POLITYKA OCHRONY DANYCH OSOBOWYCH
w ORTOCENTRUM Sp. z o.o

ul. Hubala Dobrzańskiego 155, 05-082 Nowe Babice

Niniejsza „Polityka Ochrony Danych Osobowych” jest dokumentem opisującym zasady ochrony danych osobowych stosowane w ORTOCENTRUM Sp. z o.o. z siedzibą Nowych Babicach, przy ul. Hubala Dobrzańskiego 155 (05-082). Dokument zapewnia zgodność działania z przepisami krajowymi w zakresie ochrony danych osobowych jak i rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Polityka Ochrony Danych Osobowych jest podstawowym dokumentem systemu ochrony danych osobowych, przetwarzanych w ORTOCENTRUM Sp. z o.o , biorąc pod uwagę stosowanie następujących zasad:

Przetwarzanie odbywa się:

1) w oparciu o podstawę prawną i zgodnie z prawem;
2) rzetelnie i uczciwie;
3) w sposób przejrzysty dla osoby, której dane dotyczą;
4) w konkretnych celach i nie „na zapas”;
5) nie więcej niż jest to konieczne;
6) z dbałością o prawidłowość danych;
7) nie dłużej niż jest to wymagane, bądź istnieje taka potrzeba;
8) zapewniając odpowiednie bezpieczeństwo danych.

Dokument „Polityka Ochrony Danych Osobowych” został opracowany w oparciu o wytyczne ujęte w następujących aktach prawnych:

Rozporządzenie ogólne Parlamentu i Rady (UE) tzw. RODO 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Ustawa o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz.U. z 2018 r. poz. 1000)

ROZDZIAŁ I: Terminy i definicje użyte w dokumencie „Polityka Ochrony Danych Osobowych”

„Prezes Urzędu Ochrony Danych Osobowych” - organ właściwy do spraw ochrony danych osobowych na terytorium Polski, utworzony ustawą z 10 maja 2018 roku o ochronie danych osobowych. Jest również organem nadzorczym w rozumieniu ogólnego rozporządzenia o ochronie danych (RODO).

„Administrator (danych)” - zwany dalej ADO, oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; w niniejszym dokumencie ADO jest ORTOCENTRUM Sp. z o.o.

„RODO” - rozporządzenie ogólne Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r w sprawie ochrony danych osobowych osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46 z dnia 27 kwietnia 2016r ( Dz. Urz. UE L 119 z 04-05-2016r ).

„Dane osobowe” - to wszelkie informacje związane ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną. Osoba jest uznawana za osobę bezpośrednio lub pośrednio identyfikowalną poprzez odniesienie do identyfikatora, takiego jak: nazwa, numer identyfikacyjny, dane dotyczące lokalizacji, identyfikator internetowy lub jeden lub więcej czynników specyficznych dla fizycznego, fizjologicznego, genetycznego, umysłowego, ekonomicznego, kulturowego lub społecznego tożsamości tej osoby fizycznej.

„Dane wrażliwe” - to dane szczególnie chronione (sensytywne) informujące o pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych lub filozoficznych, przynależności wyznaniowej, przynależności partyjnej lub związkowej, jak również dane o stanie zdrowia, kodzie genetycznym, danych biometrycznych, nałogach lub życiu seksualnym a także dane dotyczące skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

„Przetwarzanie danych osobowych” - to dowolna zautomatyzowana lub niezautomatyzowana operacja lub zestaw operacji wykonywanych na danych osobowych lub w zestawach danych osobowych i obejmuje :
Zbieranie, rejestrowanie, organizowanie,
Strukturyzowanie, przechowywanie, adaptację lub zmianę,
Wyszukiwanie, konsultacje, wykorzystanie,
Ujawnianie poprzez transmisję, rozpowszechnianie,
Udostępnianie w inny sposób, wyrównanie lub połączenie,
Ograniczenie, usunięcie lub zniszczenie danych osobowych

„Ograniczenie przetwarzania” - polega na oznaczeniu przetwarzanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.

„Anonimizacja” - zmiana danych osobowych w wyniku, której dane te tracą charakter danych osobowych.

„Zgoda osoby, której dane dotyczą” - oznacza dobrowolne, dowolnie określone, konkretne, świadome i jednoznaczne wyrażenie zgody, wskazanie osoby, której dane dotyczą za pomocą oświadczenia lub wyraźnego działania potwierdzającego, wyrażającego zgodę na przetwarzanie jej danych osobowych. Zgoda musi być udokumentowana we właściwy sposób, aby ją udowodnić. Zgoda nie może tez być domniemana lub dorozumiana. Powinna być wyrażona jasnym i prostym językiem.

„Poufność danych” - właściwość zapewniająca, że dane osobowe nie są udostępniane nieupoważnionym podmiotom.

„Integralność” - właściwość zapewniająca, że dane osobowe nie zostały zmienione, zniszczone w sposób nieautoryzowany.

„Rozliczalność” - oznacza, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi.

„Ocena skutków w ochronie danych” - to proces przeprowadzany przez Administratora jeśli jest wymagany przez obowiązujące prawo, jeśli to konieczne, z uczestnictwem Inspektora Ochrony Danych, przed przetwarzaniem w przypadku wystąpienia wysokiego ryzyka dla praw i wolności osób fizycznych. Należy uwzględnić wykorzystanie nowych technologii przy przetwarzaniu danych osobowych uwzględniając charakter, zakres, kontekst i cel przetwarzania oraz ryzyko. Proces ten musi ocenić wpływ planowanych operacji przetwarzania na ochronę danych osobowych.

„Podmiot danych” - podmiotem danych jest każda osoba fizyczna, która jest przedmiotem przetwarzanych danych.

„Odbiorca” - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego czy jest stroną trzecią.

„Podmiot przetwarzający” - (procesor) – to osoba fizyczna lub prawna, organ publiczny, agencja lub jakikolwiek inny organ przetwarzający dane osobowe w imieniu Administratora.

„Pseudonimizacja” - oznacza przetwarzanie danych osobowych w taki sposób (np. zastępowanie nazw liczbami), że danych osobowych nie można już przypisać do określonej osoby bez użycia dodatkowych informacji, narzędzi lub urządzeń.

„Profilowanie” - jest dowolna formą zautomatyzowanego przetwarzania danych osobowych, która polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej a w szczególności do : analizy lub prognozy aspektów dotyczących efektów pracy osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się tej osoby.

„Naruszenie ochrony danych osobowych” - jest to przypadkowy lub celowy niezgodny z prawem incydent prowadzący do: zniszczenia, utracenia, zmodyfikowania, nieuprawnionego dostępu, nieuprawnionego ujawnienia danych osobowych osoby fizycznej.

ROZDZIAŁ II: Osoby odpowiedzialne za ochronę danych osobowych w ORTOCENTRUM Sp. z o.o.

Osobami odpowiedzialnymi za przetwarzanie, ochronę i bezpieczeństwo danych osobowych oraz zastosowane w związku z tym środki techniczno – organizacyjne są:

Administrator danych osobowych.
Osoby wykonujące pracę na rzecz Administratora, które uzyskały upoważnienia do przetwarzania danych osobowych wymienione w Załączniku Nr. 1 do niniejszego dokumentu.

Administrator dokonuje kontroli zabezpieczenia danych, przestrzegania obowiązujących zasad, procedur, instrukcji i klauzul przez zatrudnionych pracowników.

ROZDZIAŁ III: Ogólne zasady bezpieczeństwa obowiązujące przy przetwarzaniu danych osobowych

Wprowadzenie odpowiednich zasad bezpieczeństwa przetwarzania danych zgodnie z przepisami RODO pozwala na prawidłową ich ochronę jak i przetwarzanie.

Ogólne zasady i postanowienia bezpieczeństwa przetwarzania danych w ORTOCENTRUM Sp. z o.o. są następujące :

Za bezpieczeństwo przetwarzania danych osobowych w określonym zbiorze, indywidualną odpowiedzialność ponosi przede wszystkim każdy pracownik mający dostęp do danych;
Pracownicy mający dostęp do danych osobowych w ramach udzielonego upoważnienia nie mogą ich ujawniać zarówno w miejscu pracy jak i poza nim, w sposób wykraczający poza czynności związane z ich przetwarzaniem w zakresie obowiązków służbowych;
W miejscu przetwarzania danych osobowych utrwalonych w formie papierowej, pracownicy zobowiązani są do stosowania zasady tzw. „czystego biurka”, co oznacza, że nie pozostawia się materiałów zawierających dane osobowe umożliwiając dostęp do nich osobom nieupoważnionym. Za realizację i przestrzeganie tej zasady odpowiedzialny jest każdy pracownik na swym stanowisku pracy;
Niszczenie brudnopisów, niepotrzebnych kopii dokumentów zawierających dane musi odbywać się w sposób uniemożliwiający odczytanie treści np. za pomocą niszczarek;
Zabronione jest wynoszenie materiałów zawierających dane poza obszar ich przetwarzania bez ważnego związku z wykonywaniem czynności służbowych. Za bezpieczeństwo i zwrot materiałów odpowiada w tym przypadku osoba dokonująca ich wyniesienia oraz jej bezpośredni przełożony;
Osoby nieuprawnione mogą przebywać w pomieszczeniach w których przetwarzane są dane osobowe tylko w obecności osoby upoważnionej do przetwarzania danych osobowych.
Wszyscy pracownicy zobowiązani są do zamykania na klucz wszelkich pomieszczeń i budynków wchodzących w skład obszarów w których przetwarzane są dane zarówno w czasie ich chwilowej nieobecności jak i po zakończeniu dnia pracy. Klucze nie mogą być pozostawione w zamkach drzwi. Osoby posiadające klucze zobowiązane są do dołożenia należytej staranności odnośnie bezpiecznego ich przechowywania.

Pozostałe zasady ochrony danych osobowych obowiązujące w ORTOCENTRUM Sp. z o.o.:

Dane osobowe, a w szczególności imiona i nazwiska, numery PESEL, serie i numery dowodów osobistych, numery telefonów, zdjęcia osób, nagrania z monitoringu, nagrania z programu służącego do analizy chodu pacjenta (Conten plus) i wszelkie inne dane pozwalające zidentyfikować osobę fizyczną muszą być chronione przed dostępem osób nieupoważnionych.

Zabrania się zapisywać dane osobowe w inny sposób lub w innej formie, niż to wynika z zakresu obowiązków na zajmowanym stanowisku.
Zabrania się pobierania od osób fizycznych dokumentów tożsamości takich jak, dowód osobisty, prawo jazdy, paszport lub jakichkolwiek innych urzędowych dokumentów osobistych. Dokumenty te mogą być przedstawione jedynie do wglądu celem sporządzenia adnotacji, a właściciel dokumentu tożsamości nie może tracić go z oczu.
Zabrania się udostępniania osobom nieupoważnionym danych osobowych, a w szczególności faktur, umów, korespondencji reklamacyjnej, danych biznesowych, zamówień oraz wszelkich innych nośników zawierających dane osobowe.
Zabrania się pozostawiania bez nadzoru osób upoważnionych nośników danych osobowych pendrive, dyskietek, dysków twardych komputerowych w publicznie dostępnych miejscach takich jak sale konferencyjne, pokoje spotkań, oraz w innych dostępnych miejscach, do których może mieć dostęp osoba nieupoważniona.
Zabrania się ujawniania w miejscach publicznych danych osobowych poprzez rozmowy (w tym telefoniczne), wezwania głosowe lub inne formy werbalnego ujawniania danych osobowych identyfikujących osoby fizyczne.
Należy w sposób szczególny chronić tzw. dane wrażliwe (sensytywne), takie jak : informacje o stanie zdrowia, nałogach, życiu seksualnym, dane genetyczne, dane biometryczne, wyroki skazujące, skazania i orzeczenia sądowe lub kary administracyjne, mandaty karne i kwestionariusze osobowe – CV.
W przypadku kradzieży lub podejrzenia ujawnienia danych osobowych osobie nieupoważnionej, należy niezwłocznie powiadomić bezpośredniego przełożonego oraz Administratora.
Wszelkie dane osobowe przetwarzane w ORTOCENTRUM Sp. z o.o. stanowią własność pracodawcy, ale muszą być udostępniane osobom fizycznym na każde ich wezwanie czy prośbę.
Nieprzestrzeganie powyższych obowiązków może być potraktowane przez pracodawcę jako ciężkie naruszenie postanowień umownych. Może spowodować i prowadzić do natychmiastowego rozwiązania umowy o pracę. Za poniesione straty Klinika może dochodzić rekompensaty na drodze sądowej a także złożyć zawiadomienie do organów ścigania o popełnienie czynu zabronionego narażającego prawa i wolności osób fizycznych.
Pracownik, który widział incydent lub naruszenie ma obowiązek w trybie natychmiastowym poinformować Administratora najpóźniej w ciągu 24 godzin, gdyż Administrator ma obowiązek poinformować o incydencie organ nadzorczy w terminie 72 godzin. Zgodnie z przepisami pracownik ma obowiązek podjąć stosowne działania przewidziane procedurami i instrukcjami dotyczącymi ochrony danych osobowych.
Natomiast w załączniku Nr. 9 do Polityki Ochrony Danych Osobowych znajduje wzór rejestrów dotyczących incydentów bezpieczeństwa i działań korygujących i zapobiegawczych oraz rejestr korzystania z praw osobom, których dane dotyczą i rejestr udostępnień danych.

Procedura postępowania w sytuacji naruszenia ochrony danych osobowych w ORTOCENTRUM Sp. z o.o.
Ogólny tryb postępowania i zachowania się pracowników w przypadku wystąpienia naruszenia zasad ochrony danych osobowych reguluje art. 33 RODO, który mówi, że w przypadku naruszenia ochrony danych Administrator bez zbędnej zwłoki nie później niż w terminie 72 godzin po stwierdzeniu naruszenia zgłasza je organowi nadzorczemu wg. właściwości, zadań i uprawnień o czym stanowi art. 55 – RODO;
Administrator dokumentuje wszelkie naruszenia ochrony danych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na zweryfikowanie przestrzegania przepisów (art. 33 i 34 RODO).

Istotę naruszenia ochrony danych osobowych, szczegółowe w tym zakresie postępowanie oraz sankcje karne zawiera Załącznik Nr. 5 do niniejszego dokumentu.

ROZDZIAŁ IV: Wykaz zbiorów danych osobowych przetwarzanych przez ORTOCENTRUM Sp. z o.o.

Zbiór I. „PERSONEL” - Zbiór obejmuje dane pracowników (obecnych i byłych). Zawiera niezbędne dane (np. dla celów naliczania podatków oraz na poczet ubezpieczeń społecznych). Dane przekazywane są do właściwych miejscowo Urzędów Skarbowych, oraz ZUS. Dane osobowe pozyskiwane są bezpośrednio od osób, których dane dotyczą. Natomiast przetwarzane są na podstawie przepisów prawa oraz wyrażonej zgody np. przelewanie wynagrodzenia na wskazany rachunek bankowy. Dane osobowe w tym zbiorze przetwarzane są zarówno w formie papierowej oraz przy pomocy systemu informatycznego

Zbiór II. „PACJENCI” - Zbiór stanowią dane osób, które są klientami (pacjentami) ORTOCENTRUM Sp. z o.o. Dane są pozyskiwane bezpośrednio od osób, których dane dotyczą i przetwarzane są w postaci papierowej (kartoteki) oraz przy pomocy systemu informatycznego (Subiekt GT).

Zbiór III. „KONTRAHENCI” – zbiór stanowią dane partnerów biznesowych ORTOCENTRUM Sp. z o.o., które pozyskiwane są bezpośrednio od kontrahentów. Dane te zawierają podstawowe dane w postaci: imienia, nazwiska, nazwy, adresu, danych dostępnych w rejestrze KRS bądź CEIDG. Dane te przetwarzane są w wersji papierowej oraz w systemie informatycznym Subiekt GT, MS Office oraz poprzez pocztę elektroniczną.

Zbiór IV. „REKRUTACJA PERSONELU” - Zbiór stanowią dane osobowe osób ubiegających się o zatrudnienie lub współpracę w ramach umów cywilnych. Dane zbierane są od osób, których te dane dotyczą. Przetwarzanie danych dokonuje się drogą internetową z wykorzystaniem poczty elektronicznej oraz w wersji papierowej.

Zbiór V. „UCZESTNICY KURSÓW I SZKOLEŃ” – Zbiór stanowią dane osobowe osób biorących udział w szkolenia oraz kursach organizowanych przez ORTOCENTRUM Sp. z o.o. Dane są zbierane od uczestników kursów. Przetwarzanie dokonuje się drogą internetową z wykorzystaniem poczty elektronicznej oraz wersji papierowej.

ROZDZIAŁ V: Opis struktury zbiorów danych i sposobu przepływu danych pomiędzy poszczególnymi systemami w formie rejestru czynności przetwarzania

Na opis struktury zbiorów danych składa się nazwa, opis danego zbioru wraz z podaniem aktywów i tryb procesu przetwarzania z opisem funkcjonalnym. Każdy opis zbioru zawiera w sobie następujące parametry:
Nazwa zbioru – opis kategorii osób,
Cele przetwarzania,
Kategorie odbiorców,
Kategorie odbiorców w państwach trzecich,
Planowane terminy usunięcia poszczególnych kategorii danych,
Opis technicznych i organizacyjnych środków bezpieczeństwa,
Opis kategorii danych osobowych,
Podstawa prawna przetwarzania.

W opisie aktywów uwzględnione są natomiast takie parametry jak:
Informacje – dokumentacja papierowa,
Programy i systemy operacyjne,
Infrastruktura IT,
Infrastruktura,
Pracownicy i współpracownicy,
Outsourcing.

W opisie procesu przetwarzania z kolei, w opisie funkcjonalnym zawarte są te informacje, które artykułują i odnoszą się w swej treści do charakterystyki danego zbioru, zatem są dla każdego zbioru inne i radykalnie się różnią. Wszystkie 5 zbiorów ORTOCENTRUM Sp. z o.o. zostały opisane w Załączniku Nr. 6 tego dokumentu.

ROZDZIAŁ VII: Upoważnienia

Upoważnienie do przetwarzania danych osobowych to kluczowy element systemu ochrony danych osobowych w ORTOCENTRUM Sp. z o.o. Upoważnienie do przetwarzania danych to dokument, w którym Administrator ceduje prawo do ich przetwarzania na swoich współpracowników.
Zasady nadawania uprawnień są następujące:

Pracownicy otrzymują upoważnienia do konkretnych zbiorów danych i tylko w tych zbiorach mogą przetwarzać dane;
Upoważnienie nadane pracownikowi ma w swoim założeniu minimalizować ryzyko wycieku danych osobowych. Podpisując taki dokument, pracownik będzie bardziej świadomy ciążącej na nim odpowiedzialności;
Nadanie upoważnienia zobowiązuje każdego pracownika do zapoznania się z przepisami i regulacjami wewnętrznymi z zakresu ochrony danych osobowych;
Nadanie upoważnienia jest ściśle powiązane z ewentualnym wystąpieniem incydentu, gdy konieczne będzie ustalenie czy dany pracownik działał w ramach nadanego mu uprawnienia;
Nadanie uprawnienia może w wielu sytuacjach (o ile takowe by wystąpiły) zwolnić całkowicie lub częściowo z odpowiedzialności Administratora w związku z wystąpieniem incydentu czy naruszenia;
Nadawanie upoważnień może być zsynchronizowane z nadawaniem uprawnień w systemie informatycznym;
W upoważnieniu wskazane powinno być do jakich konkretnie systemów informatycznych ma dostęp dany pracownik organizacji.

ROZDZIAŁ VIII: Środki techniczne i organizacyjne zabezpieczające dane osobowe

W celu stworzenia właściwych zabezpieczeń, organizacyjnych i technicznych w ORTOCENTRUM Sp. z o. o., które powinny bezpośrednio oddziaływać na procesy przetwarzania danych wprowadza się następujące środki organizacyjne:

Ochrona pomieszczeń wykorzystanych do przetwarzania danych osobowych znajdujących się w budynku przy ul. Hubala Dobrzańskiego 155:

- biuro openspace,
- pomieszczenia warsztatowe,
- gipsownia,
- magazyn,
- pomieszczenie laminacji,
- maszynownia,
- izba ekspedycyjna,
- pomieszczenia pobierania miary 01/02,
- poczekalnia
- hol - parter, I piętro,
- gabinet.

Dokumentacja papierowa po godzinach pracy przechowywana jest w zamykanych biurkach i szafach ORTOCENTRUM Sp. z o.o.;
Przebywanie osób nieuprawnionych w obszarze przetwarzania danych jest dopuszczalne tylko w obecności osób upoważnionych do przetwarzania.

2) Przedsięwzięcia w zakresie zabezpieczenia sprzętu komputerowego:

Dla zapewnienia ciągłości działania systemów informatycznych służących do przetwarzania danych osobowych, stosuje się w nich sprzęt wraz z oprogramowaniem wyprodukowane przez renomowanych producentów z licencjonowanym oprogramowaniem wraz z zabezpieczeniem przed awarią zasilania czy zakłóceniami w sieci zasilającej;
Zbiory danych osobowych oraz programy służące do przetwarzania są chronione i zabezpieczone przed nieuprawnionym dostępem i opisane są w „Instrukcji zarządzania systemem informatycznym”;
Kopie danych tworzy i za nie odpowiada – …………………………..

3) Przedsięwzięcia w zakresie ochrony teletransmisji danych:

W celu ochrony systemów informatycznych służących do przetwarzania danych osobowych przed zagrożeniami pochodzącymi z Internetu stosowane są zabezpieczenia chroniące przed nieuprawnionym dostępem poprzez zabezpieczenie zasobów informatycznych oprogramowaniem antywirusowym.

Oprogramowanie antywirusowe jest automatyczne i na bieżąco aktualizowane,

Dostęp z sieci publicznej nadzorowany jest przez firewall.

4) Przedsięwzięcia w zakresie środków ochrony w ramach oprogramowania systemów:

W celu zapewnienia kontroli operacji dokonywanych przez użytkowników systemu informatycznego, w systemie dla każdego użytkownika rejestrowany jest odrębny identyfikator i hasło. Hasło dostępu do systemu operacyjnego lub aplikacji składa się z co najmniej 8 znaków, zawiera małe i wielkie litery, oraz cyfry i znaki specjalne.

W przypadku dostępu do programu Content plus, wyłącznie jeden pracowników posiada kod dostępu do programu. Każdorazowe uruchomienie programu przez innego pracownika, jest zatem uwarunkowane otrzymaniem klucza dostępu.

5) Przedsięwzięcia w zakresie środków ochrony w ramach narzędzi baz danych i innych narzędzi programowych:

W celu ochrony zbiorów danych osobowych prowadzonych w systemach informatycznych przed nieuprawnionym dostępem, stosuje się mechanizmy kontroli dostępu do tych danych.

Nośniki danych, zawierające dane osobowe są przechowywane w miejscach uniemożliwiających dostęp do nich osobom nieupoważnionym.

Po ustaniu przydatności danych osobowych zawartych na nośnikach, dane są trwale usuwane (bez możliwości odtworzenia ich treści).

Urządzenia, dyski, pendrive lub inne nośniki informacji zawierające dane osobowe nie nadające się do naprawy, są niszczone w sposób uniemożliwiający odczytanie zapisanych na nich informacji.

6) Przedsięwzięcia w zakresie środków ochrony w ramach systemu użytkowego:

W celu ochrony danych osobowych przetwarzanych na stacjach roboczych na czas krótkotrwałego opuszczenia stanowiska pracy przez użytkownika systemu, stosuje się mechanizm blokady stacji roboczej – wygaszacz ekranu zabezpieczony hasłem,

Przed opuszczeniem miejsca pracy na dłuższy czas, użytkownik obowiązany jest wylogować się z systemu lub zablokować komputer.

Całkowicie zabronione jest instalowanie nieautoryzowanych programów na stacjach roboczych, pod rygorem sankcji karnych.

W ORTOCENTRUM Sp. z o.o. stosuje się oprogramowanie antywirusowe z automatyczną aktualizacją w celu ochrony systemu przed działaniem złośliwego oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego.

7) Przedsięwzięcia w zakresie środków organizacyjnych:

ORTOCENTRUM Sp. z o.o. prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych.

Dostęp do danych osobowych jest możliwy tylko po uzyskaniu formalnego upoważnienia od Administratora do przetwarzania danych osobowych.

W celu przestrzegania procedur, zasad, klauzul zgodnie z RODO wprowadzona została w życie i opracowana „Instrukcja zarządzania systemem informatycznym”.

Na bieżąco monitorowane są przez Administratora wdrożone zabezpieczenia i rozwiązania służące ochronie i bezpieczeństwa przetwarzanych danych osobowych.

Co najmniej raz do roku przeprowadzane są przeglądy i uaktualnienia najważniejszych dokumentów dotyczących ochrony i bezpieczeństwa danych jak „Polityka Ochrony Danych Osobowych” i „Instrukcja Zarządzania Systemem Informatycznym”.

Cały personel ORTOCENTRUM Sp. z o.o. zobowiązany został do zachowania w tajemnicy sposobów i metod przetwarzania danych osobowych oraz zastosowanych środków ochrony i bezpieczeństwa zarówno w czasie trwania zatrudnienia jak i po jego ustaniu.

ROZDZIAŁ IX: Obszar w którym przetwarzane są dane osobowe

1. Obszar pomieszczeń, w których przetwarzane są dane osobowe obejmuje zarówno miejsca, w których wykonuje się operacje na danych (wpisuje, modyfikuje, kopiuje) jak również miejsca, gdzie przechowuje się wszelkie nośniki informacji zawierające dane osobowe. Do obszaru przetwarzania zalicza się także budynki następujących podmiotów:
- Biuro Rachunkowe

2. Natomiast pomieszczeniami i budynkami ORTOCENTRUM Sp. z o.o., w których przetwarzane są dane osobowe poszczególnych zbiorów jest wyłącznie lokal ORTOCENTRUM Sp. z o.o. przy ul. Hubala Dobrzańskiego 155.

ROZDZIAŁ X: Zasady obsługi pacjentów w ORTOCENTRUM Sp. z o.o.
Z uwagi na fakt obsługiwania przez ORTOCENTRUM Sp. z o.o. pacjentów, a tym samym przetwarzania danych osobowych o szczególnym charakterze tj. dotyczących stanu ich zdrowia, obsługa pacjenta odbywa się w oparciu o wytyczne medycznego Kodeksu branżowego.
Tym samym należy przyjąć, iż każdorazowa osobista bądź telefoniczna obsługa pacjenta wiąże się z koniecznością weryfikacji jego tożsamości.
Mimo, iż każdorazowa wizyta pacjenta w ORTOCENTRUM Sp. z o.o. poprzedzona jest indywidualnym umówieniem terminy, pracownik zobowiązany jest do weryfikacji tożsamości pacjenta przed:
- utrwaleniem danych osobowych zebranych bezpośrednio od Pacjenta, w szczególności w związku z udzielaniem świadczeń, chyba że ustalenie tożsamości przed uzyskaniem świadczenia nie jest możliwe i mogłoby istotnie utrudnić lub uniemożliwić uzyskanie świadczenia;
- spełnieniem obowiązków informacyjnych lub udzieleniem odpowiedzi na wynikające z przepisów RODO żądania związane z przetwarzaniem danych osobowych zgodnie z art. 15-22 RODO;
- udostępnieniem Pacjentowi informacji zawartych w Karcie pacjenta.
Weryfikacji tożsamości Pacjenta dokonuje się poprzez kontrolę okazanego przez Pacjenta dokumentu potwierdzającego tożsamość zawierającego co najmniej zdjęcie, imię i nazwisko oraz PESEL lub w przypadku jego braku inny numer jednoznacznie identyfikujący Pacjenta. Dokumentem potwierdzającym tożsamość jest w szczególności:
- dowód osobisty,
- legitymacja studencka,
- prawo jazdy,
- paszport,
- inny dokument urzędowy ze zdjęciem.
W przypadku, jeżeli w imieniu Pacjenta małoletniego występuje przedstawiciel ustawowy, to tożsamość Pacjenta może być potwierdzona również przez przedstawiciela ustawowego w drodze oświadczenia i okazania dowodu tożsamości przedstawiciela ustawowego. Pracownik rejestracji może utrwalić informację o dacie dokonania weryfikacji oraz dokumencie przedstawiciela ustawowego, na podstawie którego została ona dokonana.

Rejestracja przez telefon
W przypadku gdy weryfikacja tożsamości realizowana jest w sposób inny niż osobiście (np. na odległość lub przy użyciu środków komunikacji elektronicznej) lub w sytuacji powzięcia przez pracownika wątpliwości co do tożsamości osoby zgłaszającej żądanie, pracownik uprawniony jest do żądania dodatkowych informacji lub podjęcia przez osobę zgłaszającą żądanie dodatkowych działań niezbędnych do potwierdzenia tożsamości tej osoby, takich jak:
podanie dodatkowych danych osobowych w celu ich porównania z posiadanymi ;
kontrolę na odległość dokumentu potwierdzającego tożsamość;
dokonanie czynności weryfikacyjnych przy użyciu dostępnych pracownikowi rejestracji oraz osobie zgłaszającej żądanie narzędzi, w tym przy wykorzystywaniu kwalifikowanego podpisu elektronicznego lub podpisu potwierdzonego profilem zaufanym ePUAP, przelewu bankowego potwierdzającego zgodność danych, dwu lub kilkustopniowe uwierzytelnienie w systemie teleinformatycznym
W celu uniknięcia wątpliwości, zakres danych, jakich może żądać pracownik w celu potwierdzenia tożsamości może być szerszy, niż wymagany ustawowo zakres danych identyfikujących Pacjenta zawartych w dokumentacji medycznej, przy czym zakres danych, których pracownik rejestracji żąda od Pacjenta lub jego przedstawiciela ustawowego lub opiekuna faktycznego powinien być adekwatny do rodzaju przetwarzanych danych, rodzaju zgłaszanego żądania oraz sposobu kierowania żądania i udzielania odpowiedzi na to żądanie, mając na względzie zapewnienie realizacji praw przysługujących Pacjentom i innym osobom w sposób możliwie najmniej uciążliwy.

ROZDZIAŁ XI: Postanowienia końcowe

Treść „Polityki Ochrony Danych Osobowych” jest dokumentem wewnętrznym ORTOCENTRUM Sp. z o.o. i nie może być udostępniana w żadnej formie osobom nieuprawnionym.

Każda osoba zatrudniona w ORTOCENTRUM Sp. z o.o. przetwarzająca dane osobowe, zobowiązana jest do zapoznania się z treścią tego dokumentu jak i z „Instrukcją Zarządzania Systemem Informatycznym”.

Każdy użytkownik zobowiązany jest złożyć oświadczenie o tym, że został zaznajomiony z przepisami RODO i nowej ustawy o ochronie danych osobowych obowiązującej od 25 maja 2018 r.

Oświadczenia wyżej wymienione przechowywane będą w aktach osobowych pracowników zatrudnionych w ORTOCENTRUM Sp. z o.o. zgodnie z przepisami.

Wszyscy pracownicy zatrudnieni w ORTOCENTRUM Sp. z o.o., zobowiązani są do bezwzględnego przestrzegania przy przetwarzaniu danych osobowych wszystkich postanowień, zasad RODO i nowej ustawy o ochronie danych osobowych, instrukcji, procedur i klauzul. Dokumenty takie jak „Polityka Ochrony Danych Osobowych”, „Instrukcja Zarządzania Systemem Informatycznym” oraz „Regulamin Ochrony danych Osobowych” są najważniejszymi dokumentami systemu ochrony danych osobowych jaki funkcjonuje w ORTOCENTRUM Sp. z o.o.