RODO

POLITYKA BEZPIECZEŃSTWA

ZASADY OCHRONY DANYCH OSOBOWYCH

2018-05-15 SPIS TREŚCI A.SPIS TREŚCI……………………………………………………………………………………………………………….. 2 B.PODSTAWOWE INFORMACJE……………………………………………………………………………………………. 3 A.PODSTAWA PRAWNA…………………………………………………………………………………………………….. 4 B.DEFINICJE…………………………………………………………………………………………………………………. 4 C.ZDEFINIOWANIE ODPOWIEDZIALNOŚCI……………………………………………………………………………… 5 C.POLITYKA BEZPIECZEŃSTWA…………………………………………………………………………………………… 5 A.PODSTAWOWE ZASADY POLITYKI BEZPIECZEŃSTWA…………………………………………………………….. 5 B.REALIZACJA POLITYKI BEZPIECZEŃSTWA……………………………………………………………………………. 7 D.WYKAZ BUDYNKÓW I POMIESZCZEŃ PRZETWARZANIA DANYCH OSOBOWYCH………………………………. 8 E.WYKAZ ZBIORÓW DANYCH OSOBOWYCH……………………………………………………………………………. 8 F.OKREŚLENIE ŚRODKÓW NIEZBĘDNYCH DO ZACHOWANIA BEZPIECZEŃSTWA DANYCH………………………. 8 A.BEZPIECZEŃSTWO FIZYCZNE………………………………………………………………………………………….. 8 B.OGÓLNE ŚRODKI BEZPIECZEŃSTWA…………………………………………………………………………………… 9 C.POWIERZENIE PRZETWARZANIA DANYCH…………………………………………………………………………… 10 D.POSTĘPOWANIE Z INFORMACJĄ………………………………………………………………………………………. 11 G.POSTANOWIENIA KOŃCOWE………………………………………………………………………………………….. 11 H.WYKAZ ZMIAN W DOKUMENCIE:…………………………………………………………………………………… 11 PODSTAWOWE INFORMACJE PODSTAWA PRAWNA POLITYKA BEZPIECZEŃSTWA (ZWANA DALEJ POLITYKĄ) WRAZ Z INSTRUKCJĄ ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM (ZWANA DALEJ INSTRUKCJĄ) OPISUJĄ DZIAŁANIA ORGANIZACYJNE I TECHNICZNE PODEJMOWANE PRZEZ STOWARZYSZENIE GLIWICKI KLUB GLOFOWY JAKO ADMINISTRATORA DANYCH, KTÓRYCH CELEM JEST OSIĄGNIĘCIE I UTRZYMANIE AKCEPTOWALNEGO POZIOMU BEZPIECZEŃSTWA PRZETWARZANYCH DANYCH OSOBOWYCH ORAZ PODNIESIENIE POZIOMU ŚWIADOMOŚCI PRACOWNIKÓW W ZAKRESIE OCHRONY TYCH DANYCH/INFORMACJI. POLITYKA BEZPIECZEŃSTWA STANOWI JEDNOCZEŚNIE POLITYKĘ OCHRONY DANYCH W ROZUMIENIU ART. 24 UST. 2 RODO. DO WYZNACZONEGO CELU ADMINISTRATOR DĄŻY POPRZEZ WDROŻENIE ODPOWIEDNIEGO SYSTEMU OCHRONY DANYCH OSOBOWYCH PRZED ZAGROŻENIAMI WEWNĘTRZNYMI I ZEWNĘTRZNYMI. POLITYKA BEZPIECZEŃSTWA MA STATUS DOKUMENTU PRZEZNACZONEGO DO UŻYTKU WEWNĘTRZNEGO I MOŻE BYĆ UDOSTĘPNIONA OSOBOM TRZECIM JEDYNIE ZA ZGODĄ ADMINISTRATORA. PODSTAWOWYMI AKTAMI PRAWNYMI, KTÓRE REALIZUJE POLITYKA BEZPIECZEŃSTWA SĄ: USTAWA Z DNIA 29 SIERPNIA 1997 ROKU O OCHRONIE DANYCH OSOBOWYCH (DZ. U. Z 2016 R., POZ. 922) – DALEJ ZWANA UODO; ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI Z DNIA 29 KWIETNIA 2004 ROKU W SPRAWIE DOKUMENTACJI PRZETWARZANIA DANYCH OSOBOWYCH ORAZ WARUNKÓW TECHNICZNYCH I ORGANIZACYJNYCH, JAKIM POWINNY ODPOWIADAĆ URZĄDZENIA I SYSTEMY INFORMATYCZNE SŁUŻĄCE DO PRZETWARZANIA DANYCH OSOBOWYCH (DZ. U. Z 2004 R., NR 100, POZ. 1024) – DALEJ ZWANE ROZPORZĄDZENIEM. Z DNIEM 25 MAJA 2018 ROKU POLITYKA BEZPIECZEŃSTWA REALIZUJE PRZEPISY ROZPORZĄDZENIA Z DNIA 27 KWIETNIA 2016 ROKU PARLAMENTU EUROPEJSKIEGO I RADY 2016/679 W SPRAWIE OCHRONY OSÓB FIZYCZNYCH W ZWIĄZKU Z PRZETWARZANIEM DANYCH OSOBOWYCH I W SPRAWIE SWOBODNEGO PRZEPŁYWU TAKICH DANYCH ORAZ UCHYLENIA DYREKTYWY 95/46/WE (OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH) – DZIENNIK URZĘDOWY UE L 119 Z DNIA 4 MAJA 2016 – DALEJ ZWANE RODO. DEFINICJE ADMINISTRATOR – ROZUMIE SIĘ PRZEZ TO GLIWICKI KLUB GOLFOWY; OSOBA UPOWAŻNIONA – KAŻDA OSOBA POSIADAJĄCA PISEMNE UPOWAŻNIENIE DO PRZETWARZANIA DANYCH OSOBOWYCH WYDANE PRZEZ ADMINISTRATORA; UŻYTKOWNIK SYSTEMU – KAŻDA OSOBA, POSIADAJĄCA UPOWAŻNIENIE DO PRZETWARZANIA DANYCH OSOBOWYCH WYDANE PRZEZ ADMINISTRATORA ZAREJESTROWANA W SYSTEMIE /POSIADAJĄCA UNIKALNY IDENTYFIKATOR I HASŁO/ PRZETWARZAJĄCA DANE OSOBOWE; DANE OSOBOWE – WSZELKIE INFORMACJE DOTYCZĄCE ZIDENTYFIKOWANEJ LUB MOŻLIWEJ DO ZIDENTYFIKOWANIA OSOBY FIZYCZNEJ. OSOBĄ MOŻLIWĄ DO ZIDENTYFIKOWANIA JEST OSOBA, KTÓREJ TOŻSAMOŚĆ MOŻNA OKREŚLIĆ BEZPOŚREDNIO LUB POŚREDNIO; SZCZEGÓLNE KATEGORIE DANYCH OSOBOWYCH – DANE OSOBOWE UJAWNIAJĄCE POCHODZENIE RASOWE LUB ETNICZNE, POGLĄDY POLITYCZNE, PRZEKONANIA RELIGIJNE LUB ŚWIATOPOGLĄDOWE, PRZYNALEŻNOŚĆ DO ZWIĄZKÓW ZAWODOWYCH ORAZ PRZETWARZANIA DANYCH GENETYCZNYCH, DANYCH BIOMETRYCZNYCH W CELU JEDNOZNACZNEGO ZIDENTYFIKOWANIA OSOBY FIZYCZNEJ LUB DANYCH DOTYCZĄCYCH ZDROWIA, SEKSUALNOŚCI LUB ORIENTACJI SEKSUALNEJ TEJ OSOBY, A TAKŻE DANE OSOBOWE DOTYCZĄCE WYROKÓW SKAZUJĄCYCH ORAZ NARUSZEŃ PRAWA LUB POWIĄZANYCH ŚRODKÓW BEZPIECZEŃSTWA ; ZBIÓR DANYCH – UPORZĄDKOWANY ZESTAW DANYCH OSOBOWYCH DOSTĘPNYCH WEDŁUG OKREŚLONYCH KRYTERIÓW, NIEZALEŻNIE OD TEGO, CZY ZESTAW TEN JEST SCENTRALIZOWANY, ZDECENTRALIZOWANY CZY ROZPROSZONY FUNKCJONALNIE LUB GEOGRAFICZNIE; PRZETWARZANIE DANYCH – OPERACJĘ LUB ZESTAW OPERACJI WYKONYWANYCH NA DANYCH OSOBOWYCH LUB ZESTAWACH DANYCH OSOBOWYCH W SPOSÓB ZAUTOMATYZOWANY LUB NIEZAUTOMATYZOWANY, TAKĄ JAK ZBIERANIE, UTRWALANIE, ORGANIZOWANIE, PORZĄDKOWANIE, PRZECHOWYWANIE, ADAPTOWANIE LUB MODYFIKOWANIE, POBIERANIE, PRZEGLĄDANIE, WYKORZYSTYWANIE, UJAWNIANIE POPRZEZ PRZESŁANIE, ROZPOWSZECHNIANIE LUB INNEGO RODZAJU UDOSTĘPNIANIE, DOPASOWYWANIE LUB ŁĄCZENIE, OGRANICZANIE, USUWANIE LUB NISZCZENIE; USUWANIE DANYCH – ZNISZCZENIE DANYCH OSOBOWYCH LUB TAKĄ ICH MODYFIKACJĘ, KTÓRA NIE POZWOLI NA USTALENIE TOŻSAMOŚCI OSOBY, KTÓREJ DANE DOTYCZĄ; IDENTYFIKATOR UŻYTKOWNIKA – CIĄG ZNAKÓW LITEROWYCH, CYFROWYCH LUB INNYCH JEDNOZNACZNIE IDENTYFIKUJĄCY OSOBĘ UPOWAŻNIONĄ DO PRZETWARZANIA DANYCH OSOBOWYCH W SYSTEMIE INFORMATYCZNYM; HASŁO – CIĄG ZNAKÓW LITEROWYCH, CYFROWYCH LUB INNYCH, ZNANY JEDYNIE OSOBIE UPRAWNIONEJ DO PRACY W SYSTEMIE INFORMATYCZNYM; UWIERZYTELNIANIE – TO DZIAŁANIE, KTÓREGO CELEM JEST WERYFIKACJA DEKLAROWANEJ TOŻSAMOŚCI PODMIOTU; BEZPIECZEŃSTWO INFORMACJI – ZACHOWANIE POUFNOŚCI, INTEGRALNOŚCI, DOSTĘPNOŚCI I ROZLICZALNOŚCI INFORMACJI POUFNOŚĆ – WŁAŚCIWOŚĆ POLEGAJĄCA NA TYM, ŻE INFORMACJA NIE JEST UDOSTĘPNIANA LUB WYJAWIANA NIEUPOWAŻNIONYM OSOBOM I PODMIOTOM; DOSTĘPNOŚĆ – WŁAŚCIWOŚĆ POLEGAJĄCYM NA BYCIU DOSTĘPNYM I UŻYTECZNYM NA ŻĄDANIE UPOWAŻNIONEGO PODMIOTU LUB UPOWAŻNIONEJ OSOBY; INTEGRALNOŚĆ – WŁAŚCIWOŚĆ ZAPEWNIAJĄCA, ŻE DANE OSOBOWE NIE ZOSTAŁY ZMIENIONE LUB ZNISZCZONE W SPOSÓB NIEAUTORYZOWANY; ROZLICZALNOŚĆ – WŁAŚCIWOŚĆ ZAPEWNIAJĄCĄ, ŻE DZIAŁANIA PODMIOTU MOGĄ BYĆ PRZYPISANE W SPOSÓB JEDNOZNACZNY TYLKO TEMU PODMIOTOWI; NARUSZENIE OCHRONY DANYCH OSOBOWYCH – NARUSZENIE BEZPIECZEŃSTWA PROWADZĄCE DO PRZYPADKOWEGO LUB NIEZGODNEGO Z PRAWEM ZNISZCZENIA, UTRACENIA, ZMODYFIKOWANIA, NIEUPRAWNIONEGO UJAWNIENIA LUB NIEUPRAWNIONEGO DOSTĘPU DO DANYCH OSOBOWYCH PRZESYŁANYCH, PRZECHOWYWANYCH LUB W INNY SPOSÓB PRZETWARZANYCH; SYSTEM INFORMATYCZNY – ZESPÓŁ WSPÓŁPRACUJĄCYCH ZE SOBĄ URZĄDZEŃ, PROGRAMÓW, PROCEDUR PRZETWARZANIA INFORMACJI I NARZĘDZI PROGRAMOWYCH ZASTOSOWANYCH W CELU PRZETWARZANIA DANYCH; ZABEZPIECZANIE DANYCH W SYSTEMIE INFORMATYCZNYM – WDROŻENIE I EKSPLOATACJĘ STOSOWNYCH ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH ZAPEWNIAJĄCYCH OCHRONĘ DANYCH PRZED ICH NIEUPRAWNIONYM PRZETWARZANIEM; ZDEFINIOWANIE ODPOWIEDZIALNOŚCI ADMINISTRATOREM JEST GLIWICKI KLUB GOLFOWY Z SIEDZIBĄ W GLIWICACH PRZY UL. KOŚCIUSZKI 22/9. CELEM POLITYKI JEST WSKAZANIE DZIAŁAŃ, KTÓRE NALEŻY WYKONAĆ ORAZ USTANOWIENIE ZASAD I REGUŁ POSTĘPOWANIA, KTÓRE NALEŻY STOSOWAĆ, ABY WŁAŚCIWIE WYKONAĆ OBOWIĄZKI ADMINISTRATORA W ZAKRESIE ZABEZPIECZENIA DANYCH OSOBOWYCH. ZAKRES PRZEDMIOTOWY POLITYKI BEZPIECZEŃSTWA OBEJMUJE WSZYSTKIE ZBIORY DANYCH OSOBOWYCH OKREŚLONE W ZAŁĄCZNIKU NR 3 – WYKAZ ZBIORÓW DANYCH. POLITYKA OBOWIĄZUJE WSZYSTKICH PRACOWNIKÓW ADMINISTRATORA ORAZ OSOBY PRACUJĄCE NA RZECZ ADMINISTRATORA NA PODSTAWIE UMÓW CYWILNOPRAWNYCH ORAZ NA PODSTAWIE PROWADZONEJ DZIAŁALNOŚCI GOSPODARCZEJ. DANE OSOBOWE OBJĘTE POLITYKĄ BEZPIECZEŃSTWA ORAZ SPOSOBY ICH ZABEZPIECZEŃ OBJĘTE SĄ TAJEMNICĄ NIEOGRANICZONĄ W CZASIE. POLITYKA BEZPIECZEŃSTWA PODSTAWOWE ZASADY POLITYKI BEZPIECZEŃSTWA. W CELU ZAPEWNIENIA OCHRONY DANYCH OSOBOWYCH PRZETWARZANYCH PRZEZ ADMINISTRATORA STOSUJE SIĘ NASTĘPUJĄCE ZASADY: „MINIMUM PRZYWILEJÓW” – PRZYDZIELANIE PRAW DOSTĘPU TYLKO W ZAKRESIE NIEZBĘDNYM DO WYKONYWANIA CZYNNOŚCI SŁUŻBOWYCH, „SEPARACJA OBOWIĄZKÓW” – ZADANIA KRYTYCZNE Z PUNKTU WIDZENIA BEZPIECZEŃSTWA INFORMACJI NIE MOGĄ BYĆ REALIZOWANE PRZEZ JEDNĄ OSOBĘ, „DOMNIEMANA ODMOWA” – PRZYJĘCIA, JAKO STANDARDOWYCH NAJBARDZIEJ RESTRYKCYJNYCH USTAWIEŃ, KTÓRE MOŻNA ZWOLNIĆ JEDYNIE W OKREŚLONYCH SYTUACJACH. REALIZACJA POLITYKI BEZPIECZEŃSTWA PRZEBIEGA WEDŁUG WYMIENIONYCH PONIŻEJ ZASAD: KAŻDA OSOBA BIORĄCA UDZIAŁ W PRZETWARZANIU DANYCH OSOBOWYCH POSIADA PISEMNE, IMIENNE UPOWAŻNIENIE DO ICH PRZETWARZANIA NADANE PRZEZ ADMINISTRATORA STANOWIĄCE POLECENIE ADMINISTRATORA W ROZUMIENIU ART. 29 RODO ORAZ 32 UST. 4 RODO (ZAŁĄCZNIK NR 1). UPOWAŻNIENIE TO POŁĄCZONE JEST Z DEKLARACJĄ PRACOWNIKA O ZACHOWANIU W TAJEMNICY DANYCH OSOBOWYCH, SPOSOBÓW ICH ZABEZPIECZANIA JAK RÓWNIEŻ ZAPOZNANIA SIĘ Z TREŚCIĄ POLITYKI BEZPIECZEŃSTWA – PROCEDURA NADAWANIA UPOWAŻNIEŃ JEST OPISANA W PUNKCIE VIII B.WZÓR EWIDENCJI OSÓB UPOWAŻNIONYCH STANOWI ZAŁĄCZNIK NR 2. ADMINISTRATOR WDROŻYŁ STOSOWNE ŚRODKI ORGANIZACYJNE I TECHNICZNE MAJĄCE NA CELU NALEŻYTE ZABEZPIECZENIE DANYCH OSOBOWYCH. ADMINISTRATOR ZABEZPIECZA ZDOLNOŚĆ DO CIĄGŁEGO ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI, DOSTĘPNOŚCI I ODPORNOŚCI SYSTEMÓW I USŁUG PRZETWARZANIA POPRZEZ STOSOWANIE NASTĘPUJĄCYCH ZASAD: SYSTEM INFORMATYCZNY ADMINISTRATORA JEST ZABEZPIECZONY PRZED NIEUPOWAŻNIONYM DOSTĘPEM, UTRATĄ, MODYFIKACJĄ LUB ZNISZCZENIEM DANYCH POPRZEZ STOSOWANIE HASEŁ I OPROGRAMOWANIA ANTYWIRUSOWEGO. SIEĆ WEWNĘTRZNA JEST ZABEZPIECZONA PRZED NIEUPOWAŻNIONYM DOSTĘPEM Z ZEWNĄTRZ. KAŻDY PRACOWNIK ADMINISTRATORA DYSPONUJE INDYWIDUALNYM IDENTYFIKATOREM, ZA POŚREDNICTWEM KTÓREGO MOŻE KORZYSTAĆ Z UDOSTĘPNIANYCH ZASOBÓW I USŁUG. WSZYSCY PRACOWNICY ADMINISTRATORA SĄ UŚWIADOMIENI W ZAKRESIE PRZYJĘTEJ POLITYKI. PRACOWNICY ADMINISTRATORA MAJĄ OBOWIĄZEK INFORMOWANIA O WYSTĄPIENIU INCYDENTU ZWIĄZANEGO Z BEZPIECZEŃSTWEM INFORMACJI. W PRZYPADKU NARUSZENIA OCHRONY DANYCH OSOBOWYCH, ZGŁOSZENIE GO ORGANOWI NADZORCZEMU POWINNO: OPISYWAĆ CHARAKTER NARUSZENIA OCHRONY DANYCH OSOBOWYCH, W TYM W MIARĘ MOŻLIWOŚCI WSKAZYWAĆ KATEGORIE I PRZYBLIŻONĄ LICZBĘ OSÓB, KTÓRYCH DANE DOTYCZĄ, ORAZ KATEGORIE I PRZYBLIŻONĄ LICZBĘ WPISÓW DANYCH OSOBOWYCH, KTÓRYCH DOTYCZY NARUSZENIE; ZAWIERAĆ IMIĘ I NAZWISKO ORAZ DANE KONTAKTOWE INSPEKTORA OCHRONY DANYCH LUB OZNACZENIE INNEGO PUNKTU KONTAKTOWEGO, OD KTÓREGO MOŻNA UZYSKAĆ WIĘCEJ INFORMACJI; OPISYWAĆ MOŻLIWE KONSEKWENCJE NARUSZENIA OCHRONY DANYCH OSOBOWYCH; OPISYWAĆ ŚRODKI ZASTOSOWANE LUB PROPONOWANE PRZEZ ADMINISTRATORA W CELU ZARADZENIA NARUSZENIU OCHRONY DANYCH OSOBOWYCH, W TYM W STOSOWNYCH PRZYPADKACH ŚRODKI W CELU ZMINIMALIZOWANIA JEGO EWENTUALNYCH NEGATYWNYCH SKUTKÓW. ADMINISTRATOR DOKUMENTUJE WSZELKIE NARUSZENIA OCHRONY DANYCH OSOBOWYCH, W TYM OKOLICZNOŚCI NARUSZENIA OCHRONY DANYCH OSOBOWYCH, JEGO SKUTKI ORAZ PODJĘTE DZIAŁANIA ZARADCZE. ADMINISTRATOR NIE PRZEPROWADZIŁ OCENY SKUTKÓW PRZETWARZANIA DLA OCHRONY DANYCH, GDYŻ CHARAKTER, ZAKRES, KONTEKST I CELE PRZETWARZANIA DANYCH OSOBOWYCH NIE WSKAZUJĄ NA DUŻE PRAWDOPODOBIEŃSTWO WYSOKIEGO RYZYKA NARUSZENIA PRAW LUB WOLNOŚCI OSÓB FIZYCZNYCH. ADMINISTRATOR RAZ W ROKU PODEJMUJE DZIAŁANIA MAJĄCE NA CELU TESTOWANIE, MIERZENIE I OCENIANIE SKUTECZNOŚCI ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH MAJĄCYCH ZAPEWNIĆ BEZPIECZEŃSTWO PRZETWARZANIA W POSTACI AUDYTU SPRAWDZAJĄCEGO. ADMINISTRATOR WDROŻYŁ ŚRODKI ZAPEWNIAJĄCE ZDOLNOŚĆ DO SZYBKIEGO PRZYWRÓCENIA DOSTĘPNOŚCI DANYCH OSOBOWYCH I DOSTĘPU DO NICH W RAZIE INCYDENTU FIZYCZNEGO LUB TECHNICZNEGO W POSTACI TWORZENIA KOPII ZAPASOWYCH DANYCH OSOBOWYCH PRZETWARZANYCH W SYSTEMIE INFORMATYCZNYM ORAZ PROGRAMÓW I NARZĘDZI SŁUŻĄCYCH DO PRZETWARZANIA DANYCH OSOBOWYCH. KOPIE TWORZONE SĄ NA DYSK ZEWNĘTRZNY. ADMINISTRATOR PROWADZI REJESTR CZYNNOŚCI PRZETWARZANIA – ZAŁĄCZNIK NR 4. REALIZACJA POLITYKI BEZPIECZEŃSTWA. SZCZEGÓLNĄ UWAGĘ ADMINISTRATOR ZWRACA NA ELEMENTY ZARZĄDZANIA, KTÓRE MAJĄ ISTOTNY WPŁYW NA BEZPIECZEŃSTWO DANYCH ROZUMIANE JAKO OCHRONA PRZED PRZYPADKOWYM LUB NIEZGODNYM Z PRAWEM ZNISZCZENIEM, UTRATĄ, ZMODYFIKOWANIEM, NIEUPRAWNIONYM UJAWNIENIEM LUB NIEUPRAWNIONYM DOSTĘPEM DO DANYCH OSOBOWYCH PRZESYŁANYCH, PRZECHOWYWANYCH LUB W INNY SPOSÓB PRZETWARZANYCH. DOTYCZY TO NIE TYLKO DANYCH OSOBOWYCH PRZECHOWYWANYCH W BAZACH DANYCH, DOKUMENTACJI PAPIEROWEJ, ALE RÓWNIEŻ TYCH DANYCH, KTÓRE PRZESYŁANE SĄ W SIECIACH KOMPUTEROWYCH. W TYM OSTATNIM PRZYPADKU CHODZI GŁÓWNIE O ZABEZPIECZENIE DANYCH PODCZAS ICH ELEKTRONICZNEGO TRANSPORTU, KTÓRY WYSTĘPUJE, GDY DANE SĄ PRZESYŁANE: W WIADOMOŚCIACH E-MAIL: ZBIORCZE DANE OSOBOWE INNE NIŻ KONTAKTOWE LUB INNE MOGĄCE NEGATYWNIE WPŁYNĄĆ NA PODMIOT DANYCH MUSZĄ BYĆ PRZESYŁANE W ZABEZPIECZONYCH ZAŁĄCZNIKACH ORAZ NIE MOGĄ STANOWIĆ TREŚCI WIADOMOŚCI – PRZEZ DANE KONTAKTOWE NALEŻY ROZUMIEĆ DANE (IMIĘ, NAZWISKO, STANOWISKO, TELEFON, ADRES POCZTY ELEKTRONICZNEJ, MIEJSCE PRACY) WYKORZYSTYWANE WYŁĄCZNIE W CELU SKONTAKTOWANIA SIĘ Z DANĄ OSOBĄ, Z BAZ DANYCH DO UŻYTKOWNIKÓW, W TAKIM PRZYPADKU CAŁY SPRZĘT KOMPUTEROWY JEST CHRONIONY KRYPTOGRAFICZNIE, W SZCZEGÓLNOŚCI KOMPUTERY PRZENOŚNE I INNE NOŚNIKI DANYCH. ZASADY BEZPIECZEŃSTWA NALEŻY TRAKTOWAĆ W SPOSÓB KOMPLEKSOWY. PRZY REALIZACJI POLITYKI BEZPIECZEŃSTWA WAŻNE JEST ZAANGAŻOWANIE WSZYSTKICH OSÓB BIORĄCYCH UDZIAŁ W PRZETWARZANIU DANYCH. SZCZEGÓLNIE WAŻNA JEST ZNAJOMOŚĆ PROBLEMATYKI BEZPIECZEŃSTWA ORAZ ŚWIADOMOŚĆ JEJ ZNACZENIA. WSZYSCY PRACOWNICY DEKLARUJĄ WOLĘ OCHRONY PRZETWARZANYCH DANYCH OSOBOWYCH, KTÓREJ CELEM JEST ZAPEWNIENIE BEZPIECZEŃSTWA TYCH DANYCH, A W SZCZEGÓLNOŚCI DBANIE O ICH: POUFNOŚ , INTEGRALNOŚĆ, DOSTĘPNOŚĆ, ROZLICZALNOŚ . WYKAZ BUDYNKÓW I POMIESZCZEŃ PRZETWARZANIA DANYCH OSOBOWYCH ADMINISTRATOR PRZETWARZA DANE OSOBOWE W SWOJEJ SIEDZIBIE W GLIWICACH PRZY UL. KOŚCIUSZKI 22/9. DOSTĘP DO DANYCH OSOBOWYCH PRZETWARZANYCH W SYSTEMACH INFORMATYCZNYCH POPRZEZ SIEĆ TELEKOMUNIKACYJNĄ MOGĄ MIEĆ WYBRANE OSOBY WYŁĄCZNIE ZA ZGODĄ ADMINISTRATORA. WYKAZ ZBIORÓW DANYCH OSOBOWYCH ADMINISTRATOR PRZETWARZA DANE OSOBOWE OSÓB FIZYCZNYCH W SYSTEMACH INFORMATYCZNYCH ORAZ W POSTACI PAPIEROWEJ. WSZYSTKIE DANE OSOBOWE PRZETWARZANE PRZEZ ADMINISTRATORA SĄ PRZETWARZANE ZGODNIE Z OBOWIĄZUJĄCYMI PRZEPISAMI PRAWA. PRZEPROWADZONO SZCZEGÓŁOWĄ INWENTARYZACJĘ DANYCH OSOBOWYCH PRZETWARZANYCH W FORMIE PAPIEROWEJ JAK I ELEKTRONICZNEJ. WZÓR WYKAZU ZBIORÓW DANYCH OSOBOWYCH ORAZ PROGRAMÓW SŁUŻĄCYCH DO ICH PRZETWARZANIA WRAZ Z ICH STRUKTURĄ ZNAJDUJE SIĘ W ZAŁĄCZNIKU NR 3 – WYKAZ ZBIORÓW DANYCH OSOBOWYCH. OKREŚLENIE ŚRODKÓW NIEZBĘDNYCH DO ZACHOWANIA BEZPIECZEŃSTWA DANYCH ADMINISTRATOR STOSUJE ZRÓŻNICOWANE ŚRODKI TECHNICZNE I ORGANIZACYJNE ZAPEWNIAJĄCE OCHRONĘ PRZETWARZANYCH DANYCH OSOBOWYCH. STOSOWANE ŚRODKI ORGANIZACYJNE I TECHNICZNE SĄ WYNIKIEM PRZEPROWADZONEGO POSTĘPOWANIA Z RYZYKIEM OBEJMUJĄCEGO JEGO ANALIZĘ ORAZ WYBÓR SPOSOBU POSTĘPOWANIA. BEZPIECZEŃSTWO FIZYCZNE. A 1.KONTROLA WEJŚCIA. OSOBOM ODWIEDZAJĄCYM ADMINISTRATORA POWINNO SIĘ UMOŻLIWIĆ DOSTĘP WYŁĄCZNIE W KONKRETNYCH, ZATWIERDZONYCH CELACH. BEZ SPECJALNEGO POZWOLENIA UDZIELONEGO PRZEZ ADMINISTRATORA NIE WOLNO UŻYWAĆ W JEGO SIEDZIBIE SPRZĘTU FOTOGRAFICZNEGO, VIDEO I SPRZĘTU NAGRYWAJĄCEGO. A 2. DOSTĘP DO POMIESZCZEŃ. DOSTĘP DO POMIESZCZEŃ ADMINISTRATORA, W KTÓRYCH ODBYWA SIĘ PRZETWARZANIE DANYCH OSOBOWYCH JEST OGRANICZONY JEDYNIE DO PRACOWNIKÓW ORAZ INNYCH OSÓB UPOWAŻNIONYCH PRZEZ ADMINISTRATORA. OSOBY UPOWAŻNIONE DO PRZEBYWANIA W OBSZARZE PRZETWARZANIA DANYCH OSOBOWYCH MOGĄ PRZEBYWAĆ W NIM WYŁĄCZNIE W ZAKRESIE NIEZBĘDNYM DO WYKONANIA CZYNNOŚCI OPISANYCH W UPOWAŻNIENIU. POMIESZCZENIA NA CZAS NIEOBECNOŚCI PRACOWNIKA NALEŻY ZAMYKAĆ NA KLUCZ, A KLUCZE PO OTWARCIU DRZWI NIE POZOSTAJĄ W ZAMKACH, W PRZYPADKU DOSTĘPU DO POMIESZCZENIA DLA OSÓB POSTRONNYCH (WSPÓŁPRACOWNIKÓW LUB PRZEDSTAWICIELI WYKONAWCÓW) POWINNY ONE PRZEBYWAĆ W POMIESZCZENIU WYŁĄCZNIE W OBECNOŚCI UPOWAŻNIONEGO PRACOWNIKA LUB ZA ZGODĄ ADMINISTRATORA DANYCH. KAŻDORAZOWO WYZNACZA SIĘ PRACOWNIKA DO NADZORU PERSONELU ZEWNĘTRZNEGO. A 3. IZOLOWANE OBSZARY PRZYJMOWANIA GOŚCI. UNIKA SIĘ PRZYJMOWANIA GOŚCI PRZEZ PRACOWNIKÓW ADMINISTRATORA W SWOICH BIURACH PRZY STANOWISKACH PRACY. MOŻE TO PROWADZIĆ DO PRZYPADKOWEGO WYCIEKU INFORMACJI POPRZEZ ZAPOZNANIE SIĘ Z TREŚCIĄ OTWARTEGO DOKUMENTU PAPIEROWEGO LUB ELEKTRONICZNEGO BĄDŹ PRZEZ PODSŁUCHANIE ROZMOWY PRACOWNIKÓW. A 4. URZĄDZENIA SYSTEMU INFORMATYCZNEGO. ADMINISTRATOR POSIADA WŁASNY SERWER. W DZIAŁALNOŚCI ADMINISTRATORA WYKORZYSTYWANE SĄ URZĄDZENIA PRZENOŚNE: KOMPUTERY PRZENOŚNE, NOŚNIKI ZEWNĘTRZNE, SMARTFONY. SĄ ONE UŻYTKOWANE ZE SZCZEGÓLNĄ OSTROŻNOŚCIĄ POZA OBSZAREM PRZETWARZANIA DANYCH, W SZCZEGÓLNOŚCI: STOSOWANE SĄ ZABEZPIECZENIA KRYPTOGRAFICZNE; STOSOWANE SĄ LOGINY I HASŁA DO SYSTEMU INFORMATYCZNEGO; ZABRONIONE JEST POZOSTAWIANIE URZĄDZEŃ BEZ NADZORU; ZABRONIONE JEST PRZEKAZYWANIE URZĄDZEŃ DO KORZYSTANIA NIEUPOWAŻNIONYM OSOBOM; ZABRONIONE JEST KORZYSTANIE Z SIECI TYPU HOTSPOT; WYKONUJE SIĘ KOPIE ZAPASOWE DANYCH; HASŁA ADMINISTRACYJNE DOSTĘPU DO URZĄDZEŃ AKTYWNYCH, SYSTEMÓW SERWEROWYCH, STACJI ROBOCZYCH ORAZ INNYCH URZĄDZEŃ WYMAGAJĄCYCH LOGOWANIA SĄ PRZECHOWYWANE W BEZPIECZNYM MIEJSCU; KOPIE ZAPASOWE DANYCH ZNAJDUJĄ SIĘ W INNYM POMIESZCZENIU NIŻ SAM SYSTEM PRZETWARZANIA TYCH INFORMACJI. OGÓLNE ŚRODKI BEZPIECZEŃSTWA. B 1. UPOWAŻNIENIA DO PRZETWARZANIA DANYCH OSOBOWYCH. KAŻDY PRACOWNIK, PRZETWARZAJĄCY DANE OSOBOWE MUSI POSIADAĆ UPOWAŻNIENIE DO PRZETWARZANIA DANYCH OSOBOWYCH. UPOWAŻNIENIE ZAWIERA WSZYSTKIE WYMAGANE PRAWEM INFORMACJE ORAZ POZIOM DOSTĘPU DO SYSTEMU INFORMATYCZNEGO ADMINISTRATORA. NADANIE UPOWAŻNIEŃ DO PRZETWARZANIA DANYCH OSOBOWYCH ODBYWA SIĘ NA PODSTAWIE ZAŁĄCZNIKA NR 1. NAJPÓŹNIEJ W OSTATNIM DNIU PRACY ANULUJE SIĘ UPOWAŻNIENIE POPRZEZ ODNOTOWANIE TEGO FAKTU W EWIDENCJI OSÓB UPOWAŻNIONYCH ORAZ DOKONANIE ODPOWIEDNIEJ ADNOTACJI W DOKUMENCIE UPOWAŻNIENIA. UPOWAŻNIENIA PRZECHOWUJE SIĘ W MIEJSCU, W KTÓRYM PRZECHOWYWANA JEST DOKUMENTACJA KADROWA. B 2. ZASADA CZYSTEGO BIURKA I CZYSTEGO EKRANU INFORMACJE POZOSTAWIONE NA BIURKACH MOGĄ ULEC ZNISZCZENIU LUB USZKODZENIU, LUB TEŻ MOGĄ ZOSTAĆ UJAWNIONE POPRZEZ WGLĄD OSÓB POSTRONNYCH, DLATEGO TEŻ WPROWADZONO ZASADY: DOKUMENTY PAPIEROWE ORAZ INNE NOŚNIKI INFORMACJI POWINNY BYĆ PRZECHOWYWANE W ZAMYKANYCH NA KLUCZ SZAFACH I/LUB W INNYCH BEZPIECZNYCH MIEJSCACH, ZWŁASZCZA POZA GODZINAMI PRACY, WSZYSTKIE DOKUMENTY PAPIEROWE MUSZĄ BYĆ NISZCZONE PRZY POMOCY NISZCZARKI, DOKUMENTY ZAWIERAJĄCE WRAŻLIWE LUB KRYTYCZNE INFORMACJE POWINNY BYĆ ZAMYKANE W SZAFKACH Z ZAMKIEM, PIECZĄTKI POWINNY BYĆ ZAMYKANE W SZUFLADACH Z ZAMKIEM, NIE WOLNO POZOSTAWIĆ ZALOGOWANYCH KOMPUTERÓW BEZ NADZORU, MONITORY POWINNY BYĆ TAK USTAWIONE BY UNIEMOŻLIWIĆ PODGLĄD INFORMACJI NA EKRANIE OSOBOM POSTRONNYM, POZA GODZINAMI PRACY URZĄDZENIA KOPIUJĄCE POWINNY BYĆ CHRONIONE PRZED UŻYCIEM PRZEZ NIEUPRAWNIONE OSOBY, INFORMACJE POUFNE/WRAŻLIWE NALEŻY NATYCHMIAST PO WYDRUKOWANIU WYJĄĆ Z DRUKARKI. POWIERZENIE PRZETWARZANIA DANYCH. ADMINISTRATOR PRZEKAZUJE DANE OSOBOWE INNYM PODMIOTOM. DOCHODZI WÓWCZAS DO POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH. W TAKIM PRZYPADKU ADMINISTRATOR PODEJMUJE NASTĘPUJĄCE DZIAŁANIA: UWZGLĘDNIA POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH W WYKAZIE ZBIORÓW DANYCH – ZŁĄCZNIK NR 3; UMIESZCZA W UMOWACH ZAPISY DOTYCZĄCE POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH. ZAPISY UMOWNE DOTYCZĄCE POWIERZENIA PRZETWARZANIA DANYCH MUSZĄ ZAWIERAĆ ZAPISY O TYM, ŻE PODMIOT PRZETWARZAJĄCY: PRZETWARZA DANE OSOBOWE WYŁĄCZNIE W CELU I ZAKRESIE OKREŚLONYM W UMOWIE, A TAKŻE WYŁĄCZNIE NA UDOKUMENTOWANE POLECENIE ADMINISTRATORA; ZAPEWNIA, BY OSOBY UPOWAŻNIONE DO PRZETWARZANIA DANYCH OSOBOWYCH ZOBOWIĄZAŁY SIĘ DO ZACHOWANIA TAJEMNICY LUB BY PODLEGAŁY ODPOWIEDNIEMU USTAWOWEMU OBOWIĄZKOWI ZACHOWANIA TAJEMNICY; W MIARĘ POTRZEB PODEJMUJE WSZELKIE ŚRODKI WYMAGANE W CELU ZABEZPIECZENIA DANYCH OSOBOWYCH, W SZCZEGÓLNOŚCI PSEUDONIMIZACJĘ I SZYFROWANIE DANYCH OSOBOWYCH, ZDOLNOŚĆ DO CIĄGŁEGO ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI, DOSTĘPNOŚCI I ODPORNOŚCI SYSTEMÓW I USŁUG PRZETWARZANIA, ZDOLNOŚĆ DO SZYBKIEGO PRZYWRÓCENIA DOSTĘPNOŚCI DANYCH OSOBOWYCH I DOSTĘPU DO NICH W RAZIE INCYDENTU FIZYCZNEGO LUB TECHNICZNEGO ORAZ REGULARNE TESTOWANIE, MIERZENIE I OCENIANIE SKUTECZNOŚCI ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH MAJĄCYCH ZAPEWNIĆ BEZPIECZEŃSTWO PRZETWARZANIA.; PRZEKAZUJE POWIERZONE DANE OSOBOWE INNYM PODMIOTOM DO PRZETWARZANIA TYLKO PO UZYSKANIU WYRAŹNEJ ZGODY ADMINISTRATORA; POMAGA ADMINISTRATOROWI POPRZEZ ODPOWIEDNIE ŚRODKI TECHNICZNE I ORGANIZACYJNE WYWIĄZAĆ SIĘ Z OBOWIĄZKU ODPOWIADANIA NA ŻĄDANIA OSOBY, KTÓREJ DANE DOTYCZĄ, W ZAKRESIE WYKONYWANIA JEJ PRAW; POMAGA ADMINISTRATOROWI WYWIĄZAĆ SIĘ Z OBOWIĄZKÓW DOTYCZĄCYCH ZGŁASZANIA NARUSZEŃ OCHRONY DANYCH OSOBOWYCH ORAZ W ZAKRESIE OCENY SKUTKÓW PRZETWARZANIA DLA DANYCH OSOBOWYCH; PO ZAKOŃCZENIU ŚWIADCZENIA USŁUG ZWIĄZANYCH Z PRZETWARZANIEM ZALEŻNIE OD DECYZJI ADMINISTRATORA USUWA LUB ZWRACA ADMINISTRATOROWI WSZELKIE DANE OSOBOWE ORAZ USUWA WSZELKIE ICH ISTNIEJĄCE KOPIE, CHYBA ŻE PRAWO UNII LUB PRAWO PAŃSTWA CZŁONKOWSKIEGO NAKAZUJĄ PRZECHOWYWANIE DANYCH OSOBOWYCH; UDOSTĘPNIA ADMINISTRATOROWI WSZELKIE INFORMACJE NIEZBĘDNE DO WYKAZANIA SPEŁNIENIA OBOWIĄZKÓW OKREŚLONYCH W NINIEJSZYM ARTYKULE ORAZ UMOŻLIWIA ADMINISTRATOROWI LUB AUDYTOROWI UPOWAŻNIONEMU PRZEZ ADMINISTRATORA PRZEPROWADZANIE AUDYTÓW, W TYM INSPEKCJI, I PRZYCZYNIA SIĘ DO NICH. POSTĘPOWANIE Z INFORMACJĄ D 1. KONTROLA DOSTĘPU DO INFORMACJI PRACOWNICY NIE MOGĄ, BEZ UPOWAŻNIENIA ADMINISTRATORA, UDZIELAĆ NASTĘPUJĄCYCH INFORMACJI: O DANYCH OSOBOWYCH ORAZ INNYCH INFORMACJI O CHARAKTERZE POUFNYM, O ZABEZPIECZENIACH, W TYM O ZABEZPIECZENIACH SYSTEMU INFORMATYCZNEGO. D 2. FORMY WYMIANY INFORMACJI OCHRONIE PODLEGA TAKŻE INFORMACJA GŁOSOWA, FAKSOWA ORAZ WIZUALNA. DLA ZABEZPIECZENIA PRZEKAZYWANEJ INFORMACJI WPROWADZA SIĘ NASTĘPUJĄCE WYMOGI: ZACHOWANIE SZCZEGÓLNEJ OSTROŻNOŚCI PODCZAS PROWADZENIA ROZMÓW TELEFONICZNYCH, A W SZCZEGÓLNOŚCI ZAKAZ PRZEKAZYWANIA INFORMACJI POUFNYCH I DANYCH OSOBOWYCH DROGĄ TELEFONICZNĄ. ZAKAZ PROWADZENIA POUFNYCH ROZMÓW W MIEJSCACH PUBLICZNYCH (RESTAURACJE, PUBLICZNE ŚRODKI TRANSPORTU, ITP.), SZEROKO DOSTĘPNYCH BIURACH, POMIESZCZENIACH O CIENKICH ŚCIANACH. NIE POZOSTAWIANIE WIADOMOŚCI ZAWIERAJĄCYCH TREŚCI POUFNE NA „SEKRETARKACH AUTOMATYCZNYCH”. D 3. BEZPIECZEŃSTWO TELEINFORMATYCZNE STOSUJE SIĘ OPROGRAMOWANIE ANTYWIRUSOWE ORAZ INNE URZĄDZENIA ORAZ PROGRAMY KONTROLUJĄCE PRZEPŁYW INFORMACJI POMIĘDZY SIECIĄ PUBLICZNĄ A SYSTEMEM INFORMATYCZNYM ADO. POSTANOWIENIA KOŃCOWE POLITYKA WCHODZI W ŻYCIE Z DNIEM 25 MAJA 2018 ROKU. WYKAZ ZMIAN W DOKUMENCIE: POLITYKA BEZPIECZEŃSTWA DATA: RODZAJ MODYFIKACJI: 15.05.2018 POWSTANIE DOKUMENTU.