DPSS - asl.como.it · al sistema delle deleghe delle funzioni da Titolare a Responsabile, pur nella...

DPSS

DOCUMENTO PROGRAMMATICO SULLA

SICUREZZA DEI DATI PERSONALI

DELL’ASL DELLA PROVINCIA DI COMO

Strutture aziendali

responsabil i

Referenti

Novembre 2014 Rev.7 Affari Generali, Legali e

Istituzionali - Responsabile f.f.

Alessandra Mariconti.

Sistemi Informatici Aziendali -

Responsabile ing. Luigi

Moscatelli

dr.ssa Piera Manfreda

dr. Davide Cappelletti

S O M M A R I O

PARTE PRIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4

INTRODUZIONE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

PREMESSA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

FINALITA’ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

PARTE SECONDA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7

ELENCO DEI TRATTAMENTI DI DATI SENSIBILI .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

1.MAPPATURA DEI TRATTAMENTI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

PARTE TERZA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9

DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITA’ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

1.SOGGETTI ATTIVI DEL TRATTAMENTO DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

AMMINISTRATORE DI SI STEMA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

PARTE QUARTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

ANALISI DEI RISCHI CHE INCOMBONO SUI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

PARTE QUINTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

MISURE DI SICUREZZA ADOTTATE E DA ADOTTARE PER GARANTIRE L’ INTEGRITA’

DEI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

1.MISURE DI SICUREZZA PER L’ACCESSO AI DATI CON STRUMENTI ELETTRONICI .

... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17

PARTE SESTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

CRITERI E MODALITA’ DI RIPRISTINO DELLA DISPONIBILITA’ DEI DATI ... . . . . . . . . . . . . 22

PARTE SETT IMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24

INTERVENTI FORMATIVI ED INFORMATIVI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24

PARTE OTTAVA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

CRITERI E GARANZIE DI ADOZIONE DELLE MISURE MINIME DI SICUREZZA IN

CASO DI TRATTAMENTI DI DATI AFFIDATI ALL 'ESTERNO ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

1.TRATTAMENTI AFFIDATI ALL’ESTERNO (OUTSOURCING) .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29

PARTE NONA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32

CRITERI DA ADOTTARE PER LA CIFRATURA DEI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32

PARTE DECIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

TRATTAMENTO DEI DATI SENZA L’AUSILIO DI S TRUMENTI ELETTRONICI .... . . . . . . . . . . 33

2.ULTERIORI MISURE D I SICUREZZA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34

PARTE UNDICESIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

PROGETTO CARTA REGIONALE DEI SERVIZI – . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

SISTEMA INFORMATIVO SOCIO-SANITARIO (CRS-SISS) ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

1.TRATTAMENTI DI T I TOL ARITÀ DELL’ASL DI COMO; MISURE DI SICUREZZA

ADOTTATE DALL’ASL IN CONFORMITÀ AI REQUIS ITI DI LEGGE E AI RE QUISITI

DELLA REGIONE LOMBARDIA; “CONTRIBUTO” DE I RESPONSABILI DESIGNATI ... 35

2.TRATTAMENTI DI PROPRIA TI TOLARITÀ EFFETTUATI PER FINALITÀ

AMMINISTRATIVE E PER FINALITÀ DI CURA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36

3.MISURE DI SICUREZZA ADOTTATE IN AMBITO CRS-SISS IN CONFORMITÀ AI

REQUISITI DI LEGGE E LE INDICAZIONI REGIONALI . .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39

4.GEOLOCALIZZAZIONE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41

5.TRATTAMENTI DATI FSE..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41

6.FORMAZIONE SPECIFICA DEGLI OPERATORI CRS-SISS .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42

7.GESTIONE DELLE CARTE CRS-SISS PER GLI OPERATORI .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43

8.GESTIONE DELLE CARTE .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44

8.OBBLIGHI DELL’OPERATORE PDR ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45

9.OBBLIGHI DEL TITOLARE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46

10.CONTROLLO DEI PROFILI AUTORIZZATIVI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

11.NOMINA DELLE AZIENDE INFORMATICHE RESPONSABILI DEL TRATTAMENTO 48

12.CONTRIBUTI DEI RESPONSABILI DESIGNATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49

13.AMMINISTRATORI DI SISTEMA DITTE DESIGNATE .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

ASL della Provincia di Como

Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 4/55

PPAARRTTEE PPRR IIMMAA

IINNTTRROODDUUZZIIOONNEE

PREMESSA

I l Decreto Legislativo 30 giugno 2003, n. 196/2003 sancisce i l dir i tto di

chiunque al la protezione dei dati che lo r iguardano.

Avendo sempre presente che la protezione dei dati personali assurge

a dir i tto fondamentale del la persona e si integra col più generale

dir itto al la r iservatezza, l’Azienda ha valutato opportuno adottare i l

presente documento - i l cui obbligo di tenuta è stato abrogato ai

sensi del l’art. 45 del Decreto Legge n. 5 del 9.2.2012 - anche al f ine di

dare evidenza delle misure di s icurezza adottate a tutela dei dati

personali e in particolare di quel l i sanitari .

Nello svolgimento del l’attiv ità ist i tuzionale, sempre più legata al la

tecnologia informatica, l’ASL del la Provincia di Como gestisce , infatti ,

considerevol i volumi di informazioni, molte del le qual i, se associate

all ' identif icativo del l’ interessato, assumono la connotazione di "dati

sensibi l i .

Per le Aziende Sanitarie del la Lombardia la gestione dei dati r iveste

una particolare importanza, essendo le stesse chiamate a svolgere un

ruolo fondamentale nel Sistema Informativo Socio Sanitario Regionale

(SISS), progetto di straordinaria valenza innovativa .

I l SISS è costituito da un insieme di s istemi informatici e architetture

informative in evoluzione secondo una precisa strategia in chiave e -

health, ovvero con impiego sempre più diffuso e pervasivo del le

tecnologie info-telematiche per l ' innovazione del l 'organizzazione e

del le attiv ità.



Elemento fondante di tale strategia è la piattaforma CRS, real iz zata

da Regione Lombardia, su cui s i stanno svi luppando da diversi anni i

nuovi servizi sanitari e su cui sono state integrate diverse del le

componenti preesistenti .

La piattaforma supporta la gestione del Fascicolo Sanitario Elettronico

(FSE) e i l trattamento dei dati sanitari iv i contenuti , attraverso l’uti l izzo

della Carta Regionale dei Servizi per i l cittadino (CRS) e del la Carta

Operatore SISS per gl i attori del s istema socio -sanitario abi l i tati ad

accedervi tramite postazioni informatiche, nel l’ambi to individuato dal

ruolo applicativo r ivestito.



FINALITA’

I l presente Documento, s i propone di del ineare i l quadro del le misure

di s icurezza organizzative, f is iche e logiche già adottate o da

implementare, al f ine di r idurre al minimo i r ischi di dist ruzione o

perdita anche accidentale dei dati , di accesso non autorizzato e di

trattamento non consentito o non conforme al le f inal ità del la raccolta

dei dati .

L’ASL del la Provincia di Como - T itolare - persegue l ’obiettivo del

continuo migl ioramento del le azioni di r iduzione del r ischio e si

prefigge di tenere sempre vigile l’attenzione dei Responsabil i e degli

Incaricati sul la necessità del r ispetto dei dir i tt i fondamental i e del la

r iservatezza degli interessati .

Peraltro la pol it ica di protezione dei dati s’ inserisce pienamente nel

più ampio progetto del s istema di qual ità aziendale, in coerenza con i

principi e valori enunciati anche nel Codice Etico aziendale.



PPAARRTTEE SSEECCOONNDDAA

EELLEENNCCOO DDEEII TTRRAATTTTAAMMEENNTTII DDII DDAATTII SSEENNSSIIBBIILL II

1. MAPPATURA DEI TRATTAMENTI

L’ASL del la Provincia di Como, con la col laborazione di tutti i

Responsabil i del Trattamento, provvede al la periodica r icognizione

annuale dei dati sensibi l i trattati dal l’Azienda .

I diversi trattamenti di dati sensibi l i individuati ineriscono a svariate

attiv ità, fra cui:

− la gestione del personale dipendente;

− le attiv ità sanitarie e amministrative di prevenzione, assistenza

sanitaria di base e assistenza socio-sanitaria, medicina del lavoro,

assistenza farmaceutica;

− i programmi di diagnosi precoce.

Per la consultazione del l’elenco dettagl iato dei trattamenti s i r invia

al la sezione “Al legati” (allegato 1) .

Per i l trattamento dei dati i Responsabil i osservano le seguenti

regole:

1) le aree di trattamento ed i relativ i archivi sono da considerarsi a

tutti gl i effetti ad accesso ristretto in quanto sono definit i

periodicamente gl i ambiti di intervento degli Incaricati . Gl i

archivi di deposito sono accessibil i solo attraverso procedure di



registrazione di accesso, oppure per i l tramite di un operatore

che ha in custodia le chiavi di accesso ai local i di archivio.

2) Sono control lati mediante telecamere, provviste di apposita

segnaletica, i local i dei Servizi terr i tor ial i per le

Tossicodipendenze (Ser.T) nel le seguenti sedi:

v ia Santa Brigida – Como;

via Cadorna - Como;

via Cesare Battist i , 28 - Mariano Comense;

via Nazario Sauro - Appiano Genti le;

v ia dei Cipressi , ang. via Diaz – Menaggio;

3) I dati sensibi l i sono, di norma, archiviati in fascicoli

separatamente dai dati comuni.

4) Tutti i dati trattati senza l’ausi l io di strumenti elettronici sono

custoditi in armadi con chiusura ermetica ed in local i chiusi a

chiave.

5) Gli incaricati accedono al le banche-dati mediante sistema di

autorizzazione e di assegnazione di credenzial i . I salvataggi sono

effettuati sul server centrale o su server esterno con periodicità

quotidiana.



PPAARRTTEE TTEERRZZAA

DDIISSTTRRIIBBUUZZIIOONNEE DDEEII CCOOMMPPIITT II EE DDEELLLLEE RREESSPPOONNSSAABBIILL II TTAA ’’

1. SOGGETTI ATTIVI DEL TRATTAMENTO DATI

Nella realtà aziendale come quel la del l’ASL del la Provincia di Como,

che si connota come Azienda di grandi dimensioni, con una

popolazione di poco meno di 600.000 abitanti distr ibuita su un

terr itor io di circa 1.290 kmq., i l T i tolare - individuato nel l’Ente

rappresentato dal Direttore Generale pro-tempore - ha fatto r icorso

al s istema del le deleghe del le funzioni da Titolare a Responsabile,

pur nel la consapevolezza del le responsabil i tà che la legge pone in

carico al Titolare medesimo.

L’assetto organizzativo aziendale è strutturato in Dipartimenti,

Distretti , Servizi , Unità Operative e Uni tà di Staff, individuati dal Piano

di Organizzazione Aziendale 2012-2014 quali strutture complesse e

semplici.

I Responsabil i del Trattamento sono individuati nei Dir igenti

Responsabil i che r icoprono l ivel l i apical i , i qual i per capacità ed

aff idabil i tà offrono adeguate garanzie per i l r ispetto del le vigenti

disposizioni in materia di trattamento, iv i compreso i l profi lo relativo

al la s icurezza.

I l T i tolare del trattamento individua con proprio provvedimento i

Responsabil i del trattamento dei dati ed aff ida loro, nel l’ambito del le

attiv ità di competenza del la struttura cui sono preposti , i l compito di

porre in essere ogni misura tesa a r idurre al minimo i r ischi di



distruzione dei dati , di accesso non autorizzato o trattamento non

consentito, previe adeguate istruzioni fornite con ogni mezzo r itenuto

più idoneo.

I l T i tolare, tuttavia, esercita i l potere attr ibuitogl i dal le disposizioni in

materia tramite verifiche periodiche, vigi lando sulla puntuale

osservanza del prof i lo relativo al la s icurezza e del le proprie istruzioni.

I Responsabil i del trattamento nominano per iscritto, fra i propri

col laboratori/operatori , gl i Incaricati del trattamento dati ,

precisando i compiti e l’ambito di trattamento consentito. Lo

schema del l’atto di nomina del l’ Incaricato è contenuto nel

“Regolamento in materia di protezione dei dati personali ai sensi del

Codice di cui al Decreto Legislativo n. 196 del 30 giugno 2003 ”

approvato con del iberazione del Direttore Generale n. 573 del

23.12.2004.

Essi adottano ogni iniziativa uti le a far conoscere agl i Incaricati

stessi i l presente documento.

Un esemplare del l’atto di nomina è custodito nel l’Uff icio di

segreteria di ogni Struttura.

Gl i Incaricati operano sotto la diretta autorità del Responsabile,

attenendosi al le istruzioni impartite.

Al momento del la presa di servizio, ovvero di trasferimento di sede di

lavoro, o in occasione del l’ introduzione di nuovi s ignif icativ i

strumenti , r i levanti r ispetto al trattamento di dati personali , essi

r icevono dal Tutor un’adeguata formazione tecnico–giuridica.

Per l’ individuazione puntuale dei Responsabil i del trattamento, in

relazione ai diversi trattamenti di dati sensibi l i si r invia al prospetto di

cui al l’al legato 1.



AMMINISTRATORE DI SISTEMA

L’Amministratore dei Sistemi e dell ’Infrastruttura di Rete, per le

del icate funzioni che implicano l’effettiva capacità di accedere a

tutti i dati che transitano sul la rete aziendale, è stato individuato

nel la persona del Responsabile della Struttura Aziendale Sistemi

Informatici Aziendal i . Tale nomina è stata formalizzata con

provvedimento del 23.6.2006 n. 309.

Le funzioni attr ibuite al Dir igente Responsabile del management

del la s icurezza sono le seguenti:

collabora nel la definizione ed aggiornamento del la pol it ica di

s icurezza dei s i stemi informatici , con particolare r iguardo al le

misure da adottare per la s icurezza dei servizi nel l’ambito del CRS -

SISS;

sovrintende alle r isorse dei s istemi operativ i (hardware e software)

e del le infrastrutture del la rete aziendale, consentendone

l ’uti l izzazione;

assicura la custodia del le componenti r iservate del le credenzial i

di autenticazione;

assicura altresì la real izzazione di copie di s icurezza dei server

aziendali (operazioni di backup e applicazione di tecnologie di

protezione “RAID” );

effettua i l monitoraggio e l’auditing del le misure tecniche di

s icurezza.



PPAARRTTEE QQUUAARRTTAA

AANNAALLIISSII DDEEII RRIISSCCHHII CCHHEE IINNCCOOMMBBOONNOO SSUUII DDAATTII

La presente sezione i l lustra i r isultati del l’attiv ità di analis i e gestione

del r ischio informatico relativo al trattamento dei dati sensibi l i ,

effettuate dall’Azienda.

L’analis i del r ischio s i avvale del supporto del la metodologia CRAMM

(CCTA Risk Analys is and Management Method), di cui vengono

descritte di seguito le l inee guida.

Descrizione della metodologia

Si definisce “r ischio” la possibi l i tà che un evento dannoso si verif ichi,

l imitando in qualche modo i l funzionamento del s istema informatico,

oppure modif icando o carpendo le informazioni da esso gestite.

Scopo di tale analis i è identif icare le cause più probabil i d i r ischio,

valutare accuratamente i l grado di esposizione ad esse e

determinare quali misure di s icurezza, quante e in che modo

debbano essere real izzate.

A tal f ine si rende necessario stimare tutte le possibi l i minacce ed

eseguire un’analis i del l’ impatto del r ischio sul s istema informatico

attraverso la valutazione del l’entità del le perdite derivanti dal

verificarsi di ciascun evento dannoso col legabile al le minacce

stesse.

I l numero di elementi di r ischio, per cui devono essere attuate

adeguate misure di s icurezza, dipende dal grado di esposizione al

r ischio che si è disposti a tol lerare.



Si può identif icare così una sogl ia che suddivida i r ischi accettabi l i ,

per i qual i non è conveniente real izzare alcuna misura di s icurezza, e

quel l i non tol lerabil i , per i qual i invece è necessario determinare un

certo numero di misure di s icurezza, che dovranno essere

implementate secondo un piano ben definito.

Le caratterist iche più s ignif icative del la metodologia CRAMM sono le

seguenti:

standard: aderenza ai principi standard di s icurezza europei

(BSI , I TSEC, …);

consistenza: s istemi s imi l i con profi l i di r ischio s imi l i presentano

soluzioni di s icurezza simi l i ;

f lessibi l i tà: rapidi percorsi di revis ione del l’anal is i e r i levazioni

più dettagl iate;

r igore: minacce e vulnerabi l i tà ben identif icate, r ischi

totalmente valutati e uso di misure r i levanti ;

auditabi l i ty: possibi l i tà di verif ica del la corretta applicazione

del metodo e del l’ identif icazione del le misure di s icurezza

opportune.

CRAMM oltre ad essere la metodologia adottata dal la maggior parte

dei dipartimenti governativi del Regno Unito e degli enti governativ i

austral iani, in Ital ia è la metodologia di analisi del rischio consigliata

dal CNIPA (Centro Nazionale per l’Informatica nel la Pubblica

Amministrazione).

L’approccio prevede di:



individuare e valorizzare i l patr imonio informativo r ispetto a

r iservatezza, indisponibi l i tà, modif ica non autorizzata e perdita,

con parametri r i fer it i ai requis it i pr ivacy;

valutare l’ impatto sul la s icurezza dei dati a fronte del verif icarsi

del le minacce e del le vulnerabi l i tà al le qual i sono

potenzialmente esposte le r isorse del s istema informativo

aziendale, attr ibuendo ad ogni minaccia e vulnerabi l i tà valori

di t ipo quantitativo associati a valori numerici;

stimare l’esposizione del r ischio del patr imonio informativo

aziendale in funzione del la combinazione tra minaccia e

vulnerabi l i tà da una parte e, dal l’altra, del l’ impatto che i l

verificarsi del l’evento dannoso provocherebbe sul la risorsa in

questione. La valutazione è ef fettuata attraverso una scala di

valori da 1 a 7 uti l izzando la matrice di r ischio descritta nel la

tabel la che segue.

Dal la Matrice di r ischio s i evince, ad esempio, che ad una r isorsa

avente un valore uguale a 4 (Valore Asset, nel la prima colonna) con

un l ivello Medio di vulnerabi l i tà ed Alto del la minaccia, sarà

attr ibuita una misura di r ischio pari a 4.

E’ da sottol ineare che le misure di r ischio sono calcolate in

automatico da CRAMM, in funzione del valore della r isorsa, del l ivello

del la minaccia e del la vulnerabi l i tà. Valori elevati della misura di

r ischio (5,6,7) indicano che è necessario adottare adeguate misure

di s icurezza al f ine di contrastare le minacce che insistono sul la

generica r isorsa.

In particolare, i valori del le risorse, del le minacce e del le

vulnerabi l i tà sono assegnati da CRAMM nel modo sotto descritto:



i l valore del la r isorsa /dati , hardware, software), indicativo

dell’entità del danno derivante da una perdita di integrità,

r iservatezza o disponibi l i tà del la r isorsa stessa, può variare in un

range che va da 1 a 10;

i l l ivel lo del la minaccia, indicativo del la probabil i tà di

accadimento di un evento dannoso può assumere i seguenti

valori : - Molto basso – Basso - Medio – Alto - Molto alto;

i l l ivello del la vulnerabi l i tà, che rappresenta i l grado di

esposizione di una r isorsa ad una certa minaccia, può assumere

i seguenti valori : - Basso – Medio - Alto.

Operativamente, i l calcolo dei l ivell i del le minacce e del le

vulnerabi l i tà, relative alle r isorse associate ai trattamenti individuati

Minaccia MB MB MB B B B M M M A A A MA MA MA

Vulnerabi l i tà B M A B M A B M A B M A B M A

Valore Asset

1 1 1 1 1 1 1 1 1 2 1 2 2 2 2 3

2 1 1 2 1 2 2 2 2 3 2 3 3 3 3 4

3 1 2 2 2 2 3 2 3 3 3 3 4 3 4 4

4 2 2 3 2 3 3 3 3 4 3 4 4 4 4 5

5 2 3 3 3 3 4 3 4 4 4 4 5 4 5 5

6 3 3 4 3 4 4 4 4 5 4 5 5 5 5 6

7 3 4 4 4 4 5 4 5 5 5 5 6 5 6 6

8 4 4 5 4 5 5 5 5 6 5 6 6 6 6 7

9 4 5 5 5 5 6 5 6 6 6 6 7 7 7 7

10 5 5 6 5 6 6 6 6 6 6 7 7 7 7 7



durante la fase di r i levazione del lo scenari o, è eseguito a fronte dei

r isultati di un questionario al l’uopo predisposto, ove sono state

considerate le minacce r iportate nel la tabel la acclusa (allegato 2).

A seguito del l’anal is i dei r ischi che incombono sui dati personali

oggetti di trattamento, è stata presa in considerazione la gravità

dell’ impatto sul la r iservatezza, integr ità e disponibi l i tà dei dati dei

vari eventi dannosi esaminati. In base al la valutazione data, sono

state stabi l i te le idonee misure preventive da porre in essere per

contrastare anzitutto i r ischi maggiori per la sicurezza dei dati

trattati .



PPAARRTTEE QQUUIINNTTAA

MMIISSUURREE DDII SSIICCUURREEZZZZAA AADDOOTTTTAATTEE EE DDAA AADDOOTTTTAARREE PPEERR

GGAARRAANNTTIIRREE LL ’’ IINNTTEEGGRRIITTAA ’’ DDEEII DDAATTII

1. MISURE DI SICUREZZA PER L’ACCESSO AI DATI CON STRUMENTI

ELETTRONICI.

L’Azienda adotta, ne l quadro del le regole general i sopra descritte,

un complesso di misure tecniche, informatiche, organizzative,

logistiche e procedural i di s icurezza volte ad assicurare un l ivel lo

minimo di protezione dei dati personali .

Tal i provvedimenti sono diversif icati a seconda che i dati s iano

trattati con o senza l’ausi l io di strumenti elettronici.

L’accesso ai dati trattati con l’ausi l io di strumenti elettronici è

disciplinato dal le seguenti misure e correlate modalità come di

seguito indicate e salvo quanto disposto dal l’art. 180, comma 2, del

D.Lgs. n. 196/2003, qui r ichiamato:

− autenticazione informatica;

− adozione di procedure di gestione del le credenzial i di

autenticazione;

− uti l izzazione di un sistema di autorizzazione;

− aggiornamento periodico del l ' individuazione del l 'ambito del

trattamento consentito ai s ingol i incaricati e addetti al la

gestione o al la manutenzione degli strumenti elettronici;



− protezione degli strumenti elettronici e dei dati r ispetto a

trattamenti i l lecit i di dati , ad accessi non consentit i e a

determinati programmi informatici;

− adozione di procedure per la custodia di copie di s icurezza e

per i l r ipr ist ino del la disponibi l i tà dei dati e dei s istemi;

− adozione di tecniche di cifratura o di codici identif icativ i per

determinati trattamenti di dati idonei a r ivelare lo stato di salute

o la vita sessuale effettuati da organismi sanitari .

Gl i Incaricati devono essere dotati di credenzial i di autenticazione

che consentano i l superamento di una procedura di autenticazione

relativa a uno specif ico t rattamento o a un insieme di trattamenti.

Ad ogni Incaricato sono assegnate o associate individualmente una

o più credenzial i per l 'autenticazione.

Esse consistono in un codice per l ' identif icazione del l ' Incaricato

associato ad una parola chiave r iservata conosciuta solamente dal

medesimo oppure in un disposit ivo di autenticazione in possesso e ad

uso esclusivo dell ' incaricato, eventualmente associato a d un codice

identif icativo o ad una parola chiave, oppure in una caratterist ica

biometrica del l ' Incaricato, eventualmente associata ad un codice

identif icativo o ad una parola chiave.

Con le istruzioni impartite agl i Incaricati è prescritto di adottare le

necessarie cautele per assicurare la segretezza del la componente

r iservata del la credenziale.

Credenziale e password devono essere custodite secondo

procedure definite ed essere reperibil i da parte del Responsabile, in

caso di emergenza.

La parola chiave, quando è prevista dal s istema di autenticazione, è

composta da almeno otto caratter i oppure, nel caso in cui lo

strumento elettronico non lo permetta, da un numero di caratteri



pari al massimo consentito; essa non contiene r i fer imenti

agevolmente r iconducibi l i al l ' incaricato ed è modif icata da

quest'ult imo al primo uti l izzo e, successivamente, almeno ogni sei

mesi. In caso di trattamento di dati sensibi l i e di dati giudiziari la

parola chiave è modif icata almeno ogni tre mesi.

I l codice per l ' identif icazione, laddove uti l izzato, non può essere

assegnato ad altr i Incaricati , neppure in tempi diversi . Le cred enziali

di autenticazione non uti l izzate da almeno sei mesi sono disattivate,

salvo quel le preventivamente autorizzate per sol i scopi di gestione

tecnica.

Le credenzial i sono disattivate anche in caso di perdita del la qualità

che consente al l ' incaricato l 'accesso ai dati personali .

Sono impartite istruzioni agl i Incaricati per non lasciare incustodito e

accessibi le lo strumento elettronico durante una sessione di

trattamento.

Quando l 'accesso ai dati e agl i strumenti elettronici è consentito

esclusivamente mediante uso del la componente r i servata della

credenziale per l 'autenticazione, sono impartite idonee e preventive

disposizioni scritte, volte a individuare chiaramente le modalità con

le qual i i l T i tolare può assicurare la disponibi l i tà di dati o strument i

elettronici in caso di prolungata assenza o impedimento

del l ' Incaricato che renda indispensabile e indifferibi le intervenire per

esclusive necessità di operativ ità e di s icurezza del s istema.

In tal caso la custodia del le copie del le credenzial i è organi zzata

garantendo la relativa segretezza e individuando preventivamente

per iscritto i soggetti incaricati del la loro custodia, i qual i devono

informare tempestivamente l ' Incaricato del l ' intervento effettuato.



Le disposizioni sul s istema di autenticazione di cui ai precedenti punti

e quel le sul s istema di autorizzazione non si applicano ai trattamenti

dei dati personali destinati al la diffusione.

Quando per gl i Incaricati sono individuati profi l i di autorizzazione di

ambito diverso è ut i l izzato un sistema di autorizzazione.

I profi l i di autorizzazione, per ciascun incaricato o per classi

omogenee di incaricati , sono individuati e configurati anteriormente

al l ' iniz io del trattamento, in modo da l imitare l 'accesso ai sol i dati

necessari per effettuare le operazioni di trattamento.

Periodicamente, e comunque almeno annualmente, è verificata la

sussistenza del le condizioni per la conservazione dei profi l i di

autorizzazione nel l 'ambito del l 'aggiornamento periodico

del l ' individuazione del l 'ambito del trattamento consentito ai s ingol i

incaricati e addetti al la gestione o al la manutenzione degli strumenti

elettronici.

La l ista degli incaricati può essere redatta anche per classi

omogenee di incar ico e dei relativ i profi l i di autorizzazione.

I dati personali sono protetti contro i l r ischio di intrusione e

del l 'azione di programmi di cui al l 'art. 615 -quinquies del Codice

Penale mediante l 'attivazione di idonei strumenti elettronici

aggiornati con cadenza almeno semestrale.

Gl i aggiornamenti periodici dei programmi per elaboratore volti a

prevenire la vulnerabi l i tà di strumenti elettronici e a correggerne

difetti sono effettuati almeno annualmente. In caso di trattamento di

dati sensibi l i o giudiziari l 'aggiornamento è almeno semestrale.

Sono state impart ite, con circolare interna prot. n. 97267 del

18.4.2004, istruzioni operative volte al potenziamento del la sicurezza

informatica, r i fer ite al le modalità di cambio del le password.



L’Azienda ha ulteriormente specif icato le modalità di gestione del le

password nel Regolamen to sul l’uti l izzo dei computer e del la rete

informatica aziendale, che discipl ina pure le modalità di uti l izzo dei

servizi di navigazione su internet e di posta elettronica.

Tale regolamento, approvato con deliberazione n. 463 del 17.9.2009,

è stato pubblicato sul s ito web aziendale (area r iservata al

personale).

A fronte dei r ischi che impattano sui trattamenti dei dati personali

precedentemente descritt i sono state individuate le opportune

misure di s icurezza, vale a dire gl i specifici interventi di n atura

tecnica o organizzativa posti in essere per prevenire, contrastare o

r idurre gl i effetti relativ i ad una specif ica minaccia.

Nel le tabel le seguenti vengono r iassunte le misure minime di

s icurezza previste dal l’Al legato B del D.Lgs. n. 196/2003, che

interessano tutti i trattamenti di dati sensibi l i r i levati .

Nel la colonna minacce contrastate si è fatto r i fer imento al la

numerazione del le minacce di cui al l’al legato 2.

Le misure intraprese (allegato 3) , oltre a quel le di cui all’Al legato B al

D.Lgs. n.196/2003 sono quel le indicate dal la metodologia CRAMM

che costituiscono parte integrante del l’anal is i dei Rischi.



PPAARRTTEE SSEESSTTAA

CCRRIITTEERRII EE MMOODDAALLIITTAA ’’ DDII RRIIPPRRIISSTT IINNOO DDEELLLLAA DDIISSPPOONNIIBBIILL II TTAA ’’

DDEEII DDAATTII

In questa sezione sono descritt i i criter i e le procedure ado ttate per i l

salvataggio e i l r ipr ist ino dei dati in caso di danneggiamento

(volontario o involontario), inaff idabi l i tà o indisponibi l i tà del la base

di dati in cui essi sono organizzati , meglio dettagl iati nel la tabel la

seguente.

L’obiettivo è dunque quel lo di prevenire eventual i danni agl i archivi

informatici ove i dati sono custoditi e di organizzare le procedure

atte al r ipr ist ino, nel minor tempo possibi le, dei sistemi di trattamento

degli stessi . Infatti la regola 19.5 del l’Al legato B del D.Lgs. n.

196/2003 prevede “ la descrizione dei criter i e del le modalità per i l

r ipr ist ino del la disponibi l i tà dei dati in seguito a distruzione o

danneggiamento”, e di qui “l’adozione di idonee misure per

garantire i l r ipr ist ino del l 'accesso ai dati in caso di dann eggiamento

degli stessi o degli strumenti elettronici, in tempi certi compatibi l i con

i dir i tt i degl i interessati e non superiori a sette giorni”.

Per queste ragioni è importante pianif icare non solo le procedure di

salvataggio (backup), ma anche quel le per i l r ipr ist ino dei dati ; è

infatti non auspicabile accorgersi che la copia di salvataggio r isulta

incompleta o inuti l izzabi le solo quando si verif ichino circostanze di

inaff idabil i tà, danneggiamento o indisponibi l i tà del la base di dati .

Nel citato “Regolamento sul l’uti l izzo dei computer e del la rete

informatica aziendale”, sono sintetizzati i cr iter i e le procedure per i l

r ipr ist ino dei dati , nonché la pianif icazione del le prove di r ipr ist ino.



MISURA ADOTTATA MINACCE

CONTRASTATE

MISURA DA

ADOTTARE

Hard-Disk ridondanti sui server

9

Esecuzione Periodica di backup di dati

9, 10, 13

Installazione gruppo di continuità (UPS) e gruppo

elettrogeno nella sala server

11

Impianto di raffrescamento e condizionamento

12

Contratto di assistenza/manutenzione (ordinaria

e straordinaria) per il SW / HW

9, 13

“Regolamento sull’utilizzo dei computer e della

rete informatica aziendale”

14,17

Cassaforte/Armadio ignifugo per la custodia

delle cassette di backup

10

Sistema anti-incendio Sala Server

11, 12



PPAARRTTEE SSEETT TT IIMMAA

IINNTTEERRVVEENNTTII FFOORRMMAATTIIVVII EEDD IINNFFOORRMMAATTIIVVII

L’ASL del la Provincia di Como nel corso degli ult imi anni ha promosso

interventi formativi che hanno coinvolto Responsabil i e incaricati del

Trattamento, per renderl i edotti dei r i schi che incombono sui dati ,

del le misure disponibi l i per prevenire eventi dannosi, dei profi l i del la

disciplina sul la protezione dei dati personali più r i levanti in rapporto

al le relative attiv ità, del le responsabil i tà che ne derivano e del le

modalità per aggiornarsi sul le misure minime adottate dal l’Azienda.

Interventi formativi attuati

I l T i tolare s’ impegna a garantire agl i Incaricati , al momento

dell’ ingresso in Azienda e nel l’ambito del la “Procedura gestionale di

orientamento del personale al le responsabil i tà, al l’organizzazione

aziendale e ai propri incarichi specifici” la formazione sia sul le norme

general i in mater ia di privacy, s ia sugl i aspetti pecul iari dei

trattamenti effettuati .

I l Tutor, che aff iancherà i l neoassunto, i l dipendente destinato a

nuove mansioni oppure ad attiv ità che implicano l’ introduzione di

nuovi strumenti e programmi informatici, dovrà prevedere nel

programma di att iv ità di orientamento al le responsabil ità iniziative

tese ad informare e documentare l’Incaricato sul le dispo s iz ioni

normative e sui s istemi di s icurezza in materia di protezione dei dati

personali .

Interventi formativi anno 2012

L’Azienda ha attivato nel corso del l’anno una giornata di formazione

residenziale per i neoassunti al f ine di fornire le competenze e g l i



strumenti necessari per r icoprire i l ruolo di Incaricato al trattamento

dei dati personali in ottemperanza al le disposizioni introdotte dal

Codice Unico del la Privacy.

È stato altresì organizzato un incontro formativo con gl i operatori PDR

(Punti di Registrazione) distrettual i , designati per l’attivazione del le

carte operatore SISS (azzurre), in cui sono state spiegate le nuove

modalità di emissione/consegna del le stesse.


Al f ine di sensibi l izzare ulteriormente gl i operat ori PDR al r ispetto del le

procedure secondo le disposizioni del manuale “Ruol i e

responsabil i tà dell’addetto PDR”, nel corso del l’anno verrà

organizzato un incontro formativo ad hoc.


Durante i l corso del l’anno sono stati effe ttuati da parte di docenti di

Lombardia Informatica con interventi del Referente aziendale CRS -

SISS la formazione ai PDR (Punti di Registrazione) in vista

dell’attivazione del nuovo sistema di gestione del le carte SISS

“Provis ioning 8”. In tale occasione è stato consegnato ad ogni PDR

un modulo che r ichiama i principal i adempimenti e modalità

operative da adottare.

Processo informativo

Per quanto concerne i l processo informativo, i l T i tolare, attraverso la

U.O.C. Affari General i , Legali e Ist i tuzional i , ag giorna costantemente

i Responsabil i in ordine ai provvedimenti assunti dal Garante per la

Privacy, in particolare quell i r iguardanti i trattamenti sanitari , fra i

qual i s i citano:



provvedimento Garante per la Protezione dei dati del 21.3.2007

“Certif icazioni per i l r iconoscimento del l’ invalidità civi le”;

Linee Guida Garante per la Protezione dei dati per i trattamenti

di dati personali nel l’ambito del le sperimentazioni cl iniche di

medicinal i” – 24/7/2008 (G.U. n. 190 del 14 agosto 2008) ;

Linee Guida Garante per la Protezione dei dati personali in

materia di trattamento di dati personali di lavoratori per f inal ità

di gestione del rapporto di lavoro in ambito pubblico –

14/6/2007” (G.U. 13 lugl io 2007, n. 161) ;

con circolare interna del 9.3.2009, anche al la luce del le

raccomandazioni pervenute dal la Direzione Generale Sanità i l

3.3.2009, è stata r ichiamata l’attenzione dei Responsabil i del

Trattamento per sensibi l izzare gli Incaricati del trattamento in

merito al l’osservanza del le norme in materia di r iserva tezza e

segretezza del le informazioni , con particolare r iguardo al la

protezione dei dati sensibi l i , dei dati diversi da quell i sensibi l i ,

del le informazione di natura commerciale e contabil i ed in

genere di tutte le informazioni che costituiscono patr i monio

aziendale non di pubblico dominio;

Linee Guida Garante per la Protezione dei dati in tema di

Fascicolo sanitario elettronico e di dossier sanitario ( G.U. n. 178

del 3 agosto 2009 ).

Linee guida in materia di trattamento di dati personali

contenuti anche in atti e documenti amministrativ i , effettuato

da soggetti pubblici per f inalità di pubblicazione e diffusione

sul web - 2 marzo 2011(Gazzetta Uff iciale n. 64 del 19 marzo

2011);

Linee guida in tema di trattamento di dati per lo svolgimento di

indagini di customer satisfaction in ambito sanitario - 5 maggio

2011 (G.U. n. 120 del 25 maggio 2011) ;



“Raccomandazioni e Proposte sul l’uti l izzo del Cloud

Computing nel la Pubblica Amministrazione” del iberato i l

9.5.2012 da DigitPa e vademecum del Garante per la

Protezione dei dati con cui vengono offerte alcune indicazioni

valide per tutti gl i utenti , in particolare imprese e

amministrazioni pubbliche.

L’ASL del la Provincia di Como, in adempimento al la norma del l’art.

80 del D.Lgs. n. 196/2003, ha reso ai propri utenti l ’ informativa

generale integrandola con apposit i cartel l i , aff iss i nei propri presidi

ed ambulatori .

Le informazioni r iportate attengono al le f inal ità e modalità del

trattamento dei dati personali , ai dir i tt i del l’ interessato ed ai

contenuti del lo specif ico Regolamento Regionale n. 3 del 24

Dicembre 2012, sul trattamento dei dati sensibi l i e giudiziari r i fer it i ad

attiv ità di r i levante interesse pubblico che non r ichiedono i l consenso

degli interessati , fra cui quel le amministrative.

Al f ine di rendere più espl icita la comprensione dei dir i tt i degl i

interessati , sono stati diffusi nei vari presidi aziendali opuscoli

i l lustrativi predisposti dal l’Uff icio Stampa del Garante su “La

protezione dei dati personali - dal la parte del paziente”.

Affinché i l dir i tto al la protezione dei dati personali ed i l dir i tto al la

r iservatezza siano sempre i l punto di r i fer imento cui tutti gl i operatori ,

di ogni qualif ica e grado, s i debbono ispirare nel trattare i dati e le

informazioni i l T i tolare ha predisposto un “decalogo” che r ichiama le

principali regole di buona condotta da applicare nel l’espletamento

delle attiv ità ist i tuzional i .

L’Azienda ha approvato con del iberazione n. 632 del 15.12.2011 i l

“Codice di buona condotta per i l t rattamento dei dati pers onali



nell’ambito del registro tumori del la provincia di Como” del proprio

Registro Tumori (RT-Como), previsto nel l’ambito dei Registr i Tumori

della Lombardia (RTL).

I l Registro Tumori , configurandosi come strumento di raccolta

sistematica e r igorosa di dati sanitari, può consentire la valutazione

non solo del la patologia neoplastica, ma anche di altre pat ologie

sul le quali potrebbero essere svi luppate indagini, nei l imiti e nel

r ispetto del le norme in materia di r iservatezza e protezione dei dati

personali e sensibi l i .

I l documento si prefigge quindi di fornire ulterior i garanzie aff inché i

dati e le informazioni trattati nel l’ambito del Registro Tumori del la

Provincia di Como siano tutelati nel pieno r ispetto del le disposizioni

di legge e dei principi e valori cui s i ispira i l Codice Etico

Comportamentale aziendale.



PPAARRTTEE OOTTTTAAVVAA

CCRRIITTEERRII EE GGAARRAANNZZIIEE DDII AADDOOZZIIOONNEE DDEELLLLEE MMIISSUURREE MMIINNIIMMEE

DDII SSIICCUURREEZZZZAA IINN CCAASSOO DDII TTRRAATTTTAAMMEENNTTII DDII DDAATTII AAFFFFIIDDAATTII

AALLLL ''EESSTTEERRNNOO

1. TRATTAMENTI AFFIDATI ALL’ESTERNO (OUTSOURCING)

In base a determinate esigenze aziendali , l ’Azienda ha deciso di

affidare i l trattamento dei dati in tutto o in parte a soggetti terzi in

modalità outsourcing.

In tale ipotesi i l T i tolare provvede a nominare, per iscritto al

momento del la sottoscrizione del contratto, tal i soggetti qual i

Responsabil i del trattamento dei dati ai sensi e per gli effetti del la

vigente normativa. Conseguentemente, ai suddetti Responsabil i del

trattamento in modalità outsourcing dovranno ascriversi gl i obblighi

ed oneri previst i dal Legislatore circa i l trattamento dei dati nonché

la legitt imazione passiva nel l’ ipotesi di v iolazione del le predette

disposizioni.

In particolare, i l soggetto cui le attiv ità sono aff idate dichiara:

di essere consapevole che i dati che tratterà nel l’es pletamento

dell’ incarico r icevuto sono dati personali e, come tal i , sono

soggetti al l’applicazione del Codice Privacy;

di ottemperare agl i obblighi previst i dal citato Codice;

di adottare le istruzioni specif iche eventualmente r icevute per i l

trattamento dei dati personali o di integrarle nel le procedure già

in essere;



di impegnarsi – ove r itenuto necessario – a relazionare al Titolare

sul le misure di sicurezza adottate, al lertando tempestivamente

l ’Azienda in caso di s ituazioni anomale o di emergenza;

di r iconoscere i l dir i tto del l’ASL del la Provincia di Como a

verificare periodicamente l’applicazione del le norme di s icurezza

adottate;

in relazione a particolari categorie di dati , al termine del

trattamento effettuato, ad inviare al l’Azienda una descrizione

scritta del lo stesso, che ne attesti la conformità al le disposizioni

contenute nel Discipl inare Tecnico in materia di misure minime di

s icurezza – Al legato B del D.Lgs. 196/2003 e al la vigente

normativa.

Nel la seguente tabella sono sintetizzati i cr ite r i e gl i impegni assunti

dalle parti esterne al l’organizzazione per l’adozione del le misure di

s icurezza, aff inché venga garantito un adeguato trattamento.

I trattamenti di dati aff idati a soggetti esterni sono indicati

nell’allegato 4 .

Presso le strutture di r i fer imento sono conservati gl i atti di nomina

dell’ASL del la Provincia di Como quale responsabile esterno

MISURA ADOTTATA MINACCE

CONTRASTATE MISURA DA ADOTTARE

Individuazione e nomina dei Responsabili Esterni

del trattamento di dati personali e definizione

dei criteri cui devono attenersi le società cui è

affidato il trattamento per garantire la sicurezza

dei dati.

3, 4, 5



relativamente al trattamento dei dati degl i assist i t i r iguardanti lo

stato di salute.



PPAARRTTEE NNOONNAA

CCRRIITTEERRII DDAA AADDOOTTTTAARREE PPEERR LLAA CCIIFFRRAATTUURRAA DDEEII DDAATTII

I l T i tolare ha provveduto, attraverso i l Responsabile del Trattamento,

ad imparti re istruzioni operative (circolare n. 55 del 7.3.2006) per

l ’ invio di dati sensibi l i e/o personali con sistemi di posta elettronica,

prevedendo – ove opportuno – tecniche di cifratura dei f i les o la

disgiunzione dei dati che consentono l’ identif icazione diretta degli

interessati .

MISURE ADOTTATE MINACCE

CONTRASTATE

MISURE DA ADOTTARE

Le applicazioni che trattano dati

sensibili relativi allo stato di salute

possiedono (quelle centralizzate), o

prevedono (quelle locali) meccanismi

tali da rendere i dati stessi non

direttamente riconducibili

all'interessato a cui si riferiscono

(separazione tra dati sanitari e dati

anagrafici).

1, 2, 3



PPAARRTTEE DDEECCIIMMAA

TTRRAATTTTAAMMEENNTTOO DDEEII DDAATTII SSEENNZZAA LL ’’AAUUSSIILL IIOO DDII SSTTRRUUMMEENNTTII

EELLEETTTTRROONNIICCII

L'accesso agl i archivi correnti e statici contenenti dati sensibi l i è

consentito ai sol i Incaricati autorizzati al relativo trattamento.

L’accesso agl i archivi statici avviene mediante ide ntif icazione del

personale (Responsabil i o Incaricati) che accede ai local i interessati .

Sono impartite istruzioni organizzative e tecniche per la custodia e

l 'uso dei supporti r imovibil i su cui sono memorizzati i dati al f ine di

evitare accessi non autorizzati e trattamenti non consentit i .

I supporti r imovibi l i contenenti dati sensibi l i se non ut i l izzati sono

distrutti o resi inuti l izzabi l i , ovvero possono essere r iuti l izzati da altr i

incaricati , non autorizzati al trattamento degli stessi dati , se le

informazioni precedentemente in essi contenute non sono intel l igibi l i

e tecnicamente in alcun modo r icostruibi l i .

L’Azienda ha diverse sedi sul terr i tor io provinciale che si

interfacciano fra loro attraverso canali di comunicazione quali la

trasmissione telematica o la consegna brevi manu di documenti

contenenti dati personali .

A tale r iguardo, al lo scopo di assicurare i l migl ior l ivel lo di protezione

dei dati , evitando gl i accessi a persone non autorizzate, è stata

redatta una procedura specif ica per la raccolta f inal izzata al

trasporto e la consegna dei dati personali , che prevede misure

minime di s icurezza al le qual i tutti i Responsabil i ed Incaricati

debbono attenersi .



Tale procedura è stata resa nota con circolare del 4.4.2006 prot. n.

95.

L’ASL del la Provincia di Como ha approvato, con del iberazione n.

573 del 23.12.2004, uno specif ico regolamento che discipl ina

all’ interno del l’Azienda la tutela del la r iservatezza del le persone

f is iche e giuridiche, assicurando che i l trattamento dei dati personali

- in special modo di quel l i sensibi l i - s ia coerente con i l r ispetto dei

dir i tt i e del le l ibertà fondamental i , s ia inoltre improntato al principio

della necessarietà del trattamento ed al l’ individuazione di

accorgimenti volt i ad aumentare i l l ivel lo di s i curezza nel la gestione

dei dati .

2. ULTERIORI MISURE DI SICUREZZA

Al lo scopo di assicurare i l r ispetto dei dir i tt i degl i Interessati , le

del iberazioni e le determinazioni che contengono dati sensibi l i o

giudiziari non devono consentire l’ identif icazione dei soggetti cui tal i

dati s i r i fer iscono.

Con circolare del l’8.3.2006 prot. n. 58 sono state emanate

disposizioni per l’adozione di opportuni accorgimenti.



PPAARRTTEE UUNNDDIICCEESS IIMMAA

PPRROOGGEETTTTOO CCAARRTTAA RREEGGIIOONNAALLEE DDEEII SSEERRVVIIZZ II ––

SS IISSTTEEMMAA IINNFFOORRMMAATTIIVVOO SSOOCCIIOO--SSAANNIITTAARRIIOO ((CCRRSS--SSIISSSS))

1. Trattamenti di Titolarità dell’ASL di Como; misure di sicurezza

adottate dall’ASL in conformità ai requisiti di legge e ai

requisiti della Regione Lombardia; “contributo” dei

Responsabili designati

La del iberazione del la Giunta Regionale n. 010031 del 7.08.2009 ha

definito gl i obiettiv i strategici e gl i indir izzi general i per la

continuazione del Sistema Informativo Socio -Sanitario (di seguito

indicato come SISS) confermando a Lombardia Informatica la

responsabil i tà del lo svi luppo e del la gest ione del SISS .

La Regione Lombardia ha inoltre definito con DGR n. 10512 del

09.11.2009 i l Piano di dettagl io per l ’evoluzione del SISS negl i anni

2010-2012 e la convenzione tr i laterale (RL, LISPA, ASL/AO), già

sottoscritta dal l’ASL del la Provincia di Como, f inal izzata a regolare i

rapporti ed i reciproci impegni nel l’ambito del SISS tra i diversi attori

sanitari lombardi.

Per gl i anni 2013 e 2014 la fonte normativa è costituita dal la circolare

attuativa del le Regole per l’anno 2013 di cui al la DGR n. 4334 del

26.10.2012 “Determinazioni in ordine al la gestione del Servizio Socio-

Sanitario regionale per l 'esercizio 2013” e la DGR n. 1185 del

20.12.2013 “Determinazioni in Ordine al la Gestione del

Servizio Socio Sanitario Regionale per l 'esercizio 2014”



2. Trattamenti di propria t itolarità effettuati per f inalità

amministrative e per f inal ità di cura

I trattamenti di dati personali relativi al Progetto CRS -SISS,

come precisato nel la nota del la Direzione Generale Sanità

dell’11.03.2010 prot . H1.2010.9630, continueranno ad essere svolti

secondo le previs ioni di cui ai provvedimenti del la Giunta Regionale

n. 5198 del 2.8.2007 “Progetto Carta Regionale dei Servizi - Si stema

Informativo Socio Sanitario (CRS-SISS): individuazione dei Responsabi l i

dei trattamenti dei dati personali . Disposizioni per le aziende

sanitarie pubbliche e schema di convenzione con le aziende socio

sanitarie private accreditate a contratto”, e n. 4928 del 28.2.2013,

che individuano l ’ASL del la Provincia di Como quale Titolare del

trattamento dei dati nel contesto del citato progetto.

L’Azienda, relativamente ai trattamenti per f inalità amministrative

(f inal ità ist i tuzional i amministrative di pianif icazione e monitoraggio

del la spesa sanitaria e del la appropriatezza e qualità del l’assistenza

di r icerca epidemiologica e statist ica), è titolare dei trattamenti di

registrazione, organizzazione, conservazione, consultazione,

elaborazione, selezione, estrazione, interconnessione, raffronto,

uti l izzo e comunicazione relativ i a prescrizioni, prenotazioni,

erogazioni, eventi sanitari , esenzioni, f lussi di rendicontazione e

anagrafica.

L’Azienda, relativamente ai trattamenti per f inal ità di cura

(f inal ità ist i tuzional i di prevenzione, diagnosi, cura e assistenza),

è titolare dei trattamenti di registrazione, conservazione,

elaborazione, selezione, estrazione, interconnessione, raffronto e

comunicazione relativ i al la gestione del le basi dati inerenti l ’uti l izzo



del Fascicolo Sanitario Elettronico (FSE) e del consenso al

trattamento FSE.

Le tipologie di dati personali che sono trattati attraverso i l Progetto

SISS sono le seguenti:

Tipologia di dati Finalità

Dati personali comuni

(es. i dati anagrafici e amministrativi del Cittadino)

amministrative

Dati sensibili idonei a rivelare lo stato di salute

(es. prescrizioni, prenotazioni di prestazioni

ambulatoriali, esenzioni alla spesa sanitaria, eventi sanitari,

ecc…)

amministrative

Dati sensibili, dati sanitari dell’interessato inclusi nel Fascicolo

Sanitario Elettronico (FSE) del Cittadino.

cura

La titolarità dei trattamenti, nel l’ambito del progetto SISS in relazione

al le vigenti disposizioni per la protezione dei dati personali , è

attr ibuita come segue:

a) per i trattamenti aventi f inal ità amministrative, che non sono

trattati attraverso i l Fascicolo Sanitario Elettronico, sono TITOLARI :

Regione Lombardia;

Azienda Sanitaria Locale;

Azienda Ospedaliera;

Enti Erogatori Pr ivati accreditati ed RSA

b) per i trattamenti aventi f inal ità di cura, trattati attraverso i l

Fascicolo Sanitario Elettronico) sono TITOLARI :

Azienda Sanitaria Locale;

Azienda Ospedaliera;

Enti Erogatori Pr ivati accreditati e RSA.



I l trattamento del Fascicolo Sanitario Elettronico può essere

effettuato solo a condizione che l’ interessato abbia prestato i l

consenso.

I trattamenti dati effettuati attraverso i l s istema CRS -SISS, cui possono

accedere solo gl i operatori dotati di carta SISS “operatore” e

specif ico ruolo utente sono r iportati ne l la tabel la di seguito indicata.

Oggetto del t rattamento Soggett i

coinvolt i F inal i tà

Tipologia del le

operazioni

Identificazione cittadino e della classe di

esenzione

ASL

Amministrative Consultazione

Registrazione

Identificazione cittadino Erogatori Pubblici

Privati

Accreditati(E.E.P.A)

Cura Consultazione

Identificazione cittadino e identificazione

classe di esenzione

MMG/PDF

Farmacie

Cura Consultazione

Gestione Flussi DIT

(debito informativo territoriale)

ASL Amministrative Consultazione

Registrazione

Conservazione

Elaborazione

Acquisizione Consenso FSE ASL

MMG/PDF

Farmacie

Spazio Regione

Comuni

Cura Consultazione

Acquisizione

Registrazione

Fascicolo Elettronico del Cittadino (FSE)

ASL Cura Comunicazione

MMG/PDF

Farmacia

Cura Consultazione

E.E.P.A. Cura Registrazione

Pubblicazione

Consultazione

Prescrizioni farmaceutiche, ambulatoriali

e di ricovero

MMG/PDF

Cura Consultazione

Registrazione

Prescrizioni farmaceutiche Farmacie Cura Consultazione



Prenotazione prestazioni ambulatoriali MMG/PDF

Farmacie

Cura

Amministrative

Consultazione

Registrazione

Erogazione PIN/PUK ASL

Spazio Regione

Comuni

Amministrative Comunicazione

Registrazione Dati Vaccinali

ASL Cura Consultazione

Registrazione

Gestione Certificazioni di malattia

MMG Cura Consultazione

Trasmissione

Gestione Malattie Infettive

ASL Cura Consultazione

Registrazione

3. Misure di sicurezza adottate in ambito CRS-SISS in conformità ai

requisit i di legge e le indicazioni regionali.

L’ interconnessione del sistema informatico aziendale con i l SISS

avviene tramite:

- la postazione di lavoro, cos iddetta PDL SISS, che viene gestita

su indicazioni ASL dal provider aziendale (Servizio di Fleet

Management) che provvede al l’ instal lazione/aggiornamento;

- la porta applicativa, che viene gestita direttamente dal Centro

di Gestione Integrata (CGI).

I programmi del progetto SISS vengono monitorati dal CGI stesso e

garantiscono che i dati sanitari :

- s iano trasmessi in rete protetti da adeguati algoritmi di

cifratura;

- s iano memorizzati cifrati o disaggregati dai dati personali in

modo che la loro compromissione non permetta di r icondurre i l

dato sanitario al la specif ica persona.



In conformità ai requis it i r ichiesti da Regione Lombardia, le misure di

s icurezza general i applicate sono descritte nel la sezione quinta del

presente documento.

I l Progetto SISS, inoltre, fa leva su un sistema di “strong

authentication” degl i operatori per mezzo di certi f icati digital i

memorizzati su carte dotate di microprocessore.

L’ASL ha real izzato la gestione degli aspetti operativ i per l’ impiego di

questa tecnologia in base ai requis it i di s icurezza r ichiesti .

A queste si aggiungono le misure specif iche qui di seguito indicate:

f i rewall NOKIA che opera in regime di alta aff idabil i tà (cluster

f is ico), interponendosi sul canale di connettiv ità f is ica del SISS ;

impianto f i rewall CISCO per elevare ulteriormente le misure di

s icurezza interposto sul medesimo canale f is ico, anch’esso

operante in regime di alta aff idabil i tà (cluster f is ico), quale

ulteriore strumento di protezione tra server-farm aziendale e

server-farm CRS-SISS;

protezioni specif iche per l’ interconnessione con i l SISS: al

personale del Provider regionale è r ichiesto preannunciare

telefonicamente ogni intervento da effettuare presso l’ASL

della Provincia di Como. Le operazioni svolte dal personale del

Service-Provider sono eseguite sotto la supervis ione di

personale ASL. Gl i apparati di interconnessione al SISS (router di

accesso al la Extranet) sono situati presso i l CED aziendale,

in Via Carso, 88 a Como, in local i protetti , i l cui accesso è

consentito esclusivamente a l personale del l’Azienda

autorizzato mediante uti l izzo di badge elettronico. Le misure di

s icurezza adottate per questi locali sono descritte nel la parte

“quinta” del presente documento. Si precisa inoltre .



Per quanto concerne l’anal is i e la gestione de l r ischio

informatico del la componente di interconnessione al SISS è

compresa nel l’anal is i e gestione del r ischio a l ivello

complessivo aziendale.

4. Geolocalizzazione

Allo scopo di migl iorare l’uti l izzo dei servizi SISS è stata messa a

disposizione dei Medici di Medicina Generale/Pediatr i di Famigl ia

una connect card che oltre a costitui re uno strumento per col legarsi

in mobil i tà, in caso di necessità, è la soluzione di backup pensata

per garantire la continuità del servizio SISS in caso di un ’eventuale

indisponibi l i tà della l inea ADSL fornita dal Network Provider. Pertanto,

poiché l ’uti l izzo del la Internet key r ichiede, in base a specif iche

disposizioni di Legge (in tema di “geolocalizzazione”), la prestazione

di uno specif ico consenso dei medici al trattamento dei dati

(anagrafici, relativ i al traff ico telematico, iv i compresi i dati relativi

all’ubicazione diversi dai dati relativ i al traff ico telematico), è stata

inviata apposita comunicazione con al legato i l modulo “informativa

e consenso al trattamento dati relativ i ai servizi di connettiv ità in

ambito SISS.

5. Trattamenti dati FSE

I medici ospedalier i , attraverso la Piattaforma CRS-SISS, trattano i

dati sanitari per f inal ità di cura con i l Fascicolo Sanitario

Elettronico (FSE) solo ove l ’ interessato abbia espresso i l proprio

consenso che viene s imultaneamente registrato dal l’operato re nel

SISS mediante la CRS del l’utente, previa specif ica informativa (i l cui

modello è consultabi le sul s ito internet www.crs.lombardia.it) .

http://www.crs.lombardia.it/ds/ContentServer?childpagename=CRS%2FCRSLayout&c=Page&pagename=CRSWrapper&cid=1213354365022

http://www.crs.lombardia.it/ds/ContentServer?childpagename=CRS%2FCRSLayout&c=Page&pagename=CRSWrapper&cid=1213354365022



6. Formazione specif ica degli operatori CRS-SISS

Gli operatori SISS r icevono istruzioni precise sugl i ambiti del

trattamento consentit i e sul le misure di s icurezza da osservare per

garantire la protezione dei dati , unitamente ad una periodica

formazione specif ica.

L’attiv ità formativa effettuata ha r iguardato i seguenti temi:

ANNO 2013

- corsi di formazione r ivolt i agl i operatori dei distretti socio-sanitari

per la diffusione del s istema GASS (Gestione Accesso Semplif icato

ai Servizi) , s istema che, in un’ottica di diffusione dei servizi sanitari

on-l ine, consente di consultare i l referto direttamente da casa

tramite un sistema di password e solo dopo aver espresso i l

consenso al trattamento dati personali .

- trasmissione dei f lussi informativi ai Medici attraverso uti l izzo del la

Bacheca (marzo 2013);

- formazione a distanza per i Medici con la col laborazione di

Lombardia Informatica.

ANNO 2014

- corso di formazione effettuato i l 25.06.2014 per gl i operatori degl i

Enti Erogatori Pr ivati Accreditati per la diffusione del s istema GASS

(Gestione Accesso Semplif icato ai Servizi) ;

- corsi di formazione agl i operatori PDR (Punti di Registrazione)

distrettual i effettuati l ’11.7.2014 ed i l 02.9.2014 tenuti da Lombardia

Informatica e dal Referente aziendale CRS-SISS in previs ione del la

messa in esercizio del nuovo sistema di gestione del le carte SISS

“Provis ioning 8”. In tale occasione è stato consegnato ad ogni

PDR un modulo che r ichiama i principal i adempimenti e modalità

operative da adottare;



- corso di formazione a distanza reso disponibi le da Lombardia

Informatica anche per nell’anno 2014 per i MMG e PDF;

- eventi formativi per l’uti l izzo del servizio di prenotazione vis ite ed

esami a favore degli operatori di Farmacie, effettuati i l 24 e

28.10.2014.

7. Gestione delle Carte CRS-SISS per gli operatori

La carta SISS consente agl i uti l izzatori di autenticarsi al SISS in

modalità “strong” e di apporre la f i rma digitale ai documenti .

Entrambe le funzional ità, che identif icano con certezza l’utente, s i

basano sul le proprietà del la crittografia a chiave asimmetrica

(pubblica/privata) che è real izzata mediante l’uti l izzo di certif icati

digital i r i lasciati da una Certif ication Authority su Carta a

Microprocessore.

Presupposto fondamentale è i l possesso sia del la carta SISS, s ia del

PIN UTENTE per l’autenticazione e del PIN FIRMA che permette di

apporre la f i rma digitale ad un documento.

Ovviamente s i è provveduto, nel r ispetto del le indicazioni regional i , a

fornire a tutt i gl i uti l izzatori del le Carte le opportune istruzioni per la

corretta modalità di impiego.

In particolare:

IDENTI FICAZIONE E AU TORIZZAZIONE DEGLI OPER ATORI

Le procedure adottate per l’ identif icazione degli operatori e le

relative autorizzazioni sono conformi al le previs ioni sul le misure

di s icurezza definite dal la DGR n. 5198 del 2.8.2007, la cui

corretta applicazione è stata accertata dal la società

Lombardia Informatica S.p.A., anche attraverso le periodiche

ispezioni .



Ogni operatore, al l ’atto del l’attivazione e del r i t i ro del la carta,

sottoscrive uno specif ico contratto per la fornitura del servizio

di certi f icazione digitale.

Gl i operatori possono entrare in pos sesso del la smart card di

accesso al s istema e del relativo PIN solo tramite adesione

specif ica al progetto. La smart-card può essere attivata solo

dal Punto di Registrazione (PdR) certi f icato da Lombardia

Informatica S.p.a.

L’accesso al s istema è quindi consentito solo se s i possiede la

smart card attiva con relativo PIN, oppure, l imitatamente agl i

operatori di Scelta e Revoca, con specif ico account

applicativo (utente e password).

8. Gestione delle carte

Le carte sono gesti te secondo le procedure previste dal la già citata

DGR n. 5198/2007.

In particolare sono impartite agl i operatori disposizioni scritte circa la

corretta conservazione e sul loro loro uti l izzo. Al r iguardo è stata

definita e condiv isa con gl i operatori PDR una specif ica procedura

per la r ichiesta di emissione carte di seguito s intetizzata.

1. Arrivo a smistamento carte SISS

- Le carte “vergini” sono inviate da Lombardia Informatica

al referente SISS/responsabile PDR e consegnate, con le

dovute precauzioni, al PDR distrettuale, i l quale fi rma per

accettazione una lettera di accompagnamento ; ai f ini

del la tracciabi l i tà i l lotto viene registrato in un f i le ;

- le carte vengono conservate in luogo sicuro.

2. Richiesta carte SISS

- Le r ichieste sono inoltrate via mail al referente SISS ad

un indir izzo di posta elettronica prestabi l i to ;



- è stato individuato un processo specif ico in relazione al la

t ipologia di aderente r ichiedente.

3. Emissione della carta e archiviazione

- La r ichiesta è esaminata, archiviata ed inoltrata al PDR

distrettuale di r i fer imento;

- i l PDR distrettuale prende in carico la r ichiesta, contatta

l ’aderente, concorda un appuntamento e consegna la

carta;

- la documentazione prodotta viene conservata per un

periodo di 20 anni in apposite casseforti fornite dal

progetto presso le sedi distre ttual i e se i l quantitativo è in

eccesso viene conservato centralmente in armadi

ignifughi bl indati.

8. Obblighi dell’operatore PDR

I PDR operano seguendo le istruzioni r iportate nel documento “LISPA-

CA-PRC#07 - Ruoli e Responsabil i tà dei PdR” , di seguito indicate:

a) attenersi scrupolosamente al le procedure al legate al la Lettera

di delega fornita da Lombardia Informatica, per quanto

r iguarda le funzioni di registrazione degli Utenti Titolari ,

personalizzazione del disposit ivo sicuro di f i rma, revoca,

sospensione e r iattivazione dei Certi f icati Digital i ;

b) registrare i dati del r ichiedente , previa verif ica del la sua

identità e dei relativ i certi f icati ;

c) comunicare al la Certif ication Authority i dati acquisit i durante

la registrazione tramite la funzione di Regis trazione Operatore

del Cl ient PdR;

d) Informare i l r ichiedente sugl i obblighi assunti in merito al la

protezione del la segretezza del le chiavi private, al trattamento



dei dati personali ed al r ispetto del le disposi izoni contenute nel

Manuale Operativo;

e) verificare e trasmettere al la Certi f ication Authority le r ichieste

di revoca, sospensione o annul lamento del la sospensione,

uti l izzando le corr ispondenti funzioni del Cl ient PdR;

f) archiviare le r ichieste di registrazione, revoca, sospensione e

annul lamento sospensione e la documentazione accessoria;

g) non r it i rare e non conservare codici personali degl i utenti

Titolari (userid, password e codice di sospensione/emergenza)

o codici di uti l izzo (PIN Utente, PIN Firma, PUK) di carte r isultate

difettose in fase di emissione e non consegnate oppure r it i rate

perché revocate.

h) r ispettare le misure minime di s icurezza nel trattamento dei dati

personali nel r ispetto del le istruzioni operative e del la

formazione r icevuta dal la struttura di appartenenza;

i) r ispettare le misure di s icurezza consigl iate dal Certif icatore

Lombardia Informatica.

9. Obblighi del Titolare

I t i tolari del le carte sono informati dai PDR aziendali circa i l r ispetto

del le seguenti regole da osservare nell’uti l izzo del la carta SISS:

1. uti l izzare personalmente i l disposit ivo di f i rma;

2. conservare e custodire con la massima di l igenza la smart card, al

f ine di garantire l’ integrità e la r iservatezza del le chiavi private in

essa contenute;

3. conservare con la massima di l igenza la userid, la password e i l

codice di sospensione r icevuti durante la fase di registrazione per

evitare la conoscenza di questi da parte di altr i soggetti ;



4. conservare le informazioni di abi l i tazione al l’uso del la smart card

(PIN e PUK) in luogo diverso dal la smart card stessa;

5. cambiare i PIN provvisori del la propria smart card;

6. comunicare informazioni esatte e verit iere r ispetto ai propri dati

personali nel l’ambito del le inizial i procedure di registrazione al

servizio di certi f icazione;

7. informare i l Certi f icatore (recandosi presso i l Punto di

Registrazione di r i fer imento) di ogni variazione del le informazioni

fornite durante la procedura di identif icazione e registrazione;

8. informare i l Certi f icatore (recandosi presso i l Punto di

Registrazione di r i fer imento) in caso di cessazione del servizio per

cui sono stati r ichiesti i certi f icati digital i ;

9. r ichiedere tempestivamente al PdR di r i fer imento la revoca dei

certi f icati al verif icarsi delle condizioni previste dal Manuale

Operativo;

10. Richiedere tempestivamente al PdR di r i fer imento o al numero

verde del Certi f icatore la sospensione dei certi f icati nei casi di

furto, smarr imento o sospetta compromissione del la propria smart

card e con le modalità previste dal Manuale Operativo ;

11. Uti l izzare le chiavi private personali ed i l corr ispondente

certi f icato nel pieno r ispetto del le funzioni previste dal la sua

tipologia e secondo le modalità indicate nel Manuale Operativo.

10. Controllo dei profi l i autorizzativi

Con r i fer imento al D.Lgs. n. 196/03 (Codice in materia di protezione

dei dati personali) , l ’ASL ha provveduto ad effettuare un control lo

dei profi l i associati agl i operatori SISS al f ine di verificare la

correttezza e la sussistenza del le condizioni di conservazione di tal i

profi l i autorizzativ i .



11. Nomina delle Aziende Informatiche Responsabili del

trattamento

I l citato D.Lgs n. 196/2003 prevede che i l T i tolare del trattamento

possa individuare uno o più Responsabil i del trattamento (mediante

suddivisione di compiti).

Al f ine di formalizzare gl i adempimenti previst i dal Codice per la

designazione dei Responsabil i esterni al trattamento dati, per quanto

attiene ai trattamenti posti in essere con i l SISS, dal 2013 viene

uti l izzato un servizio di designazione on-l ine che assicura la gestione

dematerial izzata dei documenti e l’ invio al Responsabile, a

Lombardia Informatica e al la Regione. E’ r ichiesta inoltre

l’apposizione sul documento informatico del la f i rma digitale del

legale rappresentante del Titolare .

Le aziende che sono state designate come Responsabil i sono le

seguenti:

Lombardia Informatica S.p.A.

Lombardia Gestione S.p.A.

Almaviva S.p.A.

Bit Media S.p.A.

Capgemini I tal ia S.p.A. Via

Hi Tech S.p.A.

Insiel Mercato S.p.A.

Lutech S.p.A.

Santer Reply S.p.A. con unico azionista

Sopra Group S.p.A.

Milano Telecom I talia S.p.A.



Nel corso del 2014, a seguito del la variazione intervenuta nei

trattamenti, i l T i tolare dei dati ha effettuato una nuova designazione

del le sopraindicate aziende.

Nel corso del corrente anno è stata designata Santer Reply con

unico azionista e Lombardia Gestione S.p.A. come Respo nsabil i del

trattamento dati inerenti al "Servizio di gestione dei dati del la spesa

farmaceutica".

Si precisa inoltre che l’ASL di Como ha aderito al Servizio di Fleet

Management (Procedura bandita “Gara 4/2011/LI – Procedura

r istretta ai sensi del D.Lgs. n. 163/2006 per la selezione di operatori

per i servizi di Gestione del le Postazioni di Lavoro del le aziende

sanitarie pubbliche di Regione Lombardia”), che prevede la fornitura

in locazione operativa di prodotti per i l r innovamento tecnologico

del le apparecchiature informatiche e la gestione del le Postazioni di

Lavoro (PdL).

A seguito del l’adesione sono state designate nel 2013 come

responsabil i , tramite la nuova procedura on-l ine, anche le seguenti

società che costituiscono l’RTI (Raggruppamento Tempora neo di

imprese):

BT I TALIA s.p.a.,

Olis istem I tq Consult ing S.p.A.

VAR Group S.p.A.,

12. CONTRIBUTI DEI RESPONSABILI DESIGNATI



Per "contr ibuto" s ’ intende i l nome del documento ove sono descritt i e

precisati come sono stati real izzati gl i interventi operativ i necessari

per r ispondere ai requis it i di s icurezza indicati dal Titolare nel l 'atto di

designazione . E’ inoltre specif icata la col locazione (nel proprio

s istema documentale) del documento stessi . I contr ibuti prodotti da

tal i Aziende Informatiche, nominate Responsabil i del trattamento

dati da questa ASL (per l’anno 2014), sono i seguenti :

CONTRIBUTO DPS DA PARTE DI ALMAVIVA SPA

I l contr ibuto di Almaviva SpA, in quanto Responsabile del

trattamento dati inambito SISS ai sensi del la DGR n. 5198 del

02.08.2007 aggiornata dal la DGR n. 4928 del 28.02.2013, è contenuto

nel documento:

· SISS 1-PRIV-Contr ibuto_Almaviva-ver. 2 - Progetto SISS 1 -

Adempimenti di s icurezza per i trattamenti relativi al servizio "Gara

5/2012/LI – Procedura aperta ai sensi del D.Lgs .n.163/2006 per

l ’aff idamento dei servizi di svi luppo e manutenzione, assistenza,

supporto al l’anal is i dei processi/demand management e terr itor io

per la real izzazione dei modell i di e-health del la Regione Lombardia.

COD. SISS 1 – CIG 4186776CD7";

I l documento è archiviato presso la sede di Almaviva SpA, via dei

Missagl ia, 97 B/4 - 20142 Milano.

CONTRIBUTO DPS DA PARTE DI B ITMEDIA SPA

I l contr ibuto di Bitmedia SpA, in quanto Responsabile del trattamento

dati in ambito SISS, è contenuto nel documento:

· MOS - Manuale Operativo sul la Sicurezza dei dati

I l documento è archiviato presso la sede di Bitmedia SpA, Piazzale

Luigi Sturzo, 9 – 00144 Roma.



CONTRIBUTO DPS DA PARTE DI CAPGEMINI ITALIA SPA

I l contr ibuto di Capgemini I tal ia SpA, in quanto Responsabile del

trattamento dati in ambito SISS, è conservato in originale dal la

funzione aziendale DQ&R (Del ivery Quality & Risk Department) nel

repository del le procedure aziendali (TeamForge) accedibi le tramite

la intranet aziendale.

La versione ult ima del documento è la 4.9. I l documento viene

aggiornato annualmente o al l’occorrenza.

I l documento è archiviato presso la sede di Capgemini I tal ia SpA, Via

di Torre Spaccata 140, 00173 Roma.

CONTRIBUTO DPS DA PARTE DI H ITECH S.P .A.

I l contr ibuto di Hitech SpA, in quanto Responsabile del trattamento

dati in ambito SISS, è contenuto nel documento:

· SISS 1-PRIV-Contr ibuto_HITECH-ver.1 - ADEMPIMENTI DI SICUREZZA PER

I TRATTAMENTI RELATIVI AL SERVIZIO “Gara 5/2012/LI – Procedura

aperta ai sensi del D.Lgs.n.163/2006 per l ’aff idamento dei servizi di

svi luppo e manutenzione, assistenza, supporto al l’anal is i dei

processi/demand management e terr itor io per la real izzazione dei

modell i di e-health del la Regione Lombardia. COD. SISS 1 – CIG

4186776CD7”

I l documento è archiviato presso la sede di HITECH SpA, Via

Campigl iano 51, 50012 Bagno a Ripol i (FI ).

CONTRIBUTO DPS DA PARTE DI INSIEL MERCATO S.P .A.

I l contr ibuto di Insiel Mercato SpA, in quanto Responsabile del

trattamento dati in ambito SISS, è contenuto nel documento:

· SISS 1-PRIV-CONTRIBUTO_AZIENDA RTI -IM - VER. 01 - PROGETTO SISS 1

- ADEMPIMENTI DI SICUREZZA PER I TRATTAMENTI RELATIVI AL SERVIZIO.



Adempimenti di s icurezza per i trattamenti relativ i al Servizio - “Gara

5/2012/LI – Procedura aperta ai sensi del D.Lgs.n.163/2006 per

l ’aff idamento dei servizi di svi luppo e manutenzione, assistenza,

supporto al l’anal is i dei processi/demand management e terr itor io

per la real izzazione dei modell i di e -health del la Regione

Lombardia. COD. SISS 1 – CIG 4186776CD7”;

I l documento è archiviato presso la sede di Insiel Mercato SpA,

Padriciano 99 – Area Science Park – Tr ieste.

CONTRIBUTO DPS DA PARTE DI LOMBARDIA GESTIONE SRL

I l contr ibuto di Lombardia Gestione sr l , in quanto Responsabile di

trattamento di dati in ambito SISS, è contenuto nel documento:

· DPS 2014 -Lombardia Gestione vs LI intitolato.doc - “Contributo al

Documento Programmatico sul la Sicurezza”, approvato i l 24 apri le

2014.

I l documento è archiviato presso la sede di Lombardia Gestione S.r . l ,

v ia don Minzoni , 24 - 20158 Milano.

CONTRIBUTO DPS DA PARTE DI LOMBARDIA INFORMATICA SPA

I l contr ibuto di Lombardia Informatica SpA, in quanto Responsabile

del trattamento di dati in ambito SISS è contenuto nel documento:

· LI -SG-DPS - Rev. 04 – Documento Programmatico su l la Sicurezza –

Edizione 2014 Capitolo “Adempimenti di s icurezza per i trattamenti

relativi al CRS-SISS di cui Lombardia Informatica è RESPONSABILE”.

I l documento è tenuto presso la sede di Lombardia Informatica SpA,

Via T. Taramell i , 26 - 20158 Milano.

CONTRIBUTO DPS DA PARTE DI LUTECH SPA



I l contr ibuto di Lutech SpA, in quanto Responsabile del trattamento

di dati in ambito SISS, è contenuto nel documento:

· Lutech SpA - DPS 2014 (v.09 del documento)

I l documento è archiviato presso l’Uff icio Legale d i Lutech SpA in

Cologno Monzese, via Mozart n. 47

CONTRIBUTO DPS DA PARTE DI SANTER REPLY SPA CON UNICO AZIONISTA

I l contr ibuto di Santer Reply SpA, in quanto Responsabile del

trattamento dati in ambito SISS, è contenuto nel documento:

· Documento Programmatico sul la Sicurezza (DPS) - Santer S.p.A. con

Unico Azionista Al l ' interno del l ' impianto documentale di Santer la sua

col locazione è sul la intranet aziendale (TamTamy).

CONTRIBUTO DPS DA PARTE DI SOPRA GROUP SPA

I l contr ibuto di Sopra Group SpA, in quanto Responsabile del

trattamento dati in ambito SISS, è conservato in originale presso la

sede legale del la stessa Società in Assago, strada 4, palazzo A,

numero 7.

La copia elettronica del documento è conservata nel la Repository

aziendale al l’ indir izzo:

\\Sopra\.scala_DOI.Milano.it\groups\segreteria\Qualità\2012\DPS

La versione aggiornata del documento è la 4.01.

ELENCO TRATTAMENTI

L’elenco dei trattamenti di dati personali di t i tolarità del l’ASL che

sono in carico al le ditte designate responsabil i nel l’ambito SISS, sono

indicati nel l’al legato “DPSS - 407-F-trattam-outsourcing” .



13. Amministratori di sistema ditte designate

I documenti contenenti l ’elenco degli es tremi identif icativi del le

persone f is iche che r ivestono i l ruolo di “Amministratori di s istema”

del le ditte designate responsabil i nel l’ambito SISS sono archiviate in

apposita cartel la in un server aziendale.

Como,

IL DIRETTORE GENERALE

dr. Roberto Bol l ina



ALLEGATI

I seguenti al legati sono parte integrante del documento:

1) elenco trattamenti dati sensibi l i e Responsabil i del trattamento;

2) elenco del le minacce che incombono sui dati ;

3) elenco del le misure a protezione dei dati adottate e da

adottare;

4) elenco trattamento dati aff idati al l’esterno (outsourcing).

DPSS - asl.como.it · al sistema delle deleghe delle funzioni da Titolare a Responsabile, pur nella...

Documents

Transcript of DPSS - asl.como.it · al sistema delle deleghe delle funzioni da Titolare a Responsabile, pur nella...