POLITYKA BEZPIECZEŃSTWA PROCESÓW PRZETWARZANIA DANYCH OSOBOWYCH

W Ośrodku Szkolenia Kierowców „ALFA” Tomasz Wysocki

Niniejszy dokument, zwany dalej „Polityką bezpieczeństwa”, został opracowany na podstawie postanowień Rozporządzenia.

Realizując postanowienia Rozporządzenia, Polityka bezpieczeństwa procesów przetwarzania danych osobowych opisuje sposób przetwarzania danych oraz środki techniczne i organizacyjne
zastosowane w celu ochrony danych osobowych przetwarzanych w Ośrodku Szkolenia Kierowców „ALFA” Tomasz Wysocki. („OSK”), wprowadza zestaw praw, reguł i praktycznych doświadczeń regulujących sposób zarządzania ochroną, pozwalający na zapewnienie ochrony danych osobowych przetwarzanych w OSK.

OGÓLNE ZASADY BEZPIECZEŃSTWA DANYCH OSOBOWYCH

§ 1.

DEFINICJE

1) Administrator danych osobowych – OSK reprezentowana przez osobę upoważnioną do reprezentacji podmiotu zgodnie z obowiązującymi w tym zakresie wymogami prawa.

2) Dane osobowe – informacja dotycząca zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

3) Osoba upoważniona – osoba posiadająca pisemne upoważnienie wydane przez administratora danych osobowych (lub osobę upoważnioną przez niego) i dopuszczona, jako użytkownik, do przetwarzania danych osobowych w systemie papierowym, bądź w systemie informatycznym, w zakresie wskazanym w upoważnieniu,

4) Przetwarzanie danych osobowych – wykonywanie jakichkolwiek operacji na danych osobowych, takich jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i ich usuwanie.

5) System informatyczny – zespół współpracujących ze sobą urządzeń, oprogramowania, i danych służący do przetwarzania danych osobowych przy pomocy technik komputerowych,

6) System tradycyjny – kartoteki, skorowidze, księgi, wykazy i inne papierowe zbiory ewidencyjne,

7) Użytkownik systemu – osoba posiadająca uprawnienia do przetwarzania danych osobowych w systemie informatycznym,

8) Zbiór danych osobowych – każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

§ 2.

ZAKRES STOSOWANIA POLITYKI BEZPIECZEŃSTWA DANYCH OSOBOWYCH

  1. Polityka bezpieczeństwa procesów przetwarzania danych osobowych ma zastosowanie w stosunku do wszystkich postaci informacji zawierających dane osobowe, w szczególności dokumentów papierowych oraz zapisów elektronicznych i innych, będących własnością OSK, jak również przetwarzanych w systemach informatycznych, służących komunikacji wewnętrznej.
  2. Polityka bezpieczeństwa procesów przetwarzania danych osobowych ma zastosowanie w stosunku do wszystkich pracowników, jak również osób, z którymi OSK zawarła umowy o charakterze cywilno-prawnym tj. umowy zlecenia, umowy o dzieło itp., którzy mają dostęp do danych osobowych.
  3. Ochrona danych osobowych wynikająca z Polityki bezpieczeństwa procesów przetwarzania danych osobowych jest realizowana na każdym etapie przetwarzania informacji.

§ 3.

UWZGLĘDNIENIE OCHRONY DANYCH W FAZIE PROJEKTOWANIA

  1. Uwzględniając stan wiedzy technicznej, koszt wdrażania charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych odpowiadający ryzyku. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.
  2. Przy określaniu sposobów przetwarzania już na etapie projektowania, jak i w czasie samego przetwarzania, administrator danych dokonuje szczegółowej analizy planowanego procesu przetwarzania danych osobowych i podejmuje działania polegające na ochronie danych osobowych zgodnie z przepisami.

§ 4.

ZASADY I ZAKRES PRZETWARZANIA DANYCH OSOBOWYCH

  1. W zakresie przetwarzania danych osobowych OSK zobowiązana jest dołożyć szczególnej staranności w celu ochrony interesu osób, których te dane dotyczą, a w szczególności przestrzegać następujących zasad:

1) Zasady legalności – przetwarzać dane zgodnie z prawem;
2) Zasady celowości – dane zbierać tylko do oznaczonych, zgodnych z prawem celów i nie poddawać ich dalszemu przetwarzaniu niezgodnemu z tymi celami;
3) Zasady merytorycznej poprawności – dane muszą być zgodne z prawdą, pełne (kompletne) i aktualne;
4) Zasady adekwatności danych – przetwarzać tylko te dane, które są niezbędne ze względu na cel ich zbierania;
5) Zasada ograniczenia czasowego – przechowywać dane nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania, tj. realizacji usługi lub/i wywiązywania się z zapisów umowy.

  1. Przetwarzanie zwykłych danych osobowych jest dopuszczalne tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych; zgoda może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania.

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów (marketing bezpośredni własnych produktów lub usług administratora danych lub dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej) realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

  1. Konieczne jest stosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, odpowiednich do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpieczenie danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
  2. Osobą odpowiedzialną za nadzór nad procesem przetwarzania danych osobowych w OSK jest kierownik Ośrodka Szkolenia Kierowców „ALFA” – Tomasz Wysocki.
  3. OSK przetwarza dane osobowe tylko i wyłącznie w zakresie niezbędnym do prowadzenia działalności gospodarczej.

§ 5.

ZARZĄDZANIE BEZPIECZEŃSTWEM DANYCH OSOBOWYCH

  1. Administratorem danych osobowych przetwarzanych w OSK jest osoba upoważniona do reprezentacji OSK.
  2. Zarządzanie bezpieczeństwem danych osobowych jest procesem ciągłym, realizowanym przy współdziałaniu wszystkich osób upoważnionych do przetwarzania danych osobowych.
  3. W celu zapewniania przestrzegania przepisów o ochronie danych osobowych, Administrator danych podejmuje działanie zgodne z przepisami.
  4. Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.
  5. Administrator danych osobowych prowadzi ewidencję wydanych upoważnień do przetwarzania danych osobowych.
  6. Administrator posiada ewidencję wydanych upoważnień do przetwarzania danych osobowych.
  7. Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.

§ 6.

OBOWIĄZKI ADMINISTRATORA DANYCH

  1. Administrator danych osobowych, dopełniając obowiązku informacyjnego zawiadamia osobę, której dane dotyczą o:

a) adresie swojej siedziby i pełnej nazwie,
b) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
c) zakresie przetwarzanych danych osobowych,
d) prawie dostępu do treści swoich danych oraz ich poprawiania;
e) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej,
f) okresie, przez który dane będą przechowywane,
g) pouczyć osobę, której dane dotyczą o przysługujących jej prawach.

§ 7.

UPRAWNIENIA OSOBY, KTÓREJ DANE DOTYCZĄ

  1. OSK podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, udzielić osobie której dane dotyczą stosowne informacje o fakcie przetwarzania.
  2. Informacji udziela się na piśmie lub w formie elektronicznej.
  3. Informacji udziela się najpóźniej w ciągu miesiąca od daty zaistnienia zdarzenia uzasadniającego udzielenie informacji.
  4. Jeżeli dane osobowe sa nieprawidłowe, osoba, której dane dotyczą ma prawo żądania niezwłocznego sprostowania danych oraz uzupełnienia niekompletnych danych.
  5. Osoba, której dane dotyczą ma prawo żądania usunięcia jej danych osobowych.
  6. Osoba, której dane dotyczą, może wnieść sprzeciw co do przetwarzania jej danych dla celów marketingowych. O prawie do sprzeciwu co do przetwarzania danych na potrzeby marketingu informuje się odrębnie od wszelkich innych informacji.
  7. Jeżeli osoba, której dane dotyczą wniosła sprzeciw wobec przetwarzania jej danych na potrzeby marketingu, administrator danych usuwa jej dane osobowe

II. OBSZAR PRZETWARZANIA DANYCH OSOBOWYCH

§ 8.

ZAKRES TERYTORIALNY PRZETWARZANIA DANYCH OSOBOWYCH

  1. Dane osobowe są przechowywane w pomieszczeniach biurowych w siedzibie OSK w Białymstoku przy ul. Składowej 7 lok 103 i ul. Skłodowskiej 3 lok 81 (obszar przetwarzania danych osobowych).
  2. Obszar przetwarzania danych osobowych, zabezpiecza się przed dostępem osób nieuprawnionych na czas nieobecności w nim osób upoważnionych do przetwarzania danych osobowych.
  3. Przebywanie osób nieuprawnionych w obszarze przetwarzania danych jest dopuszczalne za zgodą administratora danych lub w obecności osoby upoważnionej do przetwarzania danych osobowych.

III. ZBIORY DANYCH OSOBOWYCH PRZETWARZANE PRZEZ OSK ORAZ PRZEPŁYW
DANYCH POMIĘDZY SYSTEMAMI

§ 9.

  1. Dane osobowe przetwarzane są w funkcjonalnie podzielonych bazach danych osobowych („Baza danych”, „Zbiór danych”).
  2. Dane osobowe pozyskiwane są od osób, których dane dotyczą.
  3. OSK wyklucza możliwość zakupu bazy danych od podmiotów zewnętrznych.

§ 10.

OSK przetwarza się dane osobowe zlokalizowane w zbiorach danych osobowych.

§ 11.

  1. Dane osobowe, w zależności od charakteru zbioru, przetwarzane są, bądź w systemach papierowych, bądź w systemach informatycznych.
  2. Dane osobowe przetwarzane są centralnie/w systemie rozproszonym.
  3. W przypadku powierzenia przetwarzania danych osobie trzeciej (firmie zewnętrznej) sposób przetwarzania danych reguluje odrębna umowa zawarta na piśmie.
  4. Do przetwarzania danych w systemie informatycznym stosuje się zabezpieczenia, o których jest mowa w Ustawie o ochronie danych osobowych oraz przepisach wykonawczych.

III. ZABEZPIECZENIE DANYCH

§ 12.

UPOWAŻNIENIA DO PRZETWARZANIA DANYCH OSOBOWYCH

  1. Dane osobowe mogą być przetwarzane wyłącznie przez osobę upoważnioną, czyli osobę posiadającą pisemne upoważnienie do przetwarzania danych dla osób, w którym ustala się zakres czynności, do wykonywania których jest uprawniona oraz w którym zobowiązuje się ją do zachowania poufności informacji pozyskanych w związku z przetwarzaniem danych (informacji dotyczących danych osobowych oraz zastosowanych zabezpieczeń).
  2. Upoważnienia do przetwarzania danych osobowych wydaje Administrator Danych.
  3. Administrator danych prowadzi ewidencję wydanych upoważnień do przetwarzania danych osobowych. Ewidencje wydanych upoważnień przechowuje OSK.
  4. Do przetwarzania danych osobowych może być dopuszczona wyłącznie osoba, która została przeszkolona w zakresie bezpieczeństwa danych, w szczególności zapoznana z Instrukcją określającą sposób zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych.
  5. W OSK obowiązuje program szkolenia pracowników upoważnionych do przetwarzania danych w zakresie ochrony danych.
  6. Dostęp do danych, przyznawanie, modyfikacja, wycofanie uprawnień odbywa się zgodnie z procedurą określoną w Instrukcji określającej sposób zarządzania systemami informatycznymi służącymi do przetwarzania danych osobowych obowiązującej w OSK.
  7. Z chwilą ustania stosunku pracy wygasają uprawnienia do przetwarzania danych osobowych. Nie jest wymagane wystawienie dokumentu odwołującego upoważnienie do przetwarzania danych osobowych, z wyjątkiem sytuacji, gdy zmienia się zakres wcześniej przyznanego upoważnienia.

§ 13.

POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH

  1. Dopuszczalne jest powierzenie przetwarzania danych osobowych innemu podmiotowi, pod warunkiem zawarcia odpowiedniej umowy na piśmie.
  2. Podmiot przetwarzający dane na podstawie umowy o powierzeniu przetwarzania, jest uprawniony do przetwarzania danych w zakresie i celu określonym w treści umowy.
  3. Podmiot przetwarzający na lecenie nie może przetwarzać danych osobowych do jakichkolwiek innych celów.

§ 14.

SZKOLENIA

  1. OSK realizując politykę bezpieczeństwa w zakresie ochrony danych osobowych zapewnia zaznajomienie osób upoważnionych do dostępu lub przetwarzania danych osobowych z powszechnie obowiązującymi przepisami prawa, procedurami wewnętrznymi, jak również technikami i środkami ochrony tych danych stosowanymi w OSK a także odpowiednio, z ich zmianami.

IV. ZAWIADAMIANIE O INCYDENTACH NARUSZENIA OCHRONY

§ 15.

  1. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenie ochrony danych osobowych, pracownik OSK ma obowiązek bezzwłocznie powiadomić o tym fakcie administratora danych oraz bezpośredniego przełożonego.
  2. W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi właściwemu ds. ochrony danych osobowych (Generalny Inspektor Ochrony Danych Osobowych/Prezes Urzędu Ochrony Danych Osobowych), chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
  3. Administrator danych ma obowiązek zgromadzenia wszelkiej dokumentacji związanej z incydentem naruszenia ochrony danych. W szczególności administrator danych ma obowiązek udokumentować i opisać:
    a) okoliczności naruszenia ochrony danych osobowych,
    b) skutki
    c) podjęte działania zaradcze.
  4. Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator danych bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu, opisując charakter naruszenia ochrony danych osobowych oraz poinformować osobę, której dane zostały naruszone o:

a) w jaki sposób można skontaktować się z administratorem danych w celu uzyskania dodatkowych informacji;
b) opisać możliwe konsekwencje naruszenia ochrony danych;
c) opisać zastosowane przez administratora danych środki w celu zminimalizowania skutków naruszenia ochrony oraz podjętych działaniach zmniejszających ryzyko naruszenia ochrony w przyszłości.

  1. Zawiadomienie nie jest wymagane, w następujących przypadkach:

a) administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
b) administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, o którym mowa w ust. 1;
c) wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku administrator danych wydaje publiczny komunikat, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

V. KONSEKWENCJE NARUSZENIA POLITYKI BEZPIECZEŃSTWA

§ 16.

  1. Każdy pracownik/współpracownik OSK mający dostęp do danych osobowych jest zobowiązany do przestrzegania zasad ochrony danych osobowych wynikających z niniejszej Polityki bezpieczeństwa procesów przetwarzania danych osobowych oraz innych obowiązujących w OSK wewnętrznych procedur związanych z bezpieczeństwem informacji.
  2. Za nieprzestrzeganie zasad bezpieczeństwa danych osobowych pracownik może być ukarany karą upomnienia, nagany, bądź karą pieniężną, na zasadach określonych w przepisach prawa pracy.
  3. Jeżeli naruszenie zasad bezpieczeństwa danych osobowych wiąże się z naruszeniem przepisów prawa, pracownik ponosi odpowiedzialność w trybie i na zasadach określonych w tych przepisach.

VI. POSTANOWIENIA KOŃCOWE

§ 17.

Polityka bezpieczeństwa procesów przetwarzania danych osobowych w OSK wchodzi w życie z dniem 25.05.2018 roku.