Adatkezelési tájékoztató
a Klinik Manager Korlátolt Felelősségű Társaság által üzemeltetett SaRa’s Clinic fogászati klinika adatkezeléséről
1. Az adatkezelő megnevezése
Adatkezelő: Klinik Manager Korlátolt Felelősségű Társaság (a továbbiakban: Szolgáltató)
Székhely: 1191 Budapest, Kosárfonó utca 22. 3. em. 11. ajtó
Postacím: 1191 Budapest, Vak Bottyán utca 72. Földszint 1. ajtó
E-mail: info@saraclinic.hu
Telefon: +36 20 285 4482
+36 20 224 3952
+36 1 706 2851
Weboldal: https://sarasclinic.hu
2. Az adatvédelmi tisztviselő
A Szolgáltató adatvédelmi tisztviselője: Jelenleg adatvédelmi tisztviselő alkalmazására nem kerül sor.
3. Az adatkezelés célja és a kezelt adatok köre
3.1. A páciensek elérhetőségével kapcsolatos adatkezelés
kezelt személyes adatok köre
A páciensek neve, levelezési címe, telefonszáma és – amennyiben rendelkezik ilyennel – e-mail címe. A Páciens kiskorúsága esetén törvényes képviselőjének hasonló adatai.
az adatkezelés célja
Az adatkezelés célja a kezelésekkel összefüggő kapcsolattartás, a kezelési időpontok egyeztetése, foglalása, módosítása, törlése.
3.2. A páciensek fogászati ellátásával kapcsolatos adatkezelés
kezelt személyes adatok köre
Páciens azonosító, Páciens neve, születési neve, anyja születési neve, születési helye, ideje, társadalombiztosítási azonosító jele, lakó-, tartózkodási helye, számlázási címe
A páciensek fogászati egészségügyi adatai, fogászati képalkotó eljárások során készült felvételek fizikai vagy digitális formában.
az adatkezelés célja
Betegfelvétel, Páciens azonosítása, adatfelvétel, adatellenőrzés, egészségügyi szolgáltatás nyújtás, beteg dokumentumok elkészítése, megőrzése, kapcsolattartás, tájékoztatás.
A szolgáltatások igazolása egészségügyi és pénzügyi vonatkozásban, a finanszírozáshoz kapcsolódó szükséges információk továbbítása intézményen belül vagy speciális esetekben intézményen kívül (pl.: munkáltatói szűrőcsomagok, ellátásszervezők, biztosító általi finanszírozás esetén
EESZT, OSZIR adatszolgáltatásokkal kapcsolatos jogi kötelezettségek teljesítése, beteg adatok továbbítása, egészségügyi dokumentumok feltöltése, kötelező adatszolgáltatás, járványügyi jelentések
Kiskorú vagy cselekvőképtelen páciensek esetén a betegfelvételhez kapcsolódó ügyintézés, páciens azonosítása, adatfelvétel, adatellenőrzés, egészségügyi szolgáltatás nyújtás, beteg dokumentumok elkészítése, megőrzése, kapcsolattartás, tájékoztatás.
4. Az adatkezelés jogalapja
Az adatkezelés szerződés teljesítéséhez és/vagy jogi kötelezettség teljesítéséhez szükséges az (EU) 2016/679 európai parlamenti és tanácsi rendelet (a továbbiakban: GDPR) 6. cikk (1) bekezdés b), c) pontjain alapul.
5. A személyes adatok forrása, illetve a kezelt adatok köre, ha azokat nem az érintett bocsátotta a Szolgáltató rendelkezésére
A Szolgáltató az adatokat közvetlenül az érintettől vagy a törvényes képviselőjétől gyűjti.
6. A személyes adatok címzettjei, illetve a címzettek kategóriái
Flexi Medical Cloud Zrt. (1027 Budapest, Tölgyfa u. 28.) a Flexident fogászati szoftver szolgáltatójaként, mint adatfeldolgozó.
7. Az adatokhoz való hozzáférés és az adatbiztonsági intézkedések:
7.1. Hozzáférés korlátozása
A fogászati ellátások során az egészségügyi dokumentumok kiadását csak az egészségügyi szolgáltatást nyújtó orvos vagy egészségügyi asszisztensek és adminisztrátorok végzik. A különböző területek a munkájuk ellátásához szükséges jogosultsági szintekkel rendelkeznek, egészségügyi adatokhoz kizárólag az egészségügyi szolgáltatás nyújtásban részt vevő személyek férhetnek hozzá.
7.2. Adatbiztonsági intézkedés
A fizikai adatbiztonságot biztonsági szolgálat, elektronikus vagyonvédelmi rendszer, biztonsági kamerarendszer, beléptető kártyás rendszer és jogosultsági korlátozások biztosítják. Papír alapú dokumentumok alapvetően nem készülnek, azonban amennyiben papír alapú dokumentum előállítása elkerülhetetlen, úgy ezek zárt szekrényekben vannak tárolva, archiválás után pedig korlátozott jogosultsággal használható irattárban.
Az elektronikus adatkezelés érdekében a használt informatikai eszközöket tűzfal, vírusvédelem és jelszavas, illetve lehetőség szerint kétfaktoros hitelesítés védi. Távoli hozzáférés kizárólag VPN kapcsolattal érhető el. Biztonsági mentés készül a kezelt adatokról. Az egyes rendszerekhez, adatállományokhoz csak meghatározott jogosultsággal lehet hozzáférni.
9. A személyes adatok tárolásának ideje
A jelen tájékoztatóban ismertetett célokból a Szolgáltató a személyes adatokat a vonatkozó jogszabályok szerinti ideig tárolja.
• A páciensek egészségügyi ellátása keretében szolgáltatott adatai körében az egészségügyi dokumentációt 30 évig, míg a zárójelentést az adatfelvételtől számított 50 évig tárolandók.
• Az EESZT rendszerben az egészségügyi profil adatok az érintett halálát követő 10 évig tárolódnak. A részletes tárolási idők az EESZT adatkezelési tájékoztatójában érhetők el (https://www.eeszt.gov.hu/hu/adatvedelem).
• A képalkotó diagnosztikai eljárással készült felvételeket a felvételek készítésétől számított 10 évig, míg a felvételről készített leletet a felvételek készítésétől számított 30 évig kell megőrizni.
• A szülők, törvényes képviselők adatai a képviselt páciens adataival együtt kezelendők, ezért azzal együtt ugyancsak az adatfelvételtől számított 50 évig tárolandók.
• A marketing, hírlevél, illetőleg ajánlatok adatai a tároláshoz történt hozzájárulás visszavonásáig, de legfeljebb 20 évig kerülnek tárolásra.
• A vélemények, visszajelzések adatai a hozzájárulás visszavonásáig, de legfeljebb a visszajelzéstől számított 10 évig tárolandók.
8. Az érintett adatkezeléssel kapcsolatos jogai
8.1. Határidő
A Szolgáltató az érintett jogai gyakorlására irányuló kérelmét indokolatlan késedelem nélkül, de a kérelem beérkezésétől számított legfeljebb 25 (huszonöt) napon belül teljesíti. A kérelem beérkezésének napja a határidőbe nem számít bele. A Szolgáltató szükség esetén, figyelembe véve a kérelem bonyolultságát és a kérelmek számát, ezt a határidőt további két hónappal meghosszabbíthatja. A határidő meghosszabbításáról a Szolgáltató a késedelem okainak megjelölésével a kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az érintettet.
Ha a Szolgáltató nem tesz intézkedéseket az érintett kérelme nyomán, késedelem nélkül, de legkésőbb a kérelem beérkezésétől számított egy hónapon belül tájékoztatja az érintettet az intézkedés elmaradásának okairól, valamint arról, hogy az érintett panaszt nyújthat be a felügyeleti Szolgáltatónál, és élhet bírósági jogorvoslati jogával a 9. pontban részletezettek szerint.
8.2. Az adatkezeléssel kapcsolatos érintetti jogok
8.2.1. A hozzáféréshez való jog
Az érintett jogosult arra, hogy az 1. pontban megadott elérhetőségeken keresztül a Szolgáltatótól tájékoztatást kérjen arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy megismerje azt, hogy
• a Szolgáltató
• milyen személyes adatait;
• milyen jogalapon;
• milyen adatkezelési cél miatt;
• mennyi ideig kezeli; továbbá, hogy
• a Szolgáltató kinek, mikor, milyen jogszabály alapján, mely személyes adataihoz biztosított
hozzáférést vagy kinek továbbította a személyes adatait;
• milyen forrásból származnak a személyes adatai;
• a Szolgáltató alkalmaz-e automatizált döntéshozatalt, valamint annak logikáját, ideértve a
profilalkotást is.
A Szolgáltató az adatkezelés tárgyát képező személyes adatok másolatát az érintett erre irányuló kérésére első alkalommal díjmentesen bocsátja a rendelkezésére, ezt követően adminisztratív költségeken alapuló, ésszerű mértékű díjat számíthat fel.
Az adatbiztonsági követelmények teljesülése és az érintett jogainak védelme érdekében a Szolgáltató köteles meggyőződni az érintett és a hozzáférési jogával élni kívánó személy személyazonosságának egyezéséről, ennek érdekében a tájékoztatás, az adatokba történő betekintés, illetve azokról másolat kiadása is az érintett személyének azonosításához kötött.
8.2.2. A helyesbítéshez való jog
Az érintett személy az 1. pontban megadott elérhetőségeken keresztül kérheti, hogy a Szolgáltató módosítsa a rá vonatkozó pontatlan személyes adatokat, ha az adat még a Szolgáltató kezelésében van.
Amennyiben az érintett hitelt érdemlően igazolni tudja a helyesbített adat pontosságát, a Szolgáltató a kérést a lehető legrövidebb időn belül, de legfeljebb egy hónapon belül teljesíti, és erről az általa megadott elérhetőségen értesíti az érintett személyt.
8.2.3. A adatkezelés korlátozásához való jog
Az érintett személy az 1. pontban megadott elérhetőségeken keresztül kérheti, hogy a személyes adatai kezelését a Szolgáltató korlátozza (az adatkezelés korlátozott jellegének egyértelmű jelölésével és az egyéb adatoktól elkülönített kezelés biztosításával) amennyiben
• vitatja a személyes adatai pontosságát (ebben az esetben a Szolgáltató arra az időtartamra korlátozza az adatkezelést, amíg ellenőrzi a személyes adatok pontosságát);
– az adatkezelés jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását;
– az adatkezelőnek már nincs szüksége a személyes adatokra adatkezelés céljából, de az érintett igényli azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez; vagy
– az érintett tiltakozott az adatkezelés ellen (ez esetben a korlátozás arra az időtartamra vonatkozik, amíg megállapításra nem kerül, hogy az adatkezelő jogos indokai elsőbbséget élveznek-e az érintett jogos indokaival szemben).
8.2.4. A tiltakozáshoz való jog
Az érintett személy az 1. pontban megadott elérhetőségeken keresztül tiltakozhat az adatkezelés ellen, ha álláspontja szerint a Szolgáltató a személyes adatát a jelen adatkezelési tájékoztatóban megjelölt céllal összefüggésben nem megfelelően kezelné. Ebben az esetben a Szolgáltatónak kell igazolnia, hogy a személyes adat kezelését olyan kényszerítő erejű jogos okok indokolják, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben, vagy amelyek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez kapcsolódnak.
8.2.5. A törléshez való jog
Az érintett kérheti, hogy személyes adatait a Szolgáltató törölje.
8.2.6. Adathordozhatósághoz való jog
Az érintett jogosult arra, hogy a rá vonatkozó, általa a Szolgáltató rendelkezésére bocsátott személyes adatokat tagolt, széles körben használt, géppel olvasható formátumban megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná a Szolgáltató, ha:
– az adatkezelés a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja szerinti hozzájáruláson, vagy a 6. cikk (1) bekezdésének b) pontja szerinti szerződésen alapul; és
– az adatkezelés automatizált módon történik.
Az adatok hordozhatóságához való jog fentiek szerinti gyakorlása során az érintett jogosult arra, hogy – ha ez technikailag megvalósítható – kérje a személyes adatok adatkezelők közötti közvetlen továbbítását.
9. Az adatvédelmi incidensek kezelése
Adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisülését, elvesztését, módosulását, jogosulatlan továbbítását vagy nyilvánosságra hozatalát, vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Az adatkezelő az általa, illetve a megbízásából vagy rendelkezése alapján eljáró adatfeldolgozó által kezelt adatokkal összefüggésben felmerült adatvédelmi incidens kapcsán rögzíti
– az adatvédelmi incidens jellegét, beleértve – ha lehetséges – az érintettek körét és hozzávetőleges számát, valamint az incidenssel érintett adatok körét és hozzávetőleges mennyiségét,
– az adatvédelmi incidensből eredő, valószínűsíthető következményeket, és
– az adatkezelő által az adatvédelmi incidens kezelésére tett vagy tervezett – az adatvédelmi incidensből eredő esetleges hátrányos következmények mérséklését célzó és egyéb – intézkedéseket,
valamint az adatvédelmi incidenst haladéktalanul, de legfeljebb az adatvédelmi incidensről való tudomásszerzését követő hetvenkét órán belül bejelenti a Nemzeti Adatvédelmi és Információszabadság Hatóságnak.
Az adatvédelmi incidenst nem kell bejelenteni, ha valószínűsíthető, hogy az nem jár kockázattal az érintettek jogainak érvényesülésére.
Ha az adatkezelő a bejelentési kötelezettséget akadályoztatása miatt határidőben nem teljesíti, azt az akadály megszűnését követően haladéktalanul teljesíti, és a bejelentéshez mellékeli a késedelem okait feltáró nyilatkozatát is.
Ha az adatvédelmi incidens az adatfeldolgozó tevékenységével összefüggésben merült fel vagy azt egyébként az adatfeldolgozó észleli, arról – az adatvédelmi incidensről való tudomásszerzését követően – haladéktalanul tájékoztatja az adatkezelőt.
Ha az adatvédelmi incidens valószínűsíthetően az érintettet megillető valamely alapvető jog érvényesülését lényegesen befolyásoló következményekkel járhat (a továbbiakban: magas kockázatú adatvédelmi incidens), az adatkezelő az érintettet az adatvédelmi incidensről haladéktalanul tájékoztatja.
10 A jogorvosláshoz való jog
Ha az érintett úgy ítéli meg, hogy a Szolgáltató a személyes adatainak kezelése során megsértette a hatályos adatvédelmi követelményeket, akkor panaszt nyújthat be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (cím: 1055 Budapest, Falk Miksa utca 9-11., postacím: 1363 Budapest, Pf. 9. E-mail: ugyfelszolgalat@naih.hu, honlap: www.naih.hu), vagy lehetősége van adatainak védelme érdekében bírósághoz fordulni, amely az ügyben soron kívül jár el.
Ebben az esetben szabadon eldöntheti, hogy a lakóhelye (állandó lakcím) vagy a tartózkodási helye (ideiglenes lakcím), illetve a Szolgáltató székhelye szerint illetékes törvényszéknél nyújtja-e be keresetét. A lakóhelye vagy tartózkodási helye szerinti törvényszéket megkeresheti a https://birosag.hu/ugyfeleknek/birosagok/birosag-kereso oldalon. A Szolgáltató székhelye szerint a perre a Fővárosi Törvényszék rendelkezik illetékességgel.
Minden olyan személy, aki az általános adatvédelmi rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult. Az adatkezelő, illetve az adatfeldolgozó mentesül a felelősség alól, ha bizonyítja, hogy a kárt előidéző eseményért őt semmilyen módon nem terheli felelősség.
11. Alkalmazott főbb jogszabályok
1. 32016R0679 Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet),
2. az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény,
3. az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről szóló 1997. évi XLVII. törvény.