OCHRONA DANYCH OSOBOWYCH NA UCZELNI

Prezentacja na temat: "OCHRONA DANYCH OSOBOWYCH NA UCZELNI"— Zapis prezentacji:

1 OCHRONA DANYCH OSOBOWYCH NA UCZELNI

2 Szkolenie Ochrona danych osobowych
Administrator Bezpieczeństwa Informacji

3 Administrator Bezpieczeństwa Informacji (ABI)
Osoba, która nadzoruje przestrzeganie ochrony danych osobowych, stosując odpowiednie środki techniczne i organizacyjne, które mają zabezpieczyć dane: przed ich udostępnianiem osobom nieupoważnionym, zabraniem przez osoby nieuprawnione, przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem.

4 Akty prawne dotyczące przetwarzania i ochrony danych osobowych:
Konstytucja Rzeczpospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. z 1997 r. Nr 78, poz. 483) Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zmian.) Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536)

5 Akty prawne dotyczące przetwarzania i ochrony danych osobowych:
Konstytucja Rzeczpospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. z 1997 r. Nr 78, poz. 483) Art Każdy ma prawo do życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Art Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jej osoby. 2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym. 3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa. 4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.

6 Dane osobowe – wyjaśnienie pojęcia
Danymi osobowymi - są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości, jeżeli wymagałoby to nadmiernych kosztów, czasu i działań. Danymi osobowymi nie są pojedyncze informacje o dużym stopniu ogólności, np. sama nazwa ulicy i numer domu.

7 Dane osobowe – wyjaśnienie pojęcia
imię nazwisko adres zamieszkania PESEL NIP numer i seria dowodu osobistego wykształcenie zawód płeć numer telefonu Dane zwykłe pochodzenie rasowe lub etniczne poglądy polityczne przekonania religijne lub filozoficzne przynależność wyznaniowa, partyjna lub związkowa stan zdrowia kod genetyczny nałogi życie seksualne skazania orzeczenia o ukaraniu mandaty, orzeczenia wydane przed sądem lub urzędem Dane wrażliwe (sensytywne, szczególnie chronione)

8 Przewarzanie danych osobowych – wyjaśnienie pojęcia
Przetwarzanie danych osobowych to wszystkie operacje, jakim poddawane są informacje, w szczególności: zbieranie (gromadzenie) przechowywanie udostępnianie zmienianie przekazywanie utrwalanie opracowywanie usuwanie (niszczenie, modyfikacja).

9 Gdzie są przetwarzane dane osobowe?
w kartotekach, skorowidzach, księgach, wykazach i w innych zbiorach ewidencyjnych w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych

10 Warunki przetwarzania danych osobowych
Pracownik może przetwarzać dane, tylko i wyłącznie w sytuacji, gdy: posiada pisemne upoważnienie do przetwarzania danych osobowych; jest umieszczony w Ewidencji Osób Upoważnionych do przetwarzania danych; w celu i zakresie wskazanym w upoważnieniu; przez okres na jaki upoważnienie zostało udzielone. Uwaga! Pracownicy upoważnieni do przetwarzania danych osobowych są zobowiązani do ochrony danych zarówno w trakcie trwania zatrudnienia, jak i po jego ustaniu.

11 Jakie są podstawy prawne do przetwarzania danych osobowych?
osoba, której dane dotyczą, wyrazi na to ZGODĘ, chyba, że chodzi o usunięcie danych niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą

12 Prawa osób, których dane są przetwarzane
1. Prawo do informacji i kontroli przetwarzanych danych przysługujące osobie, której dane dotyczą. 2. Prawo do poprawiania danych, aktualizacji, żądania wstrzymania ich przetwarzania lub ich usunięcia. 3. Prawo do wniesienia sprzeciwu. 4. Prawo zaprzestania przetwarzania danych ze względu na szczególną sytuację osoby.

13 Obowiązek informacyjny
adres swojej siedziby i pełnej nazwie administratora cel zbierania danych prawie dostępu do treści swoich danych oraz ich poprawiania dobrowolności albo obowiązku podania swoich danych administratorowi Dane pozyskiwane od osoby, której dotyczą: żądanie zaprzestania przetwarzania danych sprzeciw źródło danych Dane pozyskiwane nie od osoby, której dotyczą:

14 Zasady Bezpieczeństwa Informacji
Pracownik jest zobowiązany zachować poufność przetwarzanych danych oraz sposobów ich zabezpieczenia. Dane można wykorzystywać wyłącznie do celów, dla których zostały udostępnione. Dokumenty zawierające informacje podlegające ochronie powinny być przechowywane na biurku i innych miejscach do tego przeznaczonych, w taki sposób, aby osoba nieuprawniona nie miała do nich dostępu. Nośniki informacji (w formie papierowej i elektronicznej) z danymi podlegającymi ochronie nie można pozostawiać w miejscach ogólnodostępnych i niezabezpieczonych oraz nie należy udostępniać osobom nieupoważnionym. Dokumenty wydrukowane w nadmiernej ilości, a także zawierające błędy lub, które nie są wykorzystywane do żadnych celów należy trwale zniszczyć w sposób uniemożliwiający odtworzenie treści.

15 Zasady Bezpieczeństwa Informacji cd.
Dokumenty zawierające informacje podlegające ochronie, przed wyrzuceniem do kosza należy zanonimizować, w taki sposób, aby nie można było odtworzyć ich treści i zidentyfikować osoby, której dane dotyczą, lub zniszczyć za pomocą niszczarki. Monitor należy usytuować w taki sposób, aby osoby nieupoważnione wchodzące do pomieszczenia nie miały wglądu do danych na nim wyświetlanych. Przed zalogowaniem się do systemu stacji roboczej należy upewnić się, że w pobliżu nie ma osób trzecich lub urządzeń nagrywających mogących zarejestrować hasła dostępowe do systemów, z których zamierzamy skorzystać. Jeśli występuje takie zagrożenie należy zastosować szczególne środki ostrożności uniemożliwiające zarejestrowanie wpisywanego hasła. Oprogramowanie instaluje tylko i wyłącznie administrator systemu informatycznego, nigdy nie należy robić tego samodzielnie.

16 Zasady Bezpieczeństwa Informacji cd.
Używanych identyfikatorów i haseł nie należy udostępniać innym osobom, a w przypadku podejrzenia, że osoba postronna weszła w ich posiadanie, należy dokonać ich zmiany zgodnie z obowiązującymi procedurami. Logowanie do systemu pocztowego przy pomocy internetowej przeglądarki powinno być przeprowadzone na osobistym komputerze, laptopie posiadającym zabezpieczenie antywirusowe. Hasła dostępowe do konta pocztowego, systemów informatycznych należy chronić przed dostępem osób trzecich. Nie zaleca się zapamiętywania ich w przeglądarkach internetowych. Po zakończeniu pracy należy wylogować się ze wszystkich systemów, z których korzystaliśmy. Uczelniany adres konta pocztowego należy udostępniać i wykorzystywać wyłącznie w celach służbowych. Przy wysyłaniu informacji drogą elektroniczną konieczne jest dokładne zweryfikowanie jego adresata oraz treści przesyłanych dokumentów.

17 Zasady Bezpieczeństwa Informacji cd.
Nie należy przesyłać informacji służbowych z wykorzystaniem prywatnych nośników oraz wykorzystywać służbowych urządzeń (tj. komputerów, laptopów, telefonów) do prywatnych celów. W przypadku opuszczania stanowiska pracy należy zastosować systemową blokadę komputera, laptopa lub innego elektronicznego nośnika informacji. Przy opuszczaniu miejsca pracy należy zachować „zasadę czystego biurka” - nośniki informacji umieścić w szafach, szufladach i innych do tego przeznaczonych miejscach oraz upewnić się, że pokój jest zamknięty, gdy jesteśmy jedyną osobą opuszczającą pomieszczenie. Nośniki elektroniczne zawierające informacje podlegające ochronie, poza miejscem pracy należy zabezpieczyć za pomocą środków kryptograficznych. Poza miejscem pracy, szczególnie w miejscach publicznych unikać należy rozmów dotyczących informacji służbowych podlegających ochronie.

18 GIODO Generalny Inspektor Ochrony Danych Osobowych
Organ, który czuwa nad prawem obywateli do ochrony ich danych osobowych: kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, o których mowa w pkt 2, przez stosowanie środków egzekucyjnych przewidzianych w ustawie z dnia 17 czerwca r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2005 r., Nr 229, poz z późn. zm.) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. Generalny Inspektor Ochrony Danych Osobowych Ul. Stawki 2 00 – 193 Warszawa

19 Obowiązki Administratora danych
Obowiązek prowadzenia dokumentacji Ochrona danych osobowych w placówce oświatowej 2014

20 Zabezpieczenia – art. 36 – 39a
Art Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. 2. Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, o których mowa w ust. 1. 3. Administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba, że sam wykonuje te czynności. Ważne: Wyrok WSA w Warszawie z 5 lipca 2012 r., sygn. akt II SA/Wa 630/12 ….. w każdej sytuacji, w której struktura organizacyjna administratora danych jest wieloosobowa, powinien on w ramach tej struktury wyznaczyć osobę fizyczną odpowiedzialną za wykonywanie czynności nadzorczych, powierzając jej obowiązki administratora bezpieczeństwa informacji, i to niezależnie od tego, czy administrator danych jest organem, jednostką organizacyjną, podmiotem czy osobą prawną. Ochrona danych osobowych w placówce oświatowej 2014

21 Zabezpieczenia – art. 36 – 39a
Art. 37 Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Art. 38 Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Art Administrator danych prowadzi ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać: 1) imię i nazwisko osoby upoważnionej, 2) datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych, 3) identyfikator, jeżeli dane są przetwarzane w systemie informatycznym. 2. Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Ochrona danych osobowych w placówce oświatowej 2014

22 Zabezpieczenia – art. 36 – 39a
Art. 39a Minister właściwy do spraw administracji publicznej w porozumieniu z ministrem właściwym do spraw informatyzacji określi, w drodze rozporządzenia, sposób prowadzenia i zakres dokumentacji, o której mowa w art. 36 ust. 2, oraz podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, uwzględniając zapewnienie ochrony przetwarzanych danych osobowych odpowiedniej do zagrożeń oraz kategorii danych objętych ochroną, a także wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzanych danych. Ochrona danych osobowych w placówce oświatowej 2014

23 Rozporządzenie - dokumentacja
§ 1 Rozporządzenie określa: sposób prowadzenia i zakres dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną; … § 3 Na dokumentację, o której mowa w § 1 pkt 1, składa się polityka bezpieczeństwa i instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, zwana dalej „instrukcją". Dokumentację, o której mowa w § 1 pkt 1, prowadzi się w formie pisemnej. Dokumentację, o której mowa w § 1 pkt 1, wdraża administrator danych. Ochrona danych osobowych w placówce oświatowej 2014

24 Schemat dokumentacji PODSTAWY PRAWNE, ZASADY PRZETWARZANIA DANYCH
ZAGROŻENIA , POSTĘPOWANIE W SYTUACJI NARUSZENIA BEZPIECZEŃSTWA POLITYKA BEZPIECZEŃSTWA wykazy przetwarzanych zasobów środki organizacyjne środki techniczne INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM Ochrona danych osobowych w placówce oświatowej 2014

25 Polityka bezpieczeństwa
Polityka bezpieczeństwa, o której mowa w § 3 ust. 1 Rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) – art. 39a ustawy, zawiera w szczególności: wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposób przepływu danych pomiędzy poszczególnymi systemami; określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. Ochrona danych osobowych w placówce oświatowej 2014

26 Instrukcja systemu informatycznego
Instrukcja, o której mowa w § 3 ust. 1 Rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) – art. 39a ustawy, zawiera w szczególności: procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu; procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; Ochrona danych osobowych w placówce oświatowej 2014

27 Instrukcja systemu informatycznego
Instrukcja, o której mowa w § 3 ust. 1 Rozporządzenia w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024) – art. 39a ustawy, zawiera w szczególności: sposób, miejsce i okres przechowywania: elektronicznych nośników informacji zawierających dane osobowe, kopii zapasowych, o których mowa w pkt 4, sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, o którym mowa w pkt III ppkt 1 załącznika do rozporządzenia; sposób realizacji wymogów, o których mowa w § 7 ust. 1 pkt 4; procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. Ochrona danych osobowych w placówce oświatowej 2014

28 Powierzenie przetwarzania
Powierzenie przetwarzania danych osobowych Ochrona danych osobowych w placówce oświatowej 2014

29 Powierzenie przetwarzania
Art Administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. 2. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. 3. Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art , oraz spełnić wymagania określone w przepisach, o których mowa w art.39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych. 4. W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową. 5. Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art Ochrona danych osobowych w placówce oświatowej 2014

30 Obowiązki Administratora danych
Zgłaszanie zbiorów do ogólnokrajowego jawnego rejestru danych osobowych Ochrona danych osobowych w placówce oświatowej 2014

31 Zbiory osobowe w placówkach
Zbiór danych - każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów Uczniowie Pracownicy Klienci Rekrutacja Dziennik Wycieczki Pomoc PPP … Kadry i płace ZUS SIO Komisja socjalna … Najem sal Faktury Przelewy Księgowość … Ochrona danych osobowych w placówce oświatowej 2014

32 Zgłoszenia zbiorów – art. 40, 41
Art. 40 Administrator danych jest obowiązany zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1. Art Zgłoszenie zbioru danych do rejestracji powinno zawierać: 1) wniosek o wpisanie zbioru do rejestru zbiorów danych osobowych, 2) oznaczenie podmiotu prowadzącego zbiór i adres jego siedziby lub miejsca zamieszkania, w tym numer identyfikacyjny rejestru podmiotów gospodarki narodowej, jeśli został mu nadany, oraz podstawę prawną upoważniającą do prowadzenia zbioru, a w przypadku podmiotu, o którym mowa w art. 31a, oznaczenie tego podmiotu i adres jego siedziby lub miejsce zamieszkania, 3) cel przetwarzania danych, 3a) opis kategorii osób, których dane dotyczą, oraz zakres przetwarzanych danych, Ochrona danych osobowych w placówce oświatowej 2014

33 Zgłoszenia zbiorów – art. 40, 41
Art Zgłoszenie zbioru danych do rejestracji powinno zawierać: 4) sposób zbierania oraz udostępniania danych, 4a) informację o odbiorcach lub kategoriach odbiorców, którym dane mogą być przekazywane, 5) opis środków technicznych i organizacyjnych zastosowanych w celach określonych w art , 6) informację o sposobie wypełnienia warunków technicznych i organizacyjnych, określonych w przepisach, o których mowa w art. 39a, 7) informację dotyczącą ewentualnego przekazywania danych do państwa trzeciego. Art Administrator danych jest obowiązany zgłaszać Generalnemu Inspektorowi każdą zmianę informacji, o której mowa w ust. 1, w terminie 30 dni od dnia dokonania zmiany w zbiorze danych. Do zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów danych. Ochrona danych osobowych w placówce oświatowej 2014

34 Rejestr zbiorów – art. 42 Art Generalny Inspektor prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych. Rejestr powinien zawierać informacje, o których mowa w art. 41 ust. 1 pkt 1-4a i Każdy ma prawo przeglądać rejestr, o którym mowa w ust Na żądanie administratora danych może być wydane zaświadczenie o zarejestrowaniu zgłoszonego przez niego zbioru danych, z zastrzeżeniem ust Generalny Inspektor wydaje administratorowi danych, o których mowa w art. 27 ust. 1, zaświadczenie o zarejestrowaniu zbioru danych niezwłocznie po dokonaniu rejestracji. Ochrona danych osobowych w placówce oświatowej 2014

35 Zwolnienia zgłoszeń – art. 43
Art Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych: 1) zawierających informacje niejawne, 1a) które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych do tych czynności, 2) przetwarzanych przez właściwe organy dla potrzeb postępowania sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym, 2a) przetwarzanych przez Generalnego Inspektora Informacji Finansowej, 2b) przetwarzanych przez właściwe organy na potrzeby udziału Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz Systemie Informacji Wizowej, Ochrona danych osobowych w placówce oświatowej 2014

36 Zwolnienia zgłoszeń – art. 43
3) dotyczących osób należących do kościoła lub innego związku wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby tego kościoła lub związku wyznaniowego, 4) przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług na podstawie umów cywilnoprawnych, a także dotyczących osób u nich zrzeszonych lub uczących się, … Ochrona danych osobowych w placówce oświatowej 2014

37 Zasady organizacyjne ABI (projekt)
Art. 36a ustawy o ochronie danych osobowych. Administrator danych może powołać administratora bezpieczeństwa informacji. Do zadań administratora bezpieczeństwa informacji należy: zapewnienie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych, zapewnienie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych, prowadzenie jawnego rejestru zbiorów danych przetwarzanych przez administratora danych, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2–4a i 7 Ochrona danych osobowych w placówce oświatowej 2014

38 Zasady organizacyjne ABI (projekt)
Administrator danych może powierzyć administratorowi bezpieczeństwa informacji wykonywanie innych obowiązków, jeżeli nie naruszy to prawidłowego wykonywania zadań, o których mowa w ust. 2. Administratorem bezpieczeństwa informacji może być osoba, która: ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych, posiada odpowiednią wiedzę w zakresie ochrony danych osobowych, nie była karana za przestępstwo popełnione z winy umyślnej. Administrator danych może powołać zastępców administratora bezpieczeństwa informacji, którzy spełniają warunki określone w ust. 4. Administrator bezpieczeństwa informacji podlega bezpośrednio kierownikowi jednostki organizacyjnej lub osobie fizycznej będącej administratorem danych, którzy zapewniają środki i organizacyjną odrębność administratora bezpieczeństwa informacji niezbędne do niezależnego wykonywania przez administratora bezpieczeństwa informacji zadań, o których mowa w ust. 2. Minister właściwy do spraw administracji publicznej określi, w drodze rozporządzenia zadania ABI. Ochrona danych osobowych w placówce oświatowej 2014

39 Zadania ABI (projekt) ROZPORZĄDZENIE MINISTRA ADMINISTRACJI I CYFRYZACJI w sprawie trybu i sposobu realizacji zadań przez administratora bezpieczeństwa informacji (streszczenie projektu) Sprawdzenie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, następuje: gdy zwróci się o to Generalny Inspektor Ochrony Danych Osobowych, cyklicznie na podstawie rocznego programu sprawdzeń, opracowanego przez ABI i przedłożonego do zatwierdzenia ADO (do końca roku poprzedzającego), doraźnie, jeżeli ABI uzyska informacje wskazujące na występowanie istotnych zagrożeń naruszenia ochrony danych osobowych, w szczególności bezpieczeństwa tych danych. Zakres sprawdzenia określa § 6 rozporządzenia. Po przeprowadzeniu sprawdzenia w terminie 14 dni ABI opracowuje sprawozdanie dla administratora danych z przeprowadzonego sprawdzenia, a jeżeli zwrócił się o nie GIODO, kopia trafia również do GIODO. Ochrona danych osobowych w placówce oświatowej 2014

40 Zadania ABI, cd (projekt)
ROZPORZĄDZENIE MINISTRA ADMINISTRACJI I CYFRYZACJI w sprawie trybu i sposobu realizacji zadań przez administratora bezpieczeństwa informacji (streszczenie projektu) ABI monitoruje na bieżąco zaplanowane procesy przetwarzania danych osobowych w celu stwierdzenia konieczności opracowania dokumentacji w tym zakresie. ABI nadzoruje opracowanie dokumentacji i przestrzeganie zasad w niej określonych ABI monitoruje na bieżąco aktualność dokumentacji. Aktualizacja powinna być wykonana w terminie 7 dni od dnia wystąpienia zmiany stanu faktycznego w procesie przetwarzania danych osobowych. ADO przedstawia ABI dokumentację. ABI wnosi na piśmie uwagi lub zastrzeżenia. W przypadku stwierdzenia naruszenia zasad określonych w dokumentacji, ABI sporządza raport zawierający zakres naruszenia oraz propozycje sposobu jego usunięcia i przedstawia go ADO. Ochrona danych osobowych w placówce oświatowej 2014

41 Sankcje karne Sankcje karne nieprzestrzegania przepisów ustawy o ochronie danych osobowych Ochrona danych osobowych w placówce oświatowej 2014

42 Sankcje karne Art. 12. Do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy: 1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, 3) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach, 4) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, 5) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, 6) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. Ochrona danych osobowych w placówce oświatowej 2014

43 Sankcje karne Art. 14. W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2, Generalny Inspektor, zastępca Generalnego Inspektora lub upoważnieni przez niego pracownicy Biura, zwani dalej „inspektorami”, mają prawo: 1) wstępu, w godzinach od 6°° do 22°°, za okazaniem imiennego upoważnienia i legitymacji służbowej, do pomieszczenia, w którym zlokalizowany jest zbiór danych, oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą, 2) żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego, 3) wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii, 4) przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych, 5) zlecać sporządzanie ekspertyz i opinii. Ochrona danych osobowych w placówce oświatowej 2014

44 Sankcje karne Art Kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Jeżeli czyn określony w ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3. Ochrona danych osobowych w placówce oświatowej 2014

45 Sankcje karne Art. 50. Kto administrując zbiorem danych przechowuje w zbiorze dane osobowe niezgodnie z celem utworzenia zbioru, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Ochrona danych osobowych w placówce oświatowej 2014

46 Sankcje karne Art. 52. Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 53. Kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 54. Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Ochrona danych osobowych w placówce oświatowej 2014

47 Zmiany w ustawie, od 01.01.2015 r. Stan obecny Po zmianach
Konieczność powołania ABI Możliwość powołania Administratora bezpieczeństwa informacji (ABI) Brak regulacji Szczegółowe regulacje organizacyjne dot. powołania, odwołania ABI określono wprost w ustawie Administrator danych osobowych ADO, który nie powołał ABI musi sam nadzorować prowadzenie i aktualizację dokumentacji oraz zapewnić szkolenia ADO, który powołał ABI nie nadzoruje dokumentacji oraz nie musi zapewnić szkoleń (te zadania przejmuje ABI). ABI przeprowadza dla ADO tzw. Sprawdzania/kontrole, zgodnie z ustalonym/rocznym harmonogramem, zakończone sprawozdaniem. ABI może dokonywać sprawdzenia w placówce na polecenie GIODO (GIODO może też sam kontrolować). Sprawozdanie trafia do GIODO, jeśli sprawdzenie zlecił GIODO. Prowadzenie rejestru ABI przez GIODO Ochrona danych osobowych w placówce oświatowej 2014

48 Zmiany w ustawie, od 01.01.2015 r. Stan obecny Po zmianach
Art – lista zwolnień Dodatkowe zwolnienie. Nie zgłasza się zbiorów przetwarzanych papierowo, z wyjątkiem zbiorów zawierających dane wrażliwe Dodatkowe zwolnienie dla ADO, którzy powołali ABI. Nie zgłasza się zbiorów przetwarzanych elektronicznie, z wyjątkiem zbiorów zawierających dane wrażliwe (art u.o.d.o) Art.48 – nieprecyzyjny Doprecyzowanie zasad przekazywania danych do państwa trzeciego Przepis przejściowy ABI powołany na podstawie obecnych przepisów może pełnić funkcję do czasu zgłoszenia go do GIODO, nie dłużej jednak niż do Do postępowań rejestracyjnych nie zakończonych przed r. mają zastosowanie dotychczasowe przepisy Brak zadań ABI Szczegółowe rozporządzenie określające zadania ABI Brak zasad organizacyjnych dla ABI Zasady organizacyjne dla ABI określone zostały wprost w ustawie Ochrona danych osobowych w placówce oświatowej 2014

49 Dziękuję za uwagę mgr Artur KUREK