Polityka ochrony danych osobowych w

Profildent Spółka z ograniczoną odpowiedzialnością

 z siedzibą w Bielsku-Białej

§ 1

   Podstawa prawna

Polityka ochrony danych osobowych („Polityka”) w spółce pod firmą: Profildent Spółka z ograniczoną odpowiedzialnością z siedzibą w Bielsku-Białej (43-300 Bielsko-Biała, ulica Targowa nr 4), REGON 072188743, NIP 6511011634, wpisanej do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0001003745 („Profildent”) została opracowana na podstawie:——————————-

1)       rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1) („RODO”),————-

2)       rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r oraz ustawie z dnia 6 listopada 2008 roku o prawach pacjenta i Rzeczniku Praw Pacjenta,

3)       rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 roku w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych,———————

4)       rozporządzenia Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 roku w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru danych,——————————————————————————————–

5)       rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 roku w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji („Przepisy RODO”).————————————————————————

§ 2

Słowniczek

Użyte w Polityce określenia oznaczają:————————————————————-

1)               RODO – skrót od rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1); stanowi główny element europejskiej reformy ochrony danych osobowych,———-

2)               ustawa – ustawa o ochronie danych osobowych,—————————————

3)               administrator danych osobowych (ADO) – Profildent reprezentowana przez Danutę Tomecką (jeden ze wspólników Profildentu oraz członek zarządu Profildentu upoważniony do jej samodzielnej reprezentacji) decydującą o celach i sposobach przetwarzania danych osobowych,——————————————————————-

4)               inspektor ochrony danych (IOD) – osoba powołana przez administratora danych osobowych, nadzorująca przestrzeganie zasad i wymogów ochrony danych osobowych określonych w RODO i przepisach krajowych – Maciej Ireneusz Tomecki, syn Ireneusza i Danuty, adres e-mail: rodoprofildent@gmail.com,———————-

5)               pracownik – osoba zatrudniona na podstawie stosunku pracy lub umowy cywilnoprawnej; pracownik może być jednocześnie użytkownikiem,————————

6)               użytkownik – osoba upoważniona przez ADO do przetwarzania danych osobowych, w formie papierowej oraz w systemie informatycznym,————————

7)               odbiorca danych – osoba fizyczna lub prawna, organ publiczny, któremu udostępnia się dane osobowe na podstawie np. ustawy, umowy powierzenia, itp.,—–

8)               zabezpieczenie danych w systemie informatycznym – wdrożenie i eksploatacja stosowanych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem,———————————

9)               zgoda osoby, której dane dotyczą – dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.———————————————-

10)           dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej; dane osobowe to wszystkie dane, które dotyczą konkretnej osoby fizycznej – od imienia i nazwiska, nr PESEL, przez adres e-mail do danych umieszczonych na wizytówce; danymi osobowymi może być także odcisk palca, adres IP, login do portalu internetowego czy numer telefonu,——————————————————————————————————

11)     kategorie danych osobowych:————————————————————–

a)                        szczególne kategorie danych osobowych – łącznie: dane genetyczne – dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej; dane biometryczne – dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne; dane dotyczące zdrowia – dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia, dane ujawniające pochodzenie rasowe, poglądy polityczne, przekonania religijne,————————————————————————————-

b)                        dane zwykłe – dane inne niż wymienione w pkt a powyżej,———————-

12)       zbiór danych – uporządkowany zestaw danych osobowych utrwalony zarówno w formie elektronicznej jak i tradycyjnej (papierowej), dostępny według określonych kryteriów,———————————————————————————–

13)       rejestr czynności – dokument, który określa w jakich procesach Profildent przetwarza dane osobowe; rejestr uwzględnia m.in. cel przetwarzania, podstawę prawną przetwarzania danych, kategorię (zwykłe, szczególne) i zakres przetwarzanych danych (np. imię i nazwisko, data urodzenia, numer pesel, numer indeksu, seria i numer dowodu osobistego, adres e-mail, numer telefonu, wizerunek, obywatelstwo) oraz w jaki sposób dane są zabezpieczone,———————————–

14)  przetwarzanie danych – operacja lub zestaw operacji wykonywanych na danych osobowych, w sposób zautomatyzowany lub niezautomatyzowany, takich jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, łączenie, przesyłanie, zmienianie, udostępnianie i usuwanie, niszczenie, itp.,—————————————–

15)     usuwanie danych – zniszczenie danych osobowych lub taka ich modyfikacja, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą,——————–

16)           system informatyczny – zespół współpracujących ze sobą urządzeń, programów i procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych osobowych,————————————-

17)           system tradycyjny – zespół procedur organizacyjnych związanych z mechanicznym przetwarzaniem informacji oraz wyposażenie i środki trwałe wykorzystywane w celu przetwarzania danych osobowych na papierze,——————-

18)           identyfikator użytkownika (login) – ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym,————————————————————

19)           hasło – ciąg znaków literowych, cyfrowych lub innych, przypisany do identyfikatora użytkownika znany jedynie użytkownikowi,————————————–

20)           pomieszczenia – budynki, pomieszczenia lub części pomieszczeń określone przez administratora, tworzące obszar, w którym gromadzone są oraz przetwarzane dane osobowe,———————————————————————————————

21)           zabezpieczenie danych w systemie informatycznym – wdrożenie i eksploatację stosowanych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem,———————————

22)           naruszenie ochrony danych osobowych – oznacza np. ujawnienie danych osobie nieuprawnionej, publikowanie na stronach internetowych bez podstawy prawnej informacji zawierających dane osobowe; naruszeniem może być także wyrzucanie dokumentów z danymi osobowymi do kosza zamiast do niszczarki, niewystarczające zabezpieczenie danych na stacjach roboczych, itp.———————-

§ 3

    Cel Polityki

Celem Polityki jest:—————————————————————————————-

1)       Uzyskanie optymalnej, wprowadzonej na podstawie analizy ryzyka i zgodnej z prawem ochrony danych osobowych przetwarzanych w Profildent oraz zabezpieczenie przed dostępem do danych osób nieupoważnionych, na każdym etapie ich przetwarzania,——————————————————————————–

2)               określenie zakresu obowiązków pracowników – w części dotyczącej bezpieczeństwa danych osobowych,—————————————————————-

3)               podnoszenie świadomości pracowników i ich pełne zaangażowanie w ochronę przetwarzanych danych osobowych,—————————————————————–

4)               zgodność z Przepisami RODO, właściwymi przepisami Kodeksu pracy oraz ustawy o służbie medycyny pracy.——————————————————————–

§ 4         

    Cel przetwarzania danych osobowych

1.               Profildent, jako administrator danych osobowych, przetwarza dane osobowe w procesach dotyczących m.in.:————————————————————————–

1)               działalności lecznicza w zakresie stomatologii, a to między innymi:—————-

–          identyfikacji pacjenta,—————————————————————————

–          wykonania obowiązku prowadzenia dokumentacji medycznej pacjenta,———-

–          możliwość kontaktu z pacjentem w celu realizacji działań leczniczych,————

–          udzielenie świadczeń leczniczych,———————————————————-

2)               wytwarzanie produktu medycznego w zakresie protetyki stomatologicznej,——

3)               zarządzania zasobami ludzkimi (rekrutacja do pracy, zatrudnianie, obsługa kadrowo-płacowa, działalność socjalna, bezpieczeństwo i higiena pracy), w związku z tym między innymi z:———————————————————————————–

–          wykonaniem obowiązku prawnego dotyczącego akt osobowych pracownika,—

–          możliwością kontaktu z pracownikiem w celu realizacji jego praw i obowiązków,—————————————————————————————

–          medycyną pracy do oceny zdolności pracownika do pracy,————————–

4)               obsługi finansowo-księgowej (rachunkowość, rozrachunki z pracownikami, kontrahentami), a to możliwości kontaktu z kontrahentem w celu realizacji zamówienia,————————————————————————————————

5)               innych obszarów działalności (działania marketingowe, reklamowe, promocyjne, korespondencja przychodząca i wychodząca), a to możliwości kontaktu z podmiotem w celu realizacji zamówienia,——————————————————–

6)               przetwarzania danych osobowych w sposób tradycyjny w kartotekach, księgach, wykazach i innych zbiorach ewidencyjnych, a także w systemach informatycznych, wyłącznie dla celów i zadań wymienionych w § 4 powyżej,————

7)               przetwarzania danych osobowych dotyczących pacjentów, pracowników i ich rodzin,——————————————————————————————————–

8)               przetwarzania danych osobowych przekazanych lub powierzonych przy wykonywaniu produktu medycznego,—————————————————————-

9)               zabezpieczenia przetwarzania danych osobowych, w tym nazw kont i haseł w systemach informatycznych.—————————————————————————

2.               Dane osobowe przetwarzane są przez okres niezbędny do realizacji celów wynikających z odpowiednich przepisów prawa, jednak nie krócej niż przez okres wskazany w przepisach o archiwizacji lub wynikający w innych przepisów, a to okres przetwarzania lub przechowywania poszczególnych danych osobowych wynosi przy:

1)               udzieleniu świadczeń leczniczych wobec pacjenta (przetwarzane dane osobowe: imię i nazwisko, oznaczenie płci, adres zamieszkania, PESEL, numer telefonu, adres E-mail, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG i zdjęcia fotograficzne) w stosunku do osoby pełnoletniej 20 lat, natomiast w stosunku do małoletniego 22 lat,—————————-

2)               umowie o pracę z pracownikiem (zawarcie, zmiany, rozwiązanie) w stosunku do pracownika (przetwarzane dane osobowe: imię i nazwisko, adres zamieszkania, PESEL, numer telefonu, adres e-mail, numer konta bankowego, badania medyczne dla celów pracowniczych) 50 lat,———————————————————————

3)               umowie o świadczenie czynności leczniczych wobec współpracownika na podstawie umowy cywilno-prawnej (kontrakt, zlecenie) (przetwarzane dane osobowe: imię i nazwisko, nazwa działalności, adres, Pesel, NIP, numer konta bankowego, badania medyczne dla celów dopuszczenia do wykonywania czynności leczniczych) 5 lat.———————————————————————————————————-

§ 5

Procedury i zasady określone w niniejszym dokumencie obowiązują wszystkie osoby upoważnione do przetwarzania danych osobowych na Profildent.—————————

§ 6

Zakres upoważnienia

Zakres upoważnienia do przetwarzanych danych w gabinecie:——————————

1)                lekarz posiada upoważnienie do następujących danych: imię i nazwisko, adres zamieszkania, PESEL, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG, zdjęcia fotograficzne w celu udzielania świadczeń leczniczych, wystawiania zwolnień lekarskich, wystawiania skierowań i wystawiania recept,———————————————————————–

2)               asystentka posiada upoważnienie do następujących danych: imię i nazwisko, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG w celu przygotowania do świadczeń leczniczych,————————————————————————————————-

3)               higienistka posiada upoważnienie do następujących danych: imię i nazwisko, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG w celu przygotowania do udzielania świadczeń leczniczych i wykonywania pod nadzorem profilaktyki i higienizacji,————————

4)               rejestratorka posiada upoważnienie do następujących danych: Imię i nazwisko, oznaczenie płci, adres zamieszkania, PESEL, Telefon, E-mail historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG i zdjęcia fotograficzne w celu zakładania dokumentacji medycznej, rozliczania wizyt, potwierdzania wizyt, odwoływania wizyt, wydawania dokumentacji medycznej, archiwizowania dokumentacji, kontaktu z pacjentem pozabiegowym, wydawania zwolnień, skierowań i recept, wydawania zgód i oświadczeń pacjenta i nagrywania zdjęć RTG i fotograficznych,—————————————————————————

5)               menager lub dyrektor zarządzający posiadają upoważnienie do następujących danych: imię i nazwisko, oznaczenie płci, adres zamieszkania, PESEL, telefon, E-mail, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta) w celu spełnienia obowiązków statystycznych, czynności urzędowych, Nadzoru nad czynnościami informacyjnymi, dostępu do danych pracowników i umowy,———————————————————————————–

6)               Technik dentystyczny posiada upoważnienie do następujących danych: imię i nazwisko, historia zdrowia i choroby i dokumentacja medyczna (zgody i oświadczenia pacjenta), zdjęcia RTG w celu przygotowania do świadczeń leczniczych.————————————————————————————————-

§ 7

Ogólne zasady zabezpieczenia danych

1.       Ochrona danych osobowych realizowana jest poprzez środki techniczne i organizacyjne, oprogramowanie systemowe, aplikacje proporcjonalne i adekwatne do ryzyka naruszenia bezpieczeństwa danych osobowych przetwarzanych w ramach prowadzonej w Profildent działalności.————————————————————–

2.          Zastosowane zabezpieczenia gwarantują, że dane osobowe są:——————-

1)               przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność, przejrzystość),———————-

2)               zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach (ograniczenie celu),—————————————————————————————

3)                adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych),————————————————

4)               prawidłowe i w razie potrzeby uaktualniane, a nieprawidłowe w świetle celów ich przetwarzania zostały niezwłocznie usunięte lub sprostowane (prawidłowość),—–

5)               przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane (ograniczenie przechowywania),—————————————————

6)               przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (integralność i poufność).—————————————————————————————————

3.               Postanowienia określone w ust. 2 powyżej realizowane są poprzez:—————

1)               wdrożenie procedur określających postępowanie osób zatrudnionych oraz osób świadczących usługi na podstawie umów cywilnoprawnych przy przetwarzaniu danych osobowych oraz ich odpowiedzialność za bezpieczeństwo tych danych,——–

2)               udzielenie upoważnień do przetwarzania danych osobowych,———————–

3)               przeszkolenie użytkowników w zakresie bezpieczeństwa i ochrony danych osobowych,————————————————————————————————-

4)               przypisanie użytkownikom określonych atrybutów pozwalających na ich identyfikację (w szczególności login, hasło),——————————————————-

5)               podejmowanie niezbędnych działań w celu likwidacji błędów w systemie zabezpieczeń,———————————————————————————————-

6)               ciągłą aktualizację procedur ochrony danych osobowych związanych z zmianami w przepisach RODO i innych podstawach prawnych,——————————

7)               zamykane szafy, osobne pomieszczenie zamykane uniemożliwiające dostęp osób nieupoważnionych do danych osobowych, przechowywanie kart pamięci, dysków twardych w zamykanych szufladach,—————————————————–

8)               okresową kontrolę przestrzegania przez użytkowników wdrożonych metod postępowania przy przetwarzaniu danych osobowych,—————————————–

9)               śledzenie osiągnięć w dziedzinie bezpieczeństwa systemów informatycznych i w miarę możliwości organizacyjnych oraz techniczno-finansowych, a nadto wdrażanie nowych narzędzi i metod pracy oraz sposobów zarządzania systemami informatycznymi, które będą służyły wzmocnieniu bezpieczeństwa danych osobowych.————————————————————————————————-

4.               Analiza ryzyka w przypadku RODO:——————————————————–

d)       przestrzega warunków korzystania z usług innego podmiotu
przetwarzającego, o których mowa w ust. 2 i 4 powyżej,—————————————————————-

e)              
biorąc pod uwagę charakter przetwarzania, w miarę
możliwości pomaga ADO poprzez odpowiednie środki techniczne i organizacyjne
wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w
zakresie wykonywania jej praw określonych w rozdziale III RODO,————————————————————

f)               
uwzględniając charakter przetwarzania oraz dostępne mu
informacje, pomaga ADO wywiązać się z obowiązków określonych w art. 32–36 RODO,————————

g)             
po zakończeniu świadczenia usług związanych z
przetwarzaniem zależnie od decyzji ADO usuwa lub zwraca mu wszelkie dane
osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo UE lub prawo
państwa członkowskiego nakazują przechowywanie danych osobowych,—————————————————————-

h)             
udostępnia ADO wszelkie informacje niezbędne do
przeprowadzania audytów, w tym inspekcji.——————————————————————————————–

4.              
Jeżeli do wykonania w imieniu ADO konkretnych czynności
przetwarzania podmiot przetwarzający korzysta z usług innego podmiotu
przetwarzającego, na ten inny podmiot przetwarzający nałożone zostają – na mocy
umowy lub innego aktu prawnego, które podlegają prawu UE lub prawu państwa
członkowskiego – te same obowiązki ochrony danych jak w umowie lub innym akcie
prawnym między ADO a podmiotem przetwarzającym, w szczególności obowiązek
zapewnienia wystarczających gwarancji wdrożenia odpowiednich środków technicznych
i organizacyjnych, by przetwarzanie odpowiadało wymogom RODO. Jeżeli ten inny
podmiot przetwarzający nie wywiąże się ze spoczywających na nim obowiązków
ochrony danych, pełna odpowiedzialność wobec ADO za wypełnienie obowiązków tego
innego podmiotu przetwarzającego spoczywa na pierwotnym podmiocie
przetwarzającym.——————————————————————————————

5.              
Powyższe zasady stosuje się odpowiednio do przetwarzania
danych osobowych powierzonych Profildent.—————————————————————-

§
20

Zastosowane w Profildent środki
zabezpieczenia danych osobowych

1.              
Zabezpieczenia organizacyjne:—————————————————————

1)              
opracowano analizę ryzyka naruszeń danych
osobowych,—————————-

2)              
opracowano i wdrożono Politykę,————————————————————

3)              
wyznaczono inspektora ochrony danych,————————————————–

4)              
sporządzono i wdrożono Instrukcję zarządzania
systemem informatycznym służącym do przetwarzania danych osobowych,————————————————-

5)              
przyjęto procedurę postępowania w sytuacji
naruszenia ochrony danych osobowych,————————————————————————————————-

6)              
opracowano i bieżąco prowadzi się rejestr
czynności przetwarzania danych osobowych,————————————————————————————————-

7)              
do przetwarzania danych zostały dopuszczone
wyłącznie osoby posiadające upoważnienia,———————————————————————————————-

8)              
osoby zatrudnione przy przetwarzaniu danych
zostały zaznajomione z przepisami dotyczącymi ochrony danych osobowych oraz w
zakresie zabezpieczeń systemu informatycznego,——————————————————————————

9)              
osoby zatrudnione przy przetwarzaniu danych
osobowych obowiązane zostały do zachowania ich w tajemnicy,———————————————————————–

10)          
przetwarzanie danych osobowych dokonywane
jest w warunkach zabezpieczających dane przed dostępem osób nieupoważnionych,————————

11)          
przebywanie osób nieuprawnionych w
pomieszczeniach, gdzie przetwarzane są dane osobowe jest dopuszczalne tylko w
obecności osoby zatrudnionej przy przetwarzaniu danych osobowych oraz w
warunkach zapewniających bezpieczeństwo danych,——————————————————————————–

12)          
dokumenty i nośniki informacji zawierające
dane osobowe, które podlegają zniszczeniu, neutralizuje się za pomocą urządzeń
do tego przeznaczonych lub dokonuje się takiej ich modyfikacji, która nie
pozwoli na odtworzenie ich treści.———

2.              
Zabezpieczenia techniczne:——————————————————————-

1)              
wewnętrzną sieć komputerową zabezpieczono
poprzez odseparowanie od sieci publicznej,——————————————————————————————–

2)              
stanowiska komputerowe wyposażono w indywidualną ochronę
antywirusową,

3)              
komputery zabezpieczono przed możliwością
użytkowania przez osoby nieuprawnione do przetwarzania danych osobowych, za
pomocą indywidualnego identyfikatora użytkowania i cykliczne wymuszanie zmiany
hasła,—————————

4)              
obszar, na którym przetwarzane są dane osobowe, poza
godzinami pracy, jest chroniony z zastosowaniem alarmu i monitoringu,———————————————–

5)              
urządzenia służące do przetwarzania danych
osobowych umieszczane są w zamykanych pomieszczenia,—————————————————————————

6)              
dokumenty i nośniki informacji zawierające
dane osobowe przechowywane są w zamykanych na klucz szafach.———————————————————————-

§
21

Naruszenie ochrony danych osobowych

1.       Przed przystąpieniem do pracy użytkownik obowiązany jest
dokonać sprawdzenia stanu urządzeń komputerowych oraz oględzin swojego
stanowiska pracy, w tym zwrócić szczególną uwagę, czy nie zaszły okoliczności
wskazujące na naruszenie lub próby naruszenia ochrony danych osobowych.——————————-

2.       W przypadku stwierdzenia naruszenia lub zaistnienia
okoliczności wskazujących na naruszenia ochrony danych osobowych, użytkownik
zobowiązany jest do bezzwłocznego powiadomienia o tym fakcie ADO i IOD.—————————–

3.       Postanowienia ust. 1 i 2 powyżej mają zastosowanie zarówno w
przypadku naruszenia lub podejrzenia naruszenia ochrony danych osobowych
przetwarzanych w systemach informatycznych, jak i tradycyjnych.————————————————

4.       W przypadku
stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia
ochrony danych osobowych IOD, po przybyciu na miejsce:——————————————————————————————————

1)       ocenia zastałą sytuację, biorąc pod uwagę w szczególności stan
pomieszczeń, w których przetwarzane są dane oraz stan urządzeń, a także
identyfikuje wielkość negatywnych następstw incydentu,—————————————

2)              
wysłuchuje relacji osoby, która dokonała powiadomienia,—————————–

3)              
zbiera dowody,————————————————————————————

4)              
zabezpiecza system informatyczny przed dalszym
rozprzestrzenieniem się zagrożenia,————————————————————————————————–

5)              
zabezpiecza dane przetwarzane w systemie informatycznym,
jego hasła systemowe, hasła programów i bazy danych, w których nastąpiło
naruszenie bezpieczeństwa oraz danych konfiguracyjnych całego systemu w celu
późniejszej analizy,——————————————————————————————————-

6)              
podejmuje decyzje o dalszym postępowaniu, stosownie do
zakresu naruszenia lub zasadności podejrzenia naruszenia ochrony danych
osobowych.——-

5.       IOD sporządza z przebiegu zdarzenia raport, w którym powinny
się znaleźć w szczególności informacje o:—————————————————————————-

1)              
dacie i godzinie powiadomienia,————————————————————–

2)              
godzinie pojawienia się w pomieszczeniach, w których
przetwarzane są dane,-

3)              
sytuacji, jaką zastał,—————————————————————————–

4)              
podjętych działaniach i ich uzasadnieniu.————————————————–

6.       Wzór raportu stanowi załącznik do  do Polityki.—————————————-

7.       IOD podejmuje
kroki zmierzające do likwidacji naruszeń zabezpieczeń danych osobowych i
zapobieżenia wystąpieniu ich w przyszłości. W tym celu:———————

1)              
w miarę możliwości przywraca stan zgodny z zasadami
zabezpieczenia,——–

2)              
raportuje przedsięwzięte czynności,———————————————————

3)              
o ile taka potrzeba zachodzi, postuluje wprowadzenie nowych
form zabezpieczenia, a w razie ich wprowadzenia nadzoruje zaznajamianie z nimi
osób zatrudnionych przy przetwarzaniu danych osobowych.—————————————–

8.       W przypadku zaginięcia komputera lub nośników informatycznych,
na których były zgromadzone dane osobowe, użytkownik posługujący się komputerem
niezwłocznie powiadamia ADO oraz IOD, a w przypadku kradzieży występuje o
powiadomienie jednostki policji.———————————————————————–

9.       W przypadku kradzieży komputera razem z nośnikiem danych, IOD
podejmuje działania zmierzające do odzyskania utraconych danych oraz
uczestniczy w procesie wyjaśnienia sprawy w organach ścigania.———————————————————-

10.          
W przypadku stwierdzenia naruszenia danych osobowych, gdy
istnieje prawdopodobieństwo, by naruszenie to skutkowało ryzykiem naruszenia
praw lub wolności osób fizycznych ADO ma obowiązek:—————————————————1)     bez zbędnej zwłoki – w miarę możliwości,
nie później niż w terminie 72 godzin po stwierdzeniu naruszenia zgłosić
naruszenie organowi nadzorczemu; do zgłoszenia przekazanego organowi
nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia,——————————————————————–

2)       udokumentować wszelkie naruszenia ochrony danych osobowych, w
tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte
działania zaradcze.—————————————————————————————

11.          
Zgłoszenie, o którym mowa w § 21 ust. 10 pkt 1) powyżej zawiera:—————-1)          opis charakteru naruszenia ochrony
danych osobowych, w tym w miarę możliwości wskazuje kategorie i przybliżoną
liczbę osób, których dane dotyczą oraz kategorie i przybliżoną liczbę wpisów
danych osobowych, których dotyczy naruszenie,————————————————————————————————-

2)              
imię i nazwisko oraz dane kontaktowe IOD lub oznaczenie
innego punktu kontaktowego, od którego można uzyskać więcej informacji,———————————

3)              
opis możliwych konsekwencji naruszenia ochrony danych
osobowych,———–

4)              
opis środków zastosowanych lub proponowanych przez ADO w
celu zaradzenia naruszeniu ochrony danych osobowych, w tym podjęte lub zalecane
środki w celu zminimalizowania jego ewentualnych negatywnych skutków.—————

12.      Procedura
opisana powyżej ma zastosowanie jedynie w przypadku, gdy naruszenie ochrony
danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności
osób fizycznych.—————————————————

13.      ADO
bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o naruszeniu jej
danych osobowych.——————————————————————-

14.      Zawiadomienie
następuje w formie pisemnej lub elektronicznej (za pomocą poczty e-mail,
wiadomości SMS). Wyjątkowo może być udzielone ustnie, po uprzednim
wylegitymowaniu osoby, której dane dotyczą.————————————–

15.      Zawiadomienie
zawiera w swojej treści następujące informacje:——————–

1)       imię i nazwisko oraz dane kontaktowe IOD lub
oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej
informacji,———————————

2)       możliwe konsekwencje naruszenia ochrony danych osobowych,——————-

3)       o
zastosowanych lub proponowanych przez ADO środkach w celu zaradzenia naruszeniu
ochrony danych osobowych i zminimalizowania jego ewentualnych negatywnych
skutków.———————————————————————————–

16.     Zawiadomienie,
o którym mowa w ust. 14 powyżej, nie jest wymagane, w następujących
przypadkach:—————————————————————————

1)              
ADO wdrożył odpowiednie techniczne i organizacyjne środki
ochrony, i środki te zostały zastosowane do danych osobowych, których dotyczy
naruszenie, w szczególności takie jak szyfrowanie, uniemożliwiające odczyt
osobom nieuprawnionym tych danych osobowych,———————————————————-

2)              
ADO zastosował następnie środki eliminujące
prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której
dane dotyczą,————

3)              
wymagałoby ono niewspółmiernie dużego wysiłku; w takim
przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny
środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w
równie skuteczny sposób.——————————————————————————————————-

17.     Jeżeli ADO nie
zawiadomił jeszcze osoby, której dane dotyczą, o naruszeniu ochrony danych
osobowych, organ nadzorczy – biorąc pod uwagę prawdopodobieństwo, że to
naruszenie ochrony danych osobowych spowoduje wysokie ryzyko – może od niego
tego zażądać lub może stwierdzić, że spełniony został jeden z warunków, o
których mowa w ust. 5 powyżej.———————————-

§
22

     Zapisy końcowe

1.       Niezastosowanie
się do prowadzonej na Profildent Polityki, której założenia określa niniejszy
dokument i naruszenie procedur ochrony danych przez pracowników upoważnionych
do przetwarzania danych osobowych może być potraktowane jako ciężkie naruszenie
obowiązków pracowniczych, skutkujące rozwiązaniem stosunku pracy bez
wypowiedzenia na podstawie przepisów Kodeksu pracy.———————————————————————————————————

2.       Niezależnie od
rozwiązania stosunku pracy osoby nieprzestrzegające przepisów w zakresie
ochrony danych osobowych podlegają odpowiedzialności karnej.——————————————————————————————————–

3.       Politykę ochrony danych osobowych w
Profildent Spółka z ograniczoną odpowiedzialnośccią z siedzibą w Bielsku-Białej
sporządzono w jednym jednobrzmiącym egzemplarzu.———————————————————–