REGOLAMENTO AZIENDALE ATTUATIVO  DELLA LEGGE 31.12.1996  N. 675  “TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DEI DATI PERSONALI ”.

Art. 1- Oggetto-

Il presente regolamento contiene disposizioni attuative della   legge  31.12.1996  n. 675 (e successive)  nell’ambito delle strutture, servizi e presidi dell’Azienda U.S.L. 8 di Arezzo, con lo scopo di garantire che il trattamento dei dati personali avvenga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche e giuridiche, con particolare riferimento alla riservatezza ed all’identità personale degli utenti e di tutti coloro che hanno rapporti con la medesima.
L’Azienda assicura l’adozione di misure di sicurezza, anche preventive, idonee ad evitare situazioni di rischio e di non conformità o di alterazione dei dati.
L’azienda adotta le misure occorrenti per facilitare l’esercizio dei diritti dell’interessato ai sensi dell’art. 13 della legge 675/96.

Art. 2- Dati  Personali-

Il dato personale rappresenta qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi  compreso un numero di identificazione personale.
I dati personali sensibili, ai sensi dell’art.22 L. 675/96, sono quei dati idonei a rivelare l’origine razziale, le convinzioni religiose, filosofiche, le opinioni politiche, l’adesione a partiti politici, sindacati e lo stato di salute e la vita sessuale dell’interessato.

Art. 3 – Trattamento dei dati personali –

Con l’espressione trattamento, ai sensi  dell’art. 1 lettera b) della legge  31.12.1996 n. 675, deve intendersi  qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati.

Art. 4 – Titolare del trattamento dei dati personali –

Il Titolare del trattamento, ai sensi dell’art. 1 della L. 675/96, è l’Azienda USL 8 di Arezzo.
Il Titolare, anche tramite il Referente Aziendale di cui all’art. 10 del presente regolamento, provvede, nei casi previsti dalla legge:
a)	ad assolvere l’obbligo di notificazione al Garante;
b) a richiedere al Garante l’autorizzazione al trattamento dei dati sensibili, ove necessaria;
c) ad adottare, per quanto di competenza, le misure necessarie a garantire la sicurezza dei dati personali;
d) ad impartire ai Responsabili le necessarie istruzioni per la corretta gestione e tutela dei dati personali, ivi compresa la salvaguardia della loro integrità e sicurezza. Le istruzioni ai Responsabili dovranno essere impartite dal Titolare del trattamento dei dati al momento della nomina;
e) a verificare periodicamente l’osservanza dell’attività svolta dai Responsabili rispetto alle istruzioni impartite, anche con riguardo agli aspetti relativi alla sicurezza dei dati.

Art. 5 -   Responsabili del trattamento dei dati personali –

I Responsabili del trattamento  dei dati personali vengono nominati con atto del Direttore Generale su proposta del Direttore Amministrativo, del  Direttore Sanitario o del Coordinatore dei Servizi Sociali, secondo la rispettiva competenza .
L’atto di nomina, che dovrà essere notificato per iscritto ai soggetti individuati,  prevede anche la designazione dei sostituti in caso di assenza o impedimento dei responsabili del trattamento.
I Responsabili del trattamento dei dati personali  compiono tutto quanto è necessario per il rispetto delle vigenti disposizioni in tema  di riservatezza; in particolare hanno il dovere di osservare e fare osservare le precauzioni individuate nel piano di sicurezza dei dati personali  elaborato dall’azienda.
l Responsabili del trattamento dei dati  nominano gli incaricati al trattamento.
I Responsabili, inoltre, collaborano con il referente aziendale provvedendo a :
a- fornire le informazioni richieste; 
b- metterlo a conoscenza, tempestivamente, di tutte le questioni rilevanti ai fini della legge 675/96 ; 
c- comunicare  l’inizio di ogni nuovo  trattamento  nonché la cessazione o la modifica dei trattamenti già in essere all’interno del proprio settore di competenza ai fini dell’aggiornamento dell’anagrafe dei trattamenti di dati personali aziendale.

Art.6 – Individuazione dei responsabili del trattamento -

a- Area amministrativa e  tecnica:  il responsabile del trattamento dei dati personali è il responsabile di Unità Operativa Amministrativa, Tecnica, di Staff, come previsto dal vigente regolamento generale dell’Azienda. Nelle singole Zone il responsabile del trattamento è il responsabile del Centro Tecnico amministrativo di Zona;  
b- U.O. Segreteria Affari Generali e Legali: il Responsabile  della U.O.  è anche il responsabile del trattamento dei dati personali effettuato  presso quegli organismi di cui la U.O. cura la segreteria;
c- Attività territoriali: i responsabili delle Unità Funzionali collocate in ambito distrettuale sono i responsabili del trattamento dei dati personali effettuato all’interno delle medesime; per i trattamenti che coinvolgono più Unità Funzionali il Responsabile del trattamento è identificabile nel Responsabile del Distretto. Per quanto riguarda il trattamento di dati effettuato all’interno delle UU.OO. territoriali, il responsabile è il Direttore di ciascuna U.O. individuata. 
Nella zona Aretina il responsabile del trattamento dei dati nel settore amministrativo è il responsabile dell’U.O. Supporto Tecnico amministrativo di Distretto. 
d- Presidio ospedaliero: i responsabili delle UU.OO. e/o Sezioni del presidio sono responsabili dei trattamenti effettuati all’interno delle medesime; per i trattamenti che coinvolgono più UU.OO. o Sezioni, o  comunque più strutture, il responsabile  del trattamento è identificabile nel Responsabile del presidio ospedaliero.
Nella zona Aretina il responsabile del trattamento dei dati nel settore amministrativo è il responsabile dell’U.O. Supporto Tecnico amministrativo di Presidio.
e- Dipartimento della prevenzione: il responsabile del trattamento è il Responsabile delle unità  funzionale di ciascuna Zona. Nella zona Aretina il responsabile del trattamento dei dati nel settore amministrativo è il responsabile dell’U.O. Supporto Tecnico amministrativo.
f - Dipartimento di coordinamento tecnico della salute mentale: il      responsabile del trattamento è il Responsabile dell’Unità Funzionale di ciascuna Zona;
g - Dipartimento di coordinamento tecnico delle dipendenze: il responsabile del trattamento è il Responsabile dell’Unità Funzionale di ciascuna Zona.

Art.7-  Trattamenti di dati affidati all’esterno -

Agli Enti, agli organismi, agli altri soggetti esterni all’Azienda ed alle strutture accreditate, con esclusivo riferimento alle connesse operazioni di trattamento di dati, viene attribuita la qualità di responsabile ai sensi dell’ art.8 legge n. 675/96.
Negli accordi con le strutture accreditate e nei contratti di affidamento di attività o di servizi all’esterno dell’azienda (outsourcing) deve essere inserita apposita clausola di garanzia in cui il soggetto accreditato od affidatario si impegna all’osservanza delle norme di legge sulla protezione dei dati personali e ad osservare quanto disposto dall’Azienda  U.S.L. 8 in materia di trattamento di dati personali, effettuati in forza del rapporto contrattuale.
- In sede di prima applicazione del presente regolamento, le strutture aziendali competenti per la stipula e la conservazione dei contratti effettuano una ricognizione dei contratti in essere, al fine di provvedere agli adempimenti di legge, nonché all’inserimento nei contratti medesimi delle opportune clausole di garanzia. Copia di tali contratti dovrà essere inviata al Referente aziendale per la privacy.

- Per quanto concerne l’attività libero professionale intramoenia svolta sia in locali messi a disposizione dall’Azienda che presso studi privati autorizzati dall’Azienda, il Responsabile del Trattamento dei dati è il singolo professionista.

 Art. 8 – Incaricati del trattamento - 

 Gli incaricati sono identificati in tutti coloro che materialmente effettuano le operazioni di trattamento di dati.
Gli incaricati devono eseguire i trattamenti secondo le disposizioni date dal responsabile del trattamento, dal quale sono nominati ai sensi del precedente art. 5.
Nell’atto scritto di designazione, i responsabili devono prescrivere che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria al trattamento.

Art. 9- Criteri per l’esecuzione del trattamento dei dati personali -

 Il trattamento dei dati deve essere effettuato con modalità atte ad assicurare il rispetto dei diritti e della dignità dell’interessato.
Oggetto del trattamento devono essere i soli dati essenziali per svolgere attività istituzionali. 
I dati personali devono essere trattati in modo lecito, raccolti e registrati per scopi determinati, espliciti e legittimi ed utilizzati in operazioni del trattamento in termini non incompatibili con tali scopi.
 I Responsabili del trattamento sono tenuti a verificare periodicamente l’esattezza e l’aggiornamento dei dati, nonché la loro  pertinenza, completezza, non eccedenza e necessità rispetto alle finalità perseguite nei singoli casi, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa
I dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non necessari non possono essere  utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto  che li contiene.
Nei trattamenti è autorizzata solo l’esecuzione delle operazioni strettamente necessarie al perseguimento delle finalità per le quali il trattamento è consentito, anche quando i dati non sono raccolti nello svolgimento di compiti di vigilanza, di controllo od ispettivo anche su richiesta di altri soggetti, così come previsto dall’art. 4 d.l.135/99.
I trattamenti di dati effettuati utilizzando le banche dati di diversi titolari, sono autorizzati nelle sole ipotesi previste da espressa disposizione di legge.

Art. 10  -  Referente aziendale per la privacy –

L’azienda individua un referente aziendale per la privacy e gli garantisce adeguato supporto per lo svolgimento dei compiti assegnati.
Il Referente aziendale per la privacy viene nominato con atto del Direttore Generale, su proposta del Direttore Amministrativo.
Il Referente  aziendale per  la  privacy  svolge i seguenti compiti :
a – assiste la Direzione aziendale  nei rapporti con il Garante e nei rapporti con altri soggetti pubblici o privati per quanto riguarda gli adempimenti derivanti dalla normativa in materia;
b- assicura la propria collaborazione per la stesura del documento programmatico per la sicurezza dei dati
c- vigila sull’osservanza del  regolamento aziendale sulla privacy  fornendo la necessaria consulenza in ordine alle problematiche in tema di riservatezza ;
d– tiene ed aggiorna il censimento dei trattamenti dei dati personali sensibili sulla base delle comunicazioni effettuati  dai responsabili del trattamento;
e– tiene ed aggiorna l’elenco degli archivi cartacei e /o magnetici   dati personali e/o sensibili custoditi a livello   aziendale;
f- svolge attività di formazione a livello aziendale in tema di normativa sulla riservatezza dei dati.

Art. 11 - Informativa all’interessato –

Il  responsabile del trattamento dei dati personali deve verificare che gli incaricati forniscano all’interessato oralmente o per iscritto, antecedentemente o al momento della raccolta, le informazioni di cui all’art.10 della legge 675/96 relativamente a:
•	le finalità per le quali e le modalità con le quali verranno trattati i dati;
•	l’obbligatorietà o meno del conferimento dei dati;
•	le conseguenze di un eventuale rifiuto a fornire i dati;
•	i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l’ambito di diffusione di dati medesimi;
•	i diritti di cui all’articolo successivo;
•	il nome ed il domicilio (e/o la residenza) del Responsabile 
 
L’informativa all’interessato può essere resa anche tramite affissione di appositi manifesti nei locali di accesso all’utenza, secondo procedure e modelli concordati con il Referente Aziendale per la privacy. 

Art. 12 – Diritti dell’interessato

L’interessato ha diritto:
a) di conoscere, mediante accesso gratuito, l’esistenza di trattamenti di dati che possono riguardarlo;
b) di essere informato su: 
•	il nome e il domicilio del Titolare e del Responsabile del trattamento;
•	le finalità e le modalità del trattamento;
•	l’eventuale ambito di comunicazione e diffusione;
c) di ottenere, a cura del titolare o del responsabile, senza ritardo:
•	la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento; la richiesta può essere rinnovata, salva l’esistenza di giustificati motivi, con intervallo non minore di 90 giorni;
•	la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;
•	l’aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l’integrazione dei dati;
•	l’attestazione che le operazioni di cui ai punti b) e c) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;

d) di opporsi in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorchè pertinenti allo scopo della raccolta.

Nel caso in cui l’utente intenda presentare ricorso per fatti inerenti il trattamento dei propri dati personali può rivolgere istanza scritta direttamente al Responsabile del trattamento, che procederà agli adempimenti conseguenti. Di ciò dovrà essere informato il Referente Aziendale per la privacy. 

L’interessato, nell’esercizio dei diritti sopra riportati può conferire per iscritto, delega o procura a persone fisiche o ad associazioni, mentre se tali diritti sono riferiti a dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia un interesse giuridicamente rilevante.

Art. 13  - Rapporti  tra diritto di accesso e diritto alla riservatezza–

 In osservanza dell’art 43 della legge 675/96, che in tema di dati personali fa esplicitamente salve le vigenti norme in materia di accesso ai documenti amministrativi, l’Azienda U.S.L. 8 valuterà, anche con riguardo al proprio regolamento di attuazione della legge 241/90, caso per caso la possibilità di accedere ai documenti da parte di terzi.
L’accesso sarà ammesso nelle modalità di legge e secondo quanto disposto in materia dal Garante per la riservatezza dei dati personali.
I dati personali idonei a rivelare lo stato di salute possono essere resi noti all’interessato solo attraverso tali forme (art. 23 legge 675/96 così come interpretato dal Garante):
a)	attraverso la consegna dei dati al medico di fiducia che, a sua volta, li renderà noti all’interessato
b)	attraverso una spiegazione orale o un giudizio scritto da parte di un medico del servizio interessato.

 - La documentazione sanitaria può essere ritirata anche da persona diversa dal diretto interessato, purchè sulla base di una delega scritta e mediante consegna dei documenti in busta chiusa.

 - E’ da prevedersi come eccezione che un degente possa chiedere che la sua presenza in ospedale non venga resa nota. Pertanto, in assenza di contraria espressa volontà dell’interessato, deve essere garantita la informazione sulla presenza dei degenti nei reparti ospedalieri.

 - L’Azienda, qualora le deliberazioni da pubblicare contengano dati sensibili, selezionano -  alla luce dei principi di pertinenza e non eccedenza sanciti dall’art. 9 della legge 675/96  - i dati personali la cui inclusione nelle deliberazioni da pubblicare sia realmente necessaria per le finalità proprie di ciascun provvedimento.

Art. 14 – Rapporti con il Garante

Ogni rapporto col Garante (notificazioni, richieste di autorizzazione, comunicazioni) è di competenza del Titolare, il quale vi provvede tramite il Referente Aziendale. In particolare il Titolare deve procedere a nuova notificazione dei trattamenti di dati personali svolti nell’ambito dell’Azienda USL ove muti taluno degli elementi indicati nel comma 4 dell’art. 7 della legge 675/96. Deve, inoltre, provvedere a richiedere al Garante le autorizzazioni per procedere al trattamento di taluni dati sensibili, qualora si rendano necessarie ai sensi degli artt. 22 e 23 della legge 675/96.

Art. 15 – Il censimento dei trattamenti dei dati personali e/o sensibili (CE.TRA.)

L’Azienda istituisce il censimento dei dati personali e/o sensibili (CE.TRA.).
Esso è approvato con deliberazione del Direttore Generale. Il CE.TRA. contiene la rilevazione dei trattamenti dei dati suddivisi per tipologie e per strutture organizzative.

Art. 16 – Tenuta e aggiornamento del CE.TRA.

Il CE.TRA. è tenuto a cura del Referente aziendale il quale provvede ad aggiornarlo qualora vengano comunicati da parte del titolare o dei responsabili del trattamento casi di attivazione di un nuovo trattamento o cessazione di un trattamento in essere.

Art. 17 - Adozione delle misure di sicurezza informatiche - 

Con riferimento ai dati elaborati con mezzo elettronico, agli incaricati del trattamento  dei dati personali deve essere assegnata una parola chiave per l’accesso ai dati.
Nell’ipotesi in cui vi sia più di un incaricato del trattamento e sono in uso più parole chiave devono essere individuati per iscritto i soggetti preposti alla loro custodia o che hanno accesso  ad informazioni che concernono le medesime.
Nel  caso di trattamenti effettuati con elaboratori accessibili in rete sia da altri elaboratori sia mediante una rete di telecomunicazioni ai sensi del d.p.r. 28.07.1999 n. 318 devono essere adottate,   le seguenti misure:
a) a ciascun utente od incaricato del trattamento deve essere attribuito un codice identificativo personale per l’utilizzazione dell’elaboratore; uno stesso codice, fatta eccezione  per gli amministratori di sistema relativamente ai sistemi operativi che prevedono un unico livello di accesso per tale funzione, non può, neppure in tempi diversi, essere assegnato a persone diverse;
b) i codici identificativi personali devono essere assegnati e gestiti in modo che ne sia prevista la disattivazione in caso di perdita della qualità che consentiva l’accesso all’elaboratore o di mancato utilizzo dei medesimi per un periodo superiore a sei mesi;
c) gli elaboratori devono essere protetti contro il rischio di intrusione  ad opera dei programmi di cui all’art. 615 quinquies del codice penale mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati con cadenza almeno semestrale.

Le disposizioni di cui alla lettere a e b non si applicano ai trattamenti dei dati personali di cui è consentita la diffusione.

Con riferimento ai dati sensibili  l’accesso per effettuare le operazioni di trattamento è determinato sulla base di autorizzazioni assegnate singolarmente o per gruppi di lavoro, agli  incaricati del trattamento con le modalità  previste dall’art. 5 del d.p.r. 28.7.99/318.

Art. 18  - Documento programmatico della sicurezza -

Ai sensi e per gli effetti dell’art.6 del d.p.r 318 del 28.7.99 l’Azienda U.S.L. 8  elaborerà il documento programmatico della sicurezza dei dati, da aggiornarsi annualmente, sulla base dell’analisi dei rischi, della distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati stessi. 
Al fine della collaborazione e supporto al Referente Aziendale per la privacy in tema di sicurezza informatica è individuato all’interno dell’U.O. Tecnologie Informatiche un Consulente informatico per la privacy.

Art. 19 - Sicurezza degli archivi  cartacei - 

L’accesso agli archivi aziendali deve essere controllato e devono essere identificati e registrati i soggetti che vi vengono ammessi dopo l’orario di chiusura.
Con riferimento agli archivi amministrativi  la responsabilità della conservazione e sicurezza dei medesimi spetta al  responsabile cui i dati oggetto del trattamento sono di competenza.
La responsabilità  della conservazione e della sicurezza degli archivi  delle ex UU. SS.LL confluite nella Azienda U.S.L. 8 rientra nelle competenze dell’U.O. Amministrativa di  Zona ove i medesimi sono ubicati tranne che facciano parte dell’archivio corrente dell’Azienda.
Gli archivi delle cartelle cliniche sono sotto la responsabilità del Responsabile del Presidio Ospedaliero di Zona.
Per le cartelle cliniche e la documentazione equipollente giacente presso strutture non ospedaliere la responsabilità farà capo al   Responsabile del Distretto  ove i medesimi atti  sono ubicati.
Nel caso di documentazione  archiviata presso ditta convenzionata, il legale rappresentante  della medesima   è responsabile della conservazione e della sicurezza.
Nel contratto di affidamento del servizio dovrà essere prevista un’apposita clausola di garanzia e la possibilità per l’Azienda di accedere ai locali per verificare  anche il rispetto alle prescrizioni della legge sulla privacy e del presente regolamento.
Per quanto riguarda tutta la documentazione archiviata, in conformità a quanto disposto dal Ministero per i beni Culturali ed Ambientali con circolare del 13.02.96 (Massimario di scarto per gli archivi degli enti sanitari) annualmente deve essere predisposto dall’Azienda un piano di scarto d’archivio; a tale scopo i singoli responsabili del trattamento di dati segnalano al Referente aziendale per la privacy la tipologia, l’ubicazione, il metodo di catalogazione e custodia, la quantità approssimativa e l’anno di riferimento della documentazione custodita. 

REGOLAMENTO AZIENDALE ATTUATIVO  DELLA LEGGE 31.12.1996  N. 675  “TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DEI DATI PERSONALI ”.

Indice

Art. 1- Oggetto-	1
Art. 2- Dati  Personali-	1
Art. 3 – Trattamento dei dati personali –	1
Art. 4 – Titolare del trattamento dei dati personali –	2
Art. 5 -   Responsabili del trattamento dei dati personali –	2
Art.6 – individuazione dei responsabili del trattamento -	2
Art.7-  Trattamenti di dati affidati all’esterno -	3
Art. 8 – Incaricati del trattamento -	4
Art. 9- Criteri per l’esecuzione del trattamento dei dati personali -	4
Art. 10  -  Referente aziendale per la privacy –	4
Art. 11 - informativa all’interessato –	5
Art. 12 – Diritti dell’interessato	5
Art. 13  - rapporti  tra diritto di accesso e diritto alla riservatezza–	6
Art. 14 – Rapporti con il Garante	7
Art. 15 – Il censimento dei trattamenti dei dati personali e/o sensibili (CE.TRA.)	7
Art. 16 – Tenuta e aggiornamento del CE.TRA.	7
Art. 17 - adozione misure di sicurezza informatiche -	7
Art. 18  - documento programmatico della sicurezza -	8
Art. 19 - sicurezza degli archivi  cartacei -	8