Politica
Gli archivi dati e i documenti creati, utilizzati e conservati da TELUS Health, dalle sue società figlie e affiliate (“TELUS Health” o la “Società”) sono fra le risorse più importanti della società. Per archivi dati intendiamo tutti i documenti e gli archivi della società qualunque sia il formato e il supporto, che si tratti di supporti fisici o elettronici, ma anche promemoria, corrispondenza, resoconti, permessi di lavoro, presentazioni ed e-mail (“Archivio dati” o “Archivi dati”).
La finalità della presente politica di gestione degli archivi dati (“Politica”) è definire e stabilire le esigenze in materia di creazione e gestione di archivi dati autentici, affidabili, durevoli e utili al funzionamento della società e alle sue attività. La presente politica permette di assicurare che la Società rispetti le leggi, le normative, gli obblighi legali/contrattuali in materia di documentazione, che operi in modo efficiente, che preservi gli archivi dati legati a procedimenti legali e di altra natura e che li distrugga a tempo debito.
Applicazione
La presente politica è applicata a tutte le aree della società (“Area del Programma”) e a tutti gli archivi dati qualunque sia il formato (per es., archivi dati inviati o ricevuti dagli account di posta elettronica, archivi dati registrati elettronicamente, archivi dati in formato cartaceo, ecc.). Ogni direttore, impiegato, dipendente e appaltatore della società (designati collettivamente con il termine “Personale della società”) ha la responsabilità di garantire di aver compreso e di rispettare la presente Politica.
Oltre a conformarsi alla presente, il personale della società deve rispettare la politica relativa alle informazioni riservate, la politica in materia di classificazione degli archivi dati e dei dati della società, la politica sulla confidenzialità della società e tutte le politiche in materia di sicurezza, ma anche la legislazione in vigore sulla confidenzialità e le condizioni di qualsiasi altro accordo con la società o tra la società, i suoi partner e i clienti. Il termine “Archivio dati” nella presente Politica ha lo stesso significato che il termine “Dati” utilizzato nella Politica sulla classificazione degli archivi dati e dei dati della società.
Requisiti obbligatori
Creazione, gestione ed eliminazione degli archivi dati
Ogni area del programma dovrà, in accordo con i requisiti e le linee guida stabiliti dalla presente politica, creare, gestire ed eliminare gli archivi dati al fine di garantire l’adempimento del programma alle normative e rispondere alle necessità commerciali dell’area del programma in questione. Ogni area del programma deve inoltre garantire l’integrità, l’affidabilità e il reperimento degli archivi dati nel rispetto delle finalità aziendali di tipo legale, finanziario e di altra natura.
Il titolare aziendale per un’area del programma sarà responsabile della creazione, della gestione e dell’eliminazione degli archivi dati.
Classificazioni degli archivi dati
Gli archivi dati devono essere classificati conformemente alle funzioni e alle attività aziendali di ogni area del programma in modo tale da:
- fare in modo che gli archivi dati completi relativi alle decisioni o alle transazioni aziendali siano rapidamente localizzati e ritirati;
- ridurre al massimo la conservazione di duplicati di archivi dati;
- attivare le autorizzazioni dell’utente e la tutela della riservatezza e sicurezza da applicare costantemente e nel modo appropriato; e
- consentire l’applicazione accurata dei requisiti in materia di conservazione.
Nel classificare gli archivi dati, il personale della società deve conformarsi alla politica in materia di classificazione degli archivi dati e dei dati della società e alla politica e alle norme in materia di sicurezza delle informazioni.
Stoccaggio e gestione degli archivi dati
Gli archivi dati devono essere conservati in depositi comuni e gestiti da ogni area del programma in modo tale che:
- possano essere efficientemente localizzati, identificati e ritirati in caso di necessità;
- vengano applicate in modo coerente ed esauriente tutte le norme di sicurezza relative all’accesso, alla modifica e all’eliminazione;
- i duplicati non necessari vengano eliminati; e
- venga attivata un’eliminazione efficiente, compreso il trasferimento verso gli archivi e il luogo di stoccaggio, conformemente ai requisiti in materia di conservazione.
Conservazione ed eliminazione degli archivi dati
Il personale della società deve conservare gli archivi dati entro un’area del programma solo per la durata necessaria ai fini di un’attività legittima e con una finalità giuridica. Ciò, tenendo conto della legislazione applicabile e dei requisiti normativi nonché delle condizioni degli accordi con la società o tra la società, con i suoi partner e i suoi clienti.
I titolari della società devono assicurarsi che gli archivi dati relativi alle diverse aree del programma vengano gestiti, conservati ed eliminati secondo i requisiti del programma applicabile di conservazione degli archivi dati (“Programma”).
Come stipulato nel programma applicabile, i requisiti in materia di conservazione degli archivi dati sono determinati di concerto con gli esperti in materia per ogni area del programma sulla base:
- delle esigenze aziendali;
- degli obblighi giuridici e normativi specifici agli archivi dati;
- degli impegni contrattuali;
- del bisogno di garantire la responsabilità rispetto alle attività e alle decisioni documentate dagli archivi dati; e
- dei diritti e degli interessi di altre parti interessate alla salvaguarda dei contenuti degli archivi dati.
Gli archivi dati in possesso della società, comprese le aree rispettive del programma, possono essere soggetti a:
- Procedimenti giudiziari; e
- Richieste di accesso ai sensi della legislazione in vigore e dei requisiti normativi e in conformità con le condizioni di tutti gli altri accordi con la Società o tra la società, i suoi partner e i suoi clienti.
Quando una richiesta viene ricevuta ai sensi delle norme di cui sopra, il personale della società deve preservare e produrre tutti gli archivi dati pertinenti e conformarsi ai requisiti definiti nella sezione relativa alla conservazione a fini giuridici della presente politica.
Conservazione degli e-mail
Gli archivi dati creati, inviati o ricevuti attraverso l’account di posta elettronica, compresi gli e-mail stessi, sono soggetti alla presente politica.
Prima che un account di posta elettronica venga disattivato o cancellato, gli archivi dati creati, inviati o ricevuti mediante l’account di posta elettronica devono essere gestiti in accordo con i requisiti di cui sopra.
Questi tipi di archivi dati non devono essere registrati sui supporti seguenti: hard disk di un personal computer, dispositivo del portale o dispositivi amovibili, unità di rete personale o spazio di lavoro elettronico, account di posta elettronica e, nel caso di archivi su supporti fisici, spazio di stoccaggio file fisico.
Archiviazione e stoccaggio di dati
Le copie cartacee degli archivi dati che non richiedono più un accesso immediato come una registrazione delle attività, ma che devono essere ancora mantenute per il tempo di conservazione restante, dovranno essere archiviate. Il personale della società deve contattare il reparto servizi della società o la gestione regionale per accordarsi sull’archiviazione dei dati presso un centro di stoccaggio della società esterno al sito. Nell’accordarsi sullo stoccaggio esterno, il personale della società deve indicare una data di distruzione dell’archivio dati affinché questi ultimi possano essere eliminati.
Conservazione a fini giuridici
Gli archivi dati relativi a procedimenti giurisdizionali pendenti o previsti, ad audit o indagini dovranno essere preservati. Qualsiasi archivio dati, in versione finale o ufficiale, può essere soggetto a una “conservazione a fini giuridici”. Il personale della società ricevente dall’ufficio legale, dal reparto di gestione dei rischi e da quello responsabile della confidenzialità o da altra provenienza, una notifica secondo la quale alcuni archivi dati sono soggetti a una conservazione a fini giuridici, dovrà immediatamente assicurarsi che tutti gli archivi dati soggetti a tale esigenza siano protetti e conservati nel modo descritto nell’informativa sulla conservazione a fini giuridici. Qualora il personale della società venisse a conoscenza di un procedimento legale in corso o previsto, che si tratti di un audit o di un’inchiesta o di una citazione, dovrà proteggere e conservare tutti gli archivi dati che potrebbero essere pertinenti e notificarli all’ufficio legale, al dipartimento rischi e al reparto preposto alla protezione della privacy.
In nessuna circostanza, il personale della società dovrà alterare, distruggere od occultare archivi dati relativi a procedimenti legali in corso o previsti, ad audit o a inchieste. Una tale azione potrebbe avere ripercussioni negative concrete sul procedimento legale, sull’audit o sull’inchiesta. L’alterazione, la distruzione o l’occultamento non autorizzato degli archivi dati potrebbero esporre il personale della società ad azioni disciplinari e persino alla cessazione del contratto e a passività per responsabilità giuridica.
Esame annuale degli archivi dati
Il personale della società deve riesaminare tutti gli archivi dati della società, e-mail compresi, in suo possesso, regolarmente e almeno una volta l’anno. Nel far ciò, il personale della società dovrà identificare gli archivi dati da eliminare per scadenza della durata di conservazione prevista e conservare quelli soggetti a una conservazione a fini giuridici o necessari ad audit o inchieste.
Distruzione degli archivi dati
Gli archivi dati verranno distrutti in funzione dei criteri seguenti:
- gli archivi dati sono già stati utilizzati allo scopo previsto; e
- il periodo di conservazione applicabile è scaduto; e
- Il personale della società che gestisce gli archivi dati ha confermato per iscritto che essi non sono soggetti ad alcuna conservazione a fini giuridici.
Domande e conformità
Qualsiasi domanda relativa alla conservazione dei dati che non trovi risposta nella presente politica, dovrà essere posta direttamente all’ufficio giuridico, al servizio di gestione rischi e al reparto responsabile della tutela della vita privata che fornirà istruzioni di concerto con gli esperti dell’area del programma al quale si riferisce l’archivio dati.
Qualsiasi domanda in materia di archiviazione e distruzione degli archivi dati su supporto fisico (per es., cartaceo) dovrà essere rivolta al dipartimento servizi interni o alla gestione regionale.
La presente politica sera rivista periodicamente e modificata se necessario dall’ufficio legale, dal dipartimento di gestione dei rischi e dal reparto dedicato alla tutela della vita privata affinché si possa tener conto di qualsiasi cambiamento nelle leggi, norme ed esigenze commerciali.