Szkolenie w zakresie ochrony danych osobowych Akademia Podlaska 18-19.06.2008

Plan szkolenia Wprowadzenie Definicje Prawa i obowiązki Interpretacje prawne Zabezpieczenia Audyt Podsumowanie

Wprowadzenie – przepisy prawne ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych

Wprowadzenie – odpowiedzialność ABI nadzór nad przestrzeganiem zasad ochrony danych osobowych wydawanie pracownikom uczelni upoważnień do przetwarzania danych osobowych prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych opiniowanie wniosków o udostępnienie innym podmiotom danych osobowych przetwarzanych w AP przygotowanie wniosków zgłoszeń rejestracyjnych i aktualizacyjnych zbiorów danych oraz prowadzenia innej korespondencji z Generalnym Inspektorem Ochrony Danych Osobowych prowadzenie dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych udzielanie informacji pracownikom uczelni z zakresu ochrony danych osobowych wykonywanie audytów

Definicje dane osobowe – rozumie się przez to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej przetwarzanie – rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych

Wybrane obowiązki pracownika Przetwarzanie danych osobowych może być wykonywane wyłącznie przez osoby do tego upoważnione Osoba upoważniona do przetwarzania danych osobowych ma prawo przetwarzać tylko te dane, do których uzyskała upoważnienie Kierownik jednostki organizacyjnej ma obowiązek zapewnić pracownikom swojego działu, przetwarzającym dane osobowe w systemach informatycznych, odpowiednie stanowiska pracy umożliwiające przetwarzanie danych osobowych zgodnie z zapisami instrukcji

Wybrane obowiązki pracownika – c.d. Pracownik przetwarzający dane osobowe w sposób tradycyjny zobowiązany jest zabezpieczyć dane osobowe poprzez umieszczenie ich w szafkach zamykanych na klucz Na czas nieobecności pracownika w miejscu pracy, zobowiązany jest on do zastosowania dostępnych środków ochrony fizycznej pomieszczeń Dane osobowe, dla których ustał cel przetwarzania podlegają obowiązkowi usunięcia

Wybrane obowiązki pracownika – c.d. Każda osoba odpowiedzialna za wdrożenie systemu informatycznego, w którym przetwarzane są dane osobowe, zobowiązana jest do poinformowania o tym fakcie ABI Pracownicy portierni mogą wydać klucz do pokoju tylko osobom upoważnionym do przebywania w nim Przetwarzanie danych osobowych, choć ich przetwarzanie nie jest dopuszczalne albo przetwarzanie danych osobowych przez osobę nieuprawnioną skutkuje konsekwencjami określonymi w art. 49 ustawy

Prawa pracownika Pracownicy uczelni mają prawo zgłaszania propozycji zmian obowiązujących zapisów polityki oraz instrukcji

Interpretacje prawne dotyczące uczelni Wyniki postępowania rekrutacyjnego mogą być opublikowane na tablicach ogłoszeniowych w budynkach uczelni. Niedopuszczalne jest publikowanie tych wyników w sieci Internet Niedozwolone jest publikowanie danych osobowych osób uczących się w uczelni w zakresie: imię, nazwisko, ocena z przedmiotu. Informacje te mogą być jednak opublikowane zastępując imię i nazwisko osoby uczącej się jej numerem indeksu Informacje o przyznanych stypendiach naukowych i socjalnych oraz przyznaniu miejsca w domach studenckich mogą być opublikowane pod warunkiem identyfikacji osoby uczącej się za pomocą numeru indeksu

Zabezpieczenia Każdy dokument zawierający dane osobowe przeznaczony do zniszczenia powinien być zniszczony w sposób uniemożliwiający jego odczytanie (np. przy pomocy niszczarki dokumentów). Urządzenia wchodzące w skład systemu informatycznego winny być zabezpieczone na wypadek zaniku napięcia albo awarii w sieci zasilającej poprzez podłączenie UPS Sieć lokalna winna być podłączona do Internetu za pomocą firewalla Kopie zapasowe winny być przechowywane na nośnikach zewnętrznych lub na komputerach, nie zawierających danych osobowych wchodzących w skład kopii Na wszystkich komputerach zawierających dane osobowe muszą być zainstalowane programy antywirusowe.

Zabezpieczenia wygaszanie ekranu w przypadku dłuższej nieaktywności użytkownika komputer z którego możliwy jest dostęp do danych osobowych winien być zabezpieczony hasłem katalogi plików z danymi osobowymi nie mogą być dostępne w sieci lokalnej zdefiniować użytkowników i prawa dostępu stosować mechanizm wymuszający okresową zmianę haseł dostępu do systemu operacyjnego

Zabezpieczenia Hasło obowiązuje 30 dni i zmienia je użytkownik zgodnie z nałożonymi wymaganiami Należy ustawić ekrany monitorów w pomieszczeniach tak, aby uniemożliwić podgląd przez osoby nieuprawnione Wygaszacze ekranów zabezpiecza się hasłami Nośniki informacji, w tym wydruki komputerowe przechowuje się w wyznaczonych pomieszczeniach, szafach i innych meblach biurowych, które posiadają odpowiednie zamknięcia, uniemożliwiające dostęp do nich przez osoby trzecie Dane osobowe mogą być przesyłane elektronicznie tylko w formie zaszyfrowanej

Audyt Celem audytu jest ustalenie stanu faktycznego w zakresie przestrzegania przez audytowanego pracownika uczelni przepisów polityki i instrukcji oraz udokumentowania dokonanych ustaleń Podczas kontroli, audytor zwraca szczególną uwagę na: przesłanki legalności przetwarzania danych osobowych, przesłanki legalności przetwarzania danych szczególnie chronionych, zakres i cel przetwarzania danych, merytoryczną poprawność danych i ich adekwatność do celu przetwarzania, obowiązek informacyjny, powierzenie przetwarzania danych osobowych, zabezpieczenie danych

Podsumowanie ogłoszenia kontakt: http://www.abi.ap.siedlce.pl jaroslaw@skaruz.com

Dziękuję za uwagę