Zásady spracúvania osobných údajov

Tieto zásady spracúvania osobných údajov boli vypracované v súlade s:

• Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „GDPR“), a
• zákonom č. 18/2018 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov (ďalej len „Zákon“).

Cieľom tohto dokumentu je transparentne, zrozumiteľne a komplexne informovať dotknuté osoby o tom, aké osobné údaje spracúvame, na aké účely, akým spôsobom, na akom právnom základe, po akú dobu a aké práva im v tejto súvislosti prináležia. Osobitná pozornosť je venovaná spracúvaniu citlivých údajov, ako je rodné číslo a údaje týkajúce sa zdravia, v súlade s osobitnými ustanoveniami právnych predpisov.

Tieto zásady sa vzťahujú na všetky osoby, ktoré využívajú služby poskytované prostredníctvom webovej stránky www.ortopka.sk, vrátane:

• objednávania termínov na fyzické vyšetrenia v ortopedickej ambulancii,
• zadávania údajov prostredníctvom kontaktných a objednávkových formulárov,
• komunikácie s pacientmi prostredníctvom elektronickej pošty alebo iných digitálnych komunikačných nástrojov,
• a tiež na osoby, ktoré sa objednávajú alebo absolvujú online konzultácie prostredníctvom videohovoru, telefónu alebo inej formy telemedicínskeho kontaktu.

Osobné údaje sú spracúvané výhradne za účelom zabezpečenia zdravotnej starostlivosti, vedenia zdravotnej dokumentácie, rezervácie termínov, realizácie online konzultácií a súvisiacej komunikácie s pacientom, a to v rozsahu a na základe právnych predpisov uvedených vyššie.

1. Identifikácia prevádzkovateľa

Tieto zásady vydáva prevádzkovateľ osobných údajov:

Názov:              Súkromná ortopedická ambulancia
Adresa:             Horná Lehota 74, 027 41 Horná Lehota
E-mail:              jakub.ondrek@ortopka.sk
Web:                www.ortopka.sk

Prevádzkovateľ je poskytovateľom zdravotnej starostlivosti v zmysle § 2 ods. 1 písm. b) zákona č. 576/2004 Z. z. o zdravotnej starostlivosti. Vzhľadom na charakter služieb vykonáva spracúvanie osobných údajov pacientov ako zákonnú povinnosť.

Prevádzkovateľ nie je povinný ustanoviť zodpovednú osobu (DPO) podľa čl. 37 GDPR, nakoľko spracúvanie nie je vykonávané vo veľkom rozsahu.

2. Účely spracúvania a právne základy

Vaše osobné údaje spracúvame výlučne na účely nevyhnutné na poskytovanie zdravotnej starostlivosti vrátane online konzultácií, ako aj na súvisiace administratívne a prevádzkové úkony: 

* Prenos údajov v rámci online konzultácie prebieha cez zabezpečenú platformu a na základe žiadosti pacienta alebo výslovného súhlasu.

Týmto spracúvaním sa zabezpečuje najmä efektívne poskytnutie zdravotných služieb, presné vedenie zdravotnej dokumentácie a zákonná evidencia vykonaných výkonov vrátane tých, ktoré prebehli formou online konzultácie.

3. Rozsah spracúvaných osobných údajov

V súvislosti s poskytovaním zdravotnej starostlivosti, rezerváciou termínov a realizáciou online konzultácií spracúva prevádzkovateľ najmä tieto kategórie osobných údajov dotknutých osôb:

1. meno a priezvisko,
2. akademický titul (ak je uvedený),
3. dátum narodenia,
4. rodné číslo (rodné číslo je spracúvané výlučne na účely vedenia zdravotnej dokumentácie a identifikácie pacienta podľa § 21 zákona č. 576/2004 Z. z.; nie je využívané na marketingové alebo iné účely),
5. adresa trvalého alebo prechodného pobytu,
6. kontaktné údaje: telefónne číslo, e-mailová adresa,
7. informácie uvedené v objednávkovom alebo kontaktnom formulári (napr. preferovaný termín, dôvod vyšetrenia),
8. údaje týkajúce sa zdravotného stavu pacienta, vrátane anamnézy, diagnózy, výsledkov vyšetrení, odporúčanej liečby a výstupov z online konzultácií 
9. údaje týkajúce sa realizovaných zdravotných výkonov (dátum, typ výkonu, rozsah),
10. fakturačné údaje a informácie o platbe za zdravotný výkon (napr. suma, dátum, variabilný symbol).

Rodné číslo nie je predmetom prenosu tretím stranám (okrem prípadov výslovne stanovených zákonom) a prevádzkovateľ zabezpečuje jeho spracúvanie prostredníctvom primeraných technických a organizačných opatrení v súlade s článkom 32 GDPR, aby bola zaistená jeho dôvernosť, integrita, dostupnosť a odolnosť

4. Príjemcovia osobných údajov

Vaše osobné údaje môžu byť sprístupnené alebo poskytnuté výlučne v nevyhnutnom rozsahu týmto kategóriám príjemcov, pričom vždy za podmienok stanovených právnymi predpismi a s dôrazom na zachovanie dôvernosti a bezpečnosti údajov:

1. oprávneným osobám prevádzkovateľa, ktoré sú zaviazané mlčanlivosťou a podieľajú sa na poskytovaní zdravotnej starostlivosti alebo zabezpečovaní administratívnych, technických či komunikačných činností (napr. zdravotná sestra, administratívny personál),
2. zmluvným sprostredkovateľom, ktorí pre prevádzkovateľa zabezpečujú technickú a IT podporu, najmä:
   1. správca webovej stránky a objednávkového systému,
   1. poskytovateľ webhostingu a e-mailovej komunikácie,
   1. prípadne poskytovatelia zabezpečenej videokonferenčnej platformy používaní na online konzultácie,
3. orgánom verejnej moci, ak je poskytnutie údajov vyžadované osobitným právnym predpisom alebo na základe zákonnej výzvy (napr. Úrad na ochranu osobných údajov, súdy, orgány činné v trestnom konaní, Regionálny úrad verejného zdravotníctva),
4. účtovnému poradcovi alebo daňovému poradcovi, ak sa na spracúvanie účtovných dokladov a plnenie povinností voči finančnej správe využíva externý subjekt.
5. Údaje spracúvané za účelom zasielania newslettera môžu byť sprístupnené aj sprostredkovateľovi, ktorý zabezpečuje e-mailovú marketingovú službu (napr. poskytovateľ služby Mailchimp, Ecomail, alebo inej obdobnej platformy), a to výlučne na základe zmluvy podľa čl. 28 GDPR.

Prevádzkovateľ vyhlasuje, že osobné údaje neposkytuje tretím stranám na marketingové, reklamné, obchodné alebo iné účely, ktoré nie sú v súlade s účelom poskytovania zdravotnej starostlivosti.

So všetkými sprostredkovateľmi má prevádzkovateľ uzatvorené písomné zmluvy o spracúvaní osobných údajov podľa čl. 28 GDPR a § 34 zákona č. 18/2018 Z.z., ktoré zabezpečujú ochranu údajov v súlade s platnou legislatívou.

5. Prenos do tretích krajín a medzinárodných organizácií

Prevádzkovateľ neprenáša osobné údaje dotknutých osôb do tretích krajín mimo Európskeho hospodárskeho priestoru (EHP) ani do medzinárodných organizácií.

Pri poskytovaní svojich služieb využíva výhradne služby a technológie od dodávateľov, ktorí spracúvajú údaje v rámci územia Európskej únie a/alebo EHP a zaručujú primeranú úroveň ochrany osobných údajov v súlade s GDPR.

Ak by v budúcnosti vznikla potreba prenosu osobných údajov mimo EHP (napr. z dôvodu využitia cloudovej služby so sídlom mimo EHP), takýto prenos bude vykonaný výlučne v súlade s kapitolou V GDPR, a to na základe:

1. rozhodnutia Európskej komisie o primeranosti ochrany údajov v danej krajine, alebo
2. štandardných zmluvných doložiek schválených Európskou komisiou, prípadne
3. s výslovným súhlasom dotknutej osoby po jej informovaní o rizikách spojených s takýmto prenosom.

O akomkoľvek takomto prenose bude dotknutá osoba vopred jasne informovaná v súlade s článkami 13 a 14 GDPR.

6. Doba uchovávania osobných údajov

Prevádzkovateľ uchováva osobné údaje dotknutých osôb len po dobu nevyhnutne potrebnú na splnenie účelu, na ktorý boli získané, a zároveň v súlade s požiadavkami platnej legislatívy, najmä:

1. Zdravotná dokumentácia (vrátane údajov získaných počas online konzultácií) sa uchováva po dobu najmenej 20 rokov od posledného poskytnutia zdravotnej starostlivosti, v súlade s § 21 ods. 1 zákona č. 576/2004 Z.z. o zdravotnej starostlivosti.
2. Údaje z objednávkového formulára, ktoré nevedú k reálnemu poskytnutiu zdravotnej starostlivosti (napr. ak sa pacient nedostaví, alebo objednávku zruší), sa uchovávajú maximálne po dobu 6 mesiacov od ich získania, a následne sú bezpečne vymazané alebo zneprístupnené. Pokiaľ pacient požiada o vyradenie údajov pred uplynutím tejto doby a nejde o údaje potrebné na právne účely, prevádzkovateľ ich vymaže aj skôr.
3. Účtovné doklady a fakturačné údaje sú uchovávané po dobu 10 rokov nasledujúcich po roku, ktorého sa týkajú, v súlade s § 35 zákona č. 431/2002 Z.z. o účtovníctve.
4. V prípade uplatnenia práv dotknutých osôb (napr. žiadosť o prístup, námietku, výmaz) sa údaje potrebné na preukázanie splnenia povinností zo strany prevádzkovateľa môžu uchovávať po dobu 3 rokov od vybavenia žiadosti, v rámci oprávneného záujmu na ochrane práv prevádzkovateľa.

Po uplynutí zákonných alebo účelovo oprávnených lehôt budú údaje bezpečne zlikvidované, anonymizované alebo inak zneprístupnené v súlade s internými bezpečnostnými protokolmi prevádzkovateľa. Prevádzkovateľ si vyhradzuje možnosť uchovávať údaje z formulára po dlhšiu dobu, ak vznikne právny dôvod (napr. preukazovanie výkonu alebo súvisiace nároky).

7. Práva dotknutej osoby

Dotknuté osoby majú v súlade s ustanoveniami článkov 12 až 22 GDPR a § 19 až § 30 zákona č. 18/2018 Z. z. o ochrane osobných údajov najmä tieto práva:

1. Právo na prístup k údajom

Máte právo získať potvrdenie, či sa o Vás spracúvajú osobné údaje, a ak áno, máte právo získať prístup k týmto údajom, vrátane informácií o účeloch spracúvania, kategóriách spracúvaných údajov, príjemcoch, dobe uchovávania a o Vašich právach ako dotknutej osoby.

• Právo na opravu

Máte právo na opravu nepresných osobných údajov, ktoré sa Vás týkajú, a na doplnenie neúplných údajov.

• Právo na vymazanie („právo byť zabudnutý“)

Máte právo na výmaz osobných údajov, ak:

1. údaje už nie sú potrebné na účely, na ktoré sa získavali alebo inak spracúvali,
2. odvoláte súhlas, na základe ktorého sa spracúvanie vykonáva, a neexistuje iný právny základ,
3. vzniesli ste námietku proti spracúvaniu a neexistujú žiadne prevažujúce oprávnené dôvody na spracúvanie,
4. osobné údaje sa spracúvali nezákonne,
5. osobné údaje sa musia vymazať, aby sa splnila zákonná povinnosť podľa práva Únie alebo SR.

Toto právo sa neuplatní v prípade, ak je spracúvanie nevyhnutné na účely stanovené zákonom, najmä na účely poskytovania zdravotnej starostlivosti alebo na uplatnenie právnych nárokov.

• Právo na obmedzenie spracúvania

Máte právo požadovať obmedzenie spracúvania Vašich osobných údajov, ak:

1. napadnete presnosť údajov (na obdobie overenia ich správnosti),
2. spracúvanie je nezákonné a namiesto vymazania žiadate o obmedzenie použitia údajov,
3. prevádzkovateľ už údaje nepotrebuje, ale potrebujete ich na uplatnenie právneho nároku,
4. vzniesli ste námietku proti spracúvaniu, až do overenia, či oprávnené dôvody prevádzkovateľa prevažujú nad Vašimi dôvodmi.
5. Právo na prenosnosť údajov

V prípadoch, keď sa spracúvanie zakladá na súhlase alebo zmluve a vykonáva sa automatizovane, máte právo získať osobné údaje, ktoré ste nám poskytli, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, a máte právo preniesť tieto údaje k inému prevádzkovateľovi.

• Právo namietať

Máte právo kedykoľvek namietať voči spracúvaniu osobných údajov, ktoré sa vykonáva na základe oprávneného záujmu. V takom prípade prestaneme Vaše údaje spracúvať, ak nepreukážeme závažné oprávnené dôvody na spracúvanie, ktoré prevažujú nad Vašimi záujmami alebo právami.

• Právo odvolať súhlas

Ak sa osobné údaje spracúvajú na základe Vášho súhlasu, máte právo tento súhlas kedykoľvek odvolať. Odvolanie súhlasu nemá spätný vplyv na zákonnosť spracúvania vykonávaného pred jeho odvolaním.

V prípade spracúvania údajov na základe súhlasu (napr. na účely zasielania newslettera), máte právo kedykoľvek svoj súhlas odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania pred jeho odvolaním.

1.  Právo podať sťažnosť dozornému orgánu

Máte právo podať sťažnosť na dozorný orgán, ktorým je:

Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27
Web: www.dataprotection.gov.sk
Tel.: +421 2 3231 3214
E-mail: statny.dozor@pdp.gov.sk

• Právo na overenie totožnosti pri uplatnení práv

Z dôvodu ochrany Vašich údajov si prevádzkovateľ vyhradzuje právo vyžiadať si dodatočné overenie totožnosti, ak existujú oprávnené pochybnosti o totožnosti osoby, ktorá uplatňuje niektoré z vyššie uvedených práv.

Dotknutá osoba si svoje práva môže uplatniť písomne alebo elektronicky prostredníctvom kontaktov uvedených v týchto zásadách. Prevádzkovateľ poskytne odpoveď bez zbytočného odkladu, najneskôr však do 1 mesiaca od doručenia žiadosti. Táto lehota môže byť vo výnimočných prípadoch predĺžená o ďalšie dva mesiace, najmä ak je žiadosť zložitá alebo rozsiahla; o dôvodoch predĺženia bude dotknutá osoba informovaná.

8. Zabezpečenie osobných údajov

Prevádzkovateľ prijíma primerané technické a organizačné opatrenia s cieľom zabezpečiť úroveň ochrany osobných údajov zodpovedajúcu rizikám, ktoré predstavuje spracúvanie, najmä pri náhodnom alebo nezákonnom zničení, strate, pozmenení, neoprávnenom poskytnutí alebo sprístupnení prenášaných, uchovávaných alebo inak spracúvaných osobných údajov. V rámci zabezpečenia údajov sú zavedené najmä tieto opatrenia:

1. Webová stránka prevádzkovateľa je zabezpečená šifrovaným prenosom dát prostredníctvom SSL certifikátu (HTTPS protokol), čo znemožňuje zachytenie údajov neoprávnenou treťou stranou počas prenosu.
2. Prístup k údajom majú výlučne oprávnené osoby (napr. zdravotnícki pracovníci, administratívni pracovníci), ktoré sú viazané zákonnou povinnosťou mlčanlivosti podľa § 19 zákona č. 576/2004 Z. z. a/alebo zmluvne zaväzujúcou mlčanlivosťou.
3. Údaje sú uchovávané v zabezpečených informačných systémoch s riadeným prístupom, ktoré sú pravidelne aktualizované, zálohované a chránené pred neautorizovaným prístupom.
4. Fyzický prístup k papierovej zdravotnej dokumentácii je obmedzený len na oprávnený zdravotnícky personál a zabezpečený uzamknutím v uzamykateľných skriniach alebo miestnostiach.
5. Prevádzkovateľ má zavedený systém riadenia bezpečnosti informácií vrátane kontrolných a hodnotiacich mechanizmov zabezpečenia ochrany osobných údajov.
6. V prípade zapojenia externých poskytovateľov IT služieb sú títo viazaní zmluvou o spracúvaní osobných údajov a sú povinní dodržiavať rovnocenné štandardy bezpečnosti ako samotný prevádzkovateľ.

Prevádzkovateľ zároveň pravidelne prehodnocuje primeranosť prijatých opatrení a aktualizuje ich v súlade s technickým pokrokom, aktuálnymi bezpečnostnými hrozbami a vývojom právnych požiadaviek.

9. Používanie cookies a analytických nástrojov

Webová stránka prevádzkovateľa (www.ortopka.sk) aktuálne nepoužíva žiadne analytické, marketingové ani personalizačné cookies, ktoré by vyžadovali súhlas používateľa podľa § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách a článku 6 ods. 1 písm. a) GDPR.

Ak dôjde k zavedeniu akýchkoľvek nevyhnutných, štatistických alebo marketingových nástrojov tretích strán (napr. Google Analytics, Meta Pixel), prevádzkovateľ zabezpečí:

1. implementáciu mechanizmu aktívneho udeľovania súhlasu návštevníkom webu (tzv. cookie lišty), 
2. zverejnenie aktualizovaných zásad používania cookies s podrobným popisom typov cookies, účelov, lehôt uchovávania a zapojených tretích strán, 
3. možnosť odvolať súhlas rovnako jednoduchým spôsobom, ako bol udelený.

Nevyhnutné technické cookies, ktoré slúžia výhradne na správne zobrazenie stránky alebo zabezpečenie jej základných funkcií (napr. preferencie jazyka, autentifikácia), sa spracúvajú na základe oprávneného záujmu prevádzkovateľa podľa článku 6 ods. 1 písm. f) GDPR, a to bez potreby súhlasu.

Prevádzkovateľ odporúča používateľom nastaviť si úroveň ochrany súkromia vo svojom prehliadači a odporúča overiť si aj zásady ochrany osobných údajov spoločností, ktoré prevádzkujú platformy, prostredníctvom ktorých sa uskutočňujú online konzultácie.

Tieto Zásady nadobúdajú účinnosť dňom ich zverejnenia na webovej stránke www.ortopka.sk a sú priebežne aktualizované v súlade s platnou legislatívou, najmä podľa nariadenia GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov. Prevádzkovateľ si vyhradzuje právo na ich úpravu v prípade zmeny právnych predpisov alebo procesov spracúvania. O podstatných zmenách bude návštevník stránky primeraným spôsobom informovaný (napr. oznámením na stránke).