Політика захисту персональних даних

Останнє оновлення: 23 серпня 2026 р.

1. Загальні положення

1. Ця Політика захисту персональних даних (далі – «Політика») встановлює правила та заходи захисту персональних даних, що діють у ZDROWOW spółka z ograniczoną odpowiedzialnością (далі – «Контролер» або «Медичний заклад») у зв'язку з наданням медичних послуг і провадженням лікувальної діяльності. 2. Політика охоплює, зокрема, персональні дані: – пацієнтів, – медичного та немедичного персоналу, – кандидатів на роботу та осіб, які співпрацюють з Медичним закладом, – інших осіб, дані яких Медичний заклад обробляє у зв'язку зі своєю діяльністю. 3. За дотримання принципів обробки персональних даних і за можливість підтвердити їх дотримання (принцип підзвітності) відповідає Контролер, який веде необхідну в цій частині документацію; допускається її ведення в електронній формі. 4. Контролер впроваджує Політику, документує застосовані технічні та організаційні заходи і проводить їх поточний перегляд щодо потреби актуалізації.

2. Правова основа

Політика враховує, зокрема, такі правові акти: – регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 р. про захист фізичних осіб у зв'язку з обробкою персональних даних і про вільний обіг таких даних та про скасування директиви 95/46/ЄС (загальний регламент про захист даних) (Офіційний вісник ЄС L 119 від 04.05.2016, стор. 1, зі змінами) – далі «GDPR», – закон від 10 травня 2018 р. про захист персональних даних (зведений текст: Вісник законів 2019 р., поз. 1781, зі змінами), – закон від 6 листопада 2008 р. про права пацієнта та Уповноваженого з прав пацієнта (зведений текст: Вісник законів 2024 р., поз. 581, зі змінами), – закон від 15 квітня 2011 р. про лікувальну діяльність (зведений текст: Вісник законів 2026 р., поз. 156), – закон від 28 квітня 2011 р. про систему інформації в охороні здоров'я (зведений текст: Вісник законів 2026 р., поз. 208), – постанову Міністра охорони здоров'я від 6 квітня 2020 р. про види, обсяг і зразки медичної документації та спосіб її обробки (зведений текст: Вісник законів 2024 р., поз. 798).

3. Принципи обробки персональних даних

1. Контролер забезпечує, щоб персональні дані були: – оброблені законно, добросовісно та прозоро для суб'єкта даних (законність, добросовісність і прозорість), – зібрані для конкретних, чітких і законних цілей (обмеження мети), – адекватними, відповідними та обмеженими тим, що необхідно для цілей обробки (мінімізація даних), – точними та за потреби актуалізованими (точність), – збереженими не довше, ніж це необхідно для цілей обробки (обмеження зберігання), – обробленими у спосіб, що забезпечує належну безпеку, зокрема захист від несанкціонованої чи незаконної обробки та від випадкової втрати, знищення чи пошкодження, за допомогою відповідних технічних і організаційних заходів (цілісність і конфіденційність). 2. Дані про стан здоров'я належать до особливої категорії персональних даних. Їх обробка з метою профілактики здоров'я, медичної діагностики, забезпечення медичної допомоги та лікування здійснюється насамперед на підставі ст. 9 ч. 2 п. h GDPR у зв'язку з положеннями про права пацієнта і, як правило, не потребує окремої згоди пацієнта.

4. Обробка даних у зв'язку з наданням медичних послуг

1. Медичний заклад веде, зберігає та надає медичну документацію і захищає вміщені в ній дані відповідно до положень про права пацієнта та про систему інформації в охороні здоров'я. 2. Персональні дані, що містяться в медичній документації, обробляються з метою охорони здоров'я, надання медичних послуг і управління їх наданням, а також з метою підтримання та забезпечення безпеки інформаційно-телекомунікаційної системи, у якій ведеться ця документація. 3. До обробки даних, що містяться в медичній документації, допускаються особи, які здійснюють медичні професії, та інші особи, які виконують допоміжні дії під час надання медичних послуг або дії, пов'язані з підтриманням і безпекою інформаційно-телекомунікаційної системи, – на підставі повноваження, наданого Контролером. 4. Особи, зазначені в п. 3, зберігають у таємниці всі відомості, пов'язані з пацієнтом, отримані у зв'язку з виконанням завдань, – зокрема після смерті пацієнта та після припинення трудових відносин чи співпраці. 5. Медичний заклад обробляє, зберігає та надає персональні дані пацієнтів відповідно до положень про права пацієнта та про захист персональних даних; положення Політики служать виконанню цих обов'язків.

5. Повноваження та доступ до персональних даних

1. До обробки персональних даних допускаються виключно особи, які мають письмове повноваження, надане Контролером, ознайомлені зі змістом Політики та зобов'язані зберігати дані в таємниці. 2. Зобов'язання зберігати в таємниці персональні дані та способи їх захисту оформлюється письмово і залишається обов'язковим також після припинення трудових відносин чи співпраці. 3. Контролер визначає у внутрішньому переліку: категорії уповноважених осіб, обсяг повноважень (вид даних, системи, цілі обробки) та строк їх дії. 4. Контролер веде облік наданих і відкликаних повноважень.

6. Реєстр операцій обробки

1. Контролер веде реєстр операцій обробки персональних даних, зазначений у ст. 30 GDPR, у письмовій або електронній формі. 2. Реєстр підлягає поточній актуалізації, зокрема у разі початку обробки даних з новими цілями або в новий спосіб.

7. Технічні та організаційні заходи захисту даних

1. Контролер застосовує технічні та організаційні заходи, відповідні ризику порушення прав або свобод фізичних осіб, з урахуванням стану технічних знань, вартості впровадження, а також характеру, обсягу, контексту та цілей обробки (захист даних на етапі проєктування). 2. Застосовані заходи охоплюють, зокрема: – технічні заходи: контроль доступу до інформаційних систем (індивідуальні облікові записи та паролі), шифрування даних, програмне забезпечення для захисту від шкідливого ПЗ, резервні копії, а також фізичний захист приміщень (замки, система сигналізації), – організаційні заходи: виділення зон обмеженого доступу, нагляд за доступом до приміщень і за ключами, розташування екранів моніторів, що унеможливлює огляд сторонніми особами, правила поводження з носіями даних і періодичне навчання персоналу. 3. За замовчуванням обробляються лише ті персональні дані, які необхідні для досягнення конкретної мети обробки, – щодо обсягу зібраних даних, обсягу їх обробки, строку зберігання та доступності (захист даних за замовчуванням). 4. Ефективність застосованих заходів регулярно тестується, вимірюється та вдосконалюється, з особливим урахуванням даних про стан здоров'я як особливої категорії персональних даних.

8. Доручення обробки персональних даних

1. Доручення обробки персональних даних іншому суб'єкту (напр. постачальнику медичного програмного забезпечення, ІТ-компанії, бухгалтерській фірмі, суб'єкту, що архівує документацію) здійснюється виключно на підставі договору доручення, що відповідає вимогам ст. 28 GDPR, який визначає зокрема предмет і строк обробки, її характер і мету, вид персональних даних, категорії суб'єктів даних, а також обов'язки і права Контролера, включно з контрольними повноваженнями. 2. Оператор забезпечує організаційні та технічні умови, що захищають передані дані від несанкціонованого доступу, розкриття, отримання, зміни, пошкодження, знищення або втрати. 3. Оператор зберігає в таємниці відомості про пацієнтів, отримані у зв'язку з виконанням договору доручення, – зокрема після завершення співпраці та після смерті пацієнта. 4. Після завершення обробки (зокрема у разі ліквідації оператора) передані дані повертаються Контролеру або – за його рішенням – остаточно видаляються, якщо законодавство не приписує їх подальшого зберігання.

9. Захист медичної документації та інформаційних систем

1. Медична документація ведеться у спосіб, що гарантує конфіденційність, цілісність і повноту вміщених у ній даних, а також їх доступність виключно для уповноважених осіб. 2. Медична документація зберігається, як правило, протягом 20 років, рахуючи з кінця календарного року, у якому було зроблено останній запис, з урахуванням винятків, передбачених ст. 29 закону про права пацієнта та Уповноваженого з прав пацієнта. 3. Інформаційно-телекомунікаційні системи, що слугують для обробки медичної документації та інших персональних даних, підтримуються у спосіб, що забезпечує безпеку даних, зокрема захист від несанкціонованого доступу та втрати даних. 4. У детальних процедурах визначаються правила: надання та перевірки прав доступу до систем, керування паролями, створення і зберігання резервних копій, а також реагування на інциденти безпеки, пов'язані з інформаційними системами.

10. Навчання та підвищення обізнаності персоналу

1. Контролер забезпечує періодичне навчання персоналу, що охоплює: принципи захисту персональних даних, застосовані технічні та організаційні заходи, захист медичної документації та професійної таємниці, а також порядок дій у разі інциденту порушення захисту даних. 2. Проходження навчання документується у формі листів присутності, протоколів або інших підтверджень участі персоналу. 3. Обсяг і періодичність навчання узгоджуються з характером обробки та ризиком порушення прав суб'єктів даних.

11. Порушення захисту персональних даних

1. Кожна уповноважена особа невідкладно повідомляє Контролера про виявлене порушення захисту персональних даних або про підозру такого порушення. 2. Контролер документує порушення – їх обставини, наслідки та вжиті заходи – у реєстрі порушень, що ведеться (ст. 33 ч. 5 GDPR). 3. Після аналізу порушення та оцінки його масштабу і наслідків Контролер приймає рішення щодо: – повідомлення про порушення Голови Управління захисту персональних даних – без зайвої затримки, за можливості не пізніше ніж протягом 72 годин після виявлення порушення, крім випадків, коли малоймовірно, що порушення спричинить ризик порушення прав або свобод фізичних осіб (ст. 33 GDPR), – повідомлення суб'єктів даних – якщо порушення може спричинити високий ризик порушення їх прав або свобод (ст. 34 GDPR), – коригувальних дій і заходів, що запобігають подібним порушенням у майбутньому. 4. Детальний порядок дій – включно зі способом повідомлення про інциденти персоналом, порядком внутрішнього аналізу та правилами комунікації з наглядовим органом і суб'єктами даних – визначає процедура реагування на порушення, що є додатком до Політики.

12. Оцінка ризику та перегляд Політики

1. Контролер проводить періодичну оцінку ризику, пов'язаного з обробкою персональних даних, з урахуванням категорій даних (зокрема даних про стан здоров'я), характеру, обсягу, контексту та цілей обробки, а також ефективності застосованих заходів захисту. 2. Результати оцінки ризику враховуються під час актуалізації Політики та добору заходів безпеки, щоб ці заходи залишалися співмірними ризику та забезпечували ефективну реалізацію принципів захисту даних. 3. Перегляд Політики проводиться щонайменше раз на рік, а також після кожної істотної зміни законодавства, організації Медичного закладу чи застосованих технічних і організаційних рішень.

13. Прикінцеві положення

1. Політика набирає чинності 23 серпня 2026 р. 2. Політика є внутрішнім документом Медичного закладу і надається всім особам, уповноваженим на обробку персональних даних. 3. За впровадження Політики, нагляд за її дотриманням та актуалізацію відповідає Контролер даних. 4. Додатки до Політики можуть охоплювати, зокрема: – зразок повноваження на обробку персональних даних, – реєстр операцій обробки, – форму повідомлення про порушення, – реєстр порушень, – інструкцію з керування інформаційною системою.