Polityka RODO

1. Podstawy przetwarzania danych osobowych przez Administratora

1.1. Przetwarzanie danych osobowych zwykłych przez Administratora jest zgodne z prawem wyłącznie wtedy, gdy (art. 6 ust. 1 RODO):

1. osoba, której dane dotyczą, wyraziła zgodę na ich przetwarzanie (art. 6 ust. 1 lit a RODO),
2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub jest konieczne do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit b RODO),
3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit c RODO w zw. z art. 25 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2023 r. poz. 1545 ze zm.)
4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej (art. 6 ust. 1 lit d RODO w zw. z art. 25 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2023 r. poz. 1545 ze zm.)),
5. przetwarzanie jest niezbędne do wykonywania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit e RODO),
6. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit f RODO). Na przesłankę prawnie uzasadnionego interesu realizowanego przez administratora lub osobę trzecią nie mogą się powołać organy publiczne w ramach wykonywania swoich zadań.

1.2. Przetwarzanie szczególnych kategorii danych jest co do zasady jest zabronione. Jednak art. 9 ust. 2 RODO przewiduje zamknięty katalog przesłanek, a spełnienie choć jednej, uprawnia Administratora do przetwarzania tego rodzaju danych osobowych.

1.3. W przypadku Administratora będą to najczęściej:

1. niezbędność przetwarzania danych do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy (art. 9 ust. 2 lit. h RODO w szczególności w zw. z art. 25 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2023 r. poz. 1545 ze zm.);
2. udzielenie przez osobę, której dane dotyczą, lub przez jej opiekuna prawnego (w przypadku niepełnoletnich), wyraźnej zgody na przetwarzanie danych w konkretnym celu lub celach (art. 9 ust. 2 lit a RODO),
3. niezbędność przetwarzania danych do wypełnienia obowiązków i wykonywania poszczególnych praw przez administratora lub osobę, której dane dotyczą w dziedzinie prawa pracy, zabezpieczenia socjalnego i społecznego (art. 9 ust. 2 lit b RODO);
4. niezbędność przetwarzania danych do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, o ile osoba, której dane dotyczą jest niezdolna do wyrażenia zgody
5. przetwarzanie danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą (art. 9 ust. 2 lit e RODO);
6. niezbędność przetwarzania danych ze względów związanych z ważnym interesem publicznym, o ile przepisy nie naruszają istoty prawa do ochrony danych (art. 9 ust. 2 lit g RODO) – tylko w przypadku, gdy administrator będzie realizował wyraźnie wskazany interes publiczny
7. niezbędność przetwarzania danych do celów archiwalnych w interesie publicznym, do celów badań naukowych, historycznych lub statystycznych (art. 9 ust. 2 lit j RODO).

1.4. Każda z przesłanek legalności przetwarzania danych z pkt 1.1 i 1.2 ma charakter samodzielny. Spełnienie przynajmniej jednej z nich uprawnia Administratora do ich przetwarzania.

1.5. Podstawą prawną przetwarzania danych osobowych podmiotów danych przez Administratora – Przychodnię na Szwederowie – jest przede wszystkim art. 6 ust. 1 lit. c oraz d RODO a także art. 9 ust. 2 lit. h oraz c RODO w szczególności w zw. z art. 25 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta

2. Obowiązek informacyjny z art. 13 i 14 RODO

2.1. Administrator przekazuje podmiotom danych informacje, o których mowa w art. 13 i 14 RODO w zwięzłej, przejrzystej, zrozumiałej oraz łatwo dostępnej formie, a także jasnym i prostym językiem, w tym w formie graficznej.

2.2. Obowiązek informacyjny może być zrealizowany poprzez podjęcie co najmniej 2 ze wskazanych poniżej działań podjętych jednocześnie przez Administratora:

1. umieszczenie klauzul informacyjnych w dokumentach przekazywanych podmiotowi danych; lub
2. umieszczenie klauzul informacyjnych na stronie internetowej Administratora lub w systemie informatycznym dostępnym dla podmiotu danych; lub
3. umieszczenie informacji na tablicach informacyjnych w przestrzeniach ogólnodostępnych, najczęściej wykorzystywanych przez podmiotów danych.

2.3. Obowiązki informacyjne z art. 13 ust 1-3 RODO nie mają zastosowania, gdy – i w zakresie, w jakim – osoba, której dane dotyczą, dysponuje już tymi informacjami.

2.4. Obowiązki informacyjne z art. 14 ust. 1 – 5 RODO nie mają zastosowania, gdy – i w zakresie, w jakim:

1. osoba, której dane dotyczą, dysponuje już tymi informacjami;
2. udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku;
3. pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega Administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą; lub
4. dane osobowe muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy zawodowej przewidzianym w prawie Unii lub w prawie państwa członkowskiego, w tym ustawowym obowiązkiem zachowania tajemnicy.

3. Prawo podmiotu danych do dostępu do swoich danych (art. 15 RODO)

3.1. Podmiot danych jest uprawniony do uzyskania od Administratora potwierdzenia, czy przetwarzane są dane osobowe jego dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich

3.2. Administrator dostarcza podmiotowi danych (na wniosek) kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli podmiot danych zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.

3.3. Podmiot danych ma również prawo żądać od Administratora informacji z art. 13 i 14 RODO.

4. Prawo podmiotu danych do sprostowania i uzupełnienia danych osobowych (art. 16 RODO)

4.1. Podmiot danych ma prawo zażądać w każdym momencie niezwłocznego sprostowania danych osobowych go dotyczących, które przetwarza Administrator. Ma również prawo żądania uzupełnienia niekompletnych danych osobowych na jego temat przetwarzanych przez Administratora, w tym poprzez przedstawienie dodatkowego oświadczenia.

4.2. Wraz z wykonaniem żądania podmiotu danych dotyczącego sprostowania lub uzupełnienia danych osobowych, wprowadzający dokonuje oceny istotności i charakteru sprostowań i uzupełnień.

5. Prawo podmiotu danych do bycia zapomnianym (art. 17 RODO)

5.1. Prawo podmiotu danych do bycia zapomnianym nie znajduje zastosowania wobec danych osobowych przetwarzanych na podstawie art. 6 ust. 1 lit c RODO, w tym w szczególności wobec danych przetwarzanych w ramach wykonania zadania realizowanego w interesie publicznym na podstawie art. 6 ust. 1 lit e RODO.

5.2. Administrator odmawia zrealizowania prawa podmiotu danych do bycia zapomnianym w odniesieniu do danych osobowych zawartych w dokumentacji Administratora przez cały wymagany przepisami prawa okres archiwizacji dokumentacji.

5.3. W przypadku, gdy przetwarzanie danych osobowych podmiotu danych odbywa się na podstawie zgody może zrealizować prawo do bycia zapomnianym w zakresie celu, w którym dane osobowe są przetwarzane na podstawie tej zgody, pod warunkiem, że zachodzi przynajmniej jedna z przesłanek wskazanych w art. 17 ust. 1 RODO. Czyli jeśli:

1. osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie;
2. osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust.1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania;
3. dane osobowe były przetwarzane niezgodnie z prawem;
4. dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii;
5. dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego,

6. Prawo podmiotu danych do żądania ograniczenia przetwarzania danych (art. 18 RODO)

Pomimo żądania przez podmiot danych ograniczenia przetwarzania zgodnie z przesłanką określoną w art. 18 ust. 1 lit a RODO (tj. – osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych) – w odniesieniu do danych osobowych podmiotów danych przetwarzanych na podstawie art. 6 ust. 1 lit c oraz e RODO, Administrator może przetwarzać te dane w dotychczasowym zakresie, bowiem ograniczenie przetwarzania danych dokonywanego w wyżej wymienionych celach mogłoby istotnie utrudnić realizację tych celów.

7. Prawo podmiotu danych do przenoszenia danych (art. 20 RODO)

7.1. Prawo podmiotu danych do przenoszenia danych nie znajduje zastosowania wobec danych osobowych przetwarzanych przez Administratora na podstawie art. 6 ust. 1 lit. c, e RODO.

7.2. W przypadku otrzymania żądania podmiotu danych związanego z wykonywaniem prawa do przenoszenia danych w odniesieniu do danych osobowych zgromadzonych w dokumentacji Administratora, Administrator ma obowiązek poinformować podmiot danych o braku możliwości wykonywania tego prawa oraz poinformować o trybie w jakim może on uzyskać dostęp do swoich danych.

8. Prawo interesanta do sprzeciwu wobec przetwarzania danych osobowych (art. 21 RODO)

Prawo podmiotu danych do sprzeciwu wobec przetwarzania danych osobowych nie znajduje zastosowania wobec danych osobowych przetwarzanych przez Administratora na podstawie art. 6 ust. 1 lit. c RODO.

9. Przetwarzanie danych na podstawie zgody podmiotu danych

9.1. Jeżeli przetwarzanie danych odbywa się na podstawie zgody Administrator musi być w stanie wykazać, że osoba, której dane dotyczą (lub w przypadku osób niepełnoletnich – jej opiekun prawny), wyraziła zgodę na przetwarzanie swoich danych osobowych.

9.2. Jeżeli oświadczenie zgody jest zawarte w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

9.3. Zgoda może być w dowolnym momencie wycofana. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. O możliwości wycofania zgody należy poinformować podmiot danych zanim wyrazi zgodę, a wycofanie zgody musi być równie łatwe jak jej wyrażenie.

9.4. Każda zgoda na przetwarzanie danych powinna charakteryzować się następującymi cechami:

1. dobrowolność – zgoda może być ważna tylko jeżeli osoba, której dane dotyczą, ma możliwość dokonania rzeczywistego wyboru, przy czym nie zachodzi ryzyko wprowadzenia w błąd, zastraszenia, przymusu lub znaczących negatywnych konsekwencji, jeśli nie wyrazi zgody; jeżeli konsekwencje wyrażenia zgody nie dają się pogodzić ze swobodą wyboru, zgoda nie jest dobrowolna,
2. konkretność – aby zgoda była ważna, musi być konkretna; innymi słowy, niedopuszczalna jest ogólna zgoda bez określenia dokładnego celu przetwarzania,
3. świadomość – zgoda na przetwarzanie danych osobowych nie może mieć charakteru abstrakcyjnego (np. wyrażam zgodę na przetwarzanie danych osobowych w celach marketingowych.), lecz winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania; aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych;
4. jednoznaczność – zgoda musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania,

9.5. Zgoda nie powinna stanowić podstawy prawnej w sytuacji, w której istnieje wyraźny brak równowagi między podmiotem danych, a administratorem, np. pracownik – pracodawca.

9.6. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania przez podmiot danych nie może oznaczać zgody.

9.7.  Sposoby wyrażenia zgody:

1. Pisemne (w tym elektroniczne) lub ustne oświadczenie woli.
2. Wyraźne działanie potwierdzające (zgoda „konkludentna”):
3. zapisanie się do serwisu rozsyłającego wiadomości (listy mailingowej czy newslettera),
4. inne oświadczenie bądź zachowanie, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.