Source: http://docplayer.pl/1815864-Wytyczna-zarzadzania-i-nadzoru-nad-systemami-informatycznymi-pod-katem-zgodnosci-z-ustawa-o-ochronie-danych-osobowych.html
Timestamp: 2017-02-19 21:50:34+00:00
Document Index: 110889460

Matched Legal Cases: ['art. 7', 'art. 3', 'art. 36', 'art. 39', 'art. 14', 'art.7', 'art. 3', 'art.36', 'art. 2', 'art. 7', 'art.27', 'Art. 28', 'art.29', 'art. 38', 'art. 31', 'art. 31', 'art.31', 'art.39', 'art. 39', 'arte 2016', 'arte 2016', 'art. 36', 'art. 104', 'Art. 1', 'Art. 1', 'art. 39', 'art. 39']

Wytyczna. zarządzania i nadzoru nad systemami informatycznymi pod kątem zgodności z Ustawą o ochronie danych osobowych. - PDF
Wytyczna. zarządzania i nadzoru nad systemami informatycznymi pod kątem zgodności z Ustawą o ochronie danych osobowych.
Download "Wytyczna. zarządzania i nadzoru nad systemami informatycznymi pod kątem zgodności z Ustawą o ochronie danych osobowych."
1 Wytyczna zarządzania i nadzoru nad systemami informatycznymi pod kątem zgodności z Ustawą o ochronie danych osobowych czyli UODO Survival Kit Zespół ODOSI Mirosław Błaszczak Piotr Dzwonkowski Joanna Karczewska Sebastian Łataś Wersja 2.1 Październik 20072 Zastrzeżenie: Zespół ODOSI nie twierdzi, że jakiekolwiek korzystanie z tego opracowania zapewni pozytywne wyniki. Opracowania nie należy traktować jako zawierającego właściwe informacje, procedury i testy bądź nie zawierającego innych informacji, procedur i testów, które mają na celu osiągnięcie tych samych wyników. W ustalaniu właściwości jakiejkolwiek informacji, procedury lub testu, osoba zajmująca się zawodowo audytem lub kontrolą systemów informatycznych powinna polegać na swoim zawodowym osądzie określonych okoliczności zaistniałych w danym środowisku systemów lub technologii informatycznych. Prawa autorskie: Copyright 2007 Zespół ODOSI: Mirosław Błaszczak, Piotr Dzwonkowski, Joanna Karczewska, Sebastian Łataś. Wszelkie prawa zastrzeżone. Dozwolone jest korzystanie z tego opracowania wyłącznie dla celów wewnętrznych i niekomercyjnych lub akademickich po dokładnym określeniu źródła materiału. Żadnej części tego opracowania nie wolno wykorzystać, kopiować, powielać, modyfikować, rozpowszechniać, pokazywać, przechowywać w systemie wyszukiwania informacji ani też przekazywać w jakiejkolwiek postaci i za pomocą jakichkolwiek urządzeń (elektronicznych, mechanicznych, fotokopiujących, rejestrujących lub innych) w celach komercyjnych bez wcześniejszego uzyskania pisemnej zgody autorów opracowania. Nie przyznaje się żadnych innych praw lub zgody dotyczących tego opracowania. Znaki towarowe: Wszystkie znaki towarowe występujące w tekście są zastrzeżonymi znakami firmowymi bądź towarowymi ich właścicieli. Wersja wytycznej Dotychczas ukazały się następujące wersje Wytycznej: wersja 1.0 PL - w marcu 2005, wersja 1.1 PL i EN - w kwietniu 2005, wersja 2.0 PL - w grudniu Najważniejsze zmiany w niniejszej wersji dotyczą dostosowania Wytycznej do najnowszej wersji 4.1 schematu COBIT oraz uwzględniają uwagi zgłoszone przez użytkowników Wytycznej. Wytyczna zawiera tłumaczenia własne fragmentów COBIT 4.1. Po opublikowaniu oficjalnego tłumaczenia schematu COBIT 4.1 na język polski, autorzy Wytycznej dokonają aktualizacji cytatów zawartych w tym opracowaniu. Komentarze i uwagi: Zespół ODOSI zaprasza do zgłaszania wszelkich uwag i komentarzy dotyczących tego opracowania. Listy elektroniczne prosimy kierować na adresy członków zespołu: Mirosław Błaszczak Piotr Dzwonkowski Joanna Karczewska Sebastian Łataś Zespół ODOSI 23 SPIS TREŚCI 1. WPROWADZENIE Wstęp Przepisy prawne Potrzeba Wytycznej Adresaci Wytycznej Odniesienie do ISACA i COBIT Kryteria informacji Odniesienie do innych standardów i wytycznych Inne dokumenty COBIT Normy bezpieczeństwa informacji Wskazówki GIODO Odniesienie do prywatności Zespół ODOSI Odniesienie do europejskiego projektu e-prodat WYTYCZNA Jak korzystać z Wytycznej? Listy pytań kontrolnych Mapowanie Schemat COBIT krótki opis Ustawa/COBIT Rozporządzenie/COBIT Zastosowanie COBIT 4.1 do badania zgodności z UODO Przykład DODATKI Bibliografia Wydane przez IT Governance Institute Wydane przez ISACA Wydane przez GIODO Wydane przez APDCM Dostępne w księgarniach Słownik Tablice mapowań Ustawa/COBIT domeny PO, AI i ME Ustawa/COBIT domena DS oraz AC Rozporządzenie/COBIT Procesy i cele kontrolne COBIT 4.1 występujące w mapowaniu...42 Zespół ODOSI 34 Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym Konstytucja Rzeczypospolitej Polskiej Zespół ODOSI 45 1. WPROWADZENIE 1.1. Wstęp W dzisiejszym mocno sformalizowanym i zinformatyzowanym świecie nasze dane osobowe są gromadzone w niezliczonych firmach i instytucjach. Nasze dane osobowe są przechowywane w postaci elektronicznej, co znacznie ułatwia ich przetwarzanie i dystrybucję. Nie jesteśmy w stanie osobiście przypilnować naszych danych osobowych i zapobiec wykorzystaniu ich wbrew ich przeznaczeniu. Dlatego mamy prawo wymagać zabezpieczenia naszych danych osobowych od tych, którzy mają naszą zgodę na ich gromadzenie i przetwarzanie. Powinniśmy także zadawać sobie pytanie: Czy nasze dane osobowe są odpowiednio chronione? Z kolei kierownictwa firm i instytucji powinny wiedzieć, że posiadane dane osobowe są przetwarzane w trudnych do policzenia formach, postaciach i miejscach, a dostęp do nich ma wielu pracowników. Dane osobowe są przechowywane w postaci elektronicznej, co ułatwia ich masowe przetwarzanie i dystrybucję. Stwarza to jednak określone zagrożenia i wymusza wprowadzenie dodatkowych systemów kontroli, by gromadzenie i przetwarzanie danych osobowych było zgodne z przepisami polskiego prawa. Firmy, organizacje, zrzeszenia i stowarzyszenia (praktycznie nie ma firmy, która nie przetwarzałaby danych osobowych) powinny zadawać sobie pytania: Czy przetwarzając dane osobowe robimy to z zachowaniem wszystkich wymogów prawa? Czy przetwarzane przez nas dane osobowe są odpowiednio chronione? 1.2. Przepisy prawne Podstawowymi przepisami prawnymi, które definiują prawne zasady ochrony danych osobowych, są: Konstytucja Rzeczypospolitej Polskiej Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (t.j. Dz.U. z 2002r. Nr 101, poz.926 i Nr 153, poz.1271 oraz z 2004r. Nr 25, poz.219 i Nr 33, poz.285) zwana dalej Ustawą lub UODO, Rozporządzenie MSWiA z dnia 29 kwietnia 2004r. (t.j. Dz.U. z 2004r. Nr 100, poz.1024) w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych zwane dalej Rozporządzeniem. Rozporządzenie weszło w życie 1 listopada 2004r., oraz: Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych, Konwencja 108 Rady Europy sporządzona z dnia 28 stycznia 1981 r. o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych. W określonych przypadkach mogą również mieć zastosowanie liczne przepisy odrębnych ustaw oraz umów międzynarodowych. Zespół ODOSI 56 1.3. Potrzeba Wytycznej Dyrektywa 95/46/WE w punkcie 61 Preambuły zawiera następujący zapis: "Państwa Członkowskie i Komisja, w zakresie posiadanych kompetencji, mają obowiązek zachęcać stowarzyszenia handlowe i inne zainteresowane organizacje przedstawicielskie do sporządzania kodeksów postępowania w celu ułatwienia wdrażania w życie niniejszej Dyrektywy, uwzględniając różny charakter procesu przetwarzania danych w różnych sektorach i przestrzegając postanowień państwowych dotyczących jego wdrażania. W księgarniach i Internecie dostępnych jest wiele publikacji opracowanych przez różne podmioty i organizacje, prezentujących kwestie prawne dotyczące ochrony danych osobowych. Natomiast brakuje dokumentów poświęconych zagadnieniom związanym z ochroną danych osobowych w systemach informatycznych. Dlatego członkowie zespołu ODOSI postanowili opracować Wytyczną zarządzania i nadzoru, która pomoże w zapewnieniu zgodności i bezpieczeństwa, audycie oraz przetwarzaniu danych osobowych w systemach informatycznych. W Wytycznej nie zostały uwzględnione zagadnienia ściśle związane z ochroną informacji niejawnych (zdefiniowanych w Ustawie o ochronie informacji niejawnych Dz.U. z 2001r. Nr 22, poz.241) Adresaci Wytycznej Wytyczna jest przeznaczona dla wszystkich osób zainteresowanych zapewnieniem zgodności działania systemów informatycznych firmy z Ustawą o Ochronie Danych Osobowych. Poniższa tabelka przedstawia grupy adresatów wraz z ich rolą: Adresat Wytycznej 1. Administrator Danych Osobowych / kierownictwo firmy lub organizacji 2. Administrator Bezpieczeństwa Informacji (ABI) Rola odpowiada za ochronę danych osobowych. Zgodnie z art. 7 Ustawy, jest to organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydująca o celach i środkach przetwarzania danych osobowych. nadzoruje przestrzeganie zasad ochrony, wyznaczony przez Administratora Danych Osobowych, chyba że on sam wykonuje te czynności (zgodnie z art. 36 Ustawy). 3. Administrator Zarządzający odpowiada za przetwarzanie danych osobowych w powierzonym obszarze. 4. Administrator Wykonawczy (np. administrator systemu/ aplikacji/serwera danych) Informatyk wykonuje bieżące czynności związane z realizacją ochrony danych osobowych w danym systemie / aplikacji. 5. Osoba, której dane dotyczą może kontrolować przetwarzanie danych, które jej dotyczą, zawartych w zbiorach danych (zgodnie z rozdz. 4 Ustawy). 6. Podmiot, któremu powierzono przetwarzanie danych (outsourcing) przed rozpoczęciem przetwarzania danych, jest zobowiązany podjąć środki zabezpieczające zbiór danych, o których mowa w art , oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a Ustawy. Zespół ODOSI 67 Adresat Wytycznej Rola 7. Audytor systemów informatycznych weryfikuje zgodność przetwarzania danych osobowych z Ustawą. 8. Inspektor GIODO przeprowadza oględziny urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych (zgodnie z art. 14 Ustawy) Odniesienie do ISACA i COBIT ISACA jest wiodącą organizacją na świecie zrzeszającą osoby zajmujące się zawodowo ładem informatycznym oraz nadzorem, bezpieczeństwem i audytem systemów informatycznych. Powstała w 1969 roku. Obecnie należy do niej ponad 65 tysięcy członków, zrzeszonych w oddziałach zlokalizowanych w ponad 140 krajach świata. Członkowie zespołu ODOSI, autorzy Wytycznej, są członkami stowarzyszenia ISACA. IT Governance Institute (ITGI) został powołany przez ISACA w 1998 roku. Istnieje, by pomagać liderom firm dopasować IT do biznesu w celu dostarczania mierzalnych korzyści przy optymalnych środkach i właściwym ryzyku działania. ITGI prowadzi unikalne badania nad koncepcjami i stosowaniem ładu informatycznego. Opracowuje materiały skierowane do profesjonalistów funkcjonujących w ciągle zmieniającym się środowisku informatycznym. COBIT (Control Objectives for Information and Related Technology), opracowany i aktualizowany przez ISACA i ITGI, to schemat ładu informatycznego, który pozwala kierownictwu uzupełnić lukę pomiędzy wymaganiami nadzoru i kontroli, kwestiami technicznymi i ryzykami biznesowymi. Umożliwia opracowanie jednoznacznej polityki i dobrych praktyk nadzoru nad IT w całej firmie. Najnowsza wersja COBIT 4.1 kładzie nacisk na zgodność z regulacjami prawnymi, pomaga firmom zwiększyć wartość osiąganą z IT, umożliwia dopasowanie IT do biznesu oraz upraszcza wdrożenie schematu COBIT. Prace we wspólnych projektach ISACA i ITGI są prowadzone z zaangażowaniem specjalistów z firm i organizacji z całego świata, również z Polski Kryteria informacji W celu spełnienia celów biznesowych, informacje muszą odpowiadać pewnym kryteriom kontrolnym, które schemat COBIT określa jako biznesowe wymogi informacji. Są to: efektywność, wydajność, poufność, integralność, dostępność, zgodność i rzetelność. W zakresie bezpieczeństwa informacji podstawowe znaczenie mają kryteria poufności i integralności. Rozliczalność w dokumentach ISACA oznacza możliwość prześledzenia, kto odpowiada za daną czynność lub zdarzenie. Zgodnie z Rozporządzeniem, przy przetwarzaniu danych osobowych obowiązują kryteria poufności, integralności i rozliczalności przetwarzanych danych. Rozliczalność oznacza właściwość urządzeń i systemów informatycznych służących do przetwarzania danych osobowych zapewniająca, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi Odniesienie do innych standardów i wytycznych W kwestiach dotyczących bezpieczeństwa informacji i systemów informatycznych polecamy również zastosowanie zasad i rekomendacji zawartych w niżej wymienionych opracowaniach. Zespół ODOSI 78 1.6.1 Inne dokumenty COBIT IT Governance Institute opublikował różne opracowania dotyczące standardów ochrony danych, m.in.: COBIT Security Baseline An Information Security Survival Kit, 2nd Edition [5] przedstawia problematykę bezpieczeństwa IT w sposób zrozumiały zarówno dla użytkownika w domu, pracownika małej czy średniej firmy jak i dla zarządu i rady nadzorczej dużego przedsiębiorstwa, COBIT Mapping Overview of International IT Guidance, 2 nd Edition [6] zawiera porównanie 14 różnych wytycznych opublikowanych na całym świecie, dotyczących konkretnych kwestii związanych z ładem i bezpieczeństwem informatycznym, COBIT Mapping: Mapping of ISO/IEC 17799:2005 With COBIT 4.0 [7] przedstawia relacje pomiędzy procesami i celami kontrolnymi zdefiniowanymi w schemacie COBIT i zapisami znanego standardu międzynarodowego Normy bezpieczeństwa informacji W zakresie zabezpieczenia poufności, integralności i dostępności informacji powszechnie znane i stosowane są: norma ISO/IEC 27001:2005, norma ISO/IEC 27002:2005, norma ISO/IEC 17799:2005, polska norma PN-ISO/IEC 17799:2007, polska norma PN-ISO/IEC-27001: Wskazówki GIODO Na swojej stronie internetowej GIODO opublikowało dokumenty zawierające praktyczne wskazówki dla administratorów danych, opracowane przez Departament Informatyki Biura Generalnego Inspektora: Wytyczne w zakresie opracowania i wdrożenia polityki bezpieczeństwa [10], Wskazówki dotyczące sposobu opracowania instrukcji określającej sposób zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych, ze szczególnym uwzględnieniem wymogów bezpieczeństwa informacji [11], Wymagania dotyczące struktur baz danych osobowych oraz funkcjonalności zarządzających nimi aplikacji [12] Odniesienie do prywatności Prywatność według Komputerowego Słownika Języka Polskiego PWN oznacza: Życie, sprawy prywatne, osobiste; poczucie bezpieczeństwa we własnym domu; prawo do życia intymnego, chronionego przed ingerencją obcych. Do prywatności odnosi się Konstytucja Rzeczypospolitej Polskiej w Artykule 47: Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Encyklopedia Britannica definiuje prywatność w sposób zbieżny z wyżej przedstawionym: Right of a person to be free from intrusion into matters of a personal nature. A person's right to privacy may be overcome by a compelling state interest. In tort law, privacy is a right not to have one's intimate life and affairs exposed to public view or otherwise invaded. Less broad protections of privacy are afforded public officials and others defined by law as public figures (e.g., movie stars). Zespół ODOSI 89 Wikipedia definiuje prywatność w sposób najbardziej chyba intuicyjny: możliwość jednostki lub grupy osób do utrzymania swych osobistych zwyczajów i zachowań z dala od widoku publicznego. Uważa się, że prawo do ochrony informacji dotyczącej osoby fizycznej wypływa z prawa do prywatności. Stosowne zapisy zostały zawarte w Artykule 51 Konstytucji RP: 1. Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby. 2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. 3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa. 4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. 5. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa. Rozwinięciem tego Artykułu jest Ustawa o ochronie danych osobowych. Zwróćmy uwagę, że we współczesnym świecie ściśle związanym z informatyką często zawęża się znaczenie słowa prywatność do spraw związanych z informacją na temat osoby. Przykładem może być wytyczna audytu ISACA dot. prywatności [9], która określa data privacy słowem privacy : Privacy means adherence to trust and obligation in relation to any information relating to an identified or identifiable individual (data subject). Management is responsible to comply with privacy in accordance with its privacy policy or applicable privacy laws and regulations. (tłum. wł. Prywatność oznacza przestrzeganie zasad zaufania i obowiązku w stosunku do jakichkolwiek danych dotyczących osoby fizycznej, która jest lub może zostać zidentyfikowana na ich podstawie (osoba, której dane dotyczą). Kierownictwo odpowiada za zgodność z wymogami dotyczącymi prywatności zawartymi w polityce prywatności firmy lub odpowiednich przepisach prawa.) 1.8. Zespół ODOSI Prace zespołu ODOSI zostały zainspirowane opublikowaniem przez ISACA w 2004r. projektu międzynarodowej wytycznej audytu systemów informatycznych pod kątem prywatności [9]. W skład zespołu ODOSI wchodzą członkowie ISACA Warsaw Chapter: Mirosław Błaszczak, CISA, Piotr Dzwonkowski, CISA, CISM, Joanna Karczewska, CISA, Sebastian Łataś, CISA, CISM. Wersja 1.0 Wytycznej została udostępniona wszystkim zainteresowanym w marcu 2005r. w celu konsultacji. Zebrane komentarze i uzupełnienia zostały wprowadzone do wersji 1.1 oraz wersji 2.0. Obecna wersja 2.1 uwzględnia uwagi zebrane przez 2 lata oraz wersję 4.1 schematu COBIT Odniesienie do europejskiego projektu e-prodat Wersja 1.1 Wytycznej została zakwalifikowana do Trzeciej Edycji Konkursu Na Najlepsze Praktyki Dotyczące Ochrony Danych Osobowych W Sektorze Administracji Publicznej zorganizowanego przez Agencję Ochrony Danych Osobowych Regionu Madrytu (hiszp. Agencia de Protección de Datos de la Comunidad de Madrid czyli APDCM). Prezentacja Wytycznej odbyła się w trakcie międzynarodowego seminarium zorganizowanego 12 grudnia 2006r. w Madrycie. Zespół ODOSI 910 APDCM jest także liderem europejskiego projektu "e-prodat: e-government i Ochrona Danych Osobowych w regionach i miastach europejskich", współfinansowanego przez Unię Europejską w ramach inicjatywy INTERREG IIIC. Podstawowe cele projektu to: wymiana wiedzy i doświadczeń w zakresie ochrony danych osobowych w instytucjach publicznych należących do różnych państw europejskich. stworzenie internetowego europejskiego Obserwatorium ochrony danych w ramach e-government w celu ustawicznego szacowania zgodności z europejskimi przepisami dotyczącymi ochrony danych oraz podnoszenia świadomości obywateli Europy w kwestiach związanych z ochroną danych, identyfikowanie najlepszych praktyk ochrony danych już wdrożonych w ramach e-government lub innych działań instytucji publicznych, oraz opracowywanie zaleceń dotyczących zwiększenia ochrony danych w sektorze publicznym. Wszelkie informacje o projekcie e-prodat i stworzonym Obserwatorium można uzyskać pod adresem: Zapraszamy także na strony serwisu: przygotowanego przez APDCM i poświęconego ochronie danych osobowych w Unii Europejskiej. Zespół ODOSI 1011 2. WYTYCZNA 2.1. Jak korzystać z Wytycznej? Wytyczną mogą stosować osoby zainteresowane ochroną danych osobowych niezależnie od zaawansowania prac oraz własnego przygotowania. Stopień przygotowania 1. Osoby, które dopiero zaczynają zajmować się ochroną danych osobowych w systemach informatycznych 2. Osoby, które już wdrożyły mechanizmy ochrony danych osobowych w systemach informatycznych (zwykle Administrator Bezpieczeństwa Informacji) 3. Osoby zarządzające firmami czy organizacjami (Administratorzy Danych Osobowych) 4. Osoby, które chcą zweryfikować zgodność z Ustawą / przeprowadzić audyt Zalecane czynności: I. Uważnie zapoznać się z Ustawą i Rozporządzeniem (najlepiej uzupełnione komentarzem) II. Zadać pytania kontrolne (zgodnie z rolą, jaka osoba pełni w firmie) z listy (rozdział 2.2) w celu ustalenia stopnia obowiązywania Ustawy i Rozporządzenia w firmie III. Wykorzystać mapowanie i stosowne Praktyki Kontrolne schematu COBIT, by ustalić co, dlaczego i jak należy wdrożyć w systemach informatycznych dla zapewnienia zgodności z UODO I. Sprawdzić, czy Ustawa i/lub Rozporządzenie były nowelizowane i uważnie zapoznać się z ewentualnymi zmianami II. Zadać wszystkie pytania kontrolne w celu ustalenia stopnia zastosowania się do Ustawy i Rozporządzenia III. Wykorzystać mapowanie i stosowne Wytyczne Zarządzania schemat COBIT do ustalenia: kluczowych mechanizmów kontrolnych, kluczowych mierników, rodzaju odpowiedzialności (RACI) za wyznaczone czynności, celów czynności, celów procesu i celów IT dla wyznaczonych procesów IT. I. Zapoznać się z Ustawą i Rozporządzeniem (najlepiej uzupełnione komentarzem) II. Uzyskać odpowiedzi na pytania kontrolne zawarte w pierwszej kolumnie listy III. Wykorzystać mapowanie i Wytyczne Zarządzania schematu COBIT do oceny poziomu dojrzałości wyznaczonych procesów IT I. Uważnie zapoznać się z Ustawą i Rozporządzeniem (najlepiej uzupełnione komentarzem) II. Zadać pytania kontrolne osobom odpowiedzialnym według kompetencji określonych w nagłówku każdej kolumny listy w celu ustalenia stopnia zastosowania się do Ustawy i Rozporządzenia III. Wykorzystać mapowanie i Wytyczne Audytu schematu COBIT do weryfikacji systemów informatycznych pod kątem zgodności z UODO Zespół ODOSI 1112 2.2. Listy pytań kontrolnych Niniejsze listy zawierają pytania kontrolne. Odpowiedzi na te pytania mogą ułatwić identyfikowanie i w razie potrzeby wprowadzanie lub ulepszanie mechanizmów kontrolnych zapobiegających naruszenie bezpieczeństwa danych osobowych, a także weryfikację zgodności przetwarzania danych osobowych z Ustawą. Pytania są ogólne, to znaczy nie wszystkie będą adekwatne dla każdej organizacji. Zainteresowani muszą sami ocenić przydatność każdego pytania w zależności od wielkości, sposobu działania, zorganizowania i poziomu dojrzałości konkretnej firmy. Wyróżnione zostały trzy grupy adresatów pytań: 1. Administrator Danych Osobowych (ADO) odpowiada za ochronę danych osobowych. Zgodnie z art.7 Ustawy, jest to organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Zespół ODOSI uznał, że w odniesieniu do dużych i średnich firm celowe jest wyróżnienie osoby odpowiedzialnej za przetwarzanie danych osobowych w powierzonym jej obszarze (np. dyrektor do spraw marketingu, finansów, kadr czy płac). Osobę tę nazwaliśmy Administratorem Zarządzającym. 2. Administrator Bezpieczeństwa Informacji (ABI) zgodnie z art.36 Ustawy jest to osoba nadzorująca przestrzeganie zasad ochrony, wyznaczona przez Administratora Danych Osobowych, chyba że on sam wykonuje te czynności, 3. Administrator Wykonawczy (np. systemu/aplikacji/serwera/danych) wykonuje bieżące czynności związane z realizacją ochrony danych osobowych w danym systemie / aplikacji. Pytania związane z kontrolą wewnętrzną i audytami zewnętrznymi zostały dopisane jako dodatkowe czynności rekomendowane na podstawie własnych doświadczeń autorów Wytycznej i dobrych praktyk stosowanych w wielu firmach. Nie są to wymogi wynikające z zapisów Ustawy. Tytuły grup pytań zawierają także odniesienie do artykułów/rozdziałów Ustawy oraz Rozporządzenia. Zespół ODOSI 1213 Lp. Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) ZBIORY DANYCH OSOBOWYCH Czy Ustawę stosuje się do naszej firmy/organizacji? Jakie dane osobowe w rozumieniu Ustawy są przetwarzane przez firmę? Czy posiadamy/przetwarzamy również (tylko) dane doraźne? Które zbiory danych zawierają dane osobowe? Czy zbiory danych zawierają dane wrażliwe? Czy istnieje lista tych zbiorów danych i gdzie jest przechowywana? Skąd wiadomo, że ta lista jest kompletna i aktualna? Czy zbiory danych podlegają rejestracji w GIODO? Czy zbiory danych, które podlegają rejestracji, zostały zarejestrowane? Czy w systemach informatycznych firmy przetwarzane są dane osobowe? Kto z członków kierownictwa jest odpowiedzialny za ochronę danych osobowych? Zakres stosowania (art. 2, 3, 3a, 6, 40) W jakim zakresie Ustawę stosuje się do naszej firmy/organizacji. Czy są jakieś wyłączenia? Jakie dane osobowe w rozumieniu Ustawy są przetwarzane przez firmę w zbiorach/ systemach/ kartotekach? Które ze zbiorów danych mają charakter zbiorów doraźnych? Które zbiory danych zawierające dane osobowe w rozumieniu Ustawy są w posiadaniu firmy? W których zborach są przechowywane dane wrażliwe? Jaką postać ma lista zbiorów danych osobowych? Gdzie jest przechowywana i jak zabezpieczana? W jaki sposób zapewnia się, że wyżej wymieniona lista jest kompletna i aktualna? Czy stosowane są mechanizmy dokumentowania zapisów? Które zbiory danych osobowych podlegają rejestracji w GIODO? Jak jest procedura przygotowania wniosków do GIODO? Jak prowadzona jest dokumentacji potwierdzająca rejestrację w GIODO? Czy i w których systemach informatycznych firmy przetwarzane są dane osobowe? Czy są to dane osobowe w rozumieniu Ustawy? Role i odpowiedzialności (art. 7, 36, 37, 33, 34) Kto z członków kierownictwa nadzoruje moją pracę jako ABI? Czy zostałem poinformowany o tym, że do zbiorów administrowanych przeze mnie stosuję się Ustawę? Jakie dane osobowe w rozumieniu Ustawy są przetwarzane w zbiorach/systemach administrowanych przeze mnie? Czy zbiory administrowane przeze mnie mają charakter doraźny, techniczny lub związany ze szkoleniami? Czy w zbiorach/systemach przeze mnie administrowanych są przetwarzane dane osobowe? Czy w zbiorach/systemach przeze mnie administrowanych są dane wrażliwe? Czy sporządzam i uaktualniam listę zbiorów danych osobowych administrowanych przeze mnie? Kiedy ostatnio aktualizowałem informacje na liście opisów zbiorów? Czy zbiory danych administrowane przeze mnie podlegają rejestracji w GIODO? Czy zbiory danych administrowane przeze mnie zostały zarejestrowane w GIODO? Czy w moim systemie przetwarzane są dane osobowe? Kto z członków kierownictwa i jest odpowiedzialny za ochronę danych osobowych? Zespół ODOSI 1314 Lp. Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) Kto odpowiada za przetwarzanie danych osobowych w jednostce nadrzędnej? Kto odpowiada za przetwarzanie danych osobowych w jednostkach podrzędnych? Kto jest formalnie wyznaczony jako Administrator Bezpieczeństwa Informacji? Czy jest formalnie ustalony zakres obowiązków ABI? W jaki sposób ABI nadzoruje przestrzeganie zasad ochrony przetwarzania danych osobowych? Czy są wyznaczeni administratorzy systemów/aplikacji przetwarzających dane osobowe? Czy znam osobę kontaktową odpowiedzialną za przetwarzanie danych osobowych w jednostce nadrzędnej? Czy odpowiadam również za przetwarzanie danych w jednostkach podrzędnych? Od kiedy pełnię funkcję ABI? Czy otrzymałem i potwierdziłem zakres swoich obowiązków jako ABI? W jaki sposób nadzoruję środki techniczne i organizacyjne chroniące dane osobowe przed osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.? Czy lista administratorów zbiorów/systemów jest tworzona i aktualna? Czy jest kompletna? Czy osoba (z jednostki nadrzędnej) posiadająca prawa administratora jest identyfikowalna i została formalnie autoryzowana do przetwarzania danych osobowych? Czy prawa administracyjne administratorów z jednostek podrzędnych są znane i kontrolowane? Kto w firmie/organizacji pełni funkcję ABI? Czy znany mi jest zakres obowiązków i uprawnień ABI w kwestiach dotyczących administrowanych przeze mnie zbiorów/systemów? W jaki sposób zastosowane środki techniczne i organizacyjne chronią dane osobowe przed nieupoważnionym, zabraniem przez osobę nieuprawnioną, zmianą, utratą, uszkodzeniem lub zniszczeniem? Czy jest mi znany mój zakres obowiązków jako administratora systemów/aplikacji zawierających bądź przetwarzających dane osobowe? 18 Kto jest upoważniony do przetwarzania danych osobowych? W jaki sposób dokonuje się upoważniania osób do przetwarzania danych? Kto przygotowuje i przechowuje dokumentację? Czy osoby mające dostęp/przetwarzające dane osobowe w administrowanych przeze mnie zbiorach/systemach otrzymały upoważnienia? 19 Kto jest upoważniony do udzielania informacji o przetwarzanych danych osobowych? W jaki sposób i kto jest upoważniony do udzielania informacji o danych osobowych przetwarzanych w firmie/organizacji? W jaki sposób i kto jest upoważniony do udzielania informacji o danych osobowych przetwarzanych w moich zbiorach/systemach? PRZETWARZANIE DANYCH OSOBOWYCH Jaki jest cel przetwarzania danych? Jaki jest zakres przetwarzania danych? Podstawy przetwarzania (rozdz. 3) Jaki jest powód przetwarzania danych, kto go akceptował? Czy powody ulegają zmianom? Jakie są zakresy przetwarzania dla poszczególnych zbiorów danych? Czy zostałem powiadomiony o celach przetwarzania danych w poszczególnych zbiorach danych, będących pod moją administracją? Jakie są zakresy przetwarzania dla poszczególnych zbiorów danych, będących pod moją administracją? Zespół ODOSI 1415 Lp Administrator Danych Osobowych lub Administrator Zarządzający Czy wymagane są zgody na przetwarzanie danych od osób, których dane dotyczą? Czy mamy zgodę na przetwarzanie danych osoby, której dane dotyczą? W jakiej formie i gdzie przechowywane są zgody na przetwarzanie? Czy dane osobowe, jakie przetwarzamy otrzymaliśmy na zasadzie przekazania od firmy trzeciej? Czy jest dopełniony obowiązek informacyjny wobec osoby, której dane dotyczą? Czy zbiory danych są prawidłowo zabezpieczone? Czy dane osobowe są kompletne i zgodne ze zgłoszonym stanem faktycznym? Czy przetwarzanie danych jest zgodne ze zgłoszonym celem i zakresem? Czy jest pewność, że ostateczne rozstrzygnięcie sprawy osoby, której dane dotyczą, nie jest wyłącznie wynikiem operacji na danych osobowych, prowadzonych w systemie informatycznym? W przypadku przetwarzania danych wrażliwych, czy są spełnione warunki dopuszczalności z art.27.2 Administrator Bezpieczeństwa Informacji (ABI) Dla których zbiorów danych wymagane są zgody osób, których dane dotyczą? W jakiej postaci i gdzie są przechowywane zgody na przetwarzanie? Czy są one zgodne z ustalonym i rzeczywistym zakresem i celem? Czy wymagane zgody na przetwarzanie danych osobowych są odpowiednio zabezpieczone i zarchiwizowane w sposób umożliwiający ich sprawne odnalezienie? Które zbiory danych przetwarzamy na zasadzie przekazania od firm trzecich? W jaki sposób dopełniono obowiązku informacyjnego wobec osób, której dane dotyczą? Czy spełnione są wymagane w Ustawie kryteria bezpieczeństwa w stosunku do przetwarzanych zbiorów danych? Zasady przetwarzania (rozdz. 3) W jaki sposób zapewnia się, że dane osobowe przetwarzane przez firmę są kompletne i zgodne ze zgłoszonym stanem faktycznym? W jaki sposób zapewnia się, że przetwarzanie danych jest zgodne ze zgłoszonym celem i zakresem? Czy nie posiadamy systemów informatycznych, w których ostateczne rozstrzygnięcie sprawy osoby, której dane dotyczą, jest wyłącznie wynikiem operacji na danych osobowych? Czy i w jaki sposób jest weryfikowane spełnianie szczególnych warunków przetwarzania danych wrażliwych? Jakie są to warunki? Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) Czy dla zbiorów danych, będących pod moją administracją wymagane są zgody osób, których dane dotyczą? Czy w stosunku do administrowanych przeze mnie zbiorów danych wymagane jest potwierdzenie zgody na przetwarzanie? Czy zbiory, które administruję zostały przekazane od firm trzecich? Czy spełnione są wymagane kryteria bezpieczeństwa w stosunku do administrowanych przeze mnie zbiorów danych? Czy dane osobowe przetwarzane w zbiorach/systemach będących pod moją administracją są kompletne i zgodne ze zgłoszonym stanem faktycznym? Czy przetwarzanie danych w zbiorach/systemach administrowanych przeze mnie jest zgodne ze zgłoszonym celem i zakresem? Czy jestem pewien, że w systemach będących pod moją administracją, ostateczne rozstrzygnięcie sprawy osoby, której dane dotyczą, nie jest wyłącznie wynikiem operacji na danych osobowych? Czy w zbiorach/systemach administrowanych przeze mnie są przetwarzane dane wrażliwe? Zespół ODOSI 1516 Lp. Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) 32 Czy stosowane numery porządkowe nie zawierają ukrytych znaczeń (Art. 28)? Czy we wszystkich zbiorach stosowane numery porządkowe nie zawierają ukrytych znaczeń? Czy w zbiorach danych administrowanych przeze mnie stosowane numery porządkowe nie zawierają ukrytych znaczeń? Czy są ustalone procedury udostępniania danych osobowych (nie do zbioru)? Czy jest weryfikowane stosowanie procedur udostępniania danych? Czy są ustalone procedury odmowy udostępnienia danych (nie do zbioru)? Czy przekazujemy administrowane zbiory danych osobowych innym podmiotom? Czy prowadzimy dzienniki przekazywania? Czy do przekazania danych mamy zgodę osoby, której dane dotyczą? Czy dane osobowe administrowane przez naszą firmę są przetwarzane przez inny podmiot? Czy jest podpisana umowa na powierzanie danych? Czy są ustalone procedury powierzania przetwarzania danych innemu podmiotowi? Czy w umowie powierzenia przetwarzania określony jest cel i zakres przetwarzania? Udostępnianie danych (art.29, 30, 35) Jakie są procedury udostępniania danych osobowych? W jaki sposób jest weryfikowane stosowanie procedur udostępniania danych? Jakie są procedury odmowy udostępnienia danych? Przekazywanie danych (art. 38) Które zbiory danych osobowych przekazujemy innym podmiotom? Czy są ustalone procedury przekazywania? Czy są zdefiniowane zakresy danych? Czy dzienniki przekazywania zawierają zakresy, zbiory przekazywane, daty, odbiorcę? W jakiej formie przechowywane są zgody osób na przekazywanie danych? Powierzenie przetwarzania danych (art. 31) Które zbiory (elementy zbiorów) danych osobowe są przetwarzane przez inne podmioty? Czy dla wszystkich powierzonych do przetwarzania zbiorów danych są podpisane umowy? Czy procedury powierzania przetwarzania są adekwatne do administrowanych zbiorów danych? Czy cel i zakres przetwarzania określony w umowie powierzenia jest zgodny z celami i zakresem naszego przetwarzania? Czy w administrowanym przeze mnie zbiorze/systemie są wdrożone mechanizmy udostępniania danych? Czy w administrowanym przeze mnie zbiorze/systemie są wdrożone mechanizmy rejestracji udostępniania danych? Czy zbiory, którymi administruję są przekazywane innym podmiotom? Czy są ustalone formaty przekazywania? Czy są zdefiniowane zakresy danych? Czy uczestniczę w procesie przekazywania danych i prowadzę dziennik przekazywania? Czy zbiory administrowane przeze mnie są powierzane innym podmiotom? Czy są mi znane fragmenty umów definiujące metody powierzania danych dotyczących administrowanych przeze mnie? Czy znane mi są procedury powierzania danych przeze mnie administrowanych? Zespół ODOSI 1617 Lp Administrator Danych Osobowych lub Administrator Zarządzający Czy w umowie zawarte są klauzule o możliwości dalszego powierzenia? Czy podmiot, któremu powierzono przetwarzanie, stosuje wymagane zabezpieczenia? Czy jest weryfikowane bezpieczeństwo powierzanych danych? Czy sposób przekazywania danych powierzanych spełnia wymogi bezpieczeństwa? Czy naszej firmie powierzono dane do przetwarzania? Czy jest określony cel i zakres przetwarzania powierzonych nam danych? Czy są określone procedury przekazywania nam powierzonych danych? Czy powierzane dane wymagają szczególnych metod ochrony? Czy dane przez nas administrowane są przetwarzane w państwie trzecim? Czy zbiory są przekazywane do państwa trzeciego? Czy są spełnione szczególne warunki przekazywania do państwa trzeciego? Administrator Bezpieczeństwa Informacji (ABI) Czy klauzule dotyczące dalszego powierzania są zgodne z naszym zakresem i zewnętrznymi uwarunkowaniami prawnymi? W jaki sposób podmiot otrzymujący powierzane dane zapewnia o zachowaniu bezpieczeństwa? W jaki sposób jest weryfikowane bezpieczeństwo przekazywanych danych? W jaki sposób jest zapewnione bezpieczeństwo przekazywania danych? Jakie zbiory danych powierzono nam do przetwarzania? Kto nam powierzył dane? Jaki jest cel i zakres przetwarzania powierzanych danych? Jakie są procedury przekazywania powierzonych danych? Jakie są wymagane szczególne metody ochrony i jakich danych (zakresów danych) one dotyczą? Państwa trzecie (art. 31a, rozdz. 7) Jakie dane są przetwarzane w państwie trzecim? Kto jest przedstawicielem podmiotu z państwa trzeciego w RP? Jakie są procedury przekazywania zbiorów do państwa trzeciego? Czy państwo trzecie, w którym przetwarzane są dane, jest na liście autoryzowanej przez UE? Jakie szczególne warunki są spełnione, aby umożliwić przekazanie danych do państwa trzeciego? Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) Czy biorę udział w weryfikacji zabezpieczania danych powierzanych? Czy dane przekazuję w sposób bezpieczny? Czy w moim systemie/aplikacji przetwarzane są dane powierzone? Czy znany mi jest cel i zakres przetwarzania powierzanych danych? Czy znane mi są procedury powierzania danych do moich systemów? Czy znane mi są szczególne procedury ochrony powierzonych danych w moich systemach? Czy dane administrowane przeze mnie są przetwarzane w państwie trzecim? Czy przekazuję zbiory do państwa trzeciego? Do których zbiorów (zakresów) odnoszą się szczególne warunki przekazania do państwa trzeciego? Zespół ODOSI 1718 Lp. Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) ZABEZPIECZENIE DANYCH OSOBOWYCH Zabezpieczenie organizacyjne (art.31, rozdz. 5) i Rozporządzenie Czy jest dokonywana regularna analiza ryzyka informacyjnego? Czy i jakie rozpoznano zagrożenia dotyczące ochrony danych? Czy zidentyfikowano właściwy poziom bezpieczeństwa danych przetwarzanych w systemach? Czy jest prowadzona wymagana dokumentacja? Czy pracownicy wyznaczeni do dostępu do danych osobowych podpisują zobowiązania do ochrony danych osobowych. Czy do przetwarzania danych dopuszczone są wyłącznie osoby upoważnione? Czy jest prowadzona ewidencja osób upoważnionych? W jakiej formie jest prowadzona ewidencja osób upoważnionych? Czy zostały wprowadzone mechanizmy rozliczalności przetwarzania danych? Czy upoważnione osoby są zobowiązywane do zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia? Jaka jest stosowana metodyka analizy ryzyka informacyjnego? Jakie zagrożenia dotyczą określonych kategorii danych? Czy dla każdego zbioru danych określono wymagany poziom bezpieczeństwa? Jaka dokumentacja jest prowadzona opisującą sposób przetwarzania danych i środki techniczne i organizacyjne zapewniające ochronę danych? Gdzie są przechowywane zobowiązania pracowników do ochrony danych osobowych? Czy są weryfikowane? W jaki sposób dokonywane jest upoważnianie osób? Czy osoby przetwarzające dane osobowe otrzymały upoważnienia? Czy potwierdzone kopie upoważnienia są zarchiwizowane? Czy prowadzona ewidencja osób upoważnionych zawiera: imię i nazwisko osoby upoważnionej, datę nadania i ustania oraz zakres upoważnienia oraz identyfikator w systemach informatycznych? Jakie są stosowane mechanizmy kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone lub zmodyfikowane i komu są przekazywane? W jaki sposób są gromadzone potwierdzenia zobowiązania do zachowania tajemnicy? Czy uczestniczę w procesach analizy ryzyka dotyczących administrowanych przeze mnie systemów/aplikacji? Czy i jakie zagrożenia dotyczą moich systemów? Jaki poziom bezpieczeństwa jest wymagany dla każdego zbioru w moich systemach? Jaką prowadzę dokumentację opisującą sposoby przetwarzania danych i środki techniczne i organizacyjne zapewniające ochronę danych w moich systemach? Jakie osoby są upoważnione do dostępu i przetwarzania danych w moich systemach? Czy ja dostałem takie upoważnienie? Czy mam możliwość weryfikacji upoważnień do moich systemów? Czy w moich systemach są zaimplementowane i stosowane mechanizmy rozliczalności przetwarzania danych? Zespół ODOSI 1819 Lp. Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) Czy organizacja posiada Politykę Bezpieczeństwa Informacji (w sensie ISO 27001/17799)? Czy w Polityce Bezpieczeństwa Informacji zawarta jest polityka bezpieczeństwa danych osobowych? Czy jest opracowana i zatwierdzona polityka bezpieczeństwa ochrony danych osobowych? Czy polityka bezpieczeństwa ochrony danych osobowych jest aktualna? Czy dokumentacja opisująca sposób przetwarzania i zabezpieczenia danych jest prowadzona prawidłowo? Czy jest opracowana i zatwierdzona instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych? Czy "Instrukcja" jest aktualna? Czy dokumentacja została wdrożona? Czy osoby upoważnione zostały zapoznane z dokumentacją przetwarzania? Czy są dostępne szkolenia z zakresu ochrony danych osobowych dla pracowników? Dokumentacja i szkolenia (art.39a oraz Rozporządzenie) Czy uczestniczę w tworzeniu i aktualizowaniu Polityki Bezpieczeństwa Informacji? Jakie elementy ogólnej Polityki Bezpieczeństwa Informacji dotyczą ochrony danych osobowych? Czy polityka bezpieczeństwa zawiera wymagane Rozporządzeniem informacje? (zgodnie z par.4) Kiedy i w jaki sposób była weryfikowana ostatnio polityka bezpieczeństwa? Czy istniejąca dokumentacja jest aktualna? Czy jest formalnie zatwierdzona? Czy zawiera okres ważności/weryfikacji? Czy "Instrukcja" zawiera wymagane Rozporządzeniem informacje? (zgodnie z par.5) Kiedy i w jaki sposób była weryfikowana ostatnio "Instrukcja"? W jaki sposób została wdrożona polityka bezpieczeństwa oraz "Instrukcja"? Jakie jest potwierdzenie zapoznania się z dokumentacją przez osoby upoważnione? Czy jest prowadzona dodatkowa dokumentacja opisująca zasady przetwarzania i zabezpieczania danych? Czy jestem odpowiedzialny za szkolenia? Czy znam Politykę Bezpieczeństwa Informacji? Czy procedury i instrukcje ogólnej Polityki Bezpieczeństwa informacji odnoszą się do ochrony danych osobowych? Czy uczestniczę w procesie opracowywania polityki bezpieczeństwa? Czy uczestniczę w procesie aktualizacji i weryfikacji polityki bezpieczeństwa? Czy mam dostęp do aktualnej dokumentacji? Czy uczestniczę w procesie opracowywania "Instrukcji"? Czy uczestniczę w procesie aktualizacji i weryfikacji "Instrukcji"? Czy znana jest mi polityka bezpieczeństwa oraz "Instrukcja"? Czy zapoznałem się z dokumentacją? Czy znana jest mi dodatkowa dokumentacja? Czy uczestniczyłem w szkoleniach dotyczących ochrony danych w naszej firmie/organizacji? 76 Zabezpieczenie techniczne poufność (art. 39a oraz Rozporządzenie) Czy są wyznaczone obszary przetwarzania danych osobowych? Czy są wyznaczone obszary przetwarzania danych osobowych? Czy znam obszary przetwarzania danych osobowych? Zespół ODOSI 1920 Lp Administrator Danych Osobowych lub Administrator Zarządzający Administrator Bezpieczeństwa Informacji (ABI) Czy dostęp do obszarów przetwarzania danych jest zabezpieczony i kontrolowany? Jakie są fizyczne zabezpieczenia instalacji informatycznych, baz danych i nośników zawierających dane osobowe? Kto jest odpowiedzialny za fizyczne bezpieczeństwo instalacji informatycznych, baz danych i nośników zawierających dane osobowe? Czy osoby nieupoważnione przebywające w obszarach przetwarzania danych osobowych zawsze są pod nadzorem osób upoważnionych? Czy systemy informatyczne mają kontrolę dostępu zapewniającą jednoznaczną identyfikację i uwierzytelnianie? W jaki sposób są weryfikowane nadane uprawnienia dostępu do systemów? Czy do uwierzytelniania użytkowników stosowane są zasady dotyczące długości i składni haseł oraz okresu ich ważności stosownie do poziomu bezpieczeństwa? Administrator Wykonawczy (np. systemu/aplikacji /serwera/danych) Czy moje systemy/aplikacje są w chronionych obszarach? Jakie zabezpieczenia fizyczne stosuje się bezpośrednio do moich systemów? Kto jest odpowiedzialny za fizyczne bezpieczeństwo moich systemów? Czy w moim obszarze przetwarzania danych osobowych osoby nieupoważnione są pod nadzorem? Czy administrowane przeze mnie systemy mają kontrolę dostępu zapewniającą jednoznaczną identyfikację i uwierzytelnianie? Czy w moim systemie są weryfikowane uprawnienia dostępu? Jakie zasady uwierzytelniania użytkowników stosuję w moich systemach? Czy nośniki danych osobowych przed ich likwidacją, naprawą bądź przekazaniem osobom nieuprawnionym są pozbawione zapisów? Czy do przesyłania danych musimy stosować metody kryptograficzne? Czy w dostępie do/z sieci publicznej stosowane są zabezpieczenia fizyczne i logiczne? Czy dla urządzeń przenośnych (np. laptopów) zawierających dane osobowe stosowane są szczególne metody zabezpieczeń? Czy nośniki danych z moich systemów przed ich likwidacją, naprawą bądź przekazaniem osobom nieuprawnionym są pozbawione zapisów? Jakie metody kryptograficzne są używane do przesyłania danych z/do moich systemów? Jakie zabezpieczenia fizyczne i logiczne w dostępie do/z sieci publicznej są stosowane do zabezpieczenia moich systemów? Czy dane z moich systemów są przetwarzane na urządzeniach przenośnych? Na czym polegają szczególne metody zabezpieczeń urządzeń przenośnych? Zespół ODOSI 20 Pokazać jeszcze
Dz.U.2004.100.1024 ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, Bardziej szczegółowo Bezpieczeństwo teleinformatyczne danych osobowych
Bezpieczna Firma Bezpieczeństwo teleinformatyczne danych osobowych Andrzej Guzik stopień trudności System informatyczny, w którym przetwarza się dane osobowe, powinien oprócz wymagań wynikających z przepisów Bardziej szczegółowo Marcin Soczko. Agenda
POLITYKA BEZPIECZEŃSTWA Administrator Danych... Imię i nazwisko właściciela firmy Dnia... data wdrożenia w przedsiębiorstwie o nazwie... Nazwa przedsiębiorstwa Zgodnie z ROZPORZĄDZENIEM MINISTRA SPRAW Bardziej szczegółowo Przykładowy wzór Wystąpienia GIODO dotyczy zastosowanych środków bezpieczeństwa* Wystąpienie o dokonanie sprawdzenia
POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH WRAZ Z INSTRUKCJA ZARZĄDZANIA ZINTEGROWANĄ PLATFORMĄ ELF24 FIRMY ELF24 SP. Z O.O. SP. K. Z SIEDZIBĄ W POZNANIU Poznań, czerwiec 2015 SPIS TREŚCI SPIS TREŚCI... Bardziej szczegółowo Szkolenie otwarte 2016 r.
Warsztaty Administratorów Bezpieczeństwa Informacji Szkolenie otwarte 2016 r. PROGRAM SZKOLENIA: I DZIEŃ 9:00-9:15 Powitanie uczestników, ustalenie szczególnie istotnych elementów warsztatów, omówienie Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ W CHRUŚLINIE
ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA w sprawie wyznaczenia administratora bezpieczeństwa informacji oraz zastępców administratora bezpieczeństwa informacji w Urzędzie Gminy w Stegnie. Na podstawie Bardziej szczegółowo SYSTEM OCHRONY DANYCH OSOBOWYCH W PRZEDSIĘBIORSTWIE INFORMACJE OGÓLNE
SYSTEM OCHRONY DANYCH OSOBOWYCH W PRZEDSIĘBIORSTWIE INFORMACJE OGÓLNE O prawidłowym systemie ochrony danych osobowych w przedsiębiorstwie można mówić wtedy, gdy dopełniane są wszystkie obowiązki administratora Bardziej szczegółowo Obowiązki lekarza, lekarza dentysty wykonującego działalność leczniczą w ramach praktyki zawodowej związane z ochroną danych osobowych
Obowiązki lekarza, lekarza dentysty wykonującego działalność leczniczą w ramach praktyki zawodowej związane z ochroną danych osobowych Podstawa prawna: - ustawa z dnia 29 sierpnia 1997 r. o ochronie danych Bardziej szczegółowo Jakie są podstawowe obowiązki wynikające z ustawy o ochronie danych osobowych?
Jakie są podstawowe obowiązki wynikające z ustawy o ochronie danych osobowych? Przypomnijmy. Ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych i prawa osób Bardziej szczegółowo PRAWNE UWARUNKOWANIA WYKORZYSTANIA DANYCH INDYWIDUALNYCH W CELU EWALUACJI POLITYKI ZATRUDNIENIA W POLSCE
PRAWNE UWARUNKOWANIA WYKORZYSTANIA DANYCH INDYWIDUALNYCH W CELU EWALUACJI POLITYKI ZATRUDNIENIA W POLSCE Warsztat Międzynarodowe doświadczenia w zakresie wykorzystania i ochrony administracyjnych danych Bardziej szczegółowo Polityka Bezpieczeństwa Danych Osobowych. w sklepie internetowym kozakominek.pl prowadzonym przez firmę Worldflame Sp. z o. o.
Polityka Bezpieczeństwa Danych Osobowych w sklepie internetowym kozakominek.pl prowadzonym przez firmę Worldflame Sp. z o. o. Spis treści 1. Ogólne zasady przetwarzania danych osobowych... 3 2. Analiza Bardziej szczegółowo Polityka bezpieczeństwa przetwarzania danych osobowych w VII L.O. im. Juliusza Słowackiego w Warszawie.
DZIENNIK URZĘDOWY MINISTRA SKARBU PAŃSTWA Warszawa, dnia 24 kwietnia 2015 r. Pozycja 14 ZARZĄDZENIE NR 14 MINISTRA SKARBU PAŃSTWA 1) z dnia 23 kwietnia 2015 r. w sprawie ochrony danych osobowych w Ministerstwie Bardziej szczegółowo mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji
mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji Wyrok Trybunału Konstytucyjnego 2 Warszawa, dnia 9 kwietnia 2015 r. WYROK Bardziej szczegółowo Szkolenie podstawowe z ustawy o ochronie danych osobowych dla wolontariuszy świadczących pomoc na rzecz podopiecznych Ośrodka Pomocy Społecznej
Załącznik Nr 3 do zarządzenia Nr 5/2012 Dyrektora Ośrodka Kultury w Drawsku Pomorskim z dnia 1 marca 2012 r. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM SŁUŻĄCYM DO PRZETWARZANIA DANYCH OSOBOWYCH W Bardziej szczegółowo ZARZĄDZENIE NR 473/2015 PREZYDENTA MIASTA KIELCE. z dnia 29 grudnia 2015 r.
ZARZĄDZENIE NR 473/2015 PREZYDENTA MIASTA KIELCE w sprawie powołania i określenia zadań Administratora Bezpieczeństwa Informacji, Administratora Systemów Informatycznych oraz Lokalnych Administratorów Bardziej szczegółowo ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI
Załącznik nr 1 do Zarządzenia Burmistrza Miasta Kościerzyna nr 0050.3/2016 z dnia 8 stycznia 2016 roku POLITYKA BEZPIECZEŃSTWA INFORMACJI Właściciel dokumentu Sławomir Szkobel..................................... Bardziej szczegółowo ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r.
ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r. w sprawie Polityki bezpieczeństwa przetwarzania danych osobowych w Urzędzie Gminy Świętajno Na podstawie art. 36 ust. 2 Ustawy z dnia Bardziej szczegółowo Jak zorganizować szkolną infrastrukturę informatyczną (sieć informatyczną) Tadeusz Nowik
Jak zorganizować szkolną infrastrukturę informatyczną (sieć informatyczną) Tadeusz Nowik Program 1. Strategia bezpieczeństwa w szkole/placówce. 2. Realizacja polityki bezpieczeństwa infrastruktury IT. Bardziej szczegółowo KONIECZNE ZMIANY W PRZEPISACH ROZPORZĄDZENIA Z PUNKTU WIDZENIA GIODO
KONIECZNE ZMIANY W PRZEPISACH ROZPORZĄDZENIA Z PUNKTU WIDZENIA GIODO Andrzej Kaczmarek BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH 11. 05. 2009 r. Warszawa Generalny Inspektor Ochrony Danych Bardziej szczegółowo Załącznik Nr 2 do ZARZĄDZENIA NR 568/2016 PREZYDENTA MIASTA SOPOTU z dnia 12 maja 2016 r. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM
Załącznik Nr 2 do ZARZĄDZENIA NR 568/2016 PREZYDENTA MIASTA SOPOTU z dnia 12 maja 2016 r. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM Administrator Danych Osobowych PREZYDENT MIASTA SOPOTU Dnia 12 maja Bardziej szczegółowo Szkolenie : Administrator Bezpieczeństwa Informacji (2 dni)
ZRBS/45/2015 Warszawa, dnia 05.06. Szanowni Państwo, Zarząd Banku Spółdzielczego Związek Rewizyjny Banków Spółdzielczych im. F. Stefczyka realizując swoją statutową działalność przesyła ofertę na szkolenie Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA
Zarządzenie Nr 134/05 Starosty Krakowskiego z dnia 27 grudnia 2005r. - w sprawie zmiany Zarządzenia Starosty Krakowskiego Nr 40/99 z dnia 19 sierpnia 1999r. w sprawie ochrony danych osobowych, stosowanych Bardziej szczegółowo Podstawowe pytania o bezpieczeństwo informacji i cyberbezpieczeństwo w jednostkach sektora finansów publicznych
Opracowanie z cyklu Polskie przepisy a COBIT Podstawowe pytania o bezpieczeństwo informacji i cyberbezpieczeństwo w jednostkach sektora finansów publicznych Czerwiec 2016 Opracowali: Joanna Karczewska Bardziej szczegółowo PROCEDURA PRZECHOWYWANIA I PRZETWARZANIA DANYCH OSOBOWYCH W OŚRODKU MEDIACJI INIGO
PROCEDURA PRZECHOWYWANIA I PRZETWARZANIA DANYCH OSOBOWYCH W OŚRODKU MEDIACJI INIGO 1. Ilekroć w procedurze jest mowa o: 1) zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych Bardziej szczegółowo Zarządzenie nr 14 Rektora Uniwersytetu Jagiellońskiego z 10 lutego 2006 roku
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl SPIS TREŚCI I. POSTANOWIENIA OGÓLNE... 2 II. DEFINICJA BEZPIECZEŃSTWA INFORMACJI... 2 III. ZAKRES STOSOWANIA... Bardziej szczegółowo Ochrona wrażliwych danych osobowych
Pełnosprawny Student II Kraków, 26-27 listopada 2008 r. Ochrona wrażliwych danych osobowych Daniel Wieszczycki Datasec Consulting Podstawowe akty prawne Konwencja Rady Europy Nr 108 z dnia 28 stycznia Bardziej szczegółowo GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH Michał Serzycki D E C Y Z J A. DIS/DEC- 877/31613/09 dot. DIS-K-421/43/09
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH Michał Serzycki Warszawa, dnia 31 sierpnia 2009 r. DIS/DEC- 877/31613/09 dot. DIS-K-421/43/09 D E C Y Z J A Na podstawie art. 104 1 ustawy z dnia 14 czerwca Bardziej szczegółowo INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM służącym do przetwarzania danych osobowych w Urzędzie Gminy Ostaszewo.
Załącznik nr 2 do zarządzenia nr 39/2015 Wójta Gminy Ostaszewo z dnia 27 maja 2015 r. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM służącym do przetwarzania danych osobowych w Urzędzie Gminy Ostaszewo Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA INFORMACJI 1-2 SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ Z SIEDZIBĄ W WARSZAWIE
Warszawa 2015-07-14 POLITYKA BEZPIECZEŃSTWA INFORMACJI Zgodnie z Ustawą o ochronie danych osobowych (Dz.U. 2014 poz. 1182) 1-2 SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ Z SIEDZIBĄ W WARSZAWIE Spis treści: Bardziej szczegółowo REKTORA UNIWERSYTETU RZESZOWSKIEGO z dnia 17.02.2012r.
Rektor Uniwersytetu Rzeszowskiego al. Rejtana 16 C; 35 959 Rzeszów tel.: + 48 17 872 10 00 (centrala) + 48 17 872 10 10 fax: + 48 17 872 12 65 e-mail: rektorur@univ.rzeszow.pl ZARZĄDZENIE Nr 13/2012 REKTORA Bardziej szczegółowo Regulamin Ochrony Danych Osobowych w Stowarzyszeniu Ogrodowym KMITA w Zabierzowie
Regulamin Ochrony Danych Osobowych w Stowarzyszeniu Ogrodowym KMITA w Zabierzowie Zatwierdzony Uchwałą nr 16/11/2015 z dnia 01-08-2015 S P I S TREŚCI I. POLITYKA BEZPIECZEŃSTWA...4 Pojęcia podstawowe...4 Bardziej szczegółowo Dane osobowe w data center
Dane osobowe w data center obowiązki klienta i obowiązki dostawcy Jarosław Żabówka 2 Dlaczego chronimy dane osobowe? A dlaczego ja mam dbać o te dane, tylko dlatego, że tak sobie ustawodawca wymyślił Prezes Bardziej szczegółowo Biuro Generalnego Inspektora Ochrony Danych Osobowych. Ochrona Danych Osobowych w Polsce 10 lat doświadczeń. Andrzej Kaczmarek
Biuro Generalnego Inspektora Ochrony Danych Osobowych Ochrona Danych Osobowych w Polsce 10 lat doświadczeń Andrzej Kaczmarek A.Kaczmarek SECURE 2007 1 Rozwój technologii a Ochrona Danych Osobowych w Polsce Bardziej szczegółowo Promotor: dr inż. Krzysztof Różanowski
Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001 na przykładzie Urzędu Miejskiego w Bielsku-Białej Gliwice, dn. 13.03.2014r. System Zarządzania Bezpieczeństwem Bardziej szczegółowo Rodzaje danych (informacji) m.in.: Podmioty przetwarzające dane: podmioty publiczne, podmioty prywatne.
Rodzaje danych (informacji) m.in.: Dane finansowe Dane handlowe Dane osobowe Dane technologiczne Podmioty przetwarzające dane: podmioty publiczne, podmioty prywatne. Przetwarzane dane mogą być zebrane Bardziej szczegółowo weryfikację prawidłowości zapisów dokumentacji zgodnie z ustawą o ochronie danych osobowych (t.j. Dz. U. z 2014 r. poz. 1182 z późn.zm.
Poniżej przedstawiamy szczegółowy zakres usług dotyczących realizacji procedur z zakresu ochrony danych osobowych. AUDIT Audyt w placówce obejmuje w szczególności: weryfikację obszarów przetwarzania danych Bardziej szczegółowo Polityka bezpieczeństwa w zakresie ochrony danych osobowych
Polityka bezpieczeństwa w zakresie ochrony danych osobowych Polska Fundacja Przeciwko Nepotyzmowi, ul. 11 Listopada 22, 05-070 Sulejówek Data wejścia w życie: 02 lipca 2015 r. 1. Administrator Danych Osobowych Bardziej szczegółowo Załącznik nr 7 do SIWZ OP-IV.272.172.2014.PID POROZUMIENIE. w sprawie powierzenia przetwarzania danych osobowych
Załącznik nr 7 do SIWZ POROZUMIENIE w sprawie powierzenia przetwarzania danych osobowych zawarta w dniu. 2015 roku, w Lublinie pomiędzy: Województwem Lubelskim, przy ul. Spokojnej 4, 20-074 Lublin reprezentowanym Bardziej szczegółowo Przetwarzanie danych osobowych w chmurze
Przetwarzanie danych osobowych w chmurze Obalamy mity Jarosław Żabówka 2 Dlaczego chronimy dane osobowe? Czy organizacja ma obowiązek dbać o swoje bezpieczeństwo? A dlaczego ja mam dbać o te dane, tylko Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA INFORMACJI URZĘDU GMINY W KIKOLE
Załącznik nr 2 do Zarządzenia nr 34/08 Wójta Gminy Kikół z dnia 2 września 2008 r. w sprawie ochrony danych osobowych w Urzędzie Gminy w Kikole, wprowadzenia dokumentacji przetwarzania danych osobowych Bardziej szczegółowo ABI nie tylko audytor i koordynator. Wykonywanie przez ABI innych obowiązków niż określone w ustawie o ochronie danych osobowych.
ABI nie tylko audytor i koordynator Wykonywanie przez ABI innych obowiązków niż określone w ustawie o ochronie danych osobowych Andrzej Rutkowski Stowarzyszenie Administratorów Bezpieczeństwa Informacji Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA PRZETWARZANIA DANYCH OSOBOWYCH w Urzędzie Gminy Miłkowice
Załącznik Nr 2 do Zarządzenia Nr 20/2008 Wójta Gminy Miłkowice z Dnia 2 kwietnia 2008r. w sprawie wprowadzenia do użytku służbowego Instrukcji zarządzania systemami informatycznymi, służącymi do przetwarzania Bardziej szczegółowo OCHRONA DANYCH OSOBOWYCH W BIBLIOTECE J U S T Y N A J A N K O W S K A
Załącznik nr 1 do zarządzenia nr 124 Rektora UMK z dnia 19 października 2010 r. Polityka bezpieczeństwa danych osobowych 1. Cel i zakres W związku z prowadzoną działalnością, Uniwersytet Mikołaja Kopernika Bardziej szczegółowo REGULAMIN. organizacji i przetwarzania danych osobowych.
1 Załącznik nr 3 do Zarządzenia nr 243/09 Burmistrza Michałowa z dnia 14 września 2009 r. REGULAMIN organizacji i przetwarzania danych osobowych. Rozdział 1. Postanowienia ogólne. Rozdział 2. Ogólne zasady Bardziej szczegółowo Wszystkie poniższe numery artykułów dotyczą ustawy o ochronie danych osobowych.
Zestawienie zmian w ustawie o ochronie danych osobowych, które weszły w życie z dniem 1 stycznia 2015 r. na mocy ustawy z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej. Wszystkie Bardziej szczegółowo PolGuard Consulting Sp.z o.o. 1
PRAKTYCZNE ASPEKTY PRZETWARZANIA DANYCH OSOBOWYCH po 1 stycznia 2015r. Prowadzący: Robert Gadzinowski Ekspert akredytowany przez PARP Phare 2002 Program: Dostęp do innowacyjnych usług doradczych Działanie: Bardziej szczegółowo Załącznik do zarządzenia nr16 /2010 Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
Załącznik do zarządzenia nr16 /2010 Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM SŁUŻĄCYM DO PRZETWARZANIA DANYCH Bardziej szczegółowo Załącznik do zarządzenia nr 29/2005/2006 Obowiązuje od 23.06.2006 r. POLITYKA BEZPIECZEŃSTWA
Załącznik nr 3 do Zarządzenia nr 1/2013 Rektora Collegium Mazovia Innowacyjnej Szkoły Wyższej z dnia 31 stycznia 2013 r. INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ Bardziej szczegółowo Umowa nr..- /15. o powierzeniu przetwarzania danych osobowych zawarta w dniu... 2015 r. w Poznaniu pomiędzy:
Umowa nr..- /15 o powierzeniu przetwarzania danych osobowych zawarta w dniu... 2015 r. w Poznaniu pomiędzy:., wpisanym do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy.. w Poznaniu, VIII Wydział Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA KRAJOWEGO REJESTRU KLIENTÓW HOTELOWYCH sp. z o.o.. Art. 1 Postanowienia ogólne
Załącznik nr 1 do Regulaminu KRKH sp. z o.o. POLITYKA BEZPIECZEŃSTWA KRAJOWEGO REJESTRU KLIENTÓW HOTELOWYCH sp. z o.o.. Art. 1 Postanowienia ogólne Zgodnie z art. 39a ustawy z dnia 29 sierpnia 1997 r. Bardziej szczegółowo Przetwarzanie danych osobowych w przedsiębiorstwie
Przetwarzanie danych osobowych w przedsiębiorstwie Kwestię przetwarzania danych osobowych reguluje ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Danymi osobowymi w rozumieniu niniejszej Bardziej szczegółowo POLITYKA ZARZĄDZANIA SYSTEMEM MONITORINGU MIEJSKIEGO SŁUŻĄCYM DO PRZETWARZNANIA DANYCH OSOBOWYCH MONITORING MIEJSKI W RADOMIU
Załącznik Nr 1 Do Zarządzenia Nr 33573/2013 Prezydenta Miasta Radomia Z dnia 14 marca 2013 r. POLITYKA ZARZĄDZANIA SYSTEMEM MONITORINGU MIEJSKIEGO SŁUŻĄCYM DO PRZETWARZNANIA DANYCH OSOBOWYCH MONITORING Bardziej szczegółowo MINISTERSTWO ADMINISTRACJI I CYFRYZACJI
MINISTERSTWO ADMINISTRACJI I CYFRYZACJI S y s t e m Z a r z ą d z a n i a B e z p i e c z e ń s t w e m I n f o r m a c j i w u r z ę d z i e D e f i n i c j e Bezpieczeństwo informacji i systemów teleinformatycznych Bardziej szczegółowo Warszawa, 17 marca 2014 r.
Warszawa, 17 marca 2014 r. Stanowisko Zespołu Ekspertów powołanego przez GIODO, dotyczące potrzeby zmiany art. 39a ustawy o ochronie danych osobowych (zawierającego delegację do wydania rozporządzenia) Bardziej szczegółowo Kontrola zarządcza stanowi ogół działań podejmowanych dla zapewnienia realizacji celów w sposób zgodny z prawem, efektywny, oszczędny i terminowy.
ANKIETA / KWESTIONARIUSZ DLA JEDNOSTEK PODLEGŁYCH / NADZOROWANYCH PRZEZ MINISTRA NAUKI I SZKOLNICTWA WYŻSZEGO W ZAKRESIE STOSOWANIA STANDARDÓW KONTROLI ZARZĄDCZEJ Kontrola zarządcza stanowi ogół działań Bardziej szczegółowo BEZPIECZEŃSTWO DANYCH OSOBOWYCH PRZETWARZANYCH PRZY UŻYCIU SYSTEMÓW INFORMATYCZNYCH
BEZPIECZEŃSTWO DANYCH OSOBOWYCH PRZETWARZANYCH PRZY UŻYCIU SYSTEMÓW INFORMATYCZNYCH Tomasz Soczyński Zastępca Dyrektora Departamentu Informatyki BIURO Generalnego Inspektora Ochrony Danych Osobowych Generalny Bardziej szczegółowo 1) Instrukcji o zasadach pracy biurowej w resorcie obrony narodowej (sygn. Szt. Gen. 1537/2002),
1. WSTĘP W odróżnieniu od informacji niejawnych, których ochrona i tryb udostępniania określa szczegółowo ustawa z 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. Nr 11, poz. 95 z późn. zm.) Bardziej szczegółowo WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends
Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji dr inż. Bolesław Szomański Wydział Zarządzania Politechnika Warszawska b.szomański@wz.pw.edu.pl Plan Prezentacji Bardziej szczegółowo Zarządzenie nr. xx / 2013 DYREKTORA Zespołu Szkół Publicznych w Kazuniu Polskim z dnia dnia miesiąca roku
Zarządzenie nr. xx / 2013 DYREKTORA Zespołu Szkół Publicznych w Kazuniu Polskim z dnia dnia miesiąca roku w sprawie: wprowadzenia w życie Polityki Bezpieczeństwa oraz Instrukcji Zarządzania Systemem Informatycznym, Bardziej szczegółowo Organizacja środowiska pracy dla Administratora Bezpieczeństwa Informacji
Organizacja środowiska pracy dla Administratora Bezpieczeństwa Informacji w nawiązaniu do ochrony danych osobowych Przemysław Rytka Opiekun pracy: dr Ryszard Kossowski Agenda Dlaczego taki temat? Dlaczego Bardziej szczegółowo ISO 27001. bezpieczeństwo informacji w organizacji
ISO 27001 bezpieczeństwo informacji w organizacji Czym jest INFORMACJA dla organizacji? DANE (uporządkowane, przefiltrowane, oznaczone, pogrupowane ) Składnik aktywów, które stanowią wartość i znaczenie Bardziej szczegółowo Zarządzanie bezpieczeństwem danych osobowych
Zarządzanie bezpieczeństwem danych osobowych - Praktyka wykonywania zadań ABI oraz konieczne zmiany statusu ABI i wymagań dotyczących cych bezpieczeństwa danych Agenda Działania ania SABI w sprawie zmiany Bardziej szczegółowo Zadania Administratora Systemów Informatycznych wynikające z przepisów ochrony danych osobowych. Co ASI widzieć powinien..
Zadania Administratora Systemów Informatycznych wynikające z przepisów ochrony danych osobowych Co ASI widzieć powinien.. Czy dane osobowe są informacją szczególną dla Administratora Systemów IT? Administrator Bardziej szczegółowo Rozdział I Zagadnienia ogólne
Załączniki do decyzji nr 2/11 Szefa Centralnego Biura Antykorupcyjnego z dnia 3 stycznia 2011 r. (poz. ) Załącznik nr 1 Instrukcja zarządzania systemem teleinformatycznym służącym do przetwarzania danych Bardziej szczegółowo ADMISTRATOR BEZPIECZEŃSTWA INFORMACJI
ADMISTRATOR BEZPIECZEŃSTWA INFORMACJI ZAKRES DZIAŁAŃ SZCZEGÓŁOWE DZIAŁANIA Nowe regulacje dot. Administratora Bezpieczeństwa Informacji (ABI): o kompetencje; o status w hierarchii Administratora danych; Bardziej szczegółowo Administrator Bezpieczeństwa informacji
Administrator Bezpieczeństwa informacji - teraźniejszość i przyszłość Jarosław Żabówka proinfosec@odoradca.pl 15 grudzień 2011 VI Internetowe Spotkanie ABI Plan prezentacji Dyrektywa i ustawa Praktyka Bardziej szczegółowo Polityka Prywatności
Polityka Prywatności 1. Postanowienia ogólne 1. Administrator danych - NetShock.pl sp.j. z siedzibą we Wrocławiu, pl. Solny 14, 50 062 Wrocław, wpisaną do rejestru przedsiębiorców prowadzonego przez Sąd Bardziej szczegółowo Umowa o powierzanie przetwarzania danych osobowych
Załącznik numer 6 do Umowy Umowa o powierzanie przetwarzania danych osobowych zawarta w dniu., w Warszawie pomiędzy Centrum Nauki Kopernik, z siedzibą w Warszawie (00-390), przy ul. Wybrzeże Kościuszkowskie Bardziej szczegółowo Polityka Bezpieczeństwa Informacji Urzędu Miejskiego w Zdzieszowicach
Polityka Bezpieczeństwa Informacji Urzędu Miejskiego w Zdzieszowicach 1. Podstawa prawna Niniejszy dokument reguluje sprawy ochrony danych osobowych przetwarzane w Urzędzie Miejskim w Zdzieszowicach i Bardziej szczegółowo Warsztaty dla ABI i ADO (2-dniowe) tworzenie, wdrażanie i nadzór nad systemem ochrony danych osobowych
Warsztaty dla ABI i ADO (2-dniowe) tworzenie, wdrażanie i nadzór nad systemem ochrony danych osobowych Informacje o usłudze Numer usługi 2016/06/09/7492/10692 Cena netto 1 650,00 zł Cena brutto 2 029,50 Bardziej szczegółowo 2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem,
Wskazówki dotyczące sposobu opracowania instrukcji określającej sposób zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych, ze szczególnym uwzględnieniem wymogów bezpieczeństwa Bardziej szczegółowo DZANIA SYSTEMEM INFORMATYCZNYM DLA SYSTEMU PODSYSTEM MONITOROWANIA EUROPEJSKIEGO FUNDUSZU SPOŁECZNEGO 2007 U BENEFICJENTA PO KL
Załącznik 1 POLITYKA BEZPIECZEŃSTWA INFORMACJI W celu zabezpieczenia danych gromadzonych i przetwarzanych w Urzędzie Miejskim w Ząbkowicach Śląskich oraz jego systemie informatycznym, a w szczególności Bardziej szczegółowo ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) NR
L 134/32 ROZPORZĄDZENIE WYKONAWCZE KOMISJI (UE) NR 463/2014 z dnia 5 maja 2014 r. ustanawiające, na mocy rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 223/2014 w sprawie Europejskiego Funduszu Bardziej szczegółowo REGULAMIN OCHRONY DANYCH OSOBOWYCH w Szkole Muzycznej I stopnia w Dobczycach
Od Wykazu do Rejestru Zmiany zasad dokumentowania zbiorów danych osobowych Maciej Kołodziej Stowarzyszenie Administratorów Bezpieczeństwa Informacji Agenda 1. Rejestracja zbiorów danych osobowych 2. Wykaz Bardziej szczegółowo Załącznik nr 4 Polityki Bezpieczeństwa Danych XXXIV Liceum Ogólnokształcącego im. Miguela de Cervantesa w Warszawie
Załącznik nr 4 Polityki Bezpieczeństwa Danych XXXIV Liceum Ogólnokształcącego im. Miguela de Cervantesa w Warszawie Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych Bardziej szczegółowo Na co zwrócić uwagę przygotowując zgodną z prawem kampanię SMS
Na co zwrócić uwagę przygotowując zgodną z prawem kampanię SMS Michał Sztąberek isecuresp. z o.o. Dwa słowa o osobowych Administrator (ADO) Procesor organ, jednostka organizacyjna, podmiot lub osoba decydująca Bardziej szczegółowo Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( )