Nomina ad Incaricato del Trattamento e Impegno di Riservatezza

EMSy S.r.l. (di seguito "EMSy") gestisce la piattaforma EMSy Events per la raccolta e gestione dei dati sanitari dei partecipanti a eventi sportivi.

In tale contesto, gli operatori sanitari accedono a dati personali di categoria speciale ai sensi dell'art. 9 del Regolamento UE 2016/679 (GDPR): dati relativi alla salute dei partecipanti, comprese condizioni mediche, allergie, farmaci assunti, gruppo sanguigno e note di emergenza.

Ai sensi degli artt. 29 e 32.4 GDPR, nonché dell'art. 2-quaterdecies del D.Lgs. 196/2003 (Codice Privacy italiano, come modificato dal D.Lgs. 101/2018), le persone autorizzate al trattamento devono operare sotto la diretta autorità del titolare/responsabile e sono tenute alla riservatezza.

Con l'accettazione del presente documento, l'operatore sanitario (di seguito "Incaricato") prende atto della propria nomina ad Incaricato del trattamento dei dati personali di categoria speciale presenti nella piattaforma EMSy Events, ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies D.Lgs. 196/2003.

L'Incaricato si impegna a trattare i dati personali dei partecipanti:

a) Esclusivamente per finalità di assistenza sanitaria nell'ambito dell'evento sportivo assegnato, e in nessun caso per finalità personali, commerciali o di ricerca non autorizzata.

b) Solo nei limiti strettamente necessari per l'intervento clinico in corso (principio di minimizzazione, art. 5.1.c GDPR).

c) Accedendo ai dati anamnestici (Break-the-Glass) unicamente in presenza di una necessità clinica reale e documentata, consapevole che ogni accesso è registrato in un log immutabile con timestamp, indirizzo IP e motivazione.

d) Non comunicando i dati dei partecipanti a soggetti non autorizzati, inclusi altri partecipanti, familiari non designati come contatti di emergenza, media, o qualsiasi terzo non coinvolto nell'assistenza diretta.

e) Non esportando, copiando o conservando i dati al di fuori della piattaforma EMSy Events, su dispositivi personali o sistemi non autorizzati.

f) Segnalando immediatamente a EMSy (info@emsy.io) qualsiasi violazione di dati, accesso non autorizzato, smarrimento di dispositivi o qualsiasi evento che possa compromettere la riservatezza dei dati trattati.

L'Incaricato dichiara di essere consapevole che:

a) I dati sanitari dei partecipanti sono dati di categoria speciale ai sensi dell'art. 9 GDPR e godono di protezione rafforzata.

b) Ogni accesso ai dati anamnestici tramite il meccanismo Break-the-Glass è registrato e conservato per 10 anni a fini medico-legali e di accountability.

c) La violazione del presente impegno può configurare illecito civile e/o penale (artt. 167-168 D.Lgs. 196/2003) e comportare la sospensione immediata dell'account sulla piattaforma.

L'impegno di riservatezza resta valido anche dopo la cessazione dell'attività sull'evento o della collaborazione con EMSy.

Non pregiudica gli obblighi di segnalazione previsti dalla legge (es. referti obbligatori all'Autorità Giudiziaria o all'Autorità Sanitaria).

L'Incaricato accetta le istruzioni impartite da EMSy per il trattamento dei dati, incluse le politiche di sicurezza della piattaforma, e si impegna a seguire i corsi di formazione eventualmente predisposti da EMSy in materia di protezione dei dati.

L'accesso ai dati anamnestici dei partecipanti avviene tramite un meccanismo controllato ("Break-the-Glass") che:

- Richiede l'inserimento di una motivazione clinica documentata.

- Genera una sessione di accesso della durata massima di 30 minuti.

- Registra in modo immutabile: identità dell'operatore, timestamp, indirizzo IP, user agent, motivazione dichiarata e identificativo del partecipante.

- Consente il ri-blocco manuale anticipato da parte dell'operatore.

L'Incaricato si impegna a non abusare di tale meccanismo e a utilizzarlo solo in presenza di effettiva necessità clinica.