Source: https://shar-pol.pl/polityka-prywatnosci/
Timestamp: 2020-07-12 06:27:21+00:00
Document Index: 76991143

Matched Legal Cases: ['art. 24', 'art. 28', 'art. 28', 'art. 2', 'art. 21', 'art. 30', 'art. 33', 'art. 34']

Polityka ochrony danych osobowych w SHAR-POL - SharPol dystrybutor sprzęt i urządzenia medyczne
I. Postanowienia wprowadzające
1. Cele i deklaracje
Zarząd administratora danych, świadomy wagi zagrożeń jakie niesie ze sobą przetwarzanie danych osobowych dla wolności i praw osób, których dane dotyczą, uznaje ochronę tych danych, w szczególności zapewnienie ich bezpieczeństwa, za jeden z priorytetów działalności SHAR-POL.
Zarząd administratora danych podejmuje działania mające na celu wdrożenie przez SHAR-POL przepisów o ochronie danych osobowych oraz zapewnienie stałej zgodności działalności SHAR-POL z tymi przepisami.
W celu realizacji zadań określonych w ppkt. 1) i 2) ustanawia się Politykę ochrony danych osobowych w SHAR-POL. Niniejszy dokument stanowi politykę ochrony danych w rozumieniu art. 24 ust. 2 Rozporządzenia 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO).
Zarząd administratora danych oczekuje, że zasady i procedury określone w niniejszym dokumencie będą faktycznie wdrożone i stosowane przez ich adresatów. Zobowiązuje się wszystkie osoby dopuszczone do przetwarzania danych osobowych w SHAR-POL do dostosowania ich postępowania do wymogów wynikających z niniejszej Polityki ochrony danych osobowych.
Zasady i procedury określone w niniejszym dokumencie stosuje się do wszystkich osób przetwarzających dane osobowe w ramach SHAR-POL, zarówno do zatrudnionych w SHAR-POL, jak i pozostałych, które zostały dopuszczone do przetwarzania na podstawie umów zawartych z SHAR-POL
administratorze danych – rozumie się przez to SHAR-POL sp. z o. o. reprezentowaną przez prezesa zarządu,
haśle – rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, znany jedynie użytkownikowi,
identyfikatorze – rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym,
integralności danych – rozumie się przez to właściwość zapewniającą, że dane osobowe nie zostały zmienione, usunięte lub zniszczone w sposób nieautoryzowany,
podmiotu przetwarzającego, o którym mowa w art. 28 RODO,
organów publicznych, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z przepisami prawa,
pełnomocniku bezpieczeństwa informacji – rozumie się przez to osobę, której administrator danych powierzył realizację zadania w zakresie nadzoru nad przestrzeganiem zasad ochrony danych osobowych,
poufności danych – rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom,
podmiocie przetwarzającym – rozumie się przez to podmiot, któremu zostało powierzone przetwarzanie danych osobowych na podstawie umowy zawartej zgodnie z art. 28 RODO,
raportach – rozumie się przez to przygotowane przez system informatyczny zestawienia zakresu i treści przetwarzanych danych,
RODO – rozumie się przez to rozporządzenia 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE,
rozliczalności – rozumie się przez to właściwość zapewniającą, że podejmowane działania mogą być przypisane w sposób jednoznaczny konkretnej osobie lub podmiotowi,
sieci publicznej – rozumie się przez to publiczną sieć telekomunikacyjną w rozumieniu art. 2 pkt 29 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (t.j. DzU z 2014, poz. 243 z późn. zm.),
serwisancie – rozumie się przez to firmę lub pracownika firmy zajmującej się sprzedażą, instalacją, naprawą i konserwacją sprzętu komputerowego,
systemie informatycznym administratora danych – rozumie się przez to sprzęt komputerowy, oprogramowanie, dane eksploatowane w zespole współpracujących ze sobą urządzeń, programów procedur przetwarzania informacji i narzędzi programowych; w systemie tym pracuje co najmniej jeden komputer centralny i system ten tworzy sieć teleinformatyczną administratora danych,
ustawie – rozumie się przez to ustawę z dnia 10.05.2018 o ochronie danych osobowych,
uwierzytelnianiu – rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu, upoważnionym – rozumie się przez to osobę, która została upoważniona do przetwarzania danych osobowych,
użytkowniku – rozumie się przez to upoważnionego, któremu nadano identyfikator i przyznano hasło.
Administrator danych osobowych reprezentowany przez prezesa zarządu realizuje zadania w zakresie ochrony danych osobowych, w tym zwłaszcza:
podejmuje decyzje o celach i środkach przetwarzania danych osobowych z uwzględnieniem przede wszystkim zmian w obowiązującym prawie, organizacji administratora danych oraz technik zabezpieczenia danych osobowych;
upoważnia i odwołuje upoważnienia dla poszczególnych osób do przetwarzania danych osobowych w określonym indywidualnie zakresie, odpowiadającym zakresowi ich obowiązków;
wyznacza pełnomocnika bezpieczeństwa informacji oraz określa zakres jego zadań i czynności;
wyznacza kierownika biura jako właściwego do prowadzenia ewidencji osób upoważnionych do przetwarzania danych osobowych oraz określa podmioty do przetwarzania danych osobowych na podstawie umowy
we współpracy z pełnomocnikiem bezpieczeństwa informacji zapewnia użytkownikom odpowiednie stanowiska pracy umożliwiające bezpieczne przetwarzanie danych;
2. Pełnomocnik bezpieczeństwa informacji
Pełnomocnik bezpieczeństwa informacji realizuje zadania w zakresie nadzoru nad przestrzeganiem zasad ochrony danych osobowych, w tym zwłaszcza:
sprawuje nadzór nad wdrożeniem stosownych środków fizycznych, organizacyjnych i technicznych – w celu zapewnienia bezpieczeństwa danych,
sprawuje bieżący nadzór nad funkcjonowaniem systemu zabezpieczeń danych osobowych,
przeprowadza wewnętrzne audyty (sprawdzenia) przestrzegania przepisów o ochronie danych osobowych, aktualności dokumentacji z zakresu ochrony danych osobowych oraz przestrzegania określonych w niej zasad,
nadzoruje udostępnianie danych osobowych odbiorcom danych i innym podmiotom,
zapoznaje się na bieżąco z przepisami dotyczącymi ochrony danych osobowych i wytycznymi organu nadzorczego w tej dziedzinie, dbając o dostosowanie działalności SHAR-POL do aktualnych wymogów.
przygotowuje lub zatwierdza dokumenty lub odpowiednie klauzule w dokumentach dotyczące ochrony danych osobowych,
prowadzi lub nadzoruje prowadzenie dokumentacji z zakresu ochrony danych osobowych,
podejmuje odpowiednie działania w przypadku naruszenia lub podejrzenia naruszenia ochrony danych osobowych,
nadzoruje realizację obowiązku zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie tych danych, w szczególności decyduje o terminach i sposobach przeprowadzenia szkoleń w tym zakresie,
w porozumieniu z administratorem danych osobowych na czas nieobecności (urlop, choroba) wyznacza swojego zastępcę.
4. Kierownik biura
Kierownik biura realizuje następujące zadania w zakresie ochrony danych osobowych – prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych,
Każdy upoważniony do przetwarzania danych osobowych jest zobowiązany przestrzegać następujących zasad:
może przetwarzać dane osobowe wyłącznie w zakresie ustalonym indywidualnie przez administratora danych w upoważnieniu i tylko w celu wykonywania nałożonych na nią obowiązków. Zakres dostępu do danych przypisany jest do niepowtarzalnego identyfikatora użytkownika, niezbędnego do rozpoczęcia pracy w systemie. Rozwiązanie stosunku pracy, odwołanie z pełnionej funkcji powoduje wygaśnięcie upoważnienia do przetwarzania danych osobowych;
musi zachować w tajemnicy treść danych osobowych oraz sposób ich zabezpieczenia. Użytkownik jest zobowiązany do zachowania powyższych tajemnic przez cały okres zatrudnienia u administratora danych, a także po ustaniu stosunku pracy lub odwołaniu z pełnionej funkcji;
zapoznaje się z przepisami prawa w zakresie ochrony danych osobowych oraz postanowieniami Polityki bezpieczeństwa danych osobowych w Shar-POL oraz Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych;
stosuje się do wydawanych przez administratora danych, pełnomocnika bezpieczeństwa informacji oraz innych przełożonych procedur, wytycznych oraz poleceń służbowych mających na celu zapewnienie zgodnego z prawem przetwarzania danych osobowych;
korzysta z systemu informatycznego administratora danych w sposób zgodny ze wskazówkami zawartymi w instrukcjach obsługi urządzeń wchodzących w skład systemu informatycznego, oprogramowania i nośników;
zabezpiecza dane przed ich utratą, nieautoryzowanym zmienieniem lub ujawnieniem osobom nieupoważnionym.
III. Infrastruktura przetwarzania danych osobowych
1. Obszar przetwarzania danych osobowych
Obszar przetwarzania danych osobowych obejmuje lokale SHAR-POL.
2. Zasoby danych osobowych
Na zasoby danych osobowych SHAR-POL składają się zarówno dane osobowe przetwarzane w sposób tradycyjny w księgach, wykazach i innych zbiorach ewidencyjnych, jak i przetwarzanych w systemach informatycznych.
Opis zasobów danych osobowych SHAR-POL obejmujący informację o treści i strukturze każdego z zasobów oraz o sposobie przepływu danych pomiędzy zasobami
System informatyczny administratora danych opisuje dokument „Opis systemu informatycznego”
Sposób przetwarzania danych osobowych w systemie informatycznym administratora danych określają Opis zasobów danych osobowych oraz Ewidencja czynności przetwarzania.
4. Dokumentacja ochrony danych osobowych
SHAR-POL prowadzi dokumentację ochrony danych osobowych na którą składają się:
opis zasobów danych osobowych
dokumentacja audytów
umowy z podmiotami przetwarzającymi
W ramach dokumentacji ochrony danych osobowych kierownik biura prowadzi ewidencje:
osób upowaznionych do przetwarzania danych osobowych i umów powierzenia danych z podmiotami zewnętrznymi
użytkowników systemu informatycznego
IV. Identyfikacja zagrożeń bezpieczeństwa danych osobowych
Identyfikuje się nastepujące zagrożenia bezpieczeństwa danych osobowych przetwarzanych w SHAR-POL:
sytuacje losowe lub nieprzewidziane oddziaływanie czynników zewnętrznych na zasoby systemu,
niewłaściwe parametry środowiska zakłócające prace urzdzeń komputerowych awarie sprzętu lub oprogramowania (losowe, spowodowane niewłaściwym działaniem użytkowników),
zastosowanie niewłaściwych metod zabezpieczenia systemu informatycznego lub brak dostosowania poziomu zabezpieczeń do aktualnego poziomu wyzwań technologicznych
naruszenia zasad i procedur przez osoby upoważnione do przetwarzania danych osobowych będących skutkiem nieprzestrzegania procedur ochrony danych.
V. Przeciw działanie zagrożeniom danych osobowych
1. Strefy bezpieczeństwa
W siedzibie adminisratora danych wydzielono klasy bezpieczeństwa. W klasie I dostęp do informacji zabezpieczony jest wewnętrznymi środkami kontroli. W sklad strefy wchodzą: serwerownia, w której mogą przebywac wylacznie administrator systemu, inne osoby upowanione upowaznione do przetwarzania tylko w obecności administratora, osoby postronne nie mają wstępu, klucz jest przechowywany w sejfie W klasie II maja dostęp osoby upowaznione do przetwarzania danych osobowych zgodnie z zakresami upowaznień, a osoby postronne moga w niej przebywać tylko w obecności pracownika upoważnionego. Strefa ta obejmuje wszystkie pomieszczenia zaliczone do pbszaru przetwarzania danych.
2. Zabezpieczenie sprzętu
Serwer jest zlokalizowany w odrebnym pomieszczeniu bez okna z klimatyzavcją, drzwi zamykane na klucz
administrator systemu wskazuje użytkownikom , jak postępować, aby zapewnić prawidłową eksploatację urządzeń i systemu informatycznego
Wszystkie urządzenia systemu informatycznego są zasilane za pośrednictwem zasilaczy awaryjnych(UPS)
Okablowanie sieciowe- dostęp do linii transmisyjnych jest możliwy tylko z pomieszczeń zamykanych na klucz. Kable sieciowe nie krzyżują się z kablami zasilającymi co zapobiega interferencjom.
Bieżąca konserwacja sprzętu wykorzystywana do przetwarzania danych osobowych prowadzona jest przez upoważnioną firmę lub pod ich nadzorem przez innych upoważnionych
W przypadku konieczności naprawy sprzętu wykorzystywanego do przetwarzania danych osobowych dokonuje się tego z podmiotem wykonującym naprawę umowy o powierzenie przetwarzania danych osobowych lub po usunięciu tych danych
Dopuszcza się konserwowanie i naprawę sprzętu poza siedzibą administratora danych jedynie po trwałym usunięciu danych osobowych lub po podpisaniu umowy o powierzenie przetwarzania danych osobowych
Zużyty sprzęt może być zbywany po trwałym usunięciu danych osobowych. Urządzenia uszkodzone mogą być utylizowane przez podmioty z którymi zawarto umowy o powierzenie przetwarzania danych osobowych jeśli trwałe usunięcie danych jest zbyt kosztowne
3. Zabezpieczenie systemu informatycznego
System informatyczny posiada szerokopasmowe połączenie z Internetem, Administrator danych wykorzystuje centralną zaporę sieciową w celu separacji lokalnej sieci od publicznej.
Przed atakami z sieci zewnętrznej wszystkie komputery ( w tym także przenośne) chronione są środkami dobranymi przez administratora w porozumieniu z pełnomocnikiem bezpieczeństwa informacji. Aktualizacja zabezpieczeń odbywa się bez udziału użytkowników rozbudowy systemu informatycznego.
Administratora w porozumieniu z pełnomocnikiem bezpieczeństwa informacji dobiera elektroniczne środki ochrony przed atakami z sieci stosownie do pojawiania się nowych zagrożeń, a także stosownie do rozbudowy systemu i powiększania bazy danych.
4. Kontrola dostępu do systemu i monitorowanie pracy użytkowników
Poszczególnym osobom upowaznionym do przetwarzania danych osobowych przydziela się konta optrzone niepowtarzalnym identyfikatorem umożliwiającym dostęp do danych zgodnie z zakresem upoważnienia.
System informatyczny administratora danych poprzez moduł może śledzić kto kiedy i jakie programy uruchamia na poszczególnych stacjach roboczych. Ponadto system ten zapewnia odnotowanie:
identyfikatora użytkownika wprowadzającego dane osobowe do systemu
źródła danych – w przypadku zbierania danych nie od osoby, której one dotyczą
informacji o odbiorcach danych którym dane osobowe zostały udostępnione, o dacie i zakresie tego udostepnienia
wniesienia sprzeciwu wobec przetwarzania danych osobowych o którym mowa w art. 21 RODO
Odnotowanie daty pierwszego wprowadzenia danych do systemu ora identyfikatora użytkownika następuje automatycznie po zatwierdzeniu przez użytkownika operacji wprowadzenia danych.
Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym system zapewnia sporzadzenie i wydrukowanie raportu zawierajacego w powszechnie zrozumiałej formie informacje.
System informatyczny administratora danych umozliwia zapisywanie zdarzeń wyjątkowych na potrzeby audytu i przechowywanie informacji o nich przez określony czas. Zapisy obejmują:
datę i czas zalogowania i wylogowania systemu
tożsamość stacji roboczej
zapisy udanych i nieudanych prób dostępu do systemu
zapisy udanych i nieudanych prób dostępu do danych i innych zasobów systemowych
5. Polityka osobowa
Nabór pracowników na stanowiska zwiazane z przetwarzaniem danych osobowych dokonywany jest z uwzględnieniem kompetencji merytorycznych oraz kwalifikacji moralnych kandydatów.
Dopuszczenie do stanowisk związanych z przetwarzaniem danych osobowych następuje po zrealizowaniu obowiązków wynikających z przepisów prawa oraz niniejszej Polityki bezpieczeństwa informacji, w szczególności po wystawieniu stosowanego indywidualnego upoważnienia oraz zapoznaniu osób dopuszczonych do przetwarzania z zasadami bezpieczeństwa danych osobowych.
Ryzyko naruszenia zasad ochrony danych osobowych ze strony osób, które nie zostały upoważnione do przetwarzania danych osobowych (np. personel sprzątający) jest minimalizowane przez odpowiednie przeszkolenie ich (pouczenie) oraz zobowiązywanie do zachowania tajemnicy.
6. Indywidualne wymagania dotyczące użytkowników
Użytkownicy zobowiązani sa do zachowania następujących reguł bezpieczeństwa:
powstrzymywania się od samodzielnej ingerencji w oprogramowanie i konfigurację powierzonego sprzetu oraz instalowania nieautoryzowanego oprogramowania, nawet gdy z pozoru mogloby to usprawnić pracę lub podnieść poziom bezpieczeństwa danych,
dbania o prawidłowa wentylację komputerów,
niepodłączania do listew podtrzymujących napięcie przeznaczonych dla sprzętu komputerowego innych urządzeń
zamykania okien
przestrzegania indywidualnych uprawnień i realizacji obowiązków w zakresie przetwarzania danych osobowych w szczególności właściwego korzystania z powierzonych sprzętów i udostępnionych zasobów oraz używania wyłącznie własnego identyfikatora i hasła
odpowiedniego zabezpieczenia identyfikatora i hasła oraz nieudostępniania go innym osobom
zachowania danych osobowych i sposobu ich zabezpieczenia w tajemnicy, w tym także wobec osób najbliższych
ustawiania ekranów komputerowych tak, aby osoby nieuprawnione nie widziały treści wyświetlanych na ekranie
niepozostawianie osób postronnych w pomieszczeniu, w którym przetwarzane s dane osobowe bez obecności osób upoważnionych do przetwarzania danych osobowych
niepozostawiania bez kontroli włączonych urządzeń zawierających dane osobowe oraz niezabezpieczonych dokumentów
niszczenia niepotrzebnych wydruków i kopii dokumentów po ich wykorzystaniu oraz kasowania po wykorzystaniu z dysków przenośnych
powstrzymania się od przesyłania danych osobowych pocztą elektroniczną
kończenia pracy na stacji roboczej po wprowadzeniu danych przetwarzanych tego dnia w odpowiednie obszary serwera, a następnie prawidłowym wylogowaniu się użytkownika i wyłączeniu komputera
zadbanie o odpowiednie zabezpieczenie: pomieszczeń oraz wszelkich dokumentów i wydruków zawierających dane osobowe przed opuszczeniem miejsca pracy
7. Komputery przenośne i praca poza siedzibą administratora
Wynoszenie poza obszar przetwarzania danych urządzeń i dokumentów zawierających dane osobowe jest dopuszczalne jedynie za wiedzą i zgodą pełnomocnika bezpieczeństwa informacji lub bezpośredniego przełożonego, gdy konieczność taka została uzgodniona z pełnomocnikiem bezpieczeństwa informacji.
Urządzenia zawierające dane osobowe wynoszone poza obszar przetwarzania danych należy chronić przed uszkodzeniami fizycznymi. Należy też bezwzględnie przestrzegać zaleceń producentów dotyczących ochrony sprzętu. W szczególności należy pamiętać, że urządzenia elektroniczne mogą ulec uszkodzeniu w skutek działanie silnego pola elektromagnetycznego i chronić je przed takim oddziaływaniem.
Urządzenia przenośne, nośniki danych oraz dokumenty wynoszone poza obszar przetwarzania danych nie powinny być pozostawiane bez nadzoru. W szczególności zabrania się pozostawiania urządzeń i dokumentów zawierających dane osobowe bez odpowiedniego zabezpieczenia w miejscach publicznych, pokojach hotelowych oraz w samochodach.
Wykorzystywanie urządzeń przenośnych, nośników danych oraz dokumentów zawierających dane osobowe w miejscach publicznych jest dozwolone, o ile otoczenie, w którym znajduje się osoba upoważniona do przetwarzania danych osobowych, stwarza warunki minimalizujące ryzyko utraty, zniszczenia lub zapoznania się z danymi przez osoby nieupoważnione. Za miejsca szczególnego ryzyka należy uznać restauracje oraz środki komunikacji publicznej.
Niedozwolone jest udostępnianie urządzeń przenośnych i nośników danych należących do administratora danych osobom nieupoważnionym, w tym domownikom i osobom bliskim użytkownika. Użytkownik obowiązany jest zachować w tajemnicy wobec wszystkich osób, w tym wobec domowników i osób bliskich identyfikator i hasło, których podanie jest konieczne do rozpoczęcia pracy na komputerze przenośnym administratora danych lub chroniącym dostęp do nośników danych.
VII. Działania nadzorcze i audyty wewnętrzne.
1. Nadzór nad przestrzeganiem ochrony danych osobowych
W celu zapewnienia ochrony wolności i praw osób, których dane dotyczą, a zwłaszcza bezpieczeństwa dotyczących ich danych, pełnomocnik bezpieczeństwa informacji zapewnia zgodność działalności SHAR-POL z przepisami.
Realizując zadanie określone w ppkt. 1) pełnomocnik bezpieczeństwa informacji:
dokonuje inwentaryzacji zasobów danych osobowych i dba o aktualność ich opisu zgodnie z wymogami określonymi w części III pkt. 2 ppkt. 2 niniejszej Polityki,
przeprowadza ocenę ryzyka naruszenia ochrony danych osobowych
prowadzi rejestr czynności przetwarzania
jeśli to wymagane przeprowadza ocenę skutków dla ochrony danych
czuwa nad aktualnością dokumentacji z zakresu ochrony danych osobowych
czuwa nad przestrzegania zasad określonych w dokumentacji ochrony danych osobowych
czuwa nad zgodnością przetwarzania danych osobowych z przepisami
prowadzi postępowanie wyjaśniające w przypadku stwierdzenia naruszenia lub podejrzenia naruszenia ochrony danych osobowych
W celu realizacji zadań określonych w ppkt. 2 lit. f-h) pełnomocnik bezpieczeństwa informacji przeprowadza okresowe audyty wewnętrzne (tzw. sprawdzenia planowe). Realizując zadanie określone w ppkt. 2 lit. i pełnomocnik bezpieczeństwa informacji przeprowadza audyt wewnętrzny nieobjęty planem sprawdzeń (tzw. sprawdzenie doraźne).
2. Inwentaryzacja i opis zasobów
Pełnomocnik bezpieczeństwa informacji dba o to by przetwarzanie danych osobowych w SHAR-POL odbywało się wyłącznie za wiedzą, zgodą i pod nadzorem upoważnionych.
W celu realizacji zadania określonego w ppkt. 1) pełnomocnik bezpieczeństwa informacji opisuje zasoby danych osobowych oraz sposób ich przetwarzania i zabezpieczenia
Pełnomocnik bezpieczeństwa informacji dba o aktualność opisu zasobów. Ocena aktualności opisu zasobów stanowi element okresowego przeglądu dokumentacji o którym mowa w pkt.8.
SHAR-POL prowadzi rejestr czynności przetwarzania tak, by był on zgodny z wymogami art. 30 RODO. Przeprowadzając okresowy przegląd dokumentacji o którym mowa w pkt. 8 pełnomocnik bezpieczeństwa informacji dokonuje oceny spełnienia powyższego wymogu.
Pełnomocnik bezpieczeństwa informacji przekazuje rejestr czynności przetwarzania organowi nadzorczemu na jego żądanie.
Administrator danych zleca pełnomocnikowi bezpieczeństwa informacji przeprowadzenie oceny ryzyka, gdy:
dokonywane są zmiany sposobu działania SHAR-POL, w szczególności zmiany w zakresie wykorzystywanej technologii i organizacji pracy, gdy może to mieć wpływ na przetwarzanie danych osobowych.
Wyniki oceny ryzyka pełnomocnik bezpieczeństwa informacji przedstawia niezwłocznie administratorowi danych. Jeśli na skutek przeprowadzonej oceny pełnomocnik bezpieczeństwa informacji ustali, że dany rodzaj przetwarzania z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, to administrator danych rezygnuje z planowanych działań, albo podejmuje czynności wskazane w ppkt.
Jeśli administrator danych chce kontynuować planowane działania mimo, że z oceny ryzyka wynika, że z dużym prawdopodobieństwem mogą one powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, to:
zleca pełnomocnikowi bezpieczeństwa informacji przeprowadzenie oceny skutków przetwarzania dla ochrony danych osobowych zgodnie z pkt. 5.
oceny skutków przetwarzania dla ochrony danych wskazanej w ppkt. 4 nie trzeba przeprowadzać, gdy przetwarzanie jest obowiązkiem wynikającym
w interesie publicznym lub w ramach sprawowania władzy publicznej
Ocenę ryzyka pełnomocnik bezpieczeństwa informacji przeprowadza także w przypadku stwierdzenia naruszenia lub podejrzenia naruszenia ochrony danych osobowych zgodnie z częścią VIII niniejszej Polityki.
5. Ocena skutków przetwarzania dla ochrony danych
Jeżeli administrator danych osobowych zlecił pełnomocnikowi bezpieczeństwa informacji przeprowadzenie oceny skutków przetwarzania dla ochrony danych zgodnie z pkt. 4 ppkt. 4 lit. b), to pełnomocnik bezpieczeństwa informacji przystępuje niezwłocznie do opracowania takiej oceny.
Ocena skutków o której mowa w ppkt. 1) obejmuje:
wskazanie środków zaplanowanych w celu zaradzenia ryzyku, ze szczególnym wyróżnieniem tych opracowanych i wdrożonych w ramach działań podjętych na zlecenie wskazane w pkt. 4 ppkt. 4 lit. a);
ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą, po zastosowaniu środków wskazanych w ppkt. 2 lit. c).
Wyniki oceny skutków pełnomocnik bezpieczeństwa informacji przedstawia niezwłocznie administratorowi danych. Jeśli ocena skutków dla ochrony danych wykaże, że przetwarzanie powodowałoby nadal wysokie ryzyko naruszenia wolności lub praw osób, których dane dotyczą, a zastosowane środki wskazane w pkt. 5 ppkt. 2 lit. c) nie pozwalają na jego zminimalizowanie, to administrator danych rezygnuje się z podejmowania planowanych działań, albo przedstawia sprawę organowi nadzorczemu w trybie uprzednich konsultacji zgodnie z pkt. 6.
7. Audyty wewnętrzne
sprawdzenie prawidłowości i aktualności dokumentacji z zakresu ochrony danych osobowych;
sprawdzenie przestrzegania zasad i procedur określonych w dokumentacji ochrony danych osobowych.
Audyty wewnętrzne wskazane w ppkt. 1) są przeprowadzane okresowo zgodnie z planem sprawdzeń przygotowywanym przez pełnomocnika bezpieczeństwa informacji (sprawdzenia planowe). Plan sprawdzeń obejmuje maksimum 1 rok. Jest on przekazywany administratorowi danych do wiadomości w terminie minimum 2 tygodni przed rozpoczęciem okresu, który plan obejmuje. Jeśli sprawdzenie planowe obejmuje kontrolę w konkretnej jednostce lub dziale to kierownik tej jednostki jest zawiadamiany o sprawdzeniu nie później niż na 7 dni przed rozpoczęciem sprawdzenia.
W sytuacji powzięcia wiadomości o naruszeniu ochrony danych osobowych lub uzasadnionego podejrzenia wystąpienia takiego naruszenia pełnomocnika bezpieczeństwa informacji przeprowadza audyt nieobjęty planem sprawdzeń (tzw. sprawdzenie doraźne). W przypadku sprawdzeń doraźnych terminy określone w ppkt. 2) nie obowiązują.
Obowiązki określone w ppkt. 1-4) pełnomocnik bezpieczeństwa informacji realizuje we współpracy z kierownikiem biura 8. Zapewnienie aktualności dokumentacji z zakresu ochrony danych osobowych
Pełnomocnik bezpieczeństwa informacji dokłada starań by dokumentacja ochrony danych osobowych była aktualna.
8. Zapewnienie przestrzegania zasad określonych w dokumentacji ochrony danych osobowych.
Pełnomocnik bezpieczeństwa informacji prowadzi bieżący nadzór nad działalnością SHAR-POL związaną z przetwarzaniem danych osobowych. Realizując powyższe zadanie pełnomocnik bezpieczeństwa informacji m.in. na bieżąco ocenia zagrożenia, sprawdza kluczowe punkty bezpieczeństwa, formułuje zalecenia i wskazówki, odpowiada na pytania i udziela porad.
Niezależnie od działań wskazanych w ppkt. 1) pełnomocnik bezpieczeństwa informacji nie rzadziej niż raz do roku przeprowadza audyt przestrzegania zasad i procedur ochrony danych osobowych w SHAR-POL .
W ramach audytu określonego w ppkt. 2) dokonuje się w szczególności analizy zagrożeń określonych w części IV niniejszej Polityki oraz sprawdza realizację wskazań i obowiązków określonych w części V niniejszej Polityki.
9. Zapewnienie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych
Pełnomocnik bezpieczeństwa informacji na bieżąco śledzi zmiany prawne i zapoznaje się ze wskazówkami organu nadzorczego wydanymi w zakresie ich wdrożenia. Pełnomocnik bezpieczeństwa informacji informuje administratora danych o planowanych zmianach prawnych i w porozumieniu z nim oraz, gdy to właściwe, z udziałem administratora systemu, przygotowuje projekty dostosowujące działania, zasady i procedury wewnętrzne do nowych wymogów.
Niezależnie od działań wskazanych w ppkt. 1) pełnomocnik bezpieczeństwa informacji nie rzadziej niż raz do roku przeprowadza audyt zgodności przetwarzania danych osobowych z przepisami. SHAR-POL .
W ramach audytu określonego w ppkt. 2) dokonuje się w szczególności oceny realizacji wymogów wskazanych w części VI niniejszej Polityki.
VIII. Naruszenie ochrony danych osobowych
1. Postępowanie w przypadku stwierdzenia lub podejrzenia stwierdzenia naruszenia ochrony danych osobowych
Zasady postępowania w przypadku stwierdzenia naruszenia lub podejrzenia naruszenia bezpieczeństwa systemu informatycznego określa Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w SHAR-POL.
Każdy kto stwierdził inne niż określone w ppkt. 1) naruszenie ochrony danych osobowych lub podejrzewa takie naruszenie powinien niezwłocznie poinformować o tym pełnomocnika bezpieczeństwa informacji. Jako inne niż określone w ppkt. 1) naruszenie rozumie się w szczególności brak realizacji lub niewłaściwą realizację wymogów określonych w części VI niniejszej Polityki.
Pełnomocnik bezpieczeństwa informacji po otrzymaniu zawiadomienia, o którym mowa w ppkt. 2) przeprowadza niezwłocznie postępowanie wyjaśniające w celu ustalenia czy naruszenie ochrony danych osobowych miało miejsce (tzw. sprawdzenie doraźne).
Sprawdzenie doraźne może zostać wszczęte przez pełnomocnik bezpieczeństwa informacji także z własnej inicjatywy, gdy w inny sposób niż w skutek zawiadomienia poweźmie informację o naruszeniu lub możliwym naruszeniu ochrony danych osobowych.
W przypadku stwierdzenia naruszenia ochrony danych osobowych w trybie określonym w ppkt. 3 lub 4) pełnomocnik bezpieczeństwa informacji:
podejmuje niezwłoczne, możliwe do wprowadzenia na bieżąco, działania zapobiegające dalszemu naruszaniu ochrony danych osobowych,
stosuje niezwłoczne, możliwe do wprowadzenia na bieżąco, środki eliminujące lub zmniejszające ryzyko naruszenia praw lub wolności osoby, której dane dotyczą,
sporządza raport naruszenia ochrony danych osobowych, a następnie niezwłocznie przekazuje jego kopię administratorowi danych.
Raport o którym mowa w ppkt. 5 lit. c) zawiera w szczególności:
opis okoliczności naruszenia ochrony danych osobowych;
opis charakteru naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazuje kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
ocenę czy jest prawdopodobne, że naruszenie skutkowało ryzykiem lub wysokim ryzykiem naruszenia wolności lub praw osób fizycznych;
wskazanie zastosowanych lub proponowanych działań zaradczych, ze szczególnym uwzględnieniem takich, które zmierzają do zminimalizowania ewentualnych negatywnych skutków naruszenia.
Administrator danych osobowych po zapoznaniu się z raportem o którym mowa w ppkt. 6) podejmuje decyzje o dalszym trybie postępowania, a w szczególności:
jeśli to właściwe, zarządza podjęcie czynności zmierzających do usunięcia naruszenia i jego skutków oraz zapobieżeniu naruszeniom ochrony danych osobowych na przyszłość.
jeśli to możliwe, zarządza zastosowanie środków eliminujących lub zmniejszających prawdopodobieństwo ryzyka naruszenia praw lub wolności osoby, której dane dotyczą,
jeśli jest to właściwe zawiadamia o naruszeniu właściwe organy, w tym zgłasza naruszenie organowi nadzorczemu oraz informuje o naruszeniu osoby, których naruszenie dotyczy. Do zgłasza naruszeni organowi nadzorczemu zgodnie z art. 33 ust. 1 RODO oraz zawiadamia o naruszeniu osób, których dane dotyczą zgodnie z art. 34 ust. 1 RODO stosuje się postanowienia pkt. 2 i 3 niniejszej części
2. Zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu i zawiadomienie osoby, której dane dotyczą.
Jeśli administrator danych ustali, że jest prawdopodobne, że naruszenie ochrony danych osobowych stwierdzone w trybie określonym w pkt. 1 skutkowało ryzykiem naruszenia wolności lub praw osób fizycznych nakazuje pełnomocnikowi bezpieczeństwa informacji przygotowanie projektu zgłoszenia naruszenia organowi nadzorczemu,
Zgłoszenie naruszenia wskazane w ppkt. 1) zawiera, w szczególności:
informacje zawarte w raporcie, zgodnie z pkt. 1 ppkt. 6),
wskazanie imienia i nazwiska oraz danych kontaktowych pełnomocnika bezpieczeństwa informacji, jako osoby właściwej do kontaktu w sprawie. W szczególnych przypadkach, po konsultacji z administratorem danych osobowych, do kontaktu w sprawie może być wskazana inna osoba niż pełnomocnik bezpieczeństwa informacji.
Zgłoszenie naruszenia ochrony danych osobowych, o którym mowa w ppkt. 1-2) administrator danych zatwierdza i przekazuje organowi nadzorczemu bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia.
Jeżeli dotrzymanie terminu wskazanego w ppkt. 3) jest niemożliwe administrator danych do zgłoszenia dołącza wyjaśnienie przyczyn opóźnienia. Jeżeli – i w zakresie, w jakim – informacji nie da się udzielić od razu, administrator danych udziela tych informacji sukcesywnie, bez zbędnej zwłoki.
3. Zawiadomienie osoby, której dane dotyczą.
Jeśli administrator danych ustali, że naruszenie ochrony danych osobowych stwierdzone w trybie określonym w pkt. 1 może powodować wysokie ryzyko naruszenia wolności lub praw osób fizycznych i nie da się zastosować środków eliminujących to wysokie ryzyko, nakazuje pełnomocnikowi bezpieczeństwa informacji przygotowanie projektu zawiadomienia o naruszeniu dla wszystkich osób, których danych naruszenie dotyczy.
Zawiadomienie o którym mowa w ppkt. 1) powinno być napisane jasnym i prostym językiem oraz zawierać, w szczególności:
skazanie zastosowanych lub planowanych działań zaradczych, ze szczególnym uwzględnieniem takich, które mogą zminimalizować ewentualne negatywne skutki naruszenia,
Zawiadomienie o naruszeniu ochrony danych osobowych, o którym mowa w ppkt. 1-2) administrator danych zatwierdza i przekazuje niezwłocznie wszystkim osobom, których danych naruszenie dotyczy.
Jeżeli administrator danych oceni, że realizacja wymogów określonych w ppkt. 1-3) wymagałoby niewspółmiernie dużego wysiłku, w szczególności niewspółmiernie dużego wysiłku wymagałoby nawiązanie bezpośredniego, indywidualnego kontaktu z osobami, których danych naruszenie dotyczy, może podjąć decyzje o przekazaniu informacji zainteresowanym poprzez wydanie publicznego komunikatu lub o zastosowaniu innego podobnego środka, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.
4. Dokumentacja naruszenia ochrony danych osobowych.
Pełnomocnik bezpieczeństwa informacji prowadzi dokumentację naruszenia danych osobowych.
W skład dokumentacji o której mowa w ppkt. 1) wchodzą:
kopia raportu
kopie zawiadomień
wszelkie inne dokumenty, w tym notatki służbowe, pliki, zdjęcia i inne dowody zebrane w trakcie przeprowadzania czynności wyjaśniających pozwalające ustalić okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze.
Dokumentacja naruszenia ochrony danych osobowych pozostaje do wglądu organu nadzorczego.