Source: http://knap.biz.pl/polityka-prywatnosci-rodo/
Timestamp: 2020-07-05 19:19:10
Legal References Found: art. 51
 art. 37
 art. 38
 art.29
 art. 11
 art. 28

Document Content:
Strona główna > Polityka prywatności (RODO)
Niniejszy dokument określa zasady bezpieczeństwa przetwarzania danych osobowych jakie powinny być przestrzegane i stosowane w KNAP Consultants Spółka z o.o., firmie konsultingowej, świadczącej usługi doradcze z zakresu zarządzania biznesem i zasobami ludzkimi z siedzibą w Warszawie, zwanej dalej KNAP Consultants, przez osoby, które przetwarzają dane osobowe.
Stosowanie zasad określonych w niniejszym dokumencie ma na celu zapewnienie prawidłowej ochrony danych osobowych przetwarzanych przez KNAP Consultants wynikającej z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) zwanym dalej RODO, oraz Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych
Polityka bezpieczeństwa w razie konieczności jest modyfikowana (np. wymogami prawa) lub wydawane są do niej stosowne załączniki na podstawie zarządzeń i/lub decyzji Administratora.
Politykę stosuje w celu zabezpieczenia danych osobowych przetwarzanych tradycyjnie w wersji papierowej, na stacjonarnych i przenośnych elektronicznych nośnikach informacji (pen-drive, dyski zewnętrzne, płyty CD itp.) oraz w systemie informatycznym. W zakresie podmiotowym, POLITYKA obowiązuje wszystkie osoby współpracujące z KNAP Consultants mające dostęp w jakiejkolwiek formie do danych osobowych. Powyższy zapis stosuje się także do osób niezatrudnionych bezpośrednio w KNAP Consultants, mające jednak dostęp w jakiejkolwiek formie do danych osobowych.
integralności – właściwości zapewniającej, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany,
„przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie,
„ograniczenie przetwarzania” oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania,
„pseudonimizacja” oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej,
„administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania,
„podmiot przetwarzający” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora,
„odbiorca” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania,
„strona trzecia” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe,
„zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych,
„naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych,
„dane genetyczne” oznaczają dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej,
„dane biometryczne” oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne,
„dane dotyczące zdrowia” oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia,
„przedsiębiorca” oznacza osobę fizyczną lub prawną prowadzącą działalność gospodarczą, niezależnie od formy prawnej, w tym spółki osobowe lub zrzeszenia prowadzące regularną działalność gospodarczą,
„grupa przedsiębiorstw” oznacza przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie kontrolowane,
„organ nadzorczy” oznacza niezależny organ publiczny ustanowiony przez państwo członkowskie zgodnie z art. 51 RODO,
Administrator Danych Osobowych (ADO) – podmiot decydujący o celach i środkach przetwarzania danych osobowych, w przypadku niniejszej Polityki funkcję ADO pełni KNAP Consultants. Inspektor danych osobowych (IOD) – jeśli został powołany – posiada statut w podmiocie określony w art. 37 RODO i zasadach wskazanych w art. 38 i 39 RODO.
podejmowanie odpowiednich i niezbędnych kroków mających na celu zapewnienie prawidłowej ochrony danych osobowych na podstawie art 24 i 32 RODO,
Do obowiązków osób upoważnionych do przetwarzania danych osobowych należy znajomość i stosowanie w możliwie największym zakresie wszelkich dostępnych środków ochrony danych osobowych w szczególności zasad określonych w art.29 RODO to jest, każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.
zapoznanie się z regulacjami wewnętrznymi dotyczącymi ochrony danych osobowych w KNAP Consultants, w szczególności z Polityką danych osobowych,
udzielanie wyczerpujących wyjaśnień Administratorowi ochrony danych osobowych w toku prowadzonego przez niego sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych,
za bieżącą, operacyjną ochronę danych osobowych odpowiada każda osoba przetwarzająca te dane w zakresie zgodnym z obowiązkami służbowymi oraz rolą sprawowaną w procesie przetwarzania danych,
upoważnienia, o których mowa powyżej, przechowywane są w aktach osobowych pracownika i obowiązują do czasu ustania stosunku pracy lub cofnięcia upoważnienia do przetwarzania danych osobowych.
ze względu na charakter prowadzonej działalności dokumenty dotyczące upoważnień, tj. załączniki nr 1-3, stanowią wzory, do wykorzystania w przyszłości.
identyfikator, jeżeli osoba upoważniona została zarejestrowana w systemie informatycznym, służącym do przetwarzania danych osobowych – jeśli konieczne,
sposoby zabezpieczania danych osobowych, stosowane w KNAP Consultants, stanowią tajemnicę pracodawcy oraz tajemnicę przedsiębiorstwa – w rozumieniu art. 11 ust. 4 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji,
niniejsza Polityka jest aktualizowana wraz ze zmieniającymi się przepisami prawnymi, dotyczącymi ochronny danych osobowych oraz zmianami faktycznymi, w ramach KNAP Consultants, które mogą powodować, iż zasady ochrony danych osobowych, określone w obowiązujących dokumentach, będą nieaktualne lub nieadekwatne,
zmiany niniejszej Polityki wymagają przeglądu innych dokumentów dotyczących ochrony danych osobowych obowiązujących w KNAP Consultants.
należy zapewnić, aby usługi zewnętrzne były prowadzone wyłącznie zgodnie z wymaganiami bezpieczeństwa przetwarzania danych osobowych, obowiązującymi w KNAP Consultants, wymaganiami umowy oraz wymaganiami prawa,
należy zapewnić, aby użytkownicy, nie będący pracownikami KNAP Consultants, posiadali Upoważnienie do przetwarzania danych osobowych, nadanych przez ADO i stosowali te same zasady bezpieczeństwa przetwarzania danych osobowych, co użytkownicy będący pracownikami,
powierzenie przetwarzania danych osobowych może mieć miejsce wyłącznie na podstawie pisemnej umowy – Umowy Powierzenia danych osobowych, stanowiąca załącznik nr 7 do Polityki) określającej w szczególności zakres i cel przetwarzania danych,
powierzenie przetwarzania danych osobowych musi uwzględniać wymogi określone w art. 28 RODO. W szczególności podmiot zewnętrzny, któremu ma zostać powierzone przetwarzanie danych osobowych, jest obowiązany przed rozpoczęciem przetwarzania danych do podjęcia środków organizacyjno-technicznych określonych w art 32-36 RODO,
w umowach stanowiących podstawę powierzenia przetwarzania danych, eksploatacji systemu informatycznego lub części infrastruktury należy umieścić zobowiązanie podmiotu zewnętrznego do, przestrzegania niniejszej Polityki oraz zastosowania odpowiednich środków technicznych i organizacyjnych, zapewniających bezpieczeństwo i odpowiedni poziom ochrony danych,
powierzenie przetwarzania danych nie oznacza zwolnienia z odpowiedzialności KNAP Consultants za, zgodne z prawem, przetwarzanie powierzonych danych, co wymaga, w umowach stanowiących podstawę powierzenia przetwarzania danych, umieszczenia prawa KNAP Consultants do kontroli wykonania przedmiotu umowy, w siedzibie pomiotu zewnętrznego, m.in. w zakresie przestrzegania Polityki obowiązujących regulacji wewnętrznych, umów i właściwych przepisów prawa.
udostępniając dane osobowe należy zaznaczyć, że można je wykorzystać wyłącznie zgodnie z przeznaczeniem, dla którego zostały udostępnione.
Dane osobowe mogą być przetwarzane wyłącznie w obszarach przetwarzania danych osobowych, na które składają się pomieszczenia biurowe oraz innych pomieszczeń, gdzie KNAP Consultants prowadzi działalność. Do takich pomieszczeń, zalicza się w szczególności:
dopuszczalne jest przetwarzania danych osobowych poza pomieszczeniami biurowymi oraz częścią pomieszczeń, gdzie KNAP Consultants prowadzi działalność, jeśli jest to uzasadnione charakterem czynności oraz każdorazowo zostało potwierdzone przez Administratora Danych, bądź postanowieniami umowy oraz pod warunkiem właściwego zabezpieczenia przetwarzanych danych osobowych.
instrukcja definiuje sposób reakcji w przypadku zagrożenia i naruszenia bezpieczeństwa danych osobowych oraz opisuje sposób reagowania na nie. Celem instrukcji jest minimalizacja skutków wystąpienia powyższych incydentów bezpieczeństwa, ograniczenie ryzyka ich powstania zagrożeń i występowania w przyszłości,
niewłaściwe zabezpieczenie sprzętu IT, oprogramowania przed wyciekiem, kradzieżą i utratą danych osobowych,
ocenę ryzyka przeprowadza się nie rzadziej niż co 3 lata o czym stanowi załącznik nr 9. 6.
w przypadku stwierdzenia wystąpienia zagrożenia ADO prowadzi postępowanie wyjaśniające, w toku którego:
dokumentuje prowadzone postępowania,
w przypadku stwierdzenia naruszenia ADO prowadzi postępowanie wyjaśniające, w toku którego:
procedura działań korygujących i zapobiegawczych obejmuje wszystkie czynności i procesy, w których zagrożenia lub naruszenia bezpieczeństwa mogą wpłynąć na zgodność z wymaganiami art 32-34 RODO, jak również na poprawne funkcjonowanie systemu ochrony danych osobowych,
osobą odpowiedzialną za nadzór nad procedurą w KNAP Consultants jest ADO.
kontrola powinna odbyć się co najmniej raz w roku a sprawdzenie winno uwzględniać zakres oraz czas wykonania sprawdzeń.
Rejestr czynności przetwarzania stanowi załącznik nr 6 do Polityki. Rejestr ten jest aktualizowany na bieżąco. Dane osobowe gromadzone w rejestrach są przetwarzane w systemach informatycznych oraz w kartotekach ewidencyjnych, które są zlokalizowane w pomieszczeniach lub części pomieszczeń należących do obszaru przetwarzania danych osobowych.
budynki i wszystkie pomieszczenia, w których przetwarzane są dane osobowe zabezpieczone są przed dostępem osób nieuprawnionych,
zbiory danych osobowych oraz programy służące do przetwarzania danych osobowych są zabezpieczane przed przypadkową utratą oraz celowym zniszczeniem poprzez wykonywanie kopii zapasowych,
w celu zapewnienia rozliczalności operacji dokonywanych przez użytkowników systemu informatycznego, w systemie tym dla każdego użytkownika rejestrowany jest odrębny identyfikator i hasło,
system zapewnia automatyczne odnotowywanie w systemie informacji o identyfikatorze użytkownika, które wprowadził dane osobowe oraz dacie pierwszego wprowadzenia danych do systemu,
zaleca się stosowanie oprogramowania umożliwiającego trwałe usunięcie danych osobowych z urządzeń, dysków, lub innych elektronicznych nośników informacji, które przeznaczone są do naprawy, przekazania lub likwidacji przez osobę nieuprawnioną.
Pracownicy i współpracownicy KNAP Consultants zobowiązani są do stosowania, przy przetwarzaniu danych osobowych, postanowień zawartych w niniejszej Polityce. W wypadku odrębnych, od zawartych w niniejszej Polityce, uregulowań, występujących w innych procedurach, obowiązujących w KNAP Consultants, użytkownicy mają obowiązek stosowania zapisów dalej idących, których stosowanie zapewni wyższy poziom ochrony danych osobowych.