Source: https://medsal.pl/polityka-prywatnosci/
Timestamp: 2019-10-23 23:19:18+00:00
Document Index: 42597547

Matched Legal Cases: ['Art. 24', 'art. 37', 'art. 35', 'Art. 11', 'art. 13', 'art. 14', 'art. 15', 'art. 17', 'art. 6', 'art. 9', 'art. 6']

POLITYKA OCHRONY DANYCH OSOBOWYCH W MEDSAL Spółka z ograniczoną odpowiedzialnością, ul. Robotnicza 7, 49-300 Brzeg
Administrator – oznacza podmiot działający pod nazwą MEDSAL Sp. z o.o., który przyjmuje niniejszą Politykę Ochrony Danych Osobowych.
Niniejsza Polityka stanowi politykę ochrony danych w rozumieniu Art. 24 ust. 2 RODO. Celem Polityki jest określenie wymogów oraz zasad ochrony danych obwiązujących u Administratora. Polityka ma objąć całość obowiązków Administratora związanych z ochroną danych osobowych, kwestie bezpieczeństwa danych regulowane są przede wszystkim w Załączniku nr 7 – „Techniczne i organizacyjne środki bezpieczeństwa”.
Załącznik nr 5 – Metodyka analizy ryzyka
Administrator zwraca szczególną uwagę na podstawy przetwarzania danych osobowych związane z ochroną żywotnych interesów osoby, której dane dotyczą, lub osoby trzeciej i wdraża procedury zapewniające stosowanie tych podstaw przetwarzania danych tak, aby źle pojęta ochrona danych osobowych nie doprowadziła do naruszenia praw lub wolności osób fizycznych np. poprzez bezzasadną odmowę udzielenia informacji o pacjencie, który sam nie jest zdolny do wyrażenia zgody na udzielenie takiej informacji (np. nieprzytomny lub nieletni).
W ramach wykonywania działalności leczniczej, Administrator przetwarza dane szczególnych kategorii, w tym w szczególności dane dotyczące zdrowia. Jeżeli Administrator ustali, że zwykle w ramach swojej działalności przetwarza dane szczególnych kategorii lub dane karne w innych sytuacjach niż wykonywanie działalności leczniczej (np. przy usprawiedliwianiu nieobecności w pracy, przy udzielaniu świadczeń z Zakładowego Funduszu Świadczeń Socjalnych):
Administrator wyznacza Inspektora Ochrony Danych, o którym mowa w art. 37 RODO, jeżeli przetwarza na dużą skalę dane szczególnych kategorii lub dane karne, w tym w szczególności, gdy posiada lub inaczej przetwarza dane ponad 6000 pacjentów.
Jeżeli Administrator przetwarza dane szczególnych kategorii na dużą skalę (np. zmianę systemu lub usługi IT, w której przetwarza dane co najmniej 6000 pacjentów), planując zmianę sposobu takiego przetwarzania, Administrator przeprowadza ocenę skutków dla ochrony danych (DPIA), o której mowa w art. 35 RODO.
Jeżeli do Administratora (w tym do członków Personelu) dotrą dane osobowe, do których przetwarzania Administrator nie jest uprawniony (np. przesłane przypadkowo lub nadmiarowo lub bez związku z działalnością Administratora), Administrator powstrzymuje się od ich przetwarzania i w miarę możliwości usuwa je ze swoich systemów (np. usuwa email ze skrzynki poczty elektronicznej). Zgodnie z Art. 11 ust. 1 RODO, o którym mowa w poprzednim punkcie, Administrator nie ma jednak obowiązku podejmować innych działań względem tych danych, z wyjątkiem w miarę możliwości poinformowania osób, których dotyczą „dane niezamówione” o ich otrzymaniu, chyba że udzielenie takich informacji okazuje się niemożliwe lub wymagałoby wysiłku niewspółmiernie dużego do sytuacji.
Współadministrowanie zachodzi w sytuacji, gdy co najmniej dwóch Administratorów wspólnie ustala cele i sposoby przetwarzania
Administrator weryfikuje przypadki, w których dochodzi do współadministrowania danymi. W przypadku współadministrowania danymi Administrator wraz z pozostałymi współadministratorami zawierają stosowną umowę o współadministrowanie oraz opracowują treść niezbędnych informacji dla osób – wzór klauzuli o współadministrowaniu zawarty jest w załączniku nr 8 do niniejszej Polityki. Umowa o współadministrowanie powinna być zawarta w formie dokumentowej i określać podział obowiązków w zakresie (i) odpowiedzialności za poinformowanie o zbieraniu danych (ii) obsługi Praw Jednostki, (iii) poziomu bezpieczeństwa.
Prawa innych. Realizując Prawa Jednostki, Administrator chroni prawa i wolności osób innych niż osoba, której dane dotyczą w ten sposób, że w przypadku powzięcia wiarygodnej wiadomości o tym, że wykonanie żądania osoby o wydanie kopii danych lub prawa do przeniesienia danych może niekorzystnie wpłynąć na prawa i wolności innych osób, na przykład może skutkować nieuprawnionym ujawnieniem tajemnicy lekarskiej lub tajemnicy dokumentacji medycznej, Administrator może zwrócić się do wnioskodawcy w celu wyjaśnienia wątpliwości lub podjąć inne prawem dozwolone kroki, łącznie z odmową wykonania żądania.
Ustawy szczególne. Administrator nie ma prawa odmówić wykonania Prawa Jednostki, chyba że konkretny przepis wydany w granicach upoważnienia wynikającego z RODO wprost wyłącza dane uprawnienie osoby. W szczególności nie można odmówić pacjentowi wydania pierwszej – bezpłatnej kopii danych z powołaniem na ustawę o prawach pacjenta i Rzeczniku Praw Pacjenta.
Administrator dokumentuje obsługę Praw Jednostki postępując zgodnie z Załącznikiem nr 1 do niniejszej Polityki – Procedura Obsługi Praw Jednostki.
o przetwarzaniu danych, przy pozyskiwaniu danych od osoby, w zakresie zgodnym z art. 13 RODO,
o przetwarzaniu danych, przy pozyskiwaniu danych niebezpośrednio od osoby, w zakresie zgodnym z art. 14 RODO,
o przetwarzaniu danych niezidentyfikowanych, tam gdzie to jest możliwe (np. tabliczka o objęciu obszaru monitoringiem wizyjnym).
Administrator bez zbędnej zwłoki zawiadamia osoby o naruszeniu ochrony danych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności tych osób.
Na żądanie osoby dotyczące dostępu do jej danych, Administrator informuje osobę, czy przetwarza jej dane, udziela osobie dostępu do danych, oraz informuje osobę o szczegółach przetwarzania zgodnie z art. 15 RODO (zakres odpowiada obowiązkowi informacyjnemu przy zbieraniu danych).
Na żądanie osoby Administrator wydaje jej kopię jej danych.
W zakresie w jakim żądanie wydania kopii danych dotyczy dokumentacji medycznej pacjenta, Administrator bezpłatnie realizuje pierwsze żądanie pacjenta dotyczące wydania kopii danych, zaś do kolejnych żądań stosuje zasady określone w ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta.
czy przepisy szczególne nie przewidują konkretnych okresów lub innych obowiązków dotyczących przechowywania danych,
czy usunięcie danych nie spowoduje zagrożenia bezpieczeństwa pozostałych danych osobowych przetwarzanych przez Administratora,
czy nie zachodzi potrzeba przechowywania danych dla celów dowodowych (roszczenia),
czy nie zachodzą inne wyjątki, o których mowa w art. 17. ust. 3 RODO.
Jeżeli żądanie ograniczenia przetwarzania danych zostało złożone w związku ze sprzeciwem względem przetwarzania danych spowodowanym szczególną sytuacją osoby a dane są potrzebne do udzielenia pomocy pacjentowi, Administrator dokonuje natychmiastowej oceny interesu osoby i żywotnych interesów pacjenta w celu oceny, czy prawnie uzasadnione podstawy po stronie Administratora są nadrzędne wobec podstaw sprzeciwu osoby.
Administrator na żądanie osoby wydaje w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego lub przekazuje innemu podmiotowi, jeśli jest to możliwe, dane dotyczące tej osoby, gdy przetwarzanie:
odbywa się na podstawie zgody w myśl art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) (zgoda) RODO lub na podstawie umowy w myśl art. 6 ust. 1 lit. b);
oraz b) przetwarzanie odbywa się w sposób zautomatyzowany.
Jeżeli żądanie przeniesienia danych dotyczy dokumentacji medycznej, Administrator nie pobiera opłat, o których mowa w ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta, w odniesieniu do danych, których przetwarzanie odbywa się w sposób zautomatyzowany – czyli danych, które można wyeksportować (w rozumieniu IT) z systemów informatycznych Administratora.
Sprzeciw szczególny. Jeżeli osoba zgłosi sprzeciw względem przetwarzania jej danych umotywowany jej szczególną sytuacją, a dane przetwarzane są przez Administratora w oparciu o uzasadniony interes lub dla wykonania przez Administratora zadania w interesie publicznym, Administrator uwzględni sprzeciw, o ile nie zachodzą po stronie Administratora ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby zgłaszającej sprzeciw, lub podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Administrator nie przetwarza danych w sposób wyłącznie automatyczny.
Administrator dokonuje kontroli cyklu życia danych, w tym weryfikacji dalszej przydatności danych względem terminów wskazanych w Rejestrze, uwzględniając ustalone w Rejestrze okresy przechowywania danych. Administrator opiera politykę retencji danych na rozdzieleniu zasobów o różnej retencji danych i okresowym (zasadniczo raz na rok) przeglądzie i odnowieniu zasobów w taki sposób, aby w odnowionym zasobie znalazły się tylko dane wykorzystywane bieżąco.
Administrator zapewnia, aby wszyscy członkowie Personelu złożyli oświadczenie o świadomości obowiązków i odpowiedzialności związanej z ochroną informacji u Administratora, zawierające informację o odpowiedzialności karnej za przetwarzanie danych bez upoważnienia, o obowiązkach ochrony danych i obowiązkach w związku z naruszeniem ochrony danych.
Administrator szkoląc Personel zwraca szczególną uwagę na ochronę żywotnych interesów jako przesłankę przetwarzania danych osobowych, aby Personel dysponował wiedzą pozwalającą zważyć potrzeby ochrony danych osobowych z potrzebami ochrony innych praw i wolności osób, takich jak ochrona życia i zdrowia, więzi rodzinne itp.
Administrator stosuje wymagania co do umowy powierzenia przetwarzania danych, wykorzystując wzorzec Umowy powierzenia przetwarzania danych zawarty w załączniku nr 8 do niniejszej Polityki lub inny pokrywający wszystkie wymagania RODO. Aktualne wzór umowy powierzenia przetwarzania danych udostępniane są także w GDPSystem.
Administrator przeprowadza analizę obowiązku powołania Inspektora Ochrony Danych (IOD) lub zatwierdza analizę wykonywaną przez GDPSystem na podstawie predefiniowanych pytań wraz z kryteriami dla odpowiedzi opracowanymi na podstawie przepisów i poniższych wytycznych.
Administrator wyznacza IOD, gdy: (i) Administrator to organ lub podmiot publiczny, lub (ii) główna działalność Administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób na dużą skalę, lub (iii) główna działalność Administratora polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych karnych. W szczególności Administrator wyznacza IOD, jeżeli przetwarza dane ponad 6000 pacjentów.
W przypadku ustalenia braku obowiązku powołania IOD Administrator wyznacza specjalistę ochrony danych osobowych (IOD), którego obowiązkiem jest:
na bieżąco wykonywać obowiązki Administratora wskazane w Polityce lub rozliczać ich wykonanie
wspierać zgodność Administratora z ochroną danych osobowych
przechowywać dokumentację zgodności Administratora z ochroną danych osobowych
nadzorować i współpracować z osobą odpowiedzialną u Administratora za informatykę
corocznie dokonywać przeglądu zgodności Administratora z Polityką i ochroną danych z udziałem wszystkich kierowników komórek organizacyjnych Administratora.
Jeśli Administrator ustali, że ma obowiązek powołania IOD wówczas wybiera IOD na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych, umiejętności wypełnienia zadań wynikających z przepisów RODO oraz wiedzy sektorowej.
Korespondując z podmiotami lub osobami spoza EOG Personel ma obowiązek upewnić się, czy dochodzi do Transferu Danych, a jeżeli tak – zapewnić stosowną podstawę Transferu Danych, zgodnie z RODO.
Administrator szkoląc Personel zwraca szczególną uwagę zarówno na wymogi co do ochrony danych szczególnych kategorii jak i na ochronę żywotnych interesów jako przesłankę przetwarzania danych osobowych, aby Personel dysponował wiedzą pozwalającą zważyć potrzeby ochrony danych osobowych z potrzebami ochrony innych praw i wolności osób, takich jak ochrona życia i zdrowia, więzi rodzinne itp.