Source: https://www.manieruchomosci.pl/artykul,70
Timestamp: 2019-12-10 02:26:30+00:00

Document:
ogólne zasady ochrony danych przez Administratora
szczegółowe procedury i instrukcje w formie załączników
Adres/siedziba:
Ełk, ulica Adama Mickiewicza nr 17/2
telefon: 503 12 12 13
email: biuro@manieruchomosci.pl
Polityka Ochrony Danych Osobowych (Polityka ODO) - oznacza niniejszą Politykę ochrony danych osobowych, wdrożoną przez Administratora.
Podmiot przetwarzający (Procesor) - oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.
Ograniczenie przetwarzania - polega na oznaczeniu przetwarzanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.
Anonimizacja – działanie przeprowadzone na danych osobowych, w wyniku którego dane nieodwracalnie tracą właściwości identyfikujące i przestraja być danymi osobowymi.
Pseudonimizacja - oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
Naruszenie ochrony danych osobowych - oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Ogólne zasady ochrony danych stosowane przez Administratora
Zgodności z prawem.
Ograniczenia celu.
Minimalizacji danych.
System ODO wdrożony przez Administratora
System ODO oparty jest na następujących filarach:
Inwentaryzacja danych – Administrator na bieżąco zbiera informacje o tym, ile danych przetwarza, o procesach przetwarzania, o źródłach danych osobowych, o ich przepływach w strukturze Administratora. W szczególności ADO identyfikuje: dane wrażliwe, dane dzieci, przypadki profilowania, kwestie współadministrowania, przypadki powierzenia przetwarzania. Dane i czynności przetwarzania ADO ewidencjonuje za pomocą Rejestru czynności przetwarzania, który jest narzędziem rozliczalności. Rejestr czynności przetwarzania (RCP) stanowi załącznik nr 1 do polityki ODO. Jest formą dokumentowania czynności przetwarzania, służy mapowaniu procesów przetwarzania, pomaga w opisaniu przepływów danych. W RCP ADO inwentaryzuje i monitoruje procesy przetwarzania. RCP jest na bieżąco uaktualniany w przypadku zidentyfikowania nowych czynności i procesów przetwarzania. RCP zawiera pozycje obowiązkowe określone w art. 30 RODO oraz pozycje dodatkowe, które ułatwiają lepszą identyfikację czynności przetwarzania i ich pełniejszy opis.
Wszelkie przetwarzanie danych ADO opiera na podstawach prawnych określonych w RODO, szczególności w art. 6 RODO, realizując zasadę legalności. Przetwarzanie jest możliwe tylko po wykazaniu, że opiera się na jednej z podstaw:
W tym zakresie ADO opiera działania na zasadzie przejrzystości, informuje o podstawach przetwarzania, ewidencjonuje zgody na przetwarzanie, opiera się na sprawdzonych klauzulach zgód (zgoda dobrowolna, konkretna, świadoma i jednoznaczna). Wzory standardowych klauzul zgód stosowanych przez ADO stanowią załącznik nr 2.
ADO zapewnia realizację praw osób, których dane przetwarza, w szczególności poprzez realizację obowiązku informacyjnego z art. 13 i 14 RODO. ADO przekazuje wszelkie informacje w sposób przejrzysty, prostym i zrozumiałym językiem. ADO realizuje obowiązek informacyjny w przypadku zbierania danych od osoby, której dane dotyczą, jak i od podmiotów trzecich. W tym celu ADO posiada opracowane wzory standardowych klauzul informacyjnych, które stanowią załącznik nr 3.
ADO zapewnia sprawną obsługę żądań kierowanych do niego przez osoby, których dane przetwarza (zwłaszcza przewidzianych w art. 15-21 RODO). ADO opisał i wdrożył procedury odpowiedzi na żądania, tryb ich uwzględnienia lub odmowy realizacji żądania. W szczególności dotyczy to realizacji prawa:
otrzymania kopii danych;
uzupełnienia danych;
oraz realizacji sprzeciwu.
Przykładowe procedury stanowią załącznik nr 4.
ADO wdraża zasadę minimalizacji danych poprzez reglamentację i zarządzanie dostępem do danych oraz poprzez retencję danych (ograniczenie czasowe przetwarzania). W szczególności dane przetwarzane są przez podmioty inne niż ADO tylko na podstawie upoważnienia lub powierzenia i na wyraźne polecenie ADO. Upoważnienia udzielane są na piśmie przez ADO lub przez osobę umocowaną przez ADO (wzór pełnomocnictwa stanowi załącznik nr 5). Upoważnienia dostosowane są do indywidualnej sytuacji, określają zakres przedmiotowy i czasowy przetwarzania przez upoważnionego. Wzory upoważnień stanowią załącznik nr 6. ADO ewidencjonuje upoważnienia, ich zakres, okres ważności, powiązane z upoważnieniem identyfikatory w formie rejestru upoważnień (załącznik nr 7). ADO zapewnia także zachowanie poufności przez osoby upoważnione, co do danych osobowych, jak i sposobów i zabezpieczenia poprzez odebranie od każdego upoważnionego oświadczenia o poufności danych (załącznik nr 8). ADO posiada procedury wyboru, weryfikacji i oceny podmiotów przetwarzających, którym powierza przetwarzanie danych. Powierzenie przetwarzania danych osobowych następuje w formie umowy pisemnej lub elektronicznej. ADO dokonuje wyboru tylko takiego podmiotu przetwarzającego, który gwarantuje bezpieczeństwo danych, wdrożył stosowne środki organizacyjne i techniczne ochrony danych. ADO ewidencjonuje wszystkie przypadki powierzenia w rejestrze umów powierzenia, który stanowi załącznik nr 9 do niniejszej polityki. Rejestr stanowi instrument rozliczalności, pozwala ustalić, przetwarzanie jakich danych, w jakim celu , na jaki czas zostało powierzone przez ADO.
ADO zapewnia optymalny poziom ochrony i bezpieczeństwa danych. System bezpieczeństwa danych oparty jest na stale aktualizowanej analizie ryzyka, dostosowaniu środków ochrony do wyników analizy ryzyka, na wdrożeniu i utrzymaniu odpowiednich środków organizacyjnych i technicznych. ADO oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Opis zastosowanych przez ADO środków organizacyjnych i technicznych znajduje się w Instrukcji Bezpieczeństwa (załącznik nr 10). Instrukcja opisuje zabezpieczenia fizyczne obszaru przetwarzania danych (pomieszczenia biurowe), jak i zabezpieczenia systemu informatycznego (m.in. procedura nadawania uprawnień, zarządzania hasłami, pseudonimizacja, szyfrowanie nośników). ADO w szczególności dąży do zapewnienia:
zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
ADO posiada oraz wdrożył procedury identyfikacji i zgłaszania naruszeń ochrony danych, w szczególności tryb postępowania opisany w art. 33 i 34 RODO (załącznik nr 11). W szczególności ADO prowadzi stały monitoring czynności przetwarzania, określa czy zastosowane środki bezpieczeństwa są adekwatne do ryzyk, a w razie wystąpienia naruszenia dokonuje zgłoszeń w czasie nie dłuższym niż 72 godziny oraz podejmuje niezbędne środki zaradcze w celu minimalizacji ryzyka naruszeń praw osób, których dane zostały naruszone. Kwestie naruszeń, wzajemnego zawiadamia i reagowania są także uwzględnione w umowach powierzenia zawieranych przez ADO. ADO dokumentuje w rejestrze naruszeń (załącznik nr 12) wszelkie naruszenia ochrony danych, w tym okoliczności naruszenia, jego skutki i podjęte działania zaradcze.
W celu zapewnienia spójnego i skutecznego systemu ochrony danych osobowych ADO na bieżąco monitoruje procesy przetwarzania i aktualizuje zabezpieczenia. ADO przeprowadza regularne (nie rzadziej niż raz na pół roku) audyty wewnętrzne systemu ochrony danych osobowych. ADO dba także o aktualizację wiedzy z zakresu ochrony danych poprzez szkolenia wewnętrzne lub zewnętrzne dla ADO i jego personelu. Plan audytów i plan szkoleń stanowią załącznik nr 13.
ADO eliminuje przypadki eksportu danych do państw trzecich a także przetwarzania transgranicznego.
ADO po przeprowadzonej analizie nie powołał Inspektora Ochrony Danych Osobowych (załącznik nr 14)
Część szczegółowa polityki ODO.
Rejestr czynności przetwarzania (RCP)
Wzory standardowych klauzul zgód
Wzory standardowych klauzul informacyjnych
Procedury związane z wykonywaniem praw z art. 15-22 RODO
Pełnomocnictwo do nadawania upoważnień (i innych czynności z zakresu ochrony danych osobowych)
Wzór oświadczenia o poufności (Oświadczenie o zachowaniu w tajemnicy danych osobowych i sposobów ich zabezpieczenia
Procedura identyfikacji i zgłaszania naruszeń ochrony danych
Plan audytów i plan szkoleń
Oświadczenie o powołaniu (niepowołaniu) Inspektora Ochrony Danych Osobowych

References: art. 30
 art. 6
 art. 13
 art. 15
 art. 33
 art. 15