§ 10

Uczelnia wdraża środki techniczne (w tym informatyczne) i organizacyjne, które pozwalają minimalizować ryzyko związane z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

W celu zapewnienia bezpieczeństwa przetwarzania danych w Uczelni stosuje się między innymi następujące rozwiązania:

w budynkach Uczelni funkcjonują portiernie, z których pobierane są klucze do pomieszczeń. Pobranie i zwrot klucza odnotowywane jest w książce kluczy. Szczegółowe zasady zabezpieczenia mienia oraz wydawania kluczy do pomieszczeń zostały określone w regulacjach wewnętrznych Uczelni.

w Uczelni stosuje się monitoring wizyjny w obrębie obiektów oraz otoczenia. Zakres stosowania oraz techniczne i organizacyjne aspekty monitoringu zostały uregulowane regulacjach wewnętrznych Uczelni.

wydruki trwałe z danymi osobowymi przechowuje się w archiwum lub w zabezpieczonych fizycznie pomieszczeniach, biurkach i szafach.

Nadzorowanie i koordynowanie wdrażania i stosowania środków technicznych i organizacyjnych zapewniających ochronę danych osobowych przetwarzanych w systemach teleinformatycznych, należy do Zespołu Bezpieczeństwa Informacji w WCSS. Służą temu w szczególności takie działania jak:

identyfikacja i analiza zagrożenia oraz ryzyka, na które narażone może być przetwarzanie danych osobowych w systemach informatycznych;

systematyczne określanie potrzeb w zakresie zabezpieczenia systemów informatycznych, w których przetwarzane są dane osobowe odpowiednio do stanu wiedzy informatycznej w tym zakresie;

wyznaczanie strategii zabezpieczania systemów informatycznych, określanie procedur bezpieczeństwa i standardów zabezpieczeń;

monitorowanie i zapewnianie ciągłości działania systemu informatycznego oraz baz danych;

cykliczne przeglądy fizycznych zabezpieczeń pomieszczeń serwerowni i węzłów sieci komputerowej;

bieżący nadzór nad naprawami, konserwacją oraz likwidacją urządzeń komputerowych, na których zapisane są dane osobowe;

nadzór nad funkcjonowaniem mechanizmów uwierzytelniania użytkowników w systemie informatycznym przetwarzającym dane oraz kontrolą dostępu do danych.



Środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych w systemach informatycznych zostają opisane we wdrażanej przez Uczelnię Polityce Bezpieczeństwa Informacji.

Kierownicy J/KO określają zabezpieczania techniczne i organizacyjne środki bezpieczeństwa, chroniące dane (przetwarzane w podległych im J/KO), które są następnie uwzględniane w Rejestrze czynności przetwarzania.

Dobór środków technicznych i organizacyjnych, dotyczących przetwarzania i zabezpieczania danych osobowych w Uczelni, realizowany jest w oparciu o analizę ryzyka.

W przypadku planowania w Uczelni takich procesów przetwarzania danych osobowych, które ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, przed rozpoczęciem przetwarzania obowiązkowo należy dokonać oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych (zgodnie z art. 35 RODO).

IOD uprawniony jest do wskazania procesów przetwarzania, dla których należy przeprowadzać ocenę skutków.

Ocena skutków przetwarzania danych przeprowadzana jest przez Zespół Administratora Danych ds. zgodności z RODO, IOD oraz jednostki/komórki organizacyjnej, nadzorującej merytorycznie obszar, w której czynność przetwarzania danych jest/będzie wykonywana, którzy tworzą Zespół oceniający.

Raport z oceny skutków dla danego procesu przetwarzania danych sporządza się w formie pisemnej. Jeżeli dokonana ocena skutków dla ochrony danych wykaże, że przetwarzanie powodowałoby wysokie ryzyko, których Administrator nie może zminimalizować dostępnymi środkami, to przed rozpoczęciem przetwarzania niezbędne będzie przeprowadzenie konsultacji z Prezesem Urzędu Ochrony Danych Osobowych w trybie określonym w ustawie o ochronie danych osobowych.

W przypadku konieczności przeprowadzenia konsultacji, o których mowa powyżej, IOD przygotowuje odpowiedni wniosek o konsultacje i wspólnie z odpowiednim Kierownikiem J/KO reprezentują Administratora danych osobowych w tym postępowaniu.

Rozdział V - Prowadzenie Rejestru czynności przetwarzania

§ 11

IOD prowadzi Rejestr Czynności Przetwarzania.

IOD opierając się na informacjach otrzymywanych od Kierowników J/KO a także samodzielnie identyfikuje wiodące obszary działalności Uczelni, związane z przetwarzaniem danych osobowych w Uczelni, przypisując do nich określone kategorie czynności przetwarzania danych na podstawie zgłoszeń od kierowników J/KO Uczelni.



Kierownicy J/KO mają obowiązek na bieżąco informować IOD o procesach przetwarzania danych osobowych, realizowanych w podległych im J/KO (szczególnie o planowanych, nowych czynnościach oraz o istotnych zmianach w zakresie tych czynności). W szczególności należy informować o zmianach w zakresie:

celu przetwarzania danych;

okresu przetwarzania tych danych w ramach realizowanych u nich czynności;

planowanego terminu usunięcia poszczególnych kategorii danych;

kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;

odbiorców, którym dane osobowe zostały lub zostaną ujawnione;

technicznych i organizacyjnych środków stosowanych przy przetwarzaniu.

IOD okresowo dokonuje przeglądów procesów przetwarzania danych w celach aktualizacji prowadzonych rejestrów.

Rozdział VI - Postępowanie w sytuacji naruszenia ochrony danych

§ 12

Każdej osobie (w tym także osobie spoza Uczelni i osobie, której dane dotyczą) Uczelnia zapewnia możliwość zasygnalizowania dostrzeżonych nieprawidłowości w zakresie przetwarzania danych osobowych. Uczelnia przyjmuje zgłoszenia takich nieprawidłowości, które mogą dotyczyć każdej informacji (nie tylko danych osobowych) i traktuje je jako incydenty bezpieczeństwa informacji. Incydent taki może zostać zakwalifikowany jako Naruszenie Ochrony Danych Osobowych.

Jeżeli pracownik Uczelni stwierdza, że w jego ocenie określone zdarzenie lub zaniechanie naraża dane osobowe na niebezpieczeństwo, powinien zgłosić to niezwłocznie w przyjęty przez Administratora danych osobowych sposób (przez wybór odpowiednich pól w formularzu na stronie: https://zbi.wcss.pl/zglos). Pracownik informuje o zdarzeniu także swojego przełożonego. Przełożony wyjaśnia z pracownikiem okoliczności zdarzenia i zapewnia utrwalenie informacji o miejscu, czasie i innych okolicznościach zdarzenia. Przełożony może też za pracownika zgłosić to zdarzenie w sposób określony powyżej. Wątpliwości w tym zakresie należy konsultować z IOD.

Niezwłoczne zasygnalizowanie nieprawidłowości przez pracownika Uczelni jest podstawą do ograniczenia jego odpowiedzialności, gdyby się okazało, że przyczynił się on do powstania tych nieprawidłowości swoim zachowaniem lub zaniechaniem.

Pracownicy Zespołu Bezpieczeństwa Informacji w WCSS udostępniają w systemie OTRS mechanizm, służący do przyjmowania, rejestracji i obsługi zgłoszeń z formularza na stronie, o której mowa w ust. 2 powyżej. Pracownicy ci także wstępnie kwalifikują otrzymane zgłoszenia i przekazują do wyjaśnienia właściwym administratorom, właścicielom danego procesu lub IOD, który w razie potrzeby dokonuje kwalifikacji



zgłoszenia jako Naruszeń Ochrony Danych Osobowych i koordynuje dalsze czynności w tej sprawie.

IOD przedstawia w razie potrzeby zalecenia dotyczące dalszego postępowania z tym naruszeniem – w szczególności zgłoszenia przed uprawnionym organem nadzorczym oraz poinformowania osób, których dotyczą dane objęte skutkami naruszenia.

Rozdział VII - Rozliczalność zgodności realizacji obowiązków z RODO

§ 13

W celu weryfikacji zastosowanych w Uczelni środków technicznych i organizacyjnych, zapewniających przetwarzanie danych osobowych zgodnie z RODO, wykonuje się ich systematyczne przeglądy.

Monitorowanie ochrony danych osobowych prowadzone jest:

na bieżąco przez Kierowników J/KO, w których przetwarzane są dane osobowe/na bieżąco przez osobę zarządzającą Uczelnią;

poprzez sprawdzenia okresowe i doraźne (szczególnie w razie wystąpienia naruszenia ochrony danych), wykonywane przez IOD lub na jego prośbę;

podczas audytów wewnętrznych, przeprowadzanych przez inne upoważnione podmioty i audytorów - po poinformowaniu o nich IOD.

IOD okresowo analizuje zgodność dokumentacji przetwarzania danych osobowych, przyjętej w Uczelni z przepisami o ochronie danych osobowych, zgłasza wnioski w zakresie zmian dokumentacji oraz nadzoruje jej aktualizację.

Rozdział VIII - Odpowiedzialność karna za naruszenie zasad ochrony danych

§ 14

Naruszenie przepisów o ochronie danych osobowych jest zagrożone sankcjami karnymi, określonymi w art. 107 – 108 UODO oraz w art. 130, 266 - 269, 287 Kodeksu karnego.

Niezależnie od odpowiedzialności przewidzianej w przepisach, o których mowa w pkt 1, naruszenie zasad ochrony danych osobowych może zostać uznane za ciężkie naruszenie podstawowych obowiązków pracowniczych i może skutkować odpowiedzialnością pracownika na podstawie przepisów prawa pracy.

Przy ocenie stopnia zawinienia osoby odpowiedzialnej za naruszenie zasad ochrony danych osobowych bierze się pod uwagę czy osoba ta sygnalizowała zauważone nieprawidłowości i czy uczestniczyła w usuwaniu skutków takiego naruszenia (co prowadzi do ograniczenia odpowiedzialności takiej osoby).



Rozdział IX - Postanowienia końcowe

§ 15

Polityka jest dokumentem wewnętrznym i może podlegać udostępnieniu jako informacja publiczna.

Kierownicy J/KO odpowiadają za zapoznanie z treścią Polityki swoich pracowników i współpracowników – ze szczególnym uwzględnieniem osób przetwarzających dane osobowe i/lub zabiegających o wydanie im upoważnienia do przetwarzania.

§ 16

W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy RODO oraz UODO.

Pracownicy (ale również i współpracownicy) Uczelni zobowiązani są do bezpośredniego stosowania zasad określonych w Polityce.