Polityka Ochrony

Danych Osobowych



 Zał. do PO 43/2020

Rozdział I - Postanowienia ogólne

§ 1

Polityka ochrony danych osobowych w Politechnice Wrocławskiej określa zasady stosowane przez Uczelnię, w celu spełnienia wymagań Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – Dz. Urz. UE L 119 z dnia 04.05.2016 r. i reguły dotyczące procedur zapewnienia bezpieczeństwa przetwarzanych danych osobowych.

Polityka ma zastosowanie do wszystkich danych osobowych przetwarzanych w Uczelni w ramach procesów przetwarzania danych osobowych.

Obowiązek ochrony danych osobowych przetwarzanych w Uczelni dotyczy wszystkich osób, które mają do nich dostęp. Na ten obowiązek nie mają wpływu zajmowane stanowisko, miejsce wykonywania pracy, charakter stosunku pracy bądź stosunku cywilnoprawnego łączącego zobowiązanego z Uczelnią.

Każda osoba, która ma dostęp do danych osobowych, może je przetwarzać wyłącznie na podstawie otrzymanego upoważnienia.

Politykę uzupełniać może dokumentacja dotycząca szczegółowych sposobów postępowania z danymi osobowymi w Uczelni. Dokumentacja jest aktualizowana na bieżąco i może ulegać zmianom stosownie do potrzeb Uczelni. Osoby mające dostęp do danych osobowych są zobowiązane do zapoznawania się z dokumentacją oraz do stosowania opisanych tam zasad.

Polityka zachowuje zgodność z innymi wewnętrznymi regulacjami z obszaru bezpieczeństwa informacji i systemów informatycznych obowiązującymi w Uczelni.

Rektor Politechniki Wrocławskiej zatwierdza zmiany niniejszej Polityki i jej aktualizacje w drodze Zarządzenia Wewnętrznego. Uzupełniające Politykę dokumenty zatwierdzać może (i udostępniać w sposób zwyczajowo przyjęty w Uczelni) osoba wykonująca zadania Administratora danych osobowych wyznaczona przez Rektora.



§ 2

Występujące w niniejszej Polityce zwroty oznaczają:

Administrator danych osobowych (ADO) - Politechnika Wrocławska z siedzibą we Wrocławiu przy Wybrzeżu Wyspiańskiego 27, reprezentowana przez Rektora (zwana też dalej: Uczelnią). Z przedstawicielami Administratora danych osobowych zapewnia się kontakt przy pomocy formularza na stronie pwr.edu.pl/kontakt.

Dane osobowe – wszelkie informacje, dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Dane osobowe szczególne – kategorie danych określone w art. 9 RODO, w tym: dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych; dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej; dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby.

Inspektor Ochrony Danych (IOD) – osoba wyznaczona przez Administratora danych osobowych na podstawie art. 37 RODO, która realizuje zadania monitorowania przestrzegania przepisów o ochronie danych osobowych w Uczelni, określone w art. 39 RODO oraz poleceń Administratora danych osobowych.

Jednostka/komórka organizacyjna (J/KO) – jednostka bądź komórka organizacyjna wynikająca z przyjętej w Uczelni struktury organizacyjnej.

Naruszenie ochrony danych osobowych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Osoba upoważniona – osoba upoważniona do przetwarzania danych osobowych przez Administratora danych osobowych (lub przez wskazaną do tego osobę), mająca dostęp do danych, przetwarzanych w systemie informatycznym lub w dokumentacji papierowej.

Podmiot przetwarzający – podmiot, któremu Uczelnia powierza czynności przetwarzanie danych osobowych w swoim imieniu - w szczególności zawierając umowę powierzenia zgodnie z art. 28 RODO.



Procesor / podmiot przetwarzający - podmiot (osoba fizyczna lub prawna, organ publiczny), któremu powierzono do przetwarzania dane osobowe w celu określonym przez administratora.

Profilowanie – oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Przetwarzanie danych osobowych – operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taka jak: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

PUODO – Prezes Urzędu Ochrony Danych Osobowych.

RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych);

UODO – ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018, poz. 1000).

Zespół Administratora Danych ds. zgodności z RODO - zespół powołany na Uczelni, którego celem jest zapewnienie by przetwarzanie danych osobowych, za które odpowiada Politechnika Wrocławska (jako Administrator danych osobowych, współadministrator lub podmiot przetwarzający) odbywało się zgodnie z przepisami RODO.

Rozdział II - Organizacja systemu ochrony danych osobowych w Politechnice Wrocławskiej

§ 3

Podstawowe zasady przetwarzania danych osobowych

Wszyscy pracownicy Uczelni są zobowiązani do przestrzegania zasad przetwarzania danych osobowych określonych w Polityce, do reagowania na zauważone nieprawidłowości (np. porzucenie wydruków zawierających dane osobowe, pozostawienie



niezabezpieczonych akt zawierających dane osobowe, niezabezpieczenie pomieszczeń, szaf zawierających akta osobowe itp.) i do zgłaszania takich sytuacji IOD.

Każdy pracownik już w trakcie czynności związanych z przyjmowaniem do pracy powinien zostać pouczony o obowiązkach związanych z przetwarzaniem danych (o ile występuje na jego stanowisku pracy) takich jak:

zapoznanie się i przestrzeganie niniejszej Polityki;

ubieganie się o upoważnienie do przetwarzania danych osobowych (z celem i zakresem odpowiadającym obowiązkom i zadaniom pracownika);

ochrony danych przed ich utratą, uszkodzeniem lub zniszczeniem, zmianą treści lub nieuprawnionym udostępnieniem;

usuwania z miejsc przetwarzania danych osobowych osób postronnych, jeśli nie ma tam właściwego nadzoru;

niszczenia tylko zbędnych i nie podlegających archiwizacji dokumentów zawierających dane osobowe - najlepiej z użyciem niszczarki;

użytkowania systemów informatycznych, zgodnie z zasadami ustalanymi przez ich administratorów i nieujawniania swoich haseł;

zachowania ostrożności przy przekazywaniu danych osobowych i obowiązku ustalenia, czy osoba, która chce dostać dane jest do tego uprawniona;

posługiwania się przy przetwarzaniu wyłącznie narzędziami i metodami zatwierdzonymi przez Uczelnię;

zachowania szczególnej ostrożności w podróży służbowej, czy w transporcie dokumentów, komputerów i nośników zawierających dane osobowe (także w obrębie kampusu);

usuwania nośników, wydruków i kopii z urządzeń wielofunkcyjnych (nie wolno zostawiać ich bez nadzoru);

przy opuszczeniu miejsca pracy – o zabezpieczeniu dokumentów, nośników czy systemu informatycznego z danymi osobowymi (zasady „czystego biurka” i „czystego ekranu”);

zgłaszania dostrzeżonych nieprawidłowości i naruszeń bezpieczeństwa danych osobowych, przy czym niezwłoczne zgłoszenie naruszenia stanowić będzie okoliczność, uwzględnianą przy ustalaniu odpowiedzialności za uchybienia.

Co do zasady zabronione jest przenoszenie danych (szczególnie w postaci papierowej) poza odpowiednio chronione, czy przygotowane do przetwarzania danych obiekty Uczelni. Nie powinno też dochodzić do przesyłania niezabezpieczonych danych osobowych poza systemy informatyczne, nadzorowane przez Administratora danych osobowych. Uzasadnione wyjątki od powyższych zasad (przy zachowaniu minimalnych niezbędnych środków ostrożności) stanowią:

przekazywanie dokumentów/danych osobowych pomiędzy jednostkami organizacyjnymi Uczelni w różnych lokalizacjach;

sytuacje wynikające ze specyfiki realizowanych zadań (np. dostarczenie dokumentacji na rozprawy sądowe);



wykonywanie pracy zdalnej na polecenie Administratora danych osobowych przy zastosowaniu wymogów stawianych przez pracodawcę.

Akta osobowe pracownika, który przetwarza dane osobowe powinny zawierać m.in. dowody (w formie pisemnej) potwierdzające, że został on upoważniony do przetwarzania danych osobowych i zobowiązał się do nieograniczonego w czasie zachowania tajemnicy co do treści danych osobowych i sposobów ich ochrony.

W ramach instruktażu stanowiskowego pracownikowi należy wskazać, gdzie pracodawca udostępnia politykę i procedury (dotyczące danych osobowych), stosowane w Politechnice Wrocławskiej. Jeśli pracownik ma mieć dostęp do danych, należy określić zakres jego upoważnienia - odpowiednio do jego zadań. Bezpośredni przełożony zapewnia, żeby pracownik został zobowiązany do zachowania tajemnicy danych osobowych przed uzyskaniem dostępu do danych.

Powyższe zmiany stosuje się również do pracowników zatrudnionych już w chwili wejścia w życie niniejszej Polityki (a wydane im upoważnienia zachowują ważność, o ile nie zachodzi potrzeba ich zaktualizowania bądź uzupełnienia).

§ 4

Upoważnienie do przetwarzania danych osobowych

Wszystkie osoby, które wykonują czynności związane z przetwarzaniem danych osobowych w Uczelni, w ramach wykonywania zadań służbowych na stanowiskach pracy lub prac zleconych, muszą być upoważnione do przetwarzania danych osobowych oraz złożyć oświadczenie o zachowaniu tajemnicy danych oraz sposobów ich zabezpieczenia (wzór upoważnienia oraz oświadczenia znajduje się na stronie https://pwr.edu.pl/ochrona-danych-osobowych).

W celu uzyskania upoważnienia do przetwarzania danych osobowych osoba wnioskująca musi wypełnić wzór upoważnienia, który po akceptacji przełożonego przekazywany jest do zatwierdzenia do właściwego Prorektora. Po nadaniu (podpisaniu) upoważnienia jego skan trafia do rejestru pełnomocnictw i upoważnień a oryginał do akt osobowych. Osoba upoważniona może uzyskać w Dziale Spraw Osobowych poświadczoną za zgodność kopię upoważnienia. Upoważnienie udzielone w imieniu Administratora danych osobowych jest digitalizowane i włączane do uczelnianego rejestru pełnomocnictw i upoważnień prowadzonego przez Biuro Organizacyjne. Oryginał jest zwracany do Działu Spraw Osobowych, gdzie jest przechowywany w aktach osobowych pracownika. Gdy upoważnienie dotyczy osoby niebędącej pracownikiem, winno być załączane do akt studenckich, lub dokumentacji związanej z odpowiednią umową cywilnoprawną czy projektową, ale nie może być brakowane i należy je zachować w celu zapewnienia Uczelni rozliczalności na wypadek kontroli w zakresie zgodności przetwarzania danych z przepisami.



Każda osoba upoważniana do przetwarzania danych osobowych ma obowiązek zapoznać się z dokumentacją dotycząca tego przetwarzania, które ma realizować, w szczególności z niniejszą Polityką ochrony danych osobowych oraz procedurami, które ją uzupełniają.