Source: https://www.cineas.it/general-data-protection-regulation-vademecum-cineas-un-modello-organizzativo-privacy/
Timestamp: 2018-08-15 09:13:01+00:00
Document Index: 34844331

Matched Legal Cases: ['art. 30', 'art. 35', 'art. 37', 'art. 16', 'art. 17', 'art. 20', 'art. 39']

GDPR, vademecum Cineas per un «Modello organizzativo privacy» - Cineas
Cineas | News | Sanità | GDPR, vademecum Cineas per un «Modello organizzativo privacy»
GDPR, vademecum Cineas per un «Modello organizzativo privacy»
Come accennato nel precedente articolo, pubblicato dapprima sul Sole 24 Ore – Sanità, del 25 aprile 2018, il trattamento dei dati personali effettuati in ambito sanitario, da parte di soggetti pubblici e privati, per finalità di prevenzione, diagnosi, cura e riabilitazione dell’interessato, costituisce uno degli ambiti più delicati in ragione della natura “particolare” dei dati che vengono trattati, dati verso i quali il livello di guardia relativo alla riservatezza e alla confidenzialità è, solitamente, molto elevato e la legge garantisce i più alti livelli di protezione.
Proprio in ragione di ciò sarà fondamentale, per i titolari, poter dimostrare di aver intrapreso consapevolmente un percorso che, secondo i dettami della ISO 31000, sia orientato al miglioramento continuo.
Bisognerà essere in grado di dimostrare di avere:
Di seguito riportiamo un breve vademecum che, auspicabilmente, come un “filo di Arianna”, potrà guidare il titolare verso l’uscita del “labirinto” normativo.
La prima attività è rappresentata dalla compilazione del Registro dei Trattamenti (art. 30). Questa mappatura consente di avere contezza dei soggetti interessati, delle tipologie di dati trattati e della loro provenienza.
In base a quanto disposto dall’art. 35 del Regolamento, la DPIA si rende necessaria in presenza di rischi elevati che, nel caso del settore sanitario, vengono rappresentati dalla voce “dati riferiti a soggetti vulnerabili”.
La nomina del DPO/RPD (art. 37), è obbligatoria per gli enti pubblici e per quelle organizzazioni che trattano particolari categorie di dati (come i dati sanitari appunto).
Predisporre procedure atte a rispondere prontamente ai diritti dell’interessato (diritto all’accesso, alla rettifica (art. 16), all’opposizione ed alla limitazione, diritto all’oblio (art. 17) ed alla portabilità (art. 20) dei dati).
Si tratta di due principi cardine. La privacy deve essere pensata sin dalla progettazione e come opzione predefinita.
E’ richiesta un’autovalutazione dell’adeguatezza dei sistemi utilizzati in relazione alla tutela dei dati.
Verificare eventuali trasferimenti dei dati verso paesi terzi o verso organismi internazionali
Il trasferimento, verso paesi terzi, dei dati trattati richiede un’attenta valutazione dei rischi e la predisposizione di accorgimenti tecnici ed organizzativi idonei a mitigarne eventuali impatti.
Quasi tutti gli strumenti tecnologici sono oggi collegati o collegabili in rete.
Questo rappresenta un potenziale pericolo che deve essere adeguatamente gestito.
Il GDPR pone la formazione su un piano di assoluto rilievo (art. 39). E’ obbligo del titolare rendere edotti i responsabili e gli addetti delle procedure e dei rischi collegati al trattamento dei dati.
Predisporre delle schede su cui registrare la formazione sostenuta da ciascun soggetto.
modello di comunicazione da inviare all’Autorità garante entro le 72 ore dall’intrusione
modello di comunicazione da inviare agli interessati
registro delle violazioni, su cui riportare le azioni intraprese o le eventuali cause di esonero
Periodicamente….verificare!
Ernesto Macrì – Avvocato – Docente del master Cineas Hospital Risk Management e Componente del Tavolo Cineas Assicurazione e Sanità 2.0
Gianfranco Castiglia – Risk Manager
‹ Marsh Risk Consulting cerca un Associate Consultant	› Calamità naturali: cruciale la comunicazione tra PA e aziende per ridurre al minimo gli impatti sul business