La privacy nella Pubblica Amministrazione Un caso pratico: il progetto I-Care

1. La privacy nella Pubblica AmministrazioneUn caso pratico: il progetto I-Care Avv. Chiara Rabbito

2. I PRINCIPI GENERALI

3. Il quadro normativo • Convenzione del Consiglio d’Europa n. 108 del 1981 • Direttiva 95/46/CE • Legge 675 del 1996 • Decreto legislativo 282/1999 • Decreto legislativo 196 del 2003

4. Il Codice della privacy Il Codice della privacy (d.lgs. 196/2003) si occupa della tutela del cittadino in relazione al trattamento dei suoi dati personali E’ pertanto escluso dalle problematiche sulla privacy il trattamento di dati statistici e di dati aggregati.

5. Il trattamento • Che cos’è un trattamento? • Per trattamento si intende: • qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati. • …quindi anche annotare un dato personale su un post-it è un trattamento!

6. Come deve avvenire un trattamento • Il trattamento dei dati personali deve svolgersi nel rispetto dei diritti e delle liberta' fondamentali, nonche' della dignita' dell'interessato, con particolare riferimento alla riservatezza, all'identita' personale e al diritto alla protezione dei dati personali.

7. I dati personali • Che cos’è un dato personale? • Per “dato personale” si intende qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale

8. I dati sensibili • Nell’ambito dei dati personali esiste una particolare categoria di cosiddetti “dati sensibili”

9. Definizione di dato sensibile • Sono "dati sensibili" i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonche' i dati personali idonei a rivelare lo stato di salute e la vita sessuale

10. I soggetti della privacy • Sono coinvolti una molteplicità di soggetti….

11. L’interessato • L’interessato è la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali;

12. Il titolare dei dati • Chi è il titolare dei dati? • Per titolare si intende la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare (il cosiddetto co-titolare), le decisioni in ordine alle finalita', alle modalita' del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza

13. Il responsabile dei dati • Chi è il responsabile? • la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali

14. Il responsabile esterno • Frequentemente risulta necessaria la nomina di un cosiddetto “responsabile esterno” • …per esempio il nostro commercialista… • Può trattarsi di una persona fisica o di un ente • Come avviene la nomina?

15. La nomina a responsabile esterno • Atto di nomina di responsabile esterno del trattamento ex art. 29 del d.lgs. 196/2003 • Il/La…………………(nomeEnte), nella Sua qualità di titolare del trattamento ai sensi dell'art. 29 del d.lgs.196/2003, • PREMESSO CHE • il d.lgs.196/2003 ha espressamente previsto la possibilità che il titolare preponga al trattamento dei dati personali uno o più responsabili, scelti tra soggetti che, per la loro capacità, esperienza e affidabilità, forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di tutela dei dati personali, ivi compresa la sicurezza degli stessi; • CHE il responsabile deve procedere al trattamento con la dovuta diligenza, nonché attenendosi alle istruzioni ricevute dal titolare, il quale deve vigilare sulla puntuale osservanza delle disposizioni vigenti; • L’ENTE • intende procedere alla nomina di ………………………………… responsabile del trattamento, per ciò che attiene ai dati personali e sensibili di cui è titolare e il cui trattamento è necessario per …... • Il titolare dichiara che i dati trasmessi al responsabile sono: • 1. esatti e aggiornati; • 2. pertinenti, completi e non eccedenti la finalità della raccolta; • 3. raccolti e trasmessi al responsabile in modo lecito.

16. I doveri del responsabile esterno • Il responsabile deve: • a) operare nel rispetto dei principi generali fissati dall'art. 11 del d.lgs.196/2003; • b) impartire ai propri incaricati le istruzioni fornite dal titolare del trattamento, nonché imporre le precauzioni generali dettate dal d.lgs.196/2003; • c) adottare e rispettare le misure di sicurezza indicate e predisposte dal titolare; • d) vigilare sul rispetto delle misure di sicurezza da parte dei soggetti incaricati, • e) tenere la lista degli incaricati con l’indicazione dell’ambito di trattamento consentito mediante strumenti elettronici e quella del trattamento mediante strumenti non elettronici, • f) effettuare esclusivamente i trattamenti indicati dal titolare

17. Gli incaricati • Chi sono gli incaricati? • le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile

18. L’autorizzazione • Come avviene l’autorizzazione dell’incaricato? • Mediante lettera di incarico o • Mediante lettera di riservatezza

19. La lettera di incarico • Atto di nomina di incaricato del trattamento di dati personali e sensibili ai fini di….. • Il/La…………………(nomeEnte), nella Sua qualità di titolare – ovvero – responsabile del trattamento dei dati in relazione a…., ai sensi dell’art. 30 del d. lgs. n. 196/2003, • designa quale incaricato al trattamento dei dati personali e sensibili • il Sig./la Sig.ra (nome e cognome), nato/a a …………………., il ………………………….., in servizio presso …………………………..(inserire ufficio/area/funzione). • Tale nomina riguarda il trattamento di dati personali e sensibili ai quali il soggetto sopracitato abbia accesso in relazione a………………………………nell'espletamento della funzione che gli è propria, nelle mansioni e/o per gli incarichi che gli/le sono stati affidati. • Art. 30 (Incaricati del trattamento): 1. Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorita' del titolare o del responsabile, attenendosi alle istruzioni impartite. 2. La designazione e' effettuata per iscritto e individua puntualmente l'ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unita' per la quale e' individuato, per iscritto, l'ambito del trattamento consentito agli addetti all'unita' medesima.

20. I doveri dell’incaricato • il Sig./la Sig.ra ……………………………….. dovrà trattare i dati personali e sensibili attenendosi alle seguenti modalità: • in modo lecito e secondo correttezza; • raccogliendoli e registrandoli per gli scopi inerenti l'attività svolta; • verificando, ove possibile, che siano esatti e, se necessario, aggiornarli; • verificando che siano pertinenti, completi e non eccedenti le finalità per le quali sono stati raccolti o successivamente trattati, secondo le indicazioni ricevute dal responsabile/titolare;

21. I criteri fondamentali

22. Art. 7(Diritto di accesso ai dati personali ed altri diritti) • 1. L'interessato ha diritto di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile. • 2. L'interessato ha diritto di ottenere l'indicazione:a) dell'origine dei dati personali;b) delle finalita' e modalita' del trattamento;c) della logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici;d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'articolo 5, comma 2;e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualita' di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

23. Art. 7(Diritto di accesso ai dati personali ed altri diritti) • 3. L'interessato ha diritto di ottenere:a) l'aggiornamento, la rettificazione ovvero, quando vi ha interesse, l'integrazione dei dati;b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non e' necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;c) l'attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato. • 4. L'interessato ha diritto di opporsi, in tutto o in parte:a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorche' pertinenti allo scopo della raccolta;b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

24. Art. 11(Modalita' del trattamento e requisiti dei dati) 1. I dati personali oggetto di trattamento sono:a) trattati in modo lecito e secondo correttezza;b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;c) esatti e, se necessario, aggiornati;d) pertinenti, completi e non eccedenti rispetto alle finalita' per le quali sono raccolti o successivamente trattati;e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. 2. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati.

25. Le modalità del trattamento • I dati personali oggetto di trattamento sono:a) trattati in modo lecito e secondo correttezza;b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;c) esatti e, se necessario, aggiornati;d) pertinenti, completi e non eccedenti rispetto alle finalita' per le quali sono raccolti o successivamente trattati;e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. • I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati.

26. Adempimenti privacy per gli enti pubblici

27. Regolamento dati sensibili • Art. 20(Principi applicabili al trattamento di dati sensibili) 1. Il trattamento dei dati sensibili da parte di soggetti pubblici e' consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di' dati che possono essere trattati e di operazioni eseguibili e le finalita' di rilevante interesse pubblico perseguite. 2. Nei casi in cui una disposizione di legge specifica la finalita' di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili, il trattamento e' consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalita' perseguite nei singoli casi e nel rispetto dei principi di cui all'articolo 22, con atto di natura regolamentare adottato in conformita' al parere espresso dal Garante ai sensi dell'articolo 154, comma 1, lettera g), anche su schemi tipo.

28. Regolamento dati sensibili • 3. Se il trattamento non e' previsto espressamente da una disposizione di legge i soggetti pubblici possono richiedere al Garante l'individuazione delle attivita', tra quelle demandate ai medesimi soggetti dalla legge, che perseguono finalita' di rilevante interesse pubblico e per le quali e' conseguentemente autorizzato, ai sensi dell'articolo 26, comma 2, il trattamento dei dati sensibili. Il trattamento e' consentito solo se il soggetto pubblico provvede altresi' a identificare e rendere pubblici i tipi di dati e di operazioni nei modi di cui al comma 2.

29. Il regolamento dei dati sensibili • CASO A • Ai sensi dell’art. 20 il trattamento dei dati sensibili da parte di soggetti pubblici e' consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite.

30. Il regolamento dei dati sensibili • CASO B • Nei casi in cui la disposizione di legge specifichi le finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili trattati e le operazioni eseguibili, il trattamento è consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici dai soggetti che effettuano il trattamento in relazione alle specifiche finalità perseguite nei singoli casi con atto di natura regolamentare.

31. Il regolamento dei dati sensibili • CASO C • Tuttavia, se il trattamento non e' previsto espressamente da una disposizione di legge i soggetti pubblici possono richiedere al Garante l'individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono finalità di rilevante interesse pubblico e per le quali e' conseguentemente autorizzato, ai sensi dell'articolo 26, comma 2, il trattamento dei dati sensibili (art. 20 comma 3).

32. Adempimenti Ente non sanitario • Il Regolamento per i dati sensibili è già stato elaborato sulla base della legge 675/96, ma era da aggiornare in base al nuovo Codice entro il 31 dicembre 2004 • Si tratta anche di mettere a punto un Documento Programmatico di Sicurezza entro il 31 marzo di ogni anno.

33. Il regolamento dei dati sensibili • Trattamento dei dati sensibili nella pubblica amministrazione(G.U. n. 170 del 23 luglio 2005) • Il Garante segnala che non sono state ancora introdotte le garanzie previste in ordine al trattamento di alcune informazioni che riguardano profili particolarmente delicati della sfera privata delle persone, ovvero dei c.d. dati "sensibili".

34. Il regolamento dei dati sensibili Il Garante: se non interverranno entro il 31 dicembre prossimo (2004) i necessari atti di natura regolamentare il trattamento dei dati sensibili e giudiziari dovrà essere infatti interrotto a decorrere dal 1° gennaio prossimo. La prosecuzione del trattamento di dati sensibili e giudiziari dopo tale data concretizzerebbe un illecito, con conseguenti responsabilità di diverso ordine, anche contabile e per danno erariale; potrebbe inoltre comportare l'inutilizzabilità dei dati trattati indebitamente, nonché il possibile intervento di provvedimenti anche giudiziari di blocco o di divieto del trattamento(art. 154 del Codice; art. 3 d.l. 24 giugno 2004, n. 158, come modificato dalla l. 27 luglio 2004, n. 188; art. 11, commi 1, lett. a) e 2, del Codice).

35. Il regolamento dei dati sensibili IL MODELLO DI REGOLAMENTO FORNITO DAL GARANTE • Art. ... • 1. Il presente regolamento, in attuazione del Codice in materia di protezione dei dati personali (artt. 20, comma 2, e 21, comma 2, del decreto legislativo 30 giugno 2003, n. 196), identifica le tipologie di dati sensibili e di operazioni indispensabili a ... per perseguire le finalità di rilevante interesse pubblico espressamente individuate da apposita previsione di legge. • Art. ... • 1. Ai sensi dell'art. 1, ... , per le finalità di ... tratta le seguenti tipologie di dati sensibili e giudiziari mediante i tipi di operazioni di seguito indicati. • INDICAZIONE DEL TRATTAMENTO E DESCRIZIONE RIASSUNTIVA DEL CONTESTO • Indicare sinteticamente il contesto in cui il trattamento è effettuato, descrivendo anche, con linguaggio chiaro e comunicativo, le caratteristiche principali del trattamento e del flusso informativo

36. Il regolamento dei dati sensibili • FINALITÁ DI RILEVANTE INTERESSE PUBBLICO PERSEGUITE • Indicare le finalità di rilevante interesse pubblico specificamente indicate dal Codice o da una norma di legge e il relativo riferimento normativo. FONTE NORMATIVA • Indicare, se possibile, le fonti normative sull'attività istituzionale cui il trattamento è collegato.

37. Il regolamento dei dati sensibili • TIPI DI DATI TRATTATI • (barrare le caselle corrispondenti) • origine              □   razziale   □  etnica • convinzioni        □   religiose   □  filosofiche   □ d'altro genere • convinzioni        □   politiche   □  sindacali • stato di salute   □   patologie attuali   □  patologie pregresse                       □   terapie in corso    □  anamnesi familiare • vita sessuale □  • dati di carattere giudiziario (art. 4, comma1, lett. e), del Codice)□ 

38. Il regolamento dei dati sensibili • OPERAZIONI ESEGUITE(barrare le caselle corrispondenti) • Particolari forme di trattamento • Interconnessioni e raffronti di dati: • con altre informazioni o banche dati dello stesso soggetto pubblico (specificare quali ed indicarne i motivi): ........................................... • con altri soggetti pubblici o privati (specificare quali ed indicare la base normativa):........................................... • Trattamento automatizzato volto a definire il profilo o la personalità dell'interessato ai fini dell'adozione di un provvedimento amministrativo o giudiziario (specificare quali ed indicarne i motivi o la base normativa): ........................................... • Comunicazione ai seguenti soggetti per le seguenti finalità (indicare l'eventuale base normativa):........................................... • Diffusione (specificare l'ambito ed indicare l'eventuale base normativa):........................................... • Altre operazioni (indicare eventuali altre operazioni effettuate sui dati, diverse da quelle sopra indicate):...........................................

39. Il regolamento dei dati sensibili • Altre tipologie più ricorrenti di trattamento • Raccolta:         □  presso gli interessati   □  presso terzi • Elaborazione:   □  in forma cartacea        □  con modalità informatizzate • Altre operazioni indispensabili rispetto alla finalità del trattamento e diverse da quelle "ordinarie" quali la registrazione, la conservazione, la cancellazione o il blocco nei casi previsti dalla legge (specificare):...........................................

40. Nomina del coordinatore per il diritto di accesso ai dati • Art. 13. Legge 675/1996 (Diritti dell'interessato). • 1. In relazione al trattamento di dati personali l'interessato ha diritto:a) di conoscere, mediante accesso gratuito al registro di cui all'articolo 31, comma 1, lettera a), l'esistenza di trattamenti di dati che possono riguardarlo. • Al Coordinatore del diritto di accesso sono attribuite le seguenti funzioni: • a) promuovere la sensibilizzazione dei Responsabili e gli incaricati del trattamento dei dati, sia in via generale e preventiva sia su singola richiesta, sui diritti di cui all’art. 13 della legge n.675/96; • b) collaborare con i singoli interessati alla redazione e compilazione delle istanze • per l’esercizio dei diritti medesimi; • c) smistare le singole istanze verso i Responsabili del trattamento dei dati competenti ad ottemperare alle medesime; • d) individuare le singole misure ritenute opportune per agevolare l’accesso ai dati personali da parte • dell’interessato, coordinandosi con i Responsabili del trattamento dei dati e il Responsabile della sicurezza; • e) individuare e proporre le misure opportune per semplificare le modalità di accesso e per ridurre i tempi di attesa, indicandole, laddove necessario, ai Responsabile del trattamento dei dati e al Responsabile della sicurezza (delibera RER)

41. La particolarità dei dati sanitari

42. I dati sanitari Il Codice privacy fa oggetto di disciplina il trattamento dei dati sanitari nel caso in cui sia finalizzato alla tutela della salute e solo se effettuato da specifici titolari qualificati, i quali istituzionalmente svolgono funzioni di tutela della salute, ossia gli esercenti delle professioni sanitarie e degli organismi sanitari pubblici.

43. I dati sanitari I dati sanitari, definizione normativa: devono considerarsi dati sanitari ai fini del Codice tutti quei dati dai quali possa desumersi o presumersi uno stato patologico, sintomatico o cronico in capo ad un determinato soggetto. Definizione MOLTO AMPIA. L’art. 76 disciplina il trattamento dei dati idonei a rivelare lo stato di salute, specificando che tale trattamento deve avvenire per finalità di tutela della salute dell’interessato, di terzi e della collettività.

44. I dati sanitari • Ne consegue che: se il trattamento non è a fini di tutela della salute, ma per esempio a fini di ricerca o scientifici non si applicano in toto le norme sui dati sanitari. Se il trattamento viene effettuato NON da esercenti professioni sanitarie o NON da organismi sanitari non si applica la disciplina ad hoc.

45. L’ambito applicativo

46. Esercenti professioni sanitarie • Si ritiene che debbano qualificarsi come “esercenti professioni sanitarie” coloro che svolgono la loro attività a stretto contatto con il paziente e che la esercitano sulla base di un titolo, in qualsiasi forma rilasciato dalla pubblica autorità a fini abilitativi, quali: medici chirurgi, odontoiatri, farmacisti, ostetrici, assistenti sanitari, infermieri professionali, vigilatori d’infanzia, terapisti della rianimazione, tecnici sanitari di radiologia medica, tecnici di immunologia e trasfusione, tecnici di igiene ambientale, igienisti dentali, podologi, audiometristi, massofisioterapisti, tecnici della riabilitazione funzionale, tecnici di laboratorio, dietisti.

47. Organismi sanitari pubblici • Per quanto concerne gli “organismi sanitari pubblici” deve ritenersi che rientrino in tale definizione le strutture sanitarie individuate dalla legge 23 dicembre 1978 n. 833 e successive modifiche. • Si tratta di: Aziende Sanitarie Locali, Aziende ospedaliere, istituti di ricerca e cura a carattere scientifico, farmacie pubbliche, ambulatori destinati a fornire prestazioni sanitarie mediche e chirurgiche, enti di ricerca e sperimentazione, residenze sanitarie e assistenziali.

48. Gli OSSS Legge Regionale 16 agosto 2001, n. 20. B.U.R. n. 75/2001. Art. 1 - Figura professionale e profilo. È individuata la figura professionale dell’operatore socio-sanitario. L’operatore socio-sanitario è l’operatore che, a seguito dell’attestato di qualifica conseguito al termine di specifica formazione professionale, svolge attività indirizzata a: soddisfare i bisogni primari della persona, nell’ambito delle proprie aree di competenza, in un contesto sia sociale che sanitario; favorire il benessere e l’autonomia dell’utente.

49. Gli OSSS In sostituzione e appoggio dei familiari e su indicazione del personale preposto è in grado di: aiutare per la corretta assunzione dei farmaci prescritti e per il corretto utilizzo di apparecchi medicali di semplice uso; aiutare nella preparazione alle prestazioni sanitarie; osservare, riconoscere e riferire alcuni dei più comuni sintomi di allarme che l’utente può presentare (pallore, sudorazione, ecc…); attuare interventi di primo soccorso; effettuare piccole medicazioni o cambio delle stesse ed effettuare iniezioni intramuscolari; controllare e assistere la somministrazione delle diete; aiutare nelle attività di animazione e che favoriscono la socializzazione, il recupero e il mantenimento di capacità cognitive e manuali; collaborare a educare al movimento e favorire movimenti di mobilizzazione semplici su singoli e gruppi; provvedere al trasporto di utenti, anche allettati, in barella-carrozzella; collaborare alla composizione della salma e provvedere al suo trasferimento; utilizzare specifici protocolli per mantenere la sicurezza dell’utente, riducendo al massimo il rischio; svolgere attività di informazione sui servizi del territorio e curare il disbrigo di pratiche burocratiche; accompagnare l’utente per l’accesso ai servizi.

50. I dati sanitari L’art. 76 disciplina il trattamento dei dati idonei a rivelare lo stato di salute, specificando che tale trattamento deve avvenire per finalità di tutela della salute dell’interessato, di terzi e della collettività. • Ne consegue che: • se il trattamento non è a fini di tutela della salute, ma per esempio a fini di ricerca o scientifici non si applicano in toto le norme sui dati sanitari.