Polityka Ochrony Danych Osobowych (RODO) 

1. Administrator danych osobowych

Administratorem danych osobowych pacjentów jest: Indywidualna Specjalistyczna Praktyka Lekarska Justyna Kuchta-Musiałek Justyna Kuchta-Musiałek Słupsk, ul. Braille'a 33 NIP: 839-271-32-70, nr tel: 602777515

Administrator przetwarza dane osobowe zgodnie z obowiązującymi przepisami prawa, w tym Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO).

2. Cele i podstawy prawne przetwarzania danych osobowych

Dane osobowe pacjentów przetwarzane są w celu:

1. Świadczenia usług medycznych, w tym diagnozowania, leczenia oraz profilaktyki zdrowotnej – na podstawie art. 6 ust. 1 lit. c) oraz art. 9 ust. 2 lit. h) RODO;
2. Prowadzenia dokumentacji medycznej zgodnie z obowiązującymi przepisami prawa – na podstawie art. 6 ust. 1 lit. c) RODO;
3. Rozliczeń finansowych oraz dochodzenia ewentualnych roszczeń – na podstawie art. 6 ust. 1 lit. b) i f) RODO;
4. Kontaktowania się z pacjentami w celu przypomnienia o wizytach oraz przekazywania informacji organizacyjnych – na podstawie art. 6 ust. 1 lit. a) RODO (zgoda pacjenta);
5. Realizacji obowiązków wynikających z przepisów prawa, w tym z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta – na podstawie art. 6 ust. 1 lit. c) RODO.

Dane są również wykorzystywane przez aplikację Medfile na podstawie umowy między Indywidualną Specjalistyczną Praktyką Lekarską Justyna Kuchta-Musiałek, z siedzibą w Słupsku, przy ulicy Braille'a 33, NIP: 839-271-32-70, reprezentowaną przez Justynę Kuchta-Musiałek (zwany dalej „Usługobiorcą”), a BioStat Sp. z o.o., z siedzibą w Rybniku, przy ulicy Kowalczyka 17, wpisaną do rejestru przedsiębiorców Krajowego Rejestru Sądowego przez Sąd Rejonowy w Gliwicach, X Wydział Krajowego Rejestru Sądowego, pod numerem KRS 0000351860, NIP: 6423125404, reprezentowaną przez: Rafała Piszczka

3. Zakres przetwarzanych danych osobowych

Gabinet ginekologiczny przetwarza następujące kategorie danych osobowych pacjentów:

• Dane identyfikacyjne: imię, nazwisko, PESEL;
• Dane kontaktowe: adres zamieszkania, numer telefonu, adres e-mail;
• Dane medyczne: historię chorób, wyniki badań, zalecenia lekarskie, informacje o przebytych zabiegach;
• Dane dotyczące ubezpieczenia zdrowotnego.

4. Okres przechowywania danych osobowych

Dane osobowe są przechowywane przez okres wynikający z obowiązujących przepisów prawa, w tym:

• Dokumentacja medyczna – przez co najmniej 20 lat od dnia dokonania ostatniego wpisu zgodnie z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta;
• Dane niezbędne do dochodzenia roszczeń – do momentu przedawnienia roszczeń;
• Dane kontaktowe przetwarzane na podstawie zgody pacjenta – do czasu jej wycofania.

5. Odbiorcy danych osobowych

Dane pacjentów mogą być udostępniane:

• Podmiotom uprawnionym na podstawie przepisów prawa (np. NFZ, organy kontrolne, sądy, prokuratura);
• Podmiotom współpracującym w zakresie świadczenia usług medycznych (np. laboratoria diagnostyczne);
• Podmiotom świadczącym usługi księgowe, informatyczne, prawne (wyłącznie w zakresie niezbędnym do realizacji umowy).

6. Prawa pacjentów związane z przetwarzaniem danych osobowych

Każdy pacjent ma prawo do:

1. Dostępu do swoich danych osobowych oraz uzyskania ich kopii (art. 15 RODO);
2. Sprostowania danych, jeśli są one nieprawidłowe (art. 16 RODO);
3. Usunięcia danych (tzw. „prawo do bycia zapomnianym”) – o ile nie zachodzą przesłanki do ich dalszego przetwarzania wynikające z przepisów prawa (art. 17 RODO);
4. Ograniczenia przetwarzania danych (art. 18 RODO);
5. Przenoszenia danych do innego podmiotu (art. 20 RODO);
6. Wniesienia sprzeciwu wobec przetwarzania danych (art. 21 RODO);
7. Wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (art. 77 RODO).

Pacjent ma prawo do wycofania zgody na przetwarzanie danych w dowolnym momencie, jeśli przetwarzanie odbywa się na podstawie zgody (art. 7 ust. 3 RODO).

7. Zabezpieczenia danych osobowych i procedury bezpieczeństwa

Administrator wdrożył odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych pacjentów, w tym:

• Zabezpieczenie dokumentacji medycznej przed dostępem osób nieuprawnionych poprzez przechowywanie w zamykanych szafach lub pomieszczeniach;
• Stosowanie systemów informatycznych zabezpieczonych przed nieautoryzowanym dostępem (hasła dostępu, szyfrowanie danych);
• Korzystanie z certyfikowanych rozwiązań do przechowywania danych medycznych (np. aplikacja Medfile);
• Regularne tworzenie kopii zapasowych danych przechowywanych w systemie;
• Aktualizowanie oprogramowania i stosowanie programów antywirusowych w celu ochrony przed cyberzagrożeniami;
• Monitorowanie systemów informatycznych w celu wykrycia potencjalnych zagrożeń.

8.    Bezpieczeństwo haseł

1. Tworzenie haseł:
   • Hasła muszą mieć co najmniej 12 znaków.
   • Muszą zawierać duże i małe litery, cyfry oraz znaki specjalne.
   • Nie mogą zawierać oczywistych danych (np. imienia, daty urodzenia).
2. Zmiana haseł:
   • Hasła są zmieniane co 60 dni.
   • W przypadku podejrzenia naruszenia hasło musi być natychmiast zmienione.
3. Przechowywanie i zarządzanie hasłami:
   • Hasła nie mogą być zapisywane w formie niezaszyfrowanej.
   • Rekomendowane jest korzystanie z menedżerów haseł.
4. Logowanie do systemów:
   • Każdy użytkownik ma indywidualne dane logowania.
   • Po zakończeniu pracy użytkownik musi się wylogować.

W przypadku wykrycia naruszenia ochrony danych osobowych stosuje się następujące procedury:

1. Niezwłoczne powiadomienie Administratora Danych Osobowych (Justyna Kuchta-Musiałek);
2. Przeprowadzenie analizy ryzyka i oceny skutków naruszenia;
3. Wdrożenie środków naprawczych w celu minimalizacji skutków naruszenia;
4. Powiadomienie Prezesa Urzędu Ochrony Danych Osobowych (PUODO) w ciągu 72 godzin od wykrycia incydentu, jeśli jest to wymagane;
5. W razie konieczności – poinformowanie osób, których dane dotyczą, o naruszeniu i możliwych konsekwencjach.
6. Kontakt w sprawie danych osobowych

W sprawach dotyczących przetwarzania danych osobowych pacjent może kontaktować się z administratorem danych: Justyna Kuchta-Musiałek tel. 602777515

9. Wyłączenie odpowiedzialności

Indywidualna Specjalistyczna Praktyka Lekarska Justyna Kuchta-Musiałek podejmuje wszelkie niezbędne środki techniczne i organizacyjne w celu ochrony danych osobowych, jednak nie ponosi odpowiedzialności za skutki ataków hakerskich oraz działań osób trzecich, jeśli doszło do nich mimo zastosowania odpowiednich środków zabezpieczeń.

W przypadku naruszenia danych wynikającego z działalności osób trzecich, w tym cyberataków, administrator danych zobowiązuje się do niezwłocznego podjęcia działań naprawczych i zgłoszenia incydentu do odpowiednich organów nadzorczych zgodnie z przepisami RODO.

10. Zmiany w polityce ochrony danych osobowych

Polityka ochrony danych osobowych może być aktualizowana w celu dostosowania do zmieniających się przepisów prawa lub procedur wewnętrznych. Pacjenci zostaną poinformowani o wszelkich istotnych zmianach.

Data obowiązywania:od 13.01.2020 r.

Data ostatniej aktualizacji: 03.01.2025 r.