Niniejsza Polityka Ochrony Danych Osobowych, zwana dalej: „Polityką”, została sporządzona przede wszystkim w zgodzie z wymogami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm., dalej: „RODO”), ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (t.j. Dz. U. z 2019 r. poz. 1127 z późn. zm., dalej: „u.p.p.”) oraz ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (t.j. Dz. U. z 2020 r. poz. 295 z późn. zm.).
Polityka stanowi zbiór spójnych, precyzyjnych reguł i zasad, według których Administrator danych osobowych przetwarza dane osobowe Pacjentów, jak również zarządza oraz udostępnia zasobami i systemami informacyjnymi.
Polityka ustanawia zasady bezpieczeństwa przetwarzania danych osobowych osób fizycznych, w szczególności w zgodzie z zasadami uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych.
Administrator danych osobowych ma na uwadze, aby przetwarzanie danych polegało w szczególności na: minimalizacji przetwarzania, jak najszybszej pseudonimizacji danych, przejrzystości co do funkcji i przetwarzania, a także umożliwieniu osobie, której dane dotyczą, monitorowania przetwarzania danych.
Administrator danych osobowych stosuje środki w celu zapewnienia bezpieczeństwa przetwarzania danych, w szczególności doskonali zabezpieczenia systemów służących przetwarzaniu danych.
Wszystkie osoby, o których mowa w niniejszej Polityce zobowiązane są do przetwarzania danych osobowych zgodnie z obowiązującymi przepisami prawa oraz postanowieniami Polityki, a także innymi dokumentami wewnętrznymi i procedurami związanymi z przetwarzaniem danych osobowych w gabinecie lekarskim lekarza Marka Brzezińskiego.
Użyte w Polityce definicje są wspólne dla wszystkich dokumentów powiązanych z niniejszą Polityką oraz dla pozostałych dokumentów, które zostały przyjęte przez Administratora danych osobowych w zakresie ochrony danych.
Polityka stanowi zbiór wymogów, zasad i regulacji ochrony danych osobowych przetwarzanych w ramach praktyki lekarskiej wykonywanej przez lekarza Marka Brzezińskiego.
Polityka składa się z:
Celem Polityki jest wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonywać obowiązki Administratora w zakresie bezpieczeństwa danych osobowych. W szczególności do celów Polityki należy:
Za nadzór i monitorowanie przestrzegania postanowień Polityki odpowiada Administrator.
Administrator oraz wszyscy pracownicy Administratora obowiązani są stosować niniejszą Politykę. Administrator zapewnia zgodność postępowania pracowników Administratora z niniejszą Polityką w odpowiednim zakresie, gdy dochodzi do przekazania im przez niego danych osobowych.
Polityka jest przechowywana przez Administratora w wersji elektronicznej. Może być także przechowywana w wersji papierowej, w miejscu wykonywania przez Administratora działalności gospodarczej.
Administrator udostępnia Politykę do wglądu osobom upoważnionym do przetwarzania danych osobowych na ich wniosek, a także osobom, którym ma zostać nadane upoważnienie do przetwarzania danych osobowych, w celu zapoznania się z treścią Polityki.
Dla skutecznej realizacji Polityki Administrator zapewnia:
Kryteriami ochrony danych osobowych są:
Dane osobowe są przetwarzane przez Administratora z poszanowaniem poniższych zasad:
Przetwarzanie danych osobowych następuje głównie w gabinecie lekarskim lekarza Marka Brzezińskiego, mieszczącym się w Płocku przy ulicy Jachowicza 16 lok. 6 (09-402 Płock).
Dane osobowe przetwarzane są nadto na będących własnością Administratora komputerach przenośnych oraz innych nośnikach danych znajdujących się poza obszarem gabinetu lekarskiego, o którym mowa powyżej.
System ochrony danych osobowych Administratora składa się w szczególności z następujących elementów:
Administrator swoimi działaniami i organizacją zapewnia, że:
Wszystkie dane osobowe są przetwarzane z poszanowaniem zasad przetwarzania przewidzianych przez przepisy prawa:
Administrator nie przekazuje osobom, których dane dotyczą informacji w sytuacji, w której dane te muszą zostać poufne zgodnie z obowiązkiem zachowania w tajemnicy informacji związanych z Pacjentem (art. 14 ust. 5 lit. d) RODO oraz art. 13 u.p.p.).
Za naruszenie lub próbę naruszenia zasad przetwarzania i ochrony danych osobowych uważa się w szczególności:
W przypadku stwierdzenia okoliczności naruszenia zasad ochrony danych osobowych osoba, której dane zostały naruszone zobowiązana jest do podjęcia wszystkich niezbędnych kroków, mających na celu ograniczenie skutków naruszenia i do niezwłocznego powiadomienia Administratora.
Administrator dokumentuje w Rejestrze podstawy prawne przetwarzania danych dla poszczególnych czynności przetwarzania.
Wskazując ogólną podstawę prawną (zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie publiczne/władza publiczna, uzasadniony interes), jak również podstawę prawną przy przetwarzaniu danych osobowych szczególnych kategorii (profilaktyka zdrowotna, diagnoza medyczna, zapewnienie opieki zdrowotnej, leczenie) ADO dookreśla podstawę w czytelny sposób, gdy jest to potrzebne.
Pracownik Administratora ma obowiązek znać podstawy prawne, zgodnie z którymi dokonuje konkretnych czynności przetwarzania danych osobowych. Jeżeli podstawą jest uzasadniony interes, pracownik ma obowiązek znać konkretny realizowany przetwarzaniem interes. Oświadczenie pracownika w tym zakresie zawiera wzór upoważnienia do przetwarzania danych stanowiący załącznik nr 4 do Polityki.
Rejestr stanowi formę dokumentowania czynności przetwarzania danych, pełni rolę informacyjną względem procesu przetwarzania danych i jest jednym z kluczowych elementów umożliwiających realizację fundamentalnej zasady, na której opiera się cały system ochrony danych osobowych, czyli zasady rozliczalności.
Rejestr prowadzi Administrator. Inwentaryzuje i monitoruje w nim sposób, w jaki wykorzystuje dane osobowe.
Rejestr jest jednym z podstawowych narzędzi umożliwiających Administratorowi rozliczanie obowiązków związanych z ochroną danych.
W Rejestrze, dla każdej czynności przetwarzania danych, którą Administrator uznał za odrębną dla potrzeb Rejestru, odnotowuje w szczególności:
Wzór Rejestru stanowi Załącznik nr 2 do Polityki. Wzór Rejestru może zawierać także kolumny nieobowiązkowe. Pełniejsza treść Rejestru ułatwia zarządzanie zgodnością ochrony danych i rozliczenie się z niej.
Administrator dba o czytelność oraz styl przekazywanych informacji i komunikacji z osobami, których dane przetwarza, a także dba o dotrzymywanie prawnych terminów realizacji obowiązków względem tych osób.
Administrator wprowadza adekwatne metody identyfikacji i uwierzytelniania osób dla potrzeb realizacji praw jednostki i obowiązków informacyjnych.
W celu realizacji praw jednostki ADO zapewnia procedury i mechanizmy pozwalające zidentyfikować dane konkretnych osób, zintegrować te dane, wprowadzać do nich zmiany i usuwać w sposób zintegrowany.
Jeśli nie znajdują zastosowania wyłączenia odnoszące się do realizacji zadań ustawowych, Administrator w szczególności:
Rejestracja Pacjentów w gabinecie lekarskim Administratora odbywa się przede wszystkim telefonicznie.
Weryfikacja tożsamości Pacjenta odbywa się w sposób nieutrudniający dostępu do uzyskania świadczenia zdrowotnego z ograniczeniem ryzyka uzyskania danych osobowych przez osobę trzecią.
Po przybyciu Pacjenta do gabinetu lekarskiego dokonujący rejestracji pracownik Administratora, w szczególności:
Jeżeli Pacjent dobrowolnie bez wezwania okazuje dokument weryfikujący tożsamość lub przekazuje ustnie informacje, umożliwiające ustalenie tożsamości nie należy odmawiać przyjęcia dobrowolnie podanych danych (motyw 57 RODO).
Ustalenie tożsamości Pacjenta jest elementem wymaganym przepisami prawa zarówno na gruncie u.p.p. (art. 25 ust. 1), jak również ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (art. 20) oraz ustawy z dnia 28 kwietnia 2011 r. o systemie informacji o ochronie zdrowia (t.j. Dz. U. z 2019 r. poz. 408 z późn. zm.).
Jeśli nie znajdują zastosowania wyłączenia odnoszące się do realizacji zadań ustawowych, Administrator:
Administrator określa taki sposób obsługi prawa do usunięcia danych, aby zapewnić efektywną realizację tego prawa przy poszanowaniu wszystkich zasad ochrony danych, w tym bezpieczeństwa, a także weryfikuje, czy nie zachodzą wyjątki, o których mowa w art. 17. ust. 3 RODO.
Jeżeli dane podlegające usunięciu zostały upublicznione przez Administratora lub osobę upoważnioną, Administrator podejmuje rozsądne działania, w tym środki techniczne, by poinformować inne podmioty przetwarzające te dane osobowe, o potrzebie usunięcia danych i dostępu do nich.
Jeśli nie znajdują zastosowania wyłączenia odnoszące się do realizacji zadań ustawowych, Administrator dokonuje ograniczenia przetwarzania danych na żądanie osoby, gdy:
Administrator dba o minimalizację przetwarzania danych pod kątem:
Administrator zweryfikował zakres pozyskiwanych danych, zakres ich przetwarzania i ilość przetwarzanych danych pod kątem adekwatności do celów przetwarzania w ramach wdrożenia RODO.
Administrator dokonuje okresowego przeglądu ilości przetwarzanych danych i zakresu ich przetwarzania nie rzadziej niż raz na rok.
Administrator przeprowadza weryfikację zmian co do ilości i zakresu przetwarzanych danych w ramach procedur zarządzania zmianą (privacy by design).
Administrator stosuje ograniczenia dostępu do danych osobowych: prawne (zobowiązania do poufności, zakresy upoważnień), fizyczne (strefy dostępu, zamykanie pomieszczeń) i logiczne (ograniczenia uprawnień do systemów przetwarzających dane osobowe i zasobów sieciowych, w których znajdują się dane osobowe).
Administrator dokonuje aktualizacji uprawnień dostępowych przy zmianach w składzie personelu i zmianach ról osób, oraz zmianach Podmiotów przetwarzających.
Administrator dokonuje okresowego przeglądu ustanowionych użytkowników systemów i aktualizuje ich nie rzadziej niż raz na rok.
Dane, których zakres przydatności ulega ograniczeniu wraz z upływem czasu są usuwane z systemów informatycznych Administratora, jak też z dokumentacji podręcznej i głównej. Dane takie mogą być archiwizowane oraz znajdować się na kopiach zapasowych systemów i informacji przetwarzanych przez Administratora. Procedury archiwizacji i korzystania z archiwów, tworzenia i wykorzystania kopii zapasowych uwzględniają wymogi usuwania danych.
ADO zapewnia stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności osób fizycznych wskutek przetwarzania danych osobowych, w szczególności ustala możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa i ocenia koszt ich wdrażania, w szczególności ustala przydatność i stosuje takie środki i podejście jak:
Administrator stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Prezesowi Urzędu Ochrony Danych w terminie 72 godzin od ustalenia naruszenia.
Administrator zapewnia stosowanie środków technicznych i organizacyjnych niezbędnych dla poufności, integralności, rozliczalności i ciągłości przetwarzanych danych. Zastosowane środki ochrony (techniczne i organizacyjne) powinny być adekwatne do stwierdzonego poziomu ryzyka dla poszczególnych systemów, rodzajów zbiorów i kategorii danych. Środki obejmują w szczególności:
Do przetwarzania danych osobowych uprawnione są wyłącznie osoby upoważnione przez Administratora.
Administrator jest uprawniony do przyznawania upoważnień w przedmiocie przetwarzania danych osobowych, w drodze pisemnego upoważnienia do przetwarzania danych osobowych. Nadanie upoważnienia do przetwarzania danych osobowych wymaga zaznajomienia się z przepisami dotyczącymi ochrony danych osobowych oraz niniejszą Polityką, w zakresie niezbędnym do czynności wykonywanych w ramach udzielonego upoważnienia.
Nadanie upoważnienia do przetwarzania danych osobowych musi nastąpić przed rozpoczęciem przetwarzania danych przez osobę upoważnioną.
Upoważnienie sporządza się w dwóch egzemplarzach. Jeden egzemplarz przekazuje się upoważnionemu pracownikowi, drugi załącza się do akt osobowych pracownika. Upoważnienie do przetwarzania danych osobowych wygasa z chwilą rozwiązania umowy zawartej przez Administratora z osobą, której zostało nadane lub w przypadku gdy zostało nadane na czas określony – z upływem czasu, na jaki zostało nadane.
Wzór upoważnienia do przetwarzania danych stanowi załącznik nr 4 do Polityki.
Administrator prowadzi ewidencję wszystkich osób upoważnionych do przetwarzania danych osobowych, zawierającą następujące dane osoby upoważnionej:
Wzór ewidencji upoważnień do przetwarzania danych stanowi załącznik nr 5 do Polityki.
Zasady postępowania z dokumentami zawierającymi dane osobowe obowiązują wszystkich pracowników Administratora.
Za pracowników Administratora uważa się każdą osobę zatrudnioną na podstawie stosunku pracy, zleceniobiorców, stażystów, praktykantów, osoby współpracujące oraz samozatrudnione na rzecz Administratora.
Każdy pracownik Administratora zobowiązany jest do przechowywania na biurku tylko tych dokumentów, które są mu niezbędne do pracy w danym momencie. Należy unikać przechowywania dokumentów niepotrzebnych do bieżących zadań.
Po zakończeniu pracy z dokumentami zawierającymi dane osobowe należy odłożyć je do szafy zamykanej na klucz.
Dokumenty niepotrzebne w dalszej pracy i niepodlegające archiwizacji należy niszczyć w niszczarce.
Każdy Pacjent, na wniosek, ma prawo dostępu do dokumentacji medycznej dotyczącej jego stanu zdrowia oraz udzielonych mu świadczeń zdrowotnych. Dokumentacja medyczna Pacjenta udostępniana jest również jego przedstawicielowi ustawowemu bądź osobie przez Pacjenta upoważnionej. Pracownik Administratora powinien mieć pewność w zakresie tożsamości osoby udzielającej upoważnienia. W przypadku, gdy Pacjent upoważnienia udziela bezpośrednio w obecności pracownika Administratora, dopuszczalna powinna być każda forma takiego oświadczenia.
W przypadku złożenia upoważnienia przy braku obecności pracownika Administratora dopuszczalne powinny być różne alternatywne sposoby upoważnienia, które jednak w dostateczny sposób potwierdzają tożsamość Pacjenta. Mogą być to chociażby:
Wzór wykazu wniosków o udostępnienie dokumentacji medycznej stanowi załącznik nr 6 do Polityki.
Na Administratorze spoczywa obowiązek prowadzenia, przechowywania i udostępniania dokumentacji medycznej w sposób określony w Rozdziale 7 u.p.p. oraz w ustawie z dnia 28 kwietnia 2011 r. o systemie informacji o ochronie zdrowia (t.j. Dz. U. z 2019 r. poz. 408 z późn. zm.), a także zapewnienia ochrony danych zawartych w tej dokumentacji.
Administrator określa zasady doboru i weryfikacji Podmiotów przetwarzających (np. biuro rachunkowe czy też firmy medyczne, którym Administrator zleca przeprowadzenie badań), aby podmioty te dawały wystarczające gwarancje wdrożenia odpowiednich środków organizacyjnych i technicznych dla zapewnienia bezpieczeństwa, realizacji praw jednostki i innych obowiązków ochrony danych spoczywających na Administratorze.
Administrator przyjął minimalne wymagania co do umowy powierzenia przetwarzania danych. Wzór umowy powierzenia przetwarzania danych stanowi Załącznik nr 3 do Polityki.
Administrator rozlicza Podmioty przetwarzające z wykorzystania dalszych podmiotów przetwarzających, jak też z innych wymagań, zgodnie z zasadami powierzania przetwarzania danych osobowych.
W przypadku stwierdzenia naruszenia ochrony danych osobowych Administrator dokonuje oceny, czy zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych.
W każdej sytuacji, w której zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych, ADO zgłasza fakt naruszenia zasad ochrony danych Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki – jeżeli to wykonalne, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Zgłoszenia dokonuje się poprzez wypełnienie dedykowanego formularza elektronicznego, dostępnego na stronie internetowej Urzędu Ochrony Danych Osobowych.
Jeżeli ryzyko naruszenia praw i wolności jest wysokie, Administrator zawiadamia o incydencie także osobę, której dane dotyczą.
Ochronie podlegają dane osobowe niezależnie od formy ich przechowywania, sprzęt komputerowy, systemy operacyjne i informatyczne oraz pomieszczenia, w których odbywa się proces przetwarzania danych.
Miejscami najbardziej zagrożonymi w kontekście naruszenia ochrony danych osobowych są pomieszczenia gabinetu lekarskiego Administratora, w których znajdują się urządzenia służące do przetwarzania danych osobowych, do których mogą mieć nieuprawniony dostęp osoby nieupoważnione.
Do innych zagrożeń, na które może być narażone przetwarzanie danych osobowych należy zaliczyć:
Każdy użytkownik upoważniony do pracy w systemie informatycznym, w którym przetwarzane są dane osobowe, powinien posiadać własny odrębny identyfikator i hasło dostępu.
Rozwiązanie stosunku pracy lub innej umowy, na podstawie której osoba współpracuje z Administratorem i posiada dostęp do danych osobowych powoduje utratę dostępu do przetwarzania danych i natychmiastowe wyrejestrowanie użytkownika z systemu.
Tworzone przez użytkownika hasło dostępowe musi spełniać następujące wymagania:
Użytkownik jest zobowiązany zmieniać hasło co najmniej raz na miesiąc, czyniąc to osobiście w każdym z wykorzystywanych systemów teleinformatycznych.
Nowo tworzone hasło musi się różnić od pięciu poprzednich haseł wykorzystywanych przez danego użytkownika.
Hasło nie powinno kojarzyć się w żaden sposób z użytkownikiem (należy unikać imion, nazwisk rodziny, dzieci i znajomych, dat urodzenia, numerów telefonów) oraz otoczeniem użytkownika (należy unikać imion zwierząt domowych, adresu, numeru rejestracyjnego lub nazwy samochodu).
Użytkownik zobowiązany jest do utrzymania haseł dostępu w tajemnicy, w szczególności do dołożenia starań, w celu uniemożliwienia zapoznania się z nimi osób trzecich, nawet po ustaniu ich ważności.
Do obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do zbierania lub przetwarzania danych osobowych, mogą być dopuszczone wyłącznie osoby posiadające aktualne, ważne upoważnienie do przetwarzania danych osobowych.
Administrator zapoznaje pracowników i współpracowników z przepisami o ochronie danych osobowych oraz postanowieniami niniejszej Polityki.
Użytkownik rozpoczynający pracę zobowiązany jest przestrzegać procedur, które mają na celu sprawdzenie zabezpieczenia pomieszczenia, w którym przetwarzane są dane osobowe, swojego stanowiska pracy oraz stanu sprzętu komputerowego.
Wykorzystywanie zasobów sieci Internet następuje wyłącznie do realizacji zadań w związku z prowadzoną przez Administratora działalnością leczniczą.
Użytkownicy mają bezwzględny zakaz instalowania oprogramowania niewiadomego pochodzenia. O każdorazowej potrzebie instalacji dodatkowego oprogramowania powinien zostać powiadomiony Administrator.
Pracownicy Administratora są uprawnieni do wykorzystywania poczty elektronicznej do zadań na stanowiskach pracy pod warunkiem, że korzystają z adresów pocztowych Administratora. Istnieje bezwzględny zakaz korzystania z prywatnych skrzynek pocztowych do realizacji zadań pracowniczych.
Dopuszczalne jest przesyłanie plików zawierających dane osobowe drogą elektroniczną pod następującymi warunkami:
Użytkownik odbierający wiadomości mailowe kierowane do Administratora ma obowiązek zachować szczególną ostrożność w przypadkach, kiedy wiadomości zawierają załączniki, w których znajdują się pliki do rozpakowania. W każdej podejrzanej sytuacji użytkownik powinien skonsultować się z Administratorem.
Wysyłając korespondencję mailową do kilku odbiorców, użytkownik ma obowiązek korzystania z opcji „UDW” tj. ukrycia odbiorców wiadomości.
Wiadomości e-mail wysyłane przez Administratora oraz pracowników Administratora powinny zawierać informacje o przetwarzaniu danych osobowych. Wzór stopki wiadomości e-mail stanowi załącznik nr 7 do Polityki.
Administrator dopuszcza możliwość korzystania z komputerów przenośnych do realizacji zadań i prowadzenia działalności leczniczej.
W przypadku korzystania z komputerów przenośnych konieczne jest zachowanie szczególnych środków ostrożności, które uniemożliwią kradzież sprzętu oraz pozostawienie go bez nadzoru.
Komputer przenośny, na którym przechowuje się dane osobowe musi być bezwzględnie zabezpieczony hasłem lub uruchamiany metodą weryfikacji linii papilarnych użytkownika.
Użytkownik ma zakaz wykorzystywania na komputerach przenośnych niezweryfikowanych sieci bezprzewodowych, tj. publicznych, hotelowych i innych, które mogą umożliwić przeglądanie operacji przez osoby nieupoważnione.
Administrator odpowiada za niezawodność pracy systemów informatycznych i sprzętu informatycznego, z uwzględnieniem wytycznych dostawców sprzętu i oprogramowania.
Konserwacja sprzętu i oprogramowania winna odbywać się w miarę potrzeb, nie rzadziej jednak niż raz do roku.
Naprawy i konserwacje sprzętu w gabinecie lekarskim Administratora muszą się odbywać w czasie obecności lub pod nadzorem Administratora lub upoważnionej przez niego osoby.
Administrator dopuszcza możliwość dokonywania serwisowania i napraw za pomocą narzędzi zdalnych.
Nośniki papierowe (wydruki) nie przeznaczone do ponownego użytku oraz niearchiwizowane, powinny być natychmiast niszczone.
Nie ujmując znaczenia i doniosłości przepisów RODO, wykonujący dzialalność leczniczą Administrator, jak również pracownicy Administratora powinni mieć przede wszystkim na względzie obowiązek ratowania zdrowia i życia ludzkiego, poświęcając dobro jakim jest ochrona danych osobowych. Niezależnie od przepisów związanych z ochroną danych osobowych, wykorzystywanie danych Pacjenta powinno następować zawsze z poszanowaniem prywatności, intymności oraz godności Pacjenta, w tym jego prawa do zachowania w tajemnicy informacji z nim związanych, co wynika wprost z przepisu art. 20 ust. 1 u.p.p.
Administrator oraz pracownicy Administratora mają świadomość, że do minimum należy ograniczyć ryzyko ujawnienia danych osobowych dotyczących Pacjenta, w szczególności danych dotyczących zdrowia, np. poprzez ściszony głos czy też unikanie omawiania stanu zdrowia Pacjenta w miejscach, w których przebywają osoby nieuprawnione itp.
W przypadku kontaktu telefonicznego osoby dzwoniącej do gabinetu lekarskiego Administratora, pracownik Administratora powinien dostatecznie zweryfikować uprawnienie tej osoby do uzyskania informacji poprzez zadanie pytań kontrolnych, np. zapytanie o numer PESEL Pacjenta lub adres jego miejsca zamieszkania.
Należy kierować się zasadą minimalizacji i przekazywać telefonicznie jedynie te informacje, które są niezbędne do działania w stanie wyższej konieczności. Dodatkowych informacji udziela się po ustaleniu tożsamości osoby uprawnionej (np. osoby upoważnionej przez Pacjenta).
Polityka wraz z załącznikami stanowi wewnętrzną regulację Administratora i obowiązuje wszystkich pracowników i współpracowników Administratora.
Wszelkie zmiany Polityki obowiązują od dnia ich wprowadzenia w życie w sposób przyjęty u Administratora, z zaznaczeniem tychże zmian w Polityce.
Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszej Polityki traktowane będą jako ciężkie naruszenie obowiązków pracowniczych lub niewykonanie zobowiązania w przypadku stosunku prawnego innego niż stosunek pracy.
W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy powszechnie obowiązującego prawa, w tym w szczególności przepisy RODO i u.p.p.
Marek Brzeziński
Prywatna Praktyka Lekarska
