KLAUZULA RODO – OBOWIĄZK INFORMACYJNY O SPOSOBIE PRZETWARZANIA DANYCH OSOBOWYCH

Zgodnie z art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm), dalej RODO, informujemy, że Państwa dane przetwarzane są według następujących zasad:

Dane Administratora oraz kontakt do Inspektora Ochrony Danych

Administrator: Medimel ISPL, ul. Nowowiejska 1e, 71-219 Bezrzecze

Inspektor Ochrony Danych: medimel.szczecin@gmail.com

Cele przetwarzania danych osobowych oraz podstawa prawna przetwarzania

Cel przetwarzania danych		Podstawa prawna
Dane pacjentów	Świadczenie usług medycznych, zarządzanie udzielaniem tych usług oraz leczenia; Wystawianie zaświadczeń i dokumentów na życzenie pacjentów, obrona praw i dochodzenie roszczeń przez Administratora w związku z prowadzoną działalnością, na potrzeby statystyk i prac badawczo naukowych, na potrzeby ochrony praw i bezpieczeństwa Pacjentów	Art. 6 ust. 1 lit. c oraz art. 9 ust. 1 lit. h RODO Ustawa z 6.11.2008 o prawach pacjenta i Rzeczniku Praw Pacjenta, Ustawa z 15.04.2011 o działalności leczniczej; Art. 6 ust. 1 lit. b – f, art. 9 ust. 2 lit. c, f, g, i, j RODO
Kandydaci do pracy	Przeprowadzenie procesu rekrutacji (zgoda kandydata i wypełnienie obowiązku prawnego) na czas procesu rekrutacji	Art. 6 ust. 1 lit. a i c RODO Ustawa z 26.06.1974 Kodeks Pracy
Pracownicy	Zatrudnienie (wypełnienie obowiązku prawnego w okresie zatrudnienia i obowiązkowym okresie archiwizacji)	Art. 6 ust. 1 lit. b i c RODO Art. 9 ust. 2 lit. b RODO Ustawa z 26.06.1974 Kodeks Pracy
Prowadzenie monitoringu wizyjnego w siedzibie	Zapewnienie bezpieczeństwa pracowników i pacjentów, dozór mienia, zapobieganie incydentom – prawnie uzasadniony interes realizowany przez Administratora	Art. 222 § 1 ustawy z 26.06.1974 Kodeks Pracy Art. 6 ust. 1 lit. c i f RODO Art. 23 a ustawy z 15.04.2011 o działalności leczniczej

Odbiorcy danych osobowych

Odbiorcami Państwa danych osobowych mogą być:

– organy publiczne i instytucje, którym Administrator ma obowiązek przekazywania ewentualnych danych osobowych

– banki, w celu obsługi wykonywanych operacji finansowych

– podmioty przetwarzające, w tym biura rachunkowe, realizujące na polecenie i w imieniu Administratora operacje polegające na przetwarzaniu danych

– podmioty świadczące usługi pocztowe, jeśli jest to uzasadnione lub konieczne do wykonania właściwej usługi przez Administratora

Okres przechowywania danych

Okres przechowywania wynika z przepisów prawa.

Dane pacjentów	Ustawa z 6.11.2008 o prawach pacjenta i Rzeczniku Praw Pacjenta,
Dane pracowników	Akta pracowników zatrudnionych po raz pierwszy przed grudniem 2018 r. – 50 lat, Akta pracowników nowozatrudnionych od 1.01.2019r. – 10 lat od końca roku kalendarzowego, w którym ustał stosunek pracy
Dane przetwarzane w związku z realizacją umów cywilno-prawnych, kontrahenci	Po zrealizowaniu umowy dane osobowe będą przechowywane zgodnie z obowiązującymi przepisami.
Dane zbierane na podstawie wyrażonej zgody (np. rekrutacja)	Dane przechowywane są do czasu wycofania zgody. Administrator może podjąć decyzję o zniszczeniu danych w przypadku gdy proces przetwarzania danych, na który zgoda została wydana został zakończony.
Dane osobowe przetwarzane w ramach monitoringu wizyjnego	Okres przechowywania nagrań jest ograniczony pojemnością nośnika danych, jednakże nie przekracza on 30 dni od dnia nagrania, następnie dane ulegają usunięciu poprzez nadpisanie danych na urządzeniu rejestrującym obraz. Termin może ulec wydłużeniu w przypadku kiedy Administrator powziął podejrzenie, że zapis monitoringu wizyjnego może stanowić dowód w prowadzonym postępowaniu.

Realizacja praw osób, których dane dotyczą

Rodzaj prawa	Podstawa prawna	Wyjątki
Prawo do wycofania zgody na przetwarzanie danych osobowych	Art. 7 ust. 3 RODO – osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę	Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
Prawo dostępu do danych osobowych	Art. 15 RODO – osoba, której dane są przetwarzane ma możliwość pozyskania informacji, jakie dane, w jaki sposób i w jakim celu są przetwarzane
Prawo do sprostowania danych osobowych	Art. 16 RODO – każda osoba, której dane są przetwarzane może zgłosić Administratorowi konieczność poprawienia danych lub uzupełnienia danych wynikających z błędu przy zbieraniu, czy przetwarzaniu danych
Prawo do usunięcia danych osobowych („prawo do bycia zapomnianym”)	Art. 17 RODO – każdy, kogo dane są przetwarzane, może złożyć wniosek o usunięcie danych i w przypadku zasadności wniosku, jego dane zostaną niezwłocznie usunięte.	Wyłącza się prawo do usunięcia danych jeśli ich przetwarzanie i przechowywanie wynika z obowiązku nałożonego na Administratora przez przepisy prawa, w interesie publicznym lub w ramach uprawnień nadanych mu przez władzę publiczną. .
Prawo do ograniczenia przetwarzania danych osobowych	Art. 18 RODO – korzystając z tego prawa możesz złożyć wniosek o ograniczenie przetwarzania danych w razie kwestionowania prawidłowość przetwarzanych danych, a w przypadku zasadności wniosku możemy dane jedynie przechowywać, wznowienie przetwarzania może odbyć się po ustaniu przesłanek uzasadniających ograniczenie przetwarzania
Prawo do przenoszenia danych	Art. 20 RODO – ma zastosowanie jedynie w przypadkach jeżeli dane są przetwarzane na podstawie zgody i w sposób zautomatyzowany

Prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych

W oparciu o zapisy Art. 21 RODO, osoba, której dane są przetwarzane ma prawo wnieść sprzeciw wobec przetwarzania danych jeśli dane te są przetwarzane w prawnie uzasadnionym interesie lub w interesie publicznym. W takim wypadku Administrator zaprzestanie przetwarzania danych wnioskującej osoby, chyba, że wykaże, iż ich przetwarzanie jest konieczne ze względu na przepisy prawa, które są nadrzędne wobec interesów, praw lub wolności osoby wnioskującej lub niezbędne do dochodzenia praw lub ochrony roszczeń.

Prawo wniesienia skargi do Organu Nadzorczego

Organem właściwym do wniesienia skargi z tytułu przetwarzania danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa

Informacja o wymogu / dobrowolności podania danych osobowych

W zależności od powodu przetwarzania danych, podanie danych osobowych jest:

– wymogiem ustawowym, gdy ich przetwarzanie jest niezbędne do wywiązania się z nakładanych na Administratora obowiązków prawnych

– wymogiem umownym, jeśli jest niezbędne z punktu widzenia zawarcia umowy między stronami

– dobrowolne, gdy następuje na podstawie zgody osoby, której dane są przetwarzane.

Brak zgody na przetwarzanie danych osobowych skutkuje brakiem możliwości zrealizowania celów, dla których przetwarzanie danych jest niezbędne

Publiczny komunikat o naruszeniu ochrony danych osobowych

Szanowni Państwo, Drodzy Pacjenci! Zawiadamiamy Państwa, że w wyniku zdarzenia na prywatnej posesji Pani Doktor Katarzyny Ostrowskiej – Clark doszło do kradzieży nośnika danych, na którym znajdowały się dane osobowe pacjentów. Jednocześnie informujemy, że do kradzieży doszło mimo stosowania najwyższych standardów zabezpieczeń i środków mających zapewnić bezpieczeństwo przetwarzania danych.

Zapewniamy, że wdrożyliśmy procedury, które mają na celu przywrócenie niezakłóconej działalności naszego Gabinetu w pełnym zakresie i podejmujemy wszelkie możliwe działania mające na celu zminimalizowanie skutków incydentu. Jednocześnie informujemy, że ciągłość naszej działalności jest zachowana, z utrudnieniami opisanymi poniżej.

PUBLICZNY KOMUNIKAT O NARUSZENIU OCHRONY DANYCH OSOBOWYCH

sporządzony w trybie art. 34 RODO

Gabinet Medimel Indywidualna Specjalistyczna Praktyka Lekarska, z siedzibą w Szczecinie przy ulicy Nowowiejskiej 1E, na podstawie art. 34 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO),

informuje o naruszeniu ochrony danych osobowych:

I. Charakter naruszenia ochrony danych osobowych.

Do naruszenia ochrony danych osobowych doszło w wyniku kradzieży nośnika danych na prywatnej posesji Doktor Katarzyny Ostrowskiej – Clark, która miała miejsce w dniu 19 lutego 2023 r. W następstwie zdarzenia utracono dostęp do historii chorób pacjentów oraz dokumentacji medycznej z przeszło 15 lat.

Naruszenie ochrony danych osobowych polegało na:

– utracie danych w postaci historii chorób oraz dokumentacji medycznej.

Kradzież nośnika sprawiła, że Administrator utracił od dnia 18 lutego 2023 roku dostęp do historii chorób pacjentów oraz dokumentacji medycznej.

II. Kategorie osób, których incydent dotyczy.

Incydent dotyczy naruszenia ochrony danych osobowych (naruszenia dostępności, integralności i poufności):

– Pacjentów obecnych i byłych (dane przetwarzane przez administratora jako właściciela, w tym PESEL, imię, nazwisko, adres zamieszkania).

III. Możliwe konsekwencje naruszenia ochrony danych osobowych.

Bezpośrednią konsekwencją incydentu dla Gabinetu Medimel jako administratora danych jest całkowita utrata dostępu do dokumentów i danych osobowych będących na nośniku.

Po dokonaniu analizy opisanych powyżej okoliczności w kontekście przetwarzania danych osobowych, wskazujemy jako możliwe konsekwencje zdarzenia dla osób, których dane dotyczą:

• utrata kontroli nad własnymi danymi osobowymi (nie wiadomo, kto w tej chwili ma dostęp do Państwa danych);

• możliwość podjęcia przez osoby trzecie próby uzyskania pożyczek w instytucjach pozabankowych, np. przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości;

• wykorzystanie danych do uwierzytelnienia (weryfikacji tożsamości) i zaciągnięcia zobowiązania np. zakupy w (w tym ratalnych) w sklepach internetowych;

• korzystanie z przysługujących praw obywatelskich, np. wykorzystanie danych do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego obywatelskiego;

• zarejestrowanie przedpłaconej karty telefonicznej (prepaid), która może posłużyć do celów przestępczych

• zawarcie umowy cywilno-prawnych, np. najmu czy sprzedaży nieruchomości;

• wyłudzenie ubezpieczenia;

• posłużenie się fałszywymi danymi i ukrycie swojej tożsamości, np. przy otrzymywaniu mandatu;

• próba wyłudzenia odszkodowania;

• założenie konta internetowego (np. w serwisach społecznościowych czy poczty elektronicznej);

• kierowanie wiadomości e-mail lub SMS zawierających informacje handlowe, na które osoby, których dane dotyczą nie wyraziły zgody;

• podszycie się pod inne osoby lub instytucje w celu dodatkowych określonych informacji (np. danych do logowania, szczegółów karty kredytowej itp.);

• uzyskanie dostępu do danych o stanie zdrowia, w przypadku przełamania zabezpieczeń do systemu świadczeń opieki zdrowotnej, np. poprzez potwierdzenie tożsamości za pomocą numeru PESEL;

• korzystanie ze świadczeń opieki zdrowotnej poprzez potwierdzenie swojej tożsamości za pomocą numeru PESEL;

• utrata poufności danych, dyskryminacja w związku z ujawnieniem danych dotyczących zdrowia, wyroków skazujących, czynów zabronionych, seksualności lub orientacji seksualnej;

• naruszenie dóbr osobistych w postaci prywatności w postaci informacji dotyczących danych medycznych oraz o korzystaniu z usług opieki zdrowotnej.

IV. Środki zastosowane przez Administratora w związku z incydentem.

1. Natychmiast po ujawnieniu incydentu zostały uruchomione procedury wewnętrzne dotyczące incydentów naruszeń ochrony danych osobowych.

2. Powiadomiono Policję.

3. Przekazano do Prezesa Urzędu Ochrony Danych Osobowych zawiadomienie o naruszeniu ochrony danych osobowych.

4. Powiadomiono osoby, których dane dotyczą poprzez wydanie publicznego komunikatu.

V. Środki zastosowane lub proponowane przez administratora w celu zminimalizowania ewentualnych negatywnych skutków.

W celu zabezpieczenia się i zminimalizowania ewentualnych negatywnych skutków naruszenia poufności, podajemy informacje o krokach, które mogą Państwo podjąć w związku z incydentem:

• skorzystanie z możliwości założenia konta w systemie informacji kredytowej lub gospodarczej w celu dodatkowego zabezpieczenia swoich danych przed nieuprawnionym wykorzystaniem i celem monitorowania prób uzyskania kredytu/pożyczki, w tym od podmiotów nie będących bankami, w szczególności w instytucjach tzw. parabankowych;

• zmiana hasła do skrzynki poczty elektronicznej;

• wymiana dowodu osobistego;

• zachowanie ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem Internetu czy telefonu;

• ignorowanie nieoczekiwanych wiadomości e-mail i / lub SMS, w szczególności od nieznanych nadawców;

• nieotwieranie nieznanych załączników wysłanych w wiadomościach e-mail i / lub SMS;

• nieużywanie linków do stron internetowych otrzymanych od nieznanych nadawców w wiadomościach e-mail i / lub SMS;

• zachowanie ostrożności przy odczytywaniu wiadomości e-mail i/lub SMS, które w pierwszej chwili mogą wydawać się na pochodzące od znanych nadawców;

• zachowanie ostrożności w sytuacji odbierania połączeń telefonicznych od nieznanych numerów telefonów;

• zachowanie szczególnej ostrożności przy odbieraniu połączeń telefonicznych czy wiadomości zawierających informacje na temat Państwa problemu zdrowotnego od nieznanych nadawców;

• w razie stwierdzenia kradzieży tożsamości należy natychmiast bezwzględnie zgłosić ten fakt organom ścigania.

• w razie naruszenia dóbr osobistych, można domagać się w trybie określonym w przepisach Kodeksu Cywilnego dokonania czynności potrzebnych do usunięcia jego skutków, zadośćuczynienia pieniężnego albo zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny; jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, można żądać jej naprawienia na zasadach ogólnych.

VI. Kontakt w celu uzyskania dalszych informacji.

Liczymy, że mimo tego zdarzenia nie dojdzie do nieuprawnionego wykorzystania danych osobowych i podejrzenie kradzieży danych nie będzie niosło negatywnych konsekwencji.

W przypadku wątpliwości dotyczących zdarzenia w zakresie ochrony danych osobowych prosimy kontaktować się z Inspektorem Ochrony Danych Doktor Katarzyny Ostrowskiej – Clark:

Recepcja Gabinetu Medimel, numer telefonu 91 818 04 74, 500 355 884.

Przepraszamy za ewentualne niedogodności, których mogli Państwo doświadczyć w związku z zaistniałą sytuacją. Jeżeli pozyskamy dodatkowe informacje w sprawie incydentu opublikujemy w kolejnym publicznym komunikacie.

<img src="https://medimel.pl/wp-content/uploads/2024/04/LOGO_medimel_biale_GORA-1-e1713368192996.png" alt="MediMel">

Klauzula RODO

Publiczny komunikat o naruszeniu ochrony danych osobowych