uniwersytet śląski w katowicach

UNIWERSYTET ŚLĄSKI
W KATOWICACH
Załącznik nr 1
do zarządzenia Rektora UŚ nr 45/2008
z dnia 22 lipca 2008 r.
Egz. nr 0
POLITYKA
BEZPIECZEŃSTWA
INFORMACJI
w UNIWERSYTECIE
ŚLĄSKIM
KAT O W I C E
2008 rok
Opracowanie:
mgr inż. Witold Cybulski - Pełnomocnik Rektora ds. Danych Osobowych
mgr Maciej Uhlig – Administrator Bezpieczeństwa Informacji
mgr Agata Kołodziejczyk - Pełnomocnik Lokalnego Administratora Danych
WIiNoM
mgr Piotr Kołodziejczyk - Lokalny Administrator Bezpieczeństwa
Informacji WNoZ
2
Spis treści:
I. Wstęp.........................................................................................................................4
II. Postanowienia ogólne..............................................................................................5
1. DEFINICJE............................................................................................................................................5
2. CEL....................................................................................................................................................6
3. ZAKRES STOSOWANIA.............................................................................................................................7
III. Organizacja przetwarzania danych osobowych.................................................7
1. ADMINISTRATOR DANYCH OSOBOWYCH......................................................................................................7
2. LOKALNI ADMINISTRATORZY DANYCH OSOBOWYCH......................................................................................7
3. PEŁNOMOCNIK REKTORA DS. DANYCH OSOBOWYCH..................................................................................8
4. PEŁNOMOCNICY LOKALNYCH ADMINISTRATORÓW DANYCH.........................................................................9
5. ADMINISTRATOR BEZPIECZEŃSTWA INFORMACJI........................................................................................10
6. PRZETWARZANIE DANYCH OSOBOWYCH...................................................................................................10
7. UPOWAŻNIENIE DO PRZETWARZANIA DANYCH...........................................................................................11
8. UDOSTĘPNIANIE DANYCH OSOBOWYCH....................................................................................................11
9. INSTRUKCJE........................................................................................................................................12
IV. Infrastruktura przetwarzania danych osobowych...........................................12
1. OBSZAR PRZETWARZANIA DANYCH OSOBOWYCH.......................................................................................12
2. SYSTEM INFORMATYCZNY.....................................................................................................................12
3. ZBIORY DANYCH.................................................................................................................................12
4. EWIDENCJE.........................................................................................................................................13
V. Struktura zbiorów danych, sposób przepływu danych w systemie
i zakres przetwarzania danych........................................................................................13
VI. Strategia zabezpieczenia danych osobowych (działania niezbędne do
zapewnienia poufności, integralności i rozliczalności przetwarzanych danych)........13
1. BEZPIECZEŃSTWO OSOBOWE..................................................................................................................13
2. STREFY BEZPIECZNEGO PRZETWARZANIA DANYCH OSOBOWYCH....................................................................14
3. ZABEZPIECZENIE SPRZĘTU.....................................................................................................................14
4. ZABEZPIECZENIA WE WŁASNYM ZAKRESIE................................................................................................15
5. POSTĘPOWANIE Z NOŚNIKAMI I ICH BEZPIECZEŃSTWO.................................................................................17
6. WYMIANA DANYCH I ICH BEZPIECZEŃSTWO..............................................................................................17
7. KONTROLA DOSTĘPU DO SYSTEMU..........................................................................................................18
8. KONTROLA DOSTĘPU DO SIECI................................................................................................................18
9. KOMPUTERY PRZENOŚNE I PRACA NA ODLEGŁOŚĆ......................................................................................19
10. MONITOROWANIE DOSTĘPU DO SYSTEMU I JEGO UŻYCIA...........................................................................19
11. PRZEGLĄDY OKRESOWE ZAPOBIEGAJĄCE NARUSZENIOM OBOWIĄZKU SZCZEGÓLNEJ STARANNOŚCI ADMINISTRATORA
DANYCH (ART. 26 UST. 1 USTAWY).....................................................................................................................20
12. UDOSTĘPNIANIE DANYCH OSOBOWYCH..................................................................................................21
13. ODPOWIEDZIALNOŚĆ OSÓB UPOWAŻNIONYCH DO PRZETWARZANIA DANYCH OSOBOWYCH................................22
VII. Przeglądy polityki bezpieczeństwa i audyty systemu.....................................22
VIII. Postanowienia końcowe...................................................................................22
IX. Załączniki – na płycie CD...................................................................................23
3
I.
Wstęp
Uniwersytet Śląski jest administratorem danych osobowych w rozumieniu przepisów
ustawy o ochronie danych osobowych, a czynności w sprawach z zakresu ochrony danych
osobowych wykonuje Rektor i jest zobowiązany do podejmowania wszelkich możliwych
działań koniecznych do zapobiegania zagrożeniom związanym z przetwarzaniem danych
osobowych, m.in. takim jak:
1. sytuacje losowe lub nieprzewidziane oddziaływanie czynników zewnętrznych na
zasoby systemu, jak np. pożar, zalanie pomieszczeń, katastrofa budowlana, napad,
kradzież, włamanie, działania terrorystyczne, niepożądana ingerencja ekipy
remontowej;
2. niewłaściwe parametry środowiska, zakłócające pracę urządzeń komputerowych
(nadmierna wilgotność lub bardzo wysoka temperatura, oddziaływanie pola
elektromagnetycznego i inne);
3. awarie sprzętu lub oprogramowania, które wyraźnie wskazują na umyślne naruszenia
ochrony danych, niewłaściwe działanie serwisantów, w tym pozostawienie
serwisantów bez nadzoru, a także przyzwolenie na naprawę sprzętu zawierającego
dane poza siedzibą administratora danych;
4. podejmowanie pracy w systemie z przełamaniem lub zaniechaniem stosowania
procedur ochrony danych, np. praca osoby, która nie jest upoważniona do
przetwarzania, próby stosowania nie swojego hasła i identyfikatora przez osoby
upoważnione;
5. celowe lub przypadkowe rozproszenie danych w Internecie z ominięciem
zabezpieczeń systemu lub wykorzystaniem błędów systemu informatycznego
administratora danych;
6. ataki z Internetu;
7. naruszenia zasad i procedur określonych w dokumentacji z zakresu ochrony danych
osobowych przez osoby upoważnione do przetwarzania danych osobowych, związane
z nieprzestrzeganiem procedur ochrony danych, w tym zwłaszcza:
a) niezgodne z procedurami zakończenie pracy lub opuszczenie stanowiska pracy
(nieprawidłowe wyłączenie komputera, niezablokowanie wyświetlenia treści pracy
na ekranie komputera przed tymczasowym opuszczeniem stanowiska pracy,
pozostawienie po zakończeniu pracy nieschowanych do zamykanych na klucz szaf
dokumentów zawierających dane osobowe, niezamknięcie na klucz pokoju po jego
opuszczeniu, nieoddanie klucza na portiernię),
b) naruszenie bezpieczeństwa danych przez nieautoryzowane ich przetwarzanie,
c) ujawnienie osobom nieupoważnionym procedur ochrony danych stosowanych
u administratora danych,
d) ujawnienie osobom nieupoważnionym danych przetwarzanych przez administratora
danych, w tym również nieumyślne ujawnienie danych osobom postronnym,
przebywającym bez nadzoru lub niedostatecznie nadzorowanym w pomieszczeniach
administratora danych,
e) niewykonywanie stosownych kopii zapasowych,
f) przetwarzanie danych osobowych w celach prywatnych,
g) wprowadzanie zmian do systemu informatycznego administratora danych
i instalowanie programów bez zgody administratora systemu.
4
II.
Postanowienia ogólne
1. Definicje.
Ilekroć w polityce bezpieczeństwa jest mowa o:
1)
administratorze danych - rozumie się przez to Uniwersytet Śląski reprezentowany
przez Rektora decydującego o celach i środkach przetwarzania danych osobowych,
w myśl art. 3 ustawy;
2)
lokalnych administratorach danych osobowych - rozumie się przez to osoby,
którym przekazano - odpowiednio do zakresu realizowanych przez nich celów
statutowych - obowiązki i uprawnienia administratora danych osobowych
w rozumieniu pkt. 1 ppkt. 1 niniejszego rozdziału;
3)
pełnomocniku danych – rozumie się przez to Pełnomocnika Rektora ds. Danych
Osobowych,
któremu
administrator
danych
powierzył
nadzorowanie
i koordynowanie zasad postępowania przy przetwarzaniu danych osobowych
w Uniwersytecie Śląskim;
4)
administratorze bezpieczeństwa informacji – rozumie się przez to osobę, której
administrator
danych
powierzył pełnienie obowiązków administratora
bezpieczeństwa informacji;
5)
pełnomocnikach lokalnego administratora danych – rozumie się przez to osoby
odpowiedzialne za nadzorowanie i koordynowanie zasad postępowania przy
przetwarzaniu danych osobowych w jednostkach organizacyjnych Uczelni,
6)
lokalnych administratorach bezpieczeństwa informacji – rozumie się przez to
osoby, które realizują obowiązki administratora bezpieczeństwa informacji
w jednostkach organizacyjnych Uczelni;
7)
administratorze systemu – rozumie się przez to pracownika obsługującego systemy
informatyczne, odpowiedzialnego za eksploatację systemu;
8)
dysponencie systemu – rozumie się przez to kierownika jednostki organizacyjnej,
odpowiedzialnego za eksploatację systemu;
9)
haśle – rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, znany
jedynie użytkownikowi;
10)
identyfikatorze – rozumie się przez to ciąg znaków literowych, cyfrowych lub
innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych
osobowych w systemie informatycznym;
11)
integralności danych – rozumie się przez to właściwość zapewniającą, że dane
osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany;
12)
odbiorcy danych – rozumie się przez to każdego, komu udostępnia się dane
osobowe, z wyłączeniem:
a) osoby, której dane dotyczą,
b) osoby upoważnionej do przetwarzania danych,
c) przedstawiciela, o którym mowa w art. 31a ustawy,
d) podmiotu, o którym mowa w art. 31 ustawy,
e) organów państwowych lub organów samorządu terytorialnego, którym dane są
udostępniane w związku z prowadzonym postępowaniem;
13)
osobie upoważnionej do przetwarzania danych osobowych – rozumie się przez to
osobę, która upoważniona została na piśmie do przetwarzania danych osobowych;
5
14)
15)
16)
17)
18)
19)
20)
21)
22)
23)
24)
25)
26)
27)
poufności danych – rozumie się przez to właściwość zapewniającą, że dane nie są
udostępniane nieupoważnionym podmiotom;
pracowniku obsługującym systemy informatyczne – rozumie się przez to
pracownika, zatrudnionego na stanowisku pracy o profilu informatycznym;
przetwarzającym – rozumie się przez to podmiot, któremu zostało powierzone
przetwarzanie danych osobowych na podstawie umowy zawieranej zgodnie z art. 31
ustawy;
raporcie – rozumie się przez to przygotowane przez system informatyczny
zestawienia zakresu i treści przetwarzanych danych;
rozliczalności – rozumie się przez to właściwość zapewniającą, że działania
podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi;
rozporządzeniu – rozumie się przez to rozporządzenie Ministra Spraw
Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji
przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,
jakim powinny odpowiadać urządzenia i systemy informatyczne służące do
przetwarzania danych osobowych (Dz.U. nr 100, poz. 1024);
sieci publicznej – rozumie się przez to sieć publiczną w rozumieniu art. 2 pkt 22
ustawy z dnia 21 lipca 2000 r. – Prawo telekomunikacyjne (Dz.U. nr 73, poz. 852 ze
zm.);
sieci telekomunikacyjnej – rozumie się przez to sieć telekomunikacyjną
w rozumieniu art. 2 pkt 23 ustawy z dnia 21 lipca 2000 r. – Prawo
telekomunikacyjne;
serwisancie – rozumie się przez to firmę lub pracownika firmy zajmującej się
sprzedażą, instalacją, naprawą i konserwacją sprzętu komputerowego;
systemie informatycznym administratora danych – rozumie się przez to sprzęt
komputerowy, oprogramowanie i dane eksploatowane w zespole współpracujących
ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi
programowych; w systemie tym pracuje co najmniej jeden komputer centralny
i system ten tworzy sieć teleinformatyczną administratora danych;
teletransmisji – rozumie się przez to przesyłanie informacji za pośrednictwem sieci
telekomunikacyjnej;
ustawie – rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (tekst jedn. Dz.U. z 2002 r. nr 101, poz. 926 ze zm.);
uwierzytelnianiu – rozumie się przez to działanie, którego celem jest weryfikacja
deklarowanej tożsamości podmiotu;
użytkowniku – rozumie się przez to osobę upoważnioną do przetwarzania danych
osobowych, której nadano identyfikator i przyznano hasło.
2. Cel.
Wdrożenie polityki bezpieczeństwa ma na celu zabezpieczenie przetwarzanych przez
Uniwersytet Śląski w Katowicach danych osobowych, w tym danych przetwarzanych
w systemie informatycznym administratora danych i poza nim, poprzez wykonanie
obowiązków wynikających z ustawy i rozporządzenia.
W związku z tym, że w zbiorach administratora danych przetwarzane są między innymi
dane wrażliwe, a system informatyczny posiada bezpośrednie połączenie z Internetem,
niniejsza polityka bezpieczeństwa służy zapewnieniu wysokiego poziomu bezpieczeństwa
6
danych w rozumieniu § 6 rozporządzenia. Niniejszy dokument opisuje niezbędny do
uzyskania tego bezpieczeństwa zbiór procedur i zasad dotyczących przetwarzania danych
osobowych oraz ich zabezpieczenia.
3. Zakres stosowania.
Niniejsza polityka bezpieczeństwa dotyczy zarówno danych osobowych przetwarzanych
w sposób tradycyjny w księgach, wykazach i innych zbiorach ewidencyjnych, jak
i w systemach informatycznych.
Procedury i zasady określone w niniejszym dokumencie obowiązują wszystkie osoby
upoważnione do przetwarzania danych osobowych w Uniwersytecie Śląskim.
III.
1.
Organizacja przetwarzania danych osobowych
Administrator danych osobowych.
Administrator danych osobowych reprezentowany przez Rektora realizuje zadania w
sprawach z zakresu ochrony danych osobowych, jeśli co innego nie wynika z postanowień
polityki bezpieczeństwa informacji.
2. Lokalni administratorzy danych osobowych.
1)
2)
a)
b)
c)
Tworzy się strukturę lokalnych administratorów danych osobowych, którym
przekazuje się - odpowiednio do zakresu realizowanych przez nich zadań
statutowych – obowiązki i uprawnienia administratora danych osobowych
w rozumieniu rozdz. III, pkt. 1. polityki bezpieczeństwa informacji.
W związku z postanowieniem rozdz. III, pkt. 1. za przetwarzanie danych osobowych
oraz ich ochronę odpowiedzialni są:
Dziekani wydziałów, kierownicy ogólnouczelnianych, międzywydziałowych
i pozawydziałowych jednostek organizacyjnych prowadzących działalność
naukową, naukowo-dydaktyczną i dydaktyczną, pełnomocnicy Rektora ds.
ośrodków dydaktycznych w Jastrzębiu Zdroju i Rybniku oraz kierownicy
pozostałych jednostek prowadzących wyłącznie działalność usługową w zakresie
danych osobowych przetwarzanych w tych jednostkach, z zastrzeżeniem, o którym
mowa w pkt. b;
Dyrektor Biblioteki Uniwersytetu Śląskiego w zakresie danych osobowych
przetwarzanych w Bibliotece Uniwersytetu Śląskiego oraz bibliotekach
specjalistycznych;
Kanclerz Uniwersytetu Śląskiego w zakresie danych osobowych przetwarzanych
w administracji ogólnouczelnianej;
zwani dalej „lokalnymi administratorami danych osobowych”.
Wykaz jednostek, których kierownicy pełnią obowiązki lokalnych administratorów
danych osobowych w Uczelni zawiera załącznik F.
Lokalny administrator danych osobowych jest zobowiązany dołożyć szczególnej
staranności w celu ochrony interesów osób, których dane dotyczą, w szczególności, aby dane
te były:
a) przetwarzane zgodnie z prawem;
7
b)
zbierane dla oznaczonych, zgodnych z prawem celów i niepoddane dalszemu
przetworzeniu;
c) merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są
przetwarzane;
d) przechowywane w postaci umożliwiającej identyfikację osób, których dane dotyczą
nie dłużej, niż jest to niezbędne do osiągnięcia celu przetworzenia.
Lokalny administrator danych osobowych zobowiązany jest do stworzenia właściwych
warunków organizacyjno-technicznych, zapewniających ochronę danych osobowych
w podległej jednostce organizacyjnej.
3. Pełnomocnik Rektora ds. Danych Osobowych.
Powołuje się Pełnomocnika Rektora ds. Danych Osobowych w Uniwersytecie Śląskim,
zwanego dalej „Pełnomocnikiem Danych”.
Pełnomocnik Danych podlega bezpośrednio Rektorowi.
Zadaniem Pełnomocnika Danych jest nadzorowanie i koordynowanie w Uczelni zasad
postępowania przy przetwarzaniu danych osobowych, a w szczególności:
a) zastosowanie środków technicznych i organizacyjnych zapewniających ochronę
przetwarzanych danych osobowych w Uczelni, a w szczególności zabezpieczenie
danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez
osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy, zmianą, utratą,
uszkodzeniem lub zniszczeniem;
b) zapewnienie kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały
wprowadzone oraz komu są przekazywane;
c) sklasyfikowanie zbiorów danych osobowych przetwarzanych w Uczelni;
d) rejestrowanie zbiorów danych;
e) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych
osobowych;
f) wnioskowanie o usunięcie uchybień w razie stwierdzenia naruszenia przepisów
o ochronie danych osobowych;
g) prowadzenie ewidencji osób zatrudnionych przy przetwarzaniu danych osobowych;
h) prowadzenie ewidencji miejsc przetwarzania danych osobowych i sposobu ich
zabezpieczenia;
i) prowadzenie ewidencji wniosków o udostępnianie danych osobowych instytucjom
i osobom spoza Uczelni;
j) kontrola uzupełnienia zakresów czynności osób zatrudnionych przy przetwarzaniu
danych o obowiązki wynikające z ustawy;
k) przekazywanie zaewidencjonowanych upoważnień/oświadczeń do przetwarzania
danych osobowych do Działu Spraw Osobowych i Socjalnych w celu włączenia ich
do akt osobowych pracowników;
l) opracowanie programu szkoleń w zakresie ochrony danych osobowych.
Pełnomocnikowi Danych w zakresie zasad postępowania przy przetwarzaniu danych
osobowych oraz bezpieczeństwa informacji podporządkowuje się merytorycznie:
a) pełnomocników lokalnych administratorów danych osobowych;
b) Administratora Bezpieczeństwa Informacji.
8
4. Pełnomocnicy Lokalnych Administratorów Danych.
Lokalni administratorzy danych osobowych wyznaczają pełnomocników lokalnych
administratorów danych, którzy bezpośrednio realizują obowiązki administratora danych
w jednostce (wydziale, Bibliotece UŚ, jednostce organizacyjnej nie będącej wydziałem,
administracji ogólnouczelnianej), określając obszar, w którym przetwarzane są dane (budynki,
pomieszczenia lub części pomieszczeń).
Pełnomocnikami lokalnych administratorów danych w wydziałach i Szkole Zarządzania
są kierownicy dziekanatów. W tych jednostkach dane osobowe mogą być przetwarzane
wyłącznie w dziekanatach. Za zgodą Lokalnego administratora danych osobowych, w okresie
działania Wydziałowych Komisji Rekrutacyjnych, dane osobowe kandydatów na studia mogą
być przetwarzane w siedzibie WKR, znajdującej się poza dziekanatem. O ww. fakcie lokalny
administrator danych osobowych informuje Pełnomocnika Danych.
Pełnomocnikiem lokalnego administratora danych w Bibliotece Uniwersytetu Śląskiego
oraz bibliotekach specjalistycznych jest Zastępca Dyrektora Biblioteki Uniwersytetu
Śląskiego.
Pełnomocnikiem lokalnych administratorów danych w Ośrodkach Dydaktycznych
w Jastrzębiu Zdroju i Rybniku jest kierownik Działu Administracyjnego dla Ośrodków
Dydaktycznych w Jastrzębiu Zdroju i Rybniku.
Zobowiązuje się pełnomocników lokalnych administratorów danych do:
a) stworzenia właściwych warunków organizacyjno-technicznych zapewniających
ochronę danych osobowych w jednostce organizacyjnej;
b) zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym,
zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy,
zmianą, utratą, uszkodzeniem lub zniszczeniem;
c) kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru
wprowadzone oraz komu są przekazywane;
d) nadzoru nad fizycznym zabezpieczeniem pomieszczeń, w których przetwarzane są
dane osobowe oraz kontrolą przebywających w nich osób;
e) bieżącego zgłaszania do prowadzonej przez Pełnomocnika Danych ewidencji osób
zatrudnionych przy przetwarzaniu danych oraz bezpieczeństwie systemów
informatycznych;
f) przekazywania pisemnych upoważnień osób, które mogą być dopuszczone do
obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład do
Pełnomocnika Danych, w celu ich zaewidencjonowania i włączenia ich do akt
pracowniczych;
g) określenia indywidualnych obowiązków i odpowiedzialności osób zatrudnionych
przy przetwarzaniu danych;
h) zaznajomienia osób zatrudnionych przy przetwarzaniu danych osobowych
z obowiązującymi przepisami;
i) wdrażania i przestrzegania instrukcji zarządzania systemem informatycznym;
j) przestrzegania instrukcji postępowania w sytuacji naruszenia ochrony danych
osobowych;
k) przestrzegania obowiązujących ustaleń w zakresie udostępniania danych osobowych
instytucjom i osobom spoza Uczelni;
l) analizy sytuacji, okoliczności i przyczyn, które doprowadziły do naruszenia
bezpieczeństwa danych.
9
5. Administrator Bezpieczeństwa Informacji.
Wyznacza się Administratora Bezpieczeństwa Informacji w Uczelni, który odpowiada za
bezpieczeństwo danych osobowych w systemie informatycznym Uczelni, w tym
w szczególności za przeciwdziałanie dostępowi osób niepowołanych do systemu, w którym
przetwarzane są dane osobowe oraz za podejmowanie odpowiednich działań w przypadku
wykrycia naruszeń w systemie zabezpieczeń.
Lokalni administratorzy danych osobowych wyznaczą, w uzgodnieniu z Administratorem
Bezpieczeństwa Informacji w Uczelni, oraz pełnomocnikami lokalnych administratorów
danych, lokalnych administratorów bezpieczeństwa informacji, którzy bezpośrednio
realizować będą obowiązki administratora bezpieczeństwa informacji w jednostce (wydziale,
pozostałych jednostkach, Bibliotece UŚ, administracji ogólnouczelnianej). Lokalni
administratorzy bezpieczeństwa informacji muszą być pracownikami uczelni.
Obowiązki lokalnych administratorów bezpieczeństwa informacji w jednostkach pełnić
mogą wyznaczeni zgodnie z Zarządzeniem nr 9/2008 Rektora z dnia 14 lutego 2008 r.
w sprawie wprowadzenia „Regulaminu użytkowania Uczelnianej Sieci Komputerowej
Uniwersytetu Śląskiego”, administratorzy sieci komputerowych.
Administratorowi Bezpieczeństwa Informacji podporządkowani są merytorycznie
wyznaczeni w jednostkach lokalni administratorzy bezpieczeństwa informacji.
Zadania Administratora Bezpieczeństwa Informacji w Uczelni, określa załącznik G.
6. Przetwarzanie danych osobowych.
Przetwarzanie danych osobowych pracowników, studentów i doktorantów oraz
uczestników studiów podyplomowych i kursów w Uniwersytecie Śląskim służy realizacji
zadań wynikających z art. 13 ust. 1 ustawy – prawo o szkolnictwie wyższym.
Przetwarzanie danych osobowych może odbywać się zarówno w systemie
informatycznym, jak i w kartotekach, skorowidzach, księgach, wykazach i innych zbiorach
ewidencyjnych.
W zakresie danych osobowych przetwarzanych w innych systemach niż informatyczne,
obowiązują nadal wszystkie dotychczasowe przepisy o tajemnicy służbowej, obiegu
i zabezpieczeniu dokumentów służbowych.
Pracownicy Uniwersytetu Śląskiego, studenci i doktoranci oraz inne osoby, których dane
są przetwarzane w jednostkach lub komórkach Uczelni, mają prawo do ochrony danych ich
dotyczących, do kontroli przetwarzania tych danych oraz do ich uaktualnienia lub
poprawiania jak również do uzyskiwania wszystkich informacji o przysługujących im
prawach.
Osoby zatrudnione w Uczelni przetwarzające dane osobowe każdego rodzaju, niezależnie
od systemu przetwarzania, są zobowiązane przestrzegać następujące zasady:
1)
mogą przetwarzać dane osobowe wyłącznie w zakresie ustalonym indywidualnie
przez administratora danych w upoważnieniu i tylko w celu wykonywania
nałożonych na nią obowiązków. Zakres dostępu do danych przypisany jest do
niepowtarzalnego identyfikatora użytkownika, niezbędnego do rozpoczęcia pracy
w systemie. Rozwiązanie stosunku pracy, odwołanie z pełnionej funkcji powoduje
wygaśnięcie upoważnienia do przetwarzania danych osobowych;
2)
muszą zachować tajemnicę danych osobowych oraz przestrzegać procedur ich
bezpiecznego przetwarzania. Przestrzeganie tajemnicy danych osobowych
obowiązuje przez cały okres zatrudnienia u administratora danych, a także po ustaniu
stosunku pracy lub odwołaniu z pełnionej funkcji;
10
3)
zapoznają się z przepisami prawa w zakresie ochrony danych osobowych oraz
postanowieniami niniejszej polityki i instrukcji zarządzania systemem
informatycznym służącym do przetwarzania danych osobowych;
4)
stosują określone przez administratora danych oraz administratora bezpieczeństwa
informacji procedury oraz wytyczne mające na celu zgodne z prawem, w tym
zawłaszcza adekwatne, przetwarzanie danych;
5)
korzystają z systemu informatycznego administratora danych w sposób zgodny
ze wskazówkami zawartymi w instrukcjach obsługi urządzeń wchodzących w skład
systemu informatycznego, oprogramowania i nośników;
6)
zabezpieczają dane przed ich udostępnieniem osobom nieupoważnionym.
Indywidualny zakres czynności osoby zatrudnionej przy przetwarzaniu danych
osobowych powinien określać zakres odpowiedzialności tej osoby za ochronę tych danych
przed niepowołanym dostępem, nieuzasadnioną modyfikacją lub zniszczeniem, nielegalnym
ujawnieniem lub pozyskaniem - w stopniu odpowiednim do zadań tej osoby przy
przetwarzaniu.
7. Upoważnienie do przetwarzania danych.
Do przetwarzania danych osobowych i obsługi zbiorów informatycznych zawierających
te dane mogą być dopuszczone wyłącznie osoby posiadające specjalne upoważnienie wydane
przez lokalnych administratorów danych osobowych, o których mowa w rozdz. III, pkt. 2,
ppkt 2. (wzory upoważnień stanowi załącznik H)
Upoważnienie powinno mieć charakter imienny, Powinno też określać dozwolony okres
i zakres przetwarzania danych.
Upoważnienia mogą być wydawane bezterminowo (wynikające z treści umowy o pracę)
lub na czas określony (wynikające z powołania np. na członka komisji, tj. Wydziałowej
Komisji Rekrutacyjnej, Komisji historycznej, itp.).
Pełnomocnicy lokalnych administratorów danych są zobowiązani do niezwłocznego
przekazywania do Pełnomocnika Danych wydanych upoważnień/oświadczeń osób
dopuszczonych do przetwarzania danych osobowych i osób prowadzących obsługę
informatyczną w celu rejestracji.
Ewidencję osób upoważnionych do przetwarzania danych osobowych oraz osób
prowadzących obsługę informatyczną prowadzi Pełnomocnik Danych.
Pełnomocnicy lokalnych administratorów danych zobowiązani są do uzupełnienia
zakresów obowiązków pracowników jednostki o odpowiedzialność za ochronę tych danych,
zgodnie z przydzielonymi zadaniami.
8. Udostępnianie danych osobowych.
Udostępnianie danych osobowych instytucjom i osobom spoza Uczelni może odbywać
się wyłącznie za pośrednictwem Pełnomocnika Danych.
Dane osobowe udostępnia się na pisemnie uzasadniony wniosek (art. 29 ust. 3 ustawy
o ochronie danych osobowych). Wniosek powinien zawierać informacje umożliwiające
wyszukanie w zbiorze żądanych danych osobowych oraz wskazywać ich zakres
i przeznaczenie.
Pełnomocnik Danych prowadzi ewidencję udostępniania danych osobowych instytucjom
i osobom spoza Uczelni.
11
9. Instrukcje.
Wprowadza się, jako obowiązującą w Uczelni:
„Instrukcję postępowania w przypadku naruszenia ochrony danych osobowych
przetwarzanych w systemach informatycznych” stanowiącą załącznik I.
Zobowiązuje się dysponentów i administratorów systemów w uzgodnieniu
z Administratorem Bezpieczeństwa Informacji i z Pełnomocnikiem Danych do opracowania
niezbędnych uzupełnień do „Instrukcji zarządzania systemem informatycznym służącym do
przetwarzania danych osobowych”, w zakresie systemu przetwarzanego w jednostce
organizacyjnej.
IV.
Infrastruktura przetwarzania danych osobowych
1.
Obszar przetwarzania danych osobowych.
Zestawienie miejsc przetwarzania danych osobowych w Uniwersytecie Śląskim zawiera
załącznik A.
2. System informatyczny1
Zestawienie programów komputerowych, wykorzystywanych do przetwarzania danych
osobowych w Uniwersytecie Śląskim zawiera załącznik B.
Zestawienie producentów programów komputerowych, wykorzystywanych do
przetwarzania danych osobowych w Uniwersytecie Śląskim zawiera załącznik C.
Programy komputerowe, wykorzystywane do przetwarzania danych osobowych,
uruchamiane są na serwerach oraz komputerach osobistych, zlokalizowanych w:
a) Administracji Ogólnouczelnianej;
b) Bibliotece Uniwersytetu Śląskiego;
c) Dziekanatach Wydziałów Uniwersytetu Śląskiego;
d) innych obszarach przetwarzania danych osobowych, wymienionych w pkt. IV.1.
3. Zbiory danych.
Zgodnie z art. 7 uodo przez zbiór danych rozumie się, każdy posiadający strukturę zastaw
danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od
tego, czy zestaw ten jest rozproszony, czy podzielony funkcjonalnie.
Zestawienie zbiorów danych osobowych przetwarzanych w Uniwersytecie Śląskim
1
Zgodnie z art. 7 pkt 2a ustawy system informatyczny to zespół współpracujących ze sobą urządzeń,
programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania
danych. Pojęcie „system informatyczny” obejmuje elementy zaliczone do czterech kategorii. Są to:
1) urządzenia,
2) programy,
3) procedury przetwarzania informacji,
4) narzędzia programowe.
Urządzenie to „rodzaj mechanizmu lub zespół elementów, przyrządów służących do wykonania określonej
czynności, ułatwiający pracę”. Program – według znaczenia przyjmowanego w informatyce – to
odpowiednio uporządkowana sekwencja instrukcji, mająca na celu wykonanie określonych zadań. Procedury
przetwarzania informacji mogłyby być utożsamiane z programem, lecz wobec ich odrębnego wskazania w
analizowanej definicji należy przyjąć, że są to procedury inne niż przyjęte w stosowanych w konkretnym
przypadku programach. Narzędzia programowe także mieszczą się w kategorii oprogramowania.
12
zawiera załącznik D.
4. Ewidencje.
W ramach struktury organizacyjnej administratora danych prowadzone są następujące
ewidencje wchodzące w skład dokumentacji z zakresu ochrony danych osobowych:
a) ewidencja nośników komputerowych, wykorzystywanych w Uniwersytecie Śląskim
do przetwarzania danych osobowych - prowadzi administrator bezpieczeństwa
informacji oraz lokalni administratorzy bezpieczeństwa informacji w swoich
jednostkach organizacyjnych;
b) ewidencja nośników komputerowych, wykorzystywanych w Uniwersytecie Śląskim
do przechowywania kopii bezpieczeństwa danych osobowych - prowadzi
administrator
bezpieczeństwa informacji oraz lokalni administratorzy
bezpieczeństwa informacji w swoich jednostkach organizacyjnych;
c) ewidencja pracowników Uniwersytetu Śląskiego, upoważnionych do przetwarzania
danych osobowych - prowadzi Pełnomocnik Danych oraz pełnomocnicy lokalnych
administratorów danych w swoich jednostkach organizacyjnych;
d) ewidencja pracowników, upoważnionych do serwisu oprogramowania,
wykorzystywanego do przetwarzania danych osobowych - prowadzi administrator
systemu;
e) ewidencja wykonanych przeglądów serwisowych oprogramowania, używanego do
przetwarzania danych osobowych - prowadzi administrator systemu.
V.
Struktura zbiorów danych, sposób przepływu danych w systemie
i zakres przetwarzania danych
Zbiory danych, używane podczas przetwarzania danych osobowych, są zbiorami
pojedynczymi lub zbiorami stanowiącymi część bazy danych.
Przepływ danych w integralnym systemie opisują instrukcje obsługi systemów.
Przepływ danych pomiędzy integralnymi systemami następuje albo za pomocą
mechanizmów eksportu/importu danych, albo w drodze współdziałania systemów na zasadzie
użytkownik-serwer, kiedy to system użytkownik uzyskuje dane od systemu serwera
automatycznie na życzenie.
Zestawienie zawartości informacyjnej zbiorów danych osobowych przetwarzanych
w Uniwersytecie Śląskim zawiera załącznik E.
VI.
1.
Strategia zabezpieczenia danych osobowych (działania niezbędne do
zapewnienia poufności, integralności i rozliczalności przetwarzanych
danych)
Bezpieczeństwo osobowe.
a) Zachowanie poufności.
Kandydaci na pracowników są dobierani z uwzględnieniem ich kompetencji
merytorycznych, a także kwalifikacji moralnych. Zwraca się uwagę na takie cechy kandydata,
jak uczciwość, odpowiedzialność, przewidywalność zachowań.
13
Ryzyko utraty bezpieczeństwa danych przetwarzanych przez administratora danych
pojawiające się ze strony osób trzecich, które mają dostęp do danych osobowych (np.
serwisanci), jest minimalizowane przez podpisanie umów powierzenia przetwarzania danych
osobowych.
Ryzyko ze strony osób, które potencjalnie mogą w łatwiejszy sposób uzyskać dostęp do
danych osobowych (np. osoby sprzątające pomieszczenia administratora danych), jest
minimalizowane przez zobowiązywanie ich do zachowania tajemnicy na podstawie
odrębnych, pisemnych oświadczeń.
b) Szkolenia w zakresie ochrony danych osobowych.
Pełnomocnik Danych i Administrator bezpieczeństwa informacji nadzorują stosowanie
następujących zasad w zakresie szkoleń:
−
szkoli się każdą osobę, która ma zostać upoważniona do przetwarzania danych
osobowych;
−
szkolenia wewnętrzne wszystkich osób upoważnionych do przetwarzania danych
osobowych przeprowadzane są w przypadku każdej zmiany zasad lub procedur
ochrony danych osobowych;
−
przeprowadza się szkolenia dla osób innych niż upoważnione do przetwarzania danych,
jeśli pełnione przez nie funkcje wiążą się z zabezpieczeniem danych osobowych.
Tematyka szkoleń obejmuje:
−
−
−
−
−
przepisy i procedury dotyczące ochrony danych osobowych, sporządzania
i przechowywania ich kopii, niszczenia wydruków i zapisów na nośnikach;
sposoby ochrony danych przed osobami postronnymi i procedury udostępniania danych
osobom, których one dotyczą;
obowiązki osób upoważnionych do przetwarzania danych osobowych i innych;
odpowiedzialność za naruszenie obowiązków z zakresu ochrony danych osobowych;
zasady i procedury określone w polityce bezpieczeństwa informacji.
2. Strefy bezpiecznego przetwarzania danych osobowych.
W siedzibie administratora danych wydzielono strefy bezpieczeństwa klasy I i klasy II.
W strefach bezpieczeństwa klasy I dostęp do informacji zabezpieczony jest
wewnętrznymi środkami kontroli. W skład tej strefy wchodzą pomieszczenia z serwerami,
w których mogą przebywać wyłącznie pracownicy obsługujący serwery, inne osoby
upoważnione do przetwarzania tylko w towarzystwie tych pracowników, a osoby postronne
w ogóle nie mają dostępu.
W strefach bezpieczeństwa klasy II do danych osobowych mają dostęp wszystkie osoby
upoważnione do przetwarzania danych osobowych zgodnie z zakresami upoważnień do ich
przetwarzania, a osoby postronne mogą w nich przebywać tylko w obecności pracownika
upoważnionego do przetwarzania danych osobowych. Strefa ta obejmuje wszystkie pozostałe
pomieszczenia zaliczone do obszaru przetwarzania danych w siedzibie administratora danych.
Klucze do lokali wchodzących w skład stref bezpieczeństwa klasy I i II przechowywane
są na portierniach i pobierane przez upoważnione osoby za pokwitowaniem w książce
wydanych kluczy. Wykonywanie osobistych kopii kluczy do tych lokali jest niedozwolone.
3. Zabezpieczenie sprzętu.
Serwery, służące do przetwarzania danych osobowych, zlokalizowane są w odrębnych,
klimatyzowanych pomieszczeniach, zamykanych, na co najmniej 3 zamki. Okna tych
14
pomieszczeń zabezpieczone są żaluzjami antywłamaniowymi, podnoszonymi tylko w czasie
przebywania w nim pracowników obsługujących serwery (wymagania tego nie stosuje się,
jeśli pomieszczenie jest trudno dostępne z zewnątrz). W pomieszczeniach tych mogą
przebywać wyłącznie pracownicy obsługujący serwery, inne osoby upoważnione do
przetwarzania danych osobowych tylko w ich towarzystwie, a osoby postronne w ogóle nie
mają dostępu.
Pracownicy obsługujący systemy informatyczne wskazują użytkownikom, jak
postępować, aby zapewnić prawidłową eksploatację systemu informatycznego, a zwłaszcza:
a) ochronę nośników przenośnych – w tym także nośników danych, na których
przechowywane są kopie zapasowe;
b) prawidłową lokalizację komputerów.
Wszystkie urządzenia systemu informatycznego administratora danych są zasilane za
pośrednictwem zasilaczy awaryjnych (UPS).
Okablowanie sieciowe zostało zaprojektowane w ten sposób, że dostęp do linii
teletransmisyjnych jest możliwy tylko z pomieszczeń zamykanych na klucz. Ponadto kable
sieciowe nie krzyżują się z okablowaniem zasilającym, co zapobiega interferencjom.
Bieżąca konserwacja sprzętu wykorzystywanego przez administratora danych do
przetwarzania danych prowadzona jest tylko przez jego pracowników obsługujących systemy
informatyczne. Natomiast poważne naprawy wykonywane przez personel zewnętrzny
realizowane są w siedzibie administratora danych po zawarciu z podmiotem wykonującym
naprawę umowy o powierzenie przetwarzania danych osobowych, określającej kary umowne
za naruszenie bezpieczeństwa danych.
Administrator systemu dopuszcza konserwowanie i naprawę sprzętu poza siedzibą
administratora danych jedynie po trwałym usunięciu danych osobowych. Zużyty sprzęt
służący do przetwarzania danych osobowych może być zbywany dopiero po trwałym
usunięciu danych, a urządzenia uszkodzone mogą być przekazywane w celu utylizacji (jeśli
trwałe usunięcie danych wymagałoby nadmiernych nakładów ze strony administratora)
właściwym podmiotom, z którymi także zawiera się umowy powierzenia przetwarzania
danych.
Wszystkie awarie, działania konserwacyjne i naprawy systemu informatycznego są
opisywane w stosownych protokołach, podpisywanych przez osoby w tych działaniach
uczestniczące, a także przez administratora bezpieczeństwa informacji.
4. Zabezpieczenia we własnym zakresie.
Niezwykle ważne dla bezpieczeństwa danych jest wyrobienie przez każdą osobę
upoważnioną do przetwarzania danych lub użytkownika nawyku:
a) ustawiania ekranów komputerowych tak, by osoby niepowołane nie mogły oglądać
ich zawartości, a zwłaszcza nie naprzeciwko wejścia do pomieszczenia;
b) niepozostawiania bez kontroli dokumentów, nośników danych i sprzętu w hotelach
i innych miejscach publicznych oraz w samochodach;
c) dbania o prawidłową wentylację komputerów (nie można zasłaniać kratek
wentylatorów meblami, zasłonami lub stawiać komputerów tuż przy ścianie);
d) niepodłączania do listew podtrzymujących napięcie przeznaczonych dla sprzętu
komputerowego innych urządzeń, szczególnie tych łatwo powodujących spięcia
(np. grzejniki, czajniki, wentylatory);
e) pilnego strzeżenia akt, dyskietek, pamięci przenośnych i komputerów przenośnych;
f) kasowania po wykorzystaniu danych na dyskach przenośnych;
g) nieużywania powtórnie dokumentów zadrukowanych jednostronnie;
15
h)
i)
j)
k)
l)
m)
n)
o)
p)
q)
r)
s)
t)
u)
v)
w)
x)
niezapisywania hasła wymaganego do uwierzytelnienia się w systemie na papierze
lub innym nośniku;
powstrzymywania się przez osoby upoważnione do przetwarzania danych
osobowych od samodzielnej ingerencji w oprogramowanie i konfigurację
powierzonego sprzętu (szczególnie komputerów przenośnych), nawet gdy z pozoru
mogłoby to usprawnić pracę lub podnieść poziom bezpieczeństwa danych;
przestrzegania przez osoby upoważnione do przetwarzania danych osobowych
swoich uprawnień w systemie, tj. właściwego korzystania z baz danych, używania
tylko własnego identyfikatora i hasła oraz stosowania się do zaleceń Administratora
bezpieczeństwa informacji;
opuszczania stanowiska pracy dopiero po aktywizowaniu wygaszacza ekranu lub po
zablokowaniu stacji roboczej w inny sposób;
kopiowania tylko jednostkowych danych (pojedynczych plików). Obowiązuje zakaz
robienia kopii całych zbiorów danych lub takich ich części, które nie są konieczne
do wykonywania obowiązków przez pracownika. Jednostkowe dane mogą być
kopiowane na nośniki magnetyczne, optyczne i inne po ich zaszyfrowaniu
i przechowywane w zamkniętych na klucz szafach. Po ustaniu przydatności tych
kopii dane należy trwale skasować lub fizycznie zniszczyć nośniki, na których są
przechowywane;
udostępniania danych osobowych pocztą elektroniczną tylko w postaci
zaszyfrowanej;
niewynoszenia na jakichkolwiek nośnikach całych zbiorów danych oraz szerokich
z nich wypisów, nawet w postaci zaszyfrowanej;
wykonywania kopii roboczych danych, na których się właśnie pracuje, tak często,
aby zapobiec ich utracie;
kończenia pracy na stacji roboczej po wprowadzeniu danych przetwarzanych tego
dnia w odpowiednie obszary serwera, a następnie prawidłowym wylogowaniu się
użytkownika i wyłączeniu komputera oraz odcięciu napięcia w UPS i listwie;
niszczenia w niszczarce lub chowania do szaf zamykanych na klucz wszelkich
wydruków zawierających dane osobowe przed opuszczeniem miejsca pracy, po
zakończeniu dnia pracy;
niepozostawiania osób postronnych w pomieszczeniu, w którym przetwarzane są
dane osobowe, bez obecności osoby upoważnionej do przetwarzania danych
osobowych;
zachowania tajemnicy danych, w tym także wobec najbliższych;
chowania do zamykanych na klucz szaf wszelkich akt zawierających dane osobowe
przed opuszczeniem miejsca pracy, po zakończeniu dnia pracy;
umieszczania kluczy do szaf w ustalonym, przeznaczonym do tego miejscu po
zakończeniu dnia pracy;
zamykania okien w razie opadów czy innych zjawisk atmosferycznych, które mogą
zagrozić bezpieczeństwu danych osobowych;
zamykania okien w razie opuszczania pomieszczenia, w tym zwłaszcza po
zakończeniu dnia pracy;
zamykania drzwi na klucz po zakończeniu pracy w danym dniu i złożenia klucza na
portierni. Jeśli niemożliwe jest umieszczenie wszystkich dokumentów
zawierających dane osobowe w zamykanych szafach, należy powiadomić o tym
kierownika budynku, który zgłasza firmie sprzątającej jednorazową rezygnację
z wykonania usługi sprzątania. W takim przypadku także należy zostawić klucz na
16
portierni.
5. Postępowanie z nośnikami i ich bezpieczeństwo.
Osoby upoważnione do przetwarzania danych osobowych powinny pamiętać
zwłaszcza, że:
a) dane z nośników przenośnych niebędących kopiami zapasowymi po wprowadzeniu
do systemu informatycznego administratora danych powinny być trwale usuwane
z tych nośników przez fizyczne zniszczenie (np. płyty CD-ROM) lub usunięcie
danych programem trwale usuwającym pliki. Jeśli istnieje uzasadniona konieczność,
dane pojedynczych osób (a nie całe zbiory czy szerokie wypisy ze zbiorów) mogą
być przechowywane na specjalnie oznaczonych nośnikach. Nośniki te muszą być
przechowywane w zamkniętych na klucz szafach, nieudostępnianych osobom
postronnym. Po ustaniu przydatności tych danych nośniki powinny być trwale
kasowane lub niszczone;
b) uszkodzone nośniki przed ich wyrzuceniem należy zniszczyć fizycznie w niszczarce
służącej do niszczenia nośników;
c) zabrania się powtórnego używania do sporządzania brudnopisów pism jednostronnie
zadrukowanych kart, jeśli zawierają one dane chronione. Zaleca się natomiast
dwustronne drukowanie brudnopisów pism i sporządzanie dwustronnych
dokumentów;
d) po wykorzystaniu wydruki zawierające dane osobowe należy codziennie przed
zakończeniem pracy zniszczyć w niszczarce. O ile to możliwe, nie należy
przechowywać takich wydruków w czasie dnia na biurku ani też wynosić poza
siedzibę administratora danych.
6. Wymiana danych i ich bezpieczeństwo.
Bezpieczeństwo danych, a w szczególności ich integralność i dostępność, w dużym
stopniu zależy od zdyscyplinowanego, codziennego umieszczania danych w wyznaczonych
zasobach serwera. Pozwala to – przynajmniej w pewnym stopniu – uniknąć wielokrotnego
wprowadzania tych samych danych do systemu informatycznego administratora danych.
Sporządzanie kopii zapasowych następuje w trybie opisanym w „Instrukcji zarządzania
systemem informatycznym służącym do przetwarzania danych osobowych”.
Inne wymogi bezpieczeństwa systemowego są określane w instrukcjach obsługi
producentów sprzętu i używanych programów, wskazówkach administratora bezpieczeństwa
informacji oraz „Instrukcji zarządzania systemem informatycznym służącym do
przetwarzania danych osobowych”.
Pocztą elektroniczną można przesyłać tylko jednostkowe dane, a nie całe bazy lub
szerokie z nich wypisy i tylko w postaci zaszyfrowanej. Chroni to przesyłane dane przed
„przesłuchami” na liniach teletransmisyjnych oraz przed przypadkowym rozproszeniem ich
w Internecie.
Przed atakami z sieci zewnętrznej wszystkie komputery administratora danych (w tym
także przenośne) chronione są środkami dobranymi przez administratora systemu
w porozumieniu z administratorem bezpieczeństwa informacji. Ważne jest, by użytkownicy
zwracali uwagę na to, czy urządzenie, na którym pracują, domaga się aktualizacji tych
zabezpieczeń. O wszystkich takich przypadkach należy informować administratora
bezpieczeństwa informacji lub lokalnych administratorów bezpieczeństwa informacji oraz
umożliwić im monitorowanie oraz aktualizację środków (urządzeń, programów)
bezpieczeństwa.
17
Administrator systemu w porozumieniu z administratorem bezpieczeństwa informacji
dobiera elektroniczne środki ochrony przed atakami z sieci stosownie do pojawiania się
nowych zagrożeń (nowe wirusy, robaki, trojany, inne możliwości wdarcia się do systemu),
a także stosownie do rozbudowy systemu informatycznego administratora danych
i powiększania bazy danych. Jednocześnie należy zwracać uwagę, czy rozwijający się system
zabezpieczeń sam nie wywołuje nowych zagrożeń.
Należy stosować następujące sposoby kryptograficznej ochrony danych:
a) przy przesyłaniu danych za pomocą poczty elektronicznej stosuje się POP –
tunelowanie, szyfrowanie połączenia;
b) przy przesyłaniu danych pracowników, niezbędnych do wykonania przelewów
wynagrodzeń, używa się bezpiecznych stron https://.
7. Kontrola dostępu do systemu.
Poszczególnym osobom upoważnionym do przetwarzania danych osobowych przydziela
się konta opatrzone niepowtarzalnym identyfikatorem, umożliwiające dostęp do danych,
zgodnie z zakresem upoważnienia do ich przetwarzania. Administrator systemu lub z jego
upoważnienia inny pracownik obsługujący systemy informatyczne po uprzednim
przedłożeniu upoważnienia do przetwarzania danych osobowych, zawierającego odpowiedni
wniosek dysponenta systemu, przydziela pracownikowi upoważnionemu do przetwarzania
danych konto w systemie informatycznym, dostępne po wprowadzeniu prawidłowego
identyfikatora i uwierzytelnieniu hasłem. System wymusza zmianę hasła przy pierwszym
logowaniu.
W razie potrzeby, po uzyskaniu uprzedniej akceptacji administratora bezpieczeństwa
informacji, administrator systemu może przydzielić konto opatrzone identyfikatorem osobie
upoważnionej do przetwarzania danych osobowych, nieposiadającej statusu pracownika.
Pierwsze hasło wymagane do uwierzytelnienia się w systemie przydzielane jest przez
administratora bezpieczeństwa informacji po odebraniu od osoby upoważnionej do
przetwarzania danych oświadczenia zawierającego zobowiązanie do zachowania w tajemnicy
pierwszego i następnych haseł oraz potwierdzenie odbioru pierwszego hasła.
Do zagwarantowania poufności i integralności danych osobowych konieczne jest
przestrzeganie przez użytkowników swoich uprawnień w systemie, tj. właściwego
korzystania z baz danych, używania tylko własnego identyfikatora i hasła oraz stosowania się
do zaleceń administratora bezpieczeństwa informacji i administratora systemu.
8. Kontrola dostępu do sieci.
System informatyczny posiada połączenie z Internetem. Dostęp do niego jest jednak
ograniczony. Na poszczególnych stacjach roboczych, przetwarzających dane osobowe, można
przeglądać tylko wyznaczone strony WWW.
Administrator danych wykorzystuje centralną zaporę sieciową w celu separacji lokalnej
sieci od sieci publicznej.
Korzystanie z zasobów sieci wewnętrznej (Internet) jest możliwe tylko w zakresie
uprawnień przypisanych do danego konta osoby upoważnionej do przetwarzania danych
osobowych.
Korzystanie z poczty elektronicznej w celach służbowych jest możliwe wyłącznie przy
wykorzystaniu uczelnianej infrastruktury pocztowej (w tym uczelnianych kont pocztowych
i serwerów poczty).
Operacje za pośrednictwem rachunku bankowego administratora danych może
wykonywać wyłącznie pracownik kwestury, upoważniony przez Rektora, po uwierzytelnieniu
18
się zgodnie z procedurami określonymi przez bank obsługujący rachunek.
9. Komputery przenośne i praca na odległość.
Urządzenia przenośne oraz nośniki danych wynoszone z siedziby administratora danych
nie powinny być pozostawiane bez nadzoru w miejscach publicznych. Komputery przenośne
należy przewozić w służbowych torbach, stosowanie własnych charakterystycznych toreb na
laptopy nie jest dopuszczalne.
Nie należy pozostawiać bez kontroli dokumentów, nośników danych i sprzętu w hotelach
i innych miejscach publicznych ani też w samochodach.
Informacje przechowywane na urządzeniach przenośnych lub komputerowych nośnikach
danych należy chronić przed uszkodzeniami fizycznymi, a ze względu na działanie silnego
pola elektromagnetycznego należy przestrzegać zaleceń producentów dotyczących ochrony
sprzętu.
Wykorzystywanie komputerów przenośnych administratora danych w miejscach
publicznych jest dozwolone, o ile otoczenie, w którym znajduje się osoba upoważniona do
przetwarzania danych osobowych, stwarza warunki minimalizujące ryzyko zapoznania się
z danymi przez osoby nieupoważnione. W konsekwencji korzystanie z komputera
przenośnego jest niedozwolone w restauracjach czy środkach komunikacji publicznej.
W domu niedozwolone jest udostępnianie domownikom komputera przenośnego
należącego do administratora danych. Użytkownik powinien zachować w tajemnicy wobec
domowników identyfikator i hasło, których podanie jest konieczne do rozpoczęcia pracy na
komputerze przenośnym administratora danych.
Administrator systemu w razie potrzeby wskazuje w dokumencie powierzenia komputera
przenośnego osobie upoważnionej do przetwarzania danych osobowych konieczność
i częstotliwość sporządzania kopii zapasowych danych przetwarzanych na komputerze
przenośnym oraz określa zasady:
a) postępowania w razie nieobecności w pracy dłuższej niż 5 dni. Jeśli komputer
przenośny nie może być zwrócony przed okresem nieobecności, to użytkownik tego
komputera powinien niezwłocznie powiadomić o tym administratora
bezpieczeństwa informacji i uzgodnić z nim zwrot komputera przenośnego
administratorowi danych;
b) zwrotu sprzętu w razie zakończenia pracy u administratora danych.
W zakresie nieuregulowanym w polityce bezpieczeństwa stosuje się do pracy
z wykorzystaniem komputerów przenośnych postanowienia instrukcji zarządzania systemem
informatycznym służącym do przetwarzania danych osobowych.
10. Monitorowanie dostępu do systemu i jego użycia.
System informatyczny administratora danych monitoruje kto, kiedy i jakie programy
uruchamia na poszczególnych stacjach roboczych. Ponadto system ten zapewnia
odnotowanie:
a) daty pierwszego wprowadzenia danych do systemu,
b) identyfikatora użytkownika wprowadzającego dane osobowe do systemu,
c) źródła danych - w przypadku zbierania danych nie od osoby, której one dotyczą,
d) informacji o odbiorcach w rozumieniu art. 7 pkt 6 ustawy, którym dane osobowe
zostały udostępnione, o dacie i zakresie tego udostępnienia,
e) sprzeciwu wobec przetwarzania danych osobowych, o którym mowa w art. 32 ust. 1
pkt 8 ustawy.
19
Odnotowanie informacji, o których mowa w pkt. 1 i 2 następuje automatycznie po
zatwierdzeniu przez użytkownika operacji wprowadzenia danych.
Dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym,
system zapewnia sporządzenie i wydrukowanie raportu zawierającego w powszechnie
zrozumiałej formie informacje, o których mowa w pkt. 1-5.
Administrator systemu przeprowadza synchronizację zegarów stacji roboczych
z serwerem, ograniczając dopuszczalność zmian w ustawieniach zegarów. Jakiekolwiek
zmiany ustawień zegarów mogą być dokonywane jedynie przez pracowników obsługujących
systemy informatyczne z konta o uprawnieniach administracyjnych.
System informatyczny administratora danych umożliwia zapisywanie zdarzeń
wyjątkowych na potrzeby audytu i przechowywanie informacji o nich przez określony czas.
Zapisy takie obejmują:
a) identyfikator użytkownika;
b) datę i czas zalogowania i wylogowania się z systemu;
c) tożsamość stacji roboczej;
d) zapisy udanych i nieudanych prób dostępu do systemu;
e) zapisy udanych i nieudanych prób dostępu do danych osobowych i innych zasobów
systemowych.
11. Przeglądy okresowe zapobiegające naruszeniom obowiązku szczególnej
staranności administratora danych (art. 26 ust. 1 ustawy).
Administrator bezpieczeństwa informacji przeprowadza raz w roku przegląd
przetwarzanych danych osobowych pod kątem celowości ich dalszego przetwarzania. Osoby
upoważnione do przetwarzania danych osobowych, w tym zwłaszcza kierownicy
poszczególnych jednostek organizacyjnych lub działów, są obowiązani współpracować
z administratorem bezpieczeństwa informacji w tym zakresie i wskazywać mu dane osobowe,
które powinny zostać usunięte ze względu na zrealizowanie celu przetwarzania danych
osobowych lub brak ich adekwatności do realizowanego celu.
Administrator bezpieczeństwa informacji może zarządzić przeprowadzenie dodatkowego
przeglądu w wyżej określonym zakresie w razie zmian w obowiązującym prawie,
ograniczających dopuszczalny zakres przetwarzanych danych osobowych. Dodatkowy
przegląd jest możliwy także w sytuacji zmian organizacyjnych administratora danych.
Z przebiegu usuwania danych osobowych należy sporządzić protokół podpisywany przez
administratora bezpieczeństwa informacji i kierownika jednostki, w której usunięto dane
osobowe.
Wzory dokumentów przewidujących powiadomienie, o którym mowa w art. 24 lub 25
ustawy, mogą być stosowane po zaakceptowaniu przez administratora bezpieczeństwa
informacji.
Administrator bezpieczeństwa informacji przygotuje wykaz zbiorów danych
(ewidencyjnych), w którym poszczególnym kategoriom danych osobowych przypisane
zostaną okresy ich przechowywania. Wykaz ten zostanie sporządzony po przeanalizowaniu
przepisów wyznaczających m.in. obowiązek przechowywania dokumentacji czy też okresy
przedawnienia roszczeń udokumentowanych z wykorzystaniem danych osobowych. Przed
sporządzeniem takiego wykazu przygotowany zostanie wykaz przepisów, na mocy których
przetwarzane są dane osobowe, na podstawie arkuszy inwentaryzacyjnych zbiorów danych
osobowych, sporządzonych przez poszczególne komórki organizacyjne.
20
12. Udostępnianie danych osobowych.
Udostępnianie danych osobowych na podstawie ustawy.
Udostępnianie danych osobowych w celach innych niż włączenie do zbioru, odbiorcom
danych może nastąpić wyłącznie na pisemny, umotywowany wniosek chyba, że przepis innej
ustawy stanowi inaczej.
Udostępnianie danych osobowych na podstawie ustaw szczególnych.
● Udostępnianie informacji Policji.
1. Udostępnianie danych osobowych funkcjonariuszom policji może nastąpić tylko po
przedłożeniu wniosku o przekazanie lub udostępnienie informacji. Wniosek ten powinien
mieć formę pisemną i zawierać:
a) oznaczenie wnioskodawcy;
b) wskazanie przepisów uprawniających do dostępu do informacji;
c) określenie rodzaju i zakresu potrzebnych informacji oraz formy ich przekazania lub
udostępnienia;
d) wskazanie imienia, nazwiska i stopnia służbowego policjanta upoważnionego do
pobrania informacji lub zapoznania się z ich treścią.
2. Udostępnianie danych osobowych na podstawie ustnego wniosku zawierającego
wszystkie powyższe cztery elementy wniosku pisemnego może nastąpić tylko wtedy, gdy
zachodzi konieczność niezwłocznego działania, np. w trakcie pościgu za osobą podejrzaną
o popełnienie czynu zabronionego albo podczas wykonywania czynności mających na celu
ratowanie życia i zdrowia ludzkiego lub mienia.
Osoba udostępniająca dane osobowe jest obowiązana zażądać od policjanta pokwitowania
pobrania dokumentów zawierających informacje przekazane na podstawie pisemnego
wniosku albo potwierdzenia faktu uzyskania wglądu w treść informacji. Policjant jest
obowiązany do pokwitowania lub potwierdzenia.
Jeśli informacje są przekazywane na podstawie ustnego wniosku, należy stosownie do
okoliczności zwrócić się z prośbą o pokwitowanie albo potwierdzenie. Jeśli pokwitowanie
albo potwierdzenie ze względu na okoliczności udostępniania nie są możliwe, osoba
udostępniająca informacje sporządza na tę okoliczność notatkę służbową.
Jeśli policjant pouczył osobę udostępniającą informacje o konieczności zachowania
w tajemnicy faktu i okoliczności przekazania informacji, to okoliczność ta jest odnotowywana
w rejestrze udostępnień niezależnie od odnotowania faktu udostępnienia informacji.
● Udostępnianie danych osobowych innym służbom
Ustawy o innych służbach dają im szczególne uprawnienia. Posiadają one szerokie
kompetencje do pozyskiwania informacji, co więcej, wszelkie inne instytucje zobligowane
są do podporządkowania się przedmiotowym służbom.
W zakresie swojej właściwości mogą zbierać, także niejawne dane osobowe, w tym
również, jeżeli jest to uzasadnione charakterem realizowanych zadań, dane wskazane
w art. 27 i 28 ustawy o ochronie danych osobowych (tekst jednolity Dz.U. z 2002 r. nr 101,
poz. 926, z późn. zm.), a także korzystać z danych osobowych i innych informacji
użytkowych w wyniku wykonywania czynności operacyjno-rozpoznawczych oraz
przetwarzać je, w rozumieniu ww. ustawy, bez wiedzy i zgody osoby, której te dane dotyczą.
Administrator zbiorów danych jest zobowiązany udostępnić dane o osobie.
21
Od strony proceduralnej udostępnianie danych osobowych tym służbom przez
administratora zbioru danych wymaga przedłożenia pisemnego imiennego upoważnienia,
okazanego wraz z legitymacją służbową.
13. Odpowiedzialność osób upoważnionych do przetwarzania danych osobowych.
Niezastosowanie się do prowadzonej przez administratora danych polityki
bezpieczeństwa przetwarzania danych osobowych, której założenia określa niniejszy
dokument, i naruszenie procedur ochrony danych przez pracowników upoważnionych do
przetwarzania danych osobowych może być potraktowane jako ciężkie naruszenie
obowiązków pracowniczych, skutkujące rozwiązaniem stosunku pracy bez wypowiedzenia na
podstawie art. 52 Kodeksu pracy.
Niezależnie od rozwiązania stosunku pracy osoby popełniające przestępstwo będą
pociągane do odpowiedzialności karnej zwłaszcza na podstawie art. 51-52 ustawy oraz
art. 266 Kodeksu karnego. Przykładowo przestępstwo można popełnić wskutek:
a) stworzenia możliwości dostępu do danych osobowych osobom nieupoważnionym
albo osobie nieupoważnionej;
b) niezabezpieczenia nośnika lub komputera przenośnego;
c) zapoznania się z hasłem innego pracownika wskutek wykonania nieuprawnionych
operacji w systemie informatycznym administratora danych.
VII.
Przeglądy polityki bezpieczeństwa i audyty systemu
Polityka bezpieczeństwa powinna być poddawana przeglądowi przynajmniej raz na rok.
W razie istotnych zmian dotyczących przetwarzania danych osobowych administrator
bezpieczeństwa informacji może zarządzić przegląd polityki bezpieczeństwa stosownie do
potrzeb.
Administrator bezpieczeństwa informacji analizuje, czy polityka bezpieczeństwa
i pozostała dokumentacja z zakresu ochrony danych osobowych jest adekwatna do:
a) zmian w budowie systemu informatycznego;
b) zmian organizacyjnych administratora danych, w tym również zmian statusu osób
upoważnionych do przetwarzania danych osobowych;
c) zmian w obowiązującym prawie.
Administrator bezpieczeństwa informacji po uzgodnieniu z Pełnomocnikiem Danych
może, stosownie do potrzeb, przeprowadzić wewnętrzny audyt zgodności przetwarzania
danych z przepisami o ochronie danych osobowych. Przeprowadzenie audytu wymaga
uzgodnienia jego zakresu z administratorem systemu. Zakres, przebieg i rezultaty audytu
dokumentowane są na piśmie w protokole podpisywanym zarówno przez administratora
bezpieczeństwa informacji, jak i administratora danych.
Rektor, biorąc pod uwagę wnioski Pełnomocnika Danych i Administratora
Bezpieczeństwa Informacji, może zlecić przeprowadzenie audytu zewnętrznego przez
wyspecjalizowany podmiot.
VIII.
Postanowienia końcowe
Każda osoba upoważniona do przetwarzania danych osobowych zobowiązana jest
zapoznać się przed dopuszczeniem do przetwarzania danych z niniejszym dokumentem oraz
22
złożyć stosowne oświadczenie, potwierdzające znajomość jego treści.
Każdej osobie upoważnionej do przetwarzania danych administrator bezpieczeństwa
informacji przekazuje wyciąg z polityki bezpieczeństwa, a użytkownikom dodatkowo
z instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych
osobowych, przygotowany z uwzględnieniem stanowiska tej osoby (zakresu obowiązków).
IX.
Załączniki – na płycie CD
Załącznik A – Miejsca przetwarzania danych osobowych w Uniwersytecie Śląskim
– w dokumentacji Pełnomocnika Danych.
Załącznik B – Programy komputerowe – w dokumentacji Pełnomocnika Danych.
Załącznik C – Producenci oprogramowania – w dokumentacji Pełnomocnika Danych.
Załącznik D – Wykaz obowiązujących nazw zbiorów danych osobowych przetwarzanych
w jednostkach organizacyjnych Uniwersytetu Śląskiego.
Załącznik E – Zawartość informacyjna zbiorów danych osobowych
– w dokumentacji Pełnomocnika Danych.
Załącznik F – Wykaz jednostek, których kierownicy pełnią obowiązki lokalnych
administratorów danych osobowych.
Załącznik G – Zadania Administratora Bezpieczeństwa Informacji w Uczelni.
Załącznik H – Upoważnienia do przetwarzania danych osobowych i oświadczenia
pracowników.
Załącznik I – Instrukcja postępowania w przypadku naruszenia ochrony danych
osobowych przetwarzanych w systemach informatycznych.
23