè da chi esercita legalmente la potestà ovvero da un prossimo congiunto, da un familiare, da un convivente, o, in loro assenza, dal responsabile della struttura presso cui dimora l interessato); dopo il raggiungimento della maggiore età è necessario acquisire una nuova manifestazione del consenso dell interessato. Il consenso deve essere prestato prima del trattamento nei modi previsti dall articolo 81 del Codice, ad eccezione di quanto previsto dall articolo 82 del Codice stesso, che disciplina i casi in cui il consenso può essere reso anche successivamente alla prestazione sanitaria. Il trattamento effettuato per finalità di tutela della salute e dell incolumità fisica di un terzo o della collettività, è consentito solo a seguito della preventiva autorizzazione del Garante (già emanata con provvedimento di autorizzazione n. 2/2002 del 31/1/2002, prorogata al 30/06/2004) e senza il consenso dell interessato.
5 Per il trattamento effettuato per finalità amministrative (es. attività certificatorie, assunzione, inidoneità al servizio, rimborsi, assenze per infortunio, malattia, maternità, congedi parentali) o socio-sanitarie (es. relazioni per adozioni, affidamento, ecc.), si applicano le disposizioni indicate nel punto 4.2. Per il trattamento effettuato per finalità di ricerca scientifica, in campo medico, biomedico o epidemiologico, non è necessario il consenso dell interessato, nei casi previsti dall art. 110 del Codice Dati giudiziari Il trattamento dei dati giudiziari di cui all art. 21 del Codice è consentito solo: a) se autorizzato da espressa disposizione di legge o da provvedimento del Garante che specifichino le finalità di rilevante interesse pubblico del trattamento, i tipi di dati trattati e di operazioni eseguibili; b) nei casi in cui una disposizione di legge specifica le finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, se riferito ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi nel rispetto dei principi di cui all art. 22 del Codice con atto di natura regolamentare dell Azienda adottato in conformità al parere espresso dal Garante. 5. MODALITÀ DI TRATTAMENTO (riferimento art. 9, comma 3, Reg.) 5.1. Regola per tutti i trattamenti Tutti i dati personali debbono essere: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in operazioni non incompatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per cui sono stati raccolti (principio della pertinenza e della non eccedenza); e) conservati in forma che consenta la loro identificazione (cioè in chiaro), per un periodo non superiore a quello necessario agli scopi per i quali sono stati raccolti e successivamente trattati Regole specifiche per il trattamento di dati sensibili Per il trattamento dei dati sensibili, è necessario altresì: a) effettuare il trattamento con modalità atte ad assicurare il rispetto dei diritti, delle libertà fondamentali e della dignità dell interessato, nonché a facilitargli l esercizio dei diritti riconosciuti dall art. 7 del Codice; b) trattare i soli dati essenziali, cioè 1) trattare i dati solo nei casi in cui non sia possibile trattarli in forma anonima o ricorrere ai dati comuni dell interessato;
6 2) svolgere unicamente le operazioni di trattamento strettamente necessarie al perseguimento delle finalità per le quali il trattamento è consentito ivi compreso il caso in cui i dati sono raccolti nello svolgimento di compiti di vigilanza, di controllo od ispettivo; tali finalità sono individuate nella parte II, Titolo IV, capo IV del Codice (artt. 59 e segg.); c) raccogliere di regola i dati presso l interessato; d) verificare periodicamente l esattezza e l aggiornamento dei dati, nonché la loro pertinenza, completezza, non eccedenza, indispensabilità rispetto alle finalità perseguite nei singoli casi, valutando specificatamente il rapporto tra i dati e gli adempimenti; e) non utilizzare i dati che a seguito delle verifiche risultassero eccedenti o non pertinenti o non indispensabili, salvo che per l eventuale conservazione, a norma di legge, dell atto o del documento che li contiene; f) trattare i dati contenuti in elenchi, registri o banche di dati, tenuti con l ausilio di strumenti elettronici o con tecniche di cifratura o mediante l utilizzazione di codici identificativi o di altre soluzioni che li rendano temporaneamente inintelligibili e che permettano di identificare gli interessati solo in caso di necessità; g) non trattare i dati sensibili nell ambito di test psico-attitudinali volti a definire il profilo o la personalità dell interessato (nei test psico-attitudinali non si possono inserire domande dirette a raccogliere o ad acquisire dati sensibili) Regole specifiche per il trattamento dei dati personali idonei a rivelare lo stato di salute I dati personali idonei a rivelare lo stato di salute possono sono trattati secondo le regole già indicate nei punti 5.1 e 5.2. I dati personali idonei a rivelare lo stato di salute debbono inoltre essere conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo e trattati come previsto al punto 5.2, lettera g) anche se tenuti in elenchi, registri o banche di dati senza l ausilio di strumenti elettronici Regole specifiche per il trattamento dei dati giudiziari Per il trattamento dei dati giudiziari, si applicano, in quanto compatibili, le regole indicate al punto COMUNICAZIONE DEI DATI PERSONALI. (riferimento art. 16 Reg.) 6.1. Dati comuni La comunicazione dei dati comuni, quando è diretta a soggetti pubblici, esclusi gli enti pubblici economici, è consentita solo nei seguenti casi: a) se ciò sia previsto da norme di legge o di regolamento; b) in mancanza di una precisa previsione, se tale operazione sia necessaria per lo svolgimento delle funzioni istituzionali, previa comunicazione al Garante e decorsi 45 giorni dalla comunicazione stessa, in assenza di diverse determinazioni del Garante. Pertanto, il responsabile del trattamento dei dati personali, ogniqualvolta perviene una richiesta di dati comuni da parte di un soggetto pubblico è tenuto a verificare se l adempimento richiesto sia previsto da norme di legge o di regolamento.
7 In mancanza di un espressa previsione normativa, il responsabile del trattamento dei dati personali è tenuto a: a) verificare se il soggetto pubblico richiedente abbia precisato i motivi della richiesta, la natura dei dati, le modalità e le finalità del trattamento, ed in particolare la necessità dei dati che richiede per lo svolgimento dei suoi fini istituzionali; b) in caso affermativo, inviare al Garante secondo le modalità di cui all art. 39 del Codice, comunicazione della richiesta pervenuta dall altro soggetto pubblico, avendo cura di fornirgli tutti gli elementi conoscitivi, idonei alla formulazione di un suo giudizio; c) procedere alla comunicazione dei dati al soggetto pubblico richiedente decorsi 45 giorni dalla data di ricezione da parte del Garante della comunicazione di cui alla lettera b); d) ottemperare ad un eventuale provvedimento motivato del Garante che vieti la comunicazione dei dati, in quanto ritenuta tale operazione in contrasto con le disposizioni del Codice. Se la comunicazione di dati personali comuni è diretta a soggetti privati o enti pubblici economici, questa è ammessa solo se prevista da norme di legge o di regolamento Dati sensibili e dati personali idonei a rivelare lo stato di salute La comunicazione di dati sensibili e dei dati personali idonei a rivelare lo stato di salute è consentita soltanto nelle ipotesi previste dall art. 20 del Codice, già specificate nel precedente punto Dati giudiziari La comunicazione di dati giudiziari è consentita soltanto nelle ipotesi previste dall art. 21 del Codice, già specificate nel precedente punto ESERCIZIO DEI DIRITTI DELL INTERESSATO AI SENSI DELL ART. 7 DEL CODICE (riferimento art. 21 Reg.) L art. 7 del Codice riconosce all interessato il potere di esercitare specifici diritti, a tutela dei suoi dati personali Forma e modalità della richiesta La forma e le modalità di presentazione della richiesta per consentire all interessato l esercizio dei suoi diritti sono indicati nell art. 21 del regolamento, a cui si rinvia Riscontro delle richieste Per quanto riguarda il riscontro alle richieste presentate dall'interessato, il responsabile del trattamento, tramite il personale incaricato, è tenuto: a) se la richiesta è presentata oralmente, a compilare un modello che riporti sinteticamente le istanze avanzate dall interessato ed a farlo sottoscrivere dallo stesso ai fini della prova; b) ad evadere la richiesta nel più breve tempo possibile e comunque non oltre quindici giorni dalla data di ricevimento della stessa; c) nel caso di obiettive difficoltà a fornire entro quindici giorni le informazioni richieste, a comunicare nello stesso termine all interessato il periodo di tempo necessario (non superiore a trenta giorni), per soddisfare la sua istanza, indicando i motivi di tale differimento;
8 d) salvo che la richiesta sia riferita ad un particolare trattamento o a specifici dati personali o categorie di dati personali, ad estrarre tutti i dati personali che riguardano l'interessato comunque trattati; e) a comunicare all interessato i dati in forma intellegibile, anche oralmente, ovvero con prospettazione mediante strumenti elettronici, sempreché in tali casi la comprensione dei dati sia agevole in relazione alla qualità ed alla quantità delle informazioni; qualora richiesto, si dovrà provvedere alla trasposizione dei dati su supporto cartaceo o informatico, ovvero alla loro trasmissione per via telematica Contributo spese Il contributo spese è dovuto dall interessato nelle ipotesi previste dall articolo 10, commi 7 e 8, del Codice. Il contributo spese viene determinato con atto del direttore generale ed è corrisposto nei modi previsti dall art. 10, comma 9, del Codice stesso. 8. ISTANZE DI ACCESSO AI SENSI DELL ART. 22 LEGGE 241/1990 E PER SVOLGIMENTO INVESTIGAZIONI DIFENSIVE EX LEGGE 397/2000 (riferimento art. 22 Reg.) Le istanze di accesso alla documentazione amministrativa, presentate ai sensi della legge 7 agosto 1990, n. 241 e del D.P.R. 27 giugno 1992, n. 352, nonché ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, sono istruite nel rispetto delle disposizioni dell articolo 22 del regolamento interno attuativo del Codice. 9. USO DI APPARECCHIATURE VIDEO (riferimento art. 13 Reg.) In caso di attivazione di apparecchiature di video-sorveglianza per il monitoraggio delle persone ricoverate e/o per il controllo di corridoi, sale di attesa, reparti o altri locali, nonché degli spazi esterni e delle porte di accesso agli edifici, i responsabili, nell ambito delle proprie competenze, sono tenuti a: a) individuare le persone fisiche che saranno specificamente addette a visionare le immagini, limitatamente alle finalità per le quali viene attivata la video-sorveglianza; b) dare adeguata informativa agli interessati sulla presenza delle apparecchiature, sull uso delle immagini raccolte, sui tempi di conservazione di tali immagini, sulle misure di sicurezza in atto per evitare accessi non autorizzati alle immagini, sull esercizio dei diritti di cui all art. 7 del Codice, nel rispetto delle prescrizioni del Garante; c) è fatto divieto di utilizzare le immagini per: 1) controllare, anche indirettamente, l attività del personale dipendente o dei delegati sindacali; 2) ogni altra finalità eccedente gli scopi prestabiliti. Per la video-sorveglianza delle persone ricoverate è necessario, in particolare: a) acquisire il preventivo consenso scritto dell interessato o, in caso di incapacità di intendere e di volere o di impossibilità fisica, dei soggetti di cui all art. 82, comma 2, lett. a, del Codice, previa idonea informativa; b) evitare che le immagini possano essere visionate da persone estranee; c) permettere ai familiari dei ricoverati in reparti ove non sia consentito l accesso, la visione dell immagine del solo congiunto;
9 d) individuare la persona incaricata di conservare e trattare il materiale acquisito o registrato. In caso di uso di apparecchiature video a fini didattici, è necessario, in particolare: a) acquisire il preventivo consenso scritto dell interessato o, in caso di incapacità di intendere e di volere o di impossibilità fisica, dei soggetti di cui all art. 82, comma 2, lett. a, del Codice, previa idonea informativa; b) posizionare l apparecchiatura in modo tale che non sia identificabile l interessato; c) trattare il materiale unicamente per gli scopi per i quali è stato acquisito o registrato e nei limiti del consenso prestato dall interessato. Le immagini raccolte debbono essere conservate per il tempo strettamente necessario agli scopi prestabiliti, secondo le prescrizioni del Garante.

References: art. 29
 art.9
 art. 38
 art. 5
 art. 12
 articolo 13
 art. 7
 art. 161
 art. 13
 art. 12
 art. 9
 art. 20
 art. 12
 articolo 82
 articolo 81
 articolo 82
 art. 110
 art. 21
 art. 22
 art. 9
 art. 7
 art. 16
 art. 39
 art. 20
 art. 21
 ART. 7
 art. 21
 art. 7
 art. 21
 articolo 10
 art. 10
 ART. 22
 art. 22
 articolo 22
 art. 13
 art. 7
 art. 82
 art. 82