La disciplina del consenso nel D.lgs. 196/2003 e nel nuovo Regolamento europeo sulla privacy
1.Regolamento per la protezione dei dati personali dell’Azienda Sanitaria
Provinciale di Reggio Calabria
2. Diritti
riconosciuti
Rivista Scientifica "The nursing science" n. 1 - 2023
Presso l’Azienda in cui lavoro nel 2021 è stato approvato
il regolamento per la protezione dei dati personali,
adeguato alle previsioni del Regolamento generale sulla protezione dei dati,
cosiddetto GDPR, n. 2016/679, e al D. lgs 196/2013 modificato dal D. Lgs
101/2018.
Sono 36 gli
articoli del Regolamento aziendale per la protezione dei dati personali.
Art. 1 oggetto e finalità del regolamento aziendale,
Art. 2 definizione,
Art.3 I dati trattati dall'azienda Sanitaria Provinciale
di Reggio Calabria,
Art. 4 Principi da applicare al trattamento dei dati
personali,
Art. 5 liceità del trattamento,
Art.6 l'esercizio
del trattamento dei dati,
Art.7 il
trattamento dei dati particolare giudiziari,
Art.8 il
trattamento dei dati del personale dell'azienda sanitaria provinciale di Reggio
Calabria,
Art. 9 il titolare
del trattamento,
Art.10 la
responsabilizzazione,
Art.11 gli
autorizzati per designazione al trattamento dei dati personali. Il titolare (Commissario
Straordinario/Direttore Generale), in considerazione della complessità e della
molteplicità delle funzioni istituzionali dell'ASP di Reggio Calabria e della
dislocazione delle sue strutture, designa più autorizzati al trattamento dei
dati personali, individuandoli tra i soggetti che presentano garanzie
sufficienti per mettere in atto misure tecniche e organizzative adeguate in
modo tale che il trattamento soddisfa i requisiti del regolamento e garantisca
la tutela dei diritti dell’ interessato.
In particolare sono designati quali autorizzati al
trattamento:
I direttori di
dipartimento,
i direttori dei Distretti
Sanitari Reggio Calabria-Ionico-Tirrenico,
i direttori delle
unità operative complesse sanitarie, professionali tecniche e amministrative,
i Direttore delle
unità operative semplici dipartimentali,
i dirigenti delle
unità operative semplici.
L'elenco
dettagliato degli autorizzati a trattamento e pubblicato sul sito web aziendale
ed è modificato o integrato secondo le designazioni operate dal titolare e le
relative nomine sono correlate direttamente all'incarico di Direzione/Responsabilità
di struttura e decadono automaticamente alla scadenza o alla revoca dello
stesso.
Art.12 i compiti degli autorizzati per designazione il
trattamento e la valutazione di impatto del trattamento,
Art.13 collaborazione tra irresponsabile della protezione
dei dati di DPO e gli autorizzati per designazione al trattamento,
Art.14 i delegati al trattamento dei dati articolo 15
figure particolari di collaboratori,
Art. 16 i responsabili del trattamento ai sensi
dell'articolo 28 del Regolamento Europeo,
Art. 17 il responsabile della protezione dei dati o data
Protection officer (DPR),
Art.18 gli
amministratori di sistema,
Art.19 il registro
delle attività di trattamento,
Art.20 valutazione
di impatto sulla protezione dei dati,
Art.21 la
consultazione preventiva,
Art. 22
l'informativa sulla protezione dei dati personali,
Art. 23 La
comunicazione dei dati sanitari all'interessato,
Art. 24 le
procedure organizzative A tutela della riservatezza in ambiente sanitario,
Art.25 pubblicità
degli atti e diritto alla riservatezza,
Art. 26 diritto di accesso alla documentazione sanitaria,
Art. 27 disposizioni relative a normativa speciale,
Art. 28 notizie sul ricovero in ospedale,
Art. 29 i diritti dell'interessato,
Art. 30 modalità di esercizio dei diritti dell'interessato,
Art. 31 formazione del personale,
Art. 32 misure di sicurezza,
Art. 33 modulistica,
Art. 34 responsabilità in caso di violazione delle
disposizioni in materia di privacy,
Art. 35 comunicazioni di una violazione dei dati
personali (data breach),
Art.36 norma finale.
La normativa sul trattamento dei dati personali ha la
finalità di tutelare la riservatezza delle persone tramite la protezione dei
loro dati, affinché un uso non corretto di essi possa danneggiare o ledere le
libertà fondamentali e la dignità personale di ognuno.
Il diritto alla protezione dei dati è tutelato da Regolamento
(UE) 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016,
relativo alla protezione delle persone fisiche con riguardo al trattamento dei
dati personali, nonché alla libera circolazione di tali dati che abroga la direttiva
95/46/CE, oltre che da vari altri atti normativi italiani e internazionali e
dal Codice in materia di protezione dei dati personali (D.lgs. 30 giugno 2003,
n. 196, cosìddetto Codice Privacy, adeguato alle disposizioni del Regolamento (Ue)
2016/679 tramite il D. Lgs 10 agosto 2018, n. 101.
Il Regolamento (Ue)
2016/679 (cosidetto GDPR) rafforza i diritti degli interessati (articolo 15-22)
già previsti dal Codice Privacy, e ne prevede di nuovi.
2.
Diritti riconosciuti
In particolare sono riconosciuti ai cittadini i seguenti
diritti:
·
Il diritto di essere informato in modo
trasparente, leale e dinamico sui trattamenti effettuati sui suoi dati;
·
il diritto di accesso ai dati, cioè il
diritto di conoscere quali dati personali relativi all'interessato il titolare
sta trattando e con quali finalità
·
il diritto di rettifica dei dati personali inesatti
che lo riguardano e di integrazione dei dati incompleti
·
il diritto alla cancellazione, anche detto
diritto all'oblio, che consente all'interessato il diritto di ottenere la
cancellazione dei propri dati personali
·
il diritto di limitazione di trattamento in
caso di dati non esatti o trattati illecitamente
·
il diritto di portabilità dei dati
·
il diritto di opposizione
·
il diritto di comunicazione delle violazioni
dei dati personali
·
il diritto di proporre reclamo all'Autorità
di controllo ex articolo 77 GPDR e art. 141 Codice Privacy, come novellato dal D.
lgs 101 del 2018.
3.
Art.
5 del Regolamento (UE) 2016/679
Ogni trattamento di dati personali deve avvenire nel
rispetto dei seguenti principi fissati dall'art. 5 del Regolamento (UE)
2016/679:
·
liceità, correttezza e trasparenza del
trattamento, nei confronti dell'interessato;
·
Limitazione della finalità del trattamento,
compreso l'obbligo di assicurare che eventuali trattamenti successivi non siano
incompatibili con le finalità della raccolta dei dati;
·
minimizzazione dei dati; i dati devono essere
adeguati pertinenti e limitati a quanto necessario rispetto alle finalità del
trattamento;
·
esattezza e aggiornamento dei dati, compresa
la tempestiva cancellazione dei dati che risultino inesatti rispetto alla finalità
del trattamento;
·
limitazione della conservazione; è
fondamentale provvedere alla conservazione dei dati per un tempo non superiore
a quello necessario rispetto agli scopi per i quali è stato effettuato il
trattamento;
·
integrità e riservatezza: occorre garantire
la sicurezza adeguata dei dati personali oggetto del trattamento.
Il Regolamento richiede al Titolare di rispettare tutti
questi principi e di essere “in grado di comprovarlo”.
Questo è il principio detto di “responsabilizzazione” che
viene poi esplicitato ulteriormente nel Regolamento, dove si afferma che “il
titolare mette in atto misure tecniche e organizzative adeguate per garantire,
ed essere in grado di dimostrare, che il trattamento è effettuato conformemente
al Regolamento aziendale”.
Ai titolari è responsabile di trattamento viene inoltre
richiesta la tutela e l'aggiornamento del Registro delle attività di
trattamento, i cui contenuti sono indicati nell'art. 30 GDPR.
Si tratta di uno
strumento fondamentale allo scopo di disporre di un quadro aggiornato dei
trattamenti in essere all'interno di un'azienda o di un soggetto pubblico,
indispensabile per ogni valutazione e analisi del rischio che deve essere
esibito su richiesta al Garante.
L'Azienda Sanitaria Provinciale di Reggio Calabria,
nell'esercizio delle sue funzioni istituzionali tratta dati di tipo personale e
particolare relativi a:
·
utenti, assistiti, pazienti e loro familiari
e/o accompagnatori;
·
personale sanitario, amministrativo, tecnico
e professionale della dirigenza e del comparto in rapporto di dipendenza,
convenzione o collaborazione;
·
soggetti che per motivi di studio, tirocinio,
consulenza, stage o volontariato frequentano le strutture dell'Azienda ed
effettuano trattamenti di dati personali;
·
clienti e imprese che intrattengono rapporti
con l'Azienda per l'approvvigionamento di beni e servizi o per l'esecuzione di
opere edilizie e interventi di manutenzione;
·
personale e imprese partecipanti a bandi,
gare e selezioni.
Tutti i dati
personali vengono trattati dal personale aziendale nel rispetto del segreto
professionale, del segreto d'ufficio e dei diritti e delle libertà fondamentali
di ogni persona fisica, nonché della libertà individuale, con particolare
riferimento alla riservatezza, secondo i principi della normativa privacy.
La protezione dei dati si applica sia al trattamento
automatizzato che al trattamento manuale dei dati personali.
Le “categorie particolari di dati personali” e i “dati
personali relativi a condanne penali e reati” sono trattati secondo le disposizioni
contenute rispettivamente negli articoli 9 e 10 del GDPR.
L'Azienda Sanitaria Provinciale di Reggio Calabria è responsabile
di qualsiasi trattamento di dati personali effettuato direttamente o che altri
abbiano effettuato per suo conto.
Il titolare è il solo soggetto giuridicamente obbligato
ad agire per attuare i precetti previsti dalla normativa con riguardo ai
trattamenti dei dati personali, compresa la loro messa in sicurezza, ed è
l'unico soggetto a rispondere della loro violazione.
Il Responsabile
del trattamento risponde per il danno causato dal trattamento in caso di non
corretto adempimento degli obblighi previsti dalle norme in capo al Responsabile
stesso, oppure se ha agito in modo difforme rispetto alle istruzioni del Titolare
del trattamento.
Qualora più Titolari del trattamento o Responsabili del
trattamento siano coinvolti nello stesso trattamento e siano responsabili
dell'eventuale danno causato dal trattamento, ogni Titolare del trattamento o Responsabile
del trattamento è responsabile in solido per l'intero ammontare del danno, al
fine di garantire il risarcimento effettivo dell'interessato.
Relativamente alla propria Area di competenza o Ufficio, il soggetto autorizzato che sia
dotato di autonomia gestionale ed organizzativa risponde al Titolare di ogni
violazione o mancata attivazione di quanto previsto nel presente Regolamento e
dell’inosservanza delle istruzioni impartite dal Titolare in materia di
riservatezza, sicurezza e protezione dei dati.
Tutti gli altri soggetti, non avendo obblighi di
determinare il trattamento dei dati personali, non possono essere chiamati a
rispondere ad eventuali violazioni (o omissioni) salvo dolo o colpa grave.
Bibliografia
-
Deliberazione del Commissario Straordinario n.
1141 del 30/11/2021
