Source: http://docplayer.pl/531138-Generalny-inspektor-ochrony-danych-osobowych-sprawozdanie-z-dzialalnosci-generalnego-inspektora-ochrony-danych-osobowych-w-roku-2010.html
Timestamp: 2016-12-06 03:41:05+00:00
Document Index: 1639104

Matched Legal Cases: ['art. 20', 'art. 39', 'art. 46', 'art. 22', 'art. 7', 'art. 54', 'art. 13', 'art. 26', 'art. 7', 'art. 22', 'art. 12', 'art. 12', 'art. 14', 'art. 14', 'art. 12', 'art. 15', 'art. 16', 'art. 39', 'ustawy 4', 'Art. 3', 'art. 39', 'art. 7', 'art. 32', 'art. 31', 'art. 27', 'art. 18', 'art. 51', 'art. 19', 'Art. 19', 'Art. 19', 'art. 104', 'art. 30', 'Art. 1', 'art. 20', 'art. 36', 'art. 104', 'art. 105', 'art. 20', 'art. 20', 'art. 3', 'art. 20']

⭐Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2010
Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2010
Download "Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2010"
1 Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2010 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zgodnie z którym Generalny Inspektor Ochrony Danych Osobowych składa Sejmowi, raz w roku, sprawozdanie ze swojej działalności wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów o ochronie danych osobowych 1. 1 Niniejsze Sprawozdanie obejmuje okres działalności Generalnego Inspektora Ochrony Danych Osobowych od 1 stycznia 2010 r. do 31 grudnia 2010 r.2 SPIS TREŚCI Wprowadzenie. 5 Część I. Prawne podstawy działalności Generalnego Inspektora Ochrony Danych Osobowych 5 1. Informacje ogólne Biuro Generalnego Inspektora Ochrony Danych Osobowych Struktura organizacyjna Pracownicy Biura GIODO Wykonanie budżetu Generalnego Inspektora Ochrony Danych Osobowych za 2010 rok. 8 Część II. Stan wiedzy i przestrzegania przepisów o ochronie danych osobowych 9 1. Informacje ogólne Kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych Czynności kontrolne Kontrola przetwarzania danych osobowych w wybranych obszarach ) Administracja publiczna ) Banki i inne instytucje finansowe ) Internet ) Oświata i szkolnictwo wyższe 15 5) Służba zdrowia 17 6) Ubezpieczenia społeczne, majątkowe i osobowe 19 7) Telekomunikacja ) Zatrudnienie ) Komunalne jednostki organizacyjne ) Inne Systemy informatyczne służące do przetwarzania danych osobowych Wyniki kontroli w zakresie wypełnienia obowiązków formalnych i organizacyjnych Wyniki kontroli w zakresie warunków techniczno-organizacyjnych Ocena poziomu bezpieczeństwa Outsourcing i kolokacja danych Systemy sieciowe i wielostanowiskowe 38 23 3. Wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych Wydawanie decyzji Zawiadomienia o podejrzeniu popełnienia przestępstwa Rozpatrywanie skarg Prowadzenie rejestru zbiorów danych osobowych oraz udzielanie informacji o zarejestrowanych zbiorach Opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych Inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych Interpretacja przepisów Przetwarzanie danych osobowych za pośrednictwem sieci Internet Przetwarzanie danych osobowych z zastosowaniem systemów informatycznych oraz monitoringu Inne Działalność informacyjna Współpraca ze środkami masowego przekazu Publikacje Szkolenia Konkursy Projekty i programy Konferencje, seminaria, spotkania Internet Inne informacje Uczestnictwo w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych Międzynarodowe spotkania i konferencje Wizyty robocze Warsztaty Rozpatrywania Spraw Warsztaty TAIEX. 119 Część III. Część IV. Charakterystyka działalności Generalnego Inspektora Ochrony Danych Osobowych w 2010 roku 119 Wnioski i planowane kierunki działań Generalnego Inspektora Ochrony Danych Osobowych4 Załączniki Załącznik nr 1 Wykaz najważniejszych wystąpień Generalnego Inspektora Ochrony Danych Osobowych w roku 2010 o charakterze generalnym do centralnych organów państwa i do innych podmiotów z sektora publicznego. 141 Załącznik nr 2 Wykaz najważniejszych wystąpień Generalnego Inspektora Ochrony Danych Osobowych w roku 2010 do podmiotów prywatnych Załącznik nr 3 Wykaz kontroli przeprowadzonych w 2010 roku 149 Załącznik nr 4 Wykaz orzeczeń Wojewódzkiego Sądu Administracyjnego w Warszawie i Naczelnego Sądu Administracyjnego wydanych w 2010 r. w sprawach prowadzonych przez Generalnego Inspektora Ochrony Danych Osobowych Załącznik nr 5 Informacje przekazane przez organy ścigania w sprawach skierowanych w 2010 roku przez Generalnego Inspektora Ochrony Danych Osobowych zawiadomień o popełnieniu przestępstwa 164 Załącznik nr 6 Wykaz szkoleń przeprowadzonych przez GIODO w 2010 r Załącznik nr 7 Wykaz decyzji i postanowień Generalnego Inspektora Ochrony Danych Osobowych wydanych w 2010 roku w sprawach o wyrażenie zgody na przekazanie danych osobowych do państwa trzeciego5 SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2010 Wprowadzenie Rok 2010 był dwunastym rokiem obowiązywania ustawy o ochronie danych osobowych. Był to jednocześnie rok istotnych zmian w podstawach prawnych działania Generalnego Inspektora Ochrony Danych Osobowych (GIODO) przede wszystkim związanych z zakończeniem prac nad prezydenckim projektem nowelizacji ustawy o ochronie danych osobowych. W dniu 29 października 2010 r. Sejm RP ostatecznie przyjął poprawki do projektu zgłoszone przez Senat. Datą wejścia w życie zmian był 7 marca 2011 r. Omówiona w dalszej części Sprawozdania nowelizacja uzupełniła uprawnienia GIODO o zadania z zakresu egzekucji administracyjnej. Dokonano również zmiany na stanowisku Generalnego Inspektora Ochrony Danych Osobowych. W dniu 25 czerwca 2010 r. Sejm Rzeczypospolitej Polskiej powołał do pełnienia tej funkcji dra Wojciecha Rafała Wiewiórowskiego. Po zatwierdzeniu tego wyboru przez Senat i złożeniu ślubowania z dniem 4 sierpnia 2010 r. dr Wojciech Rafał Wiewiórowski objął obowiązki Generalnego Inspektora rozpoczynając swoją czteroletnią kadencję. Część I. Prawne podstawy działalności Generalnego Inspektora Ochrony Danych Osobowych 1. Informacje ogólne Podstawę prawną działania Generalnego Inspektora Ochrony Danych Osobowych (GIODO) stanowi ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) oraz wydane na jej podstawie akty wykonawcze rozporządzenia Ministra Spraw Wewnętrznych i Administracji: a) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wraz załącznikiem zawierającym opis środków bezpieczeństwa na poziomie podstawowym, podwyższonym i wysokim (Dz. U. Nr 100, poz. 1024), wydane na podstawie art. 39a ustawy. Rozporządzenie określa: 56 sposób prowadzenia i zakres dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzania danych osobowych. b) z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. Nr 229, poz. 1536) wydane na podstawie art. 46a ustawy określa wzór zgłoszenia, który jest załącznikiem do tego rozporządzenia, c) z dnia 22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. Nr 94, poz. 923) wydane na podstawie art. 22a ustawy określa wzory, o których mówi to rozporządzenie, d) rozporządzenie Prezydenta Rzeczypospolitej Polskiej z dnia 3 listopada 2006 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. z 2006 r. Nr 203, poz. 1494). Ustawą z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497) wprowadzone zostały zmiany w przepisach dotychczas obowiązującej ustawy. Wejdą one w życie z dniem 7 marca 2011 r. Nowelizacja ustawy była również częścią procesu implementacji unijnej dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz. Urz. UE L 281 z 23 listopada 1995 r. s. 31 z późn. zm.). Szczegóły nowelizacji przedstawione zostaną w dalszej części niniejszego Sprawozdania. Na system ochrony danych osobowych składają się też przepisy szczególne innych ustaw, które regulują kwestie związane z przetwarzaniem danych osobowych przez różne podmioty. Organy władzy publicznej i obsługujące je urzędy, w myśl zasady praworządności wyrażonej w art. 7 Konstytucji Rzeczypospolitej Polskiej, działają wyłącznie na podstawie i w granicach prawa. Oznacza to, że mogą one przetwarzać dane osobowe jedynie wtedy, gdy służy to wypełnieniu określonych prawem zadań, obowiązków i upoważnień. Również wolność przetwarzania informacji gwarantowana osobom fizycznym i podmiotom innym niż organy publiczne przez art. 54 ust. 1 Konstytucji RP, znajduje pewne ograniczenia w przepisach szczególnych chroniących prywatność osób fizycznych. 67 2. Biuro Generalnego Inspektora Ochrony Danych Osobowych 2.1 Struktura organizacyjna Zgodnie z art. 13 ustawy o ochronie danych osobowych, Generalny Inspektor wykonuje swoje zadania przy pomocy Biura Generalnego Inspektora Ochrony Danych Osobowych. Organizacja oraz zasady działania Biura określone zostały w statucie stanowiącym załącznik do rozporządzenia Prezydenta Rzeczypospolitej Polskiej z dnia 3 listopada 2006 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych. Strukturę organizacyjną Biura Generalnego Inspektora Ochrony Danych Osobowych przedstawia poniższy schemat: GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH ZASTĘPCA GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH DYREKTOR BIURA GIODO Departament Orzecznictwa, Legislacji i Skarg Dział Finansowy Zespół Rzecznika Prasowego Departament Rejestracji Zbiorów Danych Osobowych Departament Inspekcji Departament Edukacji Społecznej i Współpracy Międzynarodowej Samodzielne Stanowisko do Spraw Pracowniczych Samodzielne Stanowisko do Spraw Ochrony Informacji Niejawnych Samodzielne Stanowisko do Spraw Audytu Wewnętrznego Departament Informatyki Departament Organizacyjno- Administracyjny Generalny Inspektor wykonuje swoje zadania bezpośrednio lub przy pomocy Dyrektora Biura, dyrektorów jednostek organizacyjnych Biura oraz innych osób wskazanych w Regulaminie Organizacyjnym Pracownicy Biura GIODO Stan zatrudnienia w Biurze GIODO w przeliczeniu na pełne etaty wynosił na dzień 1 stycznia 2010 r. 120 etatów, zaś na dzień 31 grudnia 2010 r. 127 etatów. Na stanowiskach merytorycznych 2 Zarządzenie nr 29/2007 Generalnego Inspektora Ochrony Danych Osobowych z dnia 14 września 2007 r. w sprawie wprowadzenia Regulaminu Organizacyjnego Biura Generalnego Inspektora Ochrony Danych Osobowych. 78 zatrudnionych było 112 osób, a na stanowiskach pomocniczych 18 osób. Wyższe wykształcenie posiadało 115 pracowników, w tym 79 legitymowało się wykształceniem wyższym prawniczym. Liczba pracowników zatrudnionych w poszczególnych jednostkach organizacyjnych Biura GIODO na koniec 2010 r. przedstawia się następująco: - GIODO - 1 osoba - Zastępca GIODO 1 osoba - Dyrektor Biura 1 osoba - Zespół Rzecznika Prasowego (ZRP) 4 osoby - Departament Edukacji Społecznej i Współpracy Międzynarodowej (DESiWM) 10 osób - Departament Informatyki (DIF) 14 osób, - Departament Inspekcji (DIS) 17 osób, - Departament Orzecznictwa, Legislacji i Skarg (DOLiS) 35 osób, - Departament Rejestracji Zbiorów Danych Osobowych (DRZDO) 18 osób, - Departament Organizacyjno-Administracyjny (DOA) 17 osób, - Dział Finansowy 3 osoby - Samodzielne Stanowisko ds. Ochrony Informacji Niejawnych 2 osoby - Samodzielne Stanowisko ds. Pracowniczych 2 osoby - Samodzielne Stanowisko ds. Audytu 1 osoba 2.3. Wykonanie budżetu Generalnego Inspektora Ochrony Danych Osobowych za 2010 rok Budżet Generalnego Inspektora ustalony w ustawie budżetowej na 2010 r. wynosił: tys. zł, w tym: wynagrodzenia tys. zł pochodne od wynagrodzeń tys. zł wydatki majątkowe 81 tys. zł pozostałe wydatki tys. zł Wydatki zrealizowane przez GIODO w 2010 roku w kwocie tys. zł obejmowały: wynagrodzenia tys. zł pochodne od wynagrodzeń tys. zł wydatki majątkowe 81 tys. zł pozostałe wydatki tys. zł 89 Część II. Stan wiedzy i przestrzegania przepisów o ochronie danych osobowych 1. Informacje ogólne Ustawa o ochronie danych osobowych wprowadza szczegółowe normy służące realizacji prawa do ochrony danych osobowych. Reguluje postępowanie przy przetwarzaniu danych osobowych, czyli operacjach, takich jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie danych osobowych, zdefiniowanych jako wszelkie informacje dotyczące osoby fizycznej, pozwalające bez większego wysiłku na określenie tożsamości tej osoby. Danymi osobowymi nie będą jednak pojedyncze informacje o dużym stopniu ogólności. Staną się nimi dopiero z chwilą zestawienia ich z innymi, dodatkowymi informacjami, które w konsekwencji pozwolą na odniesienie ich do konkretnej osoby. Możliwa do zidentyfikowania jest więc taka osoba, której tożsamość można określić bezpośrednio lub pośrednio, zwłaszcza poprzez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Główne zasady postępowania przy przetwarzaniu danych osobowych wyznacza art. 26 ust. 1 ustawy, ujmując je w formę podstawowych obowiązków administratora danych 3. Z jego treści wynika, że administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a co za tym idzie, ma on przestrzegać wskazanych poniżej zasad: 1) legalności dane mogą być przetwarzane tylko na podstawie przepisów prawa, 2) celowości dane powinny być zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu, jeśli jest to niezgodne z tymi celami, 3) merytorycznej poprawności dane powinny być merytorycznie poprawne, 4) adekwatności dane powinny być adekwatne w stosunku do celów, w jakich są przetwarzane, 5) ograniczenia czasowego dane w postaci umożliwiającej identyfikację osób, których dotyczą, nie mogą być przetwarzane dłużej, niż jest to niezbędne do osiągnięcia celu, dla którego zostały zebrane. Jako obywatele mamy możliwość skorzystania z przysługującego nam prawa do formalnej kontroli przetwarzania dotyczących nas danych, które ustanowione jest w rozdziale 4 ustawy. Możemy domagać się również: uzyskania informacji, czy zbiór danych istnieje, ustalenia administratora danych, 3 Administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych (art. 7 pkt 4 ustawy o ochronie danych osobowych). Między innymi może to być organ państwowy, organ samorządu terytorialnego lub państwowa albo komunalna jednostka organizacyjna. 910 adresu jego siedziby, uzyskania informacji o celu, zakresie i sposobie przetwarzania danych oraz informacji o źródle, z którego pochodzą, żądania uzupełnienia, uaktualnienia, sprostowania, a nawet czasowego lub stałego wstrzymania przetwarzania danych, jeżeli są one nieaktualne, niekompletne, nieprawdziwe lub zostały zebrane z naruszeniem prawa albo są już zbędne do realizacji celu, dla którego były zebrane. Mamy także prawo do sprzeciwu, gdy administrator przetwarza dane w celach marketingowych lub przekazuje je innemu administratorowi danych. Służy nam więc prawo żądania od administratora danych odpowiedniego zachowania się w przypadku nieprzestrzegania ustawy, a także prawo do występowania do Generalnego Inspektora Ochrony Danych Osobowych, organów ścigania oraz wymiaru sprawiedliwości w sprawach naruszenia przepisów o ochronie danych osobowych. Reasumując, ustawa o ochronie danych osobowych konkretyzuje prawa obywateli do ochrony dotyczących ich danych osobowych oraz ustanawia instrumenty umożliwiające realizację tego prawa. Nad przestrzeganiem prawa jednostek do ochrony ich danych osobowych czuwa niezależny organ Generalny Inspektor Ochrony Danych Osobowych. Postępowanie w sprawach uregulowanych w ustawie o ochronie danych osobowych prowadzi się według zasad określonych w przepisach Kodeksu postępowania administracyjnego (K.p.a.), o ile przepisy ustawy o ochronie danych osobowych nie stanowią inaczej (art. 22 ustawy). Zgodnie z brzmieniem art. 12 wspomnianej ustawy, Generalny Inspektor w szczególności: 1) kontroluje zgodność przetwarzania danych z przepisami o ochronie danych osobowych, 2) wydaje decyzje administracyjne i rozpatruje skargi w sprawach wykonania przepisów o ochronie danych osobowych, 3) prowadzi ogólnokrajowy, jawny rejestr zbiorów danych oraz udziela informacji o zarejestrowanych zbiorach, 4) opiniuje projekty ustaw i rozporządzeń dotyczących ochrony danych osobowych, 5) inicjuje i podejmuje przedsięwzięcia w zakresie doskonalenia ochrony danych osobowych, 6) uczestniczy w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. 2. Kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych 2.1. Czynności kontrolne Czynności kontrolne, których celem jest ustalenie, czy jednostka kontrolowana przetwarza dane zgodnie z przepisami o ochronie danych osobowych, przeprowadzane są na podstawie art. 12 pkt 1 i art. 14 ustawy o ochronie danych osobowych. W art. 14 ustawy wymienione zostały uprawnienia 1011 przysługujące Generalnemu Inspektorowi Ochrony Danych Osobowych, Zastępcy Generalnego Inspektora Ochrony Danych Osobowych oraz upoważnionym inspektorom w związku z realizacją zadania określonego w art. 12 pkt 1 powołanej ustawy. Uprawnienia te obejmują w szczególności prawo wstępu, w godzinach od 6.00 do 22.00, do pomieszczenia, w którym zlokalizowany jest zbiór danych oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą, żądania złożenia pisemnych lub ustnych wyjaśnień oraz wzywania i przesłuchiwania osób w zakresie niezbędnym do ustalenia stanu faktycznego, wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii, przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych, a także zlecania sporządzania ekspertyz i opinii. Wymienionym uprawnieniom towarzyszy obowiązek kierownika jednostki kontrolowanej oraz osoby fizycznej będącej administratorem danych, umożliwienia inspektorom dokonania tych czynności (art. 15 ust. 1 ustawy o ochronie danych osobowych). Przeprowadzane w toku kontroli czynności (odbieranie wyjaśnień od kierownictwa i pracowników kontrolowanej jednostki, oględziny) są dokumentowane w formie protokołów przyjęcia ustnych wyjaśnień, protokołów przesłuchania w charakterze świadka oraz protokołów oględzin miejsca, pomieszczeń, dokumentów, urządzeń, nośników, systemów informatycznych służących do przetwarzania danych osobowych. Na podstawie ustaleń zawartych w ww. protokołach, analizy dokumentów przedłożonych w toku kontroli (stanowiących w szczególności uchwały i zarządzenia organów reprezentujących jednostkę kontrolowaną, regulaminy, instrukcje i procedury określające zasady przetwarzania danych osobowych, zawarte umowy, w tym umowy powierzenia przetwarzania danych osobowych oraz opracowane formularze i kwestionariusze) oraz wydruków z systemów informatycznych służących do przetwarzania danych osobowych, sporządzany jest protokół kontroli. Podpisany przez inspektorów, którzy kontrolę przeprowadzili, protokół kontroli przedstawiany jest następnie do podpisu kierownikowi jednostki kontrolowanej, który zgodnie z art. 16 ust. 2 ustawy o ochronie danych osobowych może wnieść do niego umotywowane zastrzeżenia i uwagi. W zależności od ustaleń poczynionych w toku kontroli, tzn. czy stwierdzone zostały nieprawidłowości w procesie przetwarzania danych osobowych, wszczynane jest postępowanie administracyjne lub kierowane jest do jednostki kontrolowanej pismo z informacją, że w zakresie objętym kontrolą nie stwierdzono uchybień. Ponadto, w przypadku stwierdzenia, że działanie lub zaniechanie kierownika jednostki kontrolowanej lub jej pracownika wyczerpuje znamiona przestępstwa określonego w ustawie o ochronie danych osobowych, do organu powołanego do ścigania przestępstw kierowane jest zawiadomienie o popełnieniu przestępstwa. Ustalenia kontrolne mogą także uzasadnić żądanie 1112 wszczęcia przewidzianego prawem postępowania przeciwko osobom winnym dopuszczenia do uchybień, np. postępowania dyscyplinarnego Kontrola przetwarzania danych osobowych w wybranych obszarach W 2010 r. Generalny Inspektor Ochrony Danych Osobowych przeprowadził łącznie 196 kontroli zgodności przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych. 1) Administracja publiczna W 2010 r. w ramach kontroli podmiotów sektora administracji publicznej, przeprowadzono 10 kontroli w urzędach kontroli skarbowej 4. Zakresem kontroli objęto zabezpieczenie danych osobowych przetwarzanych przez dyrektorów urzędów kontroli skarbowej. Do najczęściej stwierdzanych w toku kontroli nieprawidłowości, należały uchybienia w zakresie niedostosowania systemów informatycznych wykorzystywanych do przetwarzania danych osobowych do wymogów rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. W szczególności systemy te nie zapewniały dla każdej osoby, której dane osobowe były przetwarzane w systemie informatycznym, odnotowania daty pierwszego wprowadzenia danych do systemu i identyfikatora użytkownika wprowadzającego dane osobowe do systemu. Liczne nieprawidłowości stwierdzono także w zakresie prowadzonej przez administratorów danych dokumentacji opisującej sposób przetwarzania danych osobowych oraz środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych. Uchybieniem było przede wszystkim niezawarcie w niej wszystkich elementów określonych w 4 i 5 wspomnianego rozporządzenia, tj. określających politykę bezpieczeństwa i instrukcję jej prowadzenia (np. brak było opisu struktury zbiorów danych wskazującego zawartość poszczególnych pól informacyjnych i powiązania między nimi). W pojedynczych przypadkach przeprowadzone kontrole wykazały, że administratorzy danych nie zastosowali odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, w związku z brakiem rejestru pobranych i zdanych kluczy do pomieszczeń, w których przetwarzane są dane osobowe oraz rejestru wynoszonej poza obszar przetwarzania danych dokumentacji zawierającej dane osobowe. W jednym przypadku stwierdzono, że prowadzona ewidencja osób upoważnionych do przetwarzania danych osobowych nie spełniała wymagań określonych w art. 39 ust. 1 ustawy 4 Np. kontrole DIS-K-421/97/10, DIS-K-421/103/10, DIS-K-421/122/10, DIS-K-421/125/10. 1213 o ochronie danych osobowych 5, tj. nie zawiera informacji o identyfikatorach użytkowników przetwarzających dane osobowe w systemach informatycznych. W związku ze stwierdzonymi uchybieniami, wobec dyrektorów urzędów kontroli skarbowej wszczęte zostały postępowania administracyjne i wydane zostały decyzje nakazujące usunięcie uchybień 6. W decyzjach tych Generalny Inspektor nakazał m.in. zapewnienie, aby system informatyczny służący do przetwarzania danych osobowych zapewniał dla każdej osoby, której dane osobowe były w tym systemie przetwarzane, odnotowanie daty pierwszego wprowadzenia danych do systemu i identyfikatora użytkownika wprowadzającego dane osobowe do systemu. Na podstawie ustaleń dokonanych w toku kontroli tych podmiotów, Generalny Inspektor skierował pismo do Ministra Finansów informujące o nieprawidłowościach dotyczących systemu informatycznego służącego do przetwarzania danych osób, które były poddawane kontroli podatkowej 7. W odpowiedzi na ww. pismo Generalny Inspektor Kontroli Skarbowej wskazał, że system informatyczny został dostosowany do wymogów określonych w przepisach o ochronie danych osobowych. Do wszystkich urzędów kontroli skarbowej przekazano nową wersję systemu, która zapewnia automatyczne odnotowanie daty pierwszego wprowadzenia danych do systemu oraz identyfikatora użytkownika wprowadzającego te dane 8. Podkreślić należy, że reakcja Ministra Finansów na wskazane nieprawidłowości była niezwłoczna i umożliwiła przywrócenie stanu zgodnego z prawem we wszystkich urzędach kontroli skarbowej znacznie przed upływem terminu wskazanego przez GIODO w decyzjach nakazujących usunięcie uchybień. 2) Banki i inne instytucje finansowe W 2010 r. przeprowadzono 18 kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych w firmach inwestycyjnych prowadzących działalność maklerską 9, w tym 16 kontroli przeprowadzono w ramach kontroli sektorowej 10. Zakresem kontroli objęto zabezpieczenie danych osobowych. W toku 8 kontroli nie stwierdzono uchybień w procesie przetwarzania danych osobowych w zakresie objętym kontrolą. Większość z przeprowadzonych kontroli wykazała nieprawidłowości w zakresie prowadzonej przez administratorów danych dokumentacji, opisującej sposób przetwarzania danych osobowych oraz 5 Art Administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać: 1) imię i nazwisko osoby upoważnionej, 2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, 3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym. 6 Np. decyzje DIS/DEC-1330/47863/10, DIS/DEC-1323/47590/10, DIS/DEC-1321/47592/10. 7 Pismo z dnia 11 października 2010 r. 8 Pisma z dnia 9 listopada 2010 r. KS3/0680/169/ROB/10/7411 oraz z dnia 7 grudnia 2010 r. KS2/066/123/BQS/10/ Art. 3 pkt 33 ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowym, stanowi, że przez firmę inwestycyjną rozumie się dom maklerski, bank prowadzący działalność maklerską, zagraniczną firmę inwestycyjną prowadzącą działalność maklerską na terytorium Rzeczypospolitej Polskiej oraz zagraniczną osobę prawną z siedzibą na terytorium państwa należącego do OECD lub WTO, prowadzącą działalność maklerską na terytorium Rzeczypospolitej Polskiej. Dz. U. Nr 183, poz z późn. zm. 1314 środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych. Uchybienia te polegały m.in. na nieuwzględnianiu w opracowanych politykach bezpieczeństwa, takich elementów jak wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, opis struktury zbiorów danych wskazujących zawartość poszczególnych pól informacyjnych i powiązania między nimi oraz sposób przepływu danych pomiędzy poszczególnymi systemami, określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. W jednym przypadku stwierdzono także uchybienia w odniesieniu do instrukcji zarządzania systemem informatycznym, które polegały na niezawarciu w dokumentacji prowadzonej przez administratora danych m.in. procedur nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz niewskazanie osoby odpowiedzialnej za te czynności i stosowanych metod i środków uwierzytelnienia oraz procedur związanych z ich zarządzaniem i użytkowaniem. Do częstych uchybień stwierdzanych w toku kontroli firm inwestycyjnych prowadzących działalność maklerską należało także niezapewnianie przez administratora danych kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu były przekazywane. Uchybienia w ww. zakresie polegały w szczególności na nieodnotowywaniu faktu przekazywania dokumentacji zawierającej dane osobowe pomiędzy poszczególnymi jednostkami organizacyjnymi oraz na niezapewnieniu, aby dla każdej osoby, której dane osobowe były przetwarzane w systemie informatycznym, system ten zapewniał odnotowanie daty pierwszego wprowadzenia danych do systemu oraz identyfikatora użytkownika wprowadzającego dane osobowe do systemu. W pojedynczych przypadkach kontrole wykazały uchybienia polegające na niezastosowaniu środków kryptograficznych dla ochrony danych osobowych przesyłanych w sieci publicznej oraz niezawarciu w ewidencji osób upoważnionych do przetwarzania danych osobowych identyfikatora użytkownika w systemie informatycznym, w którym odbywa się przetwarzanie danych osobowych. W wydanych decyzjach Generalny Inspektor Ochrony Danych Osobowych nakazał usunięcie ww. uchybień w procesie przetwarzania danych osobowych. 3) Internet Do najważniejszych kontroli przeprowadzonych w 2010 r. w sektorze komunikacji elektronicznej poprzez sieć Internet należy zaliczyć kontrolę przedsiębiorcy 11, który w ramach prowadzonego portalu umożliwiał użytkownikom m.in. wyszukiwanie osób pełniących określone funkcje w podmiotach, które podlegają obowiązkowemu wpisowi do Krajowego Rejestru Sądowego. Do świadczenia przez przedsiębiorcę usług dostępnych we ww. portalu, wykorzystywane były dane 10 Np. kontrole DIS-K-421/23/10, DIS-K-421/28/10, DIS-K-421/49/10 i DIS-K-421/77/ DIS-K-421/105/10 1415 pozyskane przez niego z Krajowego Rejestru Sądowego. Zasady współpracy pomiędzy ww. podmiotami uregulowane zostały w umowie o współpracy, w której w szczególności określono zakres danych, który może być udostępniany na portalu, środki techniczne i organizacyjne, jakie zobowiązany był zastosować właściciel portalu w związku z udostępnieniem danych oraz sposób postępowania w przypadku wystąpienia osoby, której dotyczą dane, z roszczeniem przeciwko właścicielowi portalu lub podmiotowi, który mu dane przekazał. Na podstawie zawartej umowy o współpracy właściciel portalu został zobowiązany do trwałego usunięcia przekazanych mu danych po zakończeniu współpracy z podmiotem, który przekazywał mu dane w celu ich publikowania na portalu. Ustalenia kontroli potwierdziły, że właściciel portalu przetwarza przekazane dane wyłącznie w granicach upoważnienia udzielonego mu w powołanej umowie o współpracy, tj. wyłącznie w celu ich udostępnienia (publikacji) użytkownikom portalu. W związku z dokonanymi w toku kontroli ustaleniami, rozstrzygnięcia w szczególności wymagała kwestia, który z ww. podmiotów jest administratorem danych przetwarzanych w ramach prowadzonego portalu. Po dokonaniu szczegółowej analizy umowy zawartej pomiędzy tymi podmiotami oraz po zbadaniu, który z tych podmiotów decyduje o celach i środkach przetwarzania danych osobowych, Generalny Inspektor uznał, że administratorem danych był podmiot, który przekazał dane przedsiębiorcy prowadzącemu portal internetowy, a jednostka kontrolowana podmiotem, któremu administrator danych powierzył ich przetwarzanie. 4) Oświata i szkolnictwo wyższe W 2010 r. przeprowadzonych zostało w szkołach wyższych 31 kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, w tym 26 kontroli sektorowych 12. Zakresem kontroli objęto zabezpieczenie danych osobowych przetwarzanych przez szkoły wyższe. W oparciu o wyniki kontroli można stwierdzić, że szkoły wyższe najwięcej problemów miały z prawidłowym wykonaniem obowiązków związanych z przetwarzaniem danych osobowych przy użyciu systemów informatycznych. Do najczęściej spotykanych w tym zakresie naruszeń należało niezapewnianie przez systemy informatyczne służące do przetwarzania danych osobowych dla każdej osoby, której dane osobowe były przetwarzane w systemie informatycznym, odnotowania informacji o dacie pierwszego wprowadzenia danych do systemu i identyfikatorze użytkownika wprowadzającego te dane oraz sporządzenia i wydrukowania raportu zawierającego w powszechnie zrozumiałej formie informacje, o których mowa w 7 ust. 1 powołanego rozporządzenia 13. Do częstych uchybień należało 12 DIS-K-421/1/10, DIS-K-421/4/10, DIS-K-421/5/10, DIS-K-421/17/10, DIS-K-421/19/10, DIS-K-421/24/10, DIS- K-421/31/10, DIS-K-421/44/10, DIS-K-421/65/10, DIS-K-421/89/ Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym - z wyjątkiem systemów służących do przetwarzania danych osobowych ograniczonych wyłącznie do edycji tekstu w celu udostępnienia go na 1516 także ustawienie monitora komputera, na którym były przetwarzane dane osobowe, w sposób umożliwiający wgląd w te dane osobom nieupoważnionym oraz przesyłanie danych osobowych studentów za pośrednictwem poczty elektronicznej w formie niezaszyfrowanej i w postaci plików niezabezpieczonych hasłem, stosowanie haseł o mniejszej niż wymagana liczba znaków oraz ich zmienianie rzadziej niż co 30 dni. Krytycznie należy również ocenić zastosowane środki techniczne i organizacyjne w celu zabezpieczenia dokumentacji zawierającej dane osobowe. Stwierdzone w tym zakresie uchybienia polegały na przechowywaniu tej dokumentacji w szafach niewyposażonych w zamki lub na otwartym regale oraz na nieopracowaniu procedury dotyczącej przechowywania dokumentacji o charakterze archiwalnym i procedury regulującej sposób postępowania z kluczami do pomieszczeń, w których były przetwarzane dane osobowe. Poddane kontroli szkoły wyższe miały problemy także z właściwym prowadzeniem dokumentacji dotyczącej przetwarzania danych osobowych. Część przeprowadzonych kontroli wykazała bowiem, że jednostki kontrolowane nie opracowały dokumentacji stanowiącej politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych lub nie zawarły w polityce bezpieczeństwa wszystkich elementów wskazanych w 4 cytowanego rozporządzenia (m.in. informacji o wszystkich systemach informatycznych użytkowanych przez administratora danych; wykazu budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; opisu struktury zbiorów danych wskazujących zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposobu przepływu danych pomiędzy poszczególnymi systemami). Ponadto w niektórych szkołach wyższych nie został wyznaczony administrator bezpieczeństwa informacji nadzorujący proces przetwarzania danych osobowych lub do przetwarzania danych osobowych dopuszczone zostały osoby, którym administrator danych nie nadał upoważnień. Odnotowano też przypadki, gdzie nie została opracowana ewidencja osób upoważnionych do przetwarzania danych osobowych lub nie zawarto w niej wszystkich wymaganych elementów, określonych w art. 39 ust. 1 ustawy o ochronie danych osobowych (m.in. daty nadania i ustania upoważnienia). W związku z uchybieniami stwierdzonymi w toku kontroli wydane zostały decyzje nakazujące usunięcie uchybień w procesie przetwarzania danych osobowych oraz decyzje umarzające postępowanie w zakresie nieprawidłowości usuniętych przez jednostki kontrolowane w toku postępowania 14. piśmie - system ten zapewnia odnotowanie: 1) daty pierwszego wprowadzenia danych do systemu; 2) identyfikatora użytkownika wprowadzającego dane osobowe do systemu, chyba że dostęp do systemu informatycznego i przetwarzanych w nim danych posiada wyłącznie jedna osoba; 3) źródła danych, w przypadku zbierania danych, nie od osoby, której one dotyczą; 4) informacji o odbiorcach, w rozumieniu art. 7 pkt 6 ustawy, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia, chyba że system informatyczny używany jest do przetwarzania danych zawartych w zbiorach jawnych; 5) sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8 ustawy. 14 Np. decyzje: DIS/DEC-653/21892/10, DIS/DEC-585/20169/10, DIS/DEC-703/23707/10, DIS/DEC-706/23841/10. 1617 Kolejnym zagadnieniem badanym w toku kontroli przeprowadzonych w szkołach wyższych, było przetwarzanie danych osobowych studentów w związku z wydanymi im elektronicznymi legitymacjami studenckimi. Kontrole wykazały, że elektroniczne legitymacje studenckie posiadają dwa odseparowane fizycznie układy elektroniczne, tj. układ bezstykowy i układ stykowy. Układ bezstykowy wykorzystywany był przez przewoźnika do kodowania biletów komunikacji miejskiej na ww. legitymacjach. Natomiast układ stykowy wykorzystywany był przez uczelnie w celu zapisania danych osobowych studenta. Jak ustalono, przewoźnik nie posiadał dostępu do danych zapisanych w układzie stykowym. Współpraca pomiędzy szkołami wyższymi a przewoźnikiem w ww. zakresie odbywała się na podstawie zawartych porozumień, które określały m.in. zabezpieczenia danych przetwarzanych na elektronicznych legitymacjach studenckich. Ponadto w wyniku jednej kontroli 15 skierowano wystąpienie do Ministra Edukacji Narodowej o podjęcie działań mających na celu zapewnienie, aby placówki oświatowe wskazane w rozporządzeniu Ministra Edukacji Narodowej z dnia 19 lutego 2002 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji (Dz. U. Nr 23, poz. 225 z późn. zm.), które korzystają z dzienników prowadzonych przy użyciu systemu informatycznego (tzw. e-dzienniki), prowadziły te dzienniki zgodnie z przepisami o ochronie danych osobowych 16. W toku kontroli ustalono, iż placówki oświatowe powierzają dane osobowe uczniów, ich przedstawicieli ustawowych i nauczycieli podmiotowi oferującemu system informatyczny, który umożliwia prowadzenie dzienników w formie elektronicznej. Generalny Inspektor zwrócił uwagę Ministrowi Edukacji Narodowej na to, iż żadna ze wskazanych placówek, jako administrator danych ww. osób, nie zawarła z tym podmiotem umowy w formie pisemnej, o której mowa w art. 31 ustawy o ochronie danych osobowych, oraz że placówki te nie dokładają szczególnej staranności w zakresie upewnienia się, czy podmiot, któremu powierzają dane, przetwarza je zgodnie z wymogami określonymi w przepisach o ochronie danych osobowych. 5) Służba zdrowia W okresie sprawozdawczym skontrolowano podmiot prowadzący Krajowy Rejestr Nowotworów 17. Do zadań tej placówki należało gromadzenie, przetwarzanie i analiza danych dotyczących zachorowań i zgonów z powodu nowotworów złośliwych na terenie Polski. Do Krajowego Rejestru Nowotworów raz w roku z wojewódzkich rejestrów nowotworów przesyłane są drogą elektroniczną dane o zachorowaniach na nowotwory złośliwe w poprzednim roku. Zasady przekazywania danych do ww. rejestrów nowotworów nie zostały jednak ujęte w regulacjach rangi 15 DIS-K-421/56/10 16 Pismo z dnia 23 lipca 2010 r. DIS-K-421/56/10/25558/10. 1718 ustawowej, jak tego wymaga art. 27 ustawy o ochronie danych osobowych. Analiza stanu prawnego wykazała, iż stosownie do art. 18 ustawy z dnia 29 czerwca 1995 r. o statystyce publicznej (Dz. U. Nr 88, poz. 439 z późn. zm.) w drodze rozporządzeń ustalane są przez Radę Ministrów, programy badań statystycznych statystyki publicznej. Każdego roku wydawane jest rozporządzenie zawierające program badań statystycznych statystyki publicznej na dany rok. Na przykład program badań na 2010 r. został określony w załączniku do Rozporządzenia Rady Ministrów z dnia 8 grudnia 2009 r. w sprawie programu badań statystycznych statystyki publicznej na rok 2010 (Dz. U. Nr 3, poz. 14). Jak wskazano w załączniku do rozporządzenia Rady Ministrów z dnia 27 listopada 2008 r. (Dz. U. Nr 221, poz. 1436), w ramach badań zachorowalności i leczonych na wybrane choroby, regionalne rejestry onkologiczne miały obowiązek przekazywania do dnia 30 czerwca 2010 r. do Centrum Onkologii (Krajowego Rejestru Chorób Nowotworowych) karty zgłoszeń nowotworu złośliwego (MZ/N-1a) za rok 2009, z terenu województwa, które dany rejestr obejmował. Taki obowiązek wynikał również z rozporządzeń wydanych w poprzednich latach i został także utrzymany w ww. rozporządzeniu Rady Ministrów z dnia 8 grudnia 2009 r. Wzory formularzy sprawozdawczych i objaśnienia, co do sposobu ich wypełniania oraz wzory kwestionariuszy i ankiet statystycznych stosowanych w badaniach statystycznych ustalonych w programie badań statystycznych statystyki publicznej, określa Prezes Rady Ministrów w drodze rozporządzenia. W 2010 r. Prezes Rady Ministrów wydał rozporządzanie z dnia 28 kwietnia 2010 r. w sprawie określenia wzorów formularzy sprawozdawczych, objaśnień co do sposobu ich wypełniania oraz wzorów kwestionariuszy i ankiet statystycznych stosowanych w badaniach statystycznych, ustalonych w programie badań statystycznych statystyki publicznej na rok 2010 (Dz. U. Nr 106, poz. 676). Określił w nim m. in. wzór formularzy sprawozdawczych do badań statystycznych, ustalonych w programie badań statystycznych statystyki publicznej na rok 2010, prowadzonych przez ministra właściwego do spraw zdrowia, w tym - kartę zgłoszenia nowotworu złośliwego MZ/N-1a. Biorąc za podstawę stan faktyczny ustalony w toku kontroli oraz obowiązujące przepisy prawa, Generalny Inspektor uznał, iż przetwarzanie danych w Krajowym Rejestrze Nowotworów oraz w wojewódzkich rejestrach nowotworów odbywa się bez podstawy prawnej, a tym samym narusza przysługujące każdej osobie konstytucyjne prawo do ochrony jej danych osobowych (wyrażone w art. 51 Konstytucji RP) i skonkretyzowane w ustawie o ochronie danych osobowych. Z uwagi na to, że korespondencja z Ministerstwem Zdrowia w ww. sprawie prowadzona jest od wielu lat, Generalny Inspektor po raz kolejny zwrócił się do Ministra Zdrowia o podjecie działań mających na celu odpowiednie uregulowanie przetwarzania danych osobowych w ramach Krajowego Rejestru Nowotworów i wojewódzkich rejestrów nowotworów. 18 W odpowiedzi Generalny Inspektor został poinformowany o trwających pracach nad ustawą o systemie informacji w ochronie zdrowia, w której 17 DIS-K-421/127/10 18 Pismo z dnia 11 października 2010 r. DIS-K-421/127/10/39984,19 znajdą się m.in. przepisy określające zasady prowadzenia rejestrów medycznych, w tym Krajowego Rejestru Nowotworów i wojewódzkich rejestrów nowotworów 19. Tym nie mniej w prowadzonych pracach legislacyjnych Minister Zdrowia wskazywał na konieczność uregulowania zakresu danych osobowych i zasad ich przetwarzania w wyżej wymienionym rejestrze w rozporządzeniu, co spotkało się z krytyką Generalnego Inspektora niezmiennie uznającego, że kwestie te powinny stanowić materię ustawową. 6) Ubezpieczenia społeczne, majątkowe i osobowe W okresie sprawozdawczym w towarzystwach ubezpieczeniowych przeprowadzono 12 kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych 20. Zakresem kontroli objęto udostępnianie przez towarzystwa ubezpieczeniowe danych osobowych klientów innym towarzystwom ubezpieczeniowym, pozyskiwanie danych osobowych klientów od innych towarzystw ubezpieczeniowych oraz zabezpieczenia zastosowane w procesie przetwarzania danych osobowych klientów. Należy podkreślić, że na 12 skontrolowanych towarzystw ubezpieczeniowych, w 6 przypadkach nie stwierdzono uchybień w procesie przetwarzania danych osobowych. Powyższe wskazuje, że podmioty te dokładają należytej staranności i dbałości w celu zapewnienia odpowiedniego zabezpieczenia przetwarzanych danych osobowych. Przeprowadzone kontrole wykazały, że dane osobowe były przekazywane do innych towarzystw ubezpieczeniowych i otrzymywane od nich na podstawie art. 19 ust. 2 pkt 22 ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (Dz. U. z 2010 r. Nr 11, poz. 66 z późn. zm.) 21. Przekazywanie i pozyskiwanie dokumentów zawierających dane osobowe następowało w związku z postępowaniem wyjaśniającym, będącym jednym z etapów rozpatrywania zgłoszonego roszczenia. Wymiana informacji pomiędzy towarzystwami ubezpieczeniowymi, w zamierzeniu miałaby zapobiegać przestępczości ubezpieczeniowej związanej np. z wyłudzaniem nienależnego odszkodowania lub odszkodowania od więcej niż jednego towarzystwa ubezpieczeniowego przez osobę do tego nieuprawnioną. W toku kontroli towarzystw ubezpieczeniowych sprawdzonych zostało szesnaście systemów informatycznych wykorzystywanych do wymiany danych osobowych z innymi towarzystwami 19 Pismo z dnia 2 listopada 2010 r. MZ-OZ /N.Ż./ Np. kontrole DIS-K-421/54/10, DIS-K-421/64/10, DIS-K-421/75/10, DIS-K-421/91/10, DIS-K-421/104/ Art. 19 ust. 1. Zakład ubezpieczeń i osoby w nim zatrudnione lub osoby i podmioty, za pomocą których zakład ubezpieczeń wykonuje czynności ubezpieczeniowe, są obowiązane do zachowania tajemnicy dotyczącej poszczególnych umów ubezpieczenia. Art. 19 ust. 2 pkt 22. Zakaz, o którym mowa w ust. 1, nie dotyczy informacji udzielanych na wniosek innego zakładu ubezpieczeń, w zakresie niezbędnym dla przeciwdziałania przestępczości ubezpieczeniowej lub stosowania taryfy w zależności od długości okresu bezszkodowego, lub ustalania proporcjonalnej odpowiedzialności, w przypadku zawarcia umów ubezpieczenia obowiązkowego na ten sam okres w co najmniej dwóch zakładach ubezpieczeń, lub dla potrzeb ustalenia odpowiedzialności, jeżeli ten sam przedmiot ubezpieczenia w tym samym czasie jest ubezpieczony od tego samego ryzyka w dwóch lub więcej zakładach ubezpieczeń na sumy, które łącznie przewyższają jego wartość ubezpieczeniową. 1920 ubezpieczeniowymi. W większości przypadków systemy te opracowane zostały przez pracowników danego towarzystwa ubezpieczeniowego. Spotykano się również z wykorzystywaniem do powyższych celów takich narzędzi informatycznych jak edytory tekstu (pliki w formacie doc, PDF) i arkusze kalkulacyjne (skoroszyty, arkusze w formatach xls, ods) przetwarzanych z wykorzystaniem aplikacji pakietu MS Office, OpenOffice oraz Acrobat Reader. Proces pozyskiwania/udostępniania danych przetwarzanych w postaci elektronicznej, realizowany był za pośrednictwem teletransmisji danych z wykorzystaniem sieci Internet i/lub poprzez fizyczne przekazanie danych zapisanych na nośniku informatycznym (nośniku typu płyta CD). Proces pozyskiwania/udostępniania danych poprzez teletransmisję danych z wykorzystaniem sieci Internet, realizowany był przeważnie za pośrednictwem jednego z głównych systemów informatycznych, bądź za pośrednictwem poczty elektronicznej użytkowanej przez dane towarzystwo ubezpieczeniowe. Dla wszystkich skontrolowanych systemów informatycznych, z wyjątkiem jednego, zastosowane zostały środki bezpieczeństwa na poziomie wysokim. Nieprawidłowości występujące w procesie przetwarzania danych osobowych przy użyciu systemów informatycznych wystąpiły w odniesieniu do dwóch administratorów danych, przy czym w jednym przypadku nieprawidłowości te dotyczyły nienależytego zabezpieczenia przesyłanych danych za pośrednictwem poczty elektronicznej. Towarzystwa ubezpieczeniowe, w których odnotowano uchybienia w procesie przetwarzania danych osobowych, najwięcej problemów miały z prawidłowym wykonaniem podstawowych obowiązków dotyczących zabezpieczenia danych, określonych w przepisach o ochronie danych osobowych. W toku kontroli dwóch towarzystw ubezpieczeniowych stwierdzono, iż polityka bezpieczeństwa nie zawierała wszystkich niezbędnych elementów określonych w 4 rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (m.in. wykazu budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe oraz opisu sposobu przepływu danych pomiędzy poszczególnymi systemami), w toku trzech innych kontroli ustalono, że do prowadzonej ewidencji osób upoważnionych do przetwarzania danych osobowych nie wpisano wszystkich wymaganych informacji (m.in. zakresu upoważnienia do przetwarzania danych osobowych), natomiast w jednym przypadku do przetwarzania danych osobowych zostały dopuszczone osoby nieposiadające stosownego upoważnienia. W związku ze stwierdzonymi uchybieniami wobec 6 towarzystw ubezpieczeniowych wszczęte zostały postępowania administracyjne i wydane zostały decyzje nakazujące ich usunięcie m.in. w zakresie uzupełnienia ewidencji osób upoważnionych do przetwarzania danych osobowych o zakres upoważnienia do przetwarzania danych osobowych oraz datę ustania upoważnienia oraz zapewnienia kryptograficznej ochrony danych przesyłanych pocztą elektroniczną do innych towarzystw 20 Pokazać jeszcze
- Sprawozdanie z działalności Generalnego Inspektora Ochrony Danych Osobowych w roku 2010.
SEJM RZECZYPOSPOLITEJ POLSKIEJ VI kadencja Generalny Inspektor Ochrony Danych Osobowych DESiWM 044 1/11/33776 Druk nr 4475 Warszawa, 15 lipca 2011 r. Pan Grzegorz Schetyna Marszałek Sejmu Rzeczypospolitej Bardziej szczegółowo OCHRONA DANYCH OSOBOWYCH
Rozdział I 2 INSTRUKCJE DOTYCZĄCE OCHRONY DANYCH OSOBOWYCH W KANCELARII DORADZTWA PODATKOWEGO Jakie obowiązki spoczywają na doradcach podatkowych w związku z obowiązkiem ochrony danych osobowych? Jak powinna Bardziej szczegółowo OCHRONA DANYCH OSOBOWYCH W BIBLIOTECE J U S T Y N A J A N K O W S K A
OCHRONA DANYCH OSOBOWYCH W BIBLIOTECE J U S T Y N A J A N K O W S K A JAKIE AKTY PRAWNE REGULUJĄ OCHRONĘ DANYCH W BIBLIOTEKACH? 1. Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. Dz. U. Bardziej szczegółowo Ochrona wrażliwych danych osobowych
Pełnosprawny Student II Kraków, 26-27 listopada 2008 r. Ochrona wrażliwych danych osobowych Daniel Wieszczycki Datasec Consulting Podstawowe akty prawne Konwencja Rady Europy Nr 108 z dnia 28 stycznia Bardziej szczegółowo Rodzaje danych (informacji) m.in.: Podmioty przetwarzające dane: podmioty publiczne, podmioty prywatne.
Rodzaje danych (informacji) m.in.: Dane finansowe Dane handlowe Dane osobowe Dane technologiczne Podmioty przetwarzające dane: podmioty publiczne, podmioty prywatne. Przetwarzane dane mogą być zebrane Bardziej szczegółowo Przetwarzanie danych osobowych w przedsiębiorstwie
Jakie są podstawowe obowiązki wynikające z ustawy o ochronie danych osobowych? Przypomnijmy. Ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych i prawa osób Bardziej szczegółowo REGULAMIN OCHRONY DANYCH OSOBOWYCH w Szkole Muzycznej I stopnia w Dobczycach
Załącznik nr 1 do zarządzenia Nr 10 KZ/ 2013 REGULAMIN OCHRONY DANYCH OSOBOWYCH w Szkole Muzycznej I stopnia w Dobczycach Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych Bardziej szczegółowo DBMS Kim jesteśmy? www.edbms.pl
GROMADZENIE, PRZETWARZANIE I BEZPIECZEŃSTWO DANYCH OSOBOWYCH czyli co możemy, a czego nam nie wolno w kwestii wykorzystywania naszych kontaktów biznesowych. 25.08.2015 DBMS Kim jesteśmy? DBMS to Zasoby Bardziej szczegółowo GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH Michał Serzycki D E C Y Z J A. DIS/DEC- 877/31613/09 dot. DIS-K-421/43/09
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH Michał Serzycki Warszawa, dnia 31 sierpnia 2009 r. DIS/DEC- 877/31613/09 dot. DIS-K-421/43/09 D E C Y Z J A Na podstawie art. 104 1 ustawy z dnia 14 czerwca Bardziej szczegółowo Obowiązki lekarza, lekarza dentysty wykonującego działalność leczniczą w ramach praktyki zawodowej związane z ochroną danych osobowych
Obowiązki lekarza, lekarza dentysty wykonującego działalność leczniczą w ramach praktyki zawodowej związane z ochroną danych osobowych Podstawa prawna: - ustawa z dnia 29 sierpnia 1997 r. o ochronie danych Bardziej szczegółowo Załącznik do zarządzenia nr 29/2005/2006 Obowiązuje od 23.06.2006 r. POLITYKA BEZPIECZEŃSTWA
Załącznik do zarządzenia nr 29/2005/2006 Obowiązuje od 23.06.2006 r. POLITYKA BEZPIECZEŃSTWA ZESPÓŁ SZKÓŁ PLASTYCZNYCH W DĄBROWIE GÓRNICZEJ CZĘŚĆ OGÓLNA Podstawa prawna: 3 i 4 rozporządzenia Ministra Spraw Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w Spółdzielni Mieszkaniowej Cukrownik 1 1. Ochrona danych osobowych w SM Cukrownik ma na celu zapewnienie ochrony prywatności każdemu członkowi Bardziej szczegółowo PRAWNE UWARUNKOWANIA WYKORZYSTANIA DANYCH INDYWIDUALNYCH W CELU EWALUACJI POLITYKI ZATRUDNIENIA W POLSCE
REKTOR SZKOŁY GŁÓWNEJ HANDLOWEJ w Warszawie RB/56/08 ZARZĄDZENIE NR 22 z dnia 2 lipca 2008 r. w sprawie ochrony danych osobowych i baz danych przetwarzanych tradycyjnie i w systemach informatycznych Szkoły Bardziej szczegółowo PolGuard Consulting Sp.z o.o. 1
PRAKTYCZNE ASPEKTY PRZETWARZANIA DANYCH OSOBOWYCH po 1 stycznia 2015r. Prowadzący: Robert Gadzinowski Ekspert akredytowany przez PARP Phare 2002 Program: Dostęp do innowacyjnych usług doradczych Działanie: Bardziej szczegółowo Zarządzenie nr 14 Rektora Uniwersytetu Jagiellońskiego z 10 lutego 2006 roku
ZARZĄDZENIE NR 473/2015 PREZYDENTA MIASTA KIELCE w sprawie powołania i określenia zadań Administratora Bezpieczeństwa Informacji, Administratora Systemów Informatycznych oraz Lokalnych Administratorów Bardziej szczegółowo Regulamin w zakresie przetwarzania danych osobowych w Urzędzie Miejskim w Kocku
Regulamin w zakresie przetwarzania danych osobowych Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Nr 101, poz. 926 z późn. zm.) 2. Ustawa z dnia 26 czerwca Bardziej szczegółowo Szkolenie podstawowe z ustawy o ochronie danych osobowych dla wolontariuszy świadczących pomoc na rzecz podopiecznych Ośrodka Pomocy Społecznej
Szkolenie podstawowe z ustawy o ochronie danych osobowych dla wolontariuszy świadczących pomoc na rzecz podopiecznych Ośrodka Pomocy Społecznej Dzielnicy Wola m. st. Warszawy Akty prawne z zakresu ochrony Bardziej szczegółowo ZASADY PRZETWARZANIA I OCHRONY DANYCH OSOBOWYCH NA UCZELNIACH WYŻSZYCH
ZASADY PRZETWARZANIA I OCHRONY DANYCH OSOBOWYCH NA UCZELNIACH WYŻSZYCH EDU IT TRENDS Warszawa, 22 października 2015 roku 1 Michał Wołoszański radca prawny 2 Przetwarzanie danych osobowych przez uczelnie Bardziej szczegółowo Przykładowy wzór Wystąpienia GIODO dotyczy zastosowanych środków bezpieczeństwa* Wystąpienie o dokonanie sprawdzenia
Przykładowy wzór Wystąpienia GIODO dotyczy zastosowanych środków bezpieczeństwa*... oznaczenie administratora bezpieczeństwa informacji oraz jego adresu do korespondencji Wystąpienie o dokonanie sprawdzenia Bardziej szczegółowo Zarządzenie nr 101/2011
Zarządzenie nr 101/2011 W ó j t a G m i n y K o b y l n i c a z dnia 14 czerwca 2011 r. w sprawie wprowadzenia Instrukcja ochrony danych osobowych Na podstawie art. 30 ust. 1 ustawy z dnia 8 marca 1990 Bardziej szczegółowo DOBRE PRAKTYKI PRZETWARZANIA DANYCH OSOBOWYCH W SYSTEMACH INFORMATYCZNYCH ZAKŁADÓW UBEZPIECZEŃ. Andrzej Kaczmarek
ZAKŁADÓW UBEZPIECZEŃ Andrzej Kaczmarek BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH 11. 05. 2009 r. Warszawa 1 Generalny Inspektor Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa kancelaria@giodo.gov.pl Bardziej szczegółowo PROCEDURA PRZECHOWYWANIA I PRZETWARZANIA DANYCH OSOBOWYCH W OŚRODKU MEDIACJI INIGO
PROCEDURA PRZECHOWYWANIA I PRZETWARZANIA DANYCH OSOBOWYCH W OŚRODKU MEDIACJI INIGO 1. Ilekroć w procedurze jest mowa o: 1) zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych Bardziej szczegółowo Jak zorganizować szkolną infrastrukturę informatyczną (sieć informatyczną) Tadeusz Nowik
Jak zorganizować szkolną infrastrukturę informatyczną (sieć informatyczną) Tadeusz Nowik Program 1. Strategia bezpieczeństwa w szkole/placówce. 2. Realizacja polityki bezpieczeństwa infrastruktury IT. Bardziej szczegółowo USTAWA z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw 1)
Bezpieczeństwo danych osobowych www.oferta.novo-szkola.pl 23 listopada 2011 r. Dwa podstawowe akty prawne dotyczą przetwarzania danych osobowych w szkołach AKTY PRAWNE DOT. DANYCH OSOBOWYCH Podstawowe Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA INFORMACJI URZĘDU GMINY W KIKOLE
WSKAZÓWKI DOTYCZĄCE WYPEŁNIANIA FORMULARZA ZGŁOSZENIA ZBIORU DANYCH DO REJESTRACJI I. Informacje ogólne 1. Pobierana jest opłata skarbowa uiszczana, gotówką lub bezgotówkowo, za: - wydanie na wniosek administratora Bardziej szczegółowo Na co zwrócić uwagę przygotowując zgodną z prawem kampanię SMS
Na co zwrócić uwagę przygotowując zgodną z prawem kampanię SMS Michał Sztąberek isecuresp. z o.o. Dwa słowa o osobowych Administrator (ADO) Procesor organ, jednostka organizacyjna, podmiot lub osoba decydująca Bardziej szczegółowo Polityka prywatności
Polityka prywatności Regulamin Serwisu internetowego www.labalance.com.pl oraz Aplikacji Internetowej www.rejestracja.labalance.com.pl Ilekroć w niniejszym regulaminie jest mowa o: 1 1. Regulaminie rozumie Bardziej szczegółowo administratora systemów informatycznych w Urzędzie Gminy i Miasta Proszowice NIE
Zarządzenie nr 1/2015 z dnia 2 stycznia 2015 r. o zmianie zarządzenia w sprawie: wyznaczenia administratora bezpieczeństwa informacji oraz administratora systemów informatycznych w Urzędzie Gminy i Miasta Bardziej szczegółowo Bezpieczeństwo teleinformatyczne danych osobowych
Załącznik nr 8 do SIWZ UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH UCZESTNIKÓW PROJEKTÓW W RAMACH UMOWY nr. z dnia. na koordynację i przeprowadzenie kontroli projektów konkursowych realizowanych w Bardziej szczegółowo ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA. z dnia 16 czerwca 2015 r.
ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA w sprawie wyznaczenia administratora bezpieczeństwa informacji oraz zastępców administratora bezpieczeństwa informacji w Urzędzie Gminy w Stegnie. Na podstawie Bardziej szczegółowo POLITYKA PRYWATNOŚCI SKLEPU INTERNETOWEGO MAXIMUSPARTS.PL
POLITYKA PRYWATNOŚCI SKLEPU INTERNETOWEGO MAXIMUSPARTS.PL 1 POSTANOWIENIA OGÓLNE 1. Administratorem danych osobowych zbieranych za pośrednictwem Sklepu Internetowego jest Natalia Rynkowska prowadząca działalność Bardziej szczegółowo Warszawa, dnia 24 kwietnia 2015 r. Pozycja 14 ZARZĄDZENIE NR 14 MINISTRA SKARBU PAŃSTWA 1) z dnia 23 kwietnia 2015 r.
DZIENNIK URZĘDOWY MINISTRA SKARBU PAŃSTWA Warszawa, dnia 24 kwietnia 2015 r. Pozycja 14 ZARZĄDZENIE NR 14 MINISTRA SKARBU PAŃSTWA 1) z dnia 23 kwietnia 2015 r. w sprawie ochrony danych osobowych w Ministerstwie Bardziej szczegółowo Umowa nr..- /15. o powierzeniu przetwarzania danych osobowych zawarta w dniu... 2015 r. w Poznaniu pomiędzy:
Umowa nr..- /15 o powierzeniu przetwarzania danych osobowych zawarta w dniu... 2015 r. w Poznaniu pomiędzy:., wpisanym do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy.. w Poznaniu, VIII Wydział Bardziej szczegółowo REGULAMIN OCHRONY DANYCH OSOBOWYCH W ZASOBACH SPÓŁDZIELNI MIESZKANIOWEJ LOKATORSKO- WŁASNOŚCIOWEJ w Konstancinie-Jeziornie.
REGULAMIN OCHRONY DANYCH OSOBOWYCH W ZASOBACH SPÓŁDZIELNI MIESZKANIOWEJ LOKATORSKO- WŁASNOŚCIOWEJ w Konstancinie-Jeziornie. I Podstawa prawna: 1. Ustawa z dnia 29.08.1997 roku o ochronie danych osobowych Bardziej szczegółowo 1. Postanowienia ogólne
Załącznik nr 1 Polityka prywatności 1. Postanowienia ogólne POLITYKA PRYWATNOŚCI 1.1. Administratorem danych osobowych zbieranych za pośrednictwem Sklepu internetowego jest FRANCISZEK OGRODOWICZ prowadzący Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA KRAJOWEGO REJESTRU KLIENTÓW HOTELOWYCH sp. z o.o.. Art. 1 Postanowienia ogólne
Polityka Prywatności 1 Niniejsza Polityka Prywatności, zwana dalej Polityką, określa zasady zbierania, przetwarzania oraz wykorzystywania Danych Osobowych Użytkowników przez SuperGrosz Sp. z o. o. 2 Pojęcia Bardziej szczegółowo ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI
Dz. U. z 2004 r. Nr 100, poz. 1024 ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych Bardziej szczegółowo SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2014
Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2014 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 Bardziej szczegółowo R E G U L A M I N OCHRONY DANYCH OSOBOWYCH. W GNIEŹNIEŃSKIEJ SPÓŁDZIELNI MIESZKANIOWEJ w GNIEŹNIE
R E G U L A M I N OCHRONY DANYCH OSOBOWYCH W GNIEŹNIEŃSKIEJ SPÓŁDZIELNI MIESZKANIOWEJ w GNIEŹNIE 1 I. Postanowienia ogólne 1 1. Polityka ochrony danych osobowych w Gnieźnieńskiej Spółdzielni Mieszkaniowej Bardziej szczegółowo Regulamin w zakresie przetwarzania danych osobowych w Zespole Szkół Usługowo Gospodarczych w Pleszewie
Regulamin w zakresie przetwarzania danych osobowych w Zespole Szkół Usługowo Gospodarczych w Pleszewie Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Bardziej szczegółowo Polityka prywatności w zakresie Rekrutacji Volvo on-line
Polityka prywatności w zakresie Rekrutacji Volvo on-line Mając na uwadze fakt, iż Grupa Volvo w pełni respektuje wszelkie zasady i warunki przewidziane przez właściwe regulacje prawne dotyczące ochrony Bardziej szczegółowo Polityka bezpieczeństwa danych osobowych
Załącznik nr 1 do zarządzenia nr 124 Rektora UMK z dnia 19 października 2010 r. Polityka bezpieczeństwa danych osobowych 1. Cel i zakres W związku z prowadzoną działalnością, Uniwersytet Mikołaja Kopernika Bardziej szczegółowo POROZUMIENIE W SPRAWIE POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH
Załącznik nr 4 do wzoru umowy POROZUMIENIE W SPRAWIE POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH Pomiędzy: Wyższą Szkołą Nauk Humanistycznych i Dziennikarstwa działającą na podstawie wpisu do rejestru uczelni Bardziej szczegółowo Przetwarzanie danych osobowych w chmurze
Przetwarzanie danych osobowych w chmurze Obalamy mity Jarosław Żabówka 2 Dlaczego chronimy dane osobowe? Czy organizacja ma obowiązek dbać o swoje bezpieczeństwo? A dlaczego ja mam dbać o te dane, tylko Bardziej szczegółowo Biuro Generalnego Inspektora Ochrony Danych Osobowych. Ochrona Danych Osobowych w Polsce 10 lat doświadczeń. Andrzej Kaczmarek
Biuro Generalnego Inspektora Ochrony Danych Osobowych Ochrona Danych Osobowych w Polsce 10 lat doświadczeń Andrzej Kaczmarek A.Kaczmarek SECURE 2007 1 Rozwój technologii a Ochrona Danych Osobowych w Polsce Bardziej szczegółowo BEZPIECZEŃSTWO DANYCH OSOBOWYCH PRZETWARZANYCH PRZY UŻYCIU SYSTEMÓW INFORMATYCZNYCH
BEZPIECZEŃSTWO DANYCH OSOBOWYCH PRZETWARZANYCH PRZY UŻYCIU SYSTEMÓW INFORMATYCZNYCH Tomasz Soczyński Zastępca Dyrektora Departamentu Informatyki BIURO Generalnego Inspektora Ochrony Danych Osobowych Generalny Bardziej szczegółowo a) po 11 dodaje się 11a 11g w brzmieniu:
Zarządzenie Nr 134/05 Starosty Krakowskiego z dnia 27 grudnia 2005r. - w sprawie zmiany Zarządzenia Starosty Krakowskiego Nr 40/99 z dnia 19 sierpnia 1999r. w sprawie ochrony danych osobowych, stosowanych Bardziej szczegółowo REGULAMIN KORZYSTANIA Z SERWISU BIURO KARIER UNIWERSYTETU KAZIMIERZA WIELKIEGO
REGULAMIN KORZYSTANIA Z SERWISU BIURO KARIER UNIWERSYTETU KAZIMIERZA WIELKIEGO dostępnego pod adresem: www.biurokarier.ukw.edu.pl 1 POSTANOWIENIA OGÓLNE 1. Niniejszy Regulamin określa prawa i obowiązki Bardziej szczegółowo darmowy fragment Ochrona Danych Osobowych. Poradnik dla przedsiębiorców Wydanie II, Rybnik 2011 Wszelkie prawa zastrzeżone!
m r a d PATRONI MEDIALNI: e m g a r f y w o t n PARTNERZY: SPONSOR: Ochrona Danych Osobowych. Poradnik dla przedsiębiorców Niniejsza pubikacja chroniona jest prawami autorskimi. Dystrybucja publikacji, Bardziej szczegółowo Polityka Bezpieczeństwa Danych Osobowych. w sklepie internetowym kozakominek.pl prowadzonym przez firmę Worldflame Sp. z o. o.
Polityka Bezpieczeństwa Danych Osobowych w sklepie internetowym kozakominek.pl prowadzonym przez firmę Worldflame Sp. z o. o. Spis treści 1. Ogólne zasady przetwarzania danych osobowych... 3 2. Analiza Bardziej szczegółowo CZĘŚĆ A. NAZWA ZBIORU DANYCH.
CZĘŚĆ A. NAZWA ZBIORU DANYCH. Administrator danych dowolnie określa nazwę zbioru. Zaleca się, aby nazwa zbioru była zwięzła i adekwatna do rodzaju danych przetwarzanych w zbiorze. CZĘŚĆ B. CHARAKTERYSTYKA Bardziej szczegółowo Wszystkie poniższe numery artykułów dotyczą ustawy o ochronie danych osobowych.
Zestawienie zmian w ustawie o ochronie danych osobowych, które weszły w życie z dniem 1 stycznia 2015 r. na mocy ustawy z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej. Wszystkie Bardziej szczegółowo ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r.
ZARZĄDZENIE Nr 15/13 WÓJTA GMINY ŚWIĘTAJNO z dnia 16 kwietnia 2013 r. w sprawie Polityki bezpieczeństwa przetwarzania danych osobowych w Urzędzie Gminy Świętajno Na podstawie art. 36 ust. 2 Ustawy z dnia Bardziej szczegółowo GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH Michał Serzycki Warszawa, dnia 7 kwietnia 2008 r. DIS/DEC 222/8731/08 dot. DIS-K-421/147/07 DIS-K- 421/149/07 D E C Y Z J A Na podstawie art. 104 1 i art. 105 Bardziej szczegółowo Regulamin w zakresie przetwarzania danych osobowych w Gimnazjum nr 2 im. Aleksandra Kamińskiego w Żarach
Regulamin w zakresie przetwarzania danych osobowych w Gimnazjum nr 2 im. Aleksandra Kamińskiego w Żarach Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Bardziej szczegółowo 3. Za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
Regulamin w zakresie przetwarzania danych osobowych w Zespole Szkół Gimnazjum, Szkoła Podstawowa i Przedszkole Samorządowe z Oddziałem Integracyjnym w Kaszczorze. Podstawa prawna: 1. Ustawa z dnia 29 sierpnia Bardziej szczegółowo Zadania Administratora Systemów Informatycznych wynikające z przepisów ochrony danych osobowych. Co ASI widzieć powinien..
Zadania Administratora Systemów Informatycznych wynikające z przepisów ochrony danych osobowych Co ASI widzieć powinien.. Czy dane osobowe są informacją szczególną dla Administratora Systemów IT? Administrator Bardziej szczegółowo zaś wspólnie zwanymi dalej Stronami.
Załącznik nr 4 do ogłoszenia na usługę najmu powierzchni w Data Center pod urządzenia serwerowe będące własnością Urzędu Marszałkowskiego Województwa Lubuskiego POROZUMIENIE W SPRAWIE POWIERZENIA PRZETWARZANIA Bardziej szczegółowo INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM służącym do przetwarzania danych osobowych w Urzędzie Gminy Ostaszewo.
Załącznik nr 2 do zarządzenia nr 39/2015 Wójta Gminy Ostaszewo z dnia 27 maja 2015 r. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM służącym do przetwarzania danych osobowych w Urzędzie Gminy Ostaszewo Bardziej szczegółowo Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2006
Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2006 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 Bardziej szczegółowo Jak nie wdepnąć w GIODO, czyli co musi wiedzieć dział HR o ochronie danych osobowych. Jacek Bajorek Instytut Zarządzania Bezpieczeństwem Informacji
Jak nie wdepnąć w GIODO, czyli co musi wiedzieć dział HR o ochronie danych osobowych Jacek Bajorek Instytut Zarządzania Bezpieczeństwem Informacji GIODO to nie znaczy Główna Instytucja Ochrony Deportowanych Bardziej szczegółowo KONSTYTUCJA RZECZYPOSPOLITEJ POLSKIEJ
KONSTYTUCJA RZECZYPOSPOLITEJ POLSKIEJ Artykuł 47 Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Artykuł 51 Nikt nie może być Bardziej szczegółowo Zarządzenie nr. xx / 2013 DYREKTORA Zespołu Szkół Publicznych w Kazuniu Polskim z dnia dnia miesiąca roku
Zarządzenie nr. xx / 2013 DYREKTORA Zespołu Szkół Publicznych w Kazuniu Polskim z dnia dnia miesiąca roku w sprawie: wprowadzenia w życie Polityki Bezpieczeństwa oraz Instrukcji Zarządzania Systemem Informatycznym, Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH WRAZ Z INSTRUKCJA ZARZĄDZANIA ZINTEGROWANĄ PLATFORMĄ ELF24
POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH WRAZ Z INSTRUKCJA ZARZĄDZANIA ZINTEGROWANĄ PLATFORMĄ ELF24 FIRMY ELF24 SP. Z O.O. SP. K. Z SIEDZIBĄ W POZNANIU Poznań, czerwiec 2015 SPIS TREŚCI SPIS TREŚCI... Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA INFORMACJI 1-2 SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ Z SIEDZIBĄ W WARSZAWIE
Warszawa 2015-07-14 POLITYKA BEZPIECZEŃSTWA INFORMACJI Zgodnie z Ustawą o ochronie danych osobowych (Dz.U. 2014 poz. 1182) 1-2 SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ Z SIEDZIBĄ W WARSZAWIE Spis treści: Bardziej szczegółowo SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2015
Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2015 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 Bardziej szczegółowo INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ SZKOLE WYŻSZEJ
Załącznik nr 3 do Zarządzenia nr 1/2013 Rektora Collegium Mazovia Innowacyjnej Szkoły Wyższej z dnia 31 stycznia 2013 r. INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ Bardziej szczegółowo REGULAMIN ZASAD WSPÓŁPRACY PARTNERSKIEJ ZE SPÓŁKAMI Z GRUPY SALESBEE
REGULAMIN ZASAD WSPÓŁPRACY PARTNERSKIEJ ZE SPÓŁKAMI Z GRUPY SALESBEE 1 W niniejszym regulaminie wskazanym poniżej definicjom nadano następujące znaczenie: 1) Agencja SalesBee Technologies spółka z o.o., Bardziej szczegółowo ZARZĄDZENIE NR 7/12 DYREKTORA ZAKŁADU GOSPODARKI KOMUNALNEJ LIPKA. z dnia 1 marca 2012 r.
ZARZĄDZENIE NR 7/12 DYREKTORA ZAKŁADU GOSPODARKI KOMUNALNEJ LIPKA z dnia 1 marca 2012 r. w sprawie wprowadzenia instrukcji określającej sposób zarządzania systemami informatycznymi służącymi do przetwarzania Bardziej szczegółowo Polityka bezpieczeństwa przetwarzania danych osobowych w VII L.O. im. Juliusza Słowackiego w Warszawie.
Polityka bezpieczeństwa przetwarzania danych osobowych w VII L.O. im. Juliusza Słowackiego w Warszawie. Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (Dz.U. 2002 nr Bardziej szczegółowo GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH DOLiS 035 711/15/BG Warszawa, dnia 2 marca 2015 r. Pani Joanna Kluzik-Rostkowska Minister Edukacji Narodowej Aleja Szucha 25 00 918 Warszawa WYSTĄPIENIE Na Bardziej szczegółowo Szkolenie podstawowe z ustawy o ochronie danych osobowych, w związku z realizacją zadań w zakresie przeciwdziałania przemocy w rodzinie.
Szkolenie podstawowe z ustawy o ochronie danych osobowych, w związku z realizacją zadań w zakresie przeciwdziałania przemocy w rodzinie. Warszawa, Grudzień 2011 I. Krajowe akty prawa dotyczące ochrony Bardziej szczegółowo Zbieranie i ochrona danych osobowych w nadzorze epidemiologicznym
Państwowa Inspekcja Sanitarna Zbieranie i ochrona danych osobowych w nadzorze epidemiologicznym Michał Ilnicki, Departament Przeciwepidemiczny Główny Inspektorat Sanitarny Jakie dane są danymi osobowymi Bardziej szczegółowo Regulamin w zakresie przetwarzania danych osobowych i bezpieczeństwa informacji w Gimnazjum nr 3 im. Polskich Noblistów w Oławie
Podstawa prawna: 1. Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Nr 101, poz. 926 z późn. zm.) 2 Na podstawie Rozporządzenia Ministra Spraw Wewnętrznych i Administracji Bardziej szczegółowo Polityka prywatności i bezpieczeństwa przetwarzania danych osobowych w zbiorze czas-na-przeglad.pl
Poznań, 24.01.2011 Polityka prywatności i bezpieczeństwa przetwarzania danych osobowych w zbiorze czas-na-przeglad.pl Realizując postanowienia ustawy z dnia 29.08.1997r. o ochronie danych osobowych (Dz. Bardziej szczegółowo Zarządzenie Nr 48/2010 Rektora Państwowej Wyższej Szkoły Zawodowej w Gnieźnie
Gniezno, dnia 6 grudnia 2010 r. Zarządzenie Nr 48/2010 Rektora Państwowej Wyższej Szkoły Zawodowej w Gnieźnie w sprawie: polityki bezpieczeństwa ochrony danych osobowych Na podstawie art. 3 ustawy z dnia Bardziej szczegółowo SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2012
Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2012 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 Bardziej szczegółowo KONIECZNE ZMIANY W PRZEPISACH ROZPORZĄDZENIA Z PUNKTU WIDZENIA GIODO
KONIECZNE ZMIANY W PRZEPISACH ROZPORZĄDZENIA Z PUNKTU WIDZENIA GIODO Andrzej Kaczmarek BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH 11. 05. 2009 r. Warszawa Generalny Inspektor Ochrony Danych Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl SPIS TREŚCI I. POSTANOWIENIA OGÓLNE... 2 II. DEFINICJA BEZPIECZEŃSTWA INFORMACJI... 2 III. ZAKRES STOSOWANIA... Bardziej szczegółowo Protokół kontroli problemowej przeprowadzonej w Urzędzie Gminy Łomża Ul. Skłodowskiej 1a, 18-400 Łomża NIP 7181268329, REGON 000534138
Protokół kontroli problemowej przeprowadzonej w Urzędzie Gminy Łomża Ul. Skłodowskiej 1a, 18-400 Łomża NIP 7181268329, REGON 000534138 Kontrolę w dniach 16-17 marca 2009r. przeprowadziła: Pani Monika Kondratowicz Bardziej szczegółowo Załącznik do zarządzenia nr16 /2010 Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
Załącznik do zarządzenia nr16 /2010 Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM SŁUŻĄCYM DO PRZETWARZANIA DANYCH Bardziej szczegółowo REGULAMIN OCHRONY DANYCH OSOBOWYCH W SPÓŁDZIELNI MIESZKANIOWEJ LOKATORSKO WŁASNOŚCIOWEJ W PLESZEWIE
REGULAMIN OCHRONY DANYCH OSOBOWYCH W SPÓŁDZIELNI MIESZKANIOWEJ LOKATORSKO WŁASNOŚCIOWEJ W PLESZEWIE Regulamin niniejszy został opracowany na podstawie przepisów : - ustawy z dnia 29 sierpnia 1997r. o ochronie Bardziej szczegółowo Białystok, 11 stycznia 2012r.
Ochrona danych osobowych w praktyce szkolnej Białystok, 11 stycznia 2012r. Kampanie edukacyjne GIODO Dzień Ochrony Danych Osobowych Dni Otwarte GIODO. Tydzień Zapobiegania Kradzieży Tożsamości. Program Bardziej szczegółowo POLITYKA ZARZĄDZANIA SYSTEMEM MONITORINGU MIEJSKIEGO SŁUŻĄCYM DO PRZETWARZNANIA DANYCH OSOBOWYCH MONITORING MIEJSKI W RADOMIU
Załącznik Nr 1 Do Zarządzenia Nr 33573/2013 Prezydenta Miasta Radomia Z dnia 14 marca 2013 r. POLITYKA ZARZĄDZANIA SYSTEMEM MONITORINGU MIEJSKIEGO SŁUŻĄCYM DO PRZETWARZNANIA DANYCH OSOBOWYCH MONITORING Bardziej szczegółowo R E G U L A M I N. ochrony danych osobowych określający politykę bezpieczeństwa. Spółdzielnia Mieszkaniowa Geofizyka w Toruniu
R E G U L A M I N ochrony danych osobowych określający politykę bezpieczeństwa Spółdzielnia Mieszkaniowa Geofizyka w Toruniu Podstawa prawna: - ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych Bardziej szczegółowo 2016 © DocPlayer.pl Polityka prywatności | Warunki świadczenia usług | Zwrotny adres