OCHRONA DANYCH OSOBOWYCH

OCHRONA DANYCH OSOBOWYCH

Ochrona Państwa danych osobowych jest dla nas sprawą najwyższej wagi.

W związku z tym dokładamy wszelkich starań, aby czuli się Państwo bezpiecznie powierzając nam swoje dane osobowe przy korzystaniu z naszych usług.
Niniejszy tekst wyjaśnia zasady i zakres przetwarzania przez nas danych osobowych, przysługujące Państwu prawa i nasze obowiązki jako administratora danych. Ma on charakter informacyjny, co oznacza, że nie jest źródłem Państwa obowiązków (nie jest umową ani regulaminem).

1. DEFINICJE

W celu lepszego poznania całości procesu przetwarzania danych osobowych prosimy o zapoznanie się z kilkoma definicjami:

RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE;

 

Administrator danych osobowych (ADO) – oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; podmiot decydujący o celach i środkach przetwarzania danych osobowych;

 

Inspektor ochrony danych (IOD) – osoba fizyczna wspierająca administratora danych w realizacji obowiązków dotyczących ochrony danych osobowych;

 

Dane osobowe – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną,
genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

 

Dane dotyczące zdrowia – oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia;

 

Dokumentacja medyczna – dokumentacja medyczna, o której mowa w przepisach ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz wydanych na jej podstawie aktach wykonawczych, a także określona w przepisach odrębnych;

 

Przetwarzanie danych – oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

 

Pacjent – osoba zwracająca się o udzielenie świadczeń zdrowotnych lub korzystająca ze świadczeń zdrowotnych udzielanych przez podmiot udzielający świadczeń zdrowotnych lub osobę wykonującą zawód medyczny;

 

Kontrahent – osoba fizyczna lub osoba prawna będąca stroną transakcji, partnerem biznesowym, dostawcą towaru/usług;

2. ADMINISTRATOR DANYCH OSOBOWYCH

Administratorem Państwa danych osobowych jest RehaKlinika Sp. z o.o. z siedzibą przy ul. Herbowej 26, 35-317 Rzeszów; NIP: 8133760406; KRS: 0000702446.

3. INSPEKTOR OCHRONY DANYCH

Inspektorem ochrony danych jest Iwona Rokita, e-mail: rokita.rodo@op.pl, do której należy kierować zapytania dotyczące sposobu i zakresu przetwarzania danych osobowych oraz przysługujących Państwu praw.

5. NASZE ZASADY

Zgodnie z RODO w RehaKlinice przestrzegamy następujących zasad:

Zasada rzetelności i legalności

Dane przetwarzane są uczciwie i zgodnie z prawem. Zapewniamy, że dane osobowe przetwarzane są w zgodzie z RODO (poprzez zapewnienie podstaw prawnych przetwarzania danych i realizację praw pacjentów) oraz wszystkimi przepisami regulującymi funkcjonowanie naszego podmiotu.

Zasada przejrzystości

Staramy się, aby przetwarzanie danych osobowych było dla Państwa zrozumiałe. Uwzględniamy potrzeby i
oczekiwania pacjentów.

Zasada ograniczenia celu

Wszystkie dane osobowe gromadzimy w oznaczonych celach i nie przetwarzamy ich w sposób niezgodny w tymi celami. Nie zbieramy danych „na zapas”, dla przyszłych nieoznaczonych jeszcze celów.

Zasada minimalizacji danych

Zebrane dane są adekwatne do celu, który chcemy osiągnąć. Wszystkie dane niezbędne dla prawidłowej diagnozy i procesu leczenia, nawet jeśli mają posłużyć do jego osiągnięcia w przyszłości (w tym dane zebrane podczas wywiadu medycznego), będą poprawne. Administrator zapewnia również, że zasada minimalizacji danych uwzględniona będzie także we wszystkich procesach tworzenia nowych produktów, usług i systemów, tak by domyślnie ograniczać ilość  zbieranych danych, zakres ich przetwarzania oraz okres ich przechowywania.

Zasada poprawności danych

Zgodnie z tą zasadą wszelkie dane osobowe będą prawidłowe i aktualne. Podejmujemy więc starania, by informacje, które przetwarzamy, były zgodne z prawdą i aktualne, a w razie potrzeby sprostowane lub usunięte.

Zasada ograniczenia przetwarzania

Nie przechowujemy dane przez okres dłuższy, niż jest to niezbędne do realizacji celu, dla którego dane te zostały
zebrane. W praktyce funkcjonowania RehaKliniki okres przechowywania danych będzie ściśle określony przepisami regulującymi przechowywanie dokumentacji medycznej.

Zasada integralności i poufności

Dbamy o bezpieczeństwo danych osobowych i przetwarza je w sposób uniemożliwiający dostęp osobom nieupoważnionym, np. poprzez stosowanie szyfrowania danych oraz zapewniający ochronę przed przypadkową utratą, zniszczeniem lub uszkodzeniem.

Zasada rozliczalności

Zgodnie z tą zasadą, odpowiadamy za przestrzeganie wszystkich powyższych zasad i jesteśmy w stanie to wykazać. Rozliczalność oznacza wdrożenie przez nas odpowiednich środków gwarantujących wysoki poziom ochrony danych oraz sporządzenie stosownej dokumentacji pokazującej, w jaki sposób przestrzegane są obowiązki wynikające z RODO.

6. ZARZĄDZANIE BEZPIECZEŃSTWEM DANYCH OSOBOWYCH

W celu sprawowania kontroli nad Państwa danymi osobowymi wprowadziliśmy procedury umożliwiające monitorowanie wszelkich czynności wykonywanych na danych.

Kontrola przetwarzania danych osobowych w RehaKinika Sp. z o.o. polega przede wszystkim na:

a) inwentaryzacji zasobów

b) określeniu, jakie obowiązki, w związku z przetwarzaniem powyższych danych, nakłada na administratora danych osobowych RODO;

c) analizie ryzyka;

d) prowadzeniu audytów ochrony danych osobowych, podczas których sprawdzany jest niezbędny zakres zbieranych informacji, adekwatność i stosowanie procedur, środki ochrony technicznej;

e) przeglądzie upoważnień dostępu do danych osobowych (w szczególności upoważnień do przetwarzania danych osobowych w formie papierowej lub elektronicznej, nadanych osobom zatrudnionym w RehaKinika Sp. z o.o. w związku z realizacją ich obowiązków służbowych);

f) przeglądzie uprawnień dostępu do danych osobowych (w szczególności zakresu uprawnień osób zatrudnionych w RehaKinika Sp. z o.o. do określonych baz danych lub modułów w wykorzystywanych aplikacjach, programach bądź systemach  informatycznych).

7. REALIZACJA UPRAWNIEŃ OSÓB, KTÓRYCH DANE OSOBOWE SĄ PRZETWARZANE

1. RehaKlinika ułatwia osobie, której dane dotyczą wykonanie praw przysługujących jej na mocy art. 15-22 RODO.

2. Administrator nie zrealizuje ww. praw w przypadku gdy nie będzie w stanie zidentyfikować osoby, której dane dotyczą.

3. W przypadku gdy administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, zażąda od tej osoby dodatkowych informacji potwierdzających tożsamość.

3. Administrator w terminie miesiąca od otrzymania żądania udzieli informacji osobie, której dane dotyczą o działaniach podjętych w związku z jej żądaniem.

4. Jeżeli zajdzie potrzeba – z uwagi na skomplikowany charakter żądania lub liczbę żądań – termin ten zostanie przedłużony o kolejne dwa miesiące, o czym ADO poinformuje wnioskodawcę (w terminie miesiąca od otrzymania żądania) podając przyczynę opóźnienia.

5. Jeżeli ADO nie podejmie działań w związku z żądaniem osoby, której dane dotyczą – w terminie miesiąca od otrzymanego żądania poinformuje tą osobę o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego, a także o możliwości skorzystania ze środków ochrony prawnej przed sądem.

6. Żądane dane będą przekazane w formie określonej przez wnioskodawcę (ustnie, papierowo lub elektronicznie).

7. W przypadku gdy żądania osoby wnioskującej są ewidentnie nieuzasadnione lub nadmierne ADO może:

• • • pobrać opłatę – uwzględniając administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań,
    • odmówić podjęcia działań w związku z żądaniem.

8. W przypadku uznania żądania za ewidentnie nieuzasadnione lub nadmierne ADO uzasadni odmowę realizacji żądania oraz wskaże powody przemawiające za przyjęciem takiej kwalifikacji i w formie pisemnej/elektronicznej przekazuje uzasadnienie osobie wnoszącej żądanie. Poinformuje także o możliwości wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

8. REALIZACJA UPRAWNIEŃ PACJENTA WYNIKAJĄCYCH Z RODO

Prawo pacjenta do dostępu do danych (art. 15 RODO)

Pacjent ma prawo swobodnego wyboru podstawy oraz zakresu żądania związanego z dostępem do informacji na jego temat przetwarzanych.

W przypadku, w którym pacjent jednoznacznie powołuje się na prawo dostępu do danych osobowych, o którym mowa
w art. 15 RODO, w zależności od zakresu wskazanego w żądaniu jest uprawniony do:

a) uzyskania potwierdzenia czy przetwarza się jego dane osobowe, a jeżeli ma to miejsce:

• • uzyskania dostępu do tych danych oraz informacji wskazanych w art. 15 ust. 1 lit. a – h oraz art. 15 ust. 2 RODO,
  • uzyskania od ADO kopii danych osobowych podlegających przetwarzaniu, w tym kopii danych zawartych w dokumentacji medycznej oraz innych danych osobowych. Udostępnianie danych zawartych w dokumentacji medycznej – zgodnie z art. 15 ust. 3 RODO nie jest równoznaczne z obowiązkiem udostępniania danych w formacie i strukturze właściwych dla dokumentacji medycznej.

Przed udostępnieniem pacjentowi żądanych informacji, w szczególności – przed udzieleniem pacjentowi dostępu do danych osobowych lub wydaniu pacjentowi kopii danych osobowych, weryfikuje się jego tożsamość.

Zgodnie z art. 15 ust. 3 RODO, nieodpłatnemu udostępnieniu podlega pierwsza kopia przetwarzanych danych. ADO może jednak pobierać opłatę od kolejnych kopii. Kopia dotyczy formy papierowej lub elektronicznej.

Prawo pacjenta do sprostowania i uzupełnienia danych osobowych (art. 16 RODO)

Pacjent ma prawo zażądać w każdym momencie niezwłocznego sprostowania danych osobowych go dotyczących. Pacjent ma również prawo żądania uzupełnienia niekompletnych danych osobowych na jego temat przetwarzanych przez ADO, w tym poprzez przedstawienie dodatkowego oświadczenia.

Pacjent ma prawo zażądać niezwłocznego sprostowania lub uzupełnienia danych osobowych zawartych w dokumentacji medycznej wyłącznie w zakresie w jakim nie będzie prowadzić to do naruszenia autonomii zawodowej osoby wykonującej zawód medyczny, która dokonywała wpisu do dokumentacji medycznej.

Wraz z wykonaniem żądania pacjenta dotyczącego sprostowania lub uzupełnienia danych osobowych, ADO dokonuje oceny istotności i charakteru wprowadzonych sprostowań i uzupełnień:

a) jeżeli niepoinformowanie określonych odbiorców danych o zmianach będzie nieść za sobą zagrożenie dla życia lub
zdrowia pacjenta, ADO niezwłocznie informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania, których dokonał zgodnie z art. 16 RODO, każdego z tych odbiorców, którym ujawnił dane osobowe – chyba że okaże się to niemożliwe. Administrator informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba, której dane dotyczą, tego zażąda,

b) jeżeli niepoinformowanie określonych odbiorców danych o zmianach nie będzie niosło za sobą zagrożenia dla życia i
zdrowia pacjenta, ADO informuje każdego z tych odbiorców, którym ujawnił dane osobowe pacjenta o zakresie dokonanych zmian, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.

Dla uniknięcia wątpliwości interpretacyjnych, za działania wymagające niewspółmiernie dużego wysiłku w sytuacji wskazanej w zdaniu poprzednim uważa się w szczególności następujące działania wobec odbiorców:

• • poinformowanie o zmianach odbiorców, z którymi nie jest możliwy jest kontakt drogą e-mailową, lub
  • poinformowanie o zmianach odbiorców, których tożsamości ADO nie zna w chwili dokonania sprostowania lub usunięcia zgodnie z art. 16 RODO, lub
  • poinformowanie o zmianach odbiorców, którym udostępniono dane osobowe wcześniej, niż na rok od chwili dokonania sprostowania lub usunięcia danych.

Prawo pacjenta do usunięcia danych –  „bycia zapomnianym” (art. 17 RODO)

Prawo pacjenta do bycia zapomnianym nie znajduje zastosowania wobec danych osobowych pacjentów przetwarzanych na podstawie art. 9 ust. 2 lit h RODO, w szczególności wobec danych przetwarzanych w ramach dokumentacji medycznej prowadzonej i przechowywanej przez okres wskazany w art. 29 ust. 1 ustawy o prawach pacjenta oraz innych przepisach dotyczących okresu przechowywania dokumentacji medycznej. ADO odmawia zrealizowania prawa pacjenta do bycia zapomnianym w odniesieniu do danych osobowych zawartych w dokumentacji

medycznej przez cały wymagany przepisami prawa okres archiwizacji dokumentacji medycznej powołując się na przepis art. 29 ust. 1 ustawy o prawach pacjenta lub inne przepisy dotyczące okresu przechowywania dokumentacji medycznej w zw. z art. 17 ust. 3 lit. b RODO.

W przypadku gdy przetwarzanie danych osobowych pacjenta odbywa się na podstawie zgody pacjent może zrealizować prawo do bycia zapomnianym (usunięcia danych) w zakresie celu, w którym dane osobowe pacjenta
są przetwarzane na podstawie tej zgody – pod warunkiem że zachodzi przynajmniej jedna z przesłanek wskazanych w art. 17 ust. 1 RODO.

W przypadku usunięcia przez ADO danych zawartych w dokumentacji medycznej w związku z żądaniem pacjenta złożonym po upływie terminu przechowywania dokumentacji medycznej wskazanego w przepisie art. 29 ust. 1 ustawy o prawach pacjenta lub innych przepisy dotyczące okresu przechowywania dokumentacji medycznej, przyjmuje się,

że podmioty, którym dokumentacja ta została uprzednio udostępniona posiadają wiedzę o usunięciu zgodnie z art. 19 RODO.

Prawo pacjenta do żądania ograniczenia przetwarzania danych (art. 18 RODO)

Pacjent ma prawo żądać ograniczenia przetwarzania zgodnie z przesłanką określoną w art. 18 ust. 1 lit a RODO w odniesieniu do danych osobowych pacjentów przetwarzanych na podstawie art. 9 ust. 2 lit h RODO w tym w szczególności wobec danych przetwarzanych w ramach dokumentacji medycznej i innych przetwarzanych w oparciu o ww. przesłankę.

Ograniczenie przetwarzania ma na celu zabezpieczenie danych przed dalszą możliwością ich przetwarzania za wyjątkiem przechowywania. Ograniczenie przetwarzania może polegać m.in. na czasowym przeniesieniu wybranych danych osobowych do innego systemu przetwarzania lub uniemożliwieniu odbiorcom danych dostępu do wybranych danych.

Prawo pacjenta do żądania ograniczenia przetwarzania danych nie jest jednak absolutne. ADO może przetwarzać dane osobowe pacjentów m.in. w celu realizacji ważnego interesu publicznego, za który uznaje się w szczególności:

a) wykonywanie zadań, obowiązków oraz realizacja usług wynikających z ustawy o systemie informacji w ochronie zdrowia, jeśli ograniczenie przetwarzania może zakłócić wykonywanie zapisów tej ustawy;

b) wykonywanie obowiązków wynikających z innych przepisów prawa medycznego, w przypadku gdy ograniczenie przetwarzania może stwarzać ryzyko naruszenia zdrowia publicznego;

c) wykonywanie zobowiązań wynikających z realizacji umowy z płatnikiem publicznym, w tym w szczególności prowadzenia sprawozdawczości;

d) udostępniania danych na potrzeby przeprowadzania kontroli przez uprawnione z mocy prawa organy lub podmioty;

e) realizacji celów archiwalnych, badań naukowych, historycznych lub celów statystycznych.

Prawo pacjenta do przenoszenia danych (art. 20 RODO)

Prawo pacjenta do przenoszenia danych nie znajduje zastosowania wobec danych osobowych przetwarzanych przez ADO na podstawie art. 9 ust. 2 lit. h RODO, w tym w szczególności wobec danych przetwarzanych w ramach dokumentacji medycznej i innych przetwarzanych w oparciu o ww. przesłankę.

W przypadku otrzymania żądania Pacjenta związanego z wykonywaniem prawa do przenoszenia danych w odniesieniu do danych osobowych zgromadzonych w dokumentacji medycznej, ADO poinformuje pacjenta o braku podstawy prawnej tego prawa oraz poinformuje o trybie w jakim pacjent może uzyskać dostęp do dokumentacji medycznej.

Prawo pacjenta do przenoszenia danych znajduje zastosowanie wyłącznie wobec operacji przetwarzania danych osobowych prowadzonych przez jednostki, które mają charakter zautomatyzowany i które prowadzone są w oparciu o zgodę pacjenta na przetwarzanie danych osobowych lub w oparciu o umowę, której pacjent jest stroną.

Przetwarzanie danych w sposób zautomatyzowany ma miejsce wyłącznie gdy prowadzone jest ono z wykorzystaniem urządzeń i systemów informatycznych i nie obejmuje ono żadnych dokumentów w postaci papierowej.

Prawo pacjenta do sprzeciwu wobec przetwarzania danych osobowych (art. 21 RODO)

Prawo pacjenta do sprzeciwu wobec przetwarzania danych osobowych nie znajduje zastosowania wobec danych osobowych przetwarzanych przez ADO na podstawie art. 9 ust. 2 lit. h RODO, w szczególności wobec danych przetwarzanych w ramach dokumentacji medycznej i innych przetwarzanych w oparciu o ww. przesłankę.

Prawo pacjenta do sprzeciwu wobec przetwarzania danych osobowych znajduje zastosowanie tylko i wyłącznie wobec danych osobowych przetwarzanych przez RehaKlinikę w oparciu o przesłankę tzw. prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f RODO).

Prawo pacjenta do otrzymania informacji o naruszeniu ochrony danych (art. 34 RODO)

Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.