PRZEPISY O OCHRONIE DANYCH OSOBOWYCH W KONTEKŚCIE DZIENNIKÓW ELEKTRONICZNYCH

(1)

Generalny Inspektor Ochrony Danych Osobowych ul. Stawki 2, 00-193 Warszawa

www.giodo.gov.pl kancelaria@giodo.gov.pl

PRZEPISY O OCHRONIE DANYCH

OSOBOWYCH W KONTEKŚCIE DZIENNIKÓW ELEKTRONICZNYCH

Tomasz Soczyński

Zastępca Dyrektora Departamentu Informatyki BIURO

Generalnego Inspektora Ochrony Danych Osobowych

(2)

www.giodo.gov.pl

Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do

decydowania o swoim życiu osobistym.

KONSTYTUCJA RZECZYPOSPOLITEJ POLSKIEJ (art. 47)

(3)

1. Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby.

2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.

3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa.

4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.

5. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

KONSTYTUCJA RZECZYPOSPOLITEJ POLSKIEJ (art. 51)

(4)

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. 2014 r. poz. 1182)

Zbliża się kolejna nowelizacja ustawy o ochronie danych osobowych, jej wejście w życie przewidziane jest na 1 stycznia 2015.

Cztery rozporządzenia wykonawcze MSWiA

USTAWA O OCHRONIE DANYCH OSOBOWYCH

(5)

• z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny

odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych

• z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych

• z dnia 22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony

Danych Osobowych

AKTY WYKONAWCZE

(6)

• kontrola zgodności , wydawanie decyzji , rozpatrywanie skarg

• Generalny Inspektor, zastępca Generalnego Inspektora lub upoważnieni przez niego pracownicy Biura - zwani inspektorami - mają prawo:

- wstępu, w godzinach od 6°° do 22°°, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym zlokalizowany jest zbiór danych,

oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny

zgodności przetwarzania danych z ustawą

- żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby

w zakresie niezbędnym do ustalenia stanu faktycznego

- wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii

- przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych

- zlecać sporządzanie ekspertyz i opinii

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH - ART. 14 UPRAWNIENIA

KONTROLNE

(7)

• kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych

• Art. 17 ust. 1 - jeżeli na podstawie wyników kontroli inspektor stwierdzi naruszenie przepisów o ochronie danych osobowych, występuje do Generalnego

Inspektora o zastosowanie środków, o których mowa w art. 18

• Art. 17 ust. 2 - na podstawie ustaleń kontroli inspektor może żądać wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem

postępowania przeciwko osobom winnym dopuszczenia do uchybień

i poinformowania go, w określonym terminie, o wynikach tego postępowania i podjętych działaniach.

• Art. 19 - w razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem

danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie

o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie.

GENERALNY INSPEKTOR OCHRONY DANYCH

OSOBOWYCH - UPRAWNIENIA z art. 17 i 19

(8)

Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1).

Osoba możliwa do zidentyfikowania – osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych

czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (art. 6 ust. 2).

Informacji nie uważa się za umożliwiające określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (art. 6 ust. 3).

Przetwarzanie danych – jakiekolwiek operacje na danych osobowych statyczne (np. przechowywanie danych) jak i dynamiczne

(pozyskiwanie, udostępnianie, zmienianie, usuwanie itd.)

DANE OSOBOWE / PRZETWARZANIE

(Art. 6 i 7 UODO)

(9)

dane ujawniające:

• pochodzenie rasowe lub etniczne

• poglądy polityczne

• przekonania religijne lub filozoficzne

• przynależność wyznaniową, partyjną lub związkową,

dane o:

• stanie zdrowia

• kodzie genetycznym

• nałogach

• życiu seksualnym

• skazaniach, orzeczeniach o ukaraniu i mandatach karnych, innych orzeczeniach wydanych w postępowaniu sądowym lub

administracyjnym dane biometryczne

DANE SZCZEGÓLNIE CHRONIONE

/SENSYTYWNE/ - ART. 27

(10)

Rozporządzenie Ministra Edukacji Narodowej z dnia 29 sierpnia 2014 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji Ogłoszone w Dz. U. 2014 poz.

1170 z dnia 2 września 2014 r. Obowiązuje od 3 września 2014 r.

/rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia/

NOWE ROZPORZĄDZENIE MEN W SPRAWIE

PROWADZENIA DOKUMENTACJI PRZEBIEGU

NAUCZANIA

(11)

Różnice w stosunku do stanu prawnego uprzednio obowiązującego – przetwarzanie danych osobowych

• adresy zamieszkania rodziców wpisuje się do dokumentacji nauczania, jeżeli są różne od adresu zamieszkania dziecka

• adresy poczty elektronicznej rodziców i numery ich telefonów wpisuje się do dokumentacji nauczania, jeżeli je posiadają

• do dokumentacji nauczania nie wpisuje się danych rodziców pełnoletnich uczniów albo słuchaczy

• wykreśleni zostali prawni opiekunowie

• prowadzenie dziennika elektronicznego – wymaga umożliwienia

bezpłatnego wglądu rodzicom do dziennika elektronicznego, w zakresie dotyczącym ich dzieci.

NOWE ROZPORZĄDZENIE MEN W SPRAWIE

PROWADZENIA DOKUMENTACJI PRZEBIEGU

NAUCZANIA

(12)

Przypomnienie

§ 27 - Dyrektor przedszkola, szkoły i placówki ponosi odpowiedzialność za właściwe prowadzenie i przechowywanie dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz za wydawanie odpowiednio przez przedszkole, szkołę lub placówkę dokumentów zgodnych z posiadaną dokumentacją.

NOWE ROZPORZĄDZENIE MEN W SPRAWIE

PROWADZENIA DOKUMENTACJI PRZEBIEGU

NAUCZANIA

(13)

o ile nie jest możliwe spełnienie, żadnego z warunków wynikających z art.

23 ust. 1pkt 2-5 ustawy, legalizującego przetwarzanie danych osobowych, w tym udostępnianie danych osobowych to jest ono możliwe jedynie po uzyskaniu stosownej zgody osoby, której dane dotyczą lub jej

ustawowego przedstawiciela

• udostępnienie danych osobowych dzieci, w tym ich wizerunku jest możliwe po uzyskaniu zgody przedstawicieli ustawowych

• prawa małoletnich realizują rodzice lub ich opiekunowie prawni stosownie do art. 98 ustawy Kodeks rodzinny i opiekuńczy

PUBLIKOWANIE DANYCH / WIZERUNKU UCZNIA NA STRONACH INTERNETOWYCH SZKOŁY

SZKOLENIE VI

(14)

Art. 81 ustawy Prawo autorskie i prawa pokrewne

-rozpowszechnianie wizerunku wymaga zezwolenia osoby na nim przedstawionej; w braku wyraźnego zastrzeżenia zezwolenie nie jest wymagane, jeżeli osoba otrzymała zapłatę za pozowanie

-Zezwolenia nie wymaga rozpowszechnianie wizerunku: 1) osoby

powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem przez nią funkcji publicznych, w szczególności politycznych, społecznych, zawodowych;

-2) osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza.

PUBLIKOWANIE DANYCH / WIZERUNKU UCZNIA NA STRONACH INTERNETOWYCH SZKOŁY

SZKOLENIE VI

(15)

Wystąpienie GIODO z 11 czerwca 2012 r. do Ministra Zdrowia w sprawie podjęcia prac legislacyjnych mających na celu wprowadzenie ustawowych

podstaw prawnych dla przekazywania danych osobowych uczniów podmiotom prowadzącym działalność leczniczą w związku z realizacją umów w ramach profilaktycznej opieki zdrowotnej nad dziećmi i młodzieżą

http://www.giodo.gov.pl/1520149/id_art/6160/j/pl/

MZ i MEN podzieliły słuszność argumentacji GIODO, zadeklarowały podjęcie prac legislacyjnych i współprace w tym zakresie.

PRZEKAZYWANIE DANYCH OSOBOWYCH UCZNIÓW PODMIOTOM PROWADZĄCYM DZIAŁANOŚĆ LECZNICZĄ

SZKOLENIE VI

(16)

Nie, gdyż prowadzenie dzienników lekcyjnych, w których zawarte są informacje o uczniach, wynika z przepisów prawa, a forma

elektroniczna czy papierowa, jest jedynie kwestią techniczną.

Ustawa o ochronie danych osobowych określa ogólne zasady przetwarzania danych osobowych, zaś, gdy istnieją inne – szczególne wobec ustawy przepisy prawa – należy je stosować w pierwszej kolejności. Zakres informacji o uczniach, które mogą być gromadzone przez szkoły określa rozporządzenie Ministra Edukacji Narodowej z dnia 29 sierpnia 2014 r. w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej oraz rodzajów tej dokumentacji, wydane na podstawie ustawy z dnia 7 września 1991 r. o systemie oświaty.

http://www.giodo.gov.pl/358/id_art/3452/j/pl/

CZY PROWADZENIE PRZEZ SZKOŁĘ ELEKTRONICZNYCH DZIENNIKÓW

LEKCYJNYCH NIE NARUSZA PRAWA DO

OCHRONY DANYCH OSOBOWYCH UCZNIÓW?

(17)

• organ państwowy

• organ samorządu terytorialnego

• państwowa lub komunalna jednostka organizacyjna

• podmiot niepubliczny realizujący zadania publiczne

• osoby fizyczne i prawne

• jednostki organizacyjne niebędące osobami prawnymi

- przetwarzające dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych mające siedzibę albo miejsce zamieszkania na terytorium RP albo w państwie trzecim, o ile przetwarzają dane osobowe przy wykorzystaniu środków technicznych znajdujących się na terytorium RP

decydujące o celach i środkach przetwarzania danych osobowych

ADMINISTRATOR DANYCH - ART. 7 PKT 4

(18)

Każdy posiadający strukturę zestaw danych o charakterze osobowym,

dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

Dane mogą być przetwarzane w:

- tzw. systemie ręcznym (kartoteki, skorowidze, księgi, wykazy i inne zbiory ewidencyjne)

- systemach informatycznych.

ZBIÓR DANYCH JAKO PRZEDMIOT

REJESTRACJI (ART. 7 PKT 1 USTAWY)

(19)

• Administrator danych obowiązany jest zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (art. 40

ustawy).

• Kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia

wolności do roku. (art. 53 ustawy)

• Obowiązek rejestracji zbioru - zasada, zwolnienie z obowiązku rejestracji - wyjątek od zasady (art. 43 ust. 1 ustawy).

OBOWIĄZEK REJESTRACJI

ZBIORU

(20)

Z obowiązku rejestracji zwolnieni są administratorzy danych:

1) zawierających informacje niejawne,

1a) które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych do tych czynności,

2) przetwarzanych przez właściwe organy dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym,

2a) przetwarzanych przez Generalnego Inspektora Informacji Finansowej,

2b) przetwarzanych przez właściwe organy na potrzeby udziału Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Systemie Informacji Wizowej,

2c) przetwarzanych przez właściwe organy na podstawie przepisów o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej,

3) dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego,

4) przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich

zrzeszonych lub uczących się,

ZWOLNIENIE Z OBOWIĄZKU REJESTRACJI

(ART. 43 USTAWY)

(21)

5) dotyczących osób korzystających z ich usług medycznych, obsługi notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy podatkowego lub biegłego rewidenta,

6) tworzonych na podstawie przepisów dotyczących wyborów do Sejmu, Senatu, Parlamentu Europejskiego, rad gmin, rad powiatów i sejmików województw, wyborów na urząd Prezydenta Rzeczypospolitej Polskiej, na wójta, burmistrza, prezydenta miasta oraz dotyczących referendum ogólnokrajowego i referendum lokalnego,

7) dotyczących osób pozbawionych wolności na podstawie ustawy, w zakresie niezbędnym do wykonania tymczasowego aresztowania lub kary pozbawienia wolności,

8) przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej,

9) powszechnie dostępnych,

10) przetwarzanych w celu przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego,

11) przetwarzanych w zakresie drobnych bieżących spraw życia codziennego.

ZWOLNIENIE Z OBOWIĄZKU REJESTRACJI

(ART. 43 USTAWY)

(22)

Zbiór danych kandydatów do szkoły

• Rejestr uczniów realizujących obowiązek szkolny w innych szkołach,

księgi ewidencji dzieci i młodzieży podlegających obowiązkowi rocznego przygotowania przedszkolnego i obowiązkowi szkolnemu, zamieszkałych w obwodzie szkoły

• Zbiór danych osób upoważnionych przez rodziców i opiekunów prawnych do odbioru dzieci ze szkoły

• Ewidencja korespondencji przychodzącej i wychodzącej

• Ewidencja wniosków o wyprawkę szkolną

• Kartoteka biblioteki prowadzonej przez szkołę, jeśli w zbiorze znajdują się dane innych osób niż uczące się w szkole, zatrudnione przez szkołę lub świadczące szkole usługi na podstawie umów cywilnoprawnych

SZKOŁY ZGŁASZAJĄ DO REJESTRACJI ……

(23)

• Archiwum szkolne

• Zbiór danych uczestników postępowań o udzielenie zamówienia publicznego

• •Zbiór danych najemców, umów najmu

• •Ewidencja wniosków o udzielenie informacji publicznej

• •Ewidencja skarg i wniosków

• •Zbiór danych uczestników konkursów, zawodów międzyszkolnych

SZKOŁY ZGŁASZAJĄ DO REJESTRACJI ….

(24)

• przesłanki legalności – warunki legalnego przetwarzania danych - dane zwykłe art. 23

- dane szczególnie chronione – art. 27,

• obowiązek informacyjny unormowany w art. 24 i 25 ustawy,

• obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą (art. 26 ustawy),

• obowiązek respektowania praw osób, których dane dotyczą - art.

32 - 35 ustawy,

• obowiązek zabezpieczenia przetwarzanych danych osobowych (art.

36 – 39 ustawy),

• obowiązek zgłoszenia zbioru danych do zarejestrowania przez GIODO (art. 40 ustawy), z wyjątkiem przypadków wymienionych w

art. 43 ust. 1, np. zwolnienie określone w pkt 4 - przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie

umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się

OBOWIĄZKI ADMINISTRATORÓW DANYCH

– ART. 23, 27, 24, 25, 32-35, 36-39, 40, 43 UST. 1

(25)

• osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych

• jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa

• jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed

zawarciem umowy na żądanie osoby, której dane dotyczą

• jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego

• jest to niezbędne dla wypełniania prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a

przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

LEGALNOŚĆ PRZETWARZANIA DANYCH

"ZWYKŁYCH"

- ART. 23

(26)

• zgoda na piśmie, chyba że chodzi o usunięcie danych

• przepis szczególny innej ustawy zezwala na przetwarzanie takich danych i stwarza pełne gwarancje ich ochrony

• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, a osoba nie jest fizycznie lub prawnie zdolna do wyrażenia zgody

• statutowe zadania kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub

instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, w odniesieniu do danych członków tych organizacji; muszą

być zapewnione są pełne gwarancje ochrony przetwarzanych danych

LEGALNOŚĆ PRZETWARZANIA DANYCH

SZCZEGÓLNIE CHRONIONYCH /

"SENSYTYWNYCH" - ART. 27

(27)

• niezbędne do dochodzenia praw przed sądem

• niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób (zakres przetwarzanych danych

jest określony w ustawie)

• w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów i są stworzone pełne gwarancje ochrony danych

osobowych

• danych zostały podane do wiadomości publicznej przez osobę, której dane dotyczą

• badania naukowe, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego;

publikacja wyników badań – anonimizacja

• w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym.

LEGALNOŚĆ PRZETWARZANIA DANYCH

SENSYTYWNYCH - ART. 27

(28)

administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w

szczególności jest obowiązany zapewnić, aby dane te były:

• przetwarzane zgodnie z prawem – ZASADA LEGALIZMU

• zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem

ust. 2 – ZASADA ZWIĄZANIA CELEM

• merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane – ZASADA MERYTORYCZNEJ

POPRAWNOŚCI, ZASADA ADEKWATNOŚCI

• przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu

przetwarzania - ZASADA OGRANICZENIA CZASOWEGO

ZASADY PRZETWARZANIA DANYCH

- ART. 26 UST. 1

(29)

każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, zwłaszcza prawo do:

uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia

administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna – jej miejsca zamieszkania oraz

imienia i nazwiska

uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze

uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych

uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie

tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej uzyskanie informacji o sposobie udostępnienia danych, a w szczególności

o odbiorcach lub kategoriach odbiorców, którym dane te są udostępnione uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa

w art. 26a ust. 2

OBOWIĄZEK INFORMACYJNY

– ART. 33

(30)

Administrator danych jest obowiązany zastosować środki techniczne

i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem Administrator danych prowadzi dokumentację opisującą sposób przetwarzania

danych oraz środki, o których mowa w ust. 1 /polityka bezpieczeństwa, instrukcja zarządzania systemem/

Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności.

OBOWIĄZEK ZABEZPIECZENIA DANYCH

OSOBOWYCH – ART. 36

(31)

do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych

osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia /bezterminowo/

administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane

administrator danych prowadzi ewidencję osób upoważnionych do ich

przetwarzania, która powinna zawierać: imię i nazwisko osoby upoważnionej, datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, identyfikator, jeżeli dane są przetwarzane w systemie

informatycznym

OBOWIĄZEK ZABEZPIECZENIA DANYCH

OSOBOWYCH – ART. 37-39

(32)

PRZEPISY KARNE - ROZDZIAŁ 8

przetwarzanie danych w zbiorze wbrew zakazowi przetwarzania bądź przy braku uprawnienia do przetwarzania (art. 49)

udostępnienie danych lub umożliwienie dostępu osobom nieupoważnionym (art. 51)

naruszenie obowiązku zabezpieczenia danych (art. 52) niezgłoszenie zbioru do rejestracji (art. 53)

niedopełnienie obowiązku informacyjnego (art. 54)

udaremnianie lub utrudnianie wykonania czynności kontrolnych (art. 54A) nowy od 7 marca 2011 r.

+ uchylenie art. 50 – przewidywał sankcje za przechowywanie w zbiorze danych niezgodnie z celem utworzenia zbioru

32

(33)

• Administracyjnoprawna

• Karna

• Dyscyplinarna

• Cywilnoprawna

RODZAJE ODPOWIEDZIALNOŚCI

(34)

Art. 31. 1. Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych.

2. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem

przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art.

39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.

4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych

niezgodnie z tą umową.

POWIERZENIE PRZEWARZANIA DANYCH

DANYCH (ART. 31 UODO)

(35)

Administrator danych jest obowiązany do dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą

(art. 26 ust. 1 u.o.d.o)

Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone i komu są

udostępniane (art. 38 u.o.d.o)

Warunki formalne udostępnienia danych osobowych:

- wniosek o udostępnienie danych – kryteria oceny wniosku - od kogo pochodzi

- podstawa prawna żądania

- określenie zakresu wnioskowanych danych

- określenie celu pozyskania wnioskowanych danych

Zasady udostępniania danych osobowych

(36)

Wymagane środki bezpieczeństwa

Środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem

Dokumentacja opisująca sposób przetwarzania danych oraz środki ochrony przetwarzania danych

Administrator bezpieczeństwa informacji

(37)

Wymagane środki bezpieczeństwa

Dopuszczenie do przetwarzania danych wyłącznie osób posiadających upoważnienie nadane przez administratora danych (art. 37 u.o.d.o.)

Zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane (art. 38 u.o.d.o.)

Ewidencja osób upoważnionych do przetwarzania danych (art.39 u.o.d.o.).

Obowiązek zachowania w tajemnicy danych osobowych oraz sposobów ich

zabezpieczenia.

(38)

Dokumentacja przetwarzania danych:

polityka bezpieczeństwa

instrukcja zarządzania systemem informatycznym służącym do

przetwarzania danych osobowych

(39)

1. Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych

osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną...

2. Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, w szczególności;

• Politykę bezpieczeństwa,

• Instrukcję zarządzania systemami informatycznymi,

• Ewidencję osób upoważnionych do przetwarzania danych osobowych,

Zabezpieczenie danych osobowych Art. 36.

(40)

www.giodo.gov.pl 40

(§ 4) Polityka bezpieczeństwa zawiera w szczególności:

 wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;

 wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;

 opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;

 sposób przepływu danych pomiędzy poszczególnymi systemami;

 określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

BEZPIECZEŃSTWO DANYCH

(41)

1) procedury nadawania uprawnień do przetwarzania danych i

rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności;

2) stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem;

3) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu;

4) procedury tworzenia kopii zapasowych zbiorów danych oraz

programów i narzędzi programowych służących do ich przetwarzania;

BEZPIECZEŃSTWO DANYCH

(§ 5) Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych zawiera w szczególności:

(42)

a) elektronicznych nośników informacji zawierających dane osobowe, b) kopii zapasowych, o których mowa w pkt 4;

BEZPIECZEŃSTWO DANYCH

(§ 5 ) Instrukcja zarządzania systemem informatycznym cd:

5) sposób, miejsce i okres przechowywania:

6) sposób zabezpieczenia systemu informatycznego przed działalnością szkodliwego oprogramowania, o którym mowa w pkt III ppkt 1 załącznika do rozporządzenia;

7) sposób realizacji wymogów, o których mowa w § 7 ust. 1 pkt 4;

8) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.

(43)

POLITYKA BEZPIECZEŃSTWA

POLITYKA BEZPIECZEŃSTWA – POZIOMY BEZPIECZEŃSTWA (1)

System nie połączony z publiczną siecią telekomunikacyjną

System, w którym brak jest danych wrażliwych

System połączony z publiczną siecią telekomunikacyjną

System, w którym występują dane wrażliwe 2. podwyższony

1. podstawowy

3. wysoki

(44)

• Zabezpieczenie obszaru przed dostępem osób nieuprawnionych na czas nieobecności osób uprawnionych do przetwarzania danych osobowych,

• Mechanizmy kontroli dostępu w systemie informatycznym,

• Zabezpieczenie systemu przed oprogramowaniem umożliwiającym uzyskanie nieuprawnionego dostępu oraz utratą zasilania,

ŚRODKI BEZPIECZEŃSTWA NA POZIOMIE

PODSTAWOWYM

(45)

• Hasła (min. 6 znaków, zmiana nie rzadziej niż co 30 dni) i identyfikatory (zakaz ponownego przydzielania tych samych identyfikatorów),

• Kopie zapasowe zbiorów i programów służących do przetwarzania danych,

• Kryptografia – urządzenia przenośne,

• Reguły dotyczące nośników danych,

ŚRODKI BEZPIECZEŃSTWA NA POZIOMIE

PODSTAWOWYM

(46)

• Nośniki do likwidacji – pozbawienie zapisu danych bądź ich uszkodzenie uniemożliwiające ich odczytanie przed likwidacją,

• Nośniki przekazywane podmiotom nieuprawnionym do

przetwarzania danych – uprzednie pozbawienie zapisu danych w sposób uniemożliwiający ich odczytanie,

• Nośniki przeznaczone do naprawy – uprzednie pozbawienie zapisu danych w sposób uniemożliwiający ich odczytanie bądź naprawa pod nadzorem osoby upoważnionej przez administratora danych.

PROCEDURY DOTYCZĄCE NOŚNIKÓW

(47)

• Środki ochrony na poziomie podstawowym,

• Hasła (min. 8 znaków, małe i wielkie litery, cyfry lub znaki specjalne),

• Urządzenia i nośniki zawierające dane osobowe szczególnie chronione przekazywane poza obszar, w którym przetwarzane są dane osobowe, zabezpiecza się w sposób zapewniający poufność i integralność tych danych,

• Instrukcja zarządzania systemem informatycznym musi zawierać sposób stosowania środków zabezpieczenia poufności i integralności danych,

ŚRODKI BEZPIECZEŃSTWA NA POZIOMIE

PODWYŻSZONYM

(48)

BEZPIECZEŃSTWO DANYCH

STOSOWANE METODY I ŚRODKI UWIERZYTELNIENIA (1) Czy proces uwierzytelnienia może być przyjazny dla użytkownika?

(49)

BEZPIECZEŃSTWO DANYCH

STOSOWANE METODY I ŚRODKI UWIERZYTELNIENIA (2)

 Uwierzytelnienie na podstawie

posiadanej wiedzy (identyfikator, hasło, PIN)

 Uwierzytelnienie na podstawie

posiadanej rzeczy (klucz, token, karta mikroprocesorowa)

 Uwierzytelnienie na podstawie posiadanej cechy

(50)

• Środki ochrony na poziomie podstawowym i podwyższonym,

• Ochrona przed zagrożeniami pochodzącymi z sieci publicznej (wdrożenie fizycznych lub logicznych zabezpieczeń chroniących przed

nieuprawnionym dostępem),

• Środki kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej,

ŚRODKI BEZPIECZEŃSTWA NA POZIOMIE

WYSOKIM

(51)

Zgodnie z art. 39. Administrator danych prowadzi ewidencję osób

upoważnionych do przetwarzania danych osobowych, która powinna zawierać:

• imię i nazwisko osoby upoważnionej,

• datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych,

• identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.

Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich

zabezpieczenia.

Zakres ewidencji osób upoważnionych do

przetwarzania danych osobowych

(52)

Szczegółowe informacje znajdziecie Państwo na portalach:

www.giodo.gov.pl

www.edugiodo.giodo.gov.pl

(53)