„Twoje dane –Twoja sprawa. Skuteczna ochrona danych osobowych.” GIODO „Twoje dane –Twoja sprawa. Skuteczna ochrona danych osobowych.” Inicjatywa edukacyjna skierowana do uczniów i pracowników szkoły” VIII edycja Programu rok szkolny 2017/2018

Jakie informacje o sobie przekazuję innym/umieszczam…?

Informacje o mnie, których nikt rozpowszechniać: nie powinien nikt rozpowszechniać:

Ile danych zostawiamy … świadomie? Ile danych o sobie i innych przekazujemy nieświadomie?

W świecie wirtualnym też musimy dbać o bezpieczeństwo W świecie wirtualnym też musimy dbać o bezpieczeństwo. Jeśli nie będziemy tego przestrzegać to tak jakbyśmy wychodzili z domu, zostawiając drzwi otwarte. W sieci zostawiamy wiele informacji na swój temat. Jednak udostępniając je, powinniśmy zdawać sobie sprawę z tego, że w ten sposób pozbywamy się części prywatności i powinniśmy mieć świadomość, jak, gdzie i przez kogo nasze dane osobowe będą wykorzystywane. Zanim skorzystamy z dostępnych w sieci usług, powinniśmy czytać dokładnie regulaminy.

Dane osobowe – wyjaśnienie pojęcia Danymi osobowymi - są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości, jeżeli wymagałoby to nadmiernych kosztów, czasu i działań. Danymi osobowymi nie są pojedyncze informacje o dużym stopniu ogólności, np. sama nazwa ulicy i numer domu.

DANE ZWYKŁE PESEL NIP PŁEC Imię i nazwisko ZAWÓD NR TELEFONU NR DOW. OSOBISTEGO ADRES ZAMIESZKANIA PESEL NIP

Dane wrażliwe (sensytywne, szczególnie chronione) pochodzenie rasowe lub etniczne poglądy polityczne przekonania religijne lub filozoficzne przynależność wyznaniowa, partyjna lub związkowa stan zdrowia kod genetyczny nałogi życie seksualne skazania orzeczenia o ukaraniu mandaty, orzeczenia wydane przed sądem lub urzędem

Szkoła jako specyficzny administrator danych: Dostęp do danych osobowych w szkołach posiada wielu pracowników: dyrektor, wicedyrektor, kierownik świetlicy, pracownicy sekretariatu, nauczyciele, pielęgniarka, pedagog, księgowa.

Informacje do których mam dostęp w pracy:

Ustawa o ochronie danych osobowych (UODO) Ochrona danych osobowych osób fizycznych, a zatem danych należących do: uczniów, rodziców, opiekunów prawnych, ale także pracowników szkół, kandydatów do pracy w szkole. Nie ma znaczenia forma przetwarzania danych: elektronicznie czy tradycyjnie (papierowo) Obowiązki nakładane przez UODO są skierowane np. do: szkół (publiczne i prywatne), jednostek samorządu terytorialnego (organy prowadzące), kuratoria oświaty

UODO nie stosuje się np. do: osób fizycznych, które przetwarzają dane tylko w celach osobistych lub domowych, działalności dziennikarskiej, literackiej lub artystycznej, o ile nie narusza się istotnie praw i wolności osoby, której dane dotyczą, umowy międzynarodowej, której stroną jest RP – jeżeli ta umowa stanowi inaczej, istnienia odrębnych ustaw, które odnoszą się do przetwarzania danych, a przewidują dalej idącą ich ochronę, niż wynika to z uodo (stosuje się wówczas przepisy tych ustaw). podmiotów mających siedzibę lub miejsce zamieszkania w państwie trzecim, wykorzystujących środki techniczne znajdujące się na terytorium RP wyłącznie do przekazywania danych osób nieżyjących – ze względu na ochronę powszechnych dóbr osobistych (kult pamięci osoby zmarłej) informacji o przedsiębiorcach w zakresie, osób fizycznych, osób prawnych i jednostek organizacyjnych niebędących osobami prawnymi, jeżeli NIE przetwarzają w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, przetwarzania danych osobowych w zbiorach doraźnych (technicznych, szkoleniowych, w związku z dydaktyką w szkołach wyższych), które po wykorzystaniu podlegają usunięciu /anonimizacji

Przykłady zbiorów danych przetwarzanych przez szkoły: Księga Ewidencji Dzieci w Szkole Podstawowej (coroczna adnotacja o spełnianiu przez dziecko obowiązku szkolnego) Zbiór uczniów szkoły (dane w różnych miejscach: karta zapisu dziecka do szkoły, Księga Ewidencji Uczniów, dziennik lekcyjny, Arkusz Ocen, ewidencja legitymacji szkolnych, dane przetwarzane przez pedagoga) Zbiór danych osób korzystających z biblioteki szkolnej Zbiór ewidencja wejść do placówki Zbiór danych rodziców/opiekunów prawnych uczniów Zbiór dzieci jedzących obiady za darmo

Zbiór danych kadrowo – płacowych. Zbiór kandydatów do pracy. Zbiór skarg i wniosków. Zbiór rejestr korespondencji. Zbiór byłych pracowników – emerytów. Zbiór osób wypożyczających sale w szkole

Przetwarzanie danych osobowych – wyjaśnienie pojęcia Przetwarzanie danych osobowych to wszystkie operacje, jakim poddawane są informacje, w szczególności: zbieranie (gromadzenie) przechowywanie udostępnianie zmienianie przekazywanie utrwalanie opracowywanie usuwanie (niszczenie, modyfikacja).

Jakie są podstawy prawne do przetwarzania danych osobowych? osoba, której dane dotyczą, wyrazi na to ZGODĘ, chyba, że chodzi o usunięcie danych niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą

Przetwarzanie danych jest dopuszczalne przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu sądowym lub administracyjnym jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych.

Prawa osób, których dane są przetwarzane Prawo do informacji i kontroli przetwarzanych danych przysługujące osobie, której dane dotyczą. Prawo do wniesienia sprzeciwu. Prawo zaprzestania przetwarzania danych ze względu na szczególną sytuację osoby. Prawo do poprawiania danych, aktualizacji, żądania wstrzymania ich przetwarzania lub ich usunięcia.

Obowiązki poszczególnych pracowników Dyrektor: Wyznaczenie administratora bezpieczeństwa informacji Prowadzenie dokumentacji ochrony danych osobowych Upoważnienie pracowników do przetwarzania danych Prowadzenie ewidencji osób upoważnionych do przetwarzania danych Zapewnienie niezbędnych (adekwatnych) środków technicznych i organizacyjnych służących do zabezpieczenia danych osobowych Dbanie o podnoszenie świadomości wśród pracowników Rejestracja zbiorów w GIODO 48 Obowiązki poszczególnych pracowników Nauczyciele: Wynoszenie dokumentów/nośników tylko za zgodą administratora danych i pod warunkiem ich zabezpieczenia Dbanie o bezpieczeństwo stanowiska pracy (komputer) np. stosowanie trudnych haseł i ich regularne zmienianie, poufność haseł, zakaz instalowania nielegalnego/podejrzanego oprogramowania, konieczność wylogowywania się/aktywowania wygaszaczy Przesyłanie plików tylko w sposób bezpieczny np. hasłowanie plików, szyfrowane połączenia Obowiązek zachowania danych osobowych w tajemnicy 49 Obowiązki poszczególnych pracowników Wykonywanie kopii zapasowych dla plików zawierających dane osobowe, zapewnienie bezpieczeństwa kopii Zakaz dezaktywowania programów antywirusowych Zakaz wykorzystywania danych osobowych zebranych przez szkołę do celów prywatnych Niszczenie starych/niepotrzebnych dokumentów w niszczarkach.

Obowiązki poszczególnych pracowników Pracownicy sekretariatu: Stosowanie zasady „czystego biurka” np. po wykorzystaniu do bieżącej pracy teczki z danymi, schowanie jej do zamykanej szafy, szczególna uwaga na pojedyncze dokumenty, które mogą zawierać dane osobowe np. faksy, nadesłane CV, korespondencja od rodziców, skargi etc odpowiednie ustawienie monitorów – w sekretariacie często przebywają osoby nieupoważnione do przetwarzania danych Zakaz udostępniania danych przez telefon

Kadry/księgowość: Stosowanie zasady „czystego biurka” np. po wykorzystaniu do bieżącej pracy teczki z danymi, schowanie jej do zamykanej szafy Szczególna uwaga na pojedyncze dokumenty, które mogą zawierać dane osobowe np. nadesłane CV, umowy o pracę, kwestionariusze osobowe Zakaz udostępniania danych przez telefon Szczególna ostrożność przy przetwarzaniu informacji dotyczących wynagrodzeń np. paski wynagrodzeń

zakaz przekazywania informacji na temat pracowników szkoły, uczniów Obowiązki poszczególnych pracowników Osoby sprzątające/ochrona/konserwator/kucharka/pomoc: konieczność uzyskania zgody na przebywanie w obszarze przetwarzania danych osobowych bezwzględny zakaz przetwarzania danych osobowych, zakaz wpuszczania osób postronnych do newralgicznych pomieszczeń np. sekretariat, archiwum, pokój nauczycielski, gabinet pedagoga, dyrektora, wice, sala komputerowa zakaz przekazywania informacji na temat pracowników szkoły, uczniów np. adres, telefon, stan zdrowia, oceny, zachowanie, płace, sprawy pomoc socjalna, np. zakaz o obiadach darmowych…

Obowiązki poszczególnych pracowników Pielęgniarka/pedagog: Zakaz udostępniania danych wrażliwych, chyba że wynika to z obowiązku nałożonego przepisami prawa Szczególna dbałość przy przetwarzaniu danych wrażliwych i ich przechowywaniu. Pielęgniarka może również być pracownikiem np. lokalnego ZOZ, wówczas to ten ZOZ jest administratorem danych

Przykłady udostępniania danych: Udostępnianie danych uczniów innym uczniom np. w celu wysłania kartek świątecznych – tylko pod warunkiem uzyskania zgody (w przypadku niepełnoletności – zgoda rodzica) Udostępnianie danych firmom ubezpieczeniowym – firma taka staje się administratorem danych i może zbierać tylko te dane, na które zezwala jej przepis szczególny oraz te, na które osoba fizyczna wyrazi zgodę Udostępnianie rodzicom danych z dziennika szkolnego – przy zachowaniu poufności tzn. udostępniamy tylko te dane, które dotyczą ich dziecka Udostępnianie list z wynikami w nauce/uzyskanymi stopniami – kodowanie albo udostępnianie przy zachowaniu poufności innych danych Udostępnianie danych osobowych policji, straży miejskiej – na podstawie pisemnego upoważnienia z podaniem podstawy prawnej, a jeśli osobiście to także obowiązek okazania legitymacji Administrator danych może powierzyć innemu podmiotowi przetwarzanie danych w drodze umowy zawartej na piśmie. Podmiot, któremu powierzono dane może przetwarzać je wyłącznie w zakresie i celu przewidzianym w umowie. Podmiot, któremu powierzono dane jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. Rejestracja zbiorów danych osobowych Niektóre zbiory są zwolnione z tego obowiązku cd.: dane przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub prowadzenia sprawozdawczości finansowej, dane powszechnie dostępne, dane osób pozbawionych wolności, dane przetwarzane w zakresie drobnych bieżących spraw życia codziennego (np. księga wejść/wyjść).

Pozyskiwanie danych NAUCZYCIEL/ADMINISTRACJA/ROZPRZĄDZENIA(DZIENNIKI ZAJĘĆ POZALEKCYJNYCH) Do księgę ewidencji dzieci podlegających obowiązkowi szkolnemu wpisuje się - według roku urodzenia, imię (imiona) i nazwisko, datę i miejsce urodzenia, numer PESEL oraz adres zamieszkania dziecka, a także imiona i nazwiska rodziców (prawnych opiekunów) oraz adresy ich zamieszkania Do dziennika zajęć w świetlicy wpisuje się plan pracy świetlicy na dany rok szkolny, imiona i nazwiska uczniów korzystających ze świetlicy oraz klasę, do której uczęszczają, a także tematy przeprowadzonych zajęć, oraz odnotowuje się obecność uczniów na poszczególnych godzinach zajęć Pozyskiwanie danych Do dziennika lekcyjnego wpisuje się w porządku alfabetycznym lub innym ustalonym przez dyrektora szkoły nazwiska i imiona uczniów, daty i miejsca urodzenia oraz adresy ich zamieszkania, imiona i nazwiska rodziców (prawnych opiekunów) i adresy ich zamieszkania, tygodniowy plan zajęć edukacyjnych, a w szkołach dla dorosłych prowadzących kształcenie w formie zaocznej — semestralny plan zajęć edukacyjnych, a także imiona i nazwiska nauczycieli prowadzących poszczególne zajęcia edukacyjne

Warunki przetwarzania danych osobowych Pracownik może przetwarzać dane, tylko i wyłącznie w sytuacji, gdy: posiada pisemne upoważnienie do przetwarzania danych osobowych; jest umieszczony w Ewidencji Osób Upoważnionych do przetwarzania danych; w celu i zakresie wskazanym w upoważnieniu; przez okres na jaki upoważnienie zostało udzielone. Uwaga! Pracownicy upoważnieni do przetwarzania danych osobowych są zobowiązani do ochrony danych zarówno w trakcie trwania zatrudnienia, jak i po jego ustaniu.

Zasady przetwarzania danych Zasada celowości: dane muszą być zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami Zasada adekwatności: dane muszą być merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane Zasada czasowości: dane muszą być przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania

KOMU I KIEDY UDOSTĘPNIAĆ DANE? •nadzór: pedagogiczny i finansowo-administracyjny •udostępnianie arkusza organizacji szkoły (art. 110 ustawy Prawo oświatowe) •Policja (art. 15 ust. 1 pkt 6 ustawy o Policji) •pomoc społeczna (art. 105 ustawy o pomocy społecznej) •art. 4 §1 ustawy o postępowaniu w sprawach nieletnich

Środki techniczne Poziom podstawowy - w systemie informatycznym nie są przetwarzane dane wrażliwe oraz żadne z urządzeń systemu informatycznego, służącego do przetwarzania danych osobowych nie jest połączone z siecią publiczną Poziom podwyższony - w systemie informatycznym przetwarzane są dane wrażliwe oraz żadne z urządzeń systemu informatycznego, służącego do przetwarzania danych osobowych nie jest połączone z siecią publiczną Poziom wysoki - przynajmniej jedno urządzenie systemu informatycznego, służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną Środki techniczne Odrębne identyfikatory dla systemów informatycznych użytkowanych przez 2 lub więcej użytkowników Konieczność uwierzytelnienia do systemu informatycznego Zabezpieczenie systemu informatycznego przed działalnością szkodliwego oprogramowania Zabezpieczenie systemu informatycznego przed awariami w sieci zasilającej Zakaz przekazywania identyfikatora użytkownika, który utracił uprawnienia innemu użytkownikowi Hasła (poziom podstawowy): 6 znaków, zmiana co 30 dni Środki techniczne Odrębne identyfikatory dla systemów informatycznych użytkowanych przez 2 lub więcej użytkowników Hasła (poziom podwyższony i wysoki): 8 znaków zawierających wielkie i małe litery, znaki specjalne lub cyfry; zmiana hasła co 30 dni Wykonywanie kopii zapasowych, bezpieczne ich przechowywanie i niszczenie po ustaniu przydatności Stosowanie kryptograficznych środków ochrony na komputerach przenośnych służących do przetwarzania danych Usuwanie danych osobowych (trwałe) z nośników przeznaczonych do naprawy/likwidacji Środki techniczne Monitorowanie wdrożonych zabezpieczeń Stosowanie środków bezpieczeństwa (fizycznych lub logicznych) w celu ochrony przed zagrożeniami pochodzącymi z sieci publicznej (zabezpieczenie przed nieuprawnionym dostępem) Zabezpieczenia logiczne muszą zapewnić kontrolę przepływu informacji pomiędzy systemem informatycznym administratora danych a siecią publiczną Stosowanie środków kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej

Ocena wyników kontroli przeprowadzonych w szkołach Hasła służące do uwierzytelnienia składały się z mniej niż 8 znaków (poziom podwyższony – dane wrażliwe) Nie zastosowano mechanizmów kontroli dostępu do danych osobowych Nie opracowano dokumentacji przetwarzania danych tj. Polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych lub istniejąca dokumentacja nie zawierała wszystkich istotnych elementów wymaganych przepisami o ochronie danych osobowych Dokumentację zawierającą dane osobowe przechowywano w sposób umożliwiający dostęp do takiej dokumentacji osobom nieupoważnionym, tj. na otwartych regałach, w niezamykanych szafach w pokojach nauczycielskich znajdowały się dzienniki lekcyjne i dzienniki zajęć pozalekcyjnych Wymienione dzienniki były przekazywane uczniom w celu umieszczenia ich w pokojach nauczycielskich

Ocena wyników kontroli przeprowadzonych w szkołach Nieprawidłowości stwierdzono także w dokumentacji zawartej w aktach osobowych pracowników szkół np.: Szkoły jako pracodawcy, pozyskują szerszy zakres danych pracowników niż wynikający z przepisów kodeksu pracy np. nazwisko rodowe matki, czy danych o karalności pracowników obsługi. Obowiązek podania takich danych nie wynika bowiem z odrębnych przepisów Szkoły posiadające takie dane są zobowiązane je usunąć, aby nie naruszać przepisów o ochronie danych osobowych.

Niedozwoloną praktyką jest przechowywanie dokumentacji archiwalnej w innych pomieszczeniach niż archiwum zakładowe np. sekretariatach szkolnych czy gabinetach lekarskich Przechowywanie dokumentacji zawierającej dane osobowe dzieci, które nie zostały przyjęte do szkoły, mimo braku podstaw do dalszego ich przechowywania tj. po osiągnięciu celu dla którego były zbierane – rekrutacji dzieci do szkoły Przechowywanie dzienników lekcyjnych, dzienników zajęć pozalekcyjnych, dzienników zajęć dydaktyczno- wyrównawczych i specjalistycznych, dzienników zajęć świetlicowych, dokumentacji sporządzonej przez pedagoga szkolnego i innej dokumentacji zawierającej dane osobowe na otwartych regałach w sekretariatach szkolnych, jako w pomieszczeniach ogólnie dostępnych

PRZYKŁADY NARUSZEŃ Odczytywanie nośników informacji bez uprzedniego sprawdzenia ich przez program antywirusowy Wyrzucanie płyt i innych nośników informacji bez właściwego ich zniszczenia Dopuszczanie do kopiowania danych niezgodnie z procedurą Dopuszczanie do kopiowania dokumentów bez kontroli nad ich kopią Pozostawianie niezamkniętych pomieszczeń w których przetwarza się dane osobowe (sekretariat, pokój księgowej, pokój nauczycielski) Dopuszczanie osób nieznanych do kontaktu ze sprzętem komputerowym Dopuszczanie do podłączania urządzeń do sieci komputerowej, demontażu gniazd i torów kablowych przez osoby spoza służb informatycznych i telekomunikacyjnych Dopuszczanie osób spoza służb informatycznych i telekomunikacyjnych do przebywania w serwerowni lub innych pomieszczeniach węzłów sieci komputerowej Wynoszenie dokumentów lub nośników zawierających dane osobowe bez wiedzy i zgody administratora danych osobowych (laptopy służbowe, dzienniki itp.) Stosowanie zbyt łatwych haseł, naruszanie zasady zmieniania ich co 30 dni, pozostawianie haseł i loginów w widocznych miejscach Brak nawyku wylogowywania się Brak nawyku szyfrowania przesyłanych plików zawierających ważne dane Pozostawianie w miejscach dostępnych teczek akt osobowych, CV kandydatów do pracy, korespondencji z rodzicami, skarg, faxów zawierających dane osobowe Udostępnianie danych przez telefon Nieodpowiednie ustawienie monitora, w sposób umożliwiający wgląd przez osoby postronne Brak należytej staranności przy przetwarzaniu danych wrażliwych (stan zdrowia, wynagrodzenia, kary )

DZIĘKUJĘ A.D.