L’oggetto del presente Regolamento è la definizione delle procedure e misure tecniche per la tutela dei
dati personali nonché la protezione la loro protezione, archiviazione e amministrazione da parte del Centro Medico Dermolife.
Il presente Regolamento mira a determinare le norme procedurali tecniche, le misure organizzative e tecniche per la tutela, la conservazione, la sicurezza, il trattamento e l'amministrazione dei dati personali.
Si applica a tutti i dati trattati da Dermolife Medical Center in armonia con la "Legge sulla protezione dei dati personali".
Il presente regolamento si applica alla protezione, conservazione, sicurezza, trattamento e amministrazione dei dati personali, in tutto o in parte, attraverso mezzi automatici, semiautomatici o altri mezzi, salvati in un sistema di archiviazione o destinati a far parte di un sistema di archiviazione presso il centro medico Dermolife. Il presente regolamento si applica altresì alla protezione, conservazione, sicurezza, trattamento e amministrazione dei dati personali dei cittadini albanesi e stranieri. I cittadini stranieri godono della stessa tutela e di tutti i diritti dei cittadini albanesi.
DEFINIZIONI
Nel presente regolamento si applicano le seguenti definizioni:
• “Dati personali” Qualsiasi informazione su una persona fisica identificata o identificabile. Gli elementi tramite cui si realizza l’identificazione di una persona, direttamente o indirettamente, numeri identificativi o altri fattori specifici fisici, psicologici, economici, sociali, culturali ecc.
• “Dati sensibili” Sono tutti i dati personali relativi alla sua origine razziale o etnica, alle opinioni politiche, all'appartenenza sindacale, alle convinzioni religiose o filosofiche, nonché dati relativi alla salute e alla vita sessuale.
• “Responsabile del trattamento” Si intende qualsiasi persona fisica o giuridica, che da sola o in collaborazione con altri, mantiene, elabora, amministra, archivia, e quindi controlla i dati personali.
• “Soggetto interessato dei dati personali” Qualsiasi persona fisica a cui si riferiscono i dati personali trattati.
• “Destinatario” Qualsiasi persona fisica o giuridica, autorità pubblica, ente o qualsiasi altro organismo a cui sono destinati i dati di terzi o meno con il consenso del soggetto per scopi leciti.
• “Trasmissione” Il trasferimento dei dati personali del destinatario con il consenso di soggetto per scopi legittimi.
• “Trasferimento internazionale” Si intende lil trasferimento o trasmissione di dati personali a destinatari in paesi esteri.
• “Trattamento dei dati personali” Qualsiasi azione o insieme di azioni eseguite sui dati personali, con mezzi automatici o meno, come raccolta, registrazione, organizzazione, conservazione, adattamento o modifica, recupero, consulenza, utilizzo, trasmissione, distribuzione o altrimenti messa a disposizione, estensione o combinazione, fotografare, rispecchiare, scartare, completare, selezionare, bloccare, annientare o distruggere anche se non sono registrati in un database.
• “Consenso degli interessati” Una specifica dichiarazione di consenso, resa volontariamente soggetto interessato dei dati personali per il loro trattamento.
• “Riservatezza” La protezione delle informazioni da accessi non autorizzati.
ACQUISIZIONE E RACCOLTA DEI DATI PERSONALI
1. La Società acquisisce, raccoglie e tratta i dati personali solo nei limiti dei criteri definiti dalla Legge, dallo Statuto e dai Regolamenti interni della Società
2. I dati personali vengono ricevuti e raccolti solo:
A. se l'interessato ha espresso il suo consenso sottoscrivendo la Dichiarazione del consenso o mediante conferma elettronica;
B. per la redazione ed adempimento dei contratti, in cui il soggetto interessato dei dati personali è parte;
C. per tutelare gli interessi vitali dell'interessato;
D. per adempiere ad un obbligo legale del responsabile del trattamento;
E. per l’adempimento di un dovere legale di interesse pubblico o per l’esercizio di una competenza del responsabile del trattamento o di un soggetto terzo a cui i dati sono stati trasmessi;
F. per il perseguimento del legittimo interesse del responsabile del trattamento o di terzi a cui i dati sono stati trasmessi, salvo quando tali interessi prevalgono su quelli di tutela dei diritti e libertà fondamentali dell’interessato.
3. I dati personali vengono ottenuti tramite mezzi elettronici e/o manualmente in documenti scritti a seconda dello scopo della raccolta. Ad esempio: i dati dei dipendenti dell'azienda vengono inizialmente ottenuti per iscritto, tramite note negli atti interni del Dipartimento Risorse Umane, ecc. Tuttavia, i dati di un candidato dipendente possono essere ottenuti anche tramite e-mail o tramite il sito Web dell'azienda, quindi in formato elettronico. In ogni caso, l'interessato è informato/messo a conoscenza del ricevimento e della raccolta dei suoi dati. In questi casi l'interessato presta il consenso ai sensi del punto 2.A del presente articolo.
L’ INSERIMENTO E CONSERVAZIONE FISICA DEI DATI PERSONALI
1. Gli eventuali dati personali necessari degli interessati acquisiti presso le strutture aziendali possono trovare riscontro in atti, documenti, carte gestiti dai Dipartimenti della società.
2. Il responsabile di ciascun Dipartimento che, a causa della natura del lavoro del Dipartimento, dispone, elabora, tratta dati personali, si impegna a utilizzarli solo secondo lo scopo definito e a non permettere l’evasione o uso improprio. In ogni caso i dati vengono amministrati e utilizzati solo secondo quanto previsto dal presente regolamento. Come minimo, ma non solo, la prima misura intrapresa dal Capo del Dipartimento è la firma della Dichiarazione di Riservatezza da parte di tutti i dipendenti che hanno accesso ai dati personali e/o svolgono funzioni che trattano direttamente o indirettamente dati personali. PS: Il Dipartimento Finanze gestisce le buste paga di tutti i dipendenti dell'azienda, nonché le fatture dei fornitori e dei consulenti dell'azienda. Può accadere che, a causa della funzione, lo specialista di questo dipartimento gestisce, elabora un ordine di esecuzione da parte di un ufficiale giudiziario per l'obbligo di mantenimento del dipendente X nei confronti del figlio Y che vive con l'ex moglie di X. Questi dati esulano dalla funzione, pertanto è necessario che ogni dipendente del Dipartimento Finanze firmi la Dichiarazione di Riservatezza prima di iniziare l'incarico. Proprio la Dichiarazione di Riservatezza unitamente alla Procedura interna del Dipartimento nonché la descrizione delle mansioni del dipendente garantiscono la conservazione e la sicurezza dei dati personali.
3. Oltre a quanto sopra menzionato, la conservazione fisica dei dati controllati dalla Società avviene nel pieno rispetto delle disposizioni e delle regole definite negli articoli del Regolamento Interno della Società.
TRATTAMENTO E PROTEZIONE DEI DATI PERSONALI
Ogni dipendente/collaboratore della Società che si occupa di trattamento di dati personali è tenuto ad attuare quanto previsto dalla normativa vigente in materia di protezione dei dati personali, compreso:
a. Rispettare il principio del trattamento legale dei dati personali, rispettare e garantire i diritti e le libertà fondamentali dell'uomo e, in particolare, il diritto di preservare la vita privata;
b. Condurre il trattamento in modo onesto, corretto e legale;
c. Raccogliere dati personali per finalità determinate, ben definite e legittime ed effettuare il loro trattamento in conformità a tali finalità;
d. I dati da trattare devono essere sufficienti, correlati allo scopo del trattamento e non eccedere tale scopo;
e. I dati devono essere effettivamente corretti e, quando necessario, aggiornati e adottare qualsiasi azione affinché i dati inesatti o irregolari vengano cancellati o modificati;
f. I dati devono essere conservati in una forma tale da consentire l'identificazione dei dati delle persone, per un tempo determinato, ma non superiore a quello necessario allo scopo per il quale sono stati raccolti o successivamente trattati
LE MISURE PER LA PROTEZIONE DEI DATI
L'ospedale/la clinica/l'ente adotta misure organizzative e tecniche adeguate per proteggere i dati personali dalla distruzione illecita e accidentale, dalla perdita accidentale, per proteggere l'accesso o la diffusione da parte di persone non autorizzate, in particolare quando il Trattamento dei dati avviene in rete, cosi come da qualsiasi altra forma illegale di trattamento. In particolare adottano le seguenti speciali misure di sicurezza:
a. Definiscono le funzioni tra unità organizzative e operatori per l'utilizzo dei dati;
b. Il trattamento dei dati avviene su ordine delle unità organizzative o operatori autorizzati;
c. Istruiscono gli operatori, nessuno escluso, sugli obblighi a loro carico, in conformità alla legge sulla protezione dei dati personali e ai regolamenti interni per la protezione dei dati, compresa la normativa per la sicurezza dei dati;
d. Vietano l'ingresso di persone non autorizzate nei locali del responsabile del trattamento;
e. L'accesso ai dati e ai programmi viene effettuato solo da personale autorizzato;
f. Registrano e documentano modifiche, correzioni, cancellazioni, trasmissioni, aggiornamenti, ecc.
g. Ogni volta che i dipendenti dell'azienda lasciano il luogo di lavoro, devono chiudere i computer, gli armadietti, le casseforti e gli uffici in cui sono archiviati i dati personali;
h. Non dovrebbero lasciare l'ambiente di lavoro quando sul tavolo sono presenti dati non protetti e in presenza di persone che non sono dipendenti dell'azienda;
i. Non salvano i dati personali sul monitor/schermo, quando è presente una persona non autorizzata e soprattutto in luoghi pubblici;
j. In ogni caso non sono autorizzati a portare fuori dall'ufficio computer, laptop, chiavette o altri dispositivi che contengono dati personali e non devono lasciarli in luoghi non sicuri, senza assicurare la cancellazione o distruzione dei dati stessi.
k. I dati vengono protetti verificando l'identità dell'utente e consentendo l'accesso solo alle persone autorizzate;
l. Le istruzioni per l'uso del computer devono essere conservate in modo tale da non essere accessibili a persone non autorizzate;
m. Devono effettuare continuativamente la procedura di entrata e uscita utilizzando password personali all'inizio e alla fine del loro accesso ai dati protetti archiviati nei database aziendali;
n. Il riconoscimento e la registrazione dei terminalisti e degli utenti avviene tramite password di accesso alla banca dati. Le password sono classificate come segrete e personali;
o. Nei documenti contenenti dati protetti devono assicurare la distruzione dei materiali di supporto (es. prove o documenti, matrici, calcoli, diagrammi e schizzi) utilizzati o prodotti per la realizzazione del documento;
p. I dati documentati non vengono utilizzati per altri scopi che non siano conformi allo scopo della raccolta.
q. La documentazione dei dati viene conservata per il tempo necessario allo scopo per il quale sono stati raccolti;
r. Il livello di sicurezza deve essere adeguato alla natura del trattamento dei dati personali.
PRINCIPIO DI CONSERVAZIONE DEI DATI (DATA RETENTION)
La società ha progettato e applica un sistema per la conservazione (data retention) dei dati personali basato sul principio "Minimo necessario e massimo legale". Questo principio fa sì che la società conservi i dati personali per il tempo necessario all'adempimento dei compiti rientranti nell'attività aziendale, ma in ogni caso non oltre il termine legale definito.
CONTROLLO PERIODICO DEI SISTEMI E DELL'HARDWARE DI CONSERVAZIONE DEI DATI PERSONALI
La società effettua un controllo periodico dei sistemi di archiviazione dei dati personali e hardware con l'obiettivo di identificare i rischi e adottare le misure necessarie, nonché aggiornare il database con gli ultimi sviluppi. I controlli vengono effettuati sotto il coordinamento di PMP e DPO. Per ciascun controllo viene conservato il corrispondente rapporto dei risultati e delle raccomandazioni, che viene notificato al PMP. In aggiunta a quanto sopra, PMP richiede una volta all'anno ad AS un rendiconto sui principali temi di protezione e sicurezza dei dati personali. A tal fine il PMP redige una check list relativa all'attività dell'AS. Questo documento viene salvato per ogni segnalazione effettuata.
MISURE PER L'ACCESSO AI DISPOSITIVI TRAMITE IL SISTEMA UTENTE/AMMINISTRATORE
La società, con l'obiettivo di isolare le attività lavorative la cui funzione primaria è l'utilizzo dei sistemi applicativi per scopi aziendali, dalla totalità delle attività di configurazione/gestione svolte dall'amministratore di sistema, ha implementato l'accesso da parte degli utenti locali (con diritti limitati) come modo per utilizzare l'attrezzatura necessaria (computer, laptop). In questo modo i dipendenti utilizzano il computer solo per lo svolgimento della propria attività, senza avere la possibilità di accedere ai privilegi di amministratore di sistema (AS). La società è costantemente impegnata ad attuare il modo più efficiente per isolare le attività di ciascun dipendente in conformità con le sue politiche, esigenze e opportunità.
INVENTARIO DEI DATI TRATTATI
L’ospedale TRITA mantiene un inventario completo e aggiornato delle categorie di dati personali utilizzati, loro classificazione, scopo del trattamento, durata, responsabili del trattamento e altre informazioni necessarie. Questo registro viene conservato ed elaborato sotto la supervisione diretta del DPO.
MANUALI E PROCEDURE
Ogni elemento procedurale e tecnico oggetto del presente Regolamento può essere sviluppato attraverso la manualistica e le procedure interne dei diversi Dipartimenti della Società. In ogni caso i Manuali e le Procedure interne dovranno essere conformi al presente regolamento.
MISURE AMMINISTRATIVE
1. Qualsiasi dipendente della società che viola gli obblighi definiti nel presente regolamento in materia di protezione dei dati personali è responsabile della violazione della disciplina, delle regole e degli obblighi nell'esercizio della sua attività lavorativa.
2. Se le loro azioni non costituiscono reato, nei loro confronti sono adottate misure amministrative e disciplinari secondo gli atti normativi in vigore.
SUPERVISIONE DELLE MISURE E DELLE PROCEDURE DI PROTEZIONE
Il controllo dell'attuazione delle norme per la protezione dei dati personali per il rispetto delle norme di sicurezza, per la protezione dei dati personali contro la loro distruzione accidentale o non autorizzata, nonché contro il loro inserimento, modifica e diffusione non autorizzati è effettuato dalle persone responsabile del controllo e della rispettiva protezione dei dati.
DOCUMENTI CLASSIFICATI
Per la conservazione, amministrazione, elaborazione, archiviazione, duplicazione, circolazione, classificazione, declassificazione, smaltimento dei documenti classificati, in cui sono conservati dati personali, si applica la legislazione vigente per le informazioni classificate.
LA RISERVATEZZA PER IL TRATTAMENTO DEI DATI PERSONALI
Qualsiasi dipendente che tratti dati personali o venga a conoscenza dei dati personali trattati non può divulgare il contenuto di tali dati ad altre persone. Egli è tenuto a mantenere la riservatezza e l'affidabilità anche dopo la cessazione dalla funzione.
OBBLIGO DI COLLABORAZIONE
La società ha l'obbligo di collaborare con il Garante per la Protezione dei Dati Personali e di fornirgli tutte le informazioni di cui necessita per l'adempimento dei suoi compiti e per l'esercizio dei diritti che gli sono attribuiti dalla legge.
OBBLIGO DI ATTUAZIONE
1. Tutti gli atti giuridici del Garante per la Protezione dei Dati Personali sono attuati obbligatoriamente da parte dei dipendenti/collaboratore della società
2. Ogni dipendente/collaboratore, che si occupa di trattamento di dati personali, è consapevole che il loro trattamento contrario a quanto previsto dalla normativa vigente in materia di protezione dei dati personali costituisce un illecito amministrativo ed è punito con la sanzione pecuniaria.
SANZIONI
Il mancato rispetto delle prescrizioni del regolamento da parte dei dipendenti/collaboratori della Società costituisce violazione disciplinare ed è punito secondo la normativa vigente.
Distinti Saluti
Dermolife Medical Center
Via Derhemi, Trita Hospital, Tirane, Albania
Telephone: +355 69 700 0075
E-mail: info@chirurgia-albania.com
