Każda osoba upoważniana do przetwarzania danych osobowych ma obowiązek odbycia szkolenia z zasad ochrony danych osobowych w uczelni. Szkolenia przeprowadza IOD lub inne osoby wg. planu uzgodnionego z Działem Spraw Osobowych. Dopuszcza się możliwość realizacji szkolenia w formie e-learningowej.

Rozdział III - Realizacja obowiązków przy przetwarzaniu danych osobowych

§ 5

Zobowiązuje się osoby odpowiedzialne za zaplanowanie nowych działań, dostarczenie, rozwój lub zmiany systemów informatycznych, do uwzględniania na wczesnym etapie planowania, wymogów związanych z ochroną treści danych. W tym celu osoby:

planujące wykorzystanie danych osobowych w działalności Politechniki Wrocławskiej,

projektujące nowe rozwiązania organizacyjne czy informatyczne - dotyczące danych osobowych,

planujące realizację projektów badawczych i naukowych z wykorzystaniem danych, pozwalających pośrednio lub bezpośrednio ustalić tożsamość osób badanych,

zobowiązane są włączyć w powyższe działania IOD i zapoznać się z jego stanowiskiem co do zgodności z prawem przewidywanego przetwarzania danych osobowych przed podjęciem decyzji o przetwarzaniu danych.

Osoby, o których mowa w ust. 1 powyżej w swoich działaniach zapewniają:

aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia konkretnego celu przetwarzania (zasada ograniczenia celu),

zidentyfikowanie odpowiednich przesłanek dla planowanych czynności (z katalogu w art. 6, 9 lub 10 RODO),

aby przetwarzanie danych odbywało się nie dłużej niż jest to niezbędne dla osiągnięcia celów przetwarzania (zasada ograniczenia przechowywania danych) i tylko w zakresie w jakim jest to niezbędne do jego osiągniecia (zasada minimalizacji danych),

zastosowanie odpowiednich środków technicznych i organizacyjnych, aby zabezpieczyć dane osobowe,

sposoby dokumentowania działań, które Uczelnia winna zabezpieczyć dla rozliczenia się z wykonania swoich obowiązków,

określenie zadań, kompetencji i uprawnień dla osób realizujących to przetwarzanie,



zaplanowanie tego w jaki sposób wykonane będą obowiązki informacyjne z art. 13 i 14 RODO, jeśli dane osobowe będą zbierane od początku lub jeśli przewiduje się użycie już posiadanych danych w nowych celach.

Przełożeni osób przetwarzających dane osobowe, mają obowiązek zachowania należytej staranności związanej z tym przetwarzaniem, przez co rozumie się m.in.:

sprawdzenie czy są spełnione podstawy prawne na pozyskiwanie danych osobowych, zgodnie z art. 6 RODO lub art. 9-10 RODO;

sprawdzenie, czy przetwarzanie danych osobowych odbywa się dla określonych, zgodnych z prawem celów realizowanych w Uczelni;

sprawdzenie, czy dane osobowe zbierane są w zakresie adekwatnym do celów w jakich będą przetwarzane w uczelni;

nadzorowanie wykonywania obowiązków informacyjnych oraz dokumentowania tych czynności i możliwości realizowania praw osób, których dane będą przetwarzane.

W przypadku, gdy podstawą przetwarzania jest zgoda osoby, której dane dotyczą, należy dodatkowo zapewnić warunki dobrowolnego jej pozyskania oraz powiadomić każdą taką osobę o prawie do odwołania takiej zgody.

Osoby, które wykonują zadania związane ze zbieraniem danych osobowych są zobowiązane do wykonywania obowiązków informacyjnych określonych w art. 13 i 14 RODO. Obowiązkiem takich osób jest udzielanie odpowiednich informacji o przetwarzaniu danych w zakresie określonym przez RODO oraz dokumentowanie (zachowanie dowodów), że ten obowiązek został spełniony.

Jeżeli przed wejściem w życie niniejszej Polityki nie ustalono przesłanek i nie stosowano odpowiednich klauzul (zgody/informacyjnych), wówczas za uzupełnienie tych uchybień odpowiada przełożony osób, przetwarzających dane osobowe. Zaleca się przy tym m.in. wykorzystanie materiałów udostępnianych na stronie internetowej Uczelni: https://pwr.edu.pl/ochrona-danych-osobowych oraz konsultacji z IOD.

§ 6

Dane osobowe zbierane w ramach procesów realizowanych w Uczelni są przetwarzane przez czas określony przez właściwe przepisy prawa lub wewnętrzne przepisy kancelaryjno-archiwalne.

Za określenie odpowiednich czasów retencji danych osobowych w procesach przetwarzania danych w Uczelni odpowiada kierownik J/KO odpowiedzialnej za proces zbierania danych. Uwzględnić powinien on przy tym przepisy, określające obowiązki archiwizacyjne i postanowienia Instrukcji Kancelaryjnej Uczelni.

Dane osobowe, dla których okres przetwarzania nie wynika z obowiązujących przepisów prawa i dla których nie jest możliwe określenie z góry tego okresu w wewnętrznych przepisach kancelaryjno archiwalnych, są przetwarzane tylko tak długo, jak długo istnieje ściśle konkretny i uzasadniony prawnie cel przetwarzania zgodnie z przesłankami art. 6 ust. 1 RODO.



Ustanie celu i brak przesłanek (o których mowa powyżej) przetwarzania danych wymagają niezwłocznego zaprzestania przetwarzania i usunięcia danych.

Dane osobowe przetwarzane tylko i wyłącznie w oparciu o przesłankę zgody na przetwarzanie danych osobowych są usuwane zawsze niezwłocznie po wycofaniu takiej zgody, zgodnie z odpowiednią procedurą ustalaną przez administratora danych osobowych. Usunięcie danych osobowych można wyjątkowo zastąpić anonimizacją danych, tylko jeśli całkowite usunięcie danych byłoby niemożliwe, bez poniesienia istotnego uszczerbku dla obowiązków administratora (w szczególności dla prawnych obowiązków dokumentacyjnych i służących wykazaniu rozliczalności).

Każda J/KO Uczelni odpowiedzialna za określony proces lub procesy przetwarzania danych osobowych ma obowiązek dokonania przeglądu przynajmniej raz do roku przetwarzanych przez nią danych osobowych, prowadzonych w formie papierowej jak i elektronicznej. Przegląd taki obejmuje co najmniej:

sprawdzenie, czy dane osobowe, dla których upłynął okres przechowywania wynikający z przepisów prawa lub wewnętrznych przepisów kancelaryjno-archiwalnych zostały usunięte,

sprawdzenie, czy w odniesieniu do danych osobowych, których czas przechowywania nie został określony przez właściwe przepisy prawa lub wewnętrzne przepisy kancelaryjno-archiwalne, nadal istnieje podstawa prawna oraz cel przetwarzania danych osobowych.

W przypadku ustalenia w trakcie przeglądu, że okres przetwarzania danych osobowych upłynął i nie ma podstawy prawnej lub celu w dalszym przetwarzaniu danych osobowych, takie dane osobowe powinny zostać zanonimizowane. Przez anonimizowanie danych z nośników papierowych rozumie się trwałe ich ukrycie (np. zamazanie). W przypadku nośników elektronicznych oraz systemów informatycznych anonimizowanie polegać może w szczególności na trwałym usunięciu danych, nieodwracalnej zmianie lub zaszyfrowaniu.

Szczegółowe zasady niszczenia nośników i wydruków oraz usuwania lub anonimizacji danych w systemach informatycznych, opisane są w ustalonej przez administratora procedurze. Za realizację procedur niszczenia wydruków odpowiada przełożony osób przetwarzających dane (w tym zwłaszcza przechowujących dane). Za realizację procedur dotyczących niszczenia nośników oraz anonimizacji, pseudonimizacji, usuwania danych z systemów informatycznych, czy niszczenia nośników informatycznych pochodzących z systemów zarządzanych przez Dział Informatyzacji odpowiada dyrektor Działu Informatyzacji lub kierownik jednostki organizacyjnej, która zarządza własnymi systemami przetwarzającymi dane osobowe.

§ 7

Udostępnienie danych jest jedną z form ich przetwarzania a podstawy takiego udostępnienia określa art. 6 ust. 1 RODO. Do szczególnych obowiązków osób, które



w imieniu Uczelni udostępniają dane osobowe (przekazują je jakiemukolwiek podmiotowi zewnętrznemu czy osobie trzeciej) należy jednoznaczne ustalenie podstaw prawnych pozwalającego na taką czynność - a szczególnie sprawdzenie czy:

przepis prawa nakazuje udostępnienie danych;

zgoda osoby, której te dane dotyczą pozwala na udostępnienie danych innemu podmiotowi;

przewidziano taką czynność w umowie zawartej z odbiorcą danych;

wniosek o udostępnienie danych pochodzi od podmiotu uprawnionego i wskazuje prawidłową podstawę prawną do takiej czynności.

Wątpliwości co do podstaw udostępnienia, czy co do zgłoszenia tej czynności do Rejestru należy konsultować z IOD. IOD może dodatkowo konsultować się z radcą prawnym Działu Prawnego Uczelni.

§ 8

Powierzenie przetwarzania danych osobowych oznacza, że administrator danych wybiera podmiot przetwarzający (procesora), który w imieniu administratora ma wykonać określone czynności z danymi osobowymi i który stwarza gwarancje, że czynności te będą zgodne z prawem i nie naruszą bezpieczeństwa osób, których te dane dotyczą.

Uczelnia w umowie powierzenia przetwarzania może być (odpowiednio do okoliczności w danym przypadku) administratorem albo procesorem:

Uczelnia jest administratorem, gdy to ona decyduje o celach i sposobach przetwarzania danych i wybiera procesora, który przetwarza dane dla niej i w jej imieniu. Uczelnia odpowiada wówczas za wybór bezpiecznego procesora, za nałożenie na niego odpowiednich obowiązków ochrony danych i za to czy procesor gwarantuje wdrożenie odpowiednich środków technicznych i organizacyjnych, by przetwarzanie było bezpieczne i zgodne z prawem.

Uczelnia jest procesorem, gdy przetwarza dane dla innego administratora i wówczas sama może podlegać obowiązkom na nią nakładanym przez innego administratora.

Powierzenie przetwarzania wymaga zawarcia umowy w formie pisemnej pomiędzy administratorem a podmiotem przetwarzającym (procesorem). Umowa powierzenia powinna zawierać co najmniej elementy wymienione w art. 28 ust. 3 RODO. Umowa taka nie może być zawierana dla pozoru i powinna uwzględniać rozsądne wymagania administratora danych osobowych oraz możliwości Uczelni w tym zakresie (jak np. posiadane zabezpieczenia techniczne i informatyczne, możliwości organizacyjne, potrzebne nakłady finansowe itd.).

Dopuszcza się powierzenie danych przez Uczelnię tylko takim procesorom, którzy są w stanie zagwarantować taki poziom bezpieczeństwa i zastosować takie środki organizacyjne i techniczne jakich zastosowania wymaga się od Uczelni. Gwarancje takie powinny być jednym z podstawowych kryteriów uzasadniającym wybór podmiotu, który dla Uczelni ma wykonywać prace czy usługi, wymagające przetwarzania danych



osobowych. Zapewnienia procesora należy w miarę możliwości weryfikować. Jednostka inicjująca zawarcie umowy powierzenia przetwarzania odpowiada za udokumentowanie, że wybrała taki podmiot przetwarzający, który zapewni poziom bezpieczeństwa przetwarzania danych osobowych niezbędny dla ochrony interesów Administratora danych osobowych.

Spełnianie przez procesora wymagań stawianych przez Uczelnię należy w uzasadnionych przypadkach (szczególnie w razie wątpliwości co do zapewnień procesora) udokumentować w formie pisemnej przed podpisaniem umowy powierzenia i zachować takie dowody dla celów ewentualnej kontroli. Spełnianie przez procesora wymagań, stawianych przez Uczelnię potwierdzają w szczególności wyniki audytów, certyfikaty oraz inne dokumenty potwierdzające taki poziom przygotowania procesora do przetwarzania danych osobowych, jaki odpowiada oczekiwaniom Uczelni.

Jeżeli Uczelnia dalej powierza przetwarzanie danych, które uprzednio już wcześniej powierzono do przetwarzania samej Uczelni, to powierzenie takie musi nałożyć na następnego procesora co najmniej te same obowiązki ochrony danych jak te, które przyjęła uprzednio sama Uczelnia - w szczególności dotyczy to obowiązku wdrożenia środków technicznych i organizacyjnych, niezbędnych do zapewnienia bezpiecznego przetwarzania danych.

Kierownicy J/KO, które w ramach przetwarzania danych osobowych przewidują skorzystanie z podwykonawcy (procesora), określają w umowie powierzenia z tym procesorem te same obowiązki ochrony danych, jakie dotyczą Uczelni w tym zakresie. Jeżeli Uczelnia ma być procesorem to umową powierzenia można przyjąć tylko takie obowiązki ochrony danych, które Uczelnia realnie może wykonać. Za wykonywanie obowiązków ochrony danych przyjętych przez Uczelnię w umowie powierzenia odpowiada kierownik J/KO, która to przetwarzanie ma realizować.

Przy powierzeniu danych osobowych procesorowi w drodze zawarcia umowy rejestrowanej w Centralnym Rejestrze Umów, należy uzasadnić wybór danego procesora, co zostaje odnotowane w dokumentacji sprawy w CRU. Uzasadnienie wymaga opinii IOD.

§ 9

Jeżeli Administrator danych osobowych nie ustali i nie zatwierdzi uprzednio odpowiedniego katalogu podstaw do takiego przekazywania danych, każdą podstawę prawną przekazania danych osobowych do podmiotu znajdującego się w państwie trzecim (poza UE) ustala się wspólnie z IOD. IOD może dodatkowo konsultować się z radcą prawnym Działu Prawnego Uczelni

IOD może ustalić wzory zapisów umów w ramach, których dojść ma do transferu danych do państwa trzeciego lub organizacji międzynarodowej.



Rozdział IV - Zabezpieczenia fizyczne i techniczne zastosowane w Uczelni w celu ochrony danych osobowych