Zarządzenie nr 21.222.2016 Wójta Gminy Wiązowna z dnia 24

ZARZĄDZENIE NR 21.222.2016
WÓJTA GMINY WIĄZOWNA
z dnia 24 lutego 2016 r.
w sprawie wprowadzenia Polityki bezpieczeństwa przetwarzania danych osobowych w Urzędzie Gminy
Wiązowna oraz przyjęcia Instrukcji zarządzania systemem informatycznym służącym do przetwarzania
danych osobowych
Na podstawie: art. 36 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2015 poz. 2135
z późn. zm.) oraz § 3 ust. 3, § 4, § 5 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29
kwietnia 2004 roku w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych
i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania
danych osobowych (Dz. U. Nr 100, poz. 1024) oraz art. 33 ust. 3 ustawy z dnia 8 marca 1990 o samorządzie
gminnym (j.t. Dz.U. z 2015 r. poz. 1515 z późn. zm.) zarządza się, co następuje:
§ 1. 1. Wprowadza się ,,Politykę Bezpieczeństwa danych osobowych w Urzędzie Gminy Wiązowna” zwaną
dalej ,Polityką Bezpieczeństwa”, która stanowi załącznik 1 do niniejszego zarządzenia.
2. Wprowadza się ,,Instrukcję Zarządzania Systemem Informatycznym służącym do przetwarzania danych
osobowych”, zwaną dalej „Instrukcją”, która stanowi załącznik 2 do niniejszego zarządzenia.
§ 2. Traci moc zarządzenie nr 550(105)/10 Wójta Gminy Wiązowna z dnia 28 września 2010 r. w sprawie:
ochrony danych osobowych w Urzędzie Gminy Wiązowna.
§ 3. Wykonanie zarządzenia powierza się Sekretarzowi Gminy.
§ 4. Zarządzenie wchodzi w życie z dniem podpisania.
Wójt Gminy Wiązowna
Janusz Budny
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 1
Załącznik Nr 1
do Zarządzenia Wójta Gminy Wiązowna
Nr 21.222.2016
z dnia 24 lutego 2016 r.
POLITYKA BEZPIECZEŃSTWA
PRZETWARZANIA
DANYCH OSOBOWYCH
W URZĘDZIE GMINY WIĄZOWNA
OPRACOWAŁ:
Administrator Bezpieczeństwa Informacji
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 2
Rozdział I
POSTANOWIENIA OGÓLNE
1. Polityka bezpieczeństwa została opracowana na podstawie ustawy z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135 z późn. zm.) oraz rozporządzeniu
Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie
dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,
jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych
osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024 ). Dokument został opracowany zgodnie z
dyrektywą 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. w sprawie
przetwarzania danych osób oraz ochrony prywatności w sektorze komunikacji elektronicznej.
2. Polityka określa tryb i zasady ochrony danych osobowych przetwarzanych w Urzędzie Gminy
Wiązowna
3. Ilekroć w Polityce jest mowa o :
1) Jednostka organizacyjna – rozumie się przez to Urząd Gminy Wiązowna;
2) Polityka bezpieczeństwa – rozumie się przez to Politykę Bezpieczeństwa Przetwarzania
Danych Osobowych;
3) zbiorze danych osobowych - rozumie się przez to każdy posiadający strukturę zestaw danych
o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy
zestaw ten jest rozproszony lub podzielony funkcjonalnie;
4) danych osobowych - rozumie się przez to wszelkie informacje dotyczące zidentyfikowanej
lub możliwej do zidentyfikowania osoby fizycznej;
5) przetwarzaniu danych - rozumie się przez to jakiekolwiek operacje wykonywane na danych
osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie,
udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych;
6) systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń,
programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych
w celu przetwarzania danych osobowych;
7) systemie tradycyjnym - rozumie się przez to zespół procedur organizacyjnych, związanych
z mechanicznym przetwarzaniem informacji i wyposażenia i środków trwałych w celu
przetwarzania danych osobowych na papierze;
8) zabezpieczeniu danych w systemie informatycznym - rozumie się przez to wdrożenie
i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę
danych przed ich nieuprawnionym przetwarzaniem;
9) usuwaniu danych - rozumie się przez to zniszczenie danych osobowych lub taką ich
modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą;
10) Administratorze Danych Osobowych lub Administratorze Danych - zwanym dalej
„ADO” - w świetle art. 3 i 7 pkt 4 ustawy o ochronie danych osobowych rozumie się przez to
kierownika jednostki, który decyduje o celach i środkach przetwarzania danych osobowych;
11) Administratorze Bezpieczeństwa Informacji lub Administratorem Bezpieczeństwa
zwanym dalej „ABI” - rozumie się przez to osobę wyznaczoną przez Wójta Gminy
Wiązowna, nadzorującą przestrzeganie zasad ochrony danych osobowych, w szczególności
zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez
osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą,
uszkodzeniem lub zniszczeniem;
12) Administratorze Systemu Informatycznego lub Administratorem Systemu zwanym dalej
„ASI” - rozumie się przez to osobę zatrudnioną przez Wójta Gminy Wiązowna upoważnioną
do realizacji zadań związanych z zarządzaniem systemem informatycznym;
13) kierownik komórki organizacyjnej – rozumie się przez to naczelników wydziałów,
kierowników referatów jak również samodzielne stanowisko pracy;
14) użytkowniku systemu zwanym też użytkownikiem systemu informatycznego - rozumie się
przez to upoważnionego przez Wójta Gminy Wiązowna, wyznaczonego do przetwarzania
danych osobowych w systemie informatycznym pracownika, który odbył szkolenie
prowadzone przez ABI lub inny uprawniony podmiot w zakresie ochrony tych danych;
Strona 2 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 3
15) zgodzie osoby, której te dane dotyczą - rozumie się przez to oświadczenie woli, którego
treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie - zgoda
nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.
16) Ustawie – należy przez to rozumieć ustawę z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (Dz. U. z 2015 r. poz. 2135 z późn. zm.)
Rozdział II
CELE
1. Dane osobowe w Urzędzie Gminy Wiązowna są gromadzone, przechowywane, edytowane,
archiwizowane w kartotekach, skorowidzach, księgach, wykazach, zestawieniach oraz w innych
zestawach i zbiorach ewidencyjnych poszczególnych komórek organizacyjnych Urzędu Gminy
Wiązowna na dokumentach papierowych, jak również w systemach informatycznych na
elektronicznych nośnikach informacji.
2. Polityka bezpieczeństwa wprowadza regulacje w zakresie zasad organizacji procesu
przetwarzania danych osobowych i odnosi się swoją treścią do informacji:
1) w formie papierowej - przetwarzanej w ramach systemu tradycyjnego;
2) w formie elektronicznej - przetwarzanej w ramach systemu informatycznego.
3. Celem opracowania Polityki bezpieczeństwa jest ochrona danych osobowych przed
niepowołanym dostępem do zgromadzonych i przetwarzanych danych.
4. Procedury i zasady określone w niniejszej Polityce bezpieczeństwa stosuje się do wszystkich
pracowników Urzędu Gminy Wiązowna, jak i innych osób mających dostęp do danych
osobowych przetwarzanych w Urzędzie Gminy Wiązowna (np. osób realizujących zadania na
podstawie umów zlecenia lub o dzieło, wolontariuszy, stażystów, praktykantów, serwisantów).
5. Przetwarzanie danych osobowych do celów związanych z działalnością Administratora Danych
jest zgodne z prawem w sytuacji, gdy dane te zostały uzyskane od osoby, której dotyczą
i wyraziła ona na ich przetwarzanie zgodę.
6. W sytuacji, gdy dane osobowe nie zostały uzyskane od osoby, której dotyczą, to ich
przetwarzanie jest zgodne z prawem, gdy przepis szczególny tak stanowi.
7. Usunięcie danych nie wymaga zgody osoby, której dotyczą.
8. Ocena niezbędności przetwarzania danych do wypełnienia usprawiedliwionych celów
Administratora Danych powinna być dokonywana indywidualnie w każdej sytuacji.
9. W przypadku zbierania danych osobowych od osoby, której one dotyczą, w wypadkach
przewidzianych ustawą należy poinformować tę osobę o:
1) adresie swojej siedziby i pełnej nazwie,
2) celu zbierania danych, a w szczególności o znanych w czasie udzielania informacji lub
przewidywanych odbiorcach lub kategoriach odbiorców danych,
3) prawie dostępu do treści swoich danych oraz ich poprawiania,
4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego
podstawie prawnej.
10. W przypadku zbierania danych osobowych nie od osoby, której dane dotyczą, ADO jest
obowiązany poinformować tę osobę bezpośrednio po utrwaleniu zebranych danych, o:
1) adresie swojej siedziby i pełnej nazwie,
2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców
danych,
3) źródle danych,
4) prawie dostępu do treści swoich danych oraz ich poprawiania,
5) prawie wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych
ze względu na jej szczególną sytuację, jeżeli nawet przetwarzanie jest niezbędne do
wypełnienia usprawiedliwionych celów administratora danych, a przetwarzanie danych nie
narusza praw i wolności osoby, której dane dotyczą,
6) prawie wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, gdy
przetwarzanie jest niezbędne do wypełnienia usprawiedliwionych celów administratora
danych, a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą, gdy
administrator danych zamierza je przetwarzać w celach marketingowych lub wobec
przekazywania jej danych osobowych innemu administratorowi danych.
Strona 3 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 4
11. Obowiązek informowania ADO nakłada na osoby zatrudnione przy przetwarzaniu danych
osobowych.
12. Bezpośredni nadzór nad przetwarzaniem danych osobowych sprawują kierownicy komórek
organizacyjnych.
13. Dostęp do przetwarzania danych osobowych przechowywanych w systemie tradycyjnym jak
i informatycznym uzyskują jedynie osoby mające imienne wydane przez ADO upoważnienie,
którego wzór stanowi załącznik nr 5 do niniejszej polityki.
14. Z zasadami zawartymi w Polityce bezpieczeństwa i Instrukcji mają obowiązek zapoznać się
wszyscy użytkownicy systemów tradycyjnych i informatycznych, składając odpowiednie
oświadczenie, którego wzór stanowi załącznik Nr 5 do niniejszej polityki.
15. Upoważnienie do przetwarzania danych osobowych wraz z oświadczeniem przechowywane jest
w aktach osobowych pracownika a drugi egzemplarz w dokumentacji ABI.
16. Ewidencję osób uprawnionych do przetwarzania danych osobowych prowadzi ABI wg załącznika
nr 6 do niniejszej polityki.
17. Dane osobowe są chronione zgodnie z polskim prawem oraz procedurami obowiązującymi
w jednostce organizacyjnej dotyczącymi bezpieczeństwa i poufności przetwarzanych danych.
18. Systemy informatyczne oraz tradycyjne, które przechowują dane osobowe, są chronione
odpowiednimi środkami technicznymi.
Rozdział III
ADMINISTRACJA I ORGANIZACJA BEZPIECZEŃSTWA
ADMINISTRATOR DANYCH OSOBOWYCH
1. Za bezpieczeństwo danych osobowych przetwarzanych w systemach przetwarzania danych
osobowych odpowiada ADO.
2. ADO może powołać ABI, nadzorującego przestrzeganie zasad ochrony, który prowadzi
dokumentację opisującą sposób przetwarzania danych oraz środków technicznych i
organizacyjnych zapewniających ochronę przetwarzanych danych osobowych.
3. Kierownicy komórek organizacyjnych obowiązani są stosować określone przez ADO środki
techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych
odpowiednie do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinni
zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę
nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub
zniszczeniem.
ADMINISTRATOR BEZPIECZEŃSTWA INFORMACJI
4. Administrator Bezpieczeństwa Informacji sprawuje nadzór nad przestrzeganiem zasad
przetwarzania i ochrony danych osobowych w imieniu i na rzecz Administratora Danych
Osobowych.
5. W szczególności Administrator Bezpieczeństwa Informacji jest odpowiedzialny za:
1) prowadzenie oraz aktualizację dokumentacji opisującej sposób przetwarzania danych
osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych
danych osobowych, tj.: Polityki Bezpieczeństwa oraz Instrukcji,
2) nadzorowanie przestrzegania zasad określonych w Polityce Bezpieczeństwa oraz Instrukcji,
3) szkolenie osób dopuszczonych do przetwarzania danych osobowych lub przebywania
w obszarze przetwarzania danych osobowych z zakresu zasad przetwarzania i ochrony tych
danych oraz zasad bezpieczeństwa informatycznego oraz prowadzenie adekwatnej
dokumentacji w tym zakresie,
4) nadzorowanie prawidłowości udostępniania danych osobowych odbiorcom danych,
5) nadzorowanie zamieszczania w umowach z użytkownikami upoważnionymi do przetwarzania
danych osobowych, firmami, którym powierzono przetwarzanie danych osobowych lub
konserwacje urządzeń służących do przetwarzania danych oraz pracownikami tych firm,
a także w innych dokumentach odpowiednich zapisów dotyczących ochrony danych
osobowych,
Strona 4 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 5
6) nadzorowanie wdrożenia adekwatnych do zagrożeń środków fizycznych, a także
organizacyjnych i technicznych służących zapewnieniu bezpieczeństwa danych,
7) nadzorowanie obiegu oraz przechowywania dokumentów zawierających dane osobowe
w zakresie związanych z bezpieczeństwem tych danych osobowych,
8) podejmowanie lub wnioskowanie o podjęcie odpowiednich działań w przypadku naruszenia
lub podejrzenia naruszenia bezpieczeństwa systemu informatycznego oraz prowadzenie
adekwatnej dokumentacji w tym zakresie.
6. W ramach swoich obowiązków ABI ponadto:
1) występuje z wnioskiem do Administratora Danych Osobowych o nadanie,
modyfikację lub odwołanie upoważnienia do przetwarzania danych osobowych,
2) zapewnia przechowywanie upoważnień do przetwarzania danych osobowych w aktach
osobowych,
3) prowadzi ewidencje wskazane w Polityce oraz Instrukcji,
4) sporządza i przechowuje raporty z naruszenia bezpieczeństwa przetwarzanych danych
osobowych,
5) nadzoruje wykonywanie kopii bezpieczeństwa komputerowych zbiorów danych, ich
przechowywanie oraz okresowe sprawdzanie pod kątem ich dalszej przydatności do
odtwarzania danych w przypadku awarii systemu,
6) nadzoruje przeprowadzanie przeglądów, konserwacji oraz uaktualniania systemów służących
do przetwarzania danych osobowych oraz wszystkich innych czynności wykonywanych przez
Administratora Systemu Informatycznego, jak też specjalistów (np. informatyków,
serwisantów) na zbiorach danych osobowych,
7) prowadzi rejestr zbiorów danych przetwarzanych przez Administratora Danych Osobowych,
z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1 ustawy, zawierający nazwę zbioru oraz
informacje, o których mowa w art. 41 ust. 1 pkt 2-4a i 7 ustawy.
ADMINISTRATOR SYSTEMU INFORMATYCZNEGO
7. Administrator Danych Osobowych wyznacza Administratora Systemu Informatycznego (ASI),
który posiada najwyższe uprawnienia w systemie informatycznym.
8. Do instalowania i usuwania oprogramowania systemowego i narzędziowego osobą uprawnioną
jest ASI, którego rolą jest również nadzór nad instalacjami wykonywanymi przez podmioty
zewnętrzne.
9. Administrator Systemu Informatycznego wykonuje wszystkie prace niezbędne do efektywnego
oraz bezpiecznego zarządzania systemem informatycznym. Jest zobowiązany do zapewnienia,
poprzez zastosowanie odpowiednich środków i metod kontroli dostępu, w taki sposób,
że wyłącznie uprawniony użytkownik ma dostęp do systemów informatycznych.
10. Szczegółowy zakres odpowiedzialności i obowiązków Administratora Systemu Informatycznego
jest następujący:
1) zapewnia stałą sprawność urządzeń mających wpływ na bezpieczeństwo danych;
2) odpowiada za bezpieczeństwo systemu informatycznego;
3) zobowiązuje i bieżąco kontroluje stosowanie się użytkowników do obowiązujących procedur;
4) utrzymuje i aktualizuje listę autoryzowanych użytkowników systemu informatycznego;
5) zapewnia aktualizację dokumentacji technicznej systemu w tym opis struktur zbiorów i ich
zależności;
6) prowadzi nadzór nad naprawami, konserwacją oraz likwidacją urządzeń komputerowych,
na których zapisywane są dane osobowe;
7) wykonuje kopie awaryjne/archiwalne /oraz nadzoruje ich przechowywanie;
8) wprowadza i nadzoruje mechanizmy autoryzacji.
KIEROWNICY KOMÓREK ORGANIZACYJNYCH i PRACOWNICY
11. Kierownik komórki organizacyjnej odpowiada za przestrzeganie ustawy oraz przepisów
wewnętrznych na poszczególnych stanowiskach, a w szczególności:
1) kontroluje sposób zabezpieczenia zbiorów danych osobowych przez pracowników,
2) kontroluje sposób realizacji obowiązku udzielania informacji o jakich mowa w ustawie,
Strona 5 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 6
3) zgłasza do ABI planowaną rejestrację nowych zbiorów oraz przygotowuje wniosek w tej
sprawie,
4) wnioskuje o nadanie upoważnień do przetwarzania danych osobowych pracownikom,
5) zgłasza potrzeby w zakresie zabezpieczenia danych osobowych w Urzędzie Gminy
Wiązowna.
12. Użytkownik systemu wykonuje wszystkie prace niezbędne do efektywnej oraz bezpiecznej pracy
na stanowisku pracy również z wykorzystaniem stacji roboczej. Jest odpowiedzialny przed
Administratorem Bezpieczeństwa Informacji za realizację i utrzymanie niezbędnych warunków
bezpieczeństwa, w szczególności do przestrzegania procedur dostępu do systemu i ochrony
danych osobowych.
Rozdział IV
WYKAZ BUDYNKÓW, POMIESZCZEŃ LUB CZĘŚCI POMIESZCZEŃ, TWORZĄCYCH
OBSZAR, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE
Szczegółowy wykaz budynków i pomieszczeń prowadzi ABI. Stanowi on załącznik Nr 1 do Polityki
bezpieczeństwa.
Rozdział V
WYKAZ ZBIORÓW DANYCH OSOBOWYCH WRAZ ZE WSKAZANIEM PROGRAMÓW
ZASTOSOWANYCH DO PRZETWARZANIA TYCH DANYCH
1. Dane osobowe są gromadzone, przechowywane i przetwarzane w kartotekach, skorowidzach,
księgach, wykazach oraz w innych zbiorach ewidencyjnych poszczególnych komórek
organizacyjnych jednostki organizacyjnej w postaci dokumentów papierowych i w systemie
informatycznym, w którym stosowane są pakiety biurowe lub wyspecjalizowane aplikacje
(programy).
2. Zestawienie zbiorów danych osobowych oraz programów do przetwarzania tych danych
prowadzi ABI. Stanowi on załącznik Nr 2 do niniejszej polityki.
3. Ze względu na rodzaj i charakter danych osobowych zawartych w zbiorach prowadzonych
w Urzędzie Gminy Wiązowna wyróżnia się dwie kategorie danych:
1) dane osobowe zwykłe - wszelkie dane (informacje) dotyczące zidentyfikowanej lub możliwej
do zidentyfikowania osoby fizycznej, zgromadzone w zbiorach danych osobowych.
2) dane osobowe szczególnie chronione – zgodnie z art.27 ust.1 ustawy o ochronie danych
osobowych (art. 27 ust. 1) wszelkie dane (informacje) ujawniające pochodzenie rasowe lub
etniczne, poglądy polityczne, przekonania religijne, przynależność partyjną lub związkową,
jak również informacje o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym
oraz dane dotyczące skazania osoby, orzeczeń o ukaraniu i mandatów karnych, a także innych
orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.
4. Zgodnie z postanowieniami art. 40 ustawy o ochronie danych osobowych, z uwagi na
gromadzone kategorie zbiorów danych osobowych istnieje obowiązek zgłoszenia do rejestracji
tych zbiorów Generalnemu Inspektorowi Ochrony Danych Osobowych z wyjątkiem przypadków,
o których mowa w art. 43 ust. 1 i 1a ustawy.
Rozdział VI
OPIS STRUKTURY ZBIORÓW DANYCH WSKAZUJĄCY ZAWARTOŚĆ
POSZCZEGÓLNYCH PÓL INFORMACYJNYCH I POWIĄZANIA MIĘDZY NIMI
Szczegółowy opis struktur danych prowadzi ABI. Stanowi on załącznik Nr 5 do Polityki
bezpieczeństwa.
Rozdział VII
SPOSÓB PRZEPŁYWU DANYCH POMIĘDZY POSZCZEGÓLNYMI SYSTEMAMI
Strona 6 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 7
1. Obieg dokumentów zawierających dane osobowe, pomiędzy komórkami organizacyjnymi
jednostki , winien się odbywać w sposób zapewniający pełną ochronę przed ujawnieniem
zawartych w tych dokumentach danych (informacji).
2. Przekazywanie informacji (danych) w systemie informatycznym poza sieć lokalną jednostki
odbywa się w relacji jednostka organizacyjna - mieszkańcy, przedsiębiorcy, kontrahenci, zakład
ubezpieczeń społecznych, urząd skarbowy, banki, Narodowy Fundusz Ochrony Zdrowia, urząd
wojewódzki, urząd marszałkowski inne jednostki administracji samorządowej i rządowej.
3. Szczegółowy opis przepływu danych pomiędzy programami prowadzi ABI wg załącznika nr 4
do niniejszej polityki.
Rozdział VIII
OKREŚLENIE ŚRODKÓW TECHNICZNYCH I ORGANIZACYJNYCH NIEZBĘDNYCH
DLA ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI I ROZLICZALNOŚCI
PRZETWARZANYCH DANYCH
1. Dostęp do danych przetwarzanych w sposób tradycyjny oraz z wykorzystaniem systemów
informatycznych uzyskują jedynie osoby upoważnione przez ADO oraz ABI i ASI zapewniający
jego prawidłową eksploatację zbiorów.
2. Pomieszczenia, w których przetwarza się dane osobowe powinny być fizycznie zabezpieczone
przed dostępem osób nieuprawnionych, to znaczy posiadać odpowiednie zamki do drzwi,
zabezpieczenia w oknach oraz być wyposażone w środki ochrony ppoż.
3. W pomieszczeniach gdzie przebywają osoby postronne, monitory stanowisk dostępu do danych
osobowych powinny być ustawione w taki sposób by uniemożliwić tym osobom wgląd w dane
osobowe.
4. Dokumenty i nośniki informacji, zawierające dane osobowe powinny być zabezpieczone przed
dostępem osób nieupoważnionych do przetwarzania danych. Jeśli nie są aktualnie używane
powinny być przechowywane w szafach lub w innych przeznaczonych do tego celu urządzeniach
biurowych, posiadających odpowiednie zabezpieczenia.
5. Procedury postępowania przy przetwarzaniu danych osobowych określa Instrukcja zarządzania
systemem informatycznym służącym do przetwarzania danych osobowych.
Rozdział IX
POSTANOWIENIA KOŃCOWE
1. Wszelkie zmiany w Polityce bezpieczeństwa wymagają zatwierdzenia przez Administratora
Danych Osobowych.
2. Aktualizacje danych zawartych w załącznikach do Polityki Bezpieczeństwa będą dokonywane
w miarę potrzeb, jednakże nie rzadziej niż raz do roku.
3. Odpowiedzialność karną za przetwarzanie danych osobowych niezgodnie z ustawą z dnia
29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r., poz. 2135, z późn. zm.) oraz
przepisami wykonawczymi do tej ustawy określają art. 49-54 ww. ustawy.
4. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z Polityki bezpieczeństwa
traktowane są jako ciężkie naruszenie obowiązków pracowniczych. Wobec osoby, która
w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania
takiego naruszenia nie podjęła działania określonego w Polityce bezpieczeństwa, a w szczególności
nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, a także gdy nie
zrealizowała stosownego działania dokumentującego ten przypadek, wszczyna się postępowanie
dyscyplinarne.
5. Orzeczona kara dyscyplinarna wobec osoby uchylającej się od powiadomienia, nie wyklucza
odpowiedzialności karnej tej osoby zgodnie z ustawą o ochronie danych osobowych oraz
możliwości wniesienia wobec niej sprawy z powództwa cywilnego przez pracodawcę
o zrekompensowanie poniesionych strat.
6. Osoby, które zostały zapoznane z Polityką bezpieczeństwa zobowiązują się do bezwzględnego
stosowania zasad w niej zawartych (oświadczenie o bezwzględnym stosowaniu zapisów Polityki
bezpieczeństwa zawarte zostało w upoważnieniu do przetwarzania danych osobowych - wzór
upoważnienia do przetwarzania danych osobowych stanowi załącznik nr 5 do Polityki
Strona 7 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 8
bezpieczeństwa). Upoważnienia do przetwarzania danych osobowych przechowywane są w aktach
personalnych pracownika oraz ABI.
7. Wszystkie regulacje określone w Polityce bezpieczeństwa dotyczą przetwarzania danych
osobowych w bazach prowadzonych w zarówno w formie elektronicznej jak i w formie
papierowej.
8. W przypadku konieczności udostępnienia danych osobowych, Administrator Danych Osobowych
udostępnia posiadane w zbiorze dane osobowe, osobom lub podmiotom uprawnionym do ich
otrzymania na mocy przepisów prawa.
9. Dane osobowe udostępnia się na pisemny wniosek, chyba że przepis innej ustawy stanowi inaczej.
10. Udostępnione dane osobowe można wykorzystywać wyłącznie zgodnie z przeznaczeniem, dla
którego zostały udostępnione.
11. Niezależnie od zasad opisanych w Polityce bezpieczeństwa w zakresie bezpieczeństwa mają
zastosowanie wszelkie wewnętrzne regulaminy lub instrukcje dotyczące bezpieczeństwa ludzi
i zasobów informacyjnych oraz indywidualne zakresy zadań osób zatrudnionych przy
przetwarzaniu danych osobowych w określonym systemie, dokumenty te nie mogą być sprzeczne
z regulacjami określonymi w Polityce bezpieczeństwa.
12. W sprawach nie uregulowanych w niniejszej Polityce mają zastosowanie przepisy ustawy
z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135, z
późn. zm.) oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29
kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz
warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i
systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr
100, poz. 1024).
Załączniki:
Załącznik Nr 1
Załącznik Nr 2
Załącznik Nr 3
Załącznik Nr 4
Załącznik Nr 5
Załącznik Nr 6
- Wykaz budynków i pomieszczeń
- Wykaz zbiorów i programów
- Opis struktury i powiązań
- Sposób przepływu danych
- Upoważnienie / Oświadczenie
- Ewidencja osób upoważnionych
Strona 8 z 8
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 9
Załącznik Nr 1
do Polityki Bezpieczeństwa
Wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym
przetwarzane są dane osobowe
L.P.
Nr pokoju
Wydział / Referat / Stanowisko
Budynek: …………………………………………………..
1.
2.
3.
4.
5.
6.
Budynek: …………………………………………………..
1.
2.
3.
4.
5.
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Określenie części pomieszczenia
Strona 10
Załącznik Nr 2
do Polityki Bezpieczeństwa
Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich
przetwarzania
L.P.
Nazwa zbioru
danych
osobowych
Program
zastosowany do
przetwarzania
Pomieszcz
enia, w
których
dane są
przetwarz
ane
Zabezpieczenia
Forma przetwarzania
zbioru1
Informatyczne2
Fizyczne3
1.
2.
3.
4.
5.
6.
Legenda:
(1) tradycyjna (papierowa), informatyczna (nazwa systemu informatycznego)
(2) np.: (UPS) zasilacz awaryjny, (LH) indywidualny login i hasło do systemu operacyjnego (LHA) indywidualne hasło
dostępu do aplikacji, (SD) szyfrowanie dysku twardego, (S) szyfrowanie transmisji danych, (F) wydzielona fizycznie sieć
(3) np.: (K) – kraty w oknach, (A) – alarm, (W) – wzmocnienie drzwi, (D) – dozór całodobowy, (KD) – kontrola dostępu,
(KL) – klimatyzacja, (SP) – sygnalizacja PPOŻ, (ZP) – zamki patentowe, (SF)- Sejf, (SK)- szafa zamykana na klucz
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 11
Załącznik Nr 3
do Polityki Bezpieczeństwa
Opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych
i powiązania między nimi
L.P.
Nazwa zbioru danych
osobowych
Nazwa podzbioru danych
Pola informacyjne
1.
2.
3.
4.
5.
6.
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 12
Załącznik Nr 4
do Polityki Bezpieczeństwa
Sposób przepływu danych pomiędzy poszczególnymi systemami
L.P.
Nazwa zbioru
danych osobowych
Pola informacyjne
Kierunek
powiązania
Program do, którego
następuje powiązanie
Pola informacyjne
1.
2.
3.
4.
5.
6.
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 13
Załącznik Nr 5
do Polityki Bezpieczeństwa
Wójt Gminy Wiązowna
Ul. Lubelska 59
05-462 Wiązowna
Nr ewidencyjny ……………………..
Data nadania: ………………………..
Upoważnienie do przetwarzania danych osobowych (Nadanie / Zmiana / Wycofanie*)
Upoważniam Panią/Pana*
.…………………………………………………………………….
zatrudnioną/ego* w
.…………………………………………………………………….
na stanowisku
.…………………………………………………………………….
do przetwarzania danych osobowych prowadzonych w miejscu zatrudnienia w systemie tradycyjnym
oraz do danych prowadzonych w systemach informatycznym:
……………………………………………………………… identyfikator…………………………
……………………………………………………………… identyfikator…………………………
……………………………………………………………… identyfikator…………………………
(wskazanie kategorii danych, które może przetwarzać określona w upoważnieniu osoba lub rodzaj czynności jakich może dokonywać na
danych osobowych, identyfikatora użytkownika w systemie informatycznym nadaje ABI )
…………………………………………
(podpis i pieczęć Administratora Danych Osobowych)
Oświadczenie Pracownika
Oświadczam, że zapoznałam(łem) się z Polityką bezpieczeństwa przetwarzania danych osobowych,
Instrukcją zarządzania systemem informatycznym oraz przepisami prawa dotyczącymi ochrony danych
osobowych a w szczególności z:
- przepisami ustawy o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135 z późn. zm.) oraz przepisów
wykonawczych wydanych na jej podstawie;
- przepisami Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie
ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.
Zobowiązuje się do dołożenia należytej staranności przy przetwarzaniu danych osobowych oraz:
1. zachowania poufności przetwarzanych danych i zachowania w tajemnicy wiedzy o danych oraz
informacji o ich zabezpieczeniu, również po ustaniu zatrudnienia.
2. zapewnienia bezpieczeństwa przetwarzania danych osobowych poprzez ich ochronę przed
niepowołanym dostępem, nieuzasadnioną modyfikacją lub zniszczeniem, nielegalnym ujawnieniem lub
pozyskaniem.
3. Znana jest mi odpowiedzialność karna za naruszenie w.w . ustawy (art. 49 – 54)
Przyjmuję do wiadomości, że komputery w sieci urzędu są monitorowane pod kątem zainstalowanych
komponentów, kontroli licencji zainstalowanego oprogramowania, czasu użytkowania, drukowanych
dokumentów, używanych programów, przeglądanych stron internetowych.
…………………………………………..
(czytelny podpis pracownika/osoby upoważnionej)
Strona 1 z 1
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 14
Załącznik Nr 6
do Polityki Bezpieczeństwa
Ewidencja osób upoważnionych do przetwarzania danych osobowych
w Urzędzie Gminy Wiązowna
L.P.
Nazwisko i imię
Nr
ewidencyjny
upoważnienia
Wydział /
Referat /
Stanowisko
Data
nadania
wygaśnięcia
1.
2.
3.
4.
5.
6.
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 15
Załącznik Nr 2
do Zarządzenia Wójta Gminy Wiązowna
Nr 21.222.2016
z dnia 24 lutego 2016 r.
INSTRUKCJA ZARZĄDZANIA
SYSTEMEM INFORMATYCZNYM
SŁUŻĄCYM DO PRZETWARZANIA
DANYCH OSOBOWYCH
W URZĘDZIE GMINY WIĄZOWNA
OPRACOWAŁ:
Administrator Bezpieczeństwa Informacji
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 16
Rozdział I
POSTANOWIENIA OGÓLNE
1. Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych
osobowych zwana dalej ,,Instrukcją" określa procedury dotyczące zasad bezpieczeństwa
przetwarzania danych osobowych oraz zasady postępowania administratora danych
osobowych, osób przez niego wyznaczonych i użytkowników przetwarzających dane osobowe
w Urzędzie Gminy Wiązowna.
2. W systemach informatycznych służących do przetwarzania danych osobowych stosuje się
środki bezpieczeństwa na poziomie wysokim.
3. Komputery przenośne (laptopy) mogą być wykorzystywane wyłącznie do zadań związanych
z obowiązkami służbowymi w miejscu pracy, na użycie komputera poza siedzibą Urzędu
Gminy Wiązowna pisemną zgodę wydaje Administrator Bezpieczeństwa Informacji, zwany
dalej „ABI”.
4. Do instalowania systemów operacyjnych oraz wszelkiego rodzaju oprogramowania
uprawniony jest tylko Administrator Systemów Informatycznych zwany dalej ASI,
użytkownikom nie wolno ściągać z internetu ani instalować oprogramowania na własna rękę
nawet jeśli z uzasadnionych powodów posiadają uprawnienia administratora.
5. Na komputerach urzędu może być instalowane tylko i wyłącznie oprogramowanie
dopuszczone do użytkowania przez Wójta Gminy Wiązowna.
Rozdział II
PROCEDURA NADAWANIA, ZMIANY I USUWANIA UPRAWNIEŃ W SYSTEMIE
NFORMATYCZNYM ORAZ WSKAZANIA OSOBY ODPOWIEDZIALNEJ ZA TE
CZYNNOŚCI.
1. Do obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do
przetwarzania danych osobowych, mogą zostać dopuszczone, wyłącznie osoby posiadające
upoważnienie do przetwarzania danych osobowych, wydane przez Administratora Danych
Osobowych, zwanego dalej „ADO” wydane na podstawie załącznika nr 5 do Polityki
Bezpieczeństwa.
2. Naczelnik Wydziału / Kierownik Referatu zgłasza do ABI informację jaka osoba, do jakich
danych i w jakim zakresie ma otrzymać dostęp. ABI przygotowuje upoważnienie na wzorze
załącznika nr 5 do Polityki Bezpieczeństwa. Podpisane przez ADO upoważnienie
przekazywane jest ASI celem nadania uprawnień.
3. Administrator Systemów Informatycznych zakłada identyfikator sieciowy/konto w systemach
informatycznych i przekazuje użytkownikowi login i hasło tymczasowe.
4. Użytkownik przy pierwszym logowaniu zobowiązany jest zmienić hasło na własne zgodnie
z zasadami nadawania haseł opisanych w Rozdziale III niniejszej instrukcji.
5. W przypadku zmiany zakresu lub wycofania uprawnień obowiązuje taka sama procedura jak
w przypadku nadania uprawnień (załącznik nr 5 do Polityki bezpieczeństwa musi być zawsze
wypełniany). Wypełnianie załącznika nie jest konieczne w przypadku nadania uprawnień
terminowych.
6. Karty uprawnień są przechowywane w aktach osobowych pracownika oraz w dokumentacji
ABI.
7. Za wygenerowanie identyfikatora i hasła użytkownikowi, który po raz pierwszy korzysta
z systemu informatycznego, odpowiada ASI.
8. Identyfikator użytkownika nie może być zmieniany, a po wyrejestrowaniu użytkownika
z systemu informatycznego nie może być przydzielany innej osobie.
Rozdział III
STOSOWANE METODY I ŚRODKI UWIERZYTELNIANIA UŻYTKOWNIKA ORAZ
PROCEDURY ZWIĄZANE Z ICH ZARZĄDZANIEM I UŻYTKOWANIEM.
1. Użytkownik uzyskuje dostęp do danych osobowych przetwarzanych w systemie
informatycznym wyłącznie po podaniu identyfikatora i hasła.
2. Identyfikator jest w sposób jednoznaczny przypisany użytkownikowi. Użytkownik jest
odpowiedzialny za wszystkie czynności wykonane przy użyciu swojego identyfikatora.
Strona 2 z 6
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 17
3. Identyfikator składa się minimalnie z 4 znaków, które nie są rozdzielone spacjami ani znakami
interpunkcyjnymi. Identyfikator jest tworzony przy użyciu małych liter, z wyłączeniem
polskich znaków.
4. Użytkownik, z chwilą przystąpienia do pracy w systemie informatycznym, otrzymuje hasło
początkowe i jest zobowiązany zmienić je natychmiast po rozpoczęciu pracy, na sobie tylko
znany ciąg znaków.
5. Hasło składa się co najmniej z 8 znaków.
6. Hasło powinno zawierać małe i wielkie litery oraz cyfry lub znaki specjalne chyba, że system
informatyczny stawia inne wymagania.
7. Systemy informatyczne wyposażone są w mechanizm wymuszający zmianę hasła po upływie
30 dni od dnia ostatniej jego zmiany, jeżeli któryś z systemów nie wymusza zmiany hasła
użytkownik jest zobowiązany do cyklicznej zmiany hasła co 30 dni.
8. Hasło nie może być zapisane w miejscu dostępnym dla osób nieuprawnionych i należy
je zachować w tajemnicy, również po upływie jego ważności.
9. Użytkownik nie może udostępniać osobom nieuprawnionym swojego identyfikatora oraz
hasła. Po uwierzytelnieniu w systemie, użytkownik nie może udostępniać osobom
nieuprawnionym swojego stanowiska pracy.
10. Jeśli istnieje podejrzenie, że hasło mogła poznać osoba nieuprawniona, użytkownik
zobowiązany jest niezwłocznie je zmienić oraz powiadomić o tym fakcie.
Rozdział IV
PROCEDURY ROZPOCZĘCIE, ZAWIESZENIE I ZAKOŃCZENIE PRACY
PRZEZNACZONE DLA UŻYTKOWNIKÓW SYSTEMU.
1. Użytkownik, rozpoczynając pracę na komputerze, loguje się do systemu informatycznego.
2. Dostęp do danych osobowych możliwy jest jedynie po dokonaniu uwierzytelnienia
użytkownika.
3. Maksymalna liczba prób wprowadzenia hasła przy logowaniu się do systemu informatycznego
wynosi 3. Po przekroczeniu tej liczby prób logowania system blokuje dostęp do zbioru danych
na poziomie danego użytkownika. Odblokowania dostępu do zbioru danych może dokonać
administrator systemu informatycznego w porozumieniu z administratorem bezpieczeństwa
informacji.
4. W przypadku braku aktywności użytkownika na komputerze przez czas dłuższy niż 10 minut
należy włączyć automatyczne włączenie wygaszacza ekranu chronionego hasłem.
5. Monitory stanowisk komputerowych, na których przetwarzane są dane osobowe, znajdujące
się w pomieszczeniach, gdzie przebywają osoby, które nie posiadają upoważnień do
przetwarzania danych osobowych, należy ustawić w taki sposób, aby uniemożliwić tym
osobom wgląd w dane albo stosować blokowanie ekranu uniemożliwiające odczyt danych.
6. Przebywanie osób nieuprawnionych w pomieszczeniach znajdujących się na obszarze,
w którym są przetwarzane dane osobowe, jest dopuszczalne tylko w obecności osoby
upoważnionej do ich przetwarzania.
7. Pomieszczenia, w których przetwarzane są dane osobowe, należy zamykać na czas
nieobecności osób upoważnionych, w sposób uniemożliwiający dostęp do nich osobom
nieupoważnionym.
8. Przed opuszczeniem stanowiska pracy użytkownik jest obowiązany:
1) wylogować się z systemu informatycznego albo
2) wywołać blokowany hasłem wygaszacz ekranu.
9. Kończąc pracę użytkownik jest obowiązany:
1) wylogować się z systemu informatycznego, a następnie wyłączyć sprzęt
komputerowy;
2) zabezpieczyć stanowisko pracy.
10. Wszelką dokumentację oraz nośniki magnetyczne i optyczne, na których znajdują się dane
osobowe, przechowuje się w szafach zamykanych na klucz.
Strona 3 z 6
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 18
Rozdział V
PROCEDURY TWORZENIA KOPII ZAPAS OWYCH ZBIORÓW DANYCH ORAZ
PROGRAMÓW I NARZĘDZI PROGRAMOWYCH SŁUŻĄCYCH DO ICH
PRZETWARZANIA.
1. Dane osobowe przetwarzane w systemie informatycznym podlegają zabezpieczeniu, poprzez
tworzenie kopii zapasowych.
2. Za tworzenie kopii zapasowych zbiorów danych osobowych odpowiedzialny jest ASI lub
inna osoba przez niego wyznaczona.
3. Kopie zapasowe zbiorów danych należy okresowo sprawdzać pod kątem ich przydatności do
odtworzenia w przypadku awarii systemu informatycznego. Za przeprowadzanie tej procedury
odpowiedzialny jest ASI.
4. Kopie zapasowe wykonywane są zgodnie z następującym harmonogramem:
1) Kopia na serwerze z systemem EZD wykonywana jest codziennie na dysk wymienny,
zainstalowany na serwerze projektowym EA.
2) Kopie zasobów Wydziałowych wykonywane są codziennie w godzinach nocnych na
dyski przeznaczonego do tego celu serwera kopii danych.
3) Pełna kopia baz danych aplikacji księgowych wykonywana jest codzienni skryptem
linuksowym i przenoszona automatycznie pomiędzy serwerami linuksowymi,
dodatkowo kopie są przenoszone na serwer kopii danych.
4) Kopie baz danych programów Kadrowo-Płacowych wykonywane są przez
uprawnionego pracownika działu kadr i przenoszone na wydzielony zasób wydziału.
Rozdział VI
SPOSÓB, MIEJSCE I OKRES PRZECHOWYWANIA ELEKTRONICZNYCH NOŚNIKÓW
DANYCH ZAWIERAJĄCYCH DANE OSOBOWE ORAZ KOPII ZAPASOWYCH
1. Użytkownicy nie mogą wynosić z terenu jednostki nośników danych z zapisanymi danym
i osobowymi, bez zgody ADO lub ABI.
2. Okresowe kopie zapasowe wykonywane są na dyskietkach, płytach CD, DVD, lub innych
nośnikach danych. Kopie przechowuje się w innych pomieszczeniach niż te, w których
przechowywane są zbiory danych wykorzystywane na bieżąco. Kopie zapasowe przechowuje
się w sposób uniemożliwiający nieuprawnione przejęcie, modyfikacje, uszkodzenie lub
zniszczenie.
3. Dostęp do nośników z kopiami zapasowymi danych osobowych mają wyłącznie administrator
danych, ABI oraz ASI.
4. Usunięcie danych z systemu powinno zostać zrealizowane przy pomocy oprogramowania
przeznaczonego do bezpiecznego usuwania danych z nośnika danych.
5. Za zniszczenie kopii zapasowych sporządzanych indywidualnie przez użytkownika
odpowiada użytkownik.
6. Dane osobowe w postaci elektronicznej należy usuwać z nośnika danych w sposób
uniemożliwiający ich ponowne odtworzenie, nie później niż po upływie 5 dni po
wykorzystaniu tych danych, chyba że z odrębnych przepisów wynika obowiązek ich
przechowywania.
7. Nośniki danych podlegają komisyjnemu zniszczeniu w przypadku wycofania z eksploatacji
sprzętu komputerowego, na którym przetwarzane były dane osobowe, oraz po przeniesieniu
danych osobowych do zbiorów danych w systemie informatycznym z nośników, których
ponowne wykorzystanie nie jest możliwe. Z przeprowadzonych czynności komisja sporządza
protokół.
8. Przez zniszczenie nośników danych należy rozumieć ich trwałe i nieodwracalne zniszczenie
fizyczne do stanu uniemożliwiającego ich rekonstrukcję i odzyskanie danych.
Rozdział VII
SPOSÓB ZABEZPIECZENIASYSTEMU I NFORMATYCZNEGO PRZED DZIAŁANIEM
OPROGRAMOWANIA, KTÓREGO CELEM JEST UZYSKANIE NIEUPRAWNIONEGO
DOSTĘPU DO SYSTEMU INFORMATYCZNEGO.
1. Za ochronę antywirusową systemu informatycznego odpowiada ASI.
Strona 4 z 6
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 19
2. System antywirusowy zainstalowany jest w każdym komputerze z dostępem do danych
osobowych. Ustawienie poziomu bezpieczeństwa i wysyłanie aktualizacji bazy sygnatur
wirusów zarządzane jest centralnie.
3. Programy antywirusowe są uaktywnione przez cały czas pracy każdego komputera w systemie
informatycznym.
4. Wszystkie pliki otrzymywane z zewnątrz, jak również wysyłane na zewnątrz, podlegają
automatycznemu sprawdzeniu przez system antywirusowy pod kątem występowania wirusów,
z zastosowaniem najnowszej dostępnej wersji programu antywirusowego.
5. W przypadku pojawienia się wirusa, użytkownik obowiązany jest zaprzestać wykonywania
jakichkolwiek czynności w systemie i niezwłocznie powiadomić o tym fakcie ASI lub ABI.
6. Niedozwolone jest otwieranie wiadomości poczty elektronicznej i załączników od
,,niezaufanych" nadawców.
7. Niedozwolone
jest
wyłączanie,
blokowanie
i
odinstalowywanie
programów
zabezpieczających komputer przed oprogramowaniem złośliwym oraz nieautoryzowanym
dostępem (skaner antywirusowy, firewall).
8. ASI jest odpowiedzialny za aktywowanie i poprawne konfigurowanie specjalistycznego
oprogramowania monitorującego wymianę danych na styku:
1) sieci lokalnej i rozległej;
2) stanowiska komputerowego użytkownika systemu i pozostałych urządzeń wchodzących
w skład sieci lokalnej.
Rozdział VIII
UDOSTĘPNIANIE DANYCH OSOBOWYCH I SPOSÓB ODNOTOWYWANIA
INFORMACJI O UDOSTĘPNIANIU DANYCH.
1. Dane osobowe przetwarzane w jednostce mogą być udostępnione osobom lub podmiotom
uprawnionym do ich otrzymania, na mocy ustawy o ochronie danych osobowych oraz innych
przepisów powszechnie obowiązujących.
2. Dane osobowe udostępnia się na pisemny, umotywowany wniosek, chyba że przepisy odrębne
stanowią inaczej.
3. Dane udostępnione jednostce przez inny podmiot można wykorzystać wyłącznie zgodnie
z przeznaczeniem, dla którego zostały udostępnione.
4. Administrator danych prowadzi ewidencję udostępnionych danych, która zawiera:
1) numer ewidencyjny wydruku;
2) zakres udostępnionych danych;
3) adresata udostępnionych danych;
4) datę udostępnienia.
5. Odnotowanie informacji powinno nastąpić niezwłocznie po udostępnieniu danych.
Rozdział IX
PROCEDURY WYKONYWANIA PRZEGLĄDÓW I KONSERWACJI SYSTEMU ORAZ
NOŚNIKÓW DANYCH SŁUŻĄCYCH DO PRZETWARZANIA DANYCH.
1. Wszelkie prace związane z naprawami i konserwacją systemu informatycznego
przetwarzającego dane osobowe mogą być wykonywane przez firmy zewnętrzne pod
nadzorem ASI.
2. ASI okresowo sprawdza możliwość odtworzenia danych z kopii zapasowej. Częstotliwość
wykonywania procedury odtwarzania danych jest uzgadniana z administratorem
bezpieczeństwa informacji.
3. Aktualizacja oprogramowania powinna być przeprowadzana zgodnie z zaleceniami
producentów oraz opinią rynkową, co do bezpieczeństwa i stabilności nowych wersji.
4. Za terminowość przeprowadzania przeglądów i konserwacji oraz ich prawidłowy przebieg
odpowiada ASI.
5. Nieprawidłowości w działaniu systemu informatycznego oraz oprogramowania są
niezwłocznie usuwane przez ASI lub firmę zewnętrzną pod nadzorem ASI, a ich przyczyny
analizowane. Zmiana konfiguracji sprzętu komputerowego, na którym znajdują się dane
osobowe lub zmiana jego lokalizacji, może być dokonana tylko za wiedzą i zgodą ABI.
Strona 5 z 6
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 20
Rozdział X
POSTĘPOWANIE W PRZYPADKU NARUSZENIA OCHRONY DANYCH OSOBOWYCH
1. Każdy użytkownik, który stwierdza lub podejrzewa naruszenie ochrony danych w systemie
informatycznym, zobowiązany jest niezwłocznie poinformować o tym ASI.
2. Do czasu przybycia ASI na miejsce naruszenia lub ujawnienia naruszenia ochrony danych
osobowych, należy:
1) niezwłocznie podjąć czynności niezbędne dla powstrzymania niepożądanych skutków
zaistniałego naruszenia, o ile istnieje taka możliwość, a następnie uwzględnić w działaniu
również ustalenie przyczyn lub sprawców naruszenia;
2) rozważyć wstrzymanie bieżącej pracy na komputerze w celu zabezpieczenia miejsca
zdarzenia;
3) zaniechać, o ile to możliwe, dalszych planowanych przedsięwzięć, które wiążą się
z zaistniałym naruszeniem i mogą utrudnić jego udokumentowanie i analizę;
4) udokumentować wstępnie zaistniałe naruszenie;
5) nie opuszczać, bez uzasadnionej potrzeby, miejsca zdarzenia do czasu przybycia ASI lub
ABI.
3. Po przybyciu na miejsce naruszenia lub ujawnienia naruszenia ochrony danych osobowych
ASI:
1) zapoznaje się z zaistniała sytuacją i dokonuje wyboru metody dalszego postępowania;
2) może żądać wyjaśnień dotyczących zaistniałego naruszenia od osoby powiadamiającej
jak również od każdej innej osoby, która może posiadać informacje związane
z zaistniałym naruszeniem;
3) dokonuje zabezpieczenia systemu informatycznego przed dalszym rozprzestrzenianiem
się skutków naruszenia;
4) podejmuje odpowiednie kroki w celu powstrzymania lub ograniczenia dostępu osoby
niepowołanej, zminimalizowania szkód i zabezpieczenia przed usunięciem śladów
naruszenia;
5) rozważa celowość i potrzebę powiadomienia o zaistniałym naruszeniu administratora
danych osobowych.
4. Po wyczerpaniu niezbędnych środków doraźnych, ASI zasięga niezbędnych opinii i proponuje
działania mające na celu usunięcie naruszenia i jego skutków oraz ustosunkowuje się do
kwestii ewentualnego odtworzenia danych z kopii zapasowej i terminu wznowienia
przetwarzania danych.
5. ABI dokumentuje zaistniały przypadek naruszenia oraz sporządza raport, który zawiera
w szczególności:
1) wskazanie osoby powiadamiającej o naruszeniu oraz innych osób, które złożyły
wyjaśnienia w związku z naruszeniem;
2) określenie czasu i miejsca naruszenia oraz powiadomienia o naruszeniu;
3) określenie rodzaju naruszenia i okoliczności mu towarzyszących;
4) wyszczególnienie uwzględnionych przesłanek wyboru metody postępowania i opis
podjętego działania;
5) wstępną ocenę przyczyn wystąpienia naruszenia;
6) ocenę przeprowadzonego postępowania wyjaśniającego i działań podjętych w celu
usunięcia naruszenia i jego skutków.
6. ABI przekazuje raport kierownikowi jednostki w terminie 14 dni od daty zdarzenia.
7. Po przywróceniu prawidłowego funkcjonowania systemu informatycznego, ASI
przeprowadza szczegółową analizę w celu określenia przyczyn naruszenia ochrony danych
osobowych lub podejrzenia takiego naruszenia oraz podejmuje kroki mające na celu
Wyeliminowanie podobnych zdarzeń w przyszłości.
Strona 6 z 6
Id: B921A6AD-3E15-4C34-BBF3-8B0305F8D458. Podpisany
Strona 21