Misure di Sicurezza per gli Strumenti Elettronici Gianpiero Guerrieri Dirigente Analista Responsabile I.C.T. Azienda Ospedaliera San Giovanni Addolorata Roma, 27 Ottobre 2008

Trattamenti con strumenti elettronici Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti. (D.Lgs 196/03 All. B reg. 1) Assicurare la segretezza Modalità tecniche da adottare a cura del titolare, del responsabile ove designato e dell’incaricato, in caso di trattamento con strumenti elettronici:

Credenziali di autenticazione Le credenziali di autenticazione consistono in un codice per l’identificazione dell’incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell’incaricato, eventualmente associata a un codice identificativo o a una parola chiave. (D.Lgs 196/03 All. B reg. 2)

Assegnazione delle credenziali agli Incaricati  Ad ogni incaricato sono assegnate o associate individualmente una o più credenziali per l’autenticazione.  Il codice per l’identificazione, laddove utilizzato, non può essere assegnato ad altri incaricati, neppure in tempi diversi.  Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica.  Le credenziali sono disattivate anche in caso di perdita della qualità che consente all’incaricato l’accesso ai dati personali. (D.Lgs 196/03 All. B reg.le 3, 6,7,8)

Sistema di autorizzazione  Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione.  I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli dati necessari per effettuare le operazioni di trattamento.  Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. (D.Lgs 196/03 All. B reg.le 12, 13, 14)

Sistema di autorizzazione Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite. La designazione è effettuata per iscritto e individua puntualmente l’ambito del trattamento consentito. Si considera tale anche la documentata preposizione della persona fisica ad una unità per la quale è individuato, per iscritto, l’ambito del trattamento consentito agli addetti all’unità medesima. (D.Lgs 196/03 Art. 30)

Sistema di autorizzazione I Responsabili del Trattamento Dati, con il supporto dei Referenti Privacy, devono provvedere all’assegnazione degli incarichi per tutto il personale (interno ed esterno) che appartiene al proprio ambito organizzativo (Dipartimento, Area, U.O.C., …) controllando con particolare attenzione gli spostamenti ed i trasferimenti del personale che di fatto porta con se le abilitazioni informatiche Resp. Trattamento Dati Referenti Privacy Incaricati

Sistema di autorizzazione: richiesta credenziali/abilitazioni Il Responsabile del Trattamento dei Dati individua e nomina i suoi incaricati per il trattamento dei dati ed effettua una richiesta all’I.C.T. di creazione delle credenziali o delle abilitazioni necessarie per accedere al sistema informatico di interesse. Scenario Attuale: le richieste vengono effettuate compilando la modulistica presente sul portale aziendale nella sezione “modulistica” e nella cartella “moduli di richiesta-software” ed inviando il tutto via fax all’ICT Scenario Futuro: le richieste verranno effettuate utilizzando delle funzionalità informatiche presenti nel portale aziendale ed accessibili dopo l’autenticazione (login). Tali funzionalità danno modo di visualizzare l’elenco di tutto il personale dipendente e consentono di inoltrare una richiesta informatica. A queste funzionalità saranno abilitati esclusivamente i RTD ed i RP. Per il personale esterno non censito nel sistema informatico si continueranno ad effettuare richieste cartacee.

Sistema di autorizzazione: evasione delle richieste L’I.C.T. riceve le richieste di creazione delle credenziali o delle abilitazioni ed, una volta provveduto, invia tramite le informazioni necessarie per l’abilitazione direttamente all’incaricato (non al RTD o RP) Scenario Futuro: il RTD ed il RP riceveranno una notifica via dell’avvenuta abilitazione

Sistema di autorizzazione: verifica delle abilitazioni Gli Incaricati al Trattamento Dati possono verificare lo stato delle proprie abilitazioni richiamando nella propria area riservata del portale le funzionalità denominate “Abilitazioni ai Sistemi Informatici”. Scenario Futuro: il RTD ed il RP potranno da qualunque postazione informatica ed in qualunque momento effettuare dei controlli sulle abilitazioni dei propri incaricati al fine di verificare l’assegnazione delle credenziali, modificare o chiedere l’eliminazione di credenziali già assegnate o per richiederne di nuove. Tali funzionalità saranno raggiungibili dalla propria area riservata nel portale aziendale. Al momento gli elenchi possono essere richiesti all’ICT.

Formazione degli Incaricati  Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell’incaricato.  Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento.  Sono impartite istruzioni organizzative e tecniche per la custodia e l’uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti.  Agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l’intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. (D.Lgs 196/03 All. B reg.le 4, 9, 21, 27)

Formazione degli Incaricati: attuazione L’Azienda Ospedaliera S.Giovanni – Addolorata si è da tempo dotata di una piattaforma di e-Learning per la formazione a distanza che facilita il compito della formazione affidato al Titolare ed ai Responsabili del Trattamento dei Dati. Il sistema permette di impartire agli Incaricati le istruzioni operative definite dal Titolare e dai Responsabili. I corsi possono essere seguiti semplicemente collegandosi con una postazione informatica al portale aziendale. Al momento sono presenti tre corsi sulla privacy ai quali possono accedere tutti i dipendenti aziendali in possesso di password di posta elettronica aziendale

Documenti Pubblicati sul Portale Aziendale SELS Piattaforma di E-Learning per la Formazione a Distanza D.Lgs. del 30 giugno 2003, n.196 (Testo Unico Privacy) Codice in materia di protezione dei dati personali 09/06/2006 Linee Guida Dignità degli Utenti Linee guida per la tutela della dignità degli utenti dei servizi sanitari dell’Azienda Ospedaliera 10/10/2006 Modulo Consenso Privacy Modulo di autorizzazione al trattamento dei dati personali. Questo modulo deve essere adottato da tutti gli uffici che effettuano operazioni di accettazione con l'utenza (pazienti, assistiti, etc.) 20/11/2007 Norme ad Uso degli Incaricati per il Trattamento dei Dati con Strumenti Elettronici Lo scopo del documento è di fornire un insieme di istruzioni operative agli incaricati del trattamento dei dati che fanno uso di strumenti elettronici al fine di ottemperare a quanto previsto nell’articolo 34 del Decreto Legislativo 196/03 in tema di Misure Minime di Sicurezza da adottare per la protezione dei dati.

Misure di Sicurezza per gli Strumenti Elettronici Roma, 27 Ottobre 2008 Azienda Ospedaliera San Giovanni Addolorata GRAZIE PER L‘ATTENZIONE Gianpiero Guerrieri Dirigente Analista Responsabile I.C.T.