Source: https://www.moje-ocni.cz/gdpr/
Timestamp: 2019-03-21 03:32:02+00:00

Document:
Oční centrum, s.r.o. Šternberk - GDPR
Zásady ochrany osobních údajů pacientů
Oční centrum s.r.o. IČO: 253 74 028
se sídlem Horní Lán 1230/35, 779 00 Olomouc
vedená u Krajského soudu v Ostravě pod sp. zn. C 16429
zastoupena jednatelkou MUDr. Jitkou Vrbovou
Subjektem údajů se rozumí ve smyslu čl. 4 odst. 1 Nařízení osoba, jejíž osobní údaje jsou zpracovávány, tj. pacient.
Společnost ustanovila pověřence pro ochranu osobních údajů a jeho zástupce. Pověřenec a jeho zástupce jsou kontaktními osobami ve vztahu k problematice ochrany osobních údajů pacientů.
tel: +420 774 567 181
e-mail: vrba.ocst@seznam.cz
Zástupcem pověřence pro ochranu osobních údajů je:
tel: +420 775 567 181
e-mail: Miroslav.vrba@gmail.com
Společnost zpracovává následující osobní údaje pacientů:
specifikace zdravotní pojišťovny pacienta,
jakožto klasické osobní údaje
údaje o zdravotním stavu pacienta
spadající pod označení zvláštní kategorie osobních údajů ve smyslu čl. 9 Nařízení GDPR
Účelem a právním základem pro zpracování osobních údajů pacientů je:
čl. 6 odst. 1 písm. b) GDPR, tedy že zpracování je nezbytné pro realizaci objednávky a ošetření pacienta (tj. plnění smlouvy)
- týká se osobních údajů specifikovaných pod písm.: a), b), c), d), e)
čl. 9 odst. 2 písm. h) GDPR, tedy že zpracování je nezbytné pro účely poskytování zdravotní péče a léčby
- týká se osobních údajů specifikovaných pod písm.: f).
Poskytnutí osobních údajů specifikovaných v čl. 4 těchto Zásad je zákonným požadavkem (mimo specifikace telefonního čísla); je nezbytné pro účely vedení zdravotnické karty pacienta (tedy pro realizaci smlouvy o péči o zdraví). Telefonní číslo je nezbytné pro realizaci telefonické objednávky; pacient, který nepředá Společnosti telefonní číslo, nebude moci být v tomto ohledu ze strany Společnosti telefonicky kontaktován. Odmítne-li pacient tyto údaje (mimo telefonního čísla) Společnosti předat, není možné mu poskytnout zdravotní péči (tedy realizovat smlouvu o péči o zdraví).
Osobní údaje pacientů zpracovává Společnost po celou dobu poskytování zdravotní péče. Jakmile dojde k ukončení poskytování zdravotní péče ze strany Společnosti, jsou osobní údaje pacientů zpracovávány pouze ve smyslu jejich archivace dle následujícího odstavce. Nedojde-li i přes existenci předchozí objednávky pacienta k jeho zařazení do seznamu pacientů, přestože již byly některé osobní údaje v souvislosti s objednávkou pacienta Společnosti předány, budou tyto osobní údaje ihned smazány, resp. zlikvidovány (smazány z interního disku, případně skartovány listiny tyto údaje obsahující), nestanoví-li speciální právní předpis po určitou dobu povinnost jejich archivace.
Osobní údaje pacientů jsou uchovávány po dobu pěti (5) let ode dne posledního vyšetření, ledaže zvláštní právní předpis stanoví jinak.
K osobním údajům pacientů mají přístup zaměstnanci Společnosti. Všichni zaměstnanci mají povinnost mlčenlivosti, ke které se Společnosti písemně zavázali.
Mimo samotného pacienta - subjekt údajů - mohou být jeho osobní údaje dále předány:
- osobě, kterou tento pacient určí ve svém písemném informovaném souhlasu,
- dodavateli databáze elektronické kartotéky,
- zdravotní pojišťovně pacienta,
- orgánům České lékařské komory,
- jinému zdravotnickému zařízení, bude-li to nezbytně třeba k ochraně života a zdraví pacienta, vč. sanitní služby (je-li nezbytný převoz pacienta sanitkou),
- orgánu veřejné moci (soudu, orgánům činným v trestním řízení, apod.).
Osobní údaje pacientů jsou získávány od pacientů - subjektů údajů, jichž se týkají, případně od předchozího očního lékaře (v případě změny lékaře).
Osobní údaje pacientů jsou uchovávány následovně:
Provozovna ve Šternberku:
Správce osobních údajů vede listinnou kartotéku pacientů umístěnou v boxu v místnosti oční ordinace; vstup do oční ordinace během ordinačních hodin ze strany pacientů či jiných nepovolaných osob je chráněn dveřní koulí umístěnou ze strany čekárny pro pacienty. Místnost ordinace je mimo ordinační dobu uzamčena a střežena alarmem. Listinná kartotéka neobsahuje veškeré osobní údaje pacientů (nejedná se o úplnou kartotéku). Ke kartotéce mají přístup všichni zaměstnanci Společnosti; tito jsou vázáni mlčenlivostí.
Správce osobních údajů vede rovněž elektronickou kartotéku pacientů v programu SmartMEDIX obsahující veškeré osobní údaje pacientů z provozovny Šternberk. Obsah databáze s elektronickou kartotékou je přístupný z celkem pěti (5) počítačů (tedy všech počítačů umístěných v provozovně Společnosti ve Šternberku). Hard disk, na němž je databáze s elektronickou kartotékou nahraná, je umístěn v počítači v oční ordinaci; počítač je chráněn heslem, a samotná databáze (elektronická kartotéka) je rovněž chráněna (dalším) heslem. Přístup do databáze s elektronickou kartotékou pacientů z ostatních čtyř počítačů je umožněn teprve v případě, je-li odemknuta databáze na hard disku umístěném v počítači v oční ordinaci. I poté však je elektronická kartotéka na těchto čtyřech zbývajících počítačích přístupná až po zadání hesla do těchto jednotlivých počítačů, a dalšího hesla pro vstup do databáze s elektronickou kartotékou. Přístup do elektronické kartotéky mají všichni zaměstnanci Společnosti; tito jsou vázáni mlčenlivostí. Počítače jsou umístěny v místnostech, do nichž je vstup z míst, kam mají přístup třetí osoby (pacienti) chráněn dveřní koulí (s výjimkou místnosti oční optiky). Všechny místnosti, kde jsou počítače umístěny, jsou uzamykatelné, a uzamykají se v době mimo ordinační dobu. Není-li v databázi obsahující elektronickou databázi prováděna činnost po dobu delší než 3 min., systém se automaticky odhlásí. Do místností, kde jsou počítače umístěny, má pacient, případně jiná třetí osoba, přístup pouze za přítomnosti zaměstnance Společnosti.
Provozovna v Prostějově:
Správce osobních údajů vede rovněž elektronickou kartotéku pacientů v programu SmartMEDIX obsahující veškeré osobní údaje pacientů z provozovny Prostějov. Obsah databáze s elektronickou kartotékou je přístupný z celkem dvou (2) počítačů (tedy všech počítačů umístěných v provozovně Společnosti v Prostějově). Hard disk, na němž je databáze s elektronickou kartotékou nahraná, je umístěn v počítači v oční ordinaci; počítač je chráněn heslem, a samotná databáze (elektronická kartotéka) je rovněž chráněna (dalším) heslem. Přístup do databáze s elektronickou kartotékou pacientů z druhého počítače umístěného v oční optice je umožněn teprve v případě, je-li odemknuta databáze na hard disku umístěném v počítači v oční ordinaci. I poté však je elektronická kartotéka na tomto druhém počítači přístupná až po zadání hesla, a dalšího hesla pro vstup do databáze s elektronickou kartotékou. Přístup do elektronické kartotéky mají všichni zaměstnanci Společnosti; tito jsou vázáni mlčenlivostí. Obě místnosti, kde jsou počítače umístěny, jsou uzamykatelné, a uzamykají se v době mimo ordinační dobu. Není-li v databázi obsahující elektronickou databázi prováděna činnost po dobu delší než 3 min., systém se automaticky odhlásí. Do místností, kde jsou počítače umístěny, má pacient, případně jiná třetí osoba, přístup pouze za přítomnosti zaměstnance Společnosti.
Záloha databáze obsahující elektronickou kartotéku všech pacientů Společnosti je umístěna v sídle Společnosti chráněném alarmem.
Pacient má ve smyslu čl. 15 Nařízení právo na přístup k osobním údajům. Toto zahrnuje právo získat od Společnosti potvrzení, zda dochází ke zpracování jeho osobních údajů, a pokud je zpracovává, pak právo získat přístup k těmto údajům a k následujícím informacím:
příjemci nebo kategorie příjemců, kterým osobní údaje pacienta byly nebo budou zpřístupněny,
zdroje osobních údajů, nebyly-li získány přímo od pacienta,
existence práva požadovat po Společnosti opravu/doplnění osobních údajů ve smyslu čl. 16 Nařízení, práva požadovat výmaz osobních údajů (právo být zapomenut) ve smyslu čl. 17 Nařízení, práva na omezení zpracování osobních údajů ve smyslu čl. 18 Nařízení, práva na přenositelnost svých osobních údajů ve smyslu čl. 20 Nařízení, práva podat stížnost u dozorového úřadu ve smyslu čl. 77 Nařízení a práva na soudní ochranu pacienta ve smyslu čl. 78 a 79 Nařízení.
Žádost o uplatnění práva subjektu údajů podle tohoto článku zašle subjekt údajů na e-mailovou adresu pověřence pro ochranu osobních údajů Společnosti, případně jeho zástupce, s tím, že Společnost požadované údaje zašle na e-mailovou adresu pacienta, z níž byla žádost odeslána. Zašle-li pacient žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.
Společnost je povinna na žádost pacienta ve smyslu tohoto článku písemně odpovědět bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom subjekt údajů informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.
Pokud o to pacient požádá, je Společnost povinna mu vydat i kopii osobních údajů, které zpracovává, a to primárně v elektronické podobě. Požádá-li však pacient o předání kopií v listinné podobě, případně neposkytne-li Společnosti pro tento účel e-mailovou adresu, poskytne Společnost kopie v listinné podobě. Za poskytnutí kopií v listinné podobě účtuje Společnost administrativní poplatek ve výši 3,- Kč/list.
Pacient má právo po Společnosti požadovat opravu či doplnění osobních údajů ve smyslu čl. 16 Nařízení, a to:
- osobně v místě kterékoli provozovny správce osobních údajů v ordinačních hodinách,
- písemným podáním (dopisem) adresovaným do sídla nebo kterékoli provozovny správce osobních údajů,
- telefonicky pověřenci pro ochranu osobních údajů na tel. číslo specifikované v čl. II. odst. 1, a je-li nekontaktní, pak telefonicky zástupci pověřence pro ochranu osobních údajů na tel. číslo specifikované v čl. II. odst. 2,
- na e-mailovou adresu pověřence pro ochranu osobních údajů specifikovanou v čl. II. odst. 1, případně na e-mailovou adresu zástupce pověřence pro ochranu osobních údajů specifikovanou v čl. II. odst. 2.
Požaduje-li pacient ze strany Společnosti písemnou reakci, je povinen žádost o uplatnění práva podle tohoto článku zaslat písemně - viz výše, s tím, že Společnost opravu či doplnění provede, a pacientovi zašle na jeho e-mailovou adresu, z níž byla žádost odeslána, potvrzení o provedení opravy/doplnění. Zašle-li pacient žádost v listinné podobě, a požádá-li zároveň o zaslání potvrzení o provedení opravy/doplnění dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné potvrzení dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.
Společnost je povinna poskytnout na žádost pacienta informace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom pacienta informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.
Pacient má právo po Společnosti požadovat výmaz svých osobních údajů (právo být zapomenut) ve smyslu čl. 17 Nařízení, to však pouze:
I kdyby byly splněny výše specifikované podmínky, právo na výmaz osobních údajů pacient nemá, jestliže je zpracování nezbytné:
Žádost o uplatnění práva pacienta podle tohoto článku zašle pacient na e-mailovou adresu pověřence pro ochranu osobních údajů Společnosti, případně jeho zástupce, s tím, že Společnost požadované údaje zašle na e-mailovou adresu pacienta, z níž byla žádost odeslána. Zašle-li pacient žádost v listinné podobě, a požádá-li zároveň o zaslání informace dle tohoto článku v listinné podobě (případně neuvede-li kontaktní e-mail, kam mu bude možné informace dle tohoto článku zaslat v elektronické podobě), bude mu Společností naúčtován administrativní poplatek ve výši 100,- Kč.
Společnost je povinna na žádost pacienta informace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom pacienta informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.
Pacient má právo po Společnosti požadovat omezení zpracování svých osobních údajů ve smyslu čl. 18 Nařízení, to však pouze:
popírá-li přesnost osobních údajů, a to po dobu, než přesnost Společnost ověří; tyto osobní údaje pak mohou být po dobu trvání omezení zpracování zpracovány pouze ve smyslu uložení pro určení, výkon nebo obhajobu právních nároků, v důležitém veřejném zájmu, pro ochranu zájmů jiné fyzické či právnické osoby, nebo jen se souhlasem pacienta,
je-li zpracování osobních údajů protiprávní, a pacient nechce využít práva být zapomenut ve smyslu čl. čl. 17 Nařízení, ale tohoto práva,
Společnost již osobní údaje klienta nepotřebuje pro účely zpracování, ale pacient je potřebuje pro určení, výkon nebo obhajobu právních nároků.
Využije-li pacient tohoto práva, je Společnost povinna jej ještě před uplynutím doby pro omezení zpracování jeho osobních údajů informovat o tom, že bude omezení zpracování zrušeno.
Společnost je povinna informovat veškeré příjemce osobních údajů pacienta o opravách, výmazech nebo omezení zpracování konkrétních osobních údajů.
Společnost je povinna poskytnout na žádost pacienta informace o opatřeních přijatých v souvislosti s jeho žádostí dle tohoto článku, a to bez zbytečného odkladu, nejpozději do jednoho (1) měsíce ode dne obdržení žádosti; v případech, kdy to odůvodňují zvláštní okolnosti, nejpozději do dvou (2) měsíců ode dne obdržení žádosti. Dojde-li k odkladu odpovědi ve smyslu předchozí věty za středníkem, je Společnost povinna o tom klienta informovat do jednoho (1) měsíce ode dne obdržení žádosti, včetně uvedení důvodů pro takový odklad.
Pacient má právo na Společnosti uplatnit své právo na přenositelnost osobních údajů ve smyslu čl. 20 Nařízení, které zahrnuje právo získat osobní údaje, které se jej týkají, ve strukturovaném, běžně používaném a strojově čitelném formátu, a právo předat tyto údaje jiném správci osobních údajů, jsou-li tyto osobní údaje zpracovávány automatizovaně. Je-li to technicky proveditelné, má pacient právo požadovat po Společnosti, aby byly tyto osobní údaje předány (zaslány) jinému správci údajů napřímo.
Nepřijme-li Společnost opatření, o které pacient požádal, je Společnost povinna pacienta opět ve lhůtě do jednoho (1) měsíce ode dne přijetí žádosti informovat o důvodech.
Pacient má právo podat u Úřadu pro ochranu osobních údajů (dále také jen: „Úřad“) ve smyslu čl. 77 Nařízení stížnost, domnívá-li se, že zpracováním jeho osobních údajů došlo ze strany Společnosti k porušení Nařízení. Proti závaznému rozhodnutí tohoto úřadu, nebo v případě, že se úřad stížností nezabývá nebo neinformuje-li pacienta do tří (3) měsíců ode dne podání stížnosti o postupu ve věci je pacient oprávněn požadovat soudní ochranu.
Pacient má právo na soudní ochranu, a to jak vůči Úřadu, tak vůči Společnosti jakožto správci osobních údajů. Podrobnější informace k uplatnění práva na soudní ochranu jsou specifikovány v čl. 78 a 79 Nařízení.
Je-li pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody pacienta (s výjimkou případů, kdy ustanovení čl. 34 Nařízení GDPR tento postup Společnosti neukládá), je společnost povinna ohlásit Úřadu jakékoli porušení zabezpečení osobních údajů, a to ve lhůtě bez zbytečného odkladu, nejpozději do 72 hodin od okamžiku zjištění. Nestihne-li Společnost ohlásit porušení zabezpečení do 72 hodin, je povinna současně s pozdním ohlášením uvést Úřadu důvody takového zpoždění. Pravidlo o povinnosti oznámení porušení zabezpečení Úřadu se neuplatní, pokud je nepravděpodobné, že by mělo za následek riziko pro právo a svobody subjektů údajů. Oznámení na Úřad musí obsahovat náležitosti stanovené čl. 34 Nařízení GDPR.
Další kontaktní údaje na Společnost:
ordinace ve Šternberku- hlavní provozovna: Jívavská 18, 785 16 Šternberk
tel. do oční ordinace ve Šternberku: 585 087 227
tel. do ortopticko-pleoptické ambulance ve Šternberku: 608 107 111
tel. do oční optiky ve Šternberku: 776 182 065
ordinace v Prostějově - vedlejší provozovna: Mathonova 291/1, Prostějov 796 04
tel. do oční ordinace v Prostějově: +420 608 182 242
Ve Šternberku dne 25.5.2018
MUDr. Jitka Vrbová, jednatelka

References: čl. 4
 čl. 9

čl. 6

čl. 9
 čl. 4
 čl. 15
 čl. 16
 čl. 17
 čl. 18
 čl. 20
 čl. 77
 čl. 78
 čl. 16
 čl. 17
 čl. 18
 čl. 17
 čl. 20
 čl. 77
 čl. 78
 čl. 34
 čl. 34