на ЛА ЕСТЕЛА АИПППДМ ЕООД като администратор на лични данни (АЛД)

I. ПРАВНО ОСНОВАНИЕ
Чл. 1. Настоящите правила се издават на основание Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (Регламента) и Закона за защита на личните данни.

II. ПРЕДМЕТ И ЦЕЛ НА ПРАВИЛАТА
Чл. 2. С настоящите правила се определят редът, начинът, основните принципи по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни. Личните данни на физическите лица се обработват от АЛД на принципите на цялостност, наличност и поверителност.
Чл. 3. Настоящите правила имат за цел да регламентират: (1) механизмите на водене, поддържане и защита на лични данни на персонала и пациентите, обработвани от администратора на лични данни; (2) задълженията на оправомощените лица, обработващи личните данни и тяхната отговорност при неизпълнение на тези задължения; (3) необходимите технически и организационни мерки за защита личните данни от неправомерно обработване (случайно или незаконно разрушаване, случайна загуба или промяна, незаконно разкриване или достъп, нерегламентирано изменение или разпространение, както и от всички други незаконни форми на обработване на лични данни).

III. РЕГИСТРИ, ВОДЕНИ ОТ АЛД
Чл. 4. (1) На основание чл. 30 от Регламента АЛД води регистри на дейностите по обработване на лични данни на физическите лица. Личните данни на физическите лица се събират и обработват с оглед: 1. сключени трудови /граждански договори; 2. оказване на медицински услуги на пациенти; 3.предоставяне на информация за отстъпки, промоции и нововъведения в областта на медицината
(2) АЛД води следните регистри: 1. Регистър „Персонал” 2. Регистър „Пациенти” 3. Регистър „Заявления и жалби”

Чл. 5. (1) Общо описание на Регистър „Персонал“: 
1. В регистъра се обработват лични данни на служителите и изпълнителите по граждански договори, сключени с физически лица, с оглед: (1) индивидуализиране на трудови, служебни и граждански правоотношения; (2) изпълнение на нормативните изисквания на Кодекса на труда, Кодекса за социално осигуряване, Закона за счетоводството и др.; (3) използване на събраните данни за съответните лица за служебни цели, като (но не само): за всички дейности, свързани със съществуване, изменение и прекратяване на трудовите и граждански правоотношения; за изготвяне на всякакви документи на лицата в тази връзка (договори, допълнителни споразумения, документи, удостоверяващи трудов стаж, служебни бележки, справки, удостоверения и др. подобни); за установяване на връзка с лицето по телефон, за изпращане на кореспонденция, отнасяща се до изпълнение на задълженията му по трудови или граждански договори; за водене на счетоводна отчетност относно възнагражденията и разходите за командировки на посочените по-горе лица по трудови и служебни правоотношения и граждански договори.
2. Категории лични данни: (1) физическа идентичност: име, ЕГН, адрес, паспортни данни, месторождение, телефон, адрес на електронна поща; (2) социална идентичност: образование, трудова дейност, квалификация (3) медицинско свидетелство и свидетелство за съдимост при започване на работа (4) болнични листа.
3. Източници от които се събират данните: от физическите лица, за които се отнасят данните, с тяхното изрично съгласие.
(2) Технологично описание на регистъра:
1. Носители на данни – данните в регистъра се обработват на хартиен и технически носител (компютър). След като се съберат и обработят данните на хартиен носител се класифицират в отделни досиета, които се съхраняват в специален шкаф с контролиран достъп. Данните на технически носител се съхраняват и обработват само на служебни компютри с контрол на достъпа.
2. Технология на обработване – данните в регистъра се предоставят от физическите лица при кандидатстване за работа по трудов договор или при сключване на граждански договор с физическо лице и се въвеждат директно в трудови или граждански договори, допълнителни споразумения, както и в други документи, удостоверяващи трудов стаж, служебни бележки, справки, удостоверения, кореспонденция и др.
3. Срок на съхранение – всички данни в регистър „Персонал“ се съхраняват за срок от 5 години след прекратяване на трудовия или гражданския договор със съответното физическо лице, с изключение на данните от счетоводни ведомости, които съгласно изискването на закона трябва да се съхраняват за срок от 50 години.
4. Предоставени услуги – данни от регистър „Персонал“ не се предоставят извън целите на тяхната обработка, с изключение: (1) по изрично искане и нареждане на лицето или на неговите наследници в срока за съхранение; (2) по разпореждане на закона – на държавни институции в изпълнение на служебните им задължения (данъчни служители, служители на НОИ, Инспекция по труда, полиция и др. подобни); (3) при съдебни дела – на процесуален представител или директно на съда при стриктно спазване на разпоредбите на закона и настоящите правила.
(3) Длъжности, свързани с обработването и защитата на лични данни от регистър „Персонал“ и описание на техните права и задължения: 
1. Данните в регистър „Персонал“ се обработват от: д-р Лидия Ситновска-Станковска.
2. Правата и задълженията на обработващия са уредени с: Приложение №1 “Декларация за поверителност”,подписана от съответното лице.
(4) Оценката на въздействието се извършва периодично на всеки две години или при промяна на характера на обработваните лични данни и броя на засегнатите физически лица.

Чл. 6. (1) Общо описание на Регистър „Пациенти“:
1. В регистъра се обработват лични данни на пациентите с оглед: лечението им, включително консултиране, диагностициране, преценка за вида и обема на лечебните дейности, профилактика, превенция и всички други дейности ,представляващи добра дентална практика.
2. Категории лични данни: (1) физическа идентичност: име, ЕГН, снимков материал, адрес, паспортни данни, месторождение, телефон, адрес на електронна поща; (2) социална идентичност: образование, трудова дейност, квалификация; (3) данни за здравословното състояние на пациента, представляващи т.нар. чувствителни данни- заболявания, алергии, прием на медикаменти, информация за болнично лечение.
3. Източници от които се събират данните: (1) от пациентите – физически лица, за които се отнасят данните, с тяхното изрично информирано съгласие, лично, или в определени случаи със съгласието на техен представител; (2) от обществено достъпни източници – НЗОК, НОИ, НАП и др. подобни-рентгенови, медицински, зъботехнически лаборатории.
(2) Технологично описание на регистъра:
1. Носители на данни – данните в регистъра се обработват на хартиен и технически носител (компютър). След като се съберат и обработят данните на хартиен носител се класифицират в отделни досиета, които се съхраняват в специализиран за това шкаф с ограничен достъп. Данните на технически носител се обработват само на служебни компютри с контрол на достъпа. Данните могат да се съхраняват и обработват и чрез т.н. “Облачна услуга” в WEB-базирана програмна система на фирмата Булдент с име на програмата “ Практисдент” и “Пейшънтдент”
2. Технология на обработване – данните в регистъра се предоставят от пациентите и се въвеждат в тяхно лично пациентско досие, а когато е необходимо по искане на пациента или в изпълнение на законови разпоредби – се вписват и в съответните медицински документи.
3. Срок на съхранение – всички данни в регистър „Пациенти“ се съхраняват за срок, определен с нормативен акт, или ако липсва такъв срок – най-късно до 5 години от датата, на която лицето е престанало да бъде пациент на лечебното заведение (включително и при смърт). В случай, че пациентът поиска данните му да бъдат заличени преди изтичането на предвидените 5 години за съхранението им, данните на пациента се заличават в 30-дневен срок от подаване на искането, освен ако това не е допустимо по закон или са налице правни претенции.
4. Предоставени услуги – данни от регистър „Пациенти“ не се предоставят извън целите на тяхната обработка, с изключение:
(1) по изрично искане и нареждане на лицето или на неговите наследници в срока за съхранение; (2) по разпореждане на закона – на държавни институции в изпълнение на служебните им задължения (НЗОК, НОИ, ИА“Медицински одит“, Инспекция по труда, НАП, органи на съдебната власт, полиция и др.). На други лечебни заведения данните на пациента се предоставят само с негово информирано съгласие и/или в съответствие с разпоредбите на Закона за здравето и други закони, съдържащи императивни разпоредби; (3) Длъжности, свързани с обработването и защитата на лични данни от регистър „Пациенти“ и описание на техните права и задължения:
1. Данните в регистър „Пациенти“ се обработват от: д-р Лидия Ситновска-Станковска.
2. Правата и задълженията на обработващия са уредени с: Приложение 1 “Декларация за поверителност”
(4) Оценката на въздействието се извършва периодично на всеки две години или при промяна на характера на обработваните лични данни и броя на засегнатите физически лица.

Чл. 7. (1) Общо описание на Регистър „Заявления и жалби“:
(1) Общо описание на регистъра:
1. В регистъра се обработват лични данни на лица, които са подали заявления и жалби, включително при и по повод събирането и обработването на лични данни. Личните данни се събират от предоставените от лицата заявления, жалби и др. подобни.
2. Категории лични данни:
(1) физическа идентичност: име, ЕГН, адрес, телефон, адрес на електронна поща;
(2) други данни: с оглед на конкретния случай – данни, които са вписани от самото лице или в представените от него документи
3. Източници от които се събират данните: от физическите лица, с тяхното изрично съгласие или съгласно изискванията на приложимия закон.
(2) Технологично описание на регистъра:
1. Носители на данни – данните в регистъра се обработват на хартиен и технически носител (компютър).
2. Технология на обработване: След като се съберат и обработят данните на хартиен носител се класифицират в отделни досиета, които стоят в отделен шкаф с контрол на достъпа. Данните на технически носител се съхраняват и обработват само на компютър с контрол на достъпа. Данните се използват за воденето на кореспонденция, подготовка, разглеждане на съответната преписка и изпращане на отговор до подателя й.
3. Срок на съхранение – всички данни в регистър „Заявления и жалби“ се съхраняват за срок от 5 години след приключване на преписката, освен ако в закон не е предвиден друг срок.
4. Предоставени услуги – данни от регистър „Заявления и жалби“ не се предоставят извън целите на тяхната обработка, с изключение: по изрично искане и нареждане на лицето, по разпореждане на закона – на държавни институции в изпълнение на служебните им задължения (данъчни служители, служители на НОИ, Инспекция по труда, полиция и др. подобни)
(3) при съдебни дела – на процесуален представител или директно на съда. Длъжности, свързани с обработването и защитата на лични данни от регистър „ Заявления и жалби “ и описание на техните права и задължения:
1. Данните в регистър „Заявления и жалби“ се обработват от: д-р Лидия Ситновска-Станковска Оценката на въздействието се извършва периодично на всеки две години или при промяна на характера на обработваните лични данни и броя на засегнатите физически лица.

IV. МЕРКИ ЗА ЗАЩИТА ПРИ ОБРАБОТВАНЕ НА ЛИЧНИТЕ ДАННИ
Чл. 8. (1) Техническите и организационни мерки за защита трябва да: отхвърлят достъпа на неоторизирани лица до оборудването за обработка на данни; контрол на достъпа до оборудване; предотвратяват неоторизираното четене, копиране, промяна или унищожаване на информационни носители; контрол на информационните носители; предотвратяват неоторизираното добавяне, въвеждане, преглеждане, промяна или заличаване на съхранени лични данни; контрол по съхраняването; предотвратяват използването на личните данни от неоторизирани лица, използващи комуникационно оборудване за данни; контрол на потребителите; гарантират, че лицата, които са оторизирани да ползват система за автоматизирана обработка на данни, имат достъп само до данните, включени в обхвата на техния достъп; контрол на достъпа до данни; осигуряват възможността за проверка и установяване до кои органи са били или могат да бъдат изпратени или предоставени личните данни чрез използване на комуникационно оборудване за данни; контрол на комуникациите; осигуряват възможност за последваща проверка и установяване какви лични данни са въведени в системите за автоматизирана обработка на данни, кога и от кого са въведени данните; контрол на въвеждане;
– предотвратяват неоторизирано четене, копиране, промяна или изтриване на лични данни при трансфер на лични данни или превозване на носители на данни; контрол при транспортиране; осигуряват възможност инсталираните системи да могат да се възстановят в случаи на прекъсване на функционирането; възстановяване;
(2) При автоматичната обработка на лични данни се осъществяват технически мерки за защита срещу: неоторизирано четене, възпроизвеждане, промяна или премахване на носителя на данните; неоторизирано въвеждане, промяна или заличаване на съхранени лични данни; неоторизирано използване на системите за лични данни чрез средства за пренос на данни; неоторизиран достъп до лични данни
(3) Автоматичната обработка на данни се осъществява след въвеждане на потребителско име и парола в системата. Всеки АЛД отговаря лично за запазване на тайната за потребителското име и паролата, с които осъществява достъп до системата „ПрактисДент”.

V. ДЕЙСТВИЯ ЗА ЗАЩИТА ПРИ АВАРИИ, ПРОИЗШЕСТВИЯ И БЕДСТВИЯ (ПОЖАР, НАВОДНЕНИЕ И ДР.)
Чл. 9 (1) При възникване и установяване на инцидент с наличните ресурси се вземат мерки за ограничаване въздействието върху регистрите, доколкото това е възможно.
(2) За инцидентите се води дневник, в който задължително се вписват предполагаемото време или период на възникване, времето на установяване, времето на докладване и името на служителя, извършил доклада. След анализ на инцидента, в дневника се вписват последствията от инцидента и мерките, които са предприети за отстраняването им.
(3) В предвидените в Регламента и ЗЗЛД случаи за инцидента се уведомява надзорния орган – Комисията за защита на личните данни.

VI. ПРАВА ЗА ДОСТЪП НА ЛИЦАТА ДО ЛИЧНИТЕ ИМ ДАННИ, ПРАВОТО „ДА БЪДЕШ ЗАБРАВЕН”, ПРАВО НА ПРЕНОСИМОСТ, ПРАВО НА ВЪЗРАЖЕНИЕ
Чл. 10. (1) Заетите по трудови и граждански правоотношения, както и пациентите, имат право на достъп до личните си данни, право на коригиране на личните им данни, право на изтриване /правото „да бъдеш забравен”/, право на ограничаване на обработването, право на преносимост на данните и право на възражение.
(2) Лицата, които желаят да упражнят горепосочените си права подават писмено заявление до АЛД лично или чрез упълномощено лице. Подаването на заявление по електронен път става чрез електронен подпис по реда на ЗЗЛД.
(3) Заявлението съдържа име на лицето и други данни, които го идентифицират – тези, които ЗЗЛД изрично допуска да бъдат посочени, описание на искането, предпочитана форма за предоставяне достъпа до лични данни, подпис, дата и адрес на кореспонденцията; пълномощно – когато заявлението се подава от упълномощено лице. Заявлението се завежда в общия входящ регистър на администратора. (4) Достъп до данните на лицето се осигурява под формата на: 1. устна справка; 2. писмена справка; 3. преглед на данните от самото лице или упълномощено от него такова; 4. предоставяне на копие от исканата информация.
(5) При подаване на искане за осигуряване на достъп администраторът на лични данни разглежда заявлението за достъп и/или разпорежда да се осигури искания от лицето достъп в предпочитаната от заявителя форма. Срокът за разглеждане на заявлението и произнасяне по него е 14-дневен от деня на подаване на искането, съответно 30-дневен, когато е необходимо повече време за събиране личните данни на лицето с оглед възможни затруднения в дейността на администратора. Решението се съобщава писмено на заявителя лично срещу подпис или по пощата с обратна разписка. Когато данните не съществуват или не могат да бъдат предоставени на определено правно основание, на заявителя се отказва достъп до тях с мотивирано решение. Отказът за предоставяне достъп може се обжалва от лицето пред посочения в писмото орган и срок.
(6) Достъп до личните данни на лицата, съдържащи се на технически носител има само администратора на лични данни, а в негово отсъствие и когато тези данни се отнасят до възнагражденията на лицата, достъп до тях има изрично упълномощено от администратора на лични данни лице.
(7) По другите заявени искания, съгласно посоченото в ал (1) на този член, АЛД се произнася в максимално кратки срокове, съгласно разпоредбите на Регламента и ЗЗЛД.
Чл. 11. Освен от администратора на лични данни, правомерен достъп до определени категории лични данни могат да имат и лица, определени от него с изрична заповед. Администраторът носи отговорност за избора на тези лица.
Чл. 12. (1) Никое трето лице няма право на достъп до регистъра с личните данни на лицата, освен в случаите, когато се предоставя информация, която е изисквана на основание на закона и по надлежен път от Комисията за защита на личните данни, от съдебната власт или от друг орган на държавна власт (Комисия за финансов надзор, прокуратура, следствени органи и др.).
(2) При условия, налагащи прехвърляне на регистрите за лични данни от един АЛД към друг, предаването на регистъра се извършва по предвидения от Регламента и ЗЗЛД ред и след разрешение на Комисията за защита на лични данни.

VI. ДРУГИ УСЛОВИЯ
Чл. 13. При внедряване на нов програмен продукт за обработване на лични данни се извършва предварителна проверка на възможностите на продукта с оглед спазване изискванията на Регламента и ЗЗЛД за осигуряване максималната защита на личните данни от неправомерен достъп, загубване, повреждане или унищожаване.
Чл. 14. При неизпълнение на задълженията им, вменени с разпоредбите на Регламента, ЗЗЛД и настоящите вътрешни правила, на съответните лица, обработващи лични данни, се налагат дисциплинарни наказания по Кодекса на труда или административни наказания, когато нарушението е констатирано и установено от надлежен орган, а когато са налице причинени вреди – им се търси отговорност по съответния приложим закон.
Чл.15. Адресът, на който се приемат молби и заявления е: гр. София, ж.к. „Драгалевци“, ул. „Момино венче“ № 1А или на електронен адрес: laestelaclinic@gmail.com
Чл. 16. Контролът върху дейностите по обработка на лични данни се осъществява от АЛД.
Чл.17. За неуредените с тези правила въпроси се прилагат разпоредбите на Регламента и ЗЗЛД. ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Чл.18. Дефиниции:
1. „Лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); Физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата и умствената, икономическата, културната или социалната идентичност на това физическо лице.
2. „Администратор“ означава компетентният орган, който сам или съвместно с други органи определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Европейския съюз или правото на Република България, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Европейския съюз или в националното законодателство
3.„Обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на осигуряване на достъп до данните, подреждане или комбиниране, ограничаване, изтриване или унищожаване.
4. „Обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.
5. „Регистър с лични данни“ означава всеки структуриран набор от лични данни, достъпът до които се осъществява съгласно определени критерии, независимо дали е централизиран, децентрализиран или разпределен съгласно функционален или географски принцип.
6. „Лице с достъп до данни“ е всяко лице, действащо под ръководството на администратора или на обработващия, което има достъп до лични данни, може да ги обработва само по указание на администратора, освен ако в закон е предвидено друго.
7. „Предоставяне на лични данни“ са действия по цялостно или частично пренасяне на лични данни от един администратор към друг или към трето лице на територията на страната или извън нея.
8. „Носител на лични данни“ е физически обект, на който могат да се запишат данни или могат да се възстановят от същия.
9. „Поверителност“ е изискване за неразкриване на личните данни на неоторизирани лица в процеса на тяхното обработване.
10. „Цялостност” е изискване данните да не могат да бъдат променени/подменени по неоторизиран начин в процеса на тяхното обработване и изискване да не се дава възможност за изменение и за неразрешени манипулации на функциите по обработване на данните.
11. „Наличност“ е изискване за осигуряване непрекъсната възможност за обработване на личните данни на оторизираните лица и за изпълнение на функциите на системата за обработване или бързото им възстановяване.
12. ЗЗЛД е Закон за защита на личните данни,
13. Регламент е Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета.
Чл. 19. Настоящите правила се прилагат от 25.05.2018 г.