1. O tej Polityce

W tej Polityce wyjaśniamy, w jaki sposób GCPMED sp. z o.o., prowadząca Centrum Medyczne iMed24, przetwarza dane osobowe pacjentów oraz innych osób fizycznych, których dane otrzymujemy w związku z udzielaniem świadczeń zdrowotnych, obsługą pacjenta, prowadzeniem Portalu Pacjenta i korzystaniem ze strony internetowej iMed24.

Polityka stanowi informację o przetwarzaniu danych osobowych. W niektórych sytuacjach przekazujemy również krótsze informacje bezpośrednio w miejscu, w którym zbieramy dane – np. podczas rejestracji, przy formularzu internetowym, w Portalu Pacjenta albo przed rozpoczęciem nagrywanej rozmowy. Takie informacje należy czytać łącznie z niniejszą Polityką, mając w ten sposób zapewniony komplet informacji o przetwarzaniu przez Administratora danych osobowych oraz prawach z tym związanych.

Dla niektórych procesów, takich jak badania kliniczne, rekrutacja, marketing, monitoring wizyjny lub przetwarzanie danych w związku z konkretnym formularzem, mogą obowiązywać odrębne informacje o przetwarzaniu danych osobowych osób fizycznych.

2. Kto jest administratorem danych?

Administratorem danych osobowych jest:
GCPMED sp. z o.o.
prowadząca Centrum Medyczne iMed24
ul. prof. Michała Życzkowskiego 29
31-864 Kraków

GCPMED sp. z o.o. decyduje o celach i zasadach przetwarzania danych osobowych w zakresie prowadzonej działalności leczniczej i związanej z nią obsługi pacjentów oraz osób fizycznych.

3. Jak skontaktować się z Inspektorem Ochrony Danych?

GCPMED wyznaczyła Inspektora Ochrony Danych.

Inspektor Ochrony Danych: Michał Szczepaniec
e-mail: iod@imed24.pl

Z Inspektorem można kontaktować się w szczególności w sprawach dotyczących przetwarzania danych osobowych przez GCPMED oraz korzystania z praw wynikających z RODO.

4. Jakie dane przetwarzamy?

Zakres przetwarzanych danych zależy od celu, rodzaju świadczenia i sposobu kontaktu z iMed24.

Możemy przetwarzać w szczególności:

• dane identyfikacyjne, takie jak imię, nazwisko, PESEL, data urodzenia i płeć;
• dane adresowe i kontaktowe, w tym adres zamieszkania, numer telefonu oraz – jeżeli został podany lub jest potrzebny do konkretnej usługi – adres e-mail;
• dane przedstawicieli ustawowych, opiekunów oraz osób upoważnionych przez pacjenta;
  dane dotyczące umówionych i udzielonych świadczeń, w tym terminu, poradni, specjalisty i rodzaju świadczenia;
• dane dotyczące zdrowia, w tym wywiad medyczny, objawy, rozpoznania, wyniki badań, informacje o alergiach, przebytych chorobach, leczeniu, lekach, dawkowaniu, zaleceniach, receptach i skierowaniach oraz inne informacje potrzebne do diagnozy, leczenia lub zapewnienia ciągłości opieki;
• obrazy i wyniki badań diagnostycznych, w tym dane DICOM, jeżeli dotyczą wykonywanego świadczenia;
• dane zawarte w dokumentacji medycznej i informacje o jej udostępnianiu;
  dane dotyczące rozliczeń i płatności;
• dane związane z korzystaniem z Portalu Pacjenta, w tym dane konta, identyfikatory użytkownika i informacje o aktywności wymaganej do zapewnienia bezpieczeństwa systemu;
• dane techniczne związane z korzystaniem z usług elektronicznych, takie jak adres IP, informacje o urządzeniu, połączeniu i zdarzeniach bezpieczeństwa – w zakresie, w jakim są rzeczywiście generowane przez wykorzystywany system;
• głos, treść rozmowy lub czatu – jeżeli konkretna usługa przewiduje ich utrwalenie;
• wizerunek – jeżeli osoba znajduje się w obszarze objętym monitoringiem wizyjnym. Administratorem danych objętych monitoringiem jest COMARCH S.A.

Nie każda z wymienionych kategorii danych osobowych jest przetwarzana wobec każdej osoby i za każdym razem. Zakres danych ograniczamy do informacji potrzebnych do danego celu.

5. Skąd otrzymujemy dane?

Najczęściej otrzymujemy dane bezpośrednio od pacjenta albo jego przedstawiciela ustawowego.

Dane mogą pochodzić również – odpowiednio do danego świadczenia lub sposobu jego finansowania – od:

• pracodawcy kierującego osobę na badania, w szczególności w ramach medycyny pracy;
• ubezpieczyciela, płatnika lub organizatora opieki medycznej;
• innego podmiotu leczniczego lub osoby wykonującej zawód medyczny, jeżeli jest to potrzebne do zapewnienia ciągłości świadczeń;
• podmiotów wykonujących badania diagnostyczne lub laboratoryjne;
• publicznych systemów ochrony zdrowia, jeżeli przepisy przewidują odpowiednią wymianę danych, w odpowiednim zakresie;
• osoby, która wskazuje pacjenta, przedstawiciela, opiekuna lub osobę upoważnioną w związku z realizacją praw pacjenta.

Jeżeli dane nie są pozyskiwane bezpośrednio od osoby, stosujemy zasady wynikające z art. 14 RODO, z uwzględnieniem wyjątków przewidzianych przez przepisy obowiązującego prawa. Oznacza to, że w odpowiednim zakresie informujemy pacjentów i osoby fizyczne o przetwarzanych danych osobowych oraz w jaki sposób zostały pozyskane.

6. Dlaczego przetwarzamy dane i na jakiej podstawie?

6.1. Rejestracja pacjenta, weryfikacja tożsamości i organizacja wizyty w placówce

Przetwarzamy dane, aby:

• prawidłowo zidentyfikować pacjenta;
• utworzyć lub odnaleźć jego kartotekę medyczną;
• umówić, zmienić lub odwołać wizytę;
• przekazać informacje dotyczące świadczenia medycznego;
• przypomnieć o terminie wizyty;
• przekazać informacje dotyczące przygotowania do badania lub odbioru wyniku.

Podstawą przetwarzania jest przede wszystkim art. 6 ust. 1 lit. c RODO w związku z obowiązkami podmiotu leczniczego oraz – gdy jest to potrzebne do organizacji odpłatnej usługi – art. 6 ust. 1 lit. b RODO.

W zakresie danych dotyczących zdrowia podstawą jest art. 9 ust. 2 lit. h RODO.

6.2. Udzielanie świadczeń zdrowotnych i prowadzenie dokumentacji medycznej

Przetwarzamy dane w celu profilaktyki, diagnozy, leczenia, udzielania innych świadczeń zdrowotnych, zarządzania udzielaniem tych świadczeń, prowadzenia dokumentacji medycznej oraz zapewnienia ciągłości opieki.

Podstawą jest art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO, w szczególności w związku z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta, ustawą o działalności leczniczej oraz przepisami dotyczącymi dokumentacji medycznej.

Jeżeli określone dane nie są potrzebne do udzielenia świadczenia albo wykonania obowiązku prawnego, nie powinny być zbierane wyłącznie dlatego, że pacjent korzysta z usług iMed24.

6.3. E-recepty, e-skierowania, zdarzenia medyczne i system P1

Jeżeli przepisy wymagają przekazania danych do publicznych systemów ochrony zdrowia, przetwarzamy i przekazujemy dane w zakresie wynikającym z obowiązujących przepisów prawa.

Podstawą jest art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO w związku z właściwymi przepisami dotyczącymi systemu informacji w ochronie zdrowia i udzielania świadczeń zdrowotnych.

6.4. Udostępnianie dokumentacji medycznej i informacji o stanie zdrowia

Przetwarzamy dane w celu realizacji praw pacjenta, jego przedstawiciela ustawowego lub innych osób uprawnionych do uzyskania informacji lub dokumentacji medycznej.

Podstawą jest art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO w związku z ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta oraz przepisami dotyczącymi dokumentacji medycznej.

7. Portal Pacjenta

Portal Pacjenta umożliwia m.in. korzystanie z usług elektronicznych związanych z opieką medyczną, rejestracją oraz dostępem do informacji dotyczących świadczeń i dokumentacji medycznej.

W Portalu mogą być dostępne m.in.:

• informacje o terminach wizyt;
• informacje o rodzaju świadczenia;
• wyniki badań laboratoryjnych;
• opisy badań obrazowych;
• informacje z wizyt;
• skierowania;
• recepty;
• zalecenia.

Dane związane z prowadzeniem konta i świadczeniem usług drogą elektroniczną przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO, a gdy obowiązek przetwarzania wynika z przepisów prawa – również na podstawie art. 6 ust. 1 lit. c RODO.

Dane dotyczące zdrowia udostępniane w Portalu są przetwarzane na podstawie art. 9 ust. 2 lit. h RODO.

Przed udostępnieniem pełnego dostępu do dokumentacji medycznej weryfikujemy tożsamość użytkownika. W zależności od dostępnego sposobu weryfikacji może ona nastąpić osobiście po okazaniu dokumentu ze zdjęciem albo z wykorzystaniem udostępnionego mechanizmu elektronicznego. Jeżeli dokument tożsamości jest jedynie okazywany w celu weryfikacji, jego obraz nie jest z tego powodu utrwalany w jakikolwiek sposób.

Dostęp użytkowników i osób upoważnionych do danych podlega mechanizmom autoryzacji i rejestrowania zdarzeń w systemie.

8. Komunikacja z pacjentem – SMS, telefon i voicebot

Dane kontaktowe mogą być wykorzystywane w celu organizacji świadczeń, w szczególności do:

• potwierdzania i przypominania o terminach wizyt;
• przekazywania informacji dotyczących organizacji świadczenia;
• przekazywania informacji o przygotowaniu do badania;
• kontaktu dotyczącego zmiany lub odwołania wizyty.

Do obsługi przypomnień mogą być wykorzystywane wiadomości SMS, a w określonych sytuacjach również automatyczny asystent głosowy (Voicebot).

Voicebot może potwierdzić, czy połączenie zostało nawiązane z właściwą osobą, oraz prowadzić rozmowę dotyczącą organizacji wizyty w placówce medycznej.

Dane przetwarzane w związku z rozmową z Voicebotem służą wyłącznie potwierdzeniu nawiązania kontaktu z osobą fizyczną i organizacji jej wizyty w placówce medycznej.

Jeżeli rozmowa jest nagrywana, osoba dzwoniąca lub odbierająca połączenie jest o tym poinformowana przed rozpoczęciem nagrania poprzez stosowny komunikat głosowy.

W przypadku telekonsultacji lub udzielania porad medycznych, zaleceń, wywiadu medycznego za pomocą połączenia telefonicznego, o fakcie nagrywania rozmowy osoba dzwoniąca informowana jest przez osoby udzielające takich konsultacji, porad lub zaleceń medycznych.

9. Nagrywanie rozmów telefonicznych

Niektóre połączenia z i do iMed24 są nagrywane. Nagrywanie może służyć w szczególności dokumentowaniu treści rozmowy związanej z danym świadczeniem medycznym, konsultacją medyczną lub w przypadku reklamacji, sporów lub dochodzenia i obrony przed roszczeniami.

Przed rozpoczęciem nagrywania przekazujemy odpowiednią informację osobie uczestniczącej w rozmowie. Jeśli nie wyraża ona zgody na nagranie rozmowy, może się rozłączyć – nagranie nie jest wówczas przetwarzane, a sam fakt połączenia usuwany jest zgodnie z harmonogramem retencji. W takim przypadku dana osoba może skorzystać z innych form realizacji usługi lub uzyskania informacji od Administratora.

Jeżeli nagranie zawiera dane dotyczące zdrowia, poza podstawą z art. 6 ust. 1 lit. f RODO stosujemy również właściwą podstawę przetwarzania szczególnych kategorii danych z art. 9 ust. 2 lit. a lub h lub i RODO.

10. Telemedycyna i wideokonsultacje

W przypadku świadczeń udzielanych na odległość przetwarzamy dane potrzebne do przeprowadzenia konsultacji i udokumentowania świadczenia. Mogą one obejmować m.in. dane o stanie zdrowia, objawach, rozpoznaniach, wynikach badań, zaleceniach, lekach, receptach, skierowaniach oraz dane techniczne związane z nawiązaniem połączenia.

Obraz z wideokonsultacji nie jest nagrywany.
W ramach wykorzystywanego rozwiązania utrwalany jest dźwięk konsultacji oraz zapisywana jest treść czatu.

Zapis dźwięku konsultacji oraz treści czatu stanowią element dokumentacji medycznej prowadzonej przez GPCMED i nie służą innemu celowi jak zapewnienie lub kontynuowanie świadczenia medycznego.

11. Medycyna pracy

Jeżeli pacjent jest kierowany na badania przez pracodawcę, iMed24 może otrzymać od pracodawcy dane potrzebne do przeprowadzenia badań, w szczególności dane identyfikacyjne, informacje ze skierowania, informacje dotyczące stanowiska pracy i narażeń zawodowych w miejscu pracy.

GCPMED prowadzi dokumentację medyczną medycyny pracy jako podmiot wykonujący odpowiednie świadczenia w tym zakresie.

Pracodawcy przekazujemy wyłącznie informacje, orzeczenia lub dokumenty, które mogą zostać mu udostępnione na podstawie obowiązujących przepisów prawa. Pracodawca nie otrzymuje z tego powodu pełnej dokumentacji medycznej ani szczegółowych informacji o rozpoznaniach lub przebiegu leczenia.

Podstawą przetwarzania jest art. 6 ust. 1 lit. c oraz art. 9 ust. 2 lit. h RODO w związku z Kodeksem pracy, ustawą o służbie medycyny pracy i właściwymi przepisami wykonawczymi.

12. Płatności, faktury i rozliczenia

Dane związane z płatnością, fakturą lub innym dokumentem księgowym przetwarzamy w celu realizacji rozliczenia oraz wykonania obowiązków wynikających z przepisów podatkowych i rachunkowych, w tym prowadzenia dokumentacji.

Podstawą jest art. 6 ust. 1 lit. c RODO oraz – odpowiednio – art. 6 ust. 1 lit. b RODO, jeżeli dane są niezbędne do wykonania umowy.

W przypadku skorzystania z płatności elektronicznej dane potrzebne do przeprowadzenia transakcji mogą być przekazywane operatorowi płatności – Przelewy24 – PayPro S.A.

13. Reklamacje, dochodzenie i obrona roszczeń

Możemy przetwarzać dane w celu rozpatrywania reklamacji oraz ustalenia, dochodzenia lub obrony przed roszczeniami.

Dla zwykłych danych podstawą może być art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes GCPMED polegający na ochronie swoich praw i dochodzeniu roszczeń.

Jeżeli dla ustalenia, dochodzenia lub obrony przed roszczeniami konieczne jest wykorzystanie danych dotyczących zdrowia, podstawę przetwarzania tych danych stanowi wówczas dodatkowo art. 9 ust. 2 lit. f RODO.

Jeżeli skarga lub reklamacja dotyczy jakości naszych usług lub przebiegu świadczenia zdrowotnego i jej rozpatrzenie jest elementem zarządzania w ramach wykonywania opieki zdrowotnej, odpowiednie przetwarzanie może następować również w ramach art. 9 ust. 2 lit. h RODO.

14. Monitoring wizyjny

W wybranych obszarach Centrum Medycznego iMed24 stosowany jest monitoring wizyjny w celu zapewnienia bezpieczeństwa osób i mienia oraz w zakresie dopuszczonym przez przepisy dotyczące działalności leczniczej i prawa pracy.

Szczegółowe informacje dotyczące zakresu monitoringu, obszarów objętych kamerami, podstaw prawnych, odbiorców i retencji nagrań znajdują się w odrębnej informacji dotyczącej monitoringu wizyjnego, dostępnej na stronach jego administratora, tj. COMARCH S.A.

15. Strona internetowa i pliki cookies

Podczas korzystania ze strony internetowej mogą być przetwarzane dane techniczne dotyczące urządzenia, przeglądarki, połączenia i sposobu korzystania z serwisu.

Strona wykorzystuje w tym celu pliki cookies i podobne działające technologie.

Szczegółowe informacje o stosowanych technologiach, ich dostawcach, celach, okresach działania oraz możliwości zarządzania zgodami znajdują się w odrębnej zakładce dotyczącej cookies.

Technologie, które nie są niezbędne do transmisji komunikatu ani do dostarczenia usługi żądanej przez użytkownika, są uruchamiane wyłącznie po uzyskaniu wymaganej zgody zgodnie z treścią art. 399 ustawy - Prawo komunikacji elektronicznej.

16. Marketing

GCPMED nie wykorzystuje dokumentacji medycznej, informacji o chorobach, wynikach badań ani historii konkretnych świadczeń pacjenta do tworzenia marketingowych profili pacjentów.

Nie prowadzimy profilowania marketingowego pacjentów na podstawie dokumentacji medycznej.

Jeżeli w przyszłości osoba będzie mogła dobrowolnie zapisać się na komunikację marketingową, przed zebraniem danych i zgody otrzyma odrębną informację określającą cel, podstawę prawną, kanały komunikacji oraz zasady wycofania tej zgody.

W przypadku wykorzystywania poczty elektronicznej, telefonu lub innych telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, zastosowanie mają wymogi art. 398 ustawy - Prawo komunikacji elektronicznej.

17. Czy profilujemy pacjentów albo podejmujemy wobec nich automatyczne decyzje?

Obecnie GCPMED nie podejmuje wobec pacjentów decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych, które wywoływałyby wobec nich skutki prawne lub w podobny sposób istotnie na nich wpływały w rozumieniu art. 22 ust. 1 RODO.

Nie wykorzystujemy także dokumentacji medycznej do tworzenia marketingowych profili preferencji pacjentów.

Automatyczne działanie systemu technicznego, takie jak wysłanie przypomnienia o wizycie, nie oznacza samo w sobie podejmowania zautomatyzowanej decyzji w rozumieniu art. 22 RODO. Stanowi jedynie element infrastruktury mający za zadanie przypomnieć o wizycie, badaniu lub innym świadczeniu w sposób przewidziany i zaakceptowany uprzednio przez osoby fizyczne korzystające z tego rozwiązania.

18. Komu możemy udostępniać dane?

W zależności od danego procesu dane mogą być udostępniane:

• osobom wykonującym zawody medyczne i innym osobom upoważnionym przez GCPMED w zakresie niezbędnym do wykonywania ich zadań, w szczególności: udzielania świadczeń medycznych, prowadzenia badań, udzielania zaleceń lub konsultacji medycznych, przeprowadzania diagnostyki medycznej;
• osobom uprawnionym przez pacjenta albo jego przedstawiciela ustawowego;
• innym podmiotom leczniczym, laboratoriom, placówkom diagnostycznym i podmiotom uczestniczącym w zapewnianiu ciągłości opieki – w zakresie dopuszczonym przez prawo;
• Centrum e-Zdrowia i innym właściwym organom lub kontrolowanym publicznie zasobom, jeżeli obowiązek przekazania danych wynika z przepisów prawa;
• Pracodawcom, w przypadku medycyny pracy – wyłącznie w zakresie dopuszczonym przez przepisy prawa;
• ubezpieczycielom, płatnikom i organizatorom opieki zdrowotnej – w zakresie wynikającym z odpowiedniego stosunku prawnego i właściwych przepisów prawa;
• operatorowi płatności, jeśli osoba korzysta z płatności internetowej;
• podmiotom świadczącym na rzecz GCPMED usługi informatyczne, hostingowe, serwisowe, telekomunikacyjne, usługi SMS, usługę voicebot, obsługę systemów medycznych oraz inne usługi wspierające – jeżeli dostęp do danych jest potrzebny do świadczenia tych usług;
• doradcom prawnym, audytorom, podmiotom windykacyjnym, dostarczycielom korespondencji lub przesyłek lub innym podmiotom wspierającym GCPMED w jego prawidłowym funkcjonowaniu, jeżeli istnieje odpowiednia podstawa udostępnienia danych i wyłącznie w zakresie tej podstawy;
• organom publicznym i innym podmiotom uprawnionym do otrzymania danych na podstawie przepisów prawa, któremu podlega Administrator.

Jeżeli usługodawca przetwarza dane w imieniu GCPMED, działamy na podstawie zasad określonych w treści art. 28 RODO i wymagamy odpowiednich środków technicznych i organizacyjnych służących przetwarzaniu danych oraz gwarancji ochrony danych.

Do kluczowych rozwiązań wykorzystywanych w obsłudze pacjenta należą system HIS i Portal Pacjenta. Dane systemów medycznych są hostowane w centrum danych w Krakowie – nie zachodzi wobec nich transfer poza EOG.

Udostępnianie lub powierzenie przetwarzania danych osobowych, wynikające z funkcjonowania systemów, którymi posługuje się Administrator przy organizacji oraz świadczeniu usług medycznych oraz innych czynności, pośrednio lub bezpośrednio z tym związanych, a wymagających dostępu do danych osobowych, następuje na rzecz podmiotów:

• Mednow (HIS/Portal Pacjenta, integracja systemów SMS);
• Talkie.ai (Voicebot);
• COMARCH S.A. (Data Center, infrastruktura sieciowa, ERP);
• SMSAPI (komunikacja SMS);
• 3CX (system telefonii);
• Microsoft (MS Office/Outlook);
• Dostawca PACS AVW/INFINIT (diagnostyka obrazowa);
• Dostawca Iris/MiniIris/DigicomGate (diagnostyka);
• EUELO (usługi windykacyjne);
• Przelewy24-PayPro S.A. (obsługa płatności).

19. Czy przekazujemy dane poza Europejski Obszar Gospodarczy?

W odniesieniu do podstawowych systemów medycznych, HIS i Portalu Pacjenta nie potwierdziliśmy obecnie przekazywania danych medycznych do państw spoza Europejskiego Obszaru Gospodarczego.

Nie oznacza to jednak, że każde narzędzie wykorzystywane przez GCPMED jest automatycznie wolne od transferów międzynarodowych. W szczególności odrębnej ocenie podlegają dostawcy technologii internetowych, analitycznych i serwisowych oraz ich sub-procesorzy, jeżeli stosowne umowy przewidują ich wykorzystanie.

Jeżeli w konkretnym przypadku dochodzi do przekazania danych poza EOG, stosujemy mechanizm dopuszczony przez rozdział V RODO, odpowiednio do danego transferu, np. decyzję Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony albo standardowe klauzule umowne wraz z wymaganymi dodatkowymi zabezpieczeniami.

Szczegółowe informacje dotyczące technologii stosowanych na stronie internetowej znajdują się także w ustawieniach cookies strony internetowej.

20. Jak długo przechowujemy dane?

Dane przechowujemy nie dłużej, niż jest to potrzebne do realizacji celu przetwarzania, do którego zostały zebrane, chyba że obowiązek dłuższego przechowywania wynika z przepisów prawa, któremu podlega Administrator lub w celu dochodzenia lub obrony przed roszczeniami.

Dokumentacja medyczna

Dokumentację medyczną przechowujemy co do zasady przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu.

Przepisy przewidują wyjątki, w tym m.in. dłuższe okresy dla dokumentacji związanej z określonymi przypadkami zgonu, danych dotyczących krwi i jej składników oraz dokumentacji małych dzieci, a także odrębne okresy dla określonych zdjęć rentgenowskich i skierowań.

Medycyna pracy

Dokumentację medycyny pracy przechowujemy przez okresy wynikające z przepisów prawa dotyczących tej dokumentacji, uwzględniając szczególne zasady dotyczące niektórych narażeń zawodowych.

Dokumenty księgowe i podatkowe

Dane przechowujemy przez okres wymagany przez właściwe przepisy podatkowe i rachunkowe, którym podlega Administrator.

Roszczenia i postępowania

Dane potrzebne do ustalenia, dochodzenia lub obrony roszczeń mogą być przechowywane do czasu upływu właściwego okresu przedawnienia albo prawomocnego zakończenia postępowania, a następnie przez okres wynikający z obowiązków dotyczących dokumentacji związanej z danym postępowaniem.

Portal Pacjenta, logi i nagrania

Jeżeli dane są objęte obowiązkiem ustawowej retencji, żądanie usunięcia konta, wycofanie zgody albo zakończenie korzystania z usługi nie powoduje usunięcia danych, które GCPMED nadal ma obowiązek przechowywać według obowiązujących przepisów prawa.

21. Czy podanie danych jest obowiązkowe?

To zależy od celu, dla jakiego dane osobowe są zbierane.

Dane potrzebne do prawidłowej identyfikacji pacjenta, udzielenia świadczenia i prowadzenia dokumentacji medycznej są wymagane w zakresie wynikającym z przepisów prawa. Bez takich danych możemy nie być w stanie udzielić świadczenia albo prawidłowo go udokumentować.

Dane potrzebne do wykonania określonej umowy lub usługi elektronicznej są wymagane, jeżeli bez nich nie możemy zrealizować tej umowy lub usługi.

Niektóre dane kontaktowe mogą być podawane zależnie od wybranego sposobu kontaktu lub funkcji. Jeżeli adres e-mail nie jest potrzebny do konkretnej usługi, jego podanie pozostaje dobrowolne i zależne wyłącznie od osoby fizycznej.

Jeżeli dane są zbierane na podstawie zgody, ich podanie i udzielenie zgody na ich przetwarzanie jest dobrowolne.

22. Jakie prawa przysługują osobie, której dane dotyczą?

W zależności od podstawy i okoliczności przetwarzania możesz mieć prawo do:

• uzyskania dostępu do swoich danych i ich kopii – art. 15 RODO;
• sprostowania nieprawidłowych danych oraz uzupełnienia danych – art. 16 RODO;
• usunięcia danych w przypadkach określonych w art. 17 RODO;
• ograniczenia przetwarzania danych – art. 18 RODO;
• przenoszenia danych – w przypadkach określonych w art. 20 RODO;
• wniesienia sprzeciwu wobec przetwarzania prowadzonego na podstawie art. 6 ust. 1 lit. e lub f RODO – art. 21 RODO;
• wycofania zgody w każdym czasie, jeżeli przetwarzanie opiera się na zgodzie, bez wpływu na zgodność z prawem wcześniejszego przetwarzania opartego na tej przesłance;
• wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Poszczególne prawa nie mają zastosowania w każdej sytuacji i w każdym zakresie – możliwość skorzystania z nich wynika z konkretnego procesu przetwarzania danych, opartych o konkretne podstawy przetwarzania zgodnego z prawem.

W szczególności prawo do usunięcia danych nie oznacza prawa do usunięcia dokumentacji medycznej przed upływem obowiązkowego okresu jej przechowywania.

23. Dostęp do danych osobowych a dostęp do dokumentacji medycznej

Prawo dostępu do danych osobowych na podstawie art. 15 RODO oraz prawo pacjenta do dostępu do dokumentacji medycznej wynikające z przepisów o prawach pacjenta są odrębnymi prawami.

Jeżeli chcesz uzyskać dokumentację medyczną, możesz skorzystać z procedury udostępniania dokumentacji medycznej obowiązującej w iMed24.

Jeżeli chcesz zrealizować prawo wynikające z RODO, możesz skontaktować się z GCPMED lub Inspektorem Ochrony Danych.

24. Badania kliniczne

GCPMED prowadzi działalność związaną z badaniami klinicznymi.

Role GCPMED, sponsora, CRO i pozostałych podmiotów mogą różnić się zależnie od konkretnego badania, zawartego protokołu badań klinicznych oraz zawartych umów. Z tego powodu zasady przetwarzania danych uczestników i kandydatów do badań są określane w dokumentacji i klauzulach właściwych dla konkretnego badania lub procesu kwalifikacji do badania.

Świadoma zgoda na udział w badaniu klinicznym nie jest automatycznie tym samym co zgoda na przetwarzanie danych osobowych w rozumieniu RODO.

25. Ochrona danych i dostęp do systemów

Stosujemy środki organizacyjne i techniczne służące ochronie danych, odpowiednie do charakteru przetwarzanych informacji i związanego z nimi ryzyka.

Dostęp do danych jest przyznawany wyłącznie osobom, które potrzebują go do wykonywania swoich obowiązków i wyłącznie w zakresie tych obowiązków. Systemy medyczne wykorzystują indywidualne konta i rejestrują informacje o dostępie użytkowników w zakresie przewidzianym przez daną, użytą w nich technologię.

Dostawcy posiadający możliwość technicznego dostępu do danych mogą uzyskiwać dostęp wyłącznie w zakresie niezbędnym do świadczenia uzgodnionej usługi i zgodnie z obowiązującymi zasadami dostępu oraz zawartymi umowami w tym zakresie.

26. Zmiany Polityki

Polityka jest aktualizowana ilekroć, zmieniają się przepisy prawa, cele lub sposoby przetwarzania danych, wykorzystywane systemy lub zasoby, istotni dostawcy albo inne okoliczności mające znaczenie dla przekazywanych i przetwarzanych informacji.

Przy każdej wersji wskazujemy datę ostatniej aktualizacji.