Informacja o przetwarzaniu danych osobowych pacjentów

Administrator danych osobowych:

Centrum Medyczne HugCare Spółka z ograniczoną odpowiedzialnością

Siedziba (wg KRS): ul. Górna 4, 41-922 Radzionków

Adres do korespondencji: ul. św. Wojciecha 119/1, 41-922 Radzionków

NIP: 6452581406 | REGON: 525686040 | KRS: 0001044220

Wpis do rejestru podmiotów wykonujących działalność leczniczą nr 000000269176

tel.: +48 666 950 382 | e-mail: kontakt@hugcare.pl

Inspektor Ochrony Danych (IOD): Przemysław Szczygłowski, e-mail: iod@hugcare.pl

Niniejsza informacja wypełnia obowiązek wynikający z art. 13 RODO — Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, czyli ogólnego rozporządzenia o ochronie danych.

Najważniejsze w skrócie

Wiemy, że to długi dokument. Poniżej sedno; szczegóły znajdzie Pani/Pan w dalszej części.

Kto przetwarza dane: podmiot wskazany powyżej. Świadczenia udzielamy w czterech placówkach — w Radzionkowie, Tarnowskich Górach, Rudzie Śląskiej i Piekarach Śląskich — a dokumentacja medyczna jest wspólna i dostępna we wszystkich z nich, niezależnie od tego, w której placówce się Pani/Pan leczy.
Po co: żeby Panią/Pana leczyć i żeby prowadzić dokumentację medyczną, do której prowadzenia zobowiązuje nas ustawa.
Obowiązuje tajemnica — lekarska oraz zawodowa osób udzielających świadczeń. W zakresie opieki psychiatrycznej i psychologicznej obowiązuje nas dodatkowo tajemnica z ustawy o ochronie zdrowia psychicznego, obejmująca wszystko, o czym dowiadujemy się w związku z leczeniem — w tym sam fakt, że jest Pani/Pan naszym pacjentem.
Wyznaczyliśmy Inspektora Ochrony Danych — jego dane kontaktowe znajdzie Pani/Pan na początku tego dokumentu.
Jak długo: dokumentację medyczną przechowujemy 20 lat, licząc od końca roku, w którym dokonano ostatniego wpisu. Tak nakazuje ustawa i nie możemy skrócić tego okresu.
Czy dokumentację można usunąć na żądanie: nie. Prawo nakazuje nam ją przechowywać przez wskazany wyżej okres. Wyjaśniamy to w sekcji 9, żeby odmowa nie była zaskoczeniem.
Komu przekazujemy dane: firmom obsługującym nas technicznie — w tym firmie prowadzącej nasz system dokumentacji medycznej — oraz instytucjom, którym musimy je przekazać na podstawie przepisów. Pełna lista w sekcji 5.
Czy dane wychodzą poza Europę: tak, w ograniczonym zakresie — wyjaśniamy w sekcji 6. Sama dokumentacja medyczna pozostaje na serwerach w Unii Europejskiej.
Czy o Pani/Panu decyduje komputer: nie. Nie stosujemy profilowania ani automatycznych decyzji.
Ma Pani/Pan prawa: dostęp do danych, sprostowanie, ograniczenie przetwarzania, kopia dokumentacji medycznej, skarga do urzędu. Szczegóły w sekcji 9.
Kontakt w sprawach danych: dane Inspektora Ochrony Danych podane na początku dokumentu.

1. Kto przetwarza Pani/Pana dane i z kim można się kontaktować

Administratorem Pani/Pana danych osobowych — czyli podmiotem, który decyduje, w jakim celu i w jaki sposób są one przetwarzane — jest podmiot wskazany na początku tego dokumentu. Udzielamy świadczeń w czterech placówkach: w Radzionkowie, Tarnowskich Górach, Rudzie Śląskiej i Piekarach Śląskich. Dokumentacja medyczna prowadzona jest wyłącznie elektronicznie, więc niezależnie od tego, w której placówce się Pani/Pan zarejestruje, mamy dostęp do historii Pani/Pana leczenia.

We wszystkich sprawach dotyczących swoich danych osobowych może się Pani/Pan skontaktować z naszym Inspektorem Ochrony Danych pod adresem wskazanym na początku dokumentu, a w sprawach organizacyjnych — telefonicznie, pocztą elektroniczną albo osobiście w rejestracji dowolnej z naszych placówek.

Wyznaczyliśmy Inspektora Ochrony Danych (IOD) — to osoba nadzorująca u nas przestrzeganie zasad ochrony danych osobowych. Zrobiliśmy to dlatego, że w związku z udzielaniem świadczeń zdrowotnych przetwarzamy dane dotyczące zdrowia na dużą skalę (art. 37 ust. 1 lit. c RODO).

2. Dlaczego przetwarzamy Pani/Pana dane i na jakiej podstawie

Przy każdym celu podajemy podstawę prawną odrębnie. Przy większości z nich występują dwie podstawy naraz: jedna zezwala na przetwarzanie danych w ogóle (art. 6 RODO), druga uchyla zakaz przetwarzania danych o zdrowiu (art. 9 RODO). W zakresie opieki psychiatrycznej i psychologicznej dotyczy to nawet celów pozornie „technicznych" — bo sam fakt korzystania z takich świadczeń jest już informacją o stanie zdrowia. W pozostałych specjalizacjach druga podstawa wynika po prostu z tego, że korzysta Pani/Pan z opieki zdrowotnej.

a) Leczenie i prowadzenie dokumentacji medycznej — diagnostyka, leczenie i opieka nad pacjentem w ramach naszych specjalizacji (psychiatria, psychologia, psychoterapia, neurologia dziecięca, fizjoterapia, logopedia, dietetyka, położnictwo) oraz prowadzenie dokumentacji medycznej wymaganej prawem.

Podstawa: art. 6 ust. 1 lit. c RODO (obowiązek prawny) w związku z art. 24 ust. 1 i art. 25 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz przepisami ustawy o systemie informacji w ochronie zdrowia dotyczącymi elektronicznej dokumentacji medycznej, a także art. 9 ust. 2 lit. h RODO (profilaktyka zdrowotna, diagnoza medyczna, zapewnienie opieki zdrowotnej) w związku z art. 9 ust. 3 RODO.

b) Rejestracja i umawianie wizyt — przyjęcie zgłoszenia, ustalenie terminu wizyty i specjalisty, kontakt przed wizytą.

Podstawa: art. 6 ust. 1 lit. b RODO oraz art. 6 ust. 1 lit. c RODO w związku z art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, a art. 9 ust. 2 lit. h RODO — w zakresie, w jakim zgłoszenie ujawnia informację o rodzaju poszukiwanego świadczenia. Dotyczy to zwłaszcza umawiania wizyt u specjalisty psychiatrii, psychologii lub psychoterapii, gdzie sam wybór specjalisty jest już informacją o stanie zdrowia.

c) Powiadomienia o wizytach wiadomością SMS lub pocztą elektroniczną — przypomnienie o terminie, informacja o zmianie lub odwołaniu wizyty.

Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy o udzielenie świadczenia zdrowotnego). Powiadomienie o wizycie nie jest informacją handlową i nie wymaga odrębnej zgody. Treść powiadomienia nie ujawnia specjalizacji placówki ani powodu wizyty — dotyczy to zwłaszcza wizyt w zakresie psychiatrii, psychologii i psychoterapii, gdzie sama nazwa poradni widoczna na ekranie blokady telefonu mogłaby ujawnić informację o Pani/Pana zdrowiu osobie postronnej.

d) Rozliczenia z Narodowym Funduszem Zdrowia i weryfikacja uprawnień do świadczeń finansowanych ze środków publicznych (system eWUŚ).

Podstawa: art. 6 ust. 1 lit. c RODO w związku z przepisami o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych oraz umową z Narodowym Funduszem Zdrowia, a przy rozliczeniu udzielonych świadczeń — dodatkowo art. 9 ust. 2 lit. h RODO (dotyczy pacjentek objętych opieką położniczą, ich dzieci oraz uczestniczek szkoły rodzenia — to jedyny obszar naszej działalności finansowany ze środków publicznych).

e) Wystawianie recept, skierowań i zwolnień lekarskich, w tym elektronicznych.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy o systemie informacji w ochronie zdrowia, Prawa farmaceutycznego oraz ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, a także art. 9 ust. 2 lit. h RODO.

f) Wydawanie opinii, zaświadczeń i wyników diagnoz — na przykład opinii psychologicznej, zaświadczenia lekarskiego czy wyniku badania, przeznaczonych dla Pani/Pana albo dla wskazanego przez Panią/Pana podmiotu.

Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy o udzielenie świadczenia, którego przedmiotem jest wydanie dokumentu) oraz art. 6 ust. 1 lit. c RODO w związku z art. 24 ust. 1 i art. 25 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, a także art. 9 ust. 2 lit. h RODO.

g) Odbieranie oświadczeń i upoważnień do dokumentacji medycznej oraz do informacji o Pani/Pana stanie zdrowia, w tym upoważnień dla osób bliskich.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 9 ust. 3, art. 26 ust. 1 i art. 26 ust. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz art. 9 ust. 2 lit. h RODO. Raz udzielone upoważnienie może Pani/Pan w każdej chwili odwołać albo zmienić jego zakres — wystarczy oświadczenie złożone w rejestracji dowolnej placówki. Od chwili odwołania nie wydajemy już tej osobie dokumentacji ani nie udzielamy jej informacji o Pani/Pana stanie zdrowia.

h) Przyjmowanie zgłoszeń chęci umówienia wizyty przez formularz na naszej stronie internetowej.

Podstawa: art. 6 ust. 1 lit. b RODO oraz art. 9 ust. 2 lit. h RODO — nasz formularz zawiera pole opisu celu wizyty, w którym najczęściej wskazuje Pani/Pan specjalistę albo powód zgłoszenia, a to jest dana dotycząca zdrowia. Prosimy w tym polu o niewpisywanie szczegółów dotyczących stanu zdrowia — o te zapytamy przy rejestracji, kanałem, który lepiej chroni tę informację.

i) Udostępnianie dokumentacji medycznej — Pani/Panu, osobom przez Panią/Pana upoważnionym, przedstawicielom ustawowym oraz podmiotom i organom uprawnionym na podstawie przepisów, wraz z prowadzeniem wykazu takich udostępnień.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 23, art. 26, art. 27 i art. 28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz art. 9 ust. 2 lit. h RODO. Gdy o dokumentację występuje sąd, dochodzi do tego art. 9 ust. 2 lit. f RODO — przepis dopuszczający przetwarzanie danych o zdrowiu w ramach sprawowania wymiaru sprawiedliwości.

j) Rozliczenia, faktury i księgowość — dotyczy świadczeń odpłatnych, czyli większości naszej działalności poza opieką położniczą finansowaną przez NFZ.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z ustawą o rachunkowości, Ordynacją podatkową i ustawą o podatku od towarów i usług.

k) Rozpatrywanie Pani/Pana żądań dotyczących danych osobowych — na przykład wniosku o dostęp do danych, ich sprostowanie albo ograniczenie przetwarzania.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 12–22 RODO oraz art. 5 ust. 2 RODO (obowiązek rozliczalności).

l) Dokumentowanie naruszeń ochrony danych osobowych oraz zgłaszanie ich urzędowi, a w razie potrzeby zawiadamianie Pani/Pana.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 33 i art. 34 RODO, w szczególności art. 33 ust. 5 RODO.

m) Przechowywanie i niszczenie dokumentacji po upływie okresu wymaganego prawem.

Podstawa: art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 1 lit. e RODO oraz przepisami wyznaczającymi okresy przechowywania, w szczególności art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.

n) Prowadzenie korespondencji — odpowiadanie na Pani/Pana wiadomości e-mail i pisma, także w sprawach niezwiązanych bezpośrednio z umówioną wizytą.

Podstawa: art. 6 ust. 1 lit. b RODO (kontakt w sprawie świadczenia) oraz art. 9 ust. 2 lit. h RODO — jeżeli w wiadomości opisze Pani/Pan stan zdrowia.

Warunek stosowania podstawy z art. 9 ust. 2 lit. h RODO. Przesłankę tę wolno stosować wyłącznie wtedy, gdy dane przetwarza osoba związana tajemnicą zawodową (art. 9 ust. 3 RODO). Warunek ten jest u nas spełniony — świadczeń udzielają osoby wykonujące zawody medyczne, związane tajemnicą zawodową, a w zakresie opieki psychiatrycznej i psychologicznej — dodatkowo tajemnicą z art. 50 ustawy o ochronie zdrowia psychicznego (patrz sekcja 12).

3. Jakie dane przetwarzamy

dane pozwalające ustalić Pani/Pana tożsamość — nazwisko i imię, data urodzenia, oznaczenie płci, adres zamieszkania, numer PESEL (a jeżeli nie został nadany — rodzaj i numer dokumentu tożsamości). Zakres ten wynika wprost z art. 25 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta;
dane kontaktowe — numer telefonu, adres e-mail;
oddział wojewódzki NFZ, do którego Pani/Pan należy (dotyczy pacjentek opieki położniczej i uczestniczek szkoły rodzenia);
dane o zdrowiu — rozpoznanie, przebieg i historia leczenia, wyniki badań, stosowane leki, zalecenia, treść wywiadu, wystawione recepty, skierowania i zwolnienia lekarskie;
dane przedstawiciela ustawowego albo opiekuna — nazwisko, imię i dane kontaktowe (dotyczy pacjentów małoletnich);
dane osób, które Pani/Pan upoważnia do dokumentacji medycznej lub do informacji o stanie zdrowia;
dane potrzebne do rozliczenia — dane do faktury, zakres i wartość świadczenia, data i sposób płatności.

W dokumentacji mogą pojawić się również dane osób z Pani/Pana otoczenia, jeżeli wynika to z treści wywiadu — dotyczy to zwłaszcza wizyt z zakresu psychiatrii, psychologii i neurologii dziecięcej. Objęte są one tą samą tajemnicą i tymi samymi zabezpieczeniami co pozostała dokumentacja.

Z osobami tymi nie kontaktujemy się w sprawie przetwarzania ich danych — kontakt sam w sobie ujawniłby, że korzysta Pani/Pan z naszych świadczeń, a to jest objęte tajemnicą. Tak samo postępujemy wobec osób, które Pani/Pan upoważnia do dokumentacji medycznej lub do informacji o stanie zdrowia.

4. Skąd mamy Pani/Pana dane

Dane otrzymujemy przede wszystkim bezpośrednio od Pani/Pana — przy rejestracji, podczas wizyty i w wywiadzie. Część danych powstaje w toku leczenia jako wynik naszej pracy: rozpoznanie, opis stanu zdrowia, wyniki badań, zalecenia. Informację o prawie do świadczeń finansowanych ze środków publicznych pobieramy z systemu NFZ.

Jeżeli rezerwuje Pani/Pan wizytę przez portal internetowy, w którym samodzielnie zakłada Pani/Pan konto, dane trafiają najpierw do tego portalu — działa on wówczas jako odrębny administrator danych, na podstawie własnej polityki prywatności. My stajemy się administratorem tych danych dopiero z chwilą ich otrzymania od portalu.

5. Komu przekazujemy Pani/Pana dane

Poniżej wymieniamy kategorie odbiorców. Aktualny wykaz konkretnych firm i instytucji prowadzimy odrębnie i udostępnimy go Pani/Panu na żądanie.

Podmioty, które przetwarzają dane na nasze zlecenie i wyłącznie na nasze polecenie, na podstawie umowy powierzenia (art. 28 RODO):

dostawca systemu, w którym prowadzimy dokumentację medyczną, oraz działające na jego zlecenie firmy techniczne — utrzymujące serwery, obsługujące zgłoszenia serwisowe i wsparcie techniczne, w tym firmy z siedzibą poza Europejskim Obszarem Gospodarczym (patrz sekcja 6);
dostawca kalendarza rezerwacji wizyt osadzonego na naszej stronie internetowej oraz usługi przypominania o wizytach, a także operatorzy telekomunikacyjni, którzy doręczają wiadomości SMS;
biuro rachunkowe prowadzące nasze rozliczenia;
dostawca naszej poczty elektronicznej i strony internetowej;
agencja obsługująca technicznie naszą stronę internetową.

Odrębną kategorią jest operator pocztowy, który doręcza kierowaną do Pani/Pana korespondencję papierową — w zakresie danych umieszczonych na kopercie.

Podmioty i instytucje, które decydują o przetwarzaniu danych samodzielnie, na podstawie własnych obowiązków wynikających z przepisów (odrębni administratorzy):

NFZ — Narodowy Fundusz Zdrowia — przy sprawdzaniu prawa do świadczeń oraz przy rozliczaniu świadczeń finansowanych ze środków publicznych;
Centrum e-Zdrowia — instytucja państwowa prowadząca system e-recepty i e-skierowania;
ZUS — Zakład Ubezpieczeń Społecznych — przy wystawianiu zwolnień lekarskich;
apteka realizująca wystawioną receptę — w zakresie danych zawartych w recepcie;
inne podmioty lecznicze zapewniające ciągłość Pani/Pana świadczeń — za Pani/Pana zgodą albo gdy przekazanie dokumentacji jest niezbędne do zapewnienia ciągłości leczenia (art. 26 ust. 3 pkt 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta);
podmioty uprawnione na podstawie przepisów prawa — w szczególności sądy, prokuratura, ośrodki pomocy społecznej oraz inne organy wskazane w art. 26 ust. 3 i 4 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. W zakresie opieki psychiatrycznej i psychologicznej krąg ten dodatkowo zawęża zamknięty katalog zwolnień z tajemnicy — art. 50 ust. 2 ustawy o ochronie zdrowia psychicznego (patrz sekcja 12).

Odrębną sprawą są dane zbierane przez naszą stronę internetową — narzędzia mierzące ruch na stronie i profile w serwisach społecznościowych. Nie mają one związku z Pani/Pana leczeniem i nie dotyczą dokumentacji medycznej; kto je dostarcza, na jakiej podstawie działają i jak wycofać zgodę — opisuje osobny dokument: Polityka Prywatności strony internetowej, dostępna pod adresem hugcare.pl/polityka-prywatnosci;

zakład ubezpieczeń — wyłącznie za Pani/Pana pisemną zgodą i w zakresie wynikającym z art. 38 ustawy o działalności ubezpieczeniowej i reasekuracyjnej;
Krajowy System e-Faktur prowadzony przez Ministerstwo Finansów — w zakresie danych z faktury wystawionej za świadczenie odpłatne;
organy podatkowe — w razie kontroli rozliczeń;
portal, w którym samodzielnie rezerwuje Pani/Pan wizytę, zakładając w nim własne konto — w tym zakresie portal jest odrębnym administratorem Pani/Pana danych (patrz sekcja 4).

6. Przekazywanie danych poza Europejski Obszar Gospodarczy

EOG — Europejski Obszar Gospodarczy to kraje Unii Europejskiej oraz Islandia, Liechtenstein i Norwegia. Wewnątrz tego obszaru obowiązują jednolite zasady ochrony danych.

Pani/Pana dane mogą być przekazywane poza EOG, do Stanów Zjednoczonych Ameryki. Dzieje się tak dlatego, że firma dostarczająca nam system, w którym prowadzimy dokumentację medyczną, korzysta z usług firm technicznych mających siedzibę w tym państwie — obsługujących zgłoszenia serwisowe, telekomunikację oraz część usług pomocniczych.

Sama dokumentacja medyczna — treść Pani/Pana historii leczenia — pozostaje na serwerach w Unii Europejskiej. Poza Europę trafiają wyłącznie dane obsługiwane przez firmy wspierające dostawcę naszego systemu, w zakresie niezbędnym do utrzymania jego działania.

Podstawą przekazania jest decyzja wykonawcza Komisji Europejskiej (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniany przez EU–US Data Privacy Framework — program certyfikacji, do którego przystępują firmy amerykańskie zobowiązujące się do przestrzegania europejskich standardów ochrony danych. Jest to podstawa z art. 45 RODO. Status certyfikacji każdego z tych odbiorców sprawdzamy imiennie i weryfikujemy ponownie co 12 miesięcy; ostatnia weryfikacja: 21.09.2026.

Informację o zastosowanych zabezpieczeniach oraz o tym, które konkretnie podmioty otrzymują dane, przekażemy Pani/Panu na żądanie — pod danymi kontaktowymi wskazanymi na początku.

7. Jak długo przechowujemy Pani/Pana dane

dokumentacja medyczna — 20 lat, licząc od końca roku kalendarzowego, w którym dokonano w niej ostatniego wpisu (art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta). Nie możemy skrócić tego okresu, nawet na Pani/Pana wniosek;
w kilku sytuacjach ten okres jest inny: przy zgonie pacjenta wskutek uszkodzenia ciała lub zatrucia — 30 lat; dla dokumentacji dzieci do ukończenia 2. roku życia — 22 lata; dla skierowań na badania i zlecenia lekarskie — 5 lat, a 2 lata, jeżeli świadczenia nie udzielono z powodu niezgłoszenia się w ustalonym terminie, chyba że skierowanie zostało przez Panią/Pana odebrane (art. 29 ust. 1 pkt 1, 3 i 4 tej samej ustawy);
zwolnienia lekarskie przechowywane poza dokumentacją — 3 lata;
dokumentacja rozliczeń z Narodowym Funduszem Zdrowia oraz dokumenty księgowe i podatkowe — 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku;
dane wykorzystywane do wysłania przypomnienia o wizycie (numer telefonu, adres e-mail, termin) — przechowujemy je do zakończenia obsługi tej wizyty; sam zapis, że wizyta się odbyła, pozostaje w dokumentacji medycznej i podlega okresowi 20 lat;
wiadomości e-mail i pisma — wiadomości zawierające informacje o zdrowiu przenosimy do dokumentacji medycznej i usuwamy ze skrzynki niezwłocznie po przeniesieniu; pozostałą korespondencję w sprawach zakończonych przechowujemy 3 lata, a wiadomości bez dalszego ciągu — 12 miesięcy;
zgłoszenia chęci umówienia wizyty — telefoniczne, przez rejestrację albo przez formularz na naszej stronie internetowej — po których nie doszło do wizyty: 12 miesięcy od ostatniego kontaktu. Jeżeli doszło do wizyty, dane przechodzą do dokumentacji medycznej i podlegają okresowi 20 lat;
dokumentacja rozpatrzenia Pani/Pana żądania dotyczącego danych osobowych — 5 lat od zakończenia sprawy;
dokumentacja naruszenia ochrony danych — 5 lat od zamknięcia sprawy;
wykaz udostępnień dokumentacji medycznej — przez okres przechowywania dokumentacji, której dotyczy, czyli 20 lat (art. 27 ust. 4 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

Usunięcie danych obejmuje również kopie zapasowe. Dokumenty papierowe po upływie okresu przechowywania niszczymy w sposób uniemożliwiający odtworzenie ich treści i ustalenie, kogo dotyczyły (art. 29 ust. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

8. Czy podanie danych jest obowiązkowe

Podanie danych wskazanych w sekcji 3 jako dane pozwalające ustalić tożsamość — nazwiska i imienia, daty urodzenia, oznaczenia płci, adresu zamieszkania i numeru PESEL — jest wymogiem ustawowym. Wynika on z art. 25 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, który określa, co dokumentacja medyczna musi zawierać, oraz z art. 24 ust. 1 tej ustawy, który nakłada na nas obowiązek jej prowadzenia.

Konsekwencja niepodania tych danych jest jednoznaczna: nie możemy udzielić świadczenia zdrowotnego, ponieważ nie moglibyśmy prowadzić wymaganej prawem dokumentacji ani wystawić recepty, skierowania czy zwolnienia lekarskiego.

Podanie numeru telefonu lub adresu e-mail nie jest wymogiem ustawowym, ale bez nich nie umówimy ani nie potwierdzimy terminu wizyty i nie skontaktujemy się z Panią/Panem w sprawach organizacyjnych.

Podanie informacji w toku wywiadu jest dobrowolne, jednak od ich kompletności zależy trafność rozpoznania i bezpieczeństwo leczenia.

9. Jakie przysługują Pani/Panu prawa

a) Prawo dostępu do danych i do otrzymania ich kopii (art. 15 RODO). Może Pani/Pan uzyskać informację, czy i jakie dane przetwarzamy, w jakich celach, komu je przekazujemy i jak długo je przechowujemy.

Uwaga o kopii dokumentacji medycznej. Wniosek o kopię dokumentacji medycznej rozpatrujemy w trybie art. 26–28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, a żądanie dostępu do danych osobowych — w trybie art. 15 RODO. To dwa niezależne tryby: realizacja jednego nie zamyka drugiego. Pierwsza kopia danych wydawana na podstawie art. 15 ust. 3 RODO jest bezpłatna — również wtedy, gdy obejmuje dane zawarte w dokumentacji medycznej (wyrok Trybunału Sprawiedliwości Unii Europejskiej z 26 października 2023 r., C-307/22). Cennika przewidzianego w ustawie o prawach pacjenta nie stosujemy do pierwszego żądania opartego na art. 15 RODO.

Pierwsza kopia jest bezpłatna także wtedy, gdy występuje Pani/Pan o nią w trybie ustawy o prawach pacjenta — tak stanowi art. 28 ust. 2a tej ustawy. Opłatę, według stawek ogłaszanych ustawowo, możemy pobrać dopiero za kolejną kopię tego samego zakresu dokumentacji; o jej wysokości informujemy zawsze przed realizacją wniosku.

b) Prawo do sprostowania danych (art. 16 RODO). Może Pani/Pan żądać poprawienia danych nieprawidłowych i uzupełnienia niekompletnych. W dokumentacji medycznej dotyczy to danych identyfikacyjnych i kontaktowych. Wpisów opisujących stan zdrowia i przebieg leczenia nie usuwa się ani nie zmienia się wstecz — przepisy o dokumentacji medycznej wymagają zachowania jej pierwotnej treści, a sprostowanie nanosi się jako nowy wpis, z zachowaniem czytelności poprzedniego.

c) Prawo do ograniczenia przetwarzania (art. 18 RODO) — w sytuacjach wskazanych w tym przepisie, na przykład gdy kwestionuje Pani/Pan prawidłowość danych, na czas potrzebny nam do jej sprawdzenia.

d) Prawo do usunięcia danych (art. 17 RODO) — z istotnym ograniczeniem, które chcemy wyjaśnić wprost.

Dokumentacji medycznej nie usuwamy na żądanie. Nie jest to nasza decyzja: art. 17 ust. 3 lit. b RODO wyłącza prawo do usunięcia danych w zakresie, w jakim przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego, a taki obowiązek nakłada na nas art. 29 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Dodatkowo art. 17 ust. 3 lit. c RODO wyłącza to prawo ze względu na cele zdrowotne, o których mowa w art. 9 ust. 2 lit. h RODO. Po upływie okresu przechowywania dokumentacja jest niszczona z urzędu, bez Pani/Pana wniosku. Zanim ją zniszczymy, może Pani/Pan poprosić o jej wydanie. Ustawa wprost na to pozwala (art. 29 ust. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta) — dokumentację przeznaczoną do zniszczenia wydajemy pacjentowi, jego przedstawicielowi ustawowemu albo osobie przez pacjenta upoważnionej. Wniosek wystarczy złożyć w rejestracji dowolnej placówki.

Prawo do usunięcia zachowuje natomiast praktyczne znaczenie wobec danych, które nie są częścią dokumentacji medycznej — na przykład wobec danych kontaktowych wykorzystywanych wyłącznie do umawiania wizyt.

e) Prawo do przenoszenia danych (art. 20 RODO) — przysługuje w wąskim zakresie i wyjaśniamy, dlaczego.

Prawo to polega na otrzymaniu danych w formacie nadającym się do odczytu przez komputer i na przesłaniu ich innemu administratorowi. Zgodnie z art. 20 ust. 1 RODO przysługuje ono wyłącznie wtedy, gdy spełnione są jednocześnie dwa warunki: przetwarzanie odbywa się na podstawie zgody albo umowy (art. 20 ust. 1 lit. a) oraz w sposób zautomatyzowany (art. 20 ust. 1 lit. b).

Obejmuje dane, które Pani/Pan sama lub sam nam podał i które przetwarzamy w systemie komputerowym w związku z zawartą umową o udzielenie świadczenia — dane identyfikacyjne i kontaktowe. Nie obejmuje danych z faktur i ksiąg rachunkowych — te przetwarzamy nie na podstawie umowy, lecz dlatego, że nakazują nam to przepisy podatkowe i o rachunkowości (sekcja 2 lit. j), a tej podstawy art. 20 ust. 1 lit. a RODO nie wymienia.
Nie obejmuje dokumentacji medycznej. Prowadzimy ją nie na podstawie umowy, lecz na podstawie obowiązku prawnego (art. 6 ust. 1 lit. c RODO w związku z art. 24 ust. 1 ustawy o prawach pacjenta) — a tej podstawy art. 20 ust. 1 lit. a RODO nie wymienia. Dodatkowo art. 20 ust. 4 RODO zastrzega, że wykonanie tego prawa nie może niekorzystnie wpływać na prawa innych osób — a w dokumentacji medycznej bywają dane osób z Pani/Pana otoczenia.

To ograniczenie nie pozbawia Pani/Pana dostępu do dokumentacji — przysługuje Pani/Panu uprawnienie szersze niż art. 20 RODO: na podstawie art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta może Pani/Pan w każdej chwili otrzymać kopię całej swojej dokumentacji medycznej, także po to, by przekazać ją innemu lekarzowi. Może Pani/Pan również wskazać osobę upoważnioną do jej odbioru.

f) Prawo wniesienia skargi do organu nadzorczego (art. 77 RODO). Jeżeli uzna Pani/Pan, że przetwarzamy dane niezgodnie z prawem, może Pani/Pan wnieść skargę do:

Prezes Urzędu Ochrony Danych Osobowych

ul. Stanisława Moniuszki 1A, 00-014 Warszawa

Zanim Pani/Pan to zrobi, prosimy o kontakt z naszym Inspektorem Ochrony Danych — wiele spraw da się wyjaśnić od ręki. Nie ogranicza to jednak w żaden sposób prawa do skargi.

Jak zgłosić żądanie. Wystarczy kontakt telefoniczny, wiadomość elektroniczna albo rozmowa w rejestracji dowolnej z naszych placówek. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; jeżeli sprawa okaże się złożona, poinformujemy Panią/Pana o przedłużeniu terminu i o jego przyczynie (art. 12 ust. 3 RODO). Przed realizacją żądania sprawdzamy tożsamość osoby, która je zgłasza — chroni to Pani/Pana dane przed wydaniem ich osobie nieuprawnionej.

10. Prawo sprzeciwu

Informujemy o tym prawie odrębnie, ponieważ przysługuje ono niezależnie od praw wymienionych w sekcji 9 (wymóg art. 21 ust. 4 RODO).

Zgodnie z art. 21 ust. 1 RODO sprzeciw przysługuje wyłącznie wobec przetwarzania opartego na naszym prawnie uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Żaden z celów wymienionych w sekcji 2 nie opiera się na tej podstawie — wszystkie wynikają z obowiązku prawnego albo z umowy o udzielenie świadczenia. Prawo sprzeciwu w tym zakresie nie znajduje więc praktycznego zastosowania w naszej działalności wobec pacjentów.

Danych z dokumentacji medycznej i rejestracji nie wykorzystujemy do marketingu. Informacje o naszych usługach (newsletter) wysyłamy wyłącznie osobom, które same zapisały się do niego na naszej stronie i wyraziły na to zgodę — zgodę tę można wycofać w każdej chwili, linkiem w wiadomości albo pisząc na adres iod@hugcare.pl. Zasady newslettera opisuje Polityka Prywatności strony hugcare.pl.

11. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy wobec Pani/Pana decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (art. 22 RODO). Żadna decyzja dotycząca Pani/Pana leczenia nie zapada automatycznie — każda jest decyzją osoby wykonującej zawód medyczny.

12. Tajemnica obowiązująca w zakresie opieki psychiatrycznej i psychologicznej

Poza obowiązkami wynikającymi z RODO, w zakresie opieki psychiatrycznej i psychologicznej obowiązuje nas tajemnica z art. 50 ustawy o ochronie zdrowia psychicznego. Obejmuje ona wszystko, o czym dowiadujemy się w związku z wykonywaniem czynności wynikających z tej ustawy — w tym sam fakt, że jest Pani/Pan naszym pacjentem w tym zakresie. Katalog sytuacji, w których wolno nam z tej tajemnicy zwolnić, jest zamknięty i wynika wprost z ustawy.

W praktyce oznacza to między innymi, że:

korespondencję i zawiadomienia w tym zakresie kierujemy kanałem niedostępnym dla osób trzecich — pismem w zaklejonej kopercie, a nie wiadomością SMS;
informacji o Pani/Pana leczeniu nie przekazujemy członkom rodziny bez Pani/Pana upoważnienia — poza przypadkami, w których zezwala na to wprost ustawa;
krąg podmiotów, którym wolno udostępnić dokumentację z tego zakresu, jest węższy niż ogólny katalog z art. 26 ustawy o prawach pacjenta (patrz sekcja 5).

13. Prawa dziecka jako pacjenta

Dużą część naszych pacjentów stanowią dzieci — w szczególności w ramach neurologii dziecięcej, diagnostyki rozwojowej i opieki nad noworodkiem w związku ze szkołą rodzenia. Prawa opisane w tym dokumencie, dotyczące danych osobowych dziecka, wykonuje w jego imieniu przedstawiciel ustawowy (zwykle rodzic albo opiekun prawny).

Pacjent, który ukończył 16 lat, ma dodatkowo własne prawo do uzyskania od nas przystępnej informacji o swoim stanie zdrowia — niezależnie od praw przysługujących przedstawicielowi ustawowemu (art. 9 ust. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).