Source: http://docplayer.it/2543356-Documento-di-politica-aziendale-in-materia-di-privacy.html
Timestamp: 2018-02-22 11:53:53+00:00
Document Index: 58723602

Matched Legal Cases: ['art. 2', 'art. 4', 'art. 3', 'art. 11', 'art. 11', 'art. 11', 'art. 16', 'art. 25', 'art. 13', 'art. 82', 'art. 7', 'art. 12', 'art. 31']

DOCUMENTO DI POLITICA AZIENDALE IN MATERIA DI PRIVACY - PDF
DOCUMENTO DI POLITICA AZIENDALE IN MATERIA DI PRIVACY
Download "DOCUMENTO DI POLITICA AZIENDALE IN MATERIA DI PRIVACY"
1 DOCUMENTO DI POLITICA AZIENDALE IN Data Redatto Verificato Approvato Controllato PO Supporto Giuridico alla Direzione Aziendale Dott.ssa Chiara Chiarugi Dir Rete Specialistica Dott. Leonello Guidi Dir Rete Territoriale Dott. Nedo Mennuti Direttore UOC Innovazione e Sistema Qualità Territoriale Dott. Alessandro Scarafuggi Direttore Generale Dott.ssa Monica Piovi Direttore Sanitario Dott. Renato Colombai Direttore Amministrativo Dott. Gabriele Morotti RAQ Dipartimento Amministrativo Dott.ssa Ginevra Occhiolini Responsabile UOS Gestione Assicurazioni e Privacy Dott. Luca Frati Direttori Dip/UOC/UOSD Responsabili UOS nominati responsabili trattamento dati ciascuno per i trattamenti di propria competenza Valenza documentale Aziendale X Presidio/ Distretto Dipartimento Interdipartim. Unità Operativa Interaziendale Livello di Intranet Lista di presa visione/distribuzione Riunioni diffusione X X Storia documento Data N. rev. Tipo di revisione 0 Prima emissione format DOC POLITICA rev 2011 Pagina 1 di 6
2 1. PREMESSA ANALISI DEL CONTESTO NORMATIVO E FINALITA DEL DOCUMENTO DEFINIZIONI AMBITO DI APPLICAZIONE ASPETTI DI POLITICA AZIENDALE I PRINCIPI GENERALI IN MATERIA DI TRATTAMENTO DATI PERSONALI PRINCIPALI AREE DI INTERESSE DELL AZIENDA IL DIRITTO ALL AUTODETERMINAZIONE DELL INTERESSATO AL TRATTAMENTO DEI DATI SENSIBILI IL DIRITTO ALL ANONIMATO IL DIRITTO ALL OBLIO IL RISPETTO DEI CODICI DEONTOLOGICI LA TRASPARENZA DEI PERCORSI PRIVACY LA SEMPLIFICAZIONE DEGLI ADEMPIMENTI LA VALUTAZIONE DEI RISCHI PRIVACY E LE MISURE MINIME DI SICUREZZA LA VALUTAZIONE PREVENTIVA DELL IMPATTO PRIVACY LE POLITICHE DI ACCESSO AI DATA BASE AZIENDALI E I PROFILI DI AUTORIZZAZIONE LA COMUNICAZIONE DI DATI A TERZI DOCUMENTI INTERNI ED ESTERNI DI RIFERIMENTO PAROLE CHIAVE LISTA DI DISTRIBUZIONE PREMESSA ANALISI DEL CONTESTO NORMATIVO E FINALITA DEL DOCUMENTO Il diritto alla riservatezza costituisce un diritto fondamentale la persona, che, pur non essendo menzionato in maniera esplicita nella Costituzione, si inserisce nell ambito dei vari diritti la personalità dalla stessa ineati. L'art. 2, comma 1, D.Lgs. n. 196/2003 (Codice la Privacy) richiama infatti espressamente i principali interessi giuridici coinvolti nella nozione di privacy affermando che i trattamenti dei dati si svolgono nel pieno rispetto dei diritti, le libertà fondamentali, nonché la dignità le persone, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali. In tale quadro, l Azienda USL 11 Empoli intende perseguire politiche per la protezione dei dati personali trattati, con l obiettivo, da un lato, di dare attuazione alle prescrizioni dettate in materia dalla normativa vigente, tenendo conto anche le regole e degli accorgimenti che possono essere suggeriti dall esperienza, dall altro, di sensibilizzare i propri operatori alla salvaguardia diritto alla riservatezza degli utenti ed orientarne le azioni al rispetto le dovute cautele. Il presente documento costituisce pertanto uno strumento di indirizzo e di politica aziendale in base al quale organizzare tutta l azione necessaria ad assicurare la tutela diritto alla riservatezza e la tutela dei dati personali e sensibili degli utenti. Esso si propone inoltre l obiettivo di concorrere al miglioramento la qualità dei percorsi di assistenza e di cura offerti ai cittadini, nell ottica di garantire non solo la correttezza e la legalità l azione amministrativa, ma anche di promuovere il miglioramento continuo dei servizi erogati. 2. DEFINIZIONI Banca dati: qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti (art. 4, comma 1, lett. p) D.Lgs. 196/2003); Strumenti elettronici: gli elaboratori, i programmi per elaboratori e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento; Software applicativo: programma che il programmatore realizza utilizzando le prestazioni che offre il sistema operativo (costituiscono ad esempio software applicativi tutte quelle applicazioni gestionali destinate alle esigenze specifiche di un utente o di un'azienda); 3. AMBITO DI APPLICAZIONE Il presente documento si applica nei confronti di tutti coloro che trattano dati personali per conto l Azienda USL 11 Empoli, siano essi dipendenti o collaboratori a qualunque titolo operanti presso strutture aziendali o esternamente alle stesse. 4. ASPETTI DI POLITICA AZIENDALE L Azienda USL 11 Empoli, nel perseguimento la propria missione di tutela la salute, tratta quotidianamente dati personali, di tipo sensibile, dei propri utenti. format DOC POLITICA rev 2011 Pagina 2 di 6
3 I dati personali idonei a rivelare lo stato di salute di un individuo sono infatti classificati dal Codice per la protezione dei dati personali entro la categoria dei dati sensibili, in quanto attinenti alla sfera più intima la persona. Come tali, il legislatore ha previsto per essi una tutela rafforzata rispetto agli altri dati personali, cd comuni. Il rispetto principio di riservatezza non costituisce soltanto un obbligo di legge che tutti gli operatori aziendali sono tenuti a garantire. Con specifico riferimento al personale medico e sanitario, esso rappresenta, prima di tutto, un imperativo deontologico. Invero, la previsione, da parte dei Codici Deontologici professionali, dovere di rispettare il diritto alla riservatezza dei pazienti, porta ad ascrivere tale dovere entro la categoria dei valori etici e morali dei professionisti nei cui confronti detti Codici trovano applicazione, finendo così per far afferire il dovere in parola alla sfera etica dei professionisti, prima ancora che a profili di natura tecnica o giuridico- amministrativa. Per tale motivo l Azienda ritiene indispensabile far leva sulla cultura etica e sull impostazione morale e deontologica dei propri operatori, prima ancora che sulle misure di sicurezza e sugli accorgimenti tecnici, idonei a scongiurare la violazione principio di riservatezza medesimo I PRINCIPI GENERALI IN MATERIA DI TRATTAMENTO DATI PERSONALI Il trattamento dei dati personali effettuato dall Azienda USL 11 Empoli si conforma ai seguenti principi, dettati dal D.Lgs. 196/2003 con riferimento al trattamento dei dati personali in generale: a) Principio di necessità (ex art. 3 D.Lgs. 30 giugno 2003, n. 196) L Azienda configura i propri sistemi informativi e i programmi informatici riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. In particolare, devono essere ridotti al minimo indispensabile gli accessi ai dati relativi allo stato di salute degli utenti. b) Principio di liceità e correttezza trattamento (ex art. 11, comma 1, lett. a) D.Lgs. 30 giugno 2003, n. 196) c) Principio di determinatezza e legittimità le finalità trattamento (ex art. 11, comma 1, lett. b) D.Lgs. 30 giugno 2003, n. 196) I dati personali devono essere raccolti solo per scopi: - determinati, vale a dire che non è consentita la raccolta come attività fine a se stessa; - espliciti, nel senso che il soggetto interessato deve essere informato sulle finalità trattamento; - legittimi, cioè, oltre al trattamento, anche il fine la raccolta dei dati deve essere lecito; - compatibili con il presupposto per il quale sono inizialmente trattati, specialmente nelle operazioni di comunicazione e diffusione degli stessi; d) Principio di proporzionalità (ex art. 11, comma 1, lett. d) D.Lgs. 30 giugno 2003, n. 196), in quanto i dati personali devono essere: - esatti, cioè, precisi e rispondenti al vero e, se necessario, aggiornati; - pertinenti, ovvero, il trattamento è consentito soltanto per lo svolgimento le funzioni istituzionali, in relazione all attività che viene svolta; - completi, ossia esaustivi in relazione alla finalità da perseguire; - non eccedenti: devono cioè essere raccolti solo i dati che siano al contempo strettamente necessari e sufficienti in relazione al fine, la cui mancanza risulti di ostacolo al raggiungimento lo scopo stesso; - conservati per un periodo non superiore a quello necessario per gli scopi trattamento e comunque in base alle disposizioni aventi ad oggetto le modalità ed i tempi di conservazione degli atti amministrativi. Trascorso detto periodo i dati vanno resi anonimi o cancellati (art. 16 D.Lgs. 30 giugno 2003, n. 196) e la loro comunicazione e diffusione non è più consentita (art. 25 D.Lgs. 30 giugno 2003, n. 196). 5. PRINCIPALI AREE DI INTERESSE DELL AZIENDA 5.1 IL DIRITTO ALL AUTODETERMINAZIONE DELL INTERESSATO AL TRATTAMENTO DEI DATI SENSIBILI L Azienda garantisce il diritto dei cittadini-utenti all autodeterminazione, fornendo un informativa a fini privacy il più possibile completa e comunque in possesso di tutti gli elementi previsti dall art. 13 D.Lgs. 196/2003 ed acquisendo preventivamente il consenso al trattamento dei dati sensibili per l esecuzione le attività di prevenzione, diagnosi, cura e riabilitazione, fatti salvi i casi di urgenza e le altre ipotesi di cui all art. 82 decreto medesimo nelle quali l informativa e il consenso possono legittimamente intervenire dopo l esecuzione la prestazione. 1 L etica contribuisce in modo rilevante all efficacia le politiche e dei sistemi di controllo messi a punto da un azienda, influendo sui comportamenti che sfuggono ai sistemi di controllo, per quanto gli stessi siano sofisticati. - Codice Etico AUSL 11 Empoli format DOC POLITICA rev 2011 Pagina 3 di 6
4 Il consenso costituisce una manifestazione di volontà libera, specifica ed informata con la quale la persona interessata accetta che i propri dati personali siano oggetto di un trattamento. Il consenso autorizza l Azienda all effettuazione di tutti i trattamenti dati indispensabili all erogazione le prestazioni sanitarie richieste, sia per via cartacea, sia mediante i sistemi informatizzati. Sebbene il consenso abbia natura facoltativa, l eventuale diniego al trattamento impedisce l erogazione le prestazioni richieste e la risposta sanitaria (fatta eccezione per le prestazioni urgenti). In conformità a quanto previsto dal D.Lgs. 196/2003, il consenso al trattamento dei dati idonei a rivelare lo stato di salute può essere prestato anche verbalmente. In tal caso lo stesso è documentato, anziché con atto scritto l'interessato, con annotazione sui sistemi informatici aziendali. 5.2 IL DIRITTO ALL ANONIMATO L Azienda garantisce il diritto all anonimato degli utenti mediante una configurazione dei propri sistemi informatici con misure ed accorgimenti tecnici (codici di cifratura, oscuramento ecc..) idonei a impedire ai professionisti che non hanno in cura l interessato di associare ad un determinato utente le informazioni di salute relative alle seguenti informazioni sottoposte ad un regime normativo di particolare tutela: - sieropositività; - interruzione volontaria di gravidanza; - vittime di violenza sessuale o di pedofilia; - uso di sostanze stupefacenti; - parto in anonimato. L Azienda raccomanda a tutti gli operatori la massima attenzione e cautela nel trattamento dei predetti dati sensibili. 5.3 IL DIRITTO ALL OBLIO L Azienda riconosce il diritto all oblio dei cittadini-utenti mediante l archiviazione dei supporti cartacei contenenti dati personali e sensibili che li riguardano in locali ad accesso riservato a personale debitamente autorizzato e mediante la conservazione in remoto dei dati medesimi, laddove trattati con l ausilio di strumenti informatici, nei propri programmi informativi per il tempo previsto dalle specifiche disposizioni normative o regolamentari in materia di conservazione documentale. I dati personali e sensibili sono trattati per un periodo di tempo non superiore a quello indispensabile al raggiungimento lo scopo per il quale essi sono stati raccolti o per gli ulteriori scopi che si rendano successivamente necessari. L Azienda garantisce agli interessati, in conformità a quanto previsto dall art. 7. comma 3, lett. b) Codice Privacy e ove ciò non sia in contrasto con le disposizioni legislative o regolamentari in materia di conservazione degli atti, il diritto di ottenere la cancellazione, la trasformazione in forma anonima o il blocco dei dati di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati. 5.4 IL RISPETTO DEI CODICI DEONTOLOGICI L Azienda USL 11 Empoli promuove il rispetto, da parte dei propri professionisti iscritti in albi professionali, le disposizioni contenute nei rispettivi codici deontologici. Qualunque trattamento di dati personali deve essere effettuato in ottemperanza a quanto in essi stabilito, pena la non liceità trattamento stesso, ai sensi l art. 12, comma 3, D.Lgs. 196/ LA TRASPARENZA DEI PERCORSI PRIVACY L AUSL 11 Empoli ispira i percorsi privacy aziendali al principio di trasparenza, inteso come livello essenziale le prestazioni erogate dalla pubblica amministrazione ai sensi l'articolo 117, secondo comma, lettera m), la Costituzione, anche al fine di favorire forme diffuse di controllo rispetto dei principi di buon andamento ed imparzialità da parte dei propri uffici e servizi. In tale ottica, l Azienda ritiene opportuno assicurare livelli ulteriori di trasparenza rispetto a quelli minimi definiti dalla vigente normativa in materia, per consentire ai cittadini utenti di conoscere sia i tipi di trattamenti dati che essa può porre in essere per il tramite dei soggetti appositamente nominati (Responsabili ed Incaricati), sia la rete di coloro cui fa carico la responsabilità le operazioni di raccolta, elaborazione, consultazione, estrazione ecc.. dei dati personali per conto Titolare medesimo, Azienda USL 11 Empoli. Tale obiettivo viene realizzato mediante la pubblicazione sul sito internet istituzionale, alla sezione Privacy, non solo Regolamento Privacy aziendale, ma anche Documento Aziendale per la Sicurezza in materia di Privacy (cd. DASP), documento che riprende nei contenuti il Documento Programmatico per la Sicurezza (il cui obbligo di redazione è stato abrogato per effetto la L. nr /04/2012) e che viene redatto annualmente a cura Referente Aziendale per la privacy. Ogni cittadino-utente, portatore di quell interesse nel cui perseguimento e nella cui tutela va ricercata la stessa ragion d essere di ogni Pubblica Amministrazione, è posto in questo modo nella condizione di poter agevolmente format DOC POLITICA rev 2011 Pagina 4 di 6
5 verificare: quali trattamenti potranno essere effettuati con i suoi dati personali, una volta conferiti; quali strutture sono autorizzate a porre in essere i vari tipi di trattamento previsti; qual è l organigramma privacy aziendale, ossia la rete dei soggetti individuati dal Titolare medesimo quali Responsabili (interni ed eventualmente anche esterni) le operazioni di trattamento. 5.6 LA SEMPLIFICAZIONE DEGLI ADEMPIMENTI L Azienda USL 11 Empoli, considerando la semplificazione quale fattore principale su cui far leva per il perseguimento dei fondamentali principi di buon andamento, efficienza, efficacia ed economicità l attività amministrativa, promuove azioni e progetti volti alla semplificazione dei processi e le procedure interne rivolti all esecuzione di adempimenti normativi e regolamentari in materia di protezione dei dati personali. 5.7 LA VALUTAZIONE DEI RISCHI PRIVACY E LE MISURE MINIME DI SICUREZZA L Azienda USL 11 Empoli effettua, a cura dei vari Responsabili trattamento dati appositamente nominati, un analisi preventiva dei rischi cui possono essere soggetti i dati personali trattati da ciascuna unità operativa e adotta le procedure ed i presidi di controllo necessari a scongiurare la configurazione di fattispecie di trattamento illecito di dati personali. Le misure minime di sicurezza, intese come il complesso le misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell art. 31 D.Lgs. 196/2003, ossia i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità la raccolta, sono riportate in appositi documenti aziendali, quali documenti di governance, regolamenti e procedure, oltre che nelle relazioni sulla sicurezza, predisposte dai Responsabili trattamento dati, allegate al Documento Aziendale per la Sicurezza in materia di Privacy per l anno di riferimento 2. Tali documenti hanno ad oggetto sia i trattamenti dati effettuati mediante l utilizzo di supporti cartacei sia i trattamenti dati effettuati con strumenti informatici, sono pubblicati sul sito internet aziendale e sono periodicamente portati a conoscenza degli incaricati trattamento mediante comunicazioni elettroniche, riunioni informative, iniziative formative o mediante altre modalità ritenute idonee alla loro diffusione. 5.8 LA VALUTAZIONE PREVENTIVA DELL IMPATTO PRIVACY L Azienda USL 11 Empoli, anticipando l attuazione da parte dei propri servizi di uno dei principi cardine sui quali si basa l impalcatura ineata dal nuovo Regolamento Europeo sulla Privacy, ormai prossimo all adozione (si fa riferimento al cd. principio Privacy Impact Assessment), assicura, nei casi in cui il trattamento, per la sua natura, il suo oggetto o le sue finalità, presenti rischi specifici per i diritti e le libertà degli interessati, una valutazione preventiva l impatto derivante sulla privacy degli interessati fin dalla progettazione relativo processo aziendale. Prima l avvio di un nuovo trattamento, in relazione a talune peculiari tipologie di dati e/o alle modalità di trattamento (ad esempio: attivazione di sistemi di videosorveglianza, trattamenti destinati alla prestazione di servizi sanitari, a ricerche epidemiologiche, indagini su malattie mentali o infettive qualora i dati siano trattati per prendere misure o decisioni su larga scala riguardanti persone specifiche, trattamento di dati biometrici), l Azienda effettua pertanto un analisi dei rischi in maniera tale da orientare le decisioni che verranno successivamente assunte verso soluzioni che siano effettivamente capaci di tutelare il dato già in sede di prima raccolta, con conseguente anticipazione di responsabilità alla fase di progettazione trattamento stesso. La valutazione d impatto sulla protezione dei dati verte, in particolare, sulle misure di sicurezza, sulle garanzie e sui meccanismi previsti per assicurare la protezione dei dati personali e per comprovare il rispetto la normativa vigente in materia. 5.9 LE POLITICHE DI ACCESSO AI DATA BASE AZIENDALI E I PROFILI DI AUTORIZZAZIONE 2 L Azienda assicura la protezione dei dati personali trattati con supporti elettronici mediante l adozione di misure che possono essere ricondotte a tre diverse tipologie: a) misure organizzative: analisi dei rischi, prescrizioni di linee guida di sicurezza, altre istruzioni interne, assegnazione di incarichi, redazione di appositi mansionari, formazione professionale, classificazione dei dati, registrazione le consultazioni, documentazione dei controlli periodici, verifiche periodiche su dati o trattamenti non consentiti o non corretti, distruzione controllata dei supporti, piano di disaster recovery, ecc.; b) misure fisiche: vigilanza la sede, ingresso controllato nei locali ove ha luogo il trattamento, sistemi di allarme e/o di sorveglianza antintrusione, registrazione degli accessi, autenticazione degli accessi, custodia in classificatori o armadi non accessibili, custodia in armadi blindati e/o ignifughi, deposito in cassaforte ecc ; c)) misure logiche: identificazione l incaricato e/o l utente, autenticazione l incaricato e/o l utente, controllo degli accessi a dati e programmi, registrazione degli accessi, controlli aggiornati antivirus, sottoscrizione elettronica, cifratura dei dati memorizzati, cifratura dei dati trasmessi, annotazione la fonte dei dati, annotazione responsabile l operazione, rilevazione di intercettazioni, monitoraggio continuo le sessioni di lavoro, sospensione automatica le sessioni di lavoro, verifiche periodiche su dati o trattamenti non consentiti o non corretti, verifiche automatizzate dei requisiti dei dati, controllo sull operato degli addetti alla manutenzione, controllo dei supporti consegnati in manutenzione, ecc.. format DOC POLITICA rev 2011 Pagina 5 di 6
6 In ossequio al principio di necessità e pertinenza trattamento dei dati personali, i profili di accesso ai programmi informatici aziendali sono configurati avuto riguardo alle attività affidate a ciascun dipendente, come da scheda contenente la job description, ed agli ambiti di trattamento consentiti, così come individuati nell atto di nomina dipendente interessato quale incaricato trattamento dati. Per ciascuna banca dati (applicativo informatico) deve essere definito puntualmente l elenco dei profili di accesso e le loro specificità. L assegnazione dei predetti profili ai singoli operatori incaricati trattamento dei dati è effettuata a cura dei responsabili di U.O. sovraordinati, responsabili trattamento dei dati in interesse. Le finalità amministrative strettamente connesse all erogazione la prestazione sanitaria (es. prenotazione e pagamento di una prestazione) devono essere realizzate garantendo il principio la necessità trattamento, e quindi precludendo, per quanto possibile, l accesso al personale amministrativo alle informazioni sanitarie, mediante la previsione di profili diversi di abilitazione in funzione la diversa tipologia di operazioni consentite. In ogni caso gli accessi ai dati personali contenuti nei data base aziendali devono essere ridotti allo stretto necessario per consentire l espletamento le ordinarie attività lavorative. Il trattamento dei dati deve pertanto essere evitato ogni volta in cui lo stesso non sia indispensabile per il perseguimento degli scopi prefissati. Periodicamente, e comunque almeno una volta all anno, i responsabili trattamento aggiornano i profili di autorizzazione personale assegnato all unità operativa gestita. Al fine di garantire che il trattamento dei dati inerenti allo stato di salute degli utenti sia effettuato con un idoneo livello di sicurezza, gli accessi ai software clinici devono essere tracciati LA COMUNICAZIONE DI DATI A TERZI L Azienda effettua la comunicazione di dati personali a terzi, pubblici e privati, solo in conformità a quanto previsto dalle vigenti disposizioni legislative e regolamentari in materia. Anche nell ipotesi in cui la comunicazione sia espressamente consentita da specifica disposizione di legge o di regolamento, l Azienda evita il trattamento dei dati personali quando le finalità da perseguire nei singoli casi possono essere realizzate anche mediante l utilizzo di dati anonimi o ricorrendo ad opportune tecniche di crittografia. 6. DOCUMENTI INTERNI ED ESTERNI DI RIFERIMENTO - D.Lgs. 196/2003 e ss.mm.ii. Codice in materia di protezione dei dati personali ; - Codici Deontologici le varie categorie professionali; - Linee Guida e provvedimenti Garante Privacy in materia. 7. PAROLE CHIAVE dati personali ; dati sensibili ; trattamento dati ; banca dati ; consenso ; oscuramento ; privacy ; informativa. 8. LISTA DI DISTRIBUZIONE Pubblicazione sul sito la qualità Tutte le UU.OO. aziendali format DOC POLITICA rev 2011 Pagina 6 di 6