POLITYKA BEZPIECZEŃSTWA W ZAKRESIE OCHRONY DANYCH OSOBOWYCH
FIZJOPATIA sp. z o.o.
WPROWADZENIE
Karta praw podstawowych Unii Europejskiej reguluje ochronę danych osobowych w taki sposób,
aby zapewnić każdej osobie prawo do ochrony swoich danych osobowych. Dane te, zgodnie z
prawem, muszą być przetwarzane w sposób rzetelny, w określonych celach i na podstawie
odpowiedniej podstawy prawnej lub za zgodą osoby, której dane dotyczą. Niniejsza Polityka
Bezpieczeństwa została sporządzona w celu wykazania, że dane osobowe są przetwarzane i
zabezpieczone zgodnie z wymogami obowiązującego prawa.
PODSTAWOWE POJĘCIA
1. Centrum FIZJOPATIA – FIZJOPATIA sp. z o.o., z/s w Częstochowie (42-216), ul. Iglasta
2/4, NIP: 9492266575, REGON: 52756794800000, wpisana do rejestru przedsiębiorców KRS pod
nr 0001084463 oraz wpisana do rejestru podmiotów wykonujących działalność leczniczą
(RPWDL) nr wpisu 000000287173, będąca podmiotem leczniczym prowadzącym CENTRUM
FIZJOTERAPII I OSTEOPATII FIZJOPATIA, reprezentowana przez Igę Ciemiengę – Prezesa
Zarządu.
2. Administrator Danych Osobowych (ADO) – Administratorem Danych Osobowych jest
FIZJOPATIA sp. z o.o., reprezentowana przez Igę Ciemiengę.
3. Administrator Systemów Informatycznych (ASI) – osoba wyznaczona przez
Administratora Danych Osobowych (ADO) do nadzorowania przestrzegania zasad ochrony danych
osobowych w systemach informatycznych. W przypadku niepowołania ASI wszystkie jego zadania
realizuje ADO.
4. Użytkownik – osoba upoważniona przez ADO do przetwarzania danych osobowych.
5. Przetwarzanie danych – jakiekolwiek operacje wykonywane na danych osobowych, tj.
zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie.
Dotyczy to zarówno formy papierowej, jak i systemów informatycznych.
6. Zabezpieczenie danych – wdrożenie i wykorzystywanie stosownych środków
technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym
przetwarzaniem.
7. Procesor – podmiot zewnętrzny przetwarzający dane osobowe powierzone mu przez ADO.
Procesorem może być osoba fizyczna, osoba prawna, organ publiczny lub inny podmiot.
8. Obszar przetwarzania – budynek lub pomieszczenie, w którym przetwarzane są dane
osobowe.
9. Identyfikator – ciąg znaków literowych, cyfrowych lub innych, jednoznacznie
identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie
informatycznym.
10. Hasło – ciąg znaków literowych, cyfrowych lub innych, znany jedynie osobie uprawnionej
do pracy w systemie informatycznym.
11. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia
2016 r.
PODSTAWA PRAWNA
Podstawę prawną ochrony danych osobowych stanowią: Konstytucja RP (art. 47 i 51),
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w
sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie
swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, a także ustawa z dnia
10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000).
I. POSTANOWIENIA OGÓLNE
§ 1
Administratorem Danych Osobowych jest FIZJOPATIA sp. z o.o., z/s w Częstochowie (42-216),
ul. Iglasta 2/4, NIP: 9492266575, REGON: 52756794800000, wpisana do rejestru przedsiębiorców
KRS pod nr 0001084463 oraz wpisana do rejestru podmiotów wykonujących działalność leczniczą
(RPWDL) nr wpisu 000000287173, będąca podmiotem leczniczym prowadzącym CENTRUM
FIZJOTERAPII I OSTEOPATII FIZJOPATIA (dalej FIZJOPATIA sp. z.o.), reprezentowana
przez Igę Ciemiengę – Prezesa Zarządu.
§ 2
Polityka Bezpieczeństwa została przyjęta po to, aby zapewnić zgodność przetwarzania danych
osobowych z obowiązującym prawem, w taki sposób, aby osoby, których dane są przetwarzane,
bez obaw mogły je powierzyć FIZJOPATII sp. z o.o., a osoby przetwarzające te dane robiły to z
największą starannością i poszanowaniem praw przysługujących osobom, których dane dotyczą.
§ 3
Dla skutecznej realizacji Polityki Bezpieczeństwa Administrator zapewnia:
1) odpowiednie do zagrożeń i kategorii danych objętych ochroną środki techniczne i
rozwiązania organizacyjne,
2) kontrolę i nadzór nad przestrzeganiem przepisów dotyczących ochrony danych
osobowych,
3) monitorowanie zastosowanych środków ochrony – monitorowanie obejmuje m.in.
działania Użytkowników, zdarzenia naruszające przepisy dotyczące ochrony danych osobowych,
zapewnianie integralności plików oraz ochronę przed atakami zewnętrznymi i wewnętrznymi.
§ 4
Dane osobowe w FIZJOPATII sp. z o.o. przetwarzane są w celu realizacji zadań wynikających z
obowiązków prawnych lub charakteru świadczonych usług i wykonywanej pracy oraz na podstawie
umów zawieranych z kontrahentami, w związku z wypełnieniem obowiązku prawnego ciążącego
na administratorze (art. 6 ust. 1 lit. c RODO), jak również w celu archiwizacji dla celów
dowodowych, będącej realizacją prawnie uzasadnionego interesu zabezpieczenia informacji na
wypadek potrzeby wykazania faktów (art. 6 ust. 1 lit. f RODO). W szczególności dane osobowe
przetwarza się w celach:
1) Cele związane ze świadczeniem usług rehabilitacyjnych:
– ustalanie tożsamości pacjenta przed udzieleniem świadczenia,
– diagnoza medyczna i rehabilitacja,
– prowadzenie i archiwizacja dokumentacji medycznej pacjentów,
– zarządzanie procesem świadczeń rehabilitacyjnych, w tym potwierdzanie wizyt i ich
koordynacja,
2) Cele związane z obsługą administracyjną:
– obsługa interesantów przez formularze kontaktowe lub telefonicznie,
– realizacja umów z pacjentami, dostawcami lub innymi podmiotami,
– prowadzenie rejestru pacjentów,
– ustalenie i przechowywanie danych kontaktowych pacjentów lub – w określonych
przypadkach – danych osób upoważnionych,
3) Cele związane z marketingiem i komunikacją:
– przekazywanie informacji o usługach lub specjalnych ofertach,
– promowanie usług w mediach społecznościowych,
4) prowadzenie procesu rekrutacji,
5) przechowywanie faktur w celu rozliczeń rachunkowo-podatkowych oraz
sprawozdawczości finansowej,
6) prowadzenie akt osobowych pracowników w celu wypełnienia obowiązków pracodawcy
wynikających z obowiązujących przepisów prawa, w tym Kodeksu pracy oraz przepisów
szczególnych związanych z ubezpieczeniem społecznym,
7) w systemach informatycznych – w celu prowadzenia bazy pacjentów oraz tworzenia
skanów i kopii dokumentów niezbędnych do świadczenia usług,
8) zwiększenia i zapewnienia bezpieczeństwa pracy oraz umożliwienia wykrywania
czynności mogących szkodzić FIZJOPATII sp. z o.o. poprzez rejestrowanie wizerunku osób
znajdujących się na terenie przedsiębiorstwa.
§ 5
Polityka Bezpieczeństwa w zakresie ochrony danych osobowych w FIZJOPATII sp. z o.o. odnosi
się do danych osobowych przetwarzanych w następujących zbiorach:
1) tradycyjnych – papierowych (kartoteki, skorowidze, księgi, segregatory i inne),
2) w systemach informatycznych.
§ 6
Podstawowe zbiory danych osobowych w FIZJOPATII sp. z o.o. to zbiory zawierające m.in. dane:
1) pacjentów/klientów, w tym dane dotyczące stanu zdrowia,
2) pracowników i byłych pracowników,
3) podmiotów współpracujących,
4) kandydatów na pracowników,
5) wizerunek osób pochodzący z monitoringu wizyjnego.
§ 7
Przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony
jest co najmniej jeden z poniższych warunków:
1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w
jednym lub w większej liczbie określonych celów,
2) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane
dotyczą, lub do podjęcia działań na żądanie tej osoby przed zawarciem umowy,
3) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na
administratorze,
4) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą,
lub innej osoby fizycznej,
5) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym
lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
6) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów
realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których
nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby,
której dane dotyczą, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem,
7) zgoda na przetwarzanie danych osobowych powinna być dobrowolnym, konkretnym,
świadomym i jednoznacznym okazaniem woli osoby, której dane dotyczą.
II. ZASADY PRZETWARZANIA I OCHRONY DANYCH OSOBOWYCH
§ 8
Każda osoba, która przetwarza dane osobowe w FIZJOPATII sp. z o.o., ma obowiązek zapoznać
się z niniejszym dokumentem i postępować zgodnie z jego zapisami, aby zapewnić przetwarzanie
danych osobowych zgodnie z obowiązującym prawem.
§ 9
FIZJOPATIA sp. z o.o., w celu realizacji obowiązków wynikających z Rozporządzenia, prowadzi
rejestr czynności przetwarzania wraz z inwentaryzacją zasobów informacyjnych, w których
określone są kategorie informacji przetwarzanych w przedsiębiorstwie, opis sposobu ich
przetwarzania, opis celu przetwarzania, wskazanie podstawy prawnej przetwarzania, wskazanie
miejsca i okresu przechowywania danych oraz określony jest krąg osób mających dostęp do
danych. Rejestr przetwarzania wraz z inwentaryzacją zasobów informacyjnych stanowi załącznik
nr 1 i 1a do niniejszego dokumentu.
§ 10
FIZJOPATIA sp. z o.o. prowadzi wykaz budynków i pomieszczeń, w których przetwarzane są dane
osobowe. Wykaz pomieszczeń stanowi załącznik nr 2 do niniejszego dokumentu.
§ 11
Osoby przetwarzające dane w FIZJOPATII sp. z o.o. robią to tylko na podstawie pisemnego
upoważnienia, które nadaje Administrator. Pracownicy lub osoby ubiegające się o zatrudnienie,
których dane osobowe są przetwarzane w ramach trwającego stosunku pracy lub w ramach procesu
rekrutacyjnego, składają oświadczenie o wyrażeniu zgody. Osoby upoważnione do przetwarzania
danych mają obowiązek:
1) przetwarzać je zgodnie z obowiązującymi przepisami, w szczególności z
Rozporządzeniem i ustawą,
2) nie udostępniać ich oraz uniemożliwiać dostęp do nich osobom nieupoważnionym,
3) zabezpieczać je przed zniszczeniem,
4) informować Administratora o wszelkich sytuacjach mogących skutkować naruszeniem
bezpieczeństwa przetwarzanych danych osobowych.
§ 12
Wzór upoważnień, o których mowa w § 11, stanowi załącznik nr 3 do niniejszego dokumentu.
Wzór oświadczenia o wyrażeniu zgody stanowi załącznik nr 4 oraz nr 13. Wykaz osób, którym
ADO nadał upoważnienia, stanowi załącznik nr 5 do niniejszego dokumentu.
§ 13
Każda osoba, która posiada upoważnienie do przetwarzania danych osobowych i korzysta w tym
celu z systemów informatycznych, posiada swój identyfikator oraz hasło dostępu pozwalające
zalogować się do systemu. Identyfikator i hasło wyznacza Administrator. Techniczne wymagania,
jakie musi spełniać identyfikator i hasło, stanowią załącznik do Instrukcji zarządzania systemem
informatycznym (IZSI).
§ 14
W sytuacji, w której zachodzi konieczność dostępu do obszaru przetwarzania przez osoby
nieposiadające upoważnienia, a wykonujące doraźne prace o charakterze serwisowym,
sprzątającym lub innym, osoby te zobowiązane są do podpisania oświadczenia o zachowaniu
poufności, chyba że charakter wykonywanych czynności nie ma związku z danymi osobowymi.
Wzór oświadczenia o zachowaniu poufności stanowi załącznik nr 6 do niniejszego dokumentu.
§ 15
W sytuacji, w której FIZJOPATIA sp. z o.o. zleca przetwarzanie danych osobowych procesorowi
zewnętrznemu, czyni to wyłącznie na podstawie umowy o powierzeniu przetwarzania oraz
informuje wszystkie osoby, których dane dotyczą, o procesorach zewnętrznych. Wzór umowy o
powierzeniu przetwarzania stanowi załącznik nr 7 do niniejszego dokumentu. Ewidencja
podmiotów, którym firma powierza przetwarzanie danych, stanowi załącznik nr 8 do niniejszego
dokumentu.
§ 16
Dokumenty zawierające dane osobowe, przechowywane w formie papierowej, osoby upoważnione
przechowują w obszarze przetwarzania danych wyłącznie w szafach zamykanych na klucz. Do
kluczy dostęp mają tylko osoby upoważnione do przetwarzania danych osobowych. W przypadku
konieczności zniszczenia dokumentów papierowych zawierających dane osobowe, zniszczenia
dokonuje się poprzez pocięcie w niszczarce.
§ 17
Zasady przetwarzania danych osobowych w systemie informatycznym określone są w Instrukcji
zarządzania systemem informatycznym (IZSI).
§ 18
Nadzór i kontrolę nad przetwarzaniem danych osobowych w FIZJOPATII sp. z o.o. sprawuje
Administrator. Do jego zadań należy bezpośrednie nadzorowanie realizacji procedur związanych z
ochroną danych osobowych. Administrator może wyznaczyć pełnomocnika ds. ochrony danych
osobowych, który w jego imieniu będzie nadzorował i kontrolował zgodność przetwarzania danych
z obowiązującym stanem prawnym. Osoba sprawująca nadzór prowadzi następujące wykazy:
1) ewidencję osób, którym udzielono upoważnienia do przetwarzania danych osobowych –
załącznik nr 5,
2) wykaz pomieszczeń, w których przetwarzane są dane osobowe – załącznik nr 2,
3) wykaz podmiotów, z którymi zawarto umowy powierzenia przetwarzania danych
osobowych – załącznik nr 8,
4) wzór upoważnienia dla pełnomocnika ds. ochrony danych osobowych – załącznik nr 9
(jeżeli powołano).
§ 19
W przypadku otrzymania wniosku od osoby, której dane dotyczą, Administrator lub pełnomocnik
ds. ochrony danych osobowych przygotowuje odpowiedź w terminie 30 dni.
§ 20
Już w momencie zbierania danych osobowych od osoby, której dotyczą, Administrator lub jego
pełnomocnik jest obowiązany poinformować tę osobę, w przejrzystej dla niej formie, o:
1) adresie siedziby, pełnej nazwie przedsiębiorstwa oraz danych Administratora,
2) celu zbierania danych, a w szczególności o znanych odbiorcach i kategoriach danych,
3) prawach przysługujących w związku z przetwarzaniem danych:
a) dostępu do danych osobowych – art. 15 RODO,
b) sprostowania danych – art. 16 RODO,
c) usunięcia danych („prawo do bycia zapomnianym”) – art. 17 RODO,
d) ograniczenia przetwarzania danych – art. 18 RODO,
e) przenoszenia danych – art. 20 RODO,
f) żądania zaprzestania przetwarzania oraz prawie do wniesienia sprzeciwu – art. 21 RODO,
4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje –
wskazaniu podstawy prawnej.
§ 21
Informacje, o których mowa w § 20, znajdują się w klauzuli informacyjnej, która stanowi załącznik
nr 10 do niniejszego dokumentu.
§ 22
Klauzula informacyjna jest przedstawiana wszystkim podmiotom, których dane osobowe będą
przetwarzane przez FIZJOPATIĘ sp. z o.o., już przed przystąpieniem do zbierania od nich danych
osobowych.
§ 23
Administrator określa środki techniczne i organizacyjne niezbędne dla zapewnienia poufności,
integralności i rozliczalności przetwarzanych danych. Zapewnia takie środki ochrony, aby były one
adekwatne do stwierdzonego poziomu ryzyka, tj.:
1) ograniczenie dostępu do pomieszczeń, w których przetwarzane są dane osobowe,
wyłącznie do osób posiadających odpowiednie upoważnienie,
2) zamykanie pomieszczeń tworzących obszar przetwarzania w taki sposób, aby
uniemożliwić dostęp osobom postronnym,
3) wykorzystanie zamykanych szaf i sejfów do zabezpieczenia dokumentów,
4) wykorzystanie niszczarki do skutecznego usuwania dokumentów zawierających dane
osobowe,
5) ochronę sieci lokalnej przed działaniami inicjowanymi z zewnątrz (złośliwe
oprogramowanie, wirusy, trojany),
6) ochronę sprzętu komputerowego,
7) zabezpieczenie dostępu do urządzeń przy pomocy identyfikatorów i haseł,
8) wykorzystanie szyfrowania danych przy ich transmisji,
9) wdrożenie zabezpieczeń organizacyjnych (odpowiednie ustawienie biurek, zastosowanie
wygaszaczy ekranu).
§ 24
W przypadku stwierdzenia naruszenia ochrony danych osobowych administrator dokonuje oceny,
czy zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub wolności osób
fizycznych.
§ 25
W każdej sytuacji, w której zaistniałe naruszenie mogło powodować ryzyko naruszenia praw lub
wolności osób fizycznych, Administrator zobowiązany jest zgłosić fakt naruszenia organowi
nadzorczemu, jakim jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), bez zbędnej
zwłoki, jeżeli to możliwe, lecz nie później niż w terminie 72 godzin po stwierdzeniu naruszenia.
Jeżeli ryzyko naruszenia praw i wolności jest wysokie, Administrator zawiadamia o incydencie
także osobę, której dane dotyczą.
§ 26
Szczegółowa procedura dotycząca naruszeń, o których mowa w § 24 i § 25, stanowi załącznik nr
11 do niniejszego dokumentu.
§ 27
Administrator danych osobowych prowadzi rejestr naruszeń i incydentów, w którym dokładnie
opisuje zaistniałe wydarzenie, wskazuje źródło i datę zgłoszenia oraz działania korygujące i
zapobiegawcze. Notyfikacja naruszeń ochrony danych stanowi załącznik nr 12 do niniejszego
dokumentu. Wzór tabeli rejestru naruszeń stanowi załącznik nr 14 do niniejszego dokumentu.
III. POSTANOWIENIA KOŃCOWE
§ 28
Za niedopełnienie obowiązków wynikających z niniejszego dokumentu grozi odpowiedzialność na
podstawie art. 83 Rozporządzenia, Kodeksu pracy, ustawy o ochronie danych osobowych oraz
Kodeksu karnego.
§ 29
Wobec osoby, która w przypadku naruszenia ochrony danych osobowych nie podjęła działania
określonego w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby
zgodnie z określonymi zasadami, może być wszczęte postępowanie dyscyplinarne.
§ 30
Polityka Bezpieczeństwa oraz Instrukcja zarządzania systemem informatycznym są dokumentami
wewnętrznymi i nie mogą być udostępniane osobom postronnym w żadnej formie.
§ 31
Dokument wchodzi w życie z dniem 29 stycznia 2024 r.
Profesjonalne i skuteczne leczenie w przyjaznym otoczeniu. Sprawdź nasze specjalistyczne zabiegi dopasowane do Twoich potrzeb.
Usługi
Jak do nas dotrzeć
Kliknij tutaj!