Source: http://www.regioni.it/newsletter/n-1967/del-07-02-2012/privacy-regolamento-per-trattamento-dati-sensibili-e-giudiziari-9372/
Timestamp: 2020-07-11 08:09:02+00:00
Document Index: 86597995

Matched Legal Cases: ['art. 20', 'art. 22', 'art. 20', 'art. 154', 'art. 20', 'art. 21', 'art. 4', 'art. 1']

Regioni.it - n. 1967 del 07-02-2012 - Privacy: Regolamento per trattamento dati sensibili e giudiziari - Regioni.it
Privacy: Regolamento per trattamento dati sensibili e giudiziari
(regioni.it) La Conferenza delle Regioni e delle Province autonome, nella riunione del 2 febbraio ha elaborato e approvato un schema di Delibera (di Giunta o di Consiglio) relativa all’adozione del regolamento per il trattamento dei dati sensibili e giudiziari di competenza della regione/provincia autonoma, delle aziende sanitarie, degli enti e agenzie regionali/provinciali, degli enti vigilati dalla regione/provincia autonoma.
Il Documento è stato pubblicato nella sezione “Conferenze” del sito www.regioni.it .
Si riporta di seguito il testo (senza le schede)
Deliberazione per l’adozione del Regolamento per il trattamento dei dati sensibili e giudiziari di competenza della Regione/Provincia autonoma, delle aziende sanitarie, degli enti e agenzie regionali/provinciali, degli enti vigilati dalla regione/provincia autonoma
La competenza per l’adozione del regolamento (Giunta/Consiglio) è definita dallo Statuto.
VISTO il Decreto legislativo 30 giugno 2003, n. 196 “ Codice in materia di protezione dei dati personali”, di seguito chiamato Codice;
- gli articoli 20, comma 2, e l’articolo 21 comma 2 del Codice, stabiliscono che nei casi in cui una disposizione di legge specifichi la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e giudiziari trattabili ed i tipi di operazioni su questi eseguibili, il trattamento è consentito solo in riferimento a quei tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi;
- il medesimo art. 20, comma 2, prevede che detta identificazione debba essere effettuata nel rispetto dei principi di cui all’art. 22 del citato Codice, in particolare assicurando che i soggetti pubblici:
b) raccolgano detti dati, di regola, presso l’interessato;
c) verifichino periodicamente l’esattezza, l’aggiornamento dei dati sensibili e giudiziari, nonché la loro pertinenza, completezza, non eccedenza ed indispensabilità rispetto alle finalità perseguite nei singoli casi;
d) trattino i dati sensibili e giudiziari contenuti in elenchi, registri o banche di dati, tenuti con l’ausilio di strumenti elettronici, con tecniche di cifratura o mediante l’utilizzazione di codici identificativi o di altre soluzioni che li rendano temporaneamente inintelligibili anche a chi è autorizzato ad accedervi;
e) conservino i dati idonei a rivelare lo stato di salute e la vita sessuale separatamente da altri dati personali trattati per finalità che richiedono il loro utilizzo;
- sempre ai sensi del citato art. 20, comma 2, detta identificazione deve avvenire con atto di natura regolamentare adottato in conformità al parere espresso dal Garante per la protezione dei dati personali (di seguito denominato Garante), ai sensi dell’art. 154, comma 1, lettera g);
- il parere del Garante può essere fornito anche su “schemi tipo”;
- l’art. 20, comma 4, del Codice, prevede che l’identificazione di cui sopra venga aggiornata e integrata periodicamente;
PRESO ATTO del provvedimento del Garante per la protezione dei dati personali del 30 giugno 2005, in base al quale i soggetti pubblici titolari di trattamenti di dati sensibili e giudiziari, ma non dotati di potestà regolamentare a rilevanza esterna, devono promuovere l’adozione di un regolamento sul trattamento dei dati sensibili e giudiziari da parte della competente amministrazione a cui gli stessi fanno riferimento, la quale eserciti, ad esempio, poteri di indirizzo e controllo;
RITENUTO, pertanto, di dover procedere alla redazione di un Regolamento per il trattamento dei dati sensibili e giudiziari ai sensi degli articoli 20 comma 2 e 21 comma 2 del Codice, di cui sono titolari la Regione (la Regione/la Giunta Regionale) / Provincia autonoma, le aziende sanitarie, gli enti e agenzie regionali, gli altri enti per i quali la Regione/Provincia autonoma esercita poteri di indirizzo e controllo, compresi gli enti che fanno riferimento a due o più Regioni, individuando i tipi di dati che devono essere utilizzati e le operazioni che tali soggetti titolari devono necessariamente svolgere per perseguire le finalità di rilevante interesse pubblico di loro competenza individuate per legge;
RITENUTO OPPORTUNO, per quanto riguarda gli enti interregionali che fanno riferimento a due o più Regioni, promuovere adeguate forme di leale cooperazione in relazione agli ambiti interregionali coinvolti per garantire il rispetto dell’autonomia delle altre Regioni;
RITENUTO OPPORTUNO adottare un unico regolamento per il trattamento di dati sensibili e giudiziari di cui sono titolari sia la Regione (la Regione/ la Giunta) /Provincia autonoma che gli enti sopra richiamati, al fine di assicurare il rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per l’esercizio dei diritti da parte degli interessati, nonché l’adempimento degli obblighi da parte dei titolari del trattamento, ai sensi dell’articolo 2 del Codice;
VISTO lo schema tipo di Regolamento per il trattamento di dati sensibili e giudiziari di competenza della Regione/Provincia autonoma, delle aziende sanitarie, degli enti e agenzie regionali/provinciali e degli altri enti vigilati e controllati dalla Regione/Provincia autonoma, approvato da parte della Conferenza delle Regioni e delle Province autonome, nella seduta del …………….;
VISTA l’intesa intervenuta il ……………….. fra la Conferenza delle Regioni e Province Autonome e la Conferenza dei Rettori delle Università Italiane (CRUI), che, per quanto riguarda le strutture e le aziende universitarie di qualsiasi tipo e natura operanti nell’ambito del Servizio Sanitario Nazionale, prevede in particolare che:
a) gli aspetti relativi alle attività istituzionali di didattica e di ricerca siano disciplinati secondo le disposizioni dello schema tipo di regolamento approvato dalla Conferenza dei Rettori delle Università Italiane (CRUI);
b) gli aspetti relativi alle attività assistenziali integrate con l’attività di didattica e di ricerca siano disciplinate secondo le disposizioni dello schema tipo di regolamento approvato dalla Conferenza delle Regioni e delle Province Autonome;
c) debba essere accertata la conformità alla normativa in materia di tutela dei dati sensibili e giudiziari e a quanto previsto negli schemi tipo di cui sopra di quanto disposto nei protocolli di intesa e nelle convenzioni già esistenti tra Università e Regioni/Province autonome;
VISTA l’intesa intervenuta il …………………fra la Regione/Provincia autonoma …. e le Università ubicate nel territorio regionale/provinciale, per i trattamenti dei dati sensibili e giudiziari, in attuazione dell’intesa fra la Conferenza delle Regioni e delle Province autonome e la Conferenza dei Rettori delle Università Italiane (CRUI);
VISTO il parere espresso dal Garante per la protezione dei dati personali con provvedimento del …………………., ai sensi degli artt. 20 comma 2 e 154, comma 1, lett. g) del Codice, sullo schema tipo approvato dalla Conferenza delle Regioni e Province autonome;
VERIFICATA la conformità del presente Regolamento al predetto schema tipo e quindi la non necessità di sottoporlo al preventivo parere del Garante
CONSIDERATO che i tipi di dati e di operazioni individuati nel presente Regolamento non riguardano i dati non compresi tra quelli sensibili o giudiziari, e che i trattamenti individuati non concernono:
- i trattamenti effettuati per finalità di tutela della salute o dell’incolumità fisica dell’interessato, di un terzo o della collettività, per i quali si osservano le disposizioni relative al consenso dell’interessato o all’autorizzazione del Garante ai sensi dell’articolo 76 del Codice
- i trattamenti effettuati per finalità di ricerca medica, biomedica o epidemiologica, secondo quando disposto dall’articolo 110 del Codice;
- i trattamenti già adeguatamente regolati a livello legislativo o regolamentare per ciò che concerne i tipi di dati e le operazioni eseguibili
VISTA l’autorizzazione del Garante n. 7, relativa al trattamento di dati giudiziari ai fini dell’applicazione della normativa in materia di comunicazioni e certificazioni antimafia o in materia di prevenzione della delinquenza di tipo mafioso e di altre gravi forme di manifestazione di pericolosità sociale, che specifica, oltre alle rilevanti finalità di interesse pubblico, anche le tipologie di dati e le operazioni eseguibili ai sensi dell’art. 21, comma 1 del Codice
CONSIDERATO che per quanto concerne tutti i trattamenti del presente Regolamento è stato verificato il rispetto dei principi e delle garanzie previste dall’articolo 22 del Codice, con particolare riferimento alla pertinenza, non eccedenza e indispensabilità dei dati sensibili e giudiziari utilizzati rispetto alle finalità perseguite, alla indispensabilità delle predette operazioni per il perseguimento delle finalità di rilevante interesse pubblico individuate per legge, nonché all’esistenza di fonti normative idonee a rendere lecite le predette operazioni o, ove richiesta, alla indicazione scritta dei motivi
(acquisizione di vari pareri a seconda della normativa interna) APPROVA
l’allegato “Regolamento per il trattamento dei dati sensibili e giudiziari ai sensi degli artt. 20 e 21 del DLGS. 196/03” comprensivo degli allegati A e B, i quali contengono, quali parti integranti dello stesso, le schede relative ai singoli trattamenti di competenza:
della Regione/Provincia autonoma (o Giunta Regionale/Provinciale), degli enti e agenzie regionali, degli enti controllati e vigilati dalla Regione/Provincia autonoma (allegato A)
delle Aziende Unità Sanitarie Locali, Aziende Ospedaliere, Istituti di Ricerca e Cura a carattere scientifico, Aziende Universitarie di qualsiasi tipo e natura operanti nell’ambito del Servizio Sanitario Nazionale (Allegato B).
REGOLAMENTO PER IL TRATTAMENTO DEI DATI SENSIBILI E GIUDIZIARI (Artt. 20 e 21 del D.Lgs. 196/03 Codice in materia di protezione dei dati personali)
Il presente regolamento, ai sensi degli articoli 20 e 21 del Decreto Legislativo 30 giugno 2003, n. 196 “Codice in materia di protezione dei dati personali” identifica i tipi di dati e le operazioni eseguibili da parte della Regione/Provincia autonoma/Giunta Regionale/provinciale, nonché da parte delle aziende sanitarie della Regione…./Provincia autonoma ….., degli enti e agenzie regionali/provinciali e degli altri enti per i quali la Regione/Provincia autonoma esercita poteri di indirizzo e controllo, compresi gli enti che fanno riferimento a due o più Regioni, nello svolgimento delle loro funzioni istituzionali, con riferimento ai trattamenti di dati sensibili e giudiziari effettuati per il perseguimento delle rilevanti finalità di interesse pubblico individuate da espressa disposizione di legge, ove non siano legislativamente specificati i tipi di dati e le operazioni eseguibili.
ART. 2 Disposizione generali
Ai fini del presente regolamento si applicano le definizioni contenute nell’art. 4, del D.Lgs. 196/2003.
Il trattamento dei dati avviene nel rispetto dei diritti e delle libertà fondamentali dell’interessato ed è compiuto quando, per lo svolgimento delle finalità di interesse pubblico, non è possibile il trattamento dei dati anonimi oppure di dati personali non sensibili o giudiziari.
I dati sensibili e giudiziari oggetto di trattamento, le finalità di interesse pubblico perseguite, nonché le operazioni eseguibili sono individuati, per i soggetti titolari di cui all’art. 1, nelle schede contenute negli allegati al presente regolamento, di seguito elencati:
ALLEGATO A (schede da A1 a A41) – Regione/Provincia autonoma/Giunta Regionale/provinciale; Agenzie e enti regionali/provinciali, enti vigilati e controllati dalla Regione/Provincia autonoma:
Agenzia Regionale per la Protezione Ambientale;
Agenzia Regionale di Sanità, altre agenzie e istituti specifici in ambito sanitario; enti per i servizi amministrativi di area vasta;
Istituto Zooprofilattico Sperimentale;
Agenzia Regionale per le erogazioni in agricoltura;
Agenzie per i servizi, per lo sviluppo, per l’innovazione in Agricoltura;
Aziende agricole sperimentali regionali;
Enti e aziende regionali di promozione economica
Agenzia Regionale per il lavoro;
Aziende regionali per il Diritto allo Studio Universitario;
Istituti regionali di ricerca, Istituto degli Innocenti;
Istituti regionali di formazione per la pubblica amministrazione;
Altri enti strumentali della Regione/Provincia autonoma;
Agenzie e autorità di bacino regionali e interregionali;
Aziende porti; Enti irrigui; Consorzi di bonifica, Consorzi Fitosanitari; Enti parco;
IPAB e Agenzie servizi alla Persona;
altri enti vigilati dalla Regione/Provincia autonoma.
ALLEGATO B (scheda da B1 a B40): Aziende Unità sanitarie Locali, Aziende Ospedaliere, Istituti di Ricerca e Cura a carattere scientifico, Aziende Universitarie di qualsiasi tipo e natura operanti nell’ambito del Servizio Sanitario Nazionale.
ART. 4 Pubblicazione sul Bollettino Ufficiale e diffusione su Internet
Il presente regolamento è pubblicato sul Bollettino Ufficiale della Regione ……….. (da completare con le ulteriori disposizioni relative alla pubblicazione dell’atto)
Il presente regolamento entra in vigore ………… (il giorno successivo alla sua pubblicazione sul Bollettino Ufficiale della Regione).
SCHEMA TIPO DI REGOLAMENTO PER IL TRATTAMENTO DEI DATI SENSIBILI E GIUDIZIARI DI COMPETENZA DELLE REGIONI/PROVINCE AUTONOME, DELLE AZIENDE SANITARIE, DEGLI ENTI E AGENZIE REGIONALI/PROVINCIALI, DEGLI ENTI VIGILATI DALLA REGIONE/PROVINCIA AUTONOMA
Tutte le disposizioni contenute nel Regolamento relative alle Regioni si intendono riferite anche alle Province autonome di Trento e Bolzano.
Denominazione del trattamento: si intende il titolo del trattamento, che deve individuare categorie omogenee di attività abbastanza ampie, tali da poter includere nella stessa scheda i trattamenti che riguardano tutte le fasi relative a quella specifica attività (es. instaurazione e gestione del rapporto di lavoro del personale).
Fonte normativa legislativa: si intende la specifica disposizione di legge che origina o regola l’attività istituzionale in relazione alla quale la Regione effettua il trattamento. Al fine di una maggiore semplificazione le disposizioni di legge citate si intendono come recanti le successive modifiche e integrazioni.
Tipi di dati trattati: si ricorda che il presente Regolamento disciplina i dati sensibili e giudiziari escludendo quelli cosiddetti comuni (“dati non sensibili o giudiziari”). Pertanto nell’individuazione dei tipi di dati trattati devono essere menzionati esclusivamente quelli di cui agli artt. 20 e 21 del D.Lgs. 196/03. Devono, conseguentemente, essere barrate le caselle che specificano la tipologia dei dati sensibili o giudiziari trattati, mentre i dati comuni non sono indicati nella scheda.
Nella seconda categoria rientrano l’interconnessione e il raffronto con altri trattamenti o archivi, sia dello stesso Ente sia di altri soggetti, nonché la comunicazione e la diffusione del dato.
Nel Regolamento sono individuati soltanto l’interconnessione e il raffronto con altre banche dati relative anch’esse a dati sensibili e giudiziari.
Nel caso della comunicazione è necessario anche indicare i soggetti destinatari della stessa. Si precisa che questi ultimi sono i soggetti esterni all’ente titolare (Regione/Giunta regionale/Consiglio Regionale) mentre non costituisce “comunicazione” ai sensi del D.Lgs. 196/03 il dare conoscenza di dati personali al rappresentante del titolare nel territorio dello Stato, ai responsabili e agli incaricati del trattamento (così come all’interessato).