Polityka ochrony danych osobowych

Ostatnia aktualizacja: 23 sierpnia 2026

1. Postanowienia ogólne

1. Niniejsza Polityka ochrony danych osobowych (dalej: „Polityka”) ustala reguły oraz środki ochrony danych osobowych obowiązujące w ZDROWOW spółka z ograniczoną odpowiedzialnością (dalej: „Administrator” lub „Podmiot leczniczy”) w związku z udzielaniem świadczeń zdrowotnych i prowadzeniem działalności leczniczej. 2. Polityką objęte są w szczególności dane osobowe: – pacjentów, – personelu medycznego i niemedycznego, – kandydatów do pracy oraz osób współpracujących z Podmiotem leczniczym, – innych osób, których dane Podmiot leczniczy przetwarza w związku ze swoją działalnością. 3. Za przestrzeganie zasad przetwarzania danych osobowych oraz za możliwość wykazania ich przestrzegania (zasada rozliczalności) odpowiada Administrator, który prowadzi wymaganą w tym zakresie dokumentację; dopuszcza się jej prowadzenie w postaci elektronicznej. 4. Administrator wdraża Politykę, dokumentuje zastosowane środki techniczne i organizacyjne oraz poddaje je bieżącym przeglądom pod kątem potrzeby ich aktualizacji.

2. Podstawa prawna

Polityka uwzględnia w szczególności następujące akty prawne: – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.) – dalej: „RODO”, – ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781 z późn. zm.), – ustawę z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (t.j. Dz. U. z 2024 r. poz. 581 z późn. zm.), – ustawę z dnia 15 kwietnia 2011 r. o działalności leczniczej (t.j. Dz. U. z 2026 r. poz. 156), – ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (t.j. Dz. U. z 2026 r. poz. 208), – rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (t.j. Dz. U. z 2024 r. poz. 798).

3. Zasady przetwarzania danych osobowych

1. Administrator zapewnia, aby dane osobowe były: – przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość), – zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach (ograniczenie celu), – adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych), – prawidłowe i w razie potrzeby uaktualniane (prawidłowość), – przechowywane nie dłużej, niż jest to niezbędne do celów przetwarzania (ograniczenie przechowywania), – przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych i organizacyjnych (integralność i poufność). 2. Dane dotyczące zdrowia stanowią szczególną kategorię danych osobowych. Ich przetwarzanie w celach związanych z profilaktyką zdrowotną, diagnozą medyczną, zapewnieniem opieki zdrowotnej i leczeniem odbywa się przede wszystkim na podstawie art. 9 ust. 2 lit. h RODO w związku z przepisami o prawach pacjenta i co do zasady nie wymaga odrębnej zgody pacjenta.

4. Przetwarzanie danych w związku z udzielaniem świadczeń zdrowotnych

1. Podmiot leczniczy prowadzi, przechowuje i udostępnia dokumentację medyczną oraz chroni zawarte w niej dane zgodnie z przepisami o prawach pacjenta oraz o systemie informacji w ochronie zdrowia. 2. Dane osobowe zawarte w dokumentacji medycznej przetwarzane są w celu ochrony zdrowia, udzielania świadczeń zdrowotnych i zarządzania ich udzielaniem, a także w celu utrzymania i zapewnienia bezpieczeństwa systemu teleinformatycznego, w którym dokumentacja ta jest prowadzona. 3. Do przetwarzania danych zawartych w dokumentacji medycznej uprawnione są osoby wykonujące zawód medyczny oraz inne osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń zdrowotnych lub czynności związane z utrzymaniem i bezpieczeństwem systemu teleinformatycznego – na podstawie upoważnienia nadanego przez Administratora. 4. Osoby, o których mowa w ust. 3, zachowują w tajemnicy wszelkie informacje związane z pacjentem, powzięte w związku z wykonywaniem zadań – również po śmierci pacjenta oraz po ustaniu zatrudnienia lub współpracy. 5. Podmiot leczniczy przetwarza, przechowuje i udostępnia dane osobowe pacjentów zgodnie z przepisami o prawach pacjenta oraz przepisami o ochronie danych osobowych; postanowienia Polityki służą realizacji tych obowiązków.

5. Upoważnienia i dostęp do danych osobowych

1. Do przetwarzania danych osobowych dopuszczane są wyłącznie osoby posiadające pisemne upoważnienie nadane przez Administratora, zapoznane z treścią Polityki i zobowiązane do zachowania danych w tajemnicy. 2. Zobowiązanie do zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia składane jest na piśmie i pozostaje wiążące także po ustaniu zatrudnienia lub współpracy. 3. Administrator określa w wykazie wewnętrznym: kategorie osób upoważnionych, zakres upoważnień (rodzaj danych, systemy, cele przetwarzania) oraz okres ich obowiązywania. 4. Administrator prowadzi ewidencję nadanych oraz odwołanych upoważnień.

6. Rejestr czynności przetwarzania

1. Administrator prowadzi rejestr czynności przetwarzania danych osobowych, o którym mowa w art. 30 RODO, w postaci pisemnej lub elektronicznej. 2. Rejestr podlega bieżącej aktualizacji, w szczególności w przypadku rozpoczęcia przetwarzania danych w nowych celach lub w nowy sposób.

7. Środki techniczne i organizacyjne ochrony danych

1. Administrator stosuje środki techniczne i organizacyjne odpowiednie do ryzyka naruszenia praw lub wolności osób fizycznych, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania (uwzględnianie ochrony danych w fazie projektowania). 2. Stosowane środki obejmują w szczególności: – środki techniczne: kontrolę dostępu do systemów informatycznych (indywidualne konta i hasła), szyfrowanie danych, oprogramowanie chroniące przed złośliwym oprogramowaniem, kopie zapasowe oraz zabezpieczenia fizyczne pomieszczeń (zamki, system alarmowy), – środki organizacyjne: wyodrębnienie stref ograniczonego dostępu, nadzór nad dostępem do pomieszczeń i kluczy, ustawienie ekranów monitorów uniemożliwiające wgląd osobom postronnym, zasady postępowania z nośnikami danych oraz cykliczne szkolenia personelu. 3. Domyślnie przetwarzane są wyłącznie te dane osobowe, które są niezbędne do osiągnięcia konkretnego celu przetwarzania – w odniesieniu do ilości zbieranych danych, zakresu ich przetwarzania, okresu przechowywania oraz dostępności (domyślna ochrona danych). 4. Skuteczność zastosowanych środków podlega regularnemu testowaniu, mierzeniu i doskonaleniu, ze szczególnym uwzględnieniem danych dotyczących zdrowia jako szczególnej kategorii danych osobowych.

8. Powierzenie przetwarzania danych osobowych

1. Powierzenie przetwarzania danych osobowych innemu podmiotowi (np. dostawcy oprogramowania medycznego, firmie informatycznej, biuru rachunkowemu, podmiotowi archiwizującemu dokumentację) następuje wyłącznie na podstawie umowy powierzenia spełniającej wymogi art. 28 RODO, określającej m.in. przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa Administratora, w tym uprawnienia kontrolne. 2. Podmiot przetwarzający zapewnia warunki organizacyjne i techniczne chroniące powierzone dane przed nieuprawnionym dostępem, ujawnieniem, pozyskaniem, modyfikacją, uszkodzeniem, zniszczeniem lub utratą. 3. Podmiot przetwarzający zachowuje w tajemnicy informacje dotyczące pacjentów pozyskane w związku z realizacją umowy powierzenia – również po zakończeniu współpracy oraz po śmierci pacjenta. 4. Po zakończeniu przetwarzania (w tym w razie likwidacji podmiotu przetwarzającego) powierzone dane są zwracane Administratorowi lub – stosownie do jego decyzji – trwale usuwane, chyba że przepisy prawa nakazują ich dalsze przechowywanie.

9. Ochrona dokumentacji medycznej i systemów teleinformatycznych

1. Dokumentacja medyczna prowadzona jest w sposób gwarantujący poufność, integralność i kompletność zawartych w niej danych oraz ich dostępność wyłącznie dla osób uprawnionych. 2. Dokumentacja medyczna przechowywana jest co do zasady przez okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu, z zastrzeżeniem wyjątków przewidzianych w art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. 3. Systemy teleinformatyczne służące do przetwarzania dokumentacji medycznej oraz innych danych osobowych utrzymywane są w sposób zapewniający bezpieczeństwo danych, w tym ochronę przed nieuprawnionym dostępem oraz utratą danych. 4. W procedurach szczegółowych określa się zasady: nadawania i weryfikacji uprawnień dostępu do systemów, zarządzania hasłami, tworzenia i przechowywania kopii zapasowych oraz reagowania na incydenty bezpieczeństwa związane z systemami informatycznymi.

10. Szkolenia i podnoszenie świadomości personelu

1. Administrator zapewnia cykliczne szkolenia personelu obejmujące: zasady ochrony danych osobowych, stosowane środki techniczne i organizacyjne, ochronę dokumentacji medycznej i tajemnicy zawodowej oraz postępowanie w razie incydentu naruszenia ochrony danych. 2. Odbycie szkoleń dokumentuje się w formie list obecności, protokołów lub innych potwierdzeń udziału personelu. 3. Zakres i częstotliwość szkoleń dostosowuje się do charakteru przetwarzania oraz ryzyka naruszenia praw osób, których dane dotyczą.

11. Naruszenia ochrony danych osobowych

1. Każda osoba upoważniona niezwłocznie zgłasza Administratorowi stwierdzone naruszenie ochrony danych osobowych lub podejrzenie takiego naruszenia. 2. Administrator dokumentuje naruszenia – ich okoliczności, skutki oraz podjęte działania zaradcze – w prowadzonym rejestrze naruszeń (art. 33 ust. 5 RODO). 3. Po analizie naruszenia oraz ocenie jego skali i skutków Administrator podejmuje decyzję co do: – zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych – bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO), – zawiadomienia osób, których dane dotyczą – jeżeli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 RODO), – działań naprawczych oraz środków zapobiegających podobnym naruszeniom w przyszłości. 4. Szczegółowy tryb postępowania – w tym sposób zgłaszania incydentów przez personel, tryb wewnętrznej analizy oraz zasady komunikacji z organem nadzorczym i osobami, których dane dotyczą – określa procedura reagowania na naruszenia, stanowiąca załącznik do Polityki.

12. Ocena ryzyka i przegląd Polityki

1. Administrator dokonuje okresowej oceny ryzyka związanego z przetwarzaniem danych osobowych, uwzględniając kategorie danych (w szczególności dane dotyczące zdrowia), charakter, zakres, kontekst i cele przetwarzania oraz skuteczność stosowanych zabezpieczeń. 2. Wyniki oceny ryzyka uwzględnia się przy aktualizacji Polityki oraz doborze środków bezpieczeństwa, tak aby środki te pozostawały adekwatne do ryzyka i zapewniały skuteczną realizację zasad ochrony danych. 3. Przegląd Polityki przeprowadza się co najmniej raz na rok, a ponadto po każdej istotnej zmianie przepisów prawa, organizacji Podmiotu leczniczego lub stosowanych rozwiązań technicznych i organizacyjnych.

13. Postanowienia końcowe

1. Polityka wchodzi w życie z dniem 23 sierpnia 2026 r. 2. Polityka jest dokumentem wewnętrznym Podmiotu leczniczego i udostępnia się ją wszystkim osobom upoważnionym do przetwarzania danych osobowych. 3. Za wdrożenie Polityki, nadzór nad jej przestrzeganiem oraz aktualizację odpowiada Administrator danych. 4. Załączniki do Polityki mogą obejmować w szczególności: – wzór upoważnienia do przetwarzania danych osobowych, – rejestr czynności przetwarzania, – formularz zgłoszenia naruszenia, – rejestr naruszeń, – instrukcję zarządzania systemem informatycznym.