+48 513 760 840

OCHRONA DANYCH OSOBOWYCH

HomeOCHRONA DANYCH OSOBOWYCH

Polityka ochrony danych osobowych – Polityka Bezpieczeństwa to podstawowy dokument, który określa przestrzeganie w naszej firmie zasad ochrony danych osobowych i wskazuje na procesy w zakresie tej ochrony, a tym samym stosowania przepisów RODO.

POLITYKA OCHRONY DANYCH OSOBOWYCH

  1. Niniejszy dokument zatytułowany „Polityka ochrony danych osobowych” stanowi spis wymogów, zasad i regulacji ochrony danych osobowych w Collegium Reginae Hedvigis (dalej jako fundacja).

Niniejsza Polityka jest polityką ochrony danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1). – dalej RODO.

Polityka zawiera opis zasad ochrony danych obowiązujących w Collegium Reginae Hedvigis oraz wzorce procedur, instrukcje dotyczące poszczególnych obszarów z zakresu ochrony danych osobowych. Odpowiedzialny za wdrożenie i utrzymanie niniejszej Polityki jest  Magdalena Zamoyska – Prezes Zarządu będący Administratorem. (ADM) Nadzór i monitorowanie przestrzegania Polityki sprawuje powołany Administrator. Stosowanie Polityki pozostaje w odpowiedzialności Administratora i osób przez niego wyznaczonych. Fundacja zapewnia zgodność postępowania pracowników fundacji z niniejszą Polityką, gdy dochodzi do przekazania im danych osobowych przez Spółkę.

  1. Użyte w Polityce i dokumentacji definicje i pojęcia oznaczają:

Polityka oznacza niniejszą Politykę ochrony danych osobowych, o ile co innego nie wynika wyraźnie z kontekstu.

RODO oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1).

Profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

Administrator danych (ADM)  – rozumie się przez to osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; W niniejszej dokumentacji przetwarzania danych osobowych przez administratora danych rozumie się Magdalenę Zamoyską – Prezesa Zarządu.

Dane osobowe – rozumie się przez to wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

„Zbiór danych” rozumie się przez to  uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficzni.

Przetwarzanie danych rozumie się przez to jakiekolwiek operacje lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

„Ograniczenie przetwarzania” rozumie się prze to oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.

Profilowanie – rozumie się przez to dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;

Zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

Osoba upoważniona – rozumie się przez to osobę, która otrzymała od administratora danych upoważnienie do przetwarzania danych.

Upoważnienie rozumie się przez to oświadczenie nadawane przez administratora danych wskazujące z imienia i nazwiska osobę, która ma prawo przetwarzać dane w zakresie wskazanym w tym oświadczeniu.

Użytkowniku systemu – rozumie się przez to osobę upoważnioną, która otrzymała dostęp do systemów informatycznych, które przetwarzają dane osobowe, których administratorem jest………

Pseudonimizacja – rozumie się przez to  przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.

Podmiot przetwarzający – rozumie się przez to osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.

Odbiorca – rozumie się przez to osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią.

„Naruszenie ochrony danych osobowych” rozumie się przez to  naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzania.

Dokumentacja przetwarzania danych osobowych (dokumentacji) – rozumie się przez to politykę bezpieczeństwa przetwarzania danych osobowych, instrukcję zarządzania systemem informatycznym,  upoważnienie do przetwarzania danych osobowych , oświadczenie o przestrzeganiu ochrony danych osobowych i ustalonych procedur, ewidencja osób upoważnionych do przetwarzania, umowa powierzenia przetwarzania danych osobowych, ewidencja odbiorców danych osobowych, ewidencja zbiorów danych, ewidencja nośników i programów komputerowych, ewidencja podmiotów przetwarzających, rejestr czynności przetwarzania, rejestr żądań udostępnienia danych, klauzule informacyjne dla podmiotów danych, sprzeciw wobec podmiotu przetwarzającego, wykaz podstaw prawnych przetwarzania, procedura oceny skutków dla ochrony danych osobowych , procedura zarządzania ryzykiem.

Eksport danych oznacza przekazanie danych do państwa trzeciego lub organizacji międzynarodowej.

IOD  oznacza Inspektora Ochrony Danych Osobowych

RCPD oznacza Rejestr Czynności Przetwarzania Danych Osobowych.

 

ZASADY OGÓLNE OCHRONY DANYCH OSOBOWYCH.

  1. Podstawy ochrony danych osobowych stosowane przez Administratora:

Legalność − Fundacja dba o ochronę prywatności i przetwarza dane zgodnie z prawem.

Bezpieczeństwo − Fundacja zapewnia odpowiedni poziom bezpieczeństwa danych podejmując stale działania w tym zakresie.

Prawa Jednostki − Fundacja umożliwia osobom, których dane przetwarza, wykonywanie swoich praw i prawa te realizuje.

Rozliczalność − Fundacja dokumentuje to, w jaki sposób spełnia obowiązki, aby w każdej chwili móc wykazać zgodność.

  1. Zasady ochrony danych

Administrator przetwarza dane osobowe w oparciu o podstawę prawną i zgodnie z prawem (legalizm); rzetelnie i uczciwie (rzetelność); w sposób przejrzysty dla osoby, której dane dotyczą (transparentność); w konkretnych celach i nie „na zapas” (minimalizacja); nie więcej niż potrzeba (adekwatność); z dbałością o prawidłowość danych (prawidłowość); nie dłużej niż potrzeba (czasowość); zapewniając odpowiednie bezpieczeństwo danych (bezpieczeństwo).

 

SYSTEM OCHRONY DANYCH

System ochrony danych osobowych Administratora składa się z następujących działań i elementów:

  • ADM dokonuje identyfikacji zasobów danych osobowych, klas danych, zależności między zasobami danych, identyfikacji sposobów wykorzystania danych.
  • ADM opracowuje, prowadzi i utrzymuje Rejestr Czynności Przetwarzania Danych Osobowych. Rejestr jest narzędziem rozliczania zgodności z ochroną danych.
  • ADM zapewnia, identyfikuje, weryfikuje podstawy prawne przetwarzania danych i rejestruje je w Rejestrze, w tym:
  1. utrzymuje system zarządzania zgodami na przetwarzanie danych i komunikację na odległość,
  2. inwentaryzuje i uszczegóławia uzasadnienie przypadków, gdy Administrator przetwarza dane na podstawie prawnie uzasadnionego interesu.
  • ADM spełnia obowiązki informacyjne względem osób, których dane przetwarza, oraz zapewnia obsługę ich praw, realizując otrzymane w tym zakresie żądania, w tym:
  1. ADM przekazuje osobom prawem wymagane informacje przy zbieraniu danych i w innych sytuacjach oraz organizuje i zapewnia udokumentowanie realizacji tych obowiązków ( klauzule informacyjne i ewidencje).
  2. Administrator weryfikuje i zapewnia możliwość efektywnego wykonania każdego typu żądania przez siebie i swoich przetwarzających ( klauzule informacyjne).
  3. Administrator zapewnia odpowiednie nakłady i procedury, aby żądania osób były realizowane w terminach i w sposób wymagany RODO i dokumentowane.
  4. Spółka stosuje procedury pozwalające na ustalenie konieczności zawiadomienia osób dotkniętych zidentyfikowanym naruszeniem ochrony danych ( rejestr naruszenia danych osobowych).
  • Administrator posiada zasady i metody zarządzania minimalizacją, a w tym:
  1. zasady zarządzania adekwatnością danych ( kategorie danych osobowych);
  2. zasady reglamentacji i zarządzania dostępem do danych (upoważnienia wraz z oświadczeniami);
  3. zasady zarządzania okresem przechowywania danych i weryfikacji dalszej przydatności (rejestr przetwarzania danych).
  • Administrator  zapewnia odpowiedni poziom bezpieczeństwa danych, w tym:
  1. przeprowadza analizy ryzyka dla czynności przetwarzania danych lub ich kategorii;
  2. przeprowadza oceny skutków dla ochrony danych tam, gdzie ryzyko naruszenia praw i wolności osób jest wysokie ( procedura oceny skutków dla ochrony danych osobowych);
  3. dostosowuje środki ochrony danych do ustalonego ryzyka;
  4. posiada system zarządzania bezpieczeństwem informacji;
  5. stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych − zarządza incydentami.
  • Administrator posiada zasady doboru przetwarzających dane na rzecz Administratora i wymogów co do warunków przetwarzania (umowa powierzenia), zasad weryfikacji wykonywania umów powierzenia.
  • Administrator posiada zasady weryfikacji, czy fundacja nie przekazuje danych do państw trzecich (czyli poza UE, Norwegię, Lichtenstein, Islandię) lub do organizacji międzynarodowych oraz zapewnienia zgodnych z prawem warunków takiego przekazywania, jeśli ma ono miejsce.
  • Administrator zarządza zmianami mającymi wpływ na prywatność. W tym celu procedury uruchamiania nowych projektów uwzględniają konieczność oceny wpływu zmiany na ochronę danych, zapewnienie prywatności (a w tym zgodności celów przetwarzania, bezpieczeństwa danych i minimalizacji) już w fazie projektowania zmiany czy na początku nowego projektu.
  • Administrator posiada zasady weryfikacji, kiedy zachodzą przypadki przetwarzania transgranicznego oraz zasady ustalania wiodącego organu nadzorczego i głównej jednostki organizacyjnej w rozumieniu RODO.

 

INWENTARYZACJA

  1. Administrator identyfikuje przypadki, w których przetwarza lub może przetwarzać dane wrażliwe (dane specjalne i dane karne) oraz utrzymuje dedykowane mechanizmy zapewnienia zgodności z prawem przetwarzania danych wrażliwych. W przypadku zidentyfikowania przypadków przetwarzania danych wrażliwych, fundacja postępuje zgodnie z przyjętymi zasadami w tym zakresie.
  2. Administrator identyfikuje przypadki, w których przetwarza lub może przetwarzać dane niezidentyfikowane i utrzymuje mechanizmy ułatwiające realizację praw osób, których dotyczą dane niezidentyfikowane.
  3. Administrator identyfikuje przypadki, w których dokonuje profilowania przetwarzanych danych i utrzymuje mechanizmy zapewniające zgodność tego procesu z prawem. W przypadku zidentyfikowania przypadków profilowania i zautomatyzowanego podejmowania decyzji, postępuje zgodnie z przyjętymi zasadami w tym zakresie.
  4. Administrator identyfikuje przypadki współadministrowania danymi i postępuje w tym zakresie zgodnie z przyjętymi zasadami.

PODSTAWY PRZETWARZANIA

  1. Administrator dokumentuje w Rejestrze podstawy prawne przetwarzania danych dla poszczególnych czynności przetwarzania.
  2. Wskazując ogólną podstawę prawną tj. uzasadniony cel Administrator dookreśla podstawę w czytelny sposób, gdy jest to potrzebne. Np. dla zgody wskazując na jej zakres, gdy podstawą jest prawo – wskazując na konkretny przepis i inne dokumenty, np. umowę, porozumienie administracyjne, żywotne interesy – wskazując na kategorie zdarzeń, w których się zmaterializują, uzasadniony cel – wskazując na konkretny cel, np. marketing własny, dochodzenie roszczeń.
  3. Administrator wdraża metody zarządzania zgodami umożliwiające rejestrację i weryfikację posiadania zgody osoby na przetwarzanie jej konkretnych danych w konkretnym celu, zgody na komunikację na odległość (email, telefon, sms, in.) oraz rejestrację odmowy zgody, cofnięcia zgody i podobnych czynności (sprzeciw, ograniczenie itp.).
  4. Administrator ma obowiązek znać podstawy prawne dokonywanych konkretnych czynności przetwarzania danych osobowych.

OBOWIĄZKI INFORMACYJNE

  1. ADM dba o czytelność i styl przekazywanych informacji i komunikacji z osobami, których dane przetwarza.
  2. ADM ułatwia osobom korzystanie z ich praw poprzez różne działania, w tym: zamieszczenie na stronie internetowej fundacji informacji lub odwołań (linków) do informacji o prawach osób, sposobie skorzystania z nich w fundacji, w tym wymaganiach dotyczących identyfikacji, metodach kontaktu zefundacją w tym celu, ewentualnym cenniku żądań „dodatkowych” itp.
  3. ADM dba o dotrzymywanie prawnych terminów realizacji obowiązków względem osób.
  4. ADM wprowadza adekwatne metody identyfikacji i uwierzytelniania osób dla potrzeb realizacji praw jednostki i obowiązków informacyjnych.
  5. W celu realizacji praw jednostki Administrator zapewnia procedury i mechanizmy pozwalające zidentyfikować dane konkretnych osób przetwarzane przez fundację, zintegrować te dane, wprowadzać do nich zmiany i usuwać w sposób zintegrowany,
  6. ADM dokumentuje obsługę obowiązków informacyjnych, zawiadomień i żądań osób.
  7. ADM określa zgodne z prawem i efektywne sposoby wykonywania obowiązków informacyjnych.
  8. ADM informuje osobę o przedłużeniu ponad jeden miesiąc terminu na rozpatrzenie żądania tej osoby.
  9. ADM informuje osobę o przetwarzaniu jej danych, przy pozyskiwaniu danych od tej osoby.
  10. ADM informuje osobę o przetwarzaniu jej danych, przy pozyskiwaniu danych o tej osobie niebezpośrednio od niej.
  11. ADM określa sposób informowania osób o przetwarzaniu danych niezidentyfikowanych, tam gdzie to jest możliwe (np. tabliczka o objęciu obszaru monitoringiem wizyjnym).
  12. ADM informuje osobę o planowanej zmianie celu przetwarzania danych.
  13. ADM informuje osobę przed uchyleniem ograniczenia przetwarzania.
  14. ADM informuje odbiorców danych o sprostowaniu, usunięciu lub ograniczeniu przetwarzania danych (chyba że będzie to wymagało niewspółmiernie dużego wysiłku lub będzie niemożliwe).
  15. ADM informuje osobę o prawie sprzeciwu względem przetwarzania danych najpóźniej przy pierwszym kontakcie z tą osobą.
  16. ADM bez zbędnej zwłoki zawiadamia osobę o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności tej osoby.

ŻĄDANIA OSÓB (PODMIOTÓW DANYCH OSOBOWYCH)

  1. Realizując prawa osób, których dane dotyczą, ADM wprowadza proceduralne gwarancje ochrony praw i wolności osób trzecich. W szczególności w przypadku powzięcia wiarygodnej wiadomości o tym, że wykonanie żądania osoby o wydanie kopii danych lub prawa do przeniesienia danych może niekorzystnie wpłynąć na prawa i wolności innych osób (np. prawa związane z ochroną danych innych osób, prawa własności intelektualnej, tajemnicę handlową, dobra osobiste itp.), Administrator może zwrócić się do osoby w celu wyjaśnienia wątpliwości lub podjąć inne prawem dozwolone kroki, łącznie z odmową zadośćuczynienia żądaniu.
  2. ADM informuje osobę o tym, że nie przetwarza danych jej dotyczących, jeśli taka osoba zgłosiła żądanie dotyczące jej praw.
  3. ADM informuje osobę, w ciągu miesiąca od otrzymania żądania, o odmowie rozpatrzenia żądania i o prawach osoby z tym związanych.
  4. Na żądanie osoby dotyczące dostępu do jej danych, ADM informuje osobę, czy przetwarza jej dane oraz informuje osobę o szczegółach przetwarzania, zgodnie z art. 15 RODO (zakres odpowiada obowiązkowi informacyjnemu przy zbieraniu danych), a także udziela osobie dostępu do danych jej dotyczących. Dostęp do danych może być zrealizowany przez wydanie kopii danych, z zastrzeżeniem, że kopii danych wydanej w wykonaniu prawa dostępu do danych fundacja nie uzna za pierwszą nieodpłatną kopię danych dla potrzeb opłat za kopie danych.
  5. Na żądanie ADM wydaje osobie kopię danych jej dotyczących i odnotowuje fakt wydania pierwszej kopii danych. ADM wprowadza i utrzymuje cennik kopii danych, zgodnie z którym pobiera opłaty za kolejne kopie danych. Cena kopii danych skalkulowana jest w oparciu o oszacowany jednostkowy koszt obsługi żądania wydania kopii danych.
  6. ADM dokonuje sprostowania nieprawidłowych danych na żądanie osoby. ADM ma prawo odmówić sprostowania danych, chyba że osoba w rozsądny sposób wykaże nieprawidłowości danych, których sprostowania się domaga. W przypadku sprostowania danych Spółka informuje osobę o odbiorcach danych, na żądanie tej osoby.
  7. ADM uzupełnia i aktualizuje dane na żądanie osoby. ADM ma prawo odmówić uzupełnienia danych, jeżeli uzupełnienie byłoby niezgodne z celami przetwarzania danych (np. fundacja nie musi przetwarzać danych, które są fundacji zbędne). ADM może polegać na oświadczeniu osoby, co do uzupełnianych danych, chyba że będzie to niewystarczające w świetle przyjętych przez fundację procedur (np. co do pozyskiwania takich danych), prawa lub zaistnieją podstawy, aby uznać oświadczenie za niewiarygodne
  8. Na żądanie osoby, Administrator usuwa dane, gdy:

– dane nie są niezbędne do celów, w których zostały zebrane ani przetwarzane w innych celach,

– zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej przetwarzania,

– osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych,

– dane były przetwarzane niezgodnie z prawem,

– konieczność usunięcia wynika z obowiązku prawnego,

– żądanie dotyczy danych dziecka zebranych na podstawie zgody w celu świadczenia usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku (np. profil dziecka na portalu społecznościowym, udział w konkursie na stronie internetowej).

Administrator określa sposób obsługi prawa do usunięcia danych w taki sposób, aby zapewnić efektywną realizację tego prawa przy poszanowaniu wszystkich zasad ochrony danych, w tym bezpieczeństwa, a także weryfikację, czy nie zachodzą wyjątki, o których mowa w art. 17. ust. 3 RODO.

Jeżeli dane podlegające usunięciu zostały upublicznione przez ADM, podejmuje rozsądne działania, w tym środki techniczne, by poinformować innych administratorów przetwarzających te dane osobowe, o potrzebie usunięcia danych i dostępu do nich.

W przypadku usunięcia danych fundacja informuje osobę o odbiorcach danych, na żądanie tej osoby.

 

 

OGRANICZENIE PRZETWARZANIA

  1. Administrator dokonuje ograniczenia przetwarzania danych na żądanie osoby, gdy:
  2. osoba kwestionuje prawidłowość danych – na okres pozwalający sprawdzić ich prawidłowość,
  3. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania,
  4. fundacja nie potrzebuje już danych osobowych, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń,
  5. osoba wniosła sprzeciw względem przetwarzania z przyczyn związanych z jej szczególną sytuacją – do czasu stwierdzenia, czy po stronie fundacji zachodzą prawnie uzasadnione podstawy nadrzędne wobec podstaw sprzeciwu.
  6. W trakcie ograniczenia przetwarzania ADM przechowuje dane, natomiast nie przetwarza ich (nie wykorzystuje, nie przekazuje), bez zgody osoby, której dane dotyczą, chyba że w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego. Fundacja informuje osobę przed uchyleniem ograniczenia przetwarzania. W przypadku ograniczenia przetwarzania danych fundacja informuje osobę o odbiorcach danych, na żądanie tej osoby.
  7. Na żądanie osoby fundacja wydaje w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego lub przekazuje innemu podmiotowi, jeśli jest to możliwe, dane dotyczące tej osoby, które dostarczyła ona fundacji, przetwarzane na podstawie zgody tej osoby lub w celu zawarcia lub wykonania umowy z nią zawartej, w systemach informatycznych fundacji.

SPRZECIW WOBEC PRZETWARZANIA

  1. Jeżeli osoba zgłosi umotywowany jej szczególną sytuacją sprzeciw względem przetwarzania jej danych, a dane przetwarzane są przez ADM w oparciu o uzasadniony interes  lub o powierzone  zadanie w interesie publicznym, ADM  uwzględni sprzeciw, o ile nie zachodzą po stronie ADM ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby zgłaszającej sprzeciw, lub podstawy do ustalenia, dochodzenia lub obrony roszczeń.
  2. Sprzeciw przy badaniach naukowych, historycznych lub celach statystycznych. Jeżeli ADM prowadzi badania naukowe, historyczne lub przetwarza dane w celach statystycznych, osoba może wnieść umotywowany jej szczególną sytuacją sprzeciw względem takiego przetwarzania. Fundacja uwzględni taki sprzeciw, chyba że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym.
  3. Sprzeciw względem marketingu bezpośredniego. Jeżeli osoba zgłosi sprzeciw względem przetwarzania jej danych przez ADM na potrzeby marketingu bezpośredniego (w tym ewentualnie profilowania), ADM uwzględni sprzeciw i zaprzestanie takiego przetwarzania.
  4. Prawo do ludzkiej interwencji przy automatycznym przetwarzaniu. Jeżeli ADM przetwarza dane w sposób automatyczny, w tym w szczególności profiluje osoby, i w konsekwencji podejmuje względem osoby decyzje wywołujące skutki prawne lub inaczej istotnie wpływające na osobę, ADM zapewnia możliwość odwołania się do interwencji i decyzji człowieka po stronie fundacji, chyba że taka automatyczna decyzja  jest niezbędna do zawarcia lub wykonania umowy między odwołującą się osobą a fundacją; lub  jest wprost dozwolona przepisami prawa; lub  opiera się o wyraźną zgodę odwołującej osoby.

MINIMALIZACJA

Administrator dba o minimalizację przetwarzania danych pod kątem: adekwatności danych do celów (ilości danych i zakresu przetwarzania),  dostępu do danych,  czasu przechowywania danych.

  1. Minimalizacja zakresu

– ADM zweryfikowała zakres pozyskiwanych danych, zakres ich przetwarzania i ilość przetwarzanych danych pod kątem adekwatności do celów przetwarzania w ramach wdrożenia RODO.

– ADM dokonuje okresowego przeglądu ilości przetwarzanych danych i zakresu ich przetwarzania nie rzadziej niż raz na rok.

– ADM przeprowadza weryfikację zmian co do ilości i zakresu przetwarzania danych w ramach procedur zarządzania zmianą.

  1. Minimalizacja dostępu

ADM stosuje ograniczenia dostępu do danych osobowych:

  • prawne (zobowiązania do poufności, zakresy upoważnień),
  • fizyczne (strefy dostępu, zamykanie pomieszczeń)
  • logiczne (ograniczenia uprawnień do systemów przetwarzających dane osobowe i zasobów sieciowych, w których rezydują dane osobowe).

ADM stosuje kontrolę dostępu fizycznego.

ADM dokonuje aktualizacji uprawnień dostępowych przy zmianach w składzie personelu i zmianach ról osób, oraz zmianach podmiotów przetwarzających.

ADM dokonuje okresowego przeglądu ustanowionych użytkowników systemów i aktualizuje ich nie rzadziej niż raz na rok.

Szczegółowe zasady kontroli dostępu fizycznego i logicznego zawarte są w procedurach bezpieczeństwa fizycznego i bezpieczeństwa informacji Spółki.

 

  1. Minimalizacja czasu

ADM wdraża mechanizmy kontroli cyklu życia danych osobowych, w tym weryfikacji dalszej przydatności danych względem terminów i punktów kontrolnych wskazanych w Rejestrze.

Dane, których zakres przydatności ulega ograniczeniu wraz z upływem czasu są usuwane z systemów produkcyjnych ADM, jak też z akt podręcznych i głównych. Dane takie mogą być archiwizowane oraz znajdować się na kopiach zapasowych systemów i informacji przetwarzanych przez ADM. Procedury archiwizacji i korzystania z archiwów, tworzenia i wykorzystania kopii zapasowych uwzględniają wymagania kontroli nad cyklem życia danych, a w tym wymogi usuwania danych.

BEZPIECZEŃSTWO

ADM zapewnia stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności osób fizycznych wskutek przetwarzania danych osobowych.

  1. Analizy ryzyka i adekwatności środków bezpieczeństwa

Administrator przeprowadza i dokumentuje analizy adekwatności środków bezpieczeństwa danych osobowych. W tym celu:

  • ADM zapewnia odpowiedni stan wiedzy o bezpieczeństwie informacji, cyberbezpieczeństwie i ciągłości działania − wewnętrznie lub ze wsparciem podmiotów wyspecjalizowanych.
  • ADM kategoryzuje dane oraz czynności przetwarzania pod kątem ryzyka, które przedstawiają.
  • ADM przeprowadza analizy ryzyka naruszenia praw lub wolności osób fizycznych dla czynności przetwarzania danych lub ich kategorii. Spółka analizuje możliwe sytuacje i scenariusze naruszenia ochrony danych osobowych uwzględniając charakter, zakres, kontekst i cele przetwarzania, ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia.
  • ADM ustala możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa i ocenia koszt ich wdrażania. W tym Spółka ustala przydatność i stosuje takie środki i podejście jak:
  1. pseudonimizacja,
  2. szyfrowanie danych osobowych,
  3. inne środki cyberbezpieczeństwa składające się na zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,
  4. środki zapewnienia ciągłości działania i zapobiegania skutkom katastrof, czyli zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego.
  1. Oceny skutków dla ochrony danych

ADM  dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych tam, gdzie zgodnie z analizą ryzyka ryzyko naruszenia praw i wolności osób jest wysokie. Stosuje metodykę oceny skutków przyjętą w Spółce.

  1. Środki bezpieczeństwa

ADM stosuje środki bezpieczeństwa ustalone w ramach analiz ryzyka i adekwatności środków bezpieczeństwa oraz ocen skutków dla ochrony danych .Środki bezpieczeństwa danych osobowych stanowią element środków bezpieczeństwa informacji i zapewnienia cyberbezpieczeństwa w fundacji i są bliżej opisane w procedurach przyjętych przez fundację dla tych obszarów.

  1. Zgłaszanie naruszeń

ADM stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych w terminie 72 godzin od ustalenia naruszenia.

PRZETWARZAJĄCY

Administrator posiada zasady doboru i weryfikacji przetwarzających dane na rzecz fundacji opracowane w celu zapewnienia, aby przetwarzający dawali wystarczające gwarancje wdrożenia odpowiednich środków organizacyjnych i technicznych dla zapewnienia bezpieczeństwa, realizacji praw jednostki i innych obowiązków ochrony danych spoczywających na funacji.

EKSPORT DANYCH

Administrator rejestruje w Rejestrze przypadki eksportu danych, czyli przekazywania danych poza Europejski Obszar Gospodarczy (EOG w 2017 r. = Unia Europejska, Islandia, Lichtenstein i Norwegia).

Aby uniknąć sytuacji nieautoryzowanego eksportu danych w szczególności w związku z wykorzystaniem publicznie dostępnych usług chmurowych (shadow IT), fundacja okresowo weryfikuje zachowania użytkowników oraz w miarę możliwości udostępnia zgodne z prawem ochrony danych rozwiązania równoważne.

PROJEKTOWANIE PRYWATNOŚCI

Administrator zarządza zmianą mającą wpływ na prywatność w taki sposób, aby umożliwić zapewnienie odpowiedniego bezpieczeństwa danych osobowych oraz minimalizacji ich przetwarzania.

W tym celu zasady prowadzenia projektów i inwestycji przez Administratora odwołują się do zasad bezpieczeństwa danych osobowych i minimalizacji, wymagając oceny wpływu na prywatność i ochronę danych, uwzględnienia i zaprojektowana bezpieczeństwa i minimalizacji przetwarzania danych od początku projektu lub inwestycji.

Instrukcja zarządzania systemem informatycznym

Mając na względzie obowiązek stosowania przez administratora danych odpowiednich zabezpieczeń systemu informatycznego określonych w Collegium Reginae Hedvigis, wprowadza się do stosowania środki bezpieczeństwa na poziomie wysokim.

Administrator stosuje wysoki poziom bezpieczeństwa systemu informatycznego, ponieważ systemy używane do przetwarzania danych połączone zostały z siecią publiczną.

Procedura nadawania, modyfikowania i odbierania uprawnień

  1. Niniejsza część instrukcji zarządzania systemem informatycznym opisuje zasady przyznawania użytkownikowi systemu informatycznego identyfikatora, jak również zasady nadawania lub modyfikacji uprawnień dostępu użytkownika do zasobów systemu informatycznego. Zawarte w niej procedury obejmują również:
  2. a) operacje związane z nadawaniem użytkownikom uprawnień do pracy w systemie informatycznym począwszy od utworzenia użytkownikowi konta, poprzez przydzielanie i modyfikację jego uprawnień, aż do momentu usunięcia konta z systemu informatycznego
  3. b) zasady postępowania z hasłami administracyjnymi
  4. c) zasady administrowania systemem informatycznym w przypadkach awaryjnych (np. w czasie nieobecności administratora systemu informatycznego)
  5. d) wskazanie osób odpowiedzialnych z realizację procedury określającej zasady przyznawania uprawnień do korzystania z systemów informatycznych oraz za realizację związanych z tym czynności technicznych takich, jak rejestrowanie i wyrejestrowywanie użytkowników, którym uprawnienia te zostały nadane.
  6. Przydzielanie uprawnień do systemu informatycznego realizowane jest w oparciu o następujące zasady:
  7. a) „ Minimalnych przywilejów” – każdy użytkownik posiada prawa dostępu do zasobów ograniczonych wyłącznie do tych, które są niezbędne do wykonywania powierzonych mu obowiązków.
  8. b) „ Wiedzy koniecznej” – pracownicy posiadają wiedzę o zasobach ograniczoną wyłącznie do zagadnień, które są niezbędne do realizacji powierzonych im zadań.

c.) „ Domniemanej odmowy” – wszystkie działania, które nie są jawnie dozwolone są zabronione.

  1. Dostęp do systemu informatycznego mogą posiadać, w zależności od wykonywanych czynności służbowych lub umownych:
  2. pracownicy administratora danych w zakresie niezbędnym do właściwego wykonywania obowiązków służbowych.
  3. osoby, przy pomocy których administrator danych wykonuje swoje czynności, w szczególności:

1) osoby zatrudnione na podstawie umowy cywilnoprawnej.

2) pracownicy lub osoby działające w imieniu podmiotu zewnętrznego świadczącego usługi na rzecz administratora danych

3) stażyści, na podstawie umowy z Urzędem Pracy

4) praktykanci, na podstawie umowy ze szkołą wyższą

5) wolontariusze, na podstawie umowy o wolontariat

  1. Użytkownik systemu informatycznego jest jednoznacznie identyfikowany poprzez nadany mu indywidualny identyfikator użytkownika.
  2. Niedopuszczalne jest korzystanie z tego samego identyfikatora przez więcej niż jednego użytkownika.
  3. Raz użyty identyfikator nie może być przydzielony innemu użytkownikowi.
  4. Uprawnienia dostępu są nadawane wyłącznie w zakresie wynikającym z zajmowanego stanowiska i potrzeby wykonywania obowiązków służbowych na danym stanowisku pracy. Bezzasadne nadawanie uprawnień (przywilejów) administratora systemu jest kwalifikowane jako incydent związany z bezpieczeństwem informacji.
  5. Użytkownikowi systemu informatycznego zostaje nadany dostęp po:
  1. zapoznaniu z przepisami dotyczącymi ochrony danych osobowych
  2. zapoznaniu z zawartością niniejszej dokumentacji ochrony danych osobowych
  3. podpisaniu oświadczenia o zachowaniu informacji (w tym danych osobowych), do których użytkownik będzie miał dostęp podczas wykonywania obowiązków służbowych lub zobowiązań umownych oraz środków ich zabezpieczenia w tajemnicy (również po ustaniu łączącej strony umowy), w tym powstrzymanie się od wykorzystywania ich w celach pozasłużbowych lub pozaumownych
  4. otrzymaniu upoważnienia do przetwarzania danych osobowych.
  1. Rejestr użytkowników wraz z uprawnieniami do systemu lub aplikacji prowadzi administrator systemu informatycznego.

10.Rejestr, o którym mowa powyżej prowadzony jest w postaci elektronicznej lub papierowej.

11.Weryfikację aktualności rejestru, o którym mowa powyżej prowadzi administrator systemu informatycznego we współdziałaniu z osobami odpowiedzialnymi za wnioskowanie o nadanie/modyfikację/odebranie uprawnień do systemu informatycznego.

12.Administrator systemu informatycznego raz na 30 dni dokonuje przeglądu stanu aktywności kont użytkowników.

Nadanie uprawnień

  1. Bezpośredni przełożony użytkownika zobowiązany jest do złożenia wniosku o nadanie uprawnień do systemu informatycznego administratora danych. Wniosek powinien zawierać poprawną informację o profilu uprawnień (zgodnym z obowiązującym katalogiem profili uprawnień lub przyjętym zakresem obowiązków na danym stanowisku).
  2. Po dopełnieniu powyższych wymagań wniosek powinien zostać przekazany do administratora systemu informatycznego.
  3. Administrator systemu informatycznego realizuje otrzymany wniosek lub odmawia nadania uprawnień do systemu informatycznego w przypadku powzięcia przez administratora systemu informatycznego podejrzeń co do przekroczeń uprawnień wymaganych na danym stanowisku.
  4. W przypadku powzięcia podejrzenia co do przekroczenia uprawnień wymaganych na danym stanowisku, administrator systemu informatycznego jest obowiązany zgłosić ten fakt  administratorowi danych.
  5. W przypadku nadania uprawnień wymagających logowania, administrator systemu informatycznego przekazuje użytkownikowi informację zawierającą wymienione z nazwy systemy informatyczne, do których użytkownik otrzymał dostęp oraz  login i hasło na potrzeby pierwszego logowania.
  6. Wniosek o nadanie uprawnień może zostać sporządzony i przekazany administratorowi systemu informatycznego także za pomocą poczty elektronicznej.

Modyfikacja uprawnień

  1. Bezpośredni przełożony jest zobowiązany do złożenia wniosku o zmianę uprawnień do systemu informatycznego do danego systemu informatycznego.
  2. Wniosek modyfikujący uprawnienia pracownika powinien zostać złożony do administratora systemu informatycznego w możliwie najkrótszym czasie po wystąpieniu zapotrzebowania na dostęp do danego zasobu informatycznego.
  3. W zależności od obszaru zmian, wniosek powinien zawierać uzasadnienie wnoszonych zmian oraz informację o przedmiocie modyfikacji:
  4. zmiana/Dodanie/Usunięcie uprawnień w profilu uprawnień
  5. przekierowanie skrzynki pocztowej
  6. założenie dodatkowej skrzynki pocztowej
  7. dodanie/ Usunięcie Grupy Dystrybucyjnej
  8. dodanie/ Usunięcie użytkownika w zakresie członkostwa grupy dystrybucyjnej
  9. zestawienie łącza VPN
  10. nadanie indywidualnych uprawnień do systemów poza zdefiniowanym profilem.
  11. Administrator systemu informatycznego realizuje otrzymany wniosek lub odmawia nadania uprawnień do systemu informatycznego w przypadku powzięcia przez administratora systemu informatycznego podejrzeń co do przekroczenia uprawnień wymaganych na danym stanowisku.
  12. W przypadku powzięcia podejrzenia co do przekroczenia uprawnień wymaganych na danym stanowisku, administrator systemu informatycznego jest obowiązany zgłosić ten fakt administratorowi danych.
  13. W przypadku nadania uprawnień wymagających logowania, administrator systemu informatycznego przekazuje użytkownikowi informację zawierającą wymienione z nazwy systemy informatyczne, do których użytkownik otrzymał dostęp oraz login i hasło na potrzeby pierwszego logowania.
  14. Wniosek o modyfikację uprawnień może zostać sporządzony i przekazany administratorowi systemu informatycznego także za pomocą systemu informatycznego.

Odebranie uprawnień

  1. Bezpośredni przełożony jest zobowiązany do złożenia wniosku o odebranie uprawnień do systemu informatycznego do danego zasobu informatycznego.
  2. Terminami obowiązującymi przy składaniu wniosku są w szczególności:
  3. w przypadku ustania stosunku pracy – wniosek odbierający wszystkie uprawnienia – natychmiast, najpóźniej ostatniego dnia pracy zatrudnionego lub współpracującego
  4. długotrwałe zwolnienie lekarskie – wniosek odbierający wszystkie uprawnienia – natychmiast po upływie 30 (trzydziestu) dni kalendarzowych zwolnienia lekarskiego.
  5. zmiana stanowiska pracy – wniosek odbierający część uprawnień – natychmiast, najpóźniej ostatniego dnia pracy przed zmianą stanowiska na stanowisko wymagające zmniejszenia uprawnień.
  6. Po spełnieniu powyższych wymagań wniosek powinien zostać przekazany do administratora systemu informatycznego.
  7. Administrator systemu informatycznego przyjmuje wniosek o odebranie uprawnień do systemu informatycznego spełniający wymogi opisane powyżej.
  8. Administrator systemu informatycznego bezzwłocznie realizuje otrzymany wniosek.
  9. Wniosek o odebranie uprawnień może zostać sporządzony i przekazany administratorowi systemu informatycznego także za pomocą systemu informatycznego.

Zarządzanie uprawnieniami uprzywilejowanymi

  1. Nadawane uprawnienia uprzywilejowane (większe uprawnienia niż wynika to z realizowanych rutynowych zadań użytkownika) podlegają ścisłej ewidencji prowadzonej przez administratora systemu informatycznego.
  2. Uprawnienia uprzywilejowane w systemie nadaje administrator systemu informatycznego.
  3. Uprzywilejowane konto nie może służyć do realizacji przez użytkownika rutynowych zadań.
  4. Uprawnienia uprzywilejowane podlegają cofnięciu niezwłocznie po ustaniu potrzeby uzasadniającej ich nadanie.
  5. Nadawane uprawnienia uprzywilejowane podlegają regularnym przeglądom i kontroli.

Zasady postępowania z hasłami administracyjnymi

  1. W stosunku do haseł użytkowników uprzywilejowanych stosuje się zaostrzone standardy bezpieczeństwa.
  2. Standardy, o których mowa powyżej stosuje się również do haseł:

1) elementów aktywnych sieci teleinformatycznych

2) konfiguracji komputerów, w tym hasła oprogramowania szyfrującego dyski twarde.

  1. Hasła przechowuje się w postaci zaszyfrowanej.
  2. Do przechowywania haseł zapisanych na papierze stosuje się wyłącznie koperty, które uniemożliwiają otwarcie bez uszkodzenia ich struktury (tzw. „koperty bezpieczne”).
  3. Koperty z hasłami przechowuje się w miejscu zapewniającym dostęp tylko osobom upoważnionym.
  4. Dane umieszczone na bezpiecznej kopercie zawierają:
  5. numer koperty adekwatny do numeru ewidencyjnego podanego w ewidencji hasła
  6. datę jej złożenia i podpis osoby składającej kopertę
  7. skróconą nazwę przynależności hasła.
  8. Koperty z hasłami podlegają ścisłej ewidencji prowadzonej przez administratora systemu informatycznego.
  9. Ewidencja haseł przechowywana jest w miejscu zabezpieczonym przed dostępem osób niepowołanych.
  10. Za aktualność przechowywanych haseł odpowiedzialny jest administrator systemu informatycznego.
  11. Awaryjne otwarcie bezpiecznej koperty oraz pobranie kopii hasła znajdującego się w kopercie wymaga uprzedniej pisemnej akceptacji administratora danych lub osoby przez niego upoważnionej i jest udokumentowane w ewidencji koperty.
  12. Po użyciu, hasło ulega zniszczeniu, a w to miejsce jest generowane nowe hasło, którego kopia jest przechowywana na identycznych zasadach jak w przypadku zniszczonego hasła.

Metody i środki uwierzytelniania

  1. Niniejszy fragment Instrukcji zarządzania systemem informatycznym reguluje tryb przydzielania haseł, wymogi dotyczące stopnia ich złożoności oraz wskazuje osoby odpowiedzialne za przydział haseł. Zawarte procedury odnoszą się również do:
  2. możliwych zagrożeń i konsekwencji związanych z tzw. utratą tożsamości elektronicznej (tj. utratą danych służących uwierzytelnieniu, co może skutkować pozyskaniem tych danych przez osoby nieuprawnione)
  3. zalecanych sposobów korzystania z przeglądarek internetowych.
  4. Każdy użytkownik systemu informatycznego musi podać unikalny identyfikator i wprowadzone przez siebie hasło autoryzujące jego osobę w systemie informatycznym.
  5. Hasła użytkowników lub inne dane uwierzytelniające podlegają szczególnej ochronie.
  6. Użytkownik ponosi pełną odpowiedzialność za utworzenie hasła (prócz pierwszego hasła do systemu nadawanego przez administratora systemu informatycznego) i jego przechowywanie.
  7. Osoba pełniąca funkcję administratora systemu powinna posiadać dodatkowo odrębne konto służące tylko i wyłącznie do administracji danym systemem informatycznym o ile dany system udostępnia taką funkcjonalność.
  8. Każdy użytkownik posiadający dostęp do systemów informatycznych administratora danych jest obowiązany do:
  9. zachowania w poufności wszystkich swoich haseł lub innych danych uwierzytelniających wykorzystanych do pracy w systemie informatycznym.
  10. niezwłocznej zmiany haseł w przypadkach zaistnienia podejrzenia lub rzeczywistego ujawnienia
  11. niezwłocznej zmiany hasła tymczasowego, przekazanego przez administratora systemu informatycznego.
  12. poinformowania administratora systemu informatycznego oraz ABI lub administratora danych informacji o podejrzeniu lub rzeczywistym ujawnieniu hasła.
  13. stosowania haseł o minimalnej długości 8 znaków, zawierających kombinację małych i dużych liter oraz cyfr lub znaków specjalnych.
  14. stosowania haseł nie posiadających w swojej strukturze części loginu
  15. stosowania haseł nie będących zbliżonymi do poprzednich (np. Janusz#2013- Janusz#2014)
  16. zmiany wykorzystywanych haseł nie rzadziej niż raz na 30 dni.
  17. Hasła zachowują swoją poufność również po ustaniu ich użyteczności.
  18. Zabronione jest:
  19. zapisywanie haseł w sposób jawny i umieszczania ich w miejscach dostępnych dla innych osób
  20. stosowanie haseł opartych na skojarzeniach, łatwych do odgadnięcia lub wywnioskowania z informacji dotyczących danej osoby, np. imiona, numery telefonów, daty urodzenia itp.
  21. używanie tych samych haseł w różnych systemach operacyjnych i aplikacjach
  22. udostępnianie haseł innym użytkownikom
  23. przeprowadzanie prób łamania haseł
  24. wpisywanie haseł „na stałe” (np. w skryptach logowania) oraz wykorzystywania opcji auto-zapamiętywania haseł (np. w przeglądarkach internetowych).
  25. Administrator systemu informatycznego obowiązany jest do skonfigurowania systemu, aby próby dostępu do tego systemu były limitowane zarówno w ujęciu ilościowym, jak i czasowym jeżeli system umożliwia wymienioną konfigurację.
  26. W przypadku, gdy system umożliwia limitowanie wprowadzenia błędnego hasła, należy przyjąć próg ilości wprowadzonych błędnych haseł na 3, po czym ustanowić blokadę konta.
  27. Należy ograniczyć możliwość wielokrotnego logowania, gdzie użytkownik loguje się na kilku komputerach równocześnie wykorzystując ten sam identyfikator.
  28. Administrator systemu informatycznego odblokowuje/zresetuje hasło do danego systemu informatycznego w przypadku przekroczenia przez użytkownika ustalonej ilości prób logowania.
  29. Po dokonaniu czynności przez administratora systemu informatycznego stosowna informacja o odblokowaniu dostępu do konta użytkownika zostanie przekazana użytkownikowi.

Procedury rozpoczęcia, zawieszenia i  zakończenia pracy w systemie informatycznym

  1. Niniejszy fragment opisuje kolejne czynności, jakie należy wykonać w celu uruchomienia systemu informatycznego, a w szczególności zasady postępowania użytkowników podczas przeprowadzania procesu uwierzytelniania (logowania się do systemu). Przestrzeganie określonych w instrukcji zasad ma na celu zachowanie poufności haseł oraz uniemożliwienie nieuprawnionego przetwarzania danych. Zawarte procedury obejmują również:
  2. metody postępowania w sytuacji tymczasowego zaprzestania pracy na skutek opuszczenia stanowiska pracy.
  3. metody postępowania w sytuacji, kiedy wgląd w wyświetlane na monitorze dane może mieć nieuprawniona osoba
  4. sposób postępowania w sytuacji podejrzenia naruszenia bezpieczeństwa systemu, np. w razie braku możliwości zalogowania się użytkownika na jego konto czy też w sytuacji stwierdzenia fizycznej ingerencji w przetwarzane dane bądź użytkowane narzędzia programowe lub sprzętowe.
  5. Rozpoczęcie pracy w systemie informatycznym następuje po wprowadzeniu unikalnego identyfikatora i hasła.
  6. Zawieszenie pracy w systemie informatycznym tj. brak wykonywania jakichkolwiek czynności przez okres 5 minut w systemie informatycznym powoduje automatycznie uruchomienie systemowego wygaszacza ekranu blokowanego hasłem.
  7. Przed zakończeniem pracy należy upewnić się czy dane zostały zapisane, aby uniknąć utraty danych.
  8. Przed opuszczeniem miejsca pracy, użytkownik obowiązany jest wylogować się z systemu informatycznego przetwarzającego dane osobowe i z systemu operacyjnego, zabezpieczyć nośniki informacji (elektroniczne i papierowe) oraz wyłączyć komputer.
  9. W sytuacji gdy wgląd w wyświetlane na monitorze dane może mieć nieuprawniona osoba należy tymczasowo zmienić widok wyświetlany na monitorze lub obrócić monitor ( przymknąć ekran laptopa) w sposób uniemożliwiający wgląd w wyświetlaną treść.
  10. Użytkownik systemu informatycznego przetwarzającego dane osobowe niezwłocznie powiadamia administratora systemu w przypadku, gdy:
  11. wygląd systemu, sposób jego działania, zakres danych lub sposób ich przedstawienia przez system informatyczny odbiega od standardowego stanu uznawanego za typowy dla danego systemu informatycznego.
  12. niektóre opcje, dostępne użytkownikowi w normalnej sytuacji, przestały być dostępne lub też opcje niedostępne użytkownikowi w normalnej sytuacji, stały się dostępne.

Procedury tworzenia kopii zapasowych zbiorów danych

  1. Niniejszy fragment instrukcji zarządzania systemem informatycznym opisuje metody i częstotliwość tworzenia kopii zapasowych danych oraz kopii zapasowych systemu informatycznego używanego do ich przetwarzania. Zawarte procedury obejmują również:
  2. określenie, dla jakich danych wykonywane będą kopie zapasowe, typ nośników, na których będą one wykonywane oraz narzędzia programowe i urządzenia, które mają być do tego celu wykorzystywane
  3. harmonogram wykonywania kopii zapasowych dla poszczególnych zbiorów danych wraz ze wskazaniem odpowiedniej metody sporządzania kopii.
  4. Kopie zapasowe systemów, aplikacji baz danych i dokumentów użytkowanych przez administratora danych służą do zapewnienia możliwości odtworzenia w przypadku utraty aktualnie użytkowanych danych i/lub konfiguracji systemów i aplikacji.
  5. Za tworzenie kopii zapasowych i archiwalnych odpowiedzialny jest administrator systemu informatycznego.
  6. Tworzenie kopii odbywa się zgodnie z procedurą tworzenia i odtwarzania kopii zapasowych i podlega rejestracji. Rejestr prowadzony jest w postaci papierowej lub elektronicznej.
  7. Miejsce przechowywania kopii jest zabezpieczone przed nieuprawnionym dostępem oraz skutkami zdarzeń takich, jak pożar, zalanie, oddziaływanie silnego pola elektromagnetycznego, promieniowanie, zanieczyszczenie środowiska na takim poziomie, jak jest zabezpieczony system, z którego kopia zapasowa została wykonana.
  8. Kopie są przechowywane w bezpiecznej odległości (w innej lokalizacji) od miejsca, w którym jest prowadzona eksploatacja systemów.
  9. Regularnie, co najmniej dwa razy w roku, administrator systemu informatycznego przeprowadza testowe sprawdzenie możliwości odtworzenia systemu, aplikacji, bazy danych lub dokumentów z kopii. Testowe odtworzenie podlega udokumentowaniu w dzienniku pracy systemu jeżeli jest prowadzony.
  10. W przypadku, gdy okres trwałości zapisu na nośniku elektronicznym lub magnetycznym jest krótszy od wymaganego okresu przechowywania wynikającego z uwarunkowań prawnych dane z nośników są przenoszone na inny nośnik.
  11. Nośnik, z którego przeniesiono zapis, jest trwale niszczony zgodnie z zasadami obowiązującymi u administratora danych.
  12. Po upływie wymaganego okresu przechowywania kopie archiwalne są trwale niszczone zgodnie z zasadami obowiązującymi u administratora.
  13. Zbiory danych, oprogramowanie oraz konfiguracja systemów operacyjnych serwerów administratora danych są zabezpieczone w postaci cyklicznie wykonywanych kopii bezpieczeństwa lub kopii archiwalnych.
  14. Kopie bezpieczeństwa należy wykonywać:
  15. przed dokonaniem zmian w konfiguracji systemów operacyjnych lub oprogramowania
  16. przed dokonaniem zmian w programach(np. zmiana wersji)
  17. przed i/lub po każdej istotnej zmianie danych w bazie danych.
  18. Oprócz kopii, o których mowa w pkt 2., należy wykonywać kopie archiwalne:
  19. miesięczne – na koniec danego miesiąca
  20. roczne – na koniec danego roku
  21. Pliki użytkowników systemu informatycznego powinny być przechowywane na indywidualnie udostępnionych dyskach serwerów.
  22. Dyski serwerów zabezpiecza się przed utratą danych w postaci kopii bezpieczeństwa i/lub archiwalnych.
  23. Kopie bezpieczeństwa należy:
  24. wykonać w co najmniej dwóch egzemplarzach każdą, przy czym przynajmniej jedną na nośniku wymiennym
  25. przechowywać w dwóch różnych miejscach innych niż te, w których eksploatowane są zbiory przechowywane na bieżąco (co najmniej w innej strefie pożarowej).
  26. Kopie archiwalne należy:
  27. wykonać w co najmniej dwóch egzemplarzach każdą na osobnych nośnikach wymiennych
  28. przechowywać w miejscach innych niż te, w których przechowywane są zbiory eksploatowane na bieżąco, przy czym jedną z kopii należy przechowywać poza siedzibą jednostki organizacyjnej
  29. w trakcie transportu zabezpieczyć przed osobami nieupoważnionymi i niekorzystnymi zjawiskami fizycznymi mogącymi doprowadzić do ich zniszczenia bądź uszkodzenia.
  30. Kopie bezpieczeństwa należy przechowywać do momentu wykonania następnej kopii bezpieczeństwa.
  31. Kopie archiwalne miesięczne należy przechowywać przez okres 1 roku, a kopie roczne przez okres co najmniej 5 lat, licząc od pierwszego dnia roku następującego po roku, za który wykonana jest kopia.

Postępowanie z elektronicznymi nośnikami danych

  1. W przypadku wykorzystywania elektronicznych urządzeń mobilnych (m.in. tablet, smartphone, pendrive) wymaga się zastosowania następujących środków bezpieczeństwa:
  2. blokada ekranu (pin/hasło/symbol graficzny)
  3. szyfrowanie pamięci/karty pamięci
  4. program antywirusowy
  5. wyłączanie nieużywanych usług (wi-fi, gprs/ite, bluetooth, nfc)
  6. instalowanie oprogramowania z zaufanego źródła (np. iStore, Google Play)
  7. używanie szyfrowania, np. poczty lub VPN podczas korzystania z publicznych hotspot-ów.
  8. Przekazanie sprzętu użytkownikowi jest to czynność polegająca na dostarczeniu sprzętu komputerowego lub elektronicznych nośników danych wraz z odpowiednim oprogramowaniem użytkownikowi.
  9. Administrator systemu informatycznego odpowiedzialny jest za przygotowanie sprzętu komputerowego do prawidłowej i zgodnej z przeznaczeniem pracy.
  10. Administrator systemu informatycznego jest zobowiązany do prowadzenia spisu posiadanego pod opieką sprzętu komputerowego oraz elektronicznych nośników danych wraz z dostarczoną dokumentacją.
  11. Administrator systemu informatycznego ma obowiązek przechowywać karty gwarancyjne, klucze i licencje do oprogramowania.
  12. Administrator systemu informatycznego prowadzi rejestr wydanego sprzętu komputerowego wraz z wyszczególnieniem użytkownika. Administrator udziela pomocy użytkownikowi w obsłudze sprzętu i oprogramowania.
  13. W przypadku niepoprawnego i niezgodnego z przeznaczeniem użytkowania przez użytkownika sprzętu komputerowego, administrator systemu informatycznego informuje o powyższym administratora danych.
  14. Administrator danych ma prawo instalować wyłącznie licencjonowane oprogramowanie lub oprogramowania, które nie wymaga opłaty licencyjnej, zgodni z warunkami licencji do użytku komercyjnego.
  15. Użytkownik jest zobowiązany do dbałości o sprzęt oraz oprogramowanie, a także odpowiedzialny za zabezpieczenie go przed używaniem przez osoby nieuprawnione oraz do ochrony przed kradzieżą lub zagubieniem.

Zabezpieczanie systemu informatycznego przed szkodliwym oprogramowaniem.

  1. Niniejszy fragment instrukcji zarządzania systemem informatycznym opisuje sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego wraz ze zdefiniowaniem obszaru systemu informatycznego narażonego na ingerencję wirusów komputerowych oraz wszelkiego rodzaju innego szkodliwego oprogramowania. Zawarte procedury obejmują również:
  2. zdefiniowanie źródła przedostania się szkodliwego oprogramowania do systemu oraz działania, jakie należy podejmować, aby minimalizować możliwość jego zainstalowania się.
  3. zastosowane narzędzia programowe, których zadaniem jest przeciwdziałanie skutkom szkodliwego oprogramowania.
  4. metody i częstotliwość aktualizacji definicji wirusów oraz osoby odpowiedzialne za zarządzanie oprogramowaniem antywirusowym.
  5. sposób postępowania użytkowników na okoliczność zidentyfikowana zagrożeń.
  6. Zidentyfikowanymi obszarami systemu informatycznego administratora danych narażonymi na ingerencję wirusów oraz innego szkodliwego oprogramowania są dyski twarde lub karty pamięci urządzeń, pamięć RAM oraz elektroniczne nośniki informacji.
  7. Drogą przedostania się wirusów lub szkodliwego oprogramowania może być sieć publiczna, wewnętrzna sieć teleinformatyczna lub elektroniczne nośniki informacji.
  8. Stacje robocze, komputery przenośne oraz serwery objęte są ochroną w czasie rzeczywistym za pomocą oprogramowania antywirusowego oraz zapory (firewall), zapewniających integralność zasobów przechowywanych i przetwarzanych w systemie informatycznym administratora danych.
  9. Za prawidłowe funkcjonowanie oprogramowania antywirusowego odpowiada administrator systemu informatycznego.
  10. Oprogramowania antywirusowe uruchamiane jest przy starcie systemu, a użytkownik nie posiada uprawnień do jego wyłączenia.
  11. Konfiguracja programu antywirusowego zapewnia ciągłe monitorowanie otrzymywanych i wysyłanych, a także uruchamianych plików pod kątem występowania oprogramowania złośliwego.
  12. Stacje robocze i komputery przenośne przynajmniej raz w miesiącu skanowane są pod kątem występowania na nich oprogramowania złośliwego.
  13. Serwery plikowe podlegają skanowaniu pod kątem występowania na nich oprogramowania złośliwego przynajmniej raz w tygodniu.
  14. Użytkownicy systemu mają obowiązek skanowania każdego zewnętrznego elektronicznego nośnika informacji, który chcą wykorzystać. Chyba, że system antywirusowy robi to automatycznie.
  15. W przypadku stwierdzenia pojawienia się wirusa i braku możliwości usunięcia go przez program antywirusowy, użytkownik powinien skontaktować się z administratorem systemu informatycznego.
  16. W przypadku wystąpienia infekcji i braku możliwości automatycznego usunięcia wirusów przez system antywirusowy, administrator systemu informatycznego podejmuje działania zmierzające do usunięcia zagrożenia. W szczególności działania te mogą obejmować:
  17. usunięcie zainfekowanych plików, o ile jest to akceptowalne ze względu za prawidłowe funkcjonowanie systemu informatycznego.
  18. odtworzenie plików z kopii zapasowych, po uprzednim sprawdzeniu, czy dane zapisane na kopiach zapasowych nie są zainfekowane.
  19. samodzielną ingerencję w zawartość pliku – w zależności od posiadanych kwalifikacji lub skonsultowanie się z odpowiednim serwisem.

Odnotowanie informacji o odbiorcach, którym dane zostały udostępnione

  1. Dla każdej osoby, której dane osobowe przetwarzane są w systemie informatycznym, system ten powinien zapewnić odnotowanie informacji o udostępnieniach danych odbiorcom, w rozumieniu art. 7 pkt 6 ustawy o ochronie danych osobowych, zawierające informacje komu, kiedy i w jakim zakresie dane osobowe zostały udostępnione.
  2. Jeżeli system uniemożliwia powyższą czynność, zabronione jest udostępnianie danych odbiorcom danych z tego systemu informatycznego.

Procedura wykonywania przeglądów i konserwacji

  1. Niniejszy fragment instrukcji zarządzania systemem informatycznym określa cel, zakres, częstotliwość oraz procedury wykonywania przeglądów i konserwacji systemu informatycznego oraz podmioty i osoby do tego uprawnione. Zawarte procedury obejmują również:
  2. sposób nadzoru nad osobami spoza organizacji wykonującymi czynności konserwacyjne systemu
  3. tryb przekazywania sprzętu komputerowego do naprawy lub zniszczenia.
  4. Konserwacja sprzętu komputerowego, systemów informatycznych oraz nośników informacji administratora danych ma na celu zapewnienie nieprzerwanej i bezpiecznej pracy tych systemów, zapobieganie utraty, uszkodzenia lub naruszenia bezpieczeństwa.
  5. Sprzęt podlega konserwacji według ustalonego planu, wynikającego z zaleceń producentów.
  6. Wszelkie naprawy oraz konserwacje urządzeń komputerowych oraz zmiany w systemie informatycznym administratora danych przeprowadzane są – o ile to możliwe – przez upoważnionych pracowników administratora danych.
  7. Naprawy, konserwacje i zmiany w systemie informatycznym administratora danych przeprowadzane przez serwisanta zewnętrznego prowadzone są pod nadzorem administratora systemu informatycznego w siedzibie administratora danych (jeśli to możliwe) lub poza siedzibą administratora danych, po uprzednim usunięciu elementów zawierających dane osobowe, o ile nie wiąże się to z nadmiernymi utrudnieniami.
  8. Wszelkie prace, o których mowa powyżej, wykonywane przez podmiot zewnętrzny, powinny odbywać się na zasadach określonych w szczegółowej umowie pomiędzy administratorem danych, a tymże podmiotem, z uwzględnieniem klauzuli powierzenia przetwarzania danych lub klauzuli dotyczącej zachowania w poufności przez wykonawcę wszelkich informacji, do których ma dostęp w czasie wykonywania usługi.
  9. W przypadku zdalnej obsługi serwisowej systemów informatycznych administratora, porty komunikacyjne powinny być włączane jedynie na wyraźne żądanie dostawcy takich usług, za zgodą administratora systemu informatycznego i muszą być ponownie odłączone tuż po zakończeniu prac serwisowych.
  10. Jeśli nośnik danych (dysk, płyta, pamięć SSD) zostanie uszkodzony i nie można go odczytać ani usunąć z niego danych, należy go zniszczyć mechanicznie w niszczarce spełniającej wymagania normy DIN 66399 na poziomie bezpieczeństwa nie niższym niż 3.

Postanowienia końcowe

  1. Instrukcja zarządzania systemem informatycznym stanowi wewnętrzną regulację administratora danych i obowiązuje wszystkich pracowników i współpracowników administratora.
  2. Instrukcja zarządzania systemem informatycznym obowiązuje od dnia jej wprowadzenia w życie w sposób przyjęty u administratora danych. Wszelkie zmiany dokumentacji przetwarzania danych osobowych obowiązują od dnia ich wprowadzenia w życie w sposób przyjęty u administratora.
  3. Każdy kto przetwarza dane posiadane przez administratora zobowiązany jest do stosowania przy przetwarzaniu danych osobowych postanowień zawartych w niniejszej instrukcji zarządzania systemem informatycznym.
  4. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszego dokumentu potraktowane będą jako ciężkie naruszenie obowiązków pracowniczych lub niewykonanie zobowiązania w przypadku stosunku prawnego innego niż stosunek pracy.
  5. W sprawach nieuregulowanych w niniejszej instrukcji zarządzania mają zastosowanie przepisy powszechnie obowiązującego prawa, w tym w szczególności przepisy ustawy o ochronie danych osobowych.

EWIDENCJA ZBIORÓW DANYCH -np. klienci, kontrahenci

LP. NAZWA ZBIORU DANYCH OSOBOWYCH ZAWARTE DANE W ZBIORZE SPOSÓB POZYSKIWANIA DANYCH DO ZBIORU CEL PRZETWARZANIA

WYKAZ PODSTAW PRAWNYCH PRZETWARZANIA DANYCH – umowa

RODZAJ ZEBRANYCH DANYCH CEL PRZETWARZANIA PODSTAWA PRAWNA CZAS PRZETWARZANIA

 

 PODSTAWA PRAWNA PRZEKAZANIA DANYCH DO PAŃSTW TRZECICH LUB ORGANIZACJI MIĘDZYNARODOWYCH ( OPCJONALNIE)
         

 

WYKAZ FORM PRZETWARZANIA DANYCH OSOBOWYCH

LP FORMY JAKIE DANE W JAKI SPOSÓB ? DATA

 

FORMY: COOKIES , KORZYSTANIE Z HOSTINGU, KORZYSTANIE Z CHMUR,KORZYSTANIE Z POCZTY E- MAIL, FACEBOOK, DROPBOX, REJESTROWANIE AKTYWNOŚCI UZYTKOWNIKÓW NA STRONIE INTERNETOWEJ

Kategorie danych osobowych

  • Podstawowe dane identyfikacyjne
  • Umowy
  • Dane dot. zdrowia
  • Edukacja i szkolenia
  • Rekrutacja
  • Nagrania video
  • Wizerunek
  • Obszary monitoringu wizyjnego
  • Nagrania dźwięku