Link utili | Burlo Intranet

Cari colleghi,

chiunque sia coinvolto nella stesura e fattibilità di un progetto di ricerca in ambito sanitario deve considerare gli aspetti di tutte dei dati personali, come richiesto dalla normativa.

A tal fine è stato approntato un questionario che si configura come valutazione di impatto del trattamento dei dati (DPIA), conforme ai dettami del Regolamento (UE) 2016/679 art. 35, e del D.lgs. 196/2003, art. 110.

Il DPO e l'Ufficio Trattamento dei Dati

NOTA: per la valutazione del rischio è possibile consultare la MATRICE DEI RISCHI

* campo obbligatorio

Quesito

Data di compilazione:

Il presente questionario, una volta compilato, è stampato in pdf, sottoscritto dal PI, validato dal DPO e, infine, approvato dal Titolare (tutti i soggetti con firma digitale)

Nome e Cognome del Compilatore:

Struttura/Servizio del compilatore:*

TITOLO DELLO STUDIO:

Principal Investigator:

Ente capofila del progetto:*

IRCCS Burlo Garofolo ASUGI altro

Dipartimento di riferimento del progetto:*

Struttura/Servizio del progetto:

Richiesta di parere al Data Protection officer (DPO):*

S N

Se sì, parere reso in data

Esito del parere:*

Positivo Positivo con prescrizioni Negativo

Note (parere):

Soggetti interni autorizzati all'accesso ai dati:*

delegati/responsabili
autorizzati

Ruolo dei soggetti interni autorizzati all'accesso ai dati:*

sanitari
amministrativi
tecnici

Soggetti esterni autorizzati all'accesso dei dati:*

titolari autonomi PA
titolari autonomi privati
responsabili (esterni) PA
responsabili (esterni) privati

TRATTAMENTO DEI DATI

Descrizione del trattamento

Obiettivi dello studio:

Breve sintesi del Progetto:

Fasi principali:

Tipologia dei dati raccolti

Modalità di raccolta:*

consultazione cartelle cliniche/documentazione sanitaria
archivi di dati clinici
archivi di test diagnostici
dati di laboratorio
altro

- se è stato tipizzata la voce -ALTRO- specificare:

Supporto utilizzato per il trattamento dei dati:*

formato cartaceo
formato digitale
altro

Note:

Categorie di persone interessate:*

persone sane
pazienti
operatori sanitari
soggetti vulnerabili
altro

- se è stato tipizzata la voce -ALTRO- specificare:

Categorie dei dati trattati:*

dati anagrafici
dati genetic
dati su sulla salute fisica o psichica
informazioni sulla vita sessuale
informazioni sull’orientamento sessuale
informazioni sugli stili di vita e le condizioni socioeconomiche
informazioni su istruzione e formazione professionale
anamnesi lavorativa
informazioni finanziarie correlate all’individuo
informazioni su religione o altre credenze

Condivisione dei dati ( pseudoanonimizzati ovvero anonimi o aggregati):*

S N

- se SI, selezionare uno o più ambiti di comunicazione:*

non applicabile
soggetti privati
soggetti pubblici
persone giuridiche, società di persone o di capitali, imprese individuali
organi costituzionali o di rilevanza costituzionale
amministrazioni dello stato
amministrazioni regionali
enti locali (comuni e province)
associazioni di enti locali
altre amministrazioni ed enti pubblici
organismi del servizio sanitario nazionale
enti pubblici non economici
enti pubblici economici
autorità giudiziaria
società controllanti, controllate e/o collegate
associazioni di imprenditori o di imprese
consulenti e liberi professionisti anche in forma associata
gestori di sistemi informatici centralizzati
altro

- se è stato tipizzata la voce -ALTRO- specificare:

Trasferimento all'estero dei dati ( pseudoanonimizzati ovvero anonimi o aggregati):*

S N

- se SI, selezionare l'area geografica di pertinenza:

Paesi dell’America del centro-nord
Paesi dell’America del sud
Paesi dell’area asiatica
Paesi dell’area africana
Paesi dell’Oceania
Paesi dell’Europa extra UE

-- in quali Paesi specifici?

Fasi del trattamento dei dati (descrizione delle operazioni di trattamento):

1. Raccolta

2. Acquisizione, estrazione:

3. Modifiche:

4. Organizzazione, strutturazione:

5. Consultazione, raffronto, interconnessione, elaborazione:

6. Conservazione:

7. Cancellazione e/o distruzione:

Misure di protezione dei dati

Conservazione dei dati identificativi dei partecipanti:*

S N

- se sì, descrivere le ragioni che giustificano l'esigenza:

Procedure per tutelare i dati degli interessati senza identificarli direttamente:*

adozione di tecniche crittografiche
utilizzo di codici univoci per ciascun partecipante. solo il responsabile della ricerca e i soggetti preventivamente designati autorizzati al trattamento in numero di …, possono (con l’uso di mezzi ragionevoli) collegare i codici all’identità dei partecipanti
altro

- se è stato tipizzata la voce -ALTRO- specificare:

Procedure per anonimizzare o aggregare i dati (anche ex post):*

i dati personali, a seguito della raccolta sono eliminati definitivamente senza la possibilità di risalire ai dati originali
i dati personali sono sostituti da uno o più identificatori, che possono essere utilizzati per un set di dati o per ogni singolo dato con distruzione del dato personale originario
sono distrutti i dati che possono essere idonei a identificare gli interessati e sono conservati i soli dati aggregati
altro

- se è stato tipizzata la voce -ALTRO- specificare:

PRINCIPI, FINALITà E BASI GIURIDICHE

Necessità e proporzionalità

Pertinenza dei dati per le sole finalità della ricerca (minimizzazione):*

S N

- se -NO-, specificare motivazioni e azioni previste:

Integrità ed esattezza

Messa in campo di azioni a garanzia dell'integrità ed esattezza dei dati:*

S N

- se -NO-, specificare motivazioni e azioni previste:

Limitazione alla conservazione

Durata dello studio:

Tempo di conservazione dei dati raccolti:*

completamente anonimizzati distrutti altro

Basi giuridiche

Descrizione delle basi giuridiche del trattamento:

disposizione di legge o regolamento o diritto
ricerca finalizzata di cui all’art. 12 bis d.lgs. 30 dicembre 1992 n.502
istituto di ricerca e cura a carattere scientifico per le attività di assistenza e ricerca dell’ambito di riconoscimento
consenso dell’interessato (esercente la responsabilità genitoriale sul minore)
istanza di consultazione preventiva all’autorità garante per la protezione dei dati personali, ai sensi dell’art. 110, comma 1, del codice d.lgs. n. 196/2003 come modificato dal d.lgs. 101/2018
altro

MISURE A TUTELA DEI DIRITTI DELL'INTERESSATO

Informativa e consenso

Motivi che impediscono la somministrazione dell'informativa e l'acquisizione del consenso:*

Esercizio, da parte dell'interessato dei diritti ex artt 15-22 GDPR

Presenza del percorso aziendale per gestione istanze di esercizio dei diritti degli interessati:*

Misure di sicurezza in essere applicate al trattamento	Sì	No	Non so
Organigramma interno*
Nomina DPO*
Informativa*
Istruzioni scritte ai soggetti autorizzati al trattamento*
Formazione*
Procedure specifiche*
Politica di tutela della privacy*
Distruzione/smaltimento supporti cartacei*
Inventario degli asset*
Misure anti-intrusive (cartellonistica di divieto, portineria, serrature, ...)*
Politiica di cibersecurity (sicurezza informatica)*
Controllo accessi (log)*
Antivirus/firewall*
Politiche di clear screen*
Back-up dei dati*
Crittografia*
Tecniche di anonimizzazione*
Tecniche di pseudoanonimizzazione*
Gestione in sicurezza della documentazione cartacea*
Gestione dell'uso conforme delle postazioni*
Autenticazione attraverso credenziali personali*
Politica per la gestione delle violazioni (data breach)*
Altre misure (da specificare nel campo -NOTE-)*

Note (misure specifiche non presenti in elenco):

MINACCE

Accesso illegittimo ai dati

Principali impatti sugli interessati se il rischio si dovesse concretizzare

Principali minacce che potrebbero concretizzare il rischio

Principali fonti di rischio

Misure fra quelle individuate che contribuiscono a mitigare il rischio

Modifiche indesiderate dei dati

Principali impatti sugli interessati se il rischio si dovesse concretizzare a causa delle modifiche ai dati

Principali minacce che potrebbero consentire la concretizzazione del rischio, in caso di modifica ai dati

Principali fonti di rischio in caso di modifica dei dati

Misure fra quelle individuate che contribuiscono a mitigare il rischio in caso di modifica dei dati

Perdita dei dati

Principali impatti sugli interessati se il rischio si dovesse concretizzare a causa della perdita dei dati

Principali minacce che potrebbero concretizzare il rischio a seguito della perdita dei dati

Principali fonti di rischio in caso di perdita dei dati

Misure fra quelle individuate che contribuiscono a mitigare il rischio in caso di perdita dei dati

Valutazione del rischio (probabilità per impatto, vedi matrice dei rischi)

Rischio basso 0-3, moderato 4-6, elevato 8-12, molto elevato 15-25	0-3	4-6	8-12	15-25
Rischio di perdita dei dati*
Rischio di modifiche indesiderate dei dati*
Rischio di accesso illegittimo*

Classe di rischio risultante (la più elevata)

Capacità di rilevare/intercettare le anomalie	sempre	spesso	mediamente	difficilmente	mai
Rilevabilità della perdita dei dati*
Rilevabilità modifiche indesiderate dei dati*
Rilevabilità per l'accesso illegittimo*

Conferma che non sei un bot risolvendo questa semplice operazione : 8 + 9 =