Carta degli impegni di Relyens in materia di protezione dei dati personali

Presentazione del Gruppo Relyens

Relyens, gruppo mutualistico europeo di riferimento per il settore assicurativo e per la gestione del rischio, specializzato nell’ambito sanitario e territoriale, è organizzato come segue (cliccare qui per consultare l’organizzazione del gruppo Relyens in versione grafica):

Glossario

Dati personali

Si tratta di qualsiasi informazione relativa a una persona fisica identificata o identificabile. Una persona fisica identificabile è una persona che può essere identificata, direttamente o indirettamente, mediante l’incrocio di più informazioni, in particolare, con riferimento ad un identificativo come un nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o ad uno o più fattori specifici dell’identità fisica, fisiologica o genetica di tale persona fisica, psicologica, economica, culturale o sociale.

Dati personali “particolari”

Si intendono i dati che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, ma anche dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute e dati relativi alla vita sessuale o all’orientamento sessuale di una persona fisica (art. 9 GDPR).

Trattamento

Si intende qualsiasi operazione o insieme di operazioni, compiute sui dati personali, con o senza l’ausilio di processi automatizzati, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione.

Pseudonimizzazione e anonimizzazione

La pseudonimizzazione è una tecnica che consiste nel sostituire i dati personali con uno pseudonimo. Ad esempio, in un set di dati, il nome e il cognome di una persona vengono sostituiti da un identificatore: “Norbert Durand” diventa “Client2983-AN”. Per identificare nuovamente “Norbert Durand” a posteriori, è necessario disporre di un file contenente la corrispondenza tra il suo cognome e nome e l’identificatore associato (pseudonimo).

Un set di dati è considerato anonimo se è impossibile identificare nuovamente la persona con qualsiasi mezzo. L’anonimizzazione è irreversibile, mentre la pseudonimizzazione è reversibile, cioè esiste la possibilità di identificare nuovamente la persona incrociando le informazioni o i files.

In breve, l’anonimizzazione offre un livello di protezione superiore rispetto alla pseudonimizzazione.

Titolare del trattamento dei dati

È la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali.

Responsabile del trattamento

È la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.

Interessato

Si tratta della persona fisica identificata o identificabile a cui si riferiscono i dati personali (ad esempio, l’operatore sanitario cliente di Relyens, il beneficiario delle garanzie di Relyens, il rappresentante del cliente di Relyens, ecc.).

Responsabile della protezione dei dati (DPO)

Meglio conosciuto con l’acronimo anglosassone “DPO” (Data Protection Officer), è la persona che all’interno di Relyens ha il compito di garantire il rispetto della normativa sulla protezione dei dati personali. È la persona da contattare per qualsiasi domanda relativa al trattamento dei dati personali effettuato dal Gruppo Relyens nonché per esercitare i diritti previsti dalla normativa (per maggiori dettagli, si veda la sezione dedicata di questa Carta).

Raccolta ed elaborazione dei dati personali presso Relyens

Finalità e basi giuridiche dei trattamenti effettuati dalle società del gruppo Relyens in qualità di titolari del trattamento

I dati personali raccolti dalle società del gruppo Relyens rispondono a finalità specifiche che vengono sistematicamente portate a conoscenza degli interessati.

Inoltre, per essere lecito, qualsiasi trattamento dei dati personali deve basarsi su una base giuridica.

Per le società del gruppo Relyens, tale liceità si basa su una delle seguenti quattro basi giuridiche:

• Esecuzione di misure precontrattuali o contrattuali: Art. 6.1.b) GDPR;
• Il consenso dell’interessato: Art. 6.1.a) GDPR;
• Il legittimo interesse perseguito dalle società del gruppo Relyens: Art. 6.1.f) GDPR;
• Un obbligo legale o regolamentare: Art. 6.1.c) GDPR.

Le principali finalità perseguite dalle società del gruppo Relyens sono:

In alcune situazioni, le società del gruppo Relyens possono agire come responsabili del trattamento  per i loro clienti: è il caso di Relyens Technology Services e QualNet.

Conformità del trattamento dei dati per progettazione e per impostazione predefinita

Le società del gruppo Relyens integrano la protezione della privacy fin dalla fase di progettazione dei loro prodotti e servizi e per tutto il loro ciclo di vita, dalla raccolta dei dati personali alla loro cancellazione o anonimizzazione.

Il Gruppo Relyens si impegna ad applicare di default ai dati personali un livello di protezione che soddisfi i requisiti delle normative applicabili in materia.

Il Gruppo Relyens applica il principio della minimizzazione dei dati a ogni trattamento, che si riflette concretamente come segue:

• Vengono raccolti e trattati solo i dati personali strettamente necessari ai fini del trattamento in questione;
• I dati personali non vengono conservati oltre il tempo necessario per queste finalità (se necessario, vengono cancellati o resi anonimi);
• I dati personali sono accessibili solo ai dipendenti Relyens e ai destinatari autorizzati;
• I dati personali vengono, non appena possibile, pseudonimizzati o addirittura resi anonimi.

Inoltre, prima di intraprendere qualsiasi nuovo progetto che comporti il trattamento di dati personali, viene consultato il DPO della società Relyens interessata, al fine di ottenere le sue raccomandazioni per garantire la sicurezza e la riservatezza dei dati.

Trasparenza e informazione sui trattamenti effettuati

Le società del gruppo Relyens non effettuano alcun trattamento di dati personali senza che gli interessati ne siano informati. Ad esempio, nelle proposte, nei contratti, nei moduli di contatto sul Web, vengono fornite tutte le informazioni richieste dagli artt. 13 -14 GDPR, tra cui (elenco non esaustivo):

• L’identità del Titolare del trattamento;
• Le finalità del trattamento dei dati personali;
• La base giuridica che legittima il trattamento;
• Le categorie di destinatari dei dati;
• Il periodo massimo di conservazione dei dati;
• I diritti dell’Interessato;
• I dati di contatto del DPO.

Categorie di dati personali raccolti

Le categorie di dati personali raccolti dalle società del Gruppo Relyens possono variare a seconda delle finalità del trattamento, del tipo di soggetti interessati e del prodotto o servizio in questione.

A seconda del caso, dunque:

(1) Vedasi la definizione nel glossario. I dati particolari sono dati personali specifici soggetti a protezioni particolari ed il cui trattamento è strettamente regolato da norme.
La liceità del trattamento di categorie speciali di dati personali, in particolare di quelli relativi alla salute, si basa su una delle condizioni di cui all’articolo 9.2 del GDPR.
Per il gruppo Relyens, gli scenari possibili sono i seguenti:

a) l’interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell’Unione o degli Stati membri dispone che l’interessato non possa revocare il divieto di cui al paragrafo 1 dell’art. 9 GDPR;
b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato;

f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;
h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3 dell’art. 9 GDPR.

(2). I dati relativi a condanne penali o reati sono raccolti e trattati principalmente nell’ambito dei contratti relativi alla tutela legale.

(3) I dati particolari diversi da quelli relativi alla salute e alle condanne penali sono raccolti e trattati dal Gruppo Relyens solo in via eccezionale e solo quando la situazione lo giustifica.

Quando i dati personali vengono raccolti direttamente dalle società del gruppo Relyens, viene specificato se le informazioni da fornire sono obbligatorie (generalmente indicate dalla presenza di un asterisco) o facoltative.

Se non vengono fornite alcune informazioni obbligatorie, le società del gruppo Relyens potrebbero trovarsi nell’impossibilità di rispondere ad una richiesta, di elaborare una proposta o un preventivo, di gestire/eseguire un contratto assicurativo o di fornire un servizio.

La tabella seguente specifica, per grandi categorie, i potenziali destinatari dei dati personali delle società del gruppo Relyens (elenco non esaustivo):

Luogo di trattamento dei dati

Le società del gruppo Relyens preferiscono elaborare e conservare i dati personali nell’Unione Europea.

Tuttavia, se il trasferimento di dati personali al di fuori dell’Unione Europea è necessario per eseguire alcuni trattamenti specifici, tale trasferimento viene effettuato solo con paesi con un livello di protezione adeguato. In caso contrario, il trasferimento dei dati personali è soggetto a un quadro tecnico e legale appropriato e previa consultazione con il DPO del gruppo Relyens.
In ogni caso, questo trasferimento sarà effettuato in conformità alle disposizioni del Capitolo V del GDPR intitolato: “Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali“.

A seconda del loro ruolo nel contesto del trattamento, questi destinatari esterni tratteranno i dati come titolari autonomi o come responsabili debitamente nominati dalle società del gruppo Relyens, in conformità con la legislazione sulla protezione dei dati personali.

Durata della conservazione dei dati

Le società del gruppo Relyens si impegnano a stabilire i periodi di conservazione dei dati personali più appropriati in relazione alla finalità del loro trattamento, tenendo conto di eventuali periodi di limitazione legale applicabili.

Quando i dati hanno raggiunto il periodo di conservazione in base al sistema di riferimento definito dal gruppo Relyens, le società del gruppo Relyens li cancellano o li rendono anonimi (un processo che esclude qualsiasi possibilità di re-identificazione dell’interessato).

La seguente tabella indica il periodo massimo di conservazione dei dati personali utilizzati dalle società del gruppo Relyens in qualità di titolari del trattamento (elenco non esaustivo):

(*) Per motivi pratici, data la molteplicità di prodotti e servizi storicamente commercializzati dalle società del gruppo Relyens, non è possibile, nell’ambito della presente Carta, riprodurre in modo esaustivo i diversi periodi di conservazione applicabili, che variano in particolare a seconda del prodotto assicurativo, delle garanzie sottoscritte e del verificarsi o meno di sinistri sul contratto.

Inoltre, i termini di conservazione possono essere prolungati per il tempo necessario a perseguire la tutela di un proprio diritto del titolare.

Per conoscere il periodo di conservazione applicabile a un determinato trattamento dei dati, contattare il DPO della società Relyens interessata.

Sicurezza dei dati in Relyens

Il Sistema Informativo (SI) di Relyens è il cuore del sistema di erogazione dei servizi ai clienti. Questo sistema è costruito per garantire una qualità del servizio efficiente e adeguata.

Relyens dispone di un team di oltre 100 professionisti ed esperti SI che lavorano quotidianamente per gestire e sviluppare continuamente questo Sistema Informativo.

Il Sistema Informativo è costruito su infrastrutture tecniche robuste e sicure, con l’utilizzo di tecnologie moderne e innovative. Queste infrastrutture si basano su apparecchiature che vengono costantemente rinnovate.

L’intera infrastruttura è ospitata in due centri dati transfrontalieri, situati in due località geograficamente distanti. Sulla base di questa infrastruttura ridondante, il piano di continuità operativa viene progettato e testato annualmente per garantire la continuità dei servizi in caso di grave disastro o attacco informatico.

Sia le applicazioni di gestione aziendale che le aree clienti sono sviluppate e gestite internamente e si basano su tecnologie standard e leader di mercato.

Una catena di dematerializzazione di tutta la posta in arrivo permette a Relyens di costruire processi di gestione efficienti.

La sicurezza dell’accesso alle informazioni si basa su una soluzione di autenticazione e controllo degli accessi comprovata e riconosciuta, nonché sulla tracciabilità delle azioni svolte.

Il responsabile della sicurezza IS gestisce un sistema di gestione della sicurezza IS (ISMS) all’interno di Relyens. Questo ISMS si basa su una politica di sicurezza che descrive l’organizzazione e i principi di sicurezza seguiti.  Il monitoraggio continuo viene effettuato attraverso audit interni o esterni e consente di adeguare regolarmente le misure di sicurezza. Le modifiche sono finalizzate al miglioramento continuo dell’ISMS e all’adeguamento delle misure in considerazione dell’evoluzione dei rischi IS.

È in corso il processo di certificazione dell’ISMS in base alla norma ISO 27001.

Un documento più dettagliato sulle tutele messe in atto dal Gruppo è a disposizione su richiesta di clienti e prospect.

Esercitare i propri diritti sui dati personali presso Relyens

Diritti previsti dal GDPR

In conformità alla normativa vigente, gli interessati possono esercitare i seguenti diritti sui propri dati personali:

Esercitare i propri diritti presso Relyens

Le persone che desiderano esercitare uno dei diritti sopra elencati possono contattare il Responsabile della protezione dei dati (DPO) di Relyens, i cui dati di contatto sono indicati di seguito:

(*) Aggiungere @relyens.eu all’indirizzo indicato in questa sezione per ricostituire l’indirizzo e-mail di contatto del DPO (misura anti-spam).

Se la situazione lo giustifica, il Responsabile della protezione dei dati (DPO) può chiedere alla persona che esercita i suoi diritti di fornire un documento di supporto (carta d’identità nazionale, ecc.) per verificare la sua identità.

Se la risposta fornita dal Gruppo Relyens non lo soddisfa, l’interessato ha la possibilità di presentare un reclamo all’autorità di controllo competente (per i dati di contatto, consultare la sezione “Norme sulla protezione dei dati personali” nel preambolo della presente Carta).