Jak zgłosić naruszenie ochrony danych

Zanim cokolwiek klikniesz dalej:

• zrób zrzut ekranu tego, co Cię zaniepokoiło,
• zapisz datę, godzinę, urządzenie i to, co dokładnie zrobiłaś przed zdarzeniem,
• nie klikaj w podejrzane odnośniki, nie odpowiadaj na podejrzane wiadomości, nie podawaj danych przez telefon.

Co robić zależy od tego, co się stało:

• Podejrzenie dostępu do Twojego konta — zmień hasło i wyloguj się na wszystkich urządzeniach, z których korzystasz. Ustawienia → Konto → Wyloguj kończy bieżącą sesję; przy zgubionym urządzeniu zgłoś sprawę wsparciu Heltio, żeby unieważnić dostęp po stronie dostawcy uwierzytelniania.
• Dokumentacja wysłana do niewłaściwej osoby — napisz do odbiorcy z prośbą o nieotwieranie i usunięcie wiadomości oraz o potwierdzenie, że to zrobił.
• Zgubiony laptop albo telefon z zalogowanym Heltio — zmień hasło natychmiast z innego urządzenia i włącz blokadę PIN na pozostałych.

Jeśli nie jesteś administratorem gabinetu ani inspektorem ochrony danych, Twoim zadaniem jest przekazać sprawę dalej, a nie zgłaszać ją samodzielnie. Zgłoszenie ma skutki prawne dla gabinetu jako administratora danych.

Napisz na iod@heltio.pl — to adres inspektora ochrony danych Heltio, podany w polityce prywatności i w stopce strony. W wiadomości podaj:

• datę i godzinę, kiedy zauważyłaś zdarzenie,
• na czym polega,
• ilu pacjentów może dotyczyć,
• jakich danych dotyczy (kontaktowych, medycznych, rozliczeniowych),
• co już zrobiłaś,
• kto w gabinecie o tym wie.

Nie wklejaj do wiadomości numerów PESEL, treści notatek ani innych danych pacjentów. Wystarczy opis i identyfikatory, po których odnajdziemy rekordy.

Rejestr naruszeń prowadzi gabinet jako administrator danych — RODO wymaga go niezależnie od tego, czy zdarzenie trzeba zgłaszać organowi nadzorczemu. Heltio nie prowadzi go za Ciebie i nie dostarcza szablonu; użyj tego, który masz w dokumentacji RODO gabinetu.

W ustawieniach znajdziesz to, co Heltio faktycznie udostępnia: Ustawienia → RODO i prywatność z Rejestrem czynności przetwarzania do pobrania, listą Żądań usunięcia danych, Wnioskami osób, których dane dotyczą oraz polem E-mail kontaktowy RODO widocznym dla pacjentów.

Zawiadomienie organu nadzorczego składa gabinet, przez formularz na stronie urzędu, w terminie liczonym od stwierdzenia naruszenia. Osobno oceniasz, czy naruszenie powoduje wysokie ryzyko dla pacjentów — jeśli tak, trzeba zawiadomić także ich.

Przy danych medycznych odpowiedź na to pytanie prawie zawsze brzmi „tak”. Jeśli masz wątpliwość, skonsultuj ją z inspektorem ochrony danych, zanim upłynie termin — nie po.