Ochrona danych osobowych, a zapewnienie bezpieczeństwa na pływalni w kontekście monitoringu wizyjnego Piotr Glen Administrator Bezpieczeństwa Informacji Specjalista ds. ochrony danych osobowych Audytor systemów zarządzania bezpieczeństwem informacji

PODSTAWOWE DEFINICJE: Administrator danych – to organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych; przetwarzanie danych – jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych;

Dane osobowe Danymi osobowymi są wszelkie informacje dotyczące konkretnej osoby, za pomocą których bez większego wysiłku można tę osobę zidentyfikować, chociaż nie jest ona wyraźnie wskazana. Do danych osobowych zalicza się więc nie tylko imię, nazwisko i adres osoby, ale również przypisane jej numery, dane o cechach fizjologicznych, umysłowych, ekonomicznych, kulturowych i społecznych. Danymi osobowymi nie będą zatem pojedyncze informacje o dużym stopniu ogólności, np. sama nazwa ulicy i numer domu, w którym mieszka wiele osób, czy wysokość wynagrodzenia. Informacja ta będzie jednak stanowić dane osobowe wówczas, gdy zostanie zestawiona z innymi, dodatkowymi informacjami, np. imieniem i nazwiskiem czy numerem PESEL, które w konsekwencji można odnieść do konkretnej osoby.

ZASADY PRZETWARZANIA DANYCH OSOBOWYCH Administrator Danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a co za tym idzie ma on przestrzegać pewnych zasad: zasady legalności – przetwarzać dane zgodnie z prawem, 2. zasady celowości – zbierać dane dla oznaczonych, zgodnych z prawem celów i nie poddawać ich dalszemu przetwarzaniu niezgodnemu z tymi celami, 3. zasady merytorycznej poprawności – chodzi o to, aby były one zgodne z prawdą, pełne, kompletne i aktualne, 4. zasady adekwatności – dbać o adekwatność danych w stosunku do celów, w jakich są przetwarzane, 5. zasady ograniczenia czasowego – przechowywać dane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania. Działania administratora polegające na respektowaniu praw osób, których dane dotyczą, muszą się odznaczać „szczególną starannością”, a więc większą od „zwykłej”, „przeciętnej”, czy nawet „należytej”, o których mowa w Kodeksie Cywilnym.

Na przetwarzanie (rozpowszechnianie) wizerunku wymagana jest zgoda!

Termin „wizerunek” oznacza wytwór niematerialny, który za pomocą środków plastycznych przedstawia rozpoznawalną podobiznę danej osoby. Wizerunek utrwalony może być przez malarski portret, rysunek, fotografię. Wyrok SN z dn. 27.02.2003 r., (sygn. akt: IV CKN 1819/00): "naruszenie prawa do wizerunku osoby fizycznej (art. 23 K.c.) następowałoby wówczas, gdyby opublikowana w prasie bez zgody tej osoby fotografia wykonana była w sposób umożliwiający identyfikację tej osoby". Zezwolenia nie wymaga rozpowszechnianie wizerunku osoby stanowiącej jedynie szczegół całości takiej jak zgromadzenie, krajobraz, publiczna impreza.

Źródło: http://www.plywanie.sosnowiec.pl Radlin i Herby 17-18.02.2012r.

Brak jest przepisów oraz orzecznictwa w zakresie stosowania kamer w miejscu pracy, ale należy brać pod uwagę kilka reguł: nie wolno instalować kamer w miejscach, gdzie można zasadnie oczekiwać zachowania swojej prywatności np. w przebieralni, toalecie; o monitorowaniu należy uprzedzić osoby, które mogą się znaleźć w zasięgu kamer- zasady powinny być określone w odpowiednich regulaminach, instrukcjach; dokonane zapisy (taśmy) mogą być przechowywane jedynie na czas niezbędny dla celów monitorowania i w warunkach zabezpieczających je przed dostępem osób niepowołanych

Kamery w przebieralni na łódzkim basenie http://www. polskatimes System monitoringu w "Wodnym Raju" budzi niepokój klientów pływalni. Pracownicy basenu twierdzą, że kamery obserwują tylko szafki i... nieostrożnych pływaków, którzy zanadto się do nich zbliżą. Jeśli zakładasz właśnie majteczki kąpielowe w przebieralni "Wodnego Raju" w Łodzi, to lepiej nie patrz w górę. Kto spojrzy, może przestraszyć się nie na żarty - zobaczy nad sobą kamerę. A co widzi kamera i kto ogląda przekazywany przez nią obraz? - tym zainteresowała się Fundacja Panoptykon z Warszawy, czyli najbardziej znana w Polsce organizacja zajmująca się przypadkami nadużyć wynikających z coraz bardziej powszechnego stosowania monitoringu. "Prosimy o wskazanie celu, uzasadniającego instalację systemu telewizji przemysłowej o zasięgu obejmującym obszar przebieralni" - napisał Panoptykon we wniosku do Miejskiego Ośrodka Sportu i Rekreacji w Łodzi, czyli właściciela "Wodnego Raju". Panoptykon zainterweniował po sygnale od jednej z użytkowniczek basenu.

OBOWIĄZKI ADMINISTRATORA DANYCH Zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. 2. Prowadzić dokumentację opisującą sposób przetwarzania i ochrony danych. 3. Administrator danych może powołać administratora bezpieczeństwa informacji. W przypadku niepowołania administratora bezpieczeństwa informacji zadania ABI (określone w ustawie) wykonuje administrator danych. 4. Do przetwarzania danych dopuścić wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. 5. Zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. 6. Prowadzić ewidencję osób upoważnionych do ich przetwarzania 7. Prowadzić rejestr/wykaz zbiorów danych.

Pisemne upoważnienie do przetwarzania danych Do przetwarzania danych może być dopuszczona osoba przeszkolona, posiadająca upoważnienie do przetwarzania danych, zobowiązana do zachowania tajemnicy danych osobowych. Pisemne upoważnienie do przetwarzania danych Potwierdzenie przeszkolenia Oświadczenie o znajomości i przestrzeganiu przepisów i zasad ochrony danych oraz zachowaniu tajemnicy danych osobowych

Środki bezpieczeństwa na poziomie wysokim Obszar (pomieszczenia) zabezpiecza się przed dostępem osób nieuprawnionych na czas nieobecności w nim osób upoważnionych do przetwarzania danych osobowych. Przebywanie osób nieuprawnionych w pomieszczeniach jest dopuszczalne za zgodą administratora danych lub w obecności osoby upoważnionej do przetwarzania danych osobowych Przestrzegać zasady „czystego biurka” W systemie informatycznym służącym do przetwarzania danych osobowych stosuje się mechanizmy kontroli dostępu do tych danych - uwierzytelnianie Zabezpieczenie informacji w sposób uniemożliwiający nieuprawnione jej ujawnienie, modyfikacje, usunięcie lub zniszczenie - włączony mechanizm audytowania zdarzeń – historia logów Identyfikacja osób dokonujących wpisu

Identyfikator użytkownika, który utracił uprawnienia do przetwarzania danych, nie może być przydzielony innej osobie. W przypadku, gdy do uwierzytelniania użytkowników używa się hasła, składa się ono co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry lub znaki specjalne. Dane osobowe przetwarzane w systemie informatycznym zabezpiecza się przez wykonywanie kopii zapasowych zbiorów danych oraz programów służących do przetwarzania danych. Osoba użytkująca komputer przenośny zawierający dane osobowe zachowuje szczególną ostrożność podczas jego transportu, przechowywania i użytkowania poza obszarem, w tym stosuje środki ochrony kryptograficznej wobec przetwarzanych danych osobowych. Urządzenia i nośniki zawierające dane osobowe przekazywane poza obszar zabezpiecza się w sposób zapewniający poufność i integralność tych danych. System informatyczny służący do przetwarzania danych osobowych chroni się przed zagrożeniami pochodzącymi z sieci publicznej poprzez wdrożenie fizycznych lub logicznych zabezpieczeń chroniących przed nieuprawnionym dostępem.

Zastosowano środki kryptograficznej ochrony danych dla danych osobowych przekazywanych drogą teletransmisji Zastosowano środki ochrony przed szkodliwym oprogramowaniem takim, jak np. robaki, wirusy, konie trojańskie, rootkity Zastosowano środki zabezpieczające dane przed skutkami awarii i braku zasilania Zainstalowano wygaszacze ekranów na stanowiskach, na których przetwarzane są dane osobowe. Monitory komputerów, na których przetwarzane są dane osobowe ustawione są w sposób uniemożliwiający wgląd osobom postronnym w przetwarzane dane. Zasada korzystania z urządzeń biurowych Kopie zapasowe zbioru danych osobowych przechowywane są w innym pomieszczeniu niż to, w którym znajduje się serwer, na którym dane osobowe przetwarzane są na bieżąco. Osoby zatrudnione przy przetwarzaniu danych zostały zaznajomione z przepisami i procedurami dotyczącymi ochrony danych osobowych.

Za naruszenie ochrony danych osobowych uważa się: nieuprawniony dostęp lub próbę dostępu do danych osobowych lub pomieszczeń, w których się one znajdują naruszenie lub próby naruszenia integralności danych rozumiane jako wszelkie modyfikacje, zniszczenia lub próby ich dokonania przez osoby nieuprawnione lub uprawnione działające w złej wierze lub jako błąd w działaniu osoby uprawnionej (np. zmianę zawartości danych, utratę całości lub części danych), naruszenie lub próby naruszenia integralności systemu zmianę lub utratę danych zapisanych na kopiach zapasowych, naruszenie lub próby naruszenia poufności danych, udostępnienie osobom nieupoważnionym danych osobowych inny stan systemu informatycznego lub pomieszczeń, niż pozostawiony przez użytkownika po zakończeniu pracy. Za naruszenie ochrony danych osobowych uważa się również włamanie do budynku lub pomieszczeń, w których przetwarzane są dane osobowe lub próby takich działań.

Za nieprzestrzeganie przepisów ochrony danych osobowych grozi: ODPOWIEDZIALNOŚĆ ADMINISTRACYJNA ODPOWIEDZIALNOŚĆ DYSCYPLINARNA ODPOWIEDZIALNOŚĆ ODSZKODOWAWCZA ODPOWIEDZIALNOŚĆ KARNA ODPOWIEDZIALNOŚĆ FINANSOWA

PYTANIA,. - MATERIAŁY,. - WSPÓŁPRACA; Piotr Glen specjalista ds PYTANIA, - MATERIAŁY, - WSPÓŁPRACA; Piotr Glen specjalista ds. ochrony danych osobowych tel: 501 639 692 e-mail: piotr.glen@wiknet.net.pl www.wiknet.net.pl