ЗАЯВА ПРО ОБРОБКУ ПЕРСОНАЛЬНИХ ДАНИХ

Заява про обробку персональних даних відповідно до Регламенту Європейського парламенту і Ради (ЄС) 2016/679 про захист фізичних осіб у зв’язку з обробкою персональних даних та про інформування суб’єктів даних (далі — «GDPR»)

1) Контролер персональних даних

Компанія Leonis Clinic s.r.o., ідентифікаційний номер: 22235183, із місцезнаходженням: Senovážné náměstí 980/22, Nové Město, 110 00 Praha 1, зареєстрована в Торговому реєстрі, який веде Міський суд у Празі, під реєстраційним номером C 413010, gdpr@leonis.clinic, +420 224 142 412 (далі — «контролер»), цим відповідно до ст. 12 GDPR інформує Вас про обробку Ваших персональних даних та про Ваші права.

2) Обсяг обробки персональних даних

Персональними даними є будь-яка інформація про ідентифіковану або таку, що може бути ідентифікована, фізичну особу; фізичною особою, яка може бути ідентифікована, є фізична особа, яку можна прямо або опосередковано ідентифікувати, зокрема за посиланням на певний ідентифікатор, наприклад ім’я, ідентифікаційний номер, дані про місцезнаходження, мережевий ідентифікатор або на один чи більше спеціальних елементів фізичної, фізіологічної, генетичної, психічної, економічної, культурної чи соціальної ідентичності цієї фізичної особи.

Персональні дані обробляються в обсязі, в якому відповідний суб’єкт даних надав їх контролеру, а саме у зв’язку з укладенням договірних або інших правових відносин із контролером, або які контролер зібрав іншим способом і обробляє відповідно до чинних правових норм чи для виконання законних обов’язків контролера.

Персональні дані обробляються в медичній документації відповідно до чинних правових норм, зокрема Закону № 372/2011 Зб., про медичні послуги та умови їх надання, Постанови № 444/2024 Зб., про медичну документацію, та інших пов’язаних правових норм. Їх безпека та захист забезпечуються відповідно до цих норм, а також відповідно до GDPR. На підставі цього закону особи, які обробляють ваші персональні дані, зобов’язані дотримуватися конфіденційності.

Персональні дані можуть бути в необхідному обсязі надані, зокрема, медичним працівникам та іншим уповноваженим особам контролера, медичним страховим компаніям, органам публічної влади, постачальникам подальших медичних послуг, бухгалтерам і обробникам зарплатної документації, ІТ-адміністраторам, постачальникам медичного програмного забезпечення, постачальникам вебхостингу, електронних і сервісів запису, адміністраторам вебсайтів, юридичним і податковим консультантам, а також іншим особам, якщо цього вимагає правова норма або якщо це необхідно для захисту прав і законних інтересів контролера.

3) Записи про діяльність з обробки

a) Обробка персональних даних у зв’язку з наданням медичних послуг — медична документація

Категорії суб’єктів даних: пацієнт, законний представник, родич, уповноважені суб’єкти відповідно до чинного законодавства, медичні працівники

Контролер обробляє персональні дані під час надання медичних послуг відповідно до Закону № 372/2011 Зб., Постанови № 444/2024 Зб. та інших правових норм, що регулюють сферу охорони здоров’я, з метою надання медичної допомоги. Постанова про медичну документацію визначає обсяг мінімальних вимог до окремих частин медичної документації, при цьому актуальна редакція чинного законодавства завжди є публічно доступною в інтернеті, щонайменше у Збірнику законів, де кожен суб’єкт персональних даних (пацієнт) може ознайомитися з обсягом даних, що обробляються у зв’язку з наданням медичних послуг. Обсяг уповноважених осіб, які можуть ознайомлюватися з медичною документацією, встановлений Законом № 372/2011 Зб.

Контролер фіксує в медичній документації пацієнта такі персональні дані суб’єкта персональних даних: ім’я, прізвище, дата народження, стать, родовий номер, адреса проживання, адреса для доставки кореспонденції, контактні дані (телефон, e-mail), професія (посада), роботодавець і спеціальні категорії персональних даних в обсязі інформації про стан здоров’я пацієнта, про перебіг і результат наданих медичних послуг, про інші важливі обставини, пов’язані зі станом здоров’я пацієнта та процедурою надання медичних послуг, включно з анамнестичними даними, необхідними для надання медичних послуг, за потреби також інформацію про дієздатність пацієнта, запис про визнання або припинення тимчасової непрацездатності пацієнта, оцінку стану здоров’я під час її тривалості, дані про встановлений режим тимчасово непрацездатної застрахованої особи та його зміни, запис про початок необхідності догляду та його тривалість, і все це з метою надання медичних послуг, звітування щодо оплачуваних медичних послуг, повідомлення даних про стан здоров’я.

Контролер (постачальник медичних послуг) обробляє персональні дані пацієнта в межах виконання законного обов’язку — правового обов’язку відповідно до Закону № 372/2011 Зб. Згода суб’єкта персональних даних на обробку персональних даних у зв’язку з наданням медичних послуг не потрібна, оскільки контролер виконує правові обов’язки, що випливають із чинного законодавства.

Персональні дані, що обробляються у зв’язку з наданням медичних послуг і фіксуються в медичній документації, не передаються за кордон.

З персональними даними, що містяться в медичній документації, пов’язані такі види обробки: збір, запис, зберігання, пошук, ознайомлення, використання, надання доступу, обмеження, видалення, знищення.

У зв’язку з наданням медичних послуг персональні дані пацієнтів знову в обсязі чинного законодавства надаються медичним страховим компаніям, а саме з метою звітування та оплати наданих оплачуваних медичних послуг медичною страховою компанією, зокрема відповідно до Закону № 48/1997 Зб., договорів із медичними страховими компаніями, відповідних методик, інтерфейсу передачі даних і пов’язаних правових норм. Персональні дані пацієнта надаються лише тій медичній страховій компанії, у якій суб’єкт персональних даних застрахований. Медична документація ведеться в електронній формі.

Медична документація зберігається протягом строку, встановленого Постановою № 444/2024 Зб.

Список вилученої медичної документації (журнал знищення) ведеться відповідно до Постанови № 444/2024 Зб. і містить основні персональні дані пацієнтів (ім’я, прізвище, дата народження або родовий номер), медична документація яких була знищена. Метою є захист персональних даних. У зв’язку з цим списком застосовуються такі види обробки: збір, запис, зберігання, пошук, використання, видалення, знищення. Список ведеться в електронній формі. Список доступний контролеру, його працівникам та органам публічної влади. Персональні дані не передаються за кордон. Список вилученої медичної документації зберігається до припинення права контролера на надання медичних послуг.

b) Обробка персональних даних у зв’язку з наданням медичних послуг — прибуткові документи, рахунки, розрахунки за неоплачувані страховкою медичні послуги

Категорії суб’єктів даних: пацієнт, законний представник, роботодавці пацієнтів

Контролер у межах бухгалтерських документів про надані неоплачувані страховкою послуги фіксує персональні дані суб’єкта персональних даних в обсязі ім’я, прізвище, дата народження, адреса проживання, і спеціальні категорії персональних даних в обсязі наданої оплачуваної медичної послуги, з метою розрахунку вартості медичних послуг та ведення податкового й бухгалтерського обліку.

Персональні дані суб’єкта персональних даних контролер фіксує в обсязі встановленого законом обов’язку, тобто виконання правового обов’язку, що випливає із Закону № 372/2011 Зб. і Закону № 634/1992 Зб. З персональними даними, що ведуться у зв’язку з порядком виданих прибуткових і податкових документів за неоплачувані страховкою медичні послуги, пов’язані такі види обробки: запис, зберігання, пошук, ознайомлення, використання, надання доступу, видалення, знищення.

Персональні дані, що обробляються у зв’язку з порядком виданих прибуткових і податкових документів за неоплачувані страховкою медичні послуги, не передаються за кордон.

Доступ до інформації має лише пацієнт, законний представник, працівники контролера.

Персональні дані ведуться в електронній формі. Персональні дані архівуються відповідно до правових норм, що регулюють ведення податкового й бухгалтерського обліку.

c) Обробка персональних даних у зв’язку з наданням медичних послуг — система запису Medistar

Категорії суб’єктів даних: пацієнт, медичні працівники

У межах системи запису та обліку пацієнтів контролер фіксує, зокрема, ім’я, прізвище, номер телефону, адресу електронної пошти, дату і час призначеного огляду, за потреби коротку примітку, необхідну для організації надання медичних послуг. Ці дані обробляються з метою організації надання медичних послуг, комунікації з пацієнтом та обліку призначених прийомів. Правовою підставою обробки є, зокрема, виконання заходів, прийнятих до надання медичної послуги на запит пацієнта, виконання правових обов’язків контролера у сфері надання медичних послуг і законний інтерес контролера в належній організації роботи амбулаторії.

Система запису та каталоги пацієнтів ведуться з метою організації надання медичних послуг.

З персональними даними, що ведуться в системі запису та каталозі пацієнтів, пов’язані такі види обробки: збір, запис, зберігання, пошук, використання, надання доступу, обмеження, видалення, знищення.

Персональні дані, що обробляються у зв’язку із системою запису та каталогом пацієнтів, не передаються за кордон.

Доступ до інформації має лише контролер і за потреби уповноважений працівник контролера.

Персональні дані ведуться в електронній формі. Персональні дані, що містяться в системі запису, зберігаються протягом строку, необхідного для організації надання медичних послуг, а потім протягом строку, необхідного для захисту прав і законних інтересів контролера. Якщо дані стають частиною медичної документації, вони зберігаються протягом строку, встановленого правовими нормами, що регулюють ведення та зберігання медичної документації.

d) Обробка персональних даних у зв’язку з наданням медичних послуг — облік скарг

Категорії суб’єктів даних: пацієнт, законні представники, заявники скарг, медичні працівники

Окрім основних ідентифікаційних даних суб’єкта персональних даних (ім’я, прізвище, дата народження, місце постійного проживання), фіксуються також персональні дані спеціальної категорії: інформація про стан здоров’я пацієнта, про перебіг і результат наданих медичних послуг та про інші важливі обставини, пов’язані зі станом здоров’я пацієнта і з процедурою надання медичних послуг, включно з анамнестичними даними, необхідними для надання медичних послуг, з метою розгляду скарг відповідно до Закону № 372/2011 Зб.

З персональними даними, що містяться в обліку скарг, пов’язані такі види обробки: запис, зберігання, пошук, ознайомлення, використання, надання доступу, обмеження, видалення, знищення.

Персональні дані, що обробляються у зв’язку з обліком скарг, не передаються за кордон. Доступ до інформації має лише контролер і за потреби уповноважений працівник контролера. Відповідно до закону про медичні послуги також відповідний орган публічної влади.

Персональні дані ведуться в електронній формі. Персональні дані зберігаються протягом строку, встановленого Постановою № 444/2024 Зб.

e) Обробка персональних даних у зв’язку з наданням медичних послуг — облік і повідомлення про небажані події та небажані ефекти

Категорії суб’єктів даних: пацієнт, медичні працівники

У межах цього обліку контролер збирає такі персональні дані: ім’я, прізвище, дата народження, одночасно зазначає опис небажаної події та можливого наслідку для здоров’я або життя відповідної особи, з метою охорони здоров’я під час використання медичних виробів і лікарських препаратів.

З персональними даними, що містяться в обліку небажаних подій та ефектів, пов’язані такі види обробки: збір, запис, зберігання, пошук, ознайомлення, використання, надання доступу, обмеження, видалення, знищення.

Персональні дані, що обробляються у зв’язку з обліком і повідомленням про небажані події та небажані ефекти, не передаються за кордон.

Доступ до інформації має лише контролер і за потреби уповноважений працівник контролера. Відповідно до закону про лікарські препарати та закону про медичні вироби також відповідний орган публічної влади.

f) Обробка персональних даних у зв’язку з наданням медичних послуг — особова справа працівника

Категорії суб’єктів даних: працівники контролера

Контролер в особовій справі працівника фіксує персональні дані суб’єкта персональних даних (працівника) в обсязі ім’я, прізвище, дата народження, родовий номер, адреса проживання, контактні дані, членство в професійній організації, членство в професійних товариствах, професійна та спеціалізована кваліфікація, безперервна освіта, а також спеціальні категорії персональних даних в обсязі медична придатність, бездоганність, непрацездатність, з метою виконання правового обов’язку контролера відповідно до Закону № 262/2006 Зб., Трудовий кодекс, тобто реалізації прав і обов’язків, пов’язаних із трудовими відносинами.

З персональними даними, що містяться в особовій справі працівника, пов’язані такі види обробки: збір, запис, зберігання, пошук, ознайомлення, використання, надання доступу, видалення, знищення.

Персональні дані, що обробляються у зв’язку з особовою справою працівника, не передаються за кордон.

Доступ до інформації має лише контролер і обробник заробітної плати.

Персональні дані ведуться в електронній формі. Персональні дані архівуються відповідно до правових норм, що регулюють соціальне забезпечення та ведення податкового й бухгалтерського обліку.

g) Обробка персональних даних у зв’язку з наданням медичних послуг — зарплатна документація

Категорії суб’єктів даних: працівники контролера, члени сім’ї

Контролер у межах зарплатної документації фіксує персональні дані працівника, зокрема в обсязі ім’я, прізвище, дата народження, родовий номер, адреса проживання, контактні дані, номер банківського рахунку, дані про медичну страхову компанію, дані про заробітну плату, відрахування, податки, податкові знижки, трудове навантаження, робочий час, відпустку, перешкоди в роботі, непрацездатність у необхідному обсязі та інші дані, необхідні для розрахунку заробітної плати, сплати податку на доходи, відрахувань на медичне страхування та соціальне забезпечення, а також виконання інших трудово-правових обов’язків.

Персональні дані суб’єкта персональних даних контролер фіксує в обсязі встановлених законом обов’язків, тобто виконання правового обов’язку, що випливає із Закону № 586/1992 Зб., Закону № 48/1997 Зб., Закону № 187/2006 Зб. і Закону № 589/1992 Зб.

З персональними даними, що містяться в зарплатній документації, пов’язані такі види обробки: збір, запис, зберігання, пошук, використання, видалення, знищення.

Персональні дані, що обробляються у зв’язку із зарплатною документацією, не передаються за кордон.

Доступ до інформації має лише контролер і обробник зарплатної документації.

h) Обробка персональних даних у зв’язку з наданням медичних послуг — податкові документи постачальників

Категорії суб’єктів даних: постачальники контролера

Контролер у межах бухгалтерської документації фіксує персональні дані суб’єкта персональних даних (постачальників) в обсязі ім’я, прізвище, ідентифікаційний номер, адреса місцезнаходження, контактні дані (телефон, e-mail), надані послуги, з метою податкового обліку та ведення бухгалтерії.

З персональними даними, що містяться в межах бухгалтерських документів і податкового обліку, пов’язані такі види обробки: збір, запис, зберігання, пошук, використання, видалення, знищення.

Персональні дані, що обробляються у зв’язку з бухгалтерською та податковою документацією, не передаються за кордон.

Доступ до інформації має лише контролер і обробники податкової та бухгалтерської документації.

i) Обробка персональних даних у зв’язку з наданням медичних послуг — облік і повідомлення про випадки порушення безпеки персональних даних

Категорії суб’єктів даних: пацієнти, працівники, співпрацівники, постачальники, відвідувачі вебсайту та інші особи, чиї персональні дані можуть бути зачеплені інцидентом безпеки.

Контролер у межах обов’язку повідомляти про інциденти безпеки фіксує персональні дані суб’єкта цих даних в обсязі ім’я, прізвище, дата народження, адреса проживання, з метою захисту персональних даних. Персональні дані суб’єкта персональних даних контролер фіксує в обсязі виконання правового обов’язку, встановленого Регламентом Європейського парламенту і Ради (ЄС) № 2016/679.

З персональними даними, що містяться в межах повідомлень про інциденти безпеки, пов’язані такі види обробки: збір, запис, зберігання, пошук, використання, видалення, знищення.

Персональні дані, що обробляються у зв’язку з повідомленням про інциденти безпеки, не передаються за кордон.

Доступ до інформації має лише контролер, орган публічної влади (ÚOOÚ) і зачеплені суб’єкти даних.

Персональні дані ведуться в електронній формі. Облік інцидентів безпеки зберігається протягом строку, необхідного для підтвердження виконання обов’язків контролера за GDPR та для захисту прав і законних інтересів контролера, як правило, протягом 5 років із моменту врегулювання інциденту, якщо в конкретному випадку не потрібен довший строк.

j) Обробка персональних даних у зв’язку з наданням медичних послуг — записи про проведені навчання, інструктажі

Категорії суб’єктів даних: працівники контролера, інструктори

Контролер у межах навчання працівників фіксує персональні дані суб’єкта персональних даних в обсязі ім’я, прізвище, дата народження, адреса проживання, контактні дані, з метою ведення передбаченого обліку проведених навчань та інструктажів.

Персональні дані суб’єкта персональних даних контролер фіксує в обсязі встановлених законом обов’язків, тобто виконання правового обов’язку, що випливає із Закону № 262/2006 Зб. і Закону № 268/2014 Зб.

З персональними даними, що ведуться для потреб навчання працівників, пов’язані такі види обробки: збір, запис, зберігання, пошук, використання, видалення, знищення.

Персональні дані, що обробляються у зв’язку з навчанням працівників, не передаються за кордон.

Доступ до інформації має лише контролер, орган публічної влади, за потреби правонаступник.

Персональні дані ведуться в електронній формі. Персональні дані архівуються відповідно до правових норм, які встановлюють обов’язок ведення записів.

k) Обробка персональних даних у зв’язку з роботою вебсайту, контактною формою, cookies, аналітикою та онлайн-рекламою

Категорії суб’єктів даних: відвідувачі вебсайту, особи, які зв’язуються з контролером через контактну форму, пацієнти, особи, зацікавлені в наданні медичних послуг, законні представники пацієнтів, а також інші особи, які спілкуються з контролером через вебсайт.

Контролер керує вебсайтом із метою презентації наданих медичних послуг, надання основної інформації пацієнтам і громадськості, забезпечення можливості зв’язатися з контролером, записатися або запросити медичні послуги, забезпечення безпечної роботи вебсайту, вимірювання відвідуваності та за потреби також із метою онлайн-реклами й оцінки її ефективності.

У зв’язку з роботою вебсайту контролер може обробляти, зокрема, такі персональні дані: ідентифікаційні дані, особливо ім’я та прізвище, контактні дані, особливо адресу електронної пошти та номер телефону, зміст повідомлення, надісланого через контактну або форму запису, дату і час відправлення повідомлення, IP-адресу, технічні дані про пристрій і браузер, дані про використання вебсайту, ідентифікатори cookies та подібні онлайн-ідентифікатори. Якщо особа через форму вказує також дані про стан свого здоров’я, контролер може обробляти і ці спеціальні категорії персональних даних, і лише в обсязі, необхідному для розгляду запиту, запису на огляд або надання медичних послуг.

Персональні дані з контактної або форми запису обробляються з метою розгляду питання, запиту, заявки або запису на медичну послугу. Правовою підставою обробки є, зокрема, виконання заходів, прийнятих до укладення договірних або аналогічних відносин на запит суб’єкта даних, виконання правових обов’язків контролера у сфері надання медичних послуг, або законний інтерес контролера в забезпеченні комунікації з пацієнтами та зацікавленими особами.

Контролер може використовувати на вебсайті технічні cookies, які необхідні для належної роботи вебсайту та його безпеки. Ці cookies обробляються на підставі законного інтересу контролера в забезпеченні функціональності та безпеки вебсайту і не потребують згоди відвідувача.

Контролер може також використовувати аналітичні, маркетингові або рекламні cookies і подібні технології, зокрема з метою вимірювання відвідуваності вебсайту, оцінки ефективності рекламних кампаній, покращення змісту сайту та показу релевантної реклами. Ці cookies і подібні технології використовуються лише на підставі згоди відвідувача вебсайту, наданої через cookie-банер або інший подібний інструмент. Відвідувач може в будь-який час відкликати або змінити свою згоду через налаштування cookies на вебсайті, а також через налаштування свого інтернет-браузера.

У межах аналітики та онлайн-реклами персональні дані можуть бути надані постачальникам аналітичних і рекламних послуг, зокрема компаніям, що надають інструменти типу Google Analytics, Google Ads, Google Tag Manager, Meta Pixel або подібні послуги, якщо контролер їх використовує. Конкретний перелік використовуваних інструментів і cookies зазначений у cookie-банері або в налаштуваннях cookies на вебсайті контролера.

У зв’язку з роботою вебсайту персональні дані можуть бути також надані постачальнику вебхостингу, адміністратору вебсайтів, постачальнику e-mail послуг, постачальнику контактної або форми запису, ІТ-адміністратору, а також іншим технічним постачальникам, які беруть участь у роботі, безпеці та адмініструванні вебсайту.

Деякі постачальники аналітичних або рекламних послуг можуть обробляти персональні дані також за межами Європейського Союзу або Європейського економічного простору. Якщо така передача відбувається, контролер стежить за тим, щоб вона здійснювалася лише за дотримання умов, встановлених GDPR, зокрема на підставі рішення про належний рівень захисту, стандартних договірних положень або іншого відповідного механізму відповідно до GDPR.

З персональними даними, що обробляються у зв’язку з роботою вебсайту, пов’язані, зокрема, такі види обробки: збір, запис, зберігання, пошук, використання, надання доступу, обмеження, видалення та знищення.

Персональні дані, отримані через контактну або форму запису, зберігаються протягом строку, необхідного для розгляду запиту, а потім протягом строку, необхідного для захисту прав і законних інтересів контролера, або протягом строку, встановленого правовими нормами, якщо згодом вони стають частиною медичної документації чи бухгалтерського обліку. Технічні дані про роботу вебсайту зберігаються протягом строку, необхідного для забезпечення безпеки та функціональності сайту. Строк зберігання окремих cookies зазначений у cookie-банері або в налаштуваннях cookies на вебсайті контролера.

Якщо контролер здійснює фотофіксацію для цілей медичної документації, він робить це лише в обсязі, необхідному для надання медичних послуг та ведення медичної документації. Використання фотографій, відео, відгуків або інших даних пацієнта для маркетингових цілей можливе лише на підставі окремої згоди пацієнта.

4) Права суб’єктів даних

У зв’язку з обробкою персональних даних суб’єкти цих даних мають нижчезазначені права.

Для реалізації цих прав може знадобитися встановлення особи, щоб була впевненість, що право реалізує саме та особа, яка є суб’єктом даних. Встановлення особи ми як контролер здійснюємо пропорційно до реалізованого права, у деяких випадках можемо використовувати перевірку саме за допомогою цих даних (дані для входу).

Запит можна надіслати електронною поштою на адресу компанії gdpr@leonis.clinic

a) Право на доступ до персональних даних

i) Право на підтвердження

Суб’єкт даних має право отримати підтвердження, чи обробляються персональні дані, що його стосуються, і якщо це так, має право отримати доступ до цих персональних даних і до такої інформації:

цілі обробки
категорії відповідних персональних даних
одержувачі або категорії одержувачів, яким персональні дані були або будуть надані, зокрема одержувачі в третіх країнах або міжнародних організаціях
запланований строк, протягом якого персональні дані будуть зберігатися, або, якщо його неможливо визначити, критерії, використані для визначення цього строку
існування права вимагати від контролера виправлення або видалення персональних даних, що стосуються суб’єкта даних, або обмеження їх обробки, або заперечити проти такої обробки
право подати скаргу до наглядового органу;
уся доступна інформація про джерело персональних даних, якщо вони отримані не від суб’єкта даних
факт здійснення автоматизованого прийняття рішень, включно з профілюванням, і щонайменше в цих випадках значуща інформація про використану процедуру, а також про значення і передбачувані наслідки такої обробки для суб’єкта даних
якщо персональні дані передаються до третьої країни або міжнародної організації, суб’єкт даних має право бути поінформованим про відповідні гарантії, що стосуються передачі

ii) Право на копію

Суб’єкт даних має право на копію персональних даних, що обробляються. Контролер здатний передати копію особисто або надіслати поштовим відправленням із врученням особисто адресату, у такому випадку він вимагатиме відшкодування поштових витрат. Якщо це буде можливо, копія буде доступна для передачі в електронній формі. У разі повторного запиту на копію контролер передасть лише дані, які ще не передавав і які обробляє ново, або інформацію про те, що жодних нових даних не обробляє. Це не обмежує можливість видати повну копію даних повторно за плату.

iii) Право на виправлення неточних даних

Якщо суб’єкт даних виявить, що дані, які контролер про нього обробляє, є неточними, помилковими, неправдивими або неповними, він має право на їх виправлення. В інтересах контролера підтримувати інформацію якомога точнішою! З іншого боку, у деяких архівних обліках дані навмисно зберігаються такими, якими вони були чинними на момент їх виникнення. Якщо запит на виправлення задоволено, контролер повідомить цю інформацію можливим первинним одержувачам, якщо це не виявиться неможливим або не вимагатиме непропорційних зусиль, і якщо суб’єкт даних вимагатиме, повідомить, хто були ці одержувачі.

iv) Право на видалення

Суб’єкт даних має право на те, щоб контролер без невиправданої затримки видалив персональні дані, які його стосуються, а контролер зобов’язаний без невиправданої затримки видалити персональні дані, якщо існує одна з таких підстав:
персональні дані більше не потрібні для цілей, для яких вони були зібрані або іншим чином оброблені
суб’єкт даних відкликає згоду, на підставі якої дані оброблялися, і відсутня інша правова підстава для обробки
суб’єкт даних заперечує проти обробки на підставі законних інтересів і відсутні будь-які переважні законні підстави для обробки, або суб’єкт даних заперечує проти обробки з метою прямого маркетингу
персональні дані були оброблені незаконно
персональні дані мають бути видалені для виконання правового обов’язку, встановленого правом Європейського Союзу або правом Чеської Республіки.

Право на видалення не застосовується в тому обсязі, у якому обробка персональних даних необхідна для виконання правового обов’язку контролера, для надання медичних послуг, ведення та зберігання медичної документації, захисту громадського здоров’я або для встановлення, здійснення чи захисту правових вимог.

Контролер зберігає персональні дані лише протягом строку, необхідного для відповідних цілей обробки, і після закінчення цього строку забезпечує їх видалення, анонімізацію або знищення відповідно до правових норм і внутрішніх правил контролера.

v) Право на обмеження обробки

Суб’єкт даних має право попросити нас про обмеження обробки одночасно
з реалізацією права на виправлення, до розгляду запиту суб’єкта даних
у випадку незаконної обробки замість їх видалення
у випадку, якщо йому потрібні дані для встановлення, здійснення або захисту правових вимог
якщо він заперечив проти їх обробки з причини законного інтересу, до перевірки того, чи переважають законні підстави контролера над законними підставами суб’єкта даних

Обмеження обробки означає, що ці персональні дані, за винятком їх зберігання, можуть оброблятися лише за згодою суб’єкта даних або з причини встановлення, здійснення чи захисту правових вимог, з причини захисту прав іншої фізичної чи юридичної особи або з причин важливого суспільного інтересу.

vi) Право на переносимість персональних даних

Якщо суб’єкт даних щодо певних даних надав контролеру згоду або дані обробляються на підставі укладеного договору, і дані обробляються автоматизовано, суб’єкт даних може попросити контролера передати їх у структурованому форматі.

vii) Право заперечити проти законного інтересу

Суб’єкт даних має право заперечити проти обробки персональних даних, які його стосуються, якщо вони обробляються на підставі заявленого законного інтересу контролера. Контролер припинить обробку даних, якщо не доведе серйозні законні підстави для обробки, які переважають над інтересами або правами і свободами суб’єкта даних, або якщо не обробляє їх для встановлення, здійснення чи захисту правових вимог.

viii) Право заперечити проти прямого маркетингу

Якщо суб’єкт даних заперечує проти обробки персональних даних з метою прямого маркетингу, контролер припинить обробку даних для цієї мети та виключить їх з усього подальшого прямого маркетингу.

ix) Право не бути об’єктом рішення, заснованого на автоматизованому рішенні, включно з профілюванням

З огляду на те, що як контролер даних контролер не ухвалює рішень, які мали б правові наслідки для суб’єкта даних виключно на підставі автоматизованої обробки або профілювання, реалізація цього права є лише гіпотетичною.

x) Право відкликати згоду

Якщо суб’єкт даних надасть контролеру згоду на будь-яку обробку, він може цю згоду відкликати, найкраще аналогічним способом, яким згоду було надано: якщо на вебсайті — то на вебсайті, якщо e-mail — то e-mail із тієї самої адреси, якщо телефоном — то телефоном із того самого номера телефону. Завжди можна відкликати згоду письмово або попросити контролера надати перелік наданих згод на обробку. Згоду на використання аналітичних, маркетингових або подібних cookies суб’єкт даних може в будь-який час відкликати або змінити через налаштування cookies на вебсайті контролера, якщо така можливість доступна на сайті, а також через налаштування свого інтернет-браузера.

xi) Право звернутися до наглядового органу

Якщо суб’єкт даних не задоволений тим, як контролер діє під час обробки персональних даних або як реалізує права у зв’язку з цим, він може звертатися зі скаргами до Управління із захисту персональних даних.

Наглядовий орган:
Úřad pro ochranu osobních údajů
https://www.uoou.cz
Pplk. Sochora 27
170 00 Praha 7

5) Права щодо медичної документації

Надання персональних даних суб’єкта для цілей медичної документації є законною вимогою, і суб’єкт як пацієнт зобов’язаний їх надати, так само як медичний працівник має право їх вимагати. Ненадання персональних даних означатиме, що контролер не зможе надати суб’єкту медичні послуги, що може призвести до шкоди здоров’ю або прямої загрози життю суб’єкта.

Під час звичайного відвідування вебсайту контролера суб’єкт даних не зобов’язаний надавати ідентифікаційні або контактні дані. Однак якщо суб’єкт даних зв’язується з контролером через контактну або форму запису, надання деяких даних, зокрема контактних даних і змісту запиту, необхідне для розгляду питання, запису або надання запитаної послуги. Без цих даних контролер може бути не в змозі відповісти на запит або надати послугу.

6) Ризики для прав і законних інтересів фізичних осіб у зв’язку із захистом персональних даних

Контролер персональних даних під час поводження з персональними даними зобов’язаний враховувати можливі ризики, які можуть вплинути на права і законні інтереси суб’єкта персональних даних, персональні дані якого він фіксує у зв’язку з наданням медичних послуг в обсязі вищезазначеного запису про діяльність з обробки.

Контролер заявляє, що в межах поводження з персональними даними, джерела яких зазначені вище, він визначив як потенційні ризики

порушення конфіденційності персональних даних,
порушення цілісності персональних даних,
порушення доступності персональних даних,
втрата персональних даних.

7) Мінімальні стандарти безпеки персональних даних в обсязі чинних норм (загальний регламент GDPR, закон про обробку персональних даних і положення § 55d закону про медичні послуги)

Контролер прийняв відповідні технічні та організаційні заходи для мінімізації ризиків, пов’язаних з обробкою персональних даних, зокрема заходи для захисту конфіденційності, цілісності та доступності персональних даних. Внутрішньою оцінкою контролер дійшов висновку, що його ІТ-інфраструктура належним чином захищена, включно з паролями доступу до ПК або медичного програмного забезпечення, електронної комунікації та інших програмних ресурсів, що використовуються в межах його діяльності. Також здійснюється регулярне резервне копіювання, а архіви надійно зберігаються від несанкціонованого використання.

До цих заходів належать, зокрема, використання індивідуальних користувацьких облікових записів, захист доступу паролем, обмеження прав доступу відповідно до посади, регулярне резервне копіювання даних, фізична безпека приміщень ординації, замикання паперової документації, інструктаж працівників щодо конфіденційності та захисту персональних даних, обмеження доступу до медичної документації лише для уповноважених осіб і правила припинення доступів після завершення трудових або договірних відносин.

Контролер також належним чином забезпечує картотеку, де зберігається медична документація пацієнтів, і також належним чином архівуються вищезазначені джерела, що містять персональні дані окремих суб’єктів. Зокрема, з погляду фізичної безпеки використовуються доступні замикальні системи, оснащені ключовим або іншим механізмом, що перешкоджає несанкціонованому доступу.

Ординація, а також прилеглі приміщення (зал очікування, вхід, сестринська тощо) належним чином захищені від проникнення.

Контролер керується чинним законодавством під час поводження з персональними даними як у частині забезпечення електронної форми збереженої інформації, що містить персональні дані, так і в межах прийнятних можливостей і потреб вжив усіх доступних заходів щодо зберігання персональних даних у паперовій формі.

Прийнятими технічними та організаційними заходами контролер пропорційно мінімізує ризики, які могли б призвести до порушення прав або законних інтересів суб’єктів даних.

Частиною цих заходів також було належне інструктування всіх працівників, а також ділових партнерів, постачальників та інших суб’єктів, якщо їхня діяльність пов’язана з наданням медичних послуг.

8) Оцінка обов’язку провести оцінку впливу на захист персональних даних

Контролер після оцінки характеру, обсягу, контексту та цілей обробки дійшов висновку, що в поточному обсязі діяльності він не зобов’язаний проводити оцінку впливу на захист персональних даних відповідно до ст. 35 GDPR з нижчезазначених причин:

Контролер оцінив, чи зобов’язаний він провести оцінку впливу на захист персональних даних відповідно до ст. 35 GDPR. Згідно зі ст. 35 п. 1 GDPR оцінка впливу проводиться тоді, коли ймовірно, що певний вид обробки, особливо при використанні нових технологій і з урахуванням характеру, обсягу, контексту та цілей обробки, призведе до високого ризику для прав і свобод фізичних осіб. Згідно зі ст. 35 п. 3 GDPR оцінка впливу необхідна, зокрема, у випадках систематичної та масштабної оцінки особистих аспектів фізичних осіб на основі автоматизованої обробки, масштабної обробки спеціальних категорій персональних даних або масштабного систематичного моніторингу публічно доступних приміщень.

Контролер є постачальником амбулаторних медичних послуг у сфері ЛОР. Оцінка впливу на захист персональних даних не повинна бути обов’язковою згідно з останнім реченням пункту 91 преамбули загального регламенту про захист персональних даних, з огляду на той факт, що контролер з урахуванням обсягу своєї діяльності, тобто законного обов’язку обробки персональних даних у межах ведення медичної документації, не обробляє персональні дані в такому обсязі, який обґрунтовував би наявність високого ризику для прав і свобод фізичних осіб у розумінні ст. 35 п. 1 GDPR.

Контролер не здійснює жодних операцій з оцінки особистих аспектів, що стосуються фізичних осіб. Контролер є постачальником медичних послуг, який у межах своєї основної діяльності зобов’язаний обробляти персональні дані. Ці дані жодним чином не оцінюються, профілювання або інші подібні операції не проводяться, зокрема тому, що таке поводження з персональними даними, які контролер зобов’язаний обробляти, забороняє закон.

До основної діяльності контролера належать операції обробки в межах ведення медичної документації, тобто також обробка спеціальних категорій персональних даних, а саме інформації про стан здоров’я (ст. 9 п. 1 загального регламенту про захист персональних даних). Ця обробка відповідає ст. 9 п. 2 літера h) загального регламенту про захист персональних даних. Однак мова не йде про масштабну обробку з посиланням на вищезазначений аналіз масштабної обробки.

Контролер не здійснює масштабного систематичного моніторингу публічно доступних приміщень. Якщо контролер у майбутньому запровадить систему відеоспостереження або інший подібний моніторинг, він оцінить його наслідки для захисту персональних даних окремо до початку такої обробки.

Контролер також не здійснює автоматизованого прийняття рішень або профілювання, яке спричиняло б щодо суб’єктів даних правові наслідки або аналогічні суттєві наслідки. Можливі аналітичні або рекламні інструменти, що використовуються на вебсайті, служать лише для вимірювання відвідуваності, оцінки ефективності маркетингу та показу реклами, а не для прийняття рішень про надання медичних послуг або про права пацієнтів.

9) Заключні положення

Контролер не призначив уповноваженого із захисту персональних даних. З питань захисту персональних даних із контролером можна зв’язатися за адресою електронної пошти gdpr@leonis.clinic.

Контролер має право змінити ці умови. Контролер зобов’язаний без невиправданої затримки опублікувати нову версію умов на своїх інтернет-сторінках, або надіслати нову версію суб’єкту на його адресу електронної пошти.

Контактні дані контролера з питань, що стосуються цих умов: +420 224 142 412, gdpr@leonis.clinic

Відносини, прямо не врегульовані цими умовами, регулюються GDPR і правовим порядком Чеської Республіки, зокрема Законом № 89/2012 Зб., Цивільний кодекс, у чинній редакції.

Ці умови набирають чинності 3 серпня 2026 року.