Source: http://docplayer.pl/46077277-Abi-expert-ochrona-danych-osobowych-warsztat-specjalistyczny-zadania-administratora-danych-osobowych-skuteczne-narzedzie-ado.html
Timestamp: 2018-10-15 22:32:51+00:00

Document:
ABI EXPERT+ Ochrona danych osobowych. Warsztat specjalistyczny. Zadania Administratora danych osobowych. Skuteczne narzędzie ADO - PDF
Download "ABI EXPERT+ Ochrona danych osobowych. Warsztat specjalistyczny. Zadania Administratora danych osobowych. Skuteczne narzędzie ADO"
1 Warsztat specjalistyczny Ochrona danych osobowych Zadania Administratora danych osobowych
2 Najważniejsze podstawy prawne Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997 r. (tj. Dz. U. z 2015 poz. 2135) Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie trybu i sposobu realizacji zadań w celu zapewnienia przestrzegania przepisów o ochronie danych osobowych przez administratora bezpieczeństwa informacji (Dz. U. z 2015, poz. 745) art. 36a.9 pkt 1 ustawy Rozporządzenie Ministra Administracji i Cyfryzacji z 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. z 2015, poz. 719) 36a.9 pkt 2 ustawy Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) art. 39a ustawy Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 10 grudnia 2014 r. w sprawie wzorów zgłoszeń powołania i odwołania administratora bezpieczeństwa informacji (Dz. U. 2014, poz. 1934) art. 46f ustawy Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536) art. 46a ustawy. 2 Zadania Administratora danych
3 Najważniejsze podstawy prawne Art. 36a.1. Administrator danych może powołać administratora bezpieczeństwa informacji. Art. 36a.4. Administrator danych może powierzyć administratorowi bezpieczeństwa informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania zadań, o których mowa w ust.2. Art. 36a.5. Administratorem bezpieczeństwa informacji może być osoba, która: 1) ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych; 2) posiada odpowiednią wiedzę w zakresie ochrony danych osobowych; 3) nie była karana za umyślne przestępstwo. Art. 36a.6. Administrator danych może powołać zastępców administratora bezpieczeństwa informacji, którzy spełniają warunki określone w ust. 5. Art. 36a.7. Administrator bezpieczeństwa informacji podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych. Art. 36a.8. Administrator danych zapewnia środki i organizacyjną odrębność administratora bezpieczeństwa informacji niezbędne do niezależnego wykonywania przez niego zadań, o których mowa w ust Zadania Administratora danych
4 Zadania ADO/ABI, art. 36a.2 ustawy Art. 36b. W przypadku niepowołania administratora bezpieczeństwa informacji zadania określone w art. 36a ust. 2 pkt 1, z wyłączeniem obowiązku sporządzania sprawozdania, o którym mowa w art. 36a ust. 2 pkt 1 lit. a, wykonuje administrator danych. Art. 36a.2. Do zadań administratora bezpieczeństwa informacji (także ADO, jeśli nie ma ABI) należy: 1) zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez: a) sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, b) nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych, c) zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych. 4 Zadania Administratora danych
5 Zadania ABI, art. 36a.2 ustawy Art. 36a.2. Do zadań administratora bezpieczeństwa informacji (tylko ABI) należy: 2) prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2 4a i 7. Art. 36a.3. Rejestr, o którym mowa w ust. 2 pkt 2, jest jawny. Przepis art. 42 ust. 2 stosuje się. Art. 36a.9. Minister właściwy do spraw administracji publicznej określi, w drodze rozporządzenia: 1) tryb i sposób realizacji zadań, o których mowa w ust. 2 pkt 1 lit. a i b, 2) sposób prowadzenia rejestru zbiorów danych, o którym mowa w ust. 2 pkt 2 uwzględniając konieczność zapewnienia prawidłowości realizacji zadań administratora bezpieczeństwa informacji oraz niezależności i organizacyjnej odrębności w wykonywaniu zadań. 5 Zadania Administratora danych
6 Zadanie 1 Sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych* * sprawozdania wykonuje tylko ABI 6 Zadania Administratora danych
7 WIEDZA ABI EXPERT+ Dane osobowe Dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, jeżeli jej tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Indentyfikacyjne Nazwisko, imię, adres, wiek, wizerunek, podpis Pesel, NIP, telefon, mail, IP komputera Wrażliwe Pochodzenie rasowe, etniczne, stan zdrowia, wyznanie Nałogi, życie seksualne, orzeczenia sądowe i admin. Pozostałe Wykształcenie, stan majątkowy, tryb życia, nawyki, wiedza, osiągnięcia kulturalne, sportowe, inne 7 Zadania Administratora danych
8 Najważniejsze obszary sprawdzeń Legalność stosowanie co najmniej jednej przesłanki uprawniającej do przetwarzania danych (art. 23 i 27). Staranność zachowanie staranności przetwarzania danych (art. 26). Informacja realizacja obowiązku informacyjnego (art. 24 i 25). Zabezpieczenia stosowanie odpowiednich zabezpieczeń technicznych i organizacyjnych (art. 36.1, 38 i 39a). Dokumentacja prowadzenie dokumentacji przetwarzania danych (art. 36.2, 37, 39 i 39a). Powierzenie przetwarzania danych dostrzeganie konieczności zawarcia umowy powierzenia. Zgłoszenia zbiorów do GIODO rejestracja zbiorów (art.40) z wyjątkiem zbiorów zwolnionych (art oraz 43.1a). 8 Zadania Administratora danych
9 Legalność, art ustawy Przetwarzanie danych jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Jest dopuszczalne, gdy spełniona jest przynajmniej 1 z 5 przesłanek: 1. Osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. Zgoda nie może być domniemana lub dorozumiana. CEL + ODBIORCY = ZGODA 2. Jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Ustawa o ochronie danych osobowych określa jedynie ogólne zasady przetwarzania danych osobowych, zaś, gdy istnieją inne szczególne wobec ustawy przepisy prawa - mają one pierwszeństwo stosowania. 3. Jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. 4. Jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. 5. Jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, np.: marketing bezpośredni własnych produktów lub usług administratora danych oraz dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. 9 Zadania Administratora danych
10 Staranność, art. 26 ustawy Administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były: przetwarzane zgodnie z prawem, zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2, merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania, Ilościowa Tylko dane konieczne do realizacji celu Czasowa Tylko tak długo jak trwa cel 10 Zadania Administratora danych
11 Informacja, art. 24 ustawy W przypadku zbierania danych od osoby, której te dane dotyczą Administrator danych jest zobowiązany poinformować tę osobę o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy Administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, prawie dostępu do treści swoich danych oraz ich poprawiania, dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Podanych wyżej zasad nie stosuje się, jeżeli przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania lub jeżeli osoba, której dane dotyczą, posiada już te informacje. 11 Zadania Administratora danych
12 Zabezpieczenia art Art Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Dobre praktyki zamykać na klucz pomieszczenia, nie pozostawiać w pomieszczeniach osób nie mających uprawnień do danych, nie dopuszczać osób nie mających uprawnień do treści danych, dokumenty niszczyć w specjalistycznych niszczarkach, dane przechowywać wyłącznie pod zamknięciem, nośniki zewnętrzne oraz maile zabezpieczyć ochroną kryptograficzną, tworzyć silne hasła (m.in. 8 znaków), zmieniać co 30 dni, wykonywać kopie bezpieczeństwa, stosować zasilacze awaryjne, prowadzić dokumentację przetwarzania danych, w tym czynności udostępnień, incydentów, serwisów oprogramowania. 12 Zadania Administratora danych
13 Powierzenie przetwarzania, art. 31 ustawy Art Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. 2. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. 3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art , oraz spełnić wymagania określone w przepisach, o których mowa w art.39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. 4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową. 5. Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art Zadania Administratora danych
14 Zgłoszenia zbiorów do GIODO, art. 40 ustawy Art. 40 Administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1 i 1a. Art Administrator danych jest obowiązany zgłaszać Generalnemu Inspektorowi każdą zmianę informacji, o której mowa w ust. 1, w terminie 30 dni od dnia dokonania zmiany w zbiorze danych. Do zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów danych. Art Generalny Inspektor prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych. Rejestr powinien zawierać informacje, o których mowa w art. 41 ust. 1 pkt 1-4a i Każdy ma prawo przeglądać rejestr, o którym mowa w ust Na żądanie administratora danych może być wydane zaświadczenie o zarejestrowaniu zgłoszonego przez niego zbioru danych, z zastrzeżeniem ust Generalny Inspektor wydaje administratorowi danych, o których mowa w art. 27 ust. 1, zaświadczenie o zarejestrowaniu zbioru danych niezwłocznie po dokonaniu rejestracji. 14 Zadania Administratora danych
15 Zgłoszenia zbiorów do GIODO, art. 40 ustawy Art Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych: 1) zawierających informacje niejawne, 1a) które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych do tych czynności, 2) przetwarzanych przez właściwe organy dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym, 2a) przetwarzanych przez Generalnego Inspektora Informacji Finansowej, 2b) przetwarzanych przez właściwe organy na potrzeby udziału Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Systemie Informacji Wizowej, 3) dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego, 4) przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się, 5) dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta, 15 Zadania Administratora danych
16 Zgłoszenia zbiorów do GIODO, art. 40 ustawy 6) tworzonych na podstawie przepisów dotyczących wyborów do Sejmu, Senatu, Parlamentu Europejskiego, rad gmin, rad powiatów i sejmików województw, wyborów na Urząd Prezydenta Rzeczypospolitej Polskiej, na wójta, burmistrza, prezydenta miasta oraz dotyczących referendum ogólnokrajowego i referendum lokalnego, 7) dotyczących osób pozbawionych wolności na podstawie ustawy, w zakresie niezbędnym do wykonania tymczasowego aresztowania lub kary pozbawienia wolności, 8) przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej, 9) powszechnie dostępnych, 10) przetwarzanych w celu przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego, 11) przetwarzanych w zakresie drobnych bieżących spraw życia codziennego, 12) przetwarzanych w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1. Art. 43.1a. Obowiązkowi rejestracji zbiorów danych osobowych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1, nie podlega administrator danych, który powołał administratora bezpieczeństwa informacji i zgłosił go Generalnemu Inspektorowi do rejestracji, z zastrzeż. art. 46e Zadania Administratora danych
17 Zadanie 2 Nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych. 17 Zadania Administratora danych
18 Dokumentacja, art oraz 39a ustawy Art Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, o których mowa w ust. 1. Art. 37 Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Art Administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać: 1) imię i nazwisko osoby upoważnionej, 2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, 3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym. 2. Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. 18 Zadania Administratora danych
19 Dokumentacja, art oraz 39a ustawy Art. 39a Minister właściwy do spraw administracji publicznej w porozumieniu z ministrem właściwym do spraw informatyzacji określi, w drodze rozporządzenia, sposób prowadzenia i zakres dokumentacji, o której mowa w art. 36 ust. 2, oraz podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, uwzględniając zapewnienie ochrony przetwarzanych danych osobowych odpowiedniej do zagrożeń oraz kategorii danych objętych ochroną, a także wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzanych danych. Szczegółowe warunki prowadzenia dokumentacji określa: Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) 19 Zadania Administratora danych
20 Dokumentacja, art oraz 39a ustawy Polityka bezpieczeństwa wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposób przepływu danych pomiędzy poszczególnymi systemami; określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. 20 Zadania Administratora danych
21 Dokumentacja, art oraz 39a ustawy Instrukcja zarządzania systemem informatycznym procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu; procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; 21 Zadania Administratora danych
22 Dokumentacja, art oraz 39a ustawy Instrukcja zarządzania systemem informatycznym sposób, miejsce i okres przechowywania: elektronicznych nośników informacji zawierających dane osobowe, kopii zapasowych, o których mowa w pkt 4, sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, o którym mowa w pkt III ppkt 1 załącznika do rozporządzenia; sposób realizacji wymogów, o których mowa w 7 ust. 1 pkt 4; procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. 22 Zadania Administratora danych
23 Nadzór dokumentacji Sprawując nadzór ADO/ABI dokonuje weryfikacji: opracowania i kompletności dokumentacji przetwarzania danych; zgodności dokumentacji przetwarzania danych z obowiązującymi przepisami prawa; stanu faktycznego w zakresie przetwarzania danych osobowych; zgodności ze stanem faktycznym przewidzianych w dokumentacji przetwarzania danych środków technicznych i organizacyjnych służących przeciwdziałaniu zagrożeniom dla ochrony danych osobowych; przestrzegania zasad i obowiązków określonych w dokumentacji przetwarzania danych. ADO/ABI przeprowadza weryfikację: w sprawdzeniach, poza sprawdzeniami, na podstawie zgłoszenia osoby wykonującej obowiązki określone w dokumentacji przetwarzania danych oraz własnego udziału w procedurach w niej określonych. ADO/ABI może przeprowadzić weryfikację poza sprawdzeniami, na podstawie zgłoszenia osoby trzeciej. 23 Zadania Administratora danych
24 Zadanie 3 Zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych. 24 Zadania Administratora danych
25 Szkolenia Brak szczegółowych przepisów w tym zakresie. Możliwe działania: Szkolenia wewnętrzne: prowadzone przez ADO/ABI, nadzorowane przez ADO/ABI testy wiedzy online, np. z systemu ABIEXPERT+, prowadzone przez osoby z zewnątrz, Szkolenia zewnętrzne delegowanie osób na szkolenia poza miejscem pracy. Samodzielne poznanie przepisów przez pracowników, a następnie sprawdzenie wiedzy. Uzależnienie wydania upoważnienia do przetwarzania danych od wyników sprawdzenia stanu wiedzy? 25 Zadania Administratora danych
26 Dziękuję, zapraszam do współpracy Adam Korzuch, właściciel firmy tel. (32) ;

References: art. 36
 art. 39
 art. 46
 art. 46
 Art. 36
 Art. 36
 Art. 36
 Art. 36
 Art. 36
 Art. 36
 art. 36
 Art. 36
 art. 36
 art. 36
 Art. 36
 art. 36
 art. 36
 Art. 36
 art. 43
 art. 41
 Art. 36
 art. 42
 Art. 36
 art. 26
 art. 24
 art. 31
 art.39
 art. 40
 Art. 40
 art. 43
 art. 41
 art. 27
 art. 40
 art. 40
 ustawy 6
 art. 27
 Art. 43
 art. 27
 art. 46
 art. 36
 Art. 37
 Art. 39
 art. 36