Dichiarazione sulla protezione dei dati e Regolamento per il tratta- mento
Dichiarazione sulla protezione dei dati e Regolamento per il tratta- mento
Helsana Assicurazioni integrative SA
Versione 1.0 del 12.09.2018
1. Breve panoramica
Stipulando le assicurazioni integrative facoltative le persone possono assicurare importanti prestazioni in Svizzera e all’estero non coperte o coperte solo in parte dall’assicurazione di base. Helsana Assicu- razioni integrative SA (Helsana) offre in tale ambito varie prestazioni, come ad esempio l’assunzione dei costi per la medicina alternativa, occhiali, fitness, igiene dentale, perdita di guadagno in caso di m a- lattia, infortunio o maternità (assicurazione d’indennità giornaliera di malattia), cure e assistenza di lun- ga durata nonché la possibilità di scelta dell’ospedale o del medico. Per la gestione delle assicurazioni integrative, che comprende – a titolo di esempio – la corresponsione di prestazioni o l’incasso dei premi, Helsana tratta dati personali. Per «dati personali» si intendono tutte le informazioni che si riferiscono a una persona (fisica) determinata o determinabile. Si tratta principalmente dei dati di persone assicurate presso Helsana che comunicano a quest’ultima i propri dati personali. Tali dati comprendono anche informazioni concernenti il contatto, come nome, indirizzo o numero di telefono. Per gestire le assicura- zioni integrative Helsana necessita anche di ulteriori dati personali, come data di nascita, numero AVS o di assicurato, nonché di informazioni sullo stato di salute delle persone. Per il corretto trattamento delle prestazioni concernenti la perdita di salario sono necessari anche dati riguardanti l’attività professionale, l’incapacità al lavoro e i piani di trattamento.
Dato che per Helsana è molto importante tutelare questi dati particolarmente degni di protezione, la presente Dichiarazione sulla protezione dei dati fornisce informazioni su:
• chi è responsabile del trattamento dei dati;
• quali dati di quali persone vengono raccolti e trattati;
• come e da chi sono raccolti e trattati i dati;
• per quale scopo e su quale base legale vengono trattati i dati;
• a chi vengono comunicati i dati;
• per quanto tempo vengono conservati i dati;
• quali sono i diritti delle persone interessate.
2. Applicabilità della Dichiarazione sulla protezione dei dati
La presente Dichiarazione sulla protezione dei dati spiega come sono raccolti e successivamente tratta- ti i dati personali da parte di Helsana in relazione alle assicurazioni integrative. Allo stesso tempo, essa funge da regolamento sul trattamento dei dati ai sensi degli artt. 11 e 21 dell’Ordinanza relativa alla legge federale sulla protezione dei dati (OLPD).
dichiarazioni sulla protezione dei dati o condizioni di utilizzo, derivanti dalle circostanze o disciplinati a norma di legge.
3. Titolare del trattamento, responsabile della protezione dei dati
Per la raccolta e il successivo trattamento di dati personali in relazione alla gestione delle assicurazioni integrative, Helsana è il titolare del trattamento (in particolare ai sensi dell’art. 4 cpv. 7 del Regolamento generale sulla protezione dei dati dell’Unione europea [RGPD] e della legge federale sulla protezione dei dati, come pure di eventuali altre disposizioni applicabili nel caso concreto).
Eventuali richieste, pretese o informazioni nell’ambito della legislazione sulla protezione dei dati e con- cernenti Helsana possono essere indirizzate, allegando la copia di un documento di identità, al respon- sabile di Helsana della protezione dei dati all’indirizzo seguente:
Helsana Assicurazioni integrative SA Responsabile della protezione dei dati Xxxxxxx xxxxxxx
0000 Xxxxxx
4. Raccolta, trattamento e utilizzo di dati personali
4.1 Interessati
Helsana raccoglie e tratta i dati personali di
• persone che sono o erano assicurate presso Helsana o un altro assicuratore malattia del grup- po Helsana (ad es. processo di elaborazione delle proposte, esame del rischio compreso);
• persone che vengono indicate in qualità di capofamiglia, pagatore o persona autorizzata (que- ste persone non devono necessariamente essere assicurate presso Helsana);
• partecipanti ai concorsi, alle ricerche di mercato, ai sondaggi di opinione o sul grado di soddi- sfazione condotti da Helsana;
• persone potenzialmente o effettivamente interessate ai prodotti e servizi di Helsana. (Detti collettivamente clienti).
Inoltre, Helsana raccoglie e tratta dati delle persone riportate di seguito:
• fornitori di prestazioni, prestatori di servizi, partner di vendita e altri partner contrattuali e di affari di Helsana (ad es. ditte individuali in caso di indennità giornaliera di malattia) nonché i suoi col- laboratori e i suoi contatti (partner);
• utenti dell’app di Helsana+ assicurati presso Helsana (versione integrale) e di quelli non assicu- rati presso Helsana (versione dimostrativa) (utenti).
• Dati personali e informazioni di contatto: rientrano in questa categoria in particolare, ma non esaustivamente, nome e cognome, sesso, data di nascita, età, stato civile, numero AVS e nu- mero di assicurato, lingue, nazionalità, attinenza cantonale e comunale, indirizzo (e-mail), nu- mero di telefono, dati concernenti lo stato di salute, familiari, ecc.
• Dati in relazione alla comunicazione: rientrano in questa categoria anche la corrispondenza e la comunicazione con Helsana per lettera, e-mail, telefono, portale online per i clienti myHelsa- na o altre modalità (comprese le registrazioni della comunicazione), nonché informazioni con- cernenti il canale di comunicazione preferito, la soddisfazione del cliente, i sondaggi, le newslet- ter, ecc.
• Dati contrattuali: dichiarazione sullo stato di salute, tipo di assicurazione e copertura, tipo ed estensione delle prestazioni, data di entrata e di uscita, sospensioni.
• Dati in relazione al disbrigo delle prestazioni: rientrano in questa categoria, fra l’altro, fornito- ri di prestazioni, diagnosi, rapporti medici, costi delle prestazioni, relazioni bancarie e postali, pagamenti, dati di assicuratori terzi, informazioni in relazione a richieste di chiarimenti, fatture del fornitore di prestazioni, dati sull’incasso, informazioni sulla solvibilità, informazioni sullo stato di salute, datore di lavoro e rapporto di lavoro, circostanze mediche, sociali e specifiche del po- sto di lavoro e relativo bisogno di sostegno, ecc.
• Dati in relazione al calcolo e all’incasso dei premi: oltre ai dati personali e alle informa- zioni sui clienti rientrano in questa categoria segnatamente i premi assicurativi, le fatturazioni dei premi, i dati dell’incasso, le informazioni sulla solvibilità, ecc.
• Dati in relazione a controversie legali: rientrano in questa categoria in particolare i dati con- cernenti ricorsi e divergenze sulle prestazioni o sui relativi contratti, come per esempio regressi e controversie, procedimenti dovuti a reticenza nonché i dati relativi agli atti di procedure giudi- ziarie di autorità e tribunali, ecc.
• Dati in relazione all’utilizzo del portale online per i clienti myHelsana: rientrano in questa categoria in particolare indirizzo IP e altri identificatori (ad es. indirizzo MAC dello smartphone o di computer, cookie), dati di accesso (password comprese), data e durata del rapporto contrat- tuale di assicurazione, data, ora e numero di visite del portale per i clienti, pagine e contenuti consultati, pagine Internet di provenienza.
• Dati in relazione all’utilizzo dell’app Helsana+: rientrano in questa categoria, oltre alle infor- mazioni concernenti il contatto, i dati di accesso (password incluse) e i documenti trasmessi dai clienti a dimostrazione delle attività nonché altre informazioni necessarie per l’esecuzione del programma di bonus (cfr. condizioni d’utilizzo e disposizioni in materia di protezione dei dati per l’app Helsana+).
• Dati in relazione al marketing di prodotti e servizi: rientrano in questa categoria informazioni come iscrizioni/disdette di newsletter, documentazioni ricevute e attività speciali, preferenze e interessi personali, dati socio-demografici, ecc.
• Dati in relazione al case management: oltre ai dati relativi al disbrigo delle prestazioni vengo- no trattati qui anche dati concernenti la situazione personale, familiare e finanziaria dei clienti.
(Detti collettivamente dati del cliente).
Inoltre, Helsana tratta segnatamente le seguenti categorie di dati personali di partner e utenti.
• Dati di fornitori di prestazioni, prestatori di servizi, partner di vendita e altri partner di af- fari nonché informazioni sui loro collaboratori e contatti, in particolare dati di contatto, in- formazioni sulla funzione, sui rapporti avuti con tali persone, informazioni su attività di marketing (ad es. ricevimento di newsletter), informazioni su operazioni commerciali, richieste, offerte, proposte, condizioni e contratti (in particolare in relazione a convenzioni tariffali), informazioni su formazioni e attività professionale, ecc. (dati dei partner).
• Dati di utenti dell’app Helsana+ non assicurati presso Helsana: rientrano in questa catego- ria soprattutto le informazioni di contatto (indirizzo e-mail), la data di nascita, il sesso, i dati di accesso (password incluse) e altre informazioni necessarie per l’esecuzione del programma di bonus (dati dell’utente; cfr. anche le condizioni di utilizzo e le disposizioni in materia di prote- zione dei dati per l’app Helsana+).
Nel quadro della loro relazione di affari i clienti dovranno mettere a disposizione i dati necessari o pre- scritti a norma di legge per allacciare e gestire il rapporto contrattuale e per adempiere i relativi obblighi contrattuali. In linea di principio, senza tali dati Helsana non sarà in grado di stipulare né eseguire il contratto con il cliente in questione. Questo vale per analogia anche per i dati dei partner, nella misura in cui si tratti di rapporti di affari con prestatori di servizi, fornitori, partner di vendita e partner di affari di Helsana; in linea di principio, tali rapporti non possono essere allacciati né gestiti senza informazioni sui loro collaboratori e altri contatti. Altrettanto obbligatoria è la registrazione degli accessi ai servizi richia- mabili tramite xxx.xxxxxxx.xx (sito Internet) (in particolare in relazione al portale per i clienti myHel- sana) e la relativa raccolta dei dati di collegamento (come l’indirizzo IP); tale raccolta avviene automati- camente durante l’utilizzo e non è possibile disattivarla per singoli clienti.
4.2 Fonti dei dati
I dati personali vengono raccolti in primo luogo mediante la comunicazione diretta con i clienti e l’esecuzione del contratto con i clienti (lettere, formulari di contatto e di proposta, e-mail, telefono o in altro modo) come pure nel quadro dell’utilizzo del sito Internet.
Tuttavia, i dati personali possono essere raccolti anche indirettamente, in particolare tramite
• persone e uffici autorizzati dal cliente;
• datori di lavoro dei clienti (ad es. in relazione all’assicurazione d’indennità giornaliera di malat- tia);
• altri assicuratori (malattia) all’interno e all’esterno del gruppo Helsana;
• fornitori di prestazioni;
• fonti di pubblico dominio (ad es. Internet, stampa, media, registri);
• l’acquisto di informazioni complementari da fonti di dati di terzi (ad es. commercianti di indirizzi).
4.3 Responsabile del trattamento dei dati e uffici coinvolti
Per la gestione delle assicurazioni integrative, nel quadro delle attività di trattamento dei dati (attività dati) descritte qui di seguito i collaboratori hanno accesso ai dati necessari per svolgere il proprio com- pito specifico:
• gestione dei canali di vendita e sostegno alle vendite;
• sviluppo dell’offerta;
• attività con nuovi clienti;
• servizio clienti;
• amministrazione contratti;
• management delle prestazioni;
• acquisto prestazioni;
• assicurazione del personale;
• scienze della salute;
• incasso, finanze, attuariato;
• audit, risk, legal e compliance;
• management IT e gestione sicurezza dati;
• fondazione di previdenza per il personale;
• acquisti.
A garantire il rispetto delle disposizioni delle direttive e dei regolamenti per il trattamento dei dati in rela- zione alle attività dati presso Helsana sono i cosiddetti process owner. Questi devono garantire che tutti i dati della loro applicazione vengano messi a disposizione solo nell’ambito definito dalla legge e dal contratto.
4.4 Decisioni singole automatizzate
Per le assicurazioni integrative vengono prese da Helsana nel quadro della stipulazione del contratto e del disbrigo delle prestazioni decisioni singole automatizzate.
Se una persona fornisce dati concernenti lo stato di salute attraverso la proposta d’assicurazione, si verifica con l’ausilio di un software se sono stati indicati eventuali aspetti pregressi concernenti lo stato di salute. Qualora non siano presenti tali indicazioni la stipulazione e la stesura della polizza avvengono in maniera automatizzata.
Lo stesso vale se i clienti o i fornitori di prestazioni presentano a Helsana una fattura. In tali casi, la veri- fica per appurare se la prestazione richiesta rientra nel catalogo delle prestazioni stabilite nel contratto nonché la decisione concernente il fatto che sussista o meno un diritto alla prestazione avvengono in modo automatizzato. Se in relazione a una procedura di incasso è stato avviato un procedimento di esecuzione (decisione automatizzata se recesso dal contratto o procedimento di esecuzione), gli ulte- riori passi (domanda di continuazione, domanda di fallimento, domanda di realizzazione, ecc.) sono automatizzati, in quanto questi vengono attivati allo spirare del termine corrispondente qualora il debito non sia ancora stato pagato.
4.5 Profilazione
Presso Helsana, i dati personali sono trattati in maniera automatizzata per valutare determinati aspetti personali che si riferiscono a persone fisiche (profilazione) segnatamente nei settori seguenti o per gli scopi seguenti:
• attività di vendita e sondaggi fra i clienti, come pure management delle offerte;
• profili concernenti la solvibilità e lo stato di salute per il processo di proposta dell’assicurazione;
• analisi del comportamento di pagamento e dei costi;
• valore scoring (contributo di copertura costi/premio e simili).
Helsana analizza secondo determinati criteri i dati ottenuti da diverse fonti, in particolar modo allo scopo di stabilire quali prodotti potrebbero interessare determinate persone o di sviluppare prodotti ad hoc per soddisfare le esigenze specifiche di determinate persone.
5. Scopo e basi legali del trattamento dei dati
5.1 Dati dei clienti
I dati dei clienti vengono raccolti innanzitutto ai fini dell’ordinaria gestione delle assicurazioni integrative conformemente ai seguenti scopi:
• eseguire l’esame del rischio;
• stabilire il diritto alle prestazioni, nonché calcolare, versare e coordinare le prestazioni con quel- le di altre assicurazioni;
• calcolare e riscuotere i premi;
• far valere una pretesa di regresso nei confronti di terzi responsabili;
• allestire statistiche.
Inoltre, i dati di clienti servono anche ai seguenti scopi:
• tutela di clienti, collaboratori e altre persone specialmente in caso di minacce concernenti i col- laboratori, protezione dei dati, dei segreti e dei valori patrimoniali affidati a Helsana, nonché si- curezza dei sistemi e degli edifici di Helsana;
• in relazione ai servizi offerti, alla stipulazione e all’esecuzione di contratti, alla cura e allo svilup- po delle relazioni con i clienti, alla comunicazione, al servizio e al supporto clienti, a promozioni, pubblicità e marketing (compresi la newsletter e l’invio di materiale pubblicitario);
• amministrazione, esercizio e perfezionamento del sito Internet (compresa la messa a disposi- zione di funzionalità che presuppongono identificatori o altri dati personali) e di ulteriori sistemi informatici, controlli di identità;
• rispetto dei criteri legali e normativi nonché delle regole interne di Helsana, esercizio e messa in atto di vari diritti, difesa da pretese legali, processi civili, ricorsi, lotta agli abusi, per scopi con- cernenti inchieste o procedimenti legali e per rispondere alle richieste di informazioni da parte delle autorità;
• controllo di qualità, ricerca di mercato, perfezionamento di prodotti e servizi, allestimento di sta- tistiche, ulteriore sviluppo delle disposizioni dell’Underwriting, preventivi, registrazioni e informa-
zioni per il management e altri rapporti su clienti, operazioni, attività, offerte e su qualsiasi altro aspetto commerciale di Helsana ai fini della gestione e dello sviluppo dell’azienda, della sua of- ferta e delle sue attività, project management;
• vendita o acquisto di settori aziendali, società o parti di società e altre operazioni di diritto socie- tario nonché il relativo trasferimento di dati dei clienti;
• per altri scopi, se un obbligo legale richiede il trattamento o al momento della raccolta dei dati tali scopi erano riconoscibili od opportuni in considerazione delle circostanze.
(Detti collettivamente scopo di elaborazione dei clienti).
Helsana utilizza i dati dei clienti a scopo di elaborazione dei medesimi in virtù delle basi legali seguenti:
• adempimento del contratto;
• adempimento di un obbligo legale di Helsana;
• autorizzazione del cliente (solo nella misura in cui il trattamento avviene a motivo di una richie- sta concreta, che può essere revocata in qualsiasi momento, ad esempio per ricevere una new- sletter a cui il cliente si è iscritto);
• legittimi interessi di Helsana, in particolare
o protezione efficiente ed efficace di clienti, collaboratori e altre persone nonché prote- zione di dati, segreti e valori patrimoniali di Helsana e di quelli che le sono stati affidati, sicurezza dei sistemi e degli edifici di Helsana;
o rispetto dei criteri legali e normativi e delle regole interne di Helsana;
o assistenza efficiente ed efficace dei clienti, cura dei contatti e altre comunicazioni con i clienti anche al di fuori dell’esecuzione del contratto;
o mantenimento e organizzazione sicura, efficiente ed efficace dell’esercizio dell’azienda, compreso un esercizio sicuro, efficiente ed efficace e il buon esito di un ulteriore sviluppo del sito Internet e di altri sistemi informatici;
o vendita e fornitura di prodotti e servizi anche in relazione a persone che non sono diret- tamente partner contrattuali (come ad es. beneficiari);
o conduzione e sviluppo razionale dell’azienda;
o comprensione di comportamenti, attività, preferenze ed esigenze dei clienti, studi di mercato;
o miglioramento efficiente ed efficace dei prodotti e servizi esistenti e sviluppo di nuovi prodotti e servizi;
o realizzazione di pubblicità e marketing;
o esercizio del sito Internet e di altri sistemi di Helsana;
o buon esito della vendita o dell’acquisto di settori aziendali, società o parti di società e altre operazioni di diritto societario;
o interesse a impedire truffe, xxxxxxx e reati nonché alle indagini in relazione a tali reati e altri comportamenti inopportuni, trattamento di azioni legali e procedimenti nei confronti di Helsana, partecipazione a procedimenti legali e collaborazione con autorità nonché qualsiasi rivendicazione, esercizio o difesa di diritti legali.
5.2 Dati dei partner
Nella misura consentita dalle disposizioni applicabili in materia di protezione dei dati, Helsana può trat- tare i dati dei partner in particolare ai fini della stipulazione e dell’esecuzione di contratti e di altri rapporti di affari con i partner, promozioni, pubblicità e marketing, comunicazione, invito a eventi e partecipazio- ne ad azioni per i partner, svolgimento di attività congiunte, rispetto dei criteri legali e normativi nonché delle regole interne di Helsana, esercizio e messa in atto di vari diritti, difesa da pretese legali, processi civili, ricorsi, lotta alle frodi e agli abusi, per scopi concernenti inchieste o procedimenti legali e per ri- spondere alle richieste di informazioni da parte delle autorità, per la vendita o l’acquisto di settori azien- dali, società o parti di società e altre operazioni di diritto societario con il relativo trasferimento di dati dei partner. Ciò avviene adottando gli stessi criteri spiegati precedentemente per i dati dei clienti.
5.3 Dati dei clienti Helsana+
Nella misura consentita dalle disposizioni applicabili in materia di protezione dei dati, Helsana può trat- tare i dati dei clienti in particolare ai fini del funzionamento e dell’ulteriore sviluppo dell’app Helsana+ (messa a disposizione di funzionalità che presuppongono identificatori o altri dati personali), delle valu- tazioni statistiche dell’uso dell’app Helsana+ e della lotta agli abusi e ai fini delle inchieste o procedi- menti legali nonché della risposta alle richieste di informazioni da parte delle autorità. Ciò avviene adot- tando gli stessi criteri spiegati precedentemente per i dati dei clienti.
6. Comunicazione dei dati a terzi
6.1 Obbligo del segreto
Tutti i collaboratori di Helsana sottostanno all’obbligo del segreto (art. 35 LPD). I collaboratori sono in- formati sulle sanzioni e inoltre quando entrano in servizio presso Helsana firmano una dichiarazione di segretezza e sull’obbligo del segreto.
6.2 Eccezioni all’obbligo del segreto
Le eccezioni all’obbligo del segreto sono applicabili conformemente al contratto assicurativo, alle procu- re e qualora sussista un interesse privato legittimo e preponderante in particolar modo al trattamento di dati personali da parte di
• terzi su mandato di Helsana;
• altri terzi, se nel caso concreto la persona interessata ha dato il suo consenso scritto oppure non è possibile chiedere il consenso o in base alle circostanze il consenso si può presumere, in quanto nell’interesse della persona assicurata;
• altri organi dell’assicurazione malattia o sociale, se necessario per adempiere i propri compiti legali o se sussiste un obbligo legale di rendere noti i dati;
• autorità, tribunali e pubblici uffici (ad es. in relazione all’imposta alla fonte, alle statistiche della Confederazione, a una denuncia penale e all’impedimento di un un reato o all’incasso dei pre- mi).
I dati impersonali possono essere resi noti se ciò corrisponde a un interesse preponderante. Purché sia garantito l’anonimato delle persone interessate, è consentito pubblicare i dati di interesse generale.
6.3 Categorie di terzi
Nella misura in cui le disposizioni applicabili di legge (sulla protezione dei dati) lo consentono, Helsana può trasmettere i dati dei clienti, dei partner e degli utenti alle seguenti categorie di terzi che trattano i dati personali per il rispettivo scopo specifico su mandato di Helsana o per propri scopi:
• interessati (in particolare assicurati) e terzi da questi delegati;
• capofamiglia del contratto (se indicato) per quanto concerne i dati dei familiari coassicurati;
• altri assicuratori (malattia) al di fuori del gruppo Helsana;
• organizzazioni di categoria, federazioni, organizzazioni e altri organismi;
• fornitori di prestazioni, ufficio dell’ombudsman;
• prestatori di servizi (all’interno e all’esterno del gruppo Helsana), ivi compresi i responsabili del trattamento su mandato;
• fornitori, partner di vendita e altri partner di affari;
• acquirenti o interessati all’acquisto di settori aziendali, società o altre parti di Helsana;
• media;
• pubblico, ivi compresi i visitatori di siti Internet e media sociali di Helsana;
• autorità e pubblici uffici locali, nazionali o esteri (in particolare organi della Confederazione e dei Cantoni, uffici AI, ecc.);
• altre parti in procedimenti legali possibili o reali.
7. Trasmissione di dati all’estero
Helsana può trasmettere i dati di clienti, partner e utenti all’interno di Helsana, come pure a terzi in qualsiasi Paese del mondo, in particolare in tutti i Paesi in cui i prestatori di servizi di Helsana trattano i suoi dati (segnatamente nei Paesi Bassi, in Irlanda, in Germania, a Dublino, ecc.). Se i dati sono tra- smessi in un Paese senza un’adeguata protezione dei dati, Helsana garantisce una protezione adegua- ta ricorrendo a sufficienti garanzie contrattuali, segnatamente sulla base di clausole contrattuali tipo dell’UE, Binding Corporate Rules o basandosi sulle eccezioni del consenso, dell’esecuzione del contrat- to, dell’accertamento, dell’esercizio o della rivendicazione di pretese legali, dell’interesse pubblico pre- ponderante, dei dati pubblicati da clienti, partner o utenti o perché necessario per tutelare l’incolumità delle persone in questione. Inviando la copia di un documento ufficiale di identità all’indirizzo di contatto sopra indicato (cfr. 3), il cliente, il partner o l’utente può chiedere una copia delle garanzie contrattuali o sapere dove si può ritirare una tale copia. Helsana si riserva il diritto di annerire alcune parti di tali copie per motivi di protezione dei dati o di segretezza.
8. Conservazione dei dati
In linea di principio, Helsana archivia i dati di clienti, partner e utenti relativi ai contratti per la durata del rapporto contrattuale e per dieci anni oltre la fine del rapporto contrattuale, se nel caso concreto non vige l’obbligo legale di un’archiviazione più lunga o più breve, se è necessario a titolo di prova o se in base a un altro diritto applicabile sussiste un motivo valido per un’eccezione o è indicata una cancella- zione anticipata (segnatamente perché i dati non servono più o Helsana è obbligata a cancellarli).
Per i dati aziendali contenenti dati di clienti, partner o utenti (ad es. protocolli, log) si applicano in linea di principio termini di archiviazione più brevi, di 13 mesi al massimo.
I documenti aziendali, comunicazioni comprese, vengono conservati per tutto il tempo in cui Helsana è interessata agli stessi (per esempio, in particolar modo, se interessano come prova in caso di pretese, documentazione del rispetto di determinate prescrizioni legali e altre prescrizioni o se vi è un interesse a un’analisi impersonale) o è obbligata a farlo (per contratto, per legge o in base ad altre prescrizioni). Restano riservati gli obblighi per esempio riguardo all’anonimizzazione o alla pseudonimizzazione dei dati.
9. Collezioni di dati Helsana
9.1 Struttura
La collezione di dati di Helsana è strutturata in base alle attività dati e comprende le categorie seguenti:
• gestione dei canali di vendita e sostegno alle vendite;
• sviluppo dell’offerta;
• attività con nuovi clienti;
• servizio clienti;
• amministrazione contratti;
• management delle prestazioni;
• acquisto prestazioni;
• assicurazione del personale;
• scienze della salute;
• incasso, finanze, attuariato;
• audit, risk, legal e compliance;
• management IT e gestione sicurezza dati;
• fondazione di previdenza per il personale;
• acquisti.
Diverse interfacce, come ad es. MediData, consentono il contatto diretto con prestatori di servizi e forni- tori di prestazioni esterni, ad es. per la fatturazione diretta del fornitore di prestazioni con Helsana. Esi- ste inoltre un’interfaccia con la quale determinati fornitori di prestazioni possono verificare online la co- pertura assicurativa di un assicurato. La protezione dei dati e la relativa sicurezza vengono garantite attraverso un’efficace procedura di autenticazione nonché con moderne tecnologie di cifratura e tra- smissione.
9.2 Utilizzo e accesso ai dati
9.2.1 Persone autorizzate all’accesso
Alla collezione di dati di Helsana hanno diritto ad accedere:
• collaboratori di Helsana, se ciò è necessario per svolgere il proprio incarico;
• sistemisti di Helsana;
• prestatori di servizi cui sia stato conferito un mandato contrattuale;
(detti collettivamente persone autorizzate all’accesso).
9.2.2 Gestione delle persone autorizzate all’accesso
Della gestione delle persone autorizzate all’accesso si occupa in modo centralizzato l’IT di Helsana. I collaboratori interni vengono registrati attraverso l’interfaccia HR e quelli esterni attraverso il rispettivo sourcing. Le nuove identità e i rispettivi account vengono registrati solo se esiste un contratto di lavoro o un contratto di servizi valido.
9.2.3 Autorizzazione personale di accesso
Con l’entrata in servizio presso Helsana, ogni collaboratore riceve le sue autorizzazioni di accesso alle informazioni in base al modello dei ruoli, secondo la funzione assegnatagli. Tutti gli altri diritti necessari devono essere richiesti individualmente. A tal fine è necessario che ogni richiesta venga confermata dal superiore diretto e anche, secondo il ruolo di autorizzazione, dall’approvatore del ruolo.
9.2.4 Revoca dell’autorizzazione di accesso
L’autorizzazione di accesso alla collezione di dati di Helsana è valida soltanto finché il collaboratore in questione necessita dei dati per svolgere la propria funzione lavorativa. Se il collaboratore lascia l’azienda o assume nuove mansioni all’interno di Helsana, le autorizzazioni di accesso vengono revoca- te e le autorizzazioni di accesso necessarie per lo svolgimento delle nuove mansioni vengono assegna- te mediante il modello dei ruoli.
9.2.5 Formazione delle persone autorizzate all’accesso
Le persone autorizzate all’accesso seguono corsi di formazione per le diverse applicazioni e i diversi sottosistemi.
9.2.6 Manuali e direttive sul trattamento dei dati per le persone autorizzate all’accesso
Per i sottosistemi sono disponibili apposite documentazioni. Il trattamento di dati viene definito inoltre nelle direttive, nei regolamenti e nei manuali sulle prestazioni nonché nelle liste. Questi vengono ag- giornati regolarmente dalle unità organizzative competenti.
Le gestioni specialistiche delle unità organizzative competenti creano, mediante istruzioni specifiche, un livello di valutazione delle prestazioni uniforme per tutto il territorio assicurativo della Svizzera.
9.2.7 Prestatori di servizi informatici
Se l’esercizio della collezione di dati di Helsana è stato esternalizzato a prestatori esterni di servizi in- formatici, questi si attengono nel proprio settore a regole analoghe.
10. Misure tecniche e organizzative
10.1 Controllo di accesso
Tutti i locali di Helsana in cui vengono elaborati dati personali che necessitano di particolare tutela sono protetti mediante un sistema elettronico o manuale dall’accesso di persone non autorizzate. I responsa- bili tengono un verbale sull’amministrazione delle chiavi e sul controllo elettronico di accesso.
L’incaricato della sicurezza fisica può richiederne la visione o le valutazioni in qualsiasi momento. Le zone protette determinano le misure di sicurezza: le postazioni di lavoro sono protette dall’accesso di terzi non autorizzati. I locali speciali e quelli sensibili, come le sale impianti e i centri di calcolo, sono protetti nel modo seguente:
• i supporti elettronici di dati nei centri di calcolo e i server decentralizzati gestiti dall’IT di Helsana sono protetti applicando maggiori requisiti di sicurezza fisica, affinché l’accesso venga consenti- to esclusivamente a persone appositamente autorizzate;
• i supporti elettronici di dati nei server e nei computer decentralizzati non gestiti dall’IT di Helsa- na sono protetti con misure di sicurezza paragonabili a quelle dei server e dei computer da essa gestiti.
10.2 Controlli dei supporti di dati personali
Le misure a livello informatico consentono di trattare i dati sui supporti elettronici esclusivamente alle persone autorizzate. Solo le persone autorizzate possono accedere alla collezione di dati di Helsana.
10.3 Autenticazione delle persone autorizzate all’accesso
L’accesso ai sottosistemi della collezione di dati di Helsana viene protetto dall’ID utente combinato a una password personale, la cui validità è limitata nel tempo.
10.4 Controllo della comunicazione dei dati
I destinatari a cui vengono comunicati dati personali attraverso dispositivi di trasmissione vengono iden- tificati mediante le interfacce (ad es. consultazioni online della copertura effettuate dai fornitori di pre- stazioni attraverso l’uso della tessera di assicurato).
10.5 Trasmissione di dati
La trasmissione di dati tra i dispositivi terminali e il computer host è protetta dal protocollo di trasmissio- ne.
10.6 Controllo dell’archiviazione
Le persone autorizzate all’accesso ricevono autorizzazioni specifiche per le modifiche dei campi dati di cui hanno bisogno per svolgere i loro compiti.
10.7 Requisiti tecnici dei terminali
L’accesso alla rete interna di Helsana è limitato, protetto e monitorato mediante misure di controllo spe- cifiche. Le reti dei prestatori esterni di servizi informatici sono protette in modo analogo.
10.8 Misure per la protezione dei dati (riservatezza) concernenti i terminali
I terminali sono collocati in zone protette. I dispositivi mobili contengono memorie di dati protette da un’efficace procedura di cifratura con password.
I dati stampati vengono conservati in modo che terze persone (ad es. gli addetti alle pulizie) non possa- no prenderne visione né copiarli. In applicazione di una direttiva interna, questi dati vengono conservati in contenitori chiusi a chiave o smaltiti tramite un distruggidocumenti o Datarec.
10.9 Verbalizzazione
Oltre al controllo degli accessi alla collezione di dati di Helsana mediante la procedura di autorizzazione e la protezione attraverso il riconoscimento dell’ID utente e la password, i singoli sottosistemi dispongo- no di una verbalizzazione del trattamento automatizzato, in modo da poter verificare a posteriori se il trattamento dei dati è avvenuto in conformità agli scopi per cui tali dati sono stati raccolti o comunicati. La verbalizzazione viene effettuata in applicazione dell’art. 10 OLPD: i verbali vengono conservati per 13 mesi in forma adeguata alla revisione. Sono accessibili esclusivamente agli organi incaricati di verifi- care l’applicazione delle disposizioni per la protezione e la sicurezza dei dati e possono essere utilizzati soltanto a questo scopo. Nel caso dei prestatori esterni di servizi informatici, per la verbalizzazione vi- gono le loro regole, in parte simili a quelle menzionate.
10.10 Sviluppo
Le richieste per un ulteriore sviluppo del sistema vengono raggruppate nonché definite, preventivate e realizzate come intervento di manutenzione, piccolo progetto o progetto. La procedura è disciplinata nell’ambito della «procedura progettuale Helsana».
10.11 Assistenza per le persone autorizzate all’accesso e obbligo di comunicazione
Per quanto concerne gli aspetti specialistici, le persone autorizzate all’accesso ricevono supporto dalle gestioni specialistiche dei rispettivi settori. Il supporto tecnico per i dispositivi terminali di dati e la rete viene erogato dall’IT di Helsana o commissionato.
Le persone autorizzate all’accesso sono a conoscenza della classificazione dei livelli di sicurezza della collezione dei dati di Helsana e delle disposizioni concernenti l’uso del sistema e dei relativi dati. Le disposizioni sono descritte nei manuali di istruzioni nella sezione dedicata alla sicurezza dell’informazione. Le persone autorizzate all’accesso sono a conoscenza delle possibili sanzioni in caso di violazioni della sicurezza dell’informazione commesse intenzionalmente o per negligenza.
Tutte le persone autorizzate all’accesso sono tenute a segnalare le seguenti constatazioni al process owner o al rappresentante delle persone autorizzate all’accesso:
• punti deboli e vizi osservati o presunti in materia di sicurezza del sistema;
• misure di sicurezza non attuate o non rispettate;
• eventi imprevisti che possono ripercuotersi sulla sicurezza dell’informazione.
10.12 Vigilanza e responsabilità
I process owner dei sottosistemi controllano che le persone autorizzate all’accesso si attengano alle direttive e al presente regolamento sul trattamento dei dati e i prestatori esterni di servizi informatici alle loro disposizioni contrattuali.
11. Diritti di clienti, partner e utenti
Ogni interessato così come ogni cliente, ogni partner e ogni utente ha nei confronti di Helsana il diritto di ottenere informazioni sui dati personali che lo concernono. Inoltre, questi ha il diritto di esigere da Hel- sana la rettifica, la cancellazione e la limitazione dei propri dati personali come pure di opporsi a un tale trattamento dei dati personali. Se il trattamento dei dati personali si basa su un consenso, tale consenso può essere revocato in qualsiasi momento dalla persona interessata. Negli Stati dell’UE e del SEE in determinati casi la persona assicurata ha il diritto di ricevere i dati generati dall’uso dei servizi online in una forma strutturata, usuale e leggibile da computer, così da poter essere ulteriormente utilizzati e trasmessi. Le richieste relative a tali diritti devono essere inviate per iscritto, allegando la copia di un documento di identità ufficiale, all’indirizzo di contatto (cfr. punto 3). Helsana si riserva di limitare i diritti della persona interessata entro i limiti delle norme legali applicabili, ad es. non fornendo tutte le infor- mazioni richieste o rifiutandosi di cancellarle.
Se Helsana prende automaticamente nei confronti di una singola persona una decisione che produce effetti giuridici che la riguardano o la danneggia notevolmente in modo analogo, la persona in questione può parlare con un collaboratore competente di Helsana e chiedergli un riesame della decisione o esi- xxxx fin dal principio la valutazione da parte di una persona, se il diritto applicabile lo prevede. In tal caso, eventualmente, la persona interessata non può più utilizzare determinati servizi automatizzati. Tale persona viene informata di dette decisioni successivamente o in anticipo in separata sede.
Ogni persona interessata ha il diritto di interporre ricorso presso l’autorità competente per la protezione dei dati. In Svizzera tale autorità è l’Incaricato fed. della protezione dei dati e della trasparenza (xxxx://xxx.xxxxx.xxxxx.xx/xxxxx/xx/xxxx.xxxx).
12. Modifica della Dichiarazione sulla protezione dei dati
Helsana può modificare la presente Dichiarazione sulla protezione dei dati in qualsiasi momento senza preavviso né comunicazione. Si applica sempre la versione attuale pubblicata nel sito Internet.
Se la Dichiarazione sulla protezione dei dati fa parte di un accordo con clienti, partner e utenti, in caso di aggiornamento Helsana può informarli della modifica mediante e-mail o in altro modo idoneo. In as- senza di contestazione entro 30 giorni si ritiene che la nuova Dichiarazione sulla protezione dei dati sia stata accettata. In caso di contestazione, Helsana ha facoltà di disdire l’accordo in via straordinaria e senza preavviso.
* * * * *