RODO

Estate Center spółka z ograniczoną odpowiedzialnością
ul. Zwierzyniecka 28F/U14 , 60-815 Poznań

1. Definicje

1.1. Dane osobowe – oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię
i nazwisko, numer identyfikacyjny taki jak numer PESEL, numer telefonu, dane o lokalizacji, identyfikator internetowy taki jak adres IP, adres e-mail lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej, w tym również jej adres zamieszkania.
1.2. Atrybuty bezpieczeństwa:
● Poufność – zapewnienia, że dane osobowe są udostępniane jedynie osobom upoważnionym
● Integralność – zapewnienie zupełnej dokładności i kompletności danych osobowych oraz metod ich przetwarzania.
● Dostępność – zapewnienia, że osoby upoważnione mają dostęp do danych osobowych tylko wtedy, gdy istnieje taka potrzeba.
1.3. Naruszenie ochrony danych osobowych – oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
1.4. Administrator Danych Osobowych (ADO) – oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii Europejskiej lub w prawie państwa członkowskiego, to również w prawie Unii Europejskiej lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;
1.5. Pseudonimizacja – oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;
1.6. Dane biometryczne – oznaczają dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;
1.7. Nośnik danych – wszelkie przedmioty fizyczne na których możliwe jest zapisanie informacji, w tym danych osobowych (np. pendrive, dyski, karty magnetyczne);
1.8. Ograniczenie przetwarzania – oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania;
1.9. Przetwarzanie – oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
1.10. Profilowanie – oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;
1.11. Personel – osoby zatrudnione na podstawie stosunku pracy, umów cywilnoprawnych (umowa o dzieło, umowa zlecenia), przedsiębiorcy wykonujący działalność osobiście i jednoosobowo, osoby odbywające praktyki, stażyści, osoby skierowane do pracy
w ramach umów z agencjami pracy tymczasowej wykonujące prace związane
z przetwarzaniem danych osobowych u Administratora Danych Osobowych;
1.12. System Informatyczny Administratora Danych Osobowych – rozumie się przez to sprzęt komputerowy, oprogramowanie, dane eksploatowane w zespole współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych; w systemie tym pracuje co najmniej jeden komputer centralny i system ten tworzy sieć teleinformatyczną ADO;
1.13. Szacowanie ryzyka – proces identyfikowania, analizowania i oceniania ryzyka;
1.14. Teczka Ochrony Danych Osobowych (ODO) – zbiór dokumentów, instrukcji, regulaminów, załączników opisujących sposób przetwarzania i ochrony danych, składający się na politykę ochrony danych osobowych, gromadzonych i nadzorowanych przez ADO.
1.15. Wykaz skrótów:
● Administrator lub ADO – Administrator Danych Osobowych tj. Estate Center spółka z ograniczoną odpowiedzialnością, adres siedziby: ul. Gajowa 1A, 60-815 Poznań,
● UODO – Urząd Ochrony Danych Osobowych – organ powołany do spraw ochrony danych osobowych,
● RODO- ROZPORZĄDZENIU PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.
● Polityka – niniejsza Polityka Ochrony Danych Osobowych

2. Wprowadzenie

2.1. Zgodnie z art. 32 RODO (Sekcja 2 „Bezpieczeństwo danych osobowych”) Administrator wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa danych osobowych odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych.
2.2. Podczas doboru środków technicznych i organizacyjnych uwzględnia się charakter, zakres, kontekst i cele przetwarzania danych osobowych.
2.3. Środki, o których mowa powyżej, obejmują wdrożenie przez Administratora odpowiednich polityk ochrony danych.
2.4. Celem niniejszej polityki ochrony danych osobowych jest zapewnienie odpowiedniego poziomu bezpieczeństwa przetwarzanych danych, tak aby zapobiegać przypadkowemu lub niezgodnemu z prawem zniszczeniu, utraceniu, zmodyfikowaniu, nieuprawnionemu ujawnieniu lub nieuprawnionemu dostępowi do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
2.5. Polityka zatwierdzana jest przez osobę upoważnioną do reprezentowania Administratora – Estate Center sp. z o.o. i podawana do wiadomości jako dokument do użytku wewnętrznego Administratora.
2.6. Obowiązki określone w Polityce mają zastosowanie odpowiednio dla wszystkich:
● Danych osobowych przetwarzanych przez Administratora, zarówno
w przypadku, gdy jest on administratorem, jak i w sytuacji, gdy przetwarza dane w imieniu innego administratora tj. gdy pełni funkcję podmiotu przetwarzającego
● Danych osobowych przetwarzanych bez względu na rodzaj użytego nośnika (zarówno w postaci dokumentacji papierowej, jak i w formie elektronicznej)
● Lokalizacji Administratora, w których dane osobowe są przetwarzane.
● Personelu Administratora.
2.7. Polityka powinna być poddawana regularnym przeglądom nie rzadziej niż raz do roku tak, aby pozostawała przydatna, adekwatna i skuteczna.
2.8. Naruszenia przepisów dotyczących obowiązków Administratora związanych
z bezpieczeństwem danych osobowych podlegają zgodnie z art. 83 RODO administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
2.9. Naruszenie obowiązków wynikających z niniejszej polityki oraz przepisów
o ochronie danych osobowych może być uznane za ciężkie naruszenie obowiązków pracowniczych, podlegające sankcjom dyscyplinarnym oraz karnym.

3. Obowiązki w zakresie ochrony danych osobowych

3.1. Obowiązki Administratora obejmują:
3.1.1. Zapewnienie środków technicznych i organizacyjnych, aby osiągnąć odpowiedni stopień bezpieczeństwa przetwarzanych danych
3.1.2. Wdrożenie procedur organizacyjnych, w zakresie następujących zasad:
● zgodności z prawem – dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby której dane dotyczą (legalizm).
● ograniczenia celu przetwarzania – dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (minimalizacja).
● minimalizacji danych – dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów,
w których są przetwarzane (adekwatność).
● prawidłowości danych – dane osobowe muszą być prawidłowe
i w razie potrzeby uaktualniane. Należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (prawidłowość).
● ograniczenia przetwarzanych danych – dane osobowe muszą być przechowywane w formie umożliwiającej identyfikacje osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane (czasowość).
● poufności i integralności danych – dane osobowe muszą być przetwarzanie w sposób zapewniający odpowiednie bezpieczeństwo w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (bezpieczeństwo).
● rozliczalności – Administrator jest odpowiedzialny za przestrzeganie powyższych zasad i musi być w stanie wykazać ich przestrzeganie.
3.1.3. Wdrożenie procedur organizacyjnych w zakresie respektowanie praw osób, których dane dotyczą w zakresie:
● prawa dostępu do danych
● prawa do sprostowania danych
● prawa do usunięcia danych
● prawa do ograniczenia przetwarzania
● obowiązku powiadomienia odbiorców o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania.
● prawa do przenoszenia danych
● prawa do sprzeciwu
● zautomatyzowanym podejmowanie decyzji, w tym profilowaniu
● prawa do uzyskania informacji o:
❖ administratorze
❖ inspektorze Ochrony Danych Osobowych – gdy ma to zastosowanie
❖ celu przetwarzania danych osobowych oraz podstawie prawnej przetwarzania
❖ prawnie uzasadnionych interesach realizowanych przez ADO lub przez stronę trzecią
❖ odbiorcach danych osobowych lub kategoriach odbiorców, jeżeli istnieją
❖ zamiarze przekazania danych osobowych do państwa trzeciego – gdy ma to zastosowanie,
❖ okresie, przez który dane osobowe są przechowywane
❖ informacji o prawie do żądania od ADO dostępu do danych
❖ informacji o prawie do cofnięcia zgody
w dowolnym momencie
❖ informacji o prawie wniesienia skargi do UODO,
❖ Informacji czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest obowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych
❖ informacji o zautomatyzowanym podejmowaniu decyzji w tym o profilowaniu
3.1.4. Wdrożenie procedury uwzględnienia ochrony danych osobowych
w fazie projektowania oraz stosowanie domyślnej ochrony danych osobowych.
3.1.5. Wdrożenie procedury zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu (UODO) oraz zawiadomienia osoby, której dane dotyczą o naruszeniu ochrony danych osobowych.
3.1.6. Wdrożenie procedury wykonywania oceny skutków dla ochrony danych osobowych oraz wykonywanie uprzednich konsultacji
z organem nadzorczym, gdy ma to zastosowanie
3.1.7. Prowadzenie, kiedy ma to zastosowanie rejestru czynności przetwarzania danych osobowych oraz rejestru kategorii przetwarzania.
3.1.8. Powołanie inspektora ochrony danych, gdy ma to zastosowanie
3.1.9. Zawarcia umów z podmiotami przetwarzającymi dane w imieniu Administratora.
3.1.10. Nadzorowanie czy podczas przekazywania danych osobowych do państw poza Europejski Obszar Gospodarczy (EOG) odbywa się na zasadach zgodnych z przepisami prawnymi.

4. Szacowanie ryzyka

4.1. Administrator analizuje i identyfikuje ryzyka związane z przetwarzaniem danych osobowych. Ryzyka oceniane są zgodnie z ustaloną metodyką szacowania ryzyka. Wynikiem szacowania jest raport, identyfikujący procesy przetwarzania najbardziej ryzykowne oraz sposoby postępowania z ryzykiem.
4.2. Jako kryterium wyznaczania poziomu akceptacji ryzyka jest dążenie do wyrównania ryzyk szczątkowych u Administratora. Wartość ryzyka akceptowalnego jest każdorazowo ustalana podczas przeglądów analizy ryzyka.
4.3. Analiza ryzyka jest wykonywana cyklicznie, po każdej istotnej zmianie, która może mieć wpływ na bezpieczeństwo przetwarzanych danych, ale nie rzadziej niż raz w roku.
4.4. Proces zarządzania ryzykiem przedstawia się w następujący sposób:
4.5. Podział ryzyk:
● ryzyko losowe zewnętrzne (np. klęski żywiołowe, przerwy w zasilaniu), ich występowanie może prowadzić do utraty integralności danych, ich zniszczenia i uszkodzenia infrastruktury technicznej systemu, ciągłość systemu zostaje zakłócona, nie dochodzi do naruszenia poufności danych.
● ryzyko losowe wewnętrzne (np. niezamierzone pomyłki operatorów, administratora, awarie sprzętowe, błędy oprogramowania), może dojść do zniszczenia danych, może zostać zakłócona ciągłość pracy systemu, może nastąpić naruszenie poufności danych.
● ryzyko zamierzone, świadome i celowe – najpoważniejsze zagrożenia, naruszenia poufności danych, (zazwyczaj nie następuje uszkodzenie infrastruktury technicznej i zakłócenie ciągłości pracy), zagrożenia te możemy podzielić na: nieuprawniony dostęp do systemu z zewnątrz (włamanie do systemu), nieuprawniony dostęp do systemu z jego wnętrza, nieuprawniony przekaz danych, pogorszenie jakości sprzętu i oprogramowania, bezpośrednie zagrożenie materialnych składników systemu.
4.6. Przypadki zakwalifikowane jako naruszenie lub uzasadnione podejrzenie naruszenia zabezpieczenia systemu informatycznego, w którym przetwarzane są informacje to głównie:
● sytuacje losowe lub nieprzewidziane oddziaływanie czynników zewnętrznych na zasoby systemu jak np.: wybuch gazu, pożar, zalanie pomieszczeń, katastrofa budowlana, napad, działania terrorystyczne, niepożądana ingerencja ekipy remontowej itp.,
● niewłaściwe parametry środowiska, jak np. nadmierna wilgotność lub wysoka temperatura, oddziaływanie pola elektromagnetycznego, wstrząsy,
● awaria sprzętu lub oprogramowania, które wyraźnie wskazują na umyślne działanie w kierunku naruszenia ochrony danych lub wręcz sabotaż, a także niewłaściwe działanie serwisu, a w tym sam fakt pozostawienia serwisantów bez nadzoru,
● pojawienie się odpowiedniego komunikatu alarmowego od tej części systemu, która zapewnia ochronę zasobów lub inny komunikat o podobnym znaczeniu,
● jakość danych w systemie lub inne odstępstwo od stanu oczekiwanego wskazujące na zakłócenia systemu lub inną nadzwyczajną i niepożądaną modyfikację w systemie, nastąpiło naruszenie lub próba naruszenia integralności systemu lub bazy danych,
● stwierdzono próbę lub modyfikację danych lub zmianę w strukturze danych bez odpowiedniego upoważnienia (autoryzacji),
● nastąpiła niedopuszczalna manipulacja danymi osobowymi w systemie,
● ujawniono osobom nieupoważnionym dane osobowe lub objęte tajemnicą procedury ochrony przetwarzania albo inne strzeżone elementy systemu zabezpieczeń,
● praca w systemie lub jego sieci komputerowej wykazuje nieprzypadkowe odstępstwa od założonego rytmu pracy wskazujące na przełamanie lub zaniechanie ochrony informacji – np. praca przy komputerze lub w sieci osoby, która nie jest formalnie dopuszczona do jego obsługi, sygnał o uporczywym nieautoryzowanym logowaniu, itp.,
● ujawniono istnienie nieautoryzowanych kont dostępu do danych lub tzw. „bocznej furtki”, itp.,
● podmieniono lub zniszczono nośniki z danymi bez odpowiedniego upoważnienia lub w sposób niedozwolony skasowano lub skopiowano dane,
● rażąco naruszono dyscyplinę pracy w zakresie przestrzegania procedur ochrony danych osobowych (nie wylogowanie się przed opuszczeniem stanowiska pracy, pozostawienie danych w drukarce, na ksero, nie zamknięcie pomieszczenia z komputerem, nie wykonanie w określonym terminie kopii bezpieczeństwa, prace na informacjach służbowych w celach prywatnych, itp.).

4.7. Za naruszenie ochrony danych uważa się również stwierdzone nieprawidłowości w zakresie zabezpieczenia miejsc przechowywania informacji (otwarte szafy, biurka, regały, urządzenia archiwalne i inne) na nośnikach tradycyjnych tj. na papierze (wydrukach), kliszy, folii, zdjęciach, płytach CD w formie niezabezpieczonej itp. Instrukcja postępowania w przypadku naruszenia ochrony danych stanowi Załącznik nr 2 do niniejszej Polityki.

5. Bezpieczeństwo organizacyjne

5.1. Za bezpieczeństwo danych osobowych u ADO odpowiedzialny jest Personel.
W szczególności odpowiadają oni za przestrzeganie zasad bezpieczeństwa wynikających z niniejszej Polityki oraz zgłaszanie incydentów i naruszeń, a także wykonywanie zaleceń ADO. Podczas przetwarzania danych należy bezwzględne oddzielić funkcje wykonawcze od funkcji kontrolnych.
5.2. Każdy osoba, przed uzyskaniem dostępu do danych osobowych powinna zostać zapoznana z obowiązkami i odpowiedzialnościami wynikającymi z przepisów prawa dotyczących ochrony danych osobowych oraz wewnętrznymi procedurami.
5.3. Każda osoba przed rozpoczęciem pracy powinna podpisać dokument o zapoznaniu się z wewnętrznymi regulacjami, zachowaniu poufności oraz przyjęciu odpowiedzialności za wszystkie operacje wykonane przez nią podczas przetwarzania danych. Załącznik nr 4 do niniejszej Polityki.
5.4. Dla zapewnienia bezpieczeństwa danych zastosowano następujące środki organizacyjne:
● dostęp do danych osobowych mogą mieć tylko i wyłącznie użytkownicy posiadający pisemne, imienne upoważnienia nadane przez Administratora Danych;
● każdy z pracowników powinien zachować szczególną ostrożność przy przenoszeniu wszelkich nośników z danymi;
● należy chronić dane przed wszelkim dostępem do nich osób nieuprawnionych;
● pomieszczenia w których są przetwarzane dane osobowe muszą być zamykane na klucz;
● dostęp do kluczy posiadają tylko upoważnieni członkowie Personelu;
● dostęp do pomieszczeń możliwy jest tylko i wyłącznie w godzinach pracy. W wypadku gdy jest wymagany poza godzinami pracy – możliwy jest tylko na podstawie zezwolenia Administratora Danych Osobowych bądź Inspektora danych osobowych;
● dostęp do pomieszczeń w których są przetwarzane dane osobowe mogą mieć tylko upoważnieni członkowie Personelu;
● w przypadku pomieszczeń do których dostęp mają również osoby nieupoważnione, mogą przebywać w tych pomieszczeniach tylko w obecności osób upoważnionych i tylko w czasie wymaganym na wykonanie niezbędnych czynności;
● szafy w których przechowywane są dane powinny być zamykane na klucz;
● klucze do tych szaf posiadają tylko upoważnieni członkowie Personelu;
● szafy z danymi powinny być otwarte tylko na czas potrzebny na dostęp do danych a następnie powinny być zamykane;
● dane w formie papierowej mogą znajdować się na biurkach tylko na czas niezbędny na dokonanie czynności służbowych a następnie muszą być chowane do szaf;

6. Bezpieczeństwo fizyczne

6.1. Administrator lub wyznaczone przez niego służby ochrony stosują środki zapewniające ochronę fizyczną przed przypadkowym lub niezgodnym z prawem zniszczeniem, utraceniem, zmodyfikowaniem, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem przechowywanych lub w inny sposób przetwarzanych danych osobowych.
6.2. W szczególności Administrator:
● projektuje i stosuje fizyczne zabezpieczenia przed dostępem do pomieszczeń i obiektów ze szczególnym uwzględnieniem wejść
● projektuje i stosuje fizyczne zabezpieczenia przed katastrofami naturalnymi
6.3. Właściwy poziom zabezpieczeń określa się w wyniku szacowania ryzyka.
6.4. W szczególności w celu ochrony obszarów przetwarzania stosuje się:
● monitoring wizyjny;
● nadzór służby ochrony;
● recepcje;
● gaśnice lub automatyczne systemy gaszenia;
● zamykane pomieszczenia biurowe;
● zamykane szafy i szafki;
● karty wejściowe do budynku;
● niszczarki dokumentów;
6.5. Personel zobowiązany jest do przestrzeganie tzw. „zasady czystego biurka” – na biurku, w trakcie pracy powinny znajdować się jedynie dokumenty potrzebne do wykonania bieżącej pracy a po zakończeniu pracy dokumenty zawierające dane osobowe powinny zostać schowane w szafach lub szufladach.
6.6. Niszczenie zbędnych dokumentów papierowych oraz nośników zawierających dane osobowe należy dokonywać w niszczarkach posiadających stopień 3 lub większy wg normy DIN 66399 lub poprzez umieszczenie ich w specjalnie do tego celu przygotowanych zaplombowanych pojemnikach.
6.7. Należy cyklicznie kontrolować czy dokumenty zawierające dane osobowe są przechowywane w sposób zapobiegający nieuprawnionemu ujawnieniu lub nieuprawnionemu dostępowi do danych.
6.8. Należy wprowadzić zasady, by osoby postronne (np. goście) poruszały się po pomieszczeniach, w których przetwarzane są dane osobowe tylko przy asyście Personelu.
6.9. Personel powinien natychmiast poinformować swoich przełożonych o zauważonych nieprawidłowościach w funkcjonowaniu systemu ochrony fizycznej w szczególności w przypadku zauważenia osoby postronnej bez asysty w obszarze przetwarzania danych osobowych.
6.10. Należy dołożyć szczególnej staranności w przypadku wynoszenia dokumentów papierowych zawierających dane osobowe, aby dokumenty te były należycie zabezpieczone przed zgubieniem lub odczytaniem przez osoby nieuprawnione.

7. Bezpieczeństwo teleinformatyczne

7.1. Zasady ogólne
7.1.1. W celu ochrony systemów informatycznych służących do przetwarzania danych osobowych przed zagrożeniami stosuje się zabezpieczenia umożliwiające zapewnienie poufności, integralności oraz dostępności danych.
7.1.2. Właściwy poziom zabezpieczeń określa się w wyniku szacowania ryzyka.
7.1.3. Zabezpieczenia teleinformatyczne należy na bieżąco aktualizować w celu dostosowania ich do zmian prawnych i uwzględnienia postępującego rozwoju technologii oraz zmieniających się zagrożeń.
7.1.4. Należy wyłączyć niewykorzystywane usługi oraz odinstalować nie użytkowane aplikacje na serwerach i urządzeniach sieciowych w tym w drukarkach.
7.2. Inwentaryzacja sprzętu i oprogramowania informatycznego.
7.2.1 Należy przygotować i utrzymywać aktualność spisu inwentaryzacyjnego sprzętu i oprogramowania służącego do przetwarzania danych osobowych.
7.3. Wykorzystanie sprzętu
7.3.1. Personelowi nie wolno wykorzystywać sprzętu służbowego do celów prywatnych, chyba, że zostało to ustalone w odrębnych regulaminach.
7.3.2. Personelowi nie wolno wykorzystywać sprzętu prywatnego do celów służbowych, chyba, że zostało to uregulowane w odrębnych regulaminach.
7.4. Zarządzanie dostępem do systemów
7.4.1. Przyznawanie i korzystanie z dostępu do systemów informatycznych jest ograniczone i kontrolowane.
7.4.2. Każdy członek Personelu otrzymuje indywidualne poświadczenia (login i hasło) służące do identyfikacji w systemie informatycznym. Hasło składa się z co najmniej z 8 znaków, zawiera małe i duże litery oraz cyfry lub znaki specjalne; identyfikator członka Personelu, który utracił uprawnienia nie może być przydzielony innej osobie.
7.4.3. Dostęp do zasobów systemu teleinformatycznego podlega ograniczeniom zgodnie z określonym zakresem uprawnień danego użytkownika.
7.4.4. Dostęp do systemów przetwarzających dane osobowe nadawany jest Personelowi wyłącznie na czas realizacji zadań bądź realizacji umowy.
7.4.5. Personelowi nadaje się dostęp jedynie do zasobów wynikających z zakresu obowiązków i umów, które są niezbędne do wykonywania obowiązków
w zakresie określonych czynności i odpowiedzialności.

7.5. Oprogramowanie i aktualizacje
7.5.1. Wykorzystywane oprogramowanie w celu zapewnienia ciągłości działania procesów biznesowych musi być wykorzystywane zgodnie z prawami licencji.
7.5.2. Dopuszcza się instalacje oprogramowania wyłącznie zaakceptowanego przez Administratora.
7.5.3. Należy monitorować stan aktualnych poprawek systemowych w szczególności w zakresie bezpieczeństwa.
7.5.4. Należy aktualizować oprogramowanie antywirusowe, definicje wirusów na serwerach, stacjach roboczych i urządzeniach mobilnych.
7.5.5. Zabrania się instalowania oprogramowania pochodzącego z nieznanych źródeł.
7.6. Bezpieczeństwo sieci
7.6.1. Sieć teleinformatyczna powinna być zarządzana w sposób zapewniający utrzymanie bezawaryjnej i niezakłóconej komunikacji systemów.
7.6.2. Urządzenia sieciowe należy konfigurować i monitorować tak, aby zminimalizować zagrożenia.
7.6.3. Należy dążyć do stosowania komunikacji szyfrowanej.
7.6.4. Należy dążyć do separacji sieci w tym w szczególności do użytku gości powinna być stosowana sieć wydzielona.
7.6.5. W przypadku połączenia stacji roboczych z siecią publiczną należy stosować logiczne lub fizyczne zabezpieczenia systemów przed intruzami lub nieautoryzowanym dostępem np. firewall,/ IDS/IPS (wykrywanie/blokowanie ataków w czasie rzeczywistym)/PROXY.
7.6.6. W produkcyjnej infrastrukturze teleinformatycznej powinien być dopuszczony tylko niezbędny ruch sieciowy. Konfiguracja ruchu sieciowego powinna dopuszczać ruch tylko dla konkretnych, niezbędnych adresów IP, tylko dla konkretnych portów źródłowych i docelowych oraz protokołów.
7.7. Urządzenia drukujące/mfp
7.7.1. Należy upewnić się, że wszystkie urządzenia drukujące w sieci zostały zidentyfikowane i są aktywnie zarządzane w celu uzyskania zgodności
z zasadami bezpieczeństwa obowiązującymi w firmie tzn. m.in.:
● w regułach firewall’a uwzględnione zostały adresy IP urządzeń drukujących;
● zmienione zostały domyślne sposoby logowania i haseł na zgodne z polityką haseł tj. hasło składa się z co najmniej z 8 znaków, zawiera małe i duże litery oraz cyfry lub znaki specjalne; identyfikator członka Personelu, który utracił uprawnienia nie może być przydzielony innej osobie;
● wyłączone zostały nieużywanych porty takie jak FTP czy Telnet i pozostawione włączenie tylko porty tych usług które są potrzebne do pracy;
1.1.1. W urządzeniach drukujących należy włączyć automatyczne aktualizacje oprogramowania.
1.1.2. Należy upewnić się, że wszelkie oprogramowanie wbudowane i inne rozwiązania zainstalowane w urządzeniach drukujących są aktualne, posiadają certyfikaty oraz potwierdzoną oryginalność.
1.1.3. Należy wybierać urządzenia drukujące z wbudowaną ochroną systemu BIOS i oprogramowania.
1.1.4. Zaleca się stosowanie szyfrowania w celu ochrony przesyłanych danych (przesyłanie zadań druku lub skanowania do i z urządzenia drukującego) oraz przechowywanych na dysku twardym urządzenia.
1.1.5. Przed wycofaniem urządzeń drukujących z użytkowania lub podczas przekazywania do serwisu należy upewnić się, że dane przechowywane na dyskach twardych urządzeń są usunięte.
1.1.6. Należy wprowadzić ograniczenie komunikacji nieautoryzowanych komputerów z urządzeniem drukującym
1.1.7. Należy stosować autoryzację druku w przypadku drukarek zlokalizowanych w przestrzeniach otwartych tak, by wydruk był dostępny po zalogowaniu się do wybranego urządzenia pinem lub kartą.
1.2. Kryptografia
1.2.1. W celu ochrony poufności stosuje się systemy i techniki kryptograficzne.
1.2.2. Zaleca się szyfrowanie dysków urządzeń mobilnych oraz innych nośników.
1.2.3. Zaleca się, aby dane uwierzytelniające oraz dane osobowe były przesyłane komunikacją szyfrowaną.
1.2.4. W przypadku przekazywania plików zawierających dane osobowe, Personel ma obowiązek zabezpieczenia danych za pomocą szyfrowania.
1.3. Urządzenia mobilne i praca zdalna
1.3.1. Urządzenia takie jak: laptopy, tablety, telefony, nośniki danych, są przyznawane Personelowi na stanowiskach wymagających pracy poza siedzibą Administratora.
1.3.2. Ze względu na typ urządzenia oraz jego specyfikę, zbiór zabezpieczeń dobierany jest adekwatnie do ryzyka i możliwości technicznych; urządzenia wymienione w punkcie 7.9.1. muszą być odpowiednio dodatkowo zabezpieczony, a dane zaszyfrowane.
1.3.3. Ze względu na występowanie specyficznych ryzyk związanych z posługiwaniem się urządzeniami mobilnymi użytkowników obowiązują specjalne zasady minimalizujące te ryzyka.

1.4. Nośniki danych
1.4.1. Do przechowywania i przenoszenia danych osobowych mogą być wykorzystywane tylko i wyłącznie autoryzowane nośniki danych (dyski, pendrive itp.) Nośniki po użyciu należy wyczyścić (skasować nieodwracalnie) aby nie zostały na nich dane osobowe. W wypadku niemożliwości skasowania danych z nośnika (np. płyta CD-ROM) należy taki nośnik zniszczyć fizycznie. W przypadku wykorzystania do przenoszenia dysków, dane należy kasować z tych dysków.
1.4.2. Zabrania się przenoszenia danych osobowych na nośniki prywatne.
1.4.3. Przenośne nośniki danych podlegają ochronie w postaci szyfrowania oraz kontroli antywirusowej.
1.4.4. Trwałe i bezpowrotne kasowanie danych zalecane jest w szczególności:
● Zmiany użytkownika komputera;
● Zwrotu uszkodzonego nośnika producentowi w ramach gwarancji.
1.4.5. Przed przekazaniem do serwisu lub utylizacji urządzeń zawierających dyski lub inne nośniki informacji, należy z nich wymontować nośniki.
1.4.6. Sporządza się dokumentację potwierdzająca utylizację sprzętu i nośników danych.
1.5. Kopie zapasowe
1.5.1. Na potrzeby zachowania dostępności wykonuje się kopie zapasowe danych osobowych.
1.5.2. Zasady określające wykonywanie kopii zapasowych danych osobowych powinny być udokumentowane.
1.5.3. Wobec kopii bezpieczeństwa stosuje się następujące zabezpieczenia:
● nośniki zawierające kopie zapasowe powinny podlegać zabezpieczeniu przed nieuprawnionym dostępem;
● nośniki zawierające kopie zapasowe powinny być przechowywane w sposób minimalizujący ryzyko ich uszkodzenia lub nieuprawnionej modyfikacji;
● kopie zapasowe powinny być przechowywane w innym pomieszczeniu niż to, w którym znajduje się serwer, na którym dane osobowe przetwarzane są na bieżąco;
● kopie zapasowe sprawdza się okresowo pod kątem ich dalszej przydatności. Po stwierdzeniu nieprzydatności kopii zapasowych nośnik zostaje pozbawiony danych uniemożlwiający dalszy odczyt danych.
1.5.4. Sporządzane kopie zapasowe sprawdza się cyklicznie w celu weryfikacji poprawnego przywrócenia danych znajdujących się na kopii zapasowych.

1.6. Rozliczalność działań w systemach informatycznych
1.6.1. Zapewnia się rozliczalność działań użytkowników.
1.6.2. Zapewnienie rozliczalności operacji polega na gromadzeniu informacji o tym kto, kiedy i jakie wykonał operacje w systemie informatycznym.
1.6.3. Zaleca się regularne przeglądanie dzienników systemowych (logów) i ich analizę w celu identyfikacji działań niepożądanych.
1.6.4. Zaleca się ustalenie okresu i sposobu przechowywania dzienników systemowych.
1.6.5. Zaleca się ustalenie właściciela aplikacji (systemu), który odpowiada za funkcjonalność, zawartość, monitorowanie, rozwój systemu oraz jest odpowiedzialny za obsługę awarii i incydentów mających miejsce w systemie informatycznym.
1.6.6. Zaleca się okresową kontrolę uprawnień kont użytkowników.
1.7. Serwerownia
1.7.1. Zaleca się zastosowanie zabezpieczeń serwerów i urządzeń sieciowych przed utratą oraz przerwami zasilania.
1.7.2. Zaleca się, aby serwery oraz urządzenia sieciowe przesyłające ruch sieciowy umieszczone były w specjalnych pomieszczeniach takich jak serwerownie lub węzły.
1.7.3. Zaleca się, aby pomieszczenia te były chronione przed nieupoważnionym dostępem poprzez zastosowanie dodatkowych zabezpieczeń, jak np. wzmocnione drzwi, dodatkowa autoryzacja, wzmocnione lub okratowane okna, system kontroli dostępu.
1.7.4. Serwerownia powinna być odporna na zagrożenia naturalne takie jak pożar, zalanie, przegrzanie.
1.8. Zgłaszanie incydentów i nadużyć związanych z bezpieczeństwem informatycznym
1.8.1. Personel powinien natychmiast poinformować swoich przełożonych o zauważonych nieprawidłowościach w funkcjonowaniu swojego sprzętu teleinformatycznego (np. komputera, telefonu, tabletu, drukarki, itp.) i oprogramowania.
1.8.2. Zaleca się, aby utratę lub kradzież sprzętu komputerowego Personel niezwłocznie zgłaszał do przełożonego.
1.8.3. Zaleca się, aby każdy sprzęt przeznaczony do usunięcia (złomowania) został sprawdzony i przygotowany przez osobę odpowiedzialną za inwentaryzację sprzętu
1.8.4. Zaleca się, aby informacje o awariach sprzętu komputerowego, potencjalnie zagrażających bezpieczeństwu danych osobowych były raportowane i udokumentowane.

1.9. Audyty systemu
1.9.1. Zaleca się przeprowadzanie cyklicznych audytów systemów teleinformatycznych w celu przeglądu tych systemów pod kątem zgodności z ustaloną polityką, przyjętymi wytycznymi i standardami.
1.9.2. Wyniki audytu powinny być podstawą do działań zapobiegawczych spadkowi ustalonego poziomu bezpieczeństwa.
1.10. Obowiązki Personelu
1.10.1. Zapoznanie się i stosowanie obowiązujących przepisów prawa w zakresie ochrony danych osobowych.
1.10.2. Zapewnienie bezpieczeństwa przetwarzania danych osobowych poprzez ich ochronę przed nieuprawnionym dostępem (poufność), nieuzasadnioną modyfikacją lub zniszczeniem.
1.10.3. Informowanie przełożonych o naruszeniach ochrony danych osobowych oraz wszelkich zauważonych nieprawidłowościach skutkujących obniżeniem poziomu ochrony danych osobowych.
1.10.4. Przestrzeganie tzw. „zasady czystego biurka” – na biurku powinny znajdować się jedynie dokumenty potrzebne do wykonania bieżącej pracy. Po zakończeniu pracy zabezpieczenie komputerów przenośnych (np. typu notebook) zawierających dane osobowe w zamykanych na klucz szafach.
1.10.5. Niszczenie zbędnych dokumentów papierowych oraz nośników zawierających dane osobowe w niszczarkach dokumentów lub umieszczania ich w specjalnie do tego celu przygotowanych pojemnikach.
1.10.6. Dbanie o to, by dokumenty zawierające dane osobowe były przechowywane w zamkniętych szafach lub szufladach, lub w inny sposób uniemożliwiający dostęp osobom nieupoważnionym.
1.10.7. Dbanie, aby osoby postronne (np. goście) poruszały się po pomieszczeniach, w których przetwarzane są dane osobowe tylko przy asyście osób zatrudnionych.
1.10.8. W odniesieniu do sprzętu komputerowego i urządzeń teleinformatycznych, a także w związku z korzystaniem z zasobów systemów i aplikacji służących do przetwarzania danych każda osoba jest zobowiązana do dbania o bezpieczeństwo, w tym celu użytkownik ma obowiązek:
● Eksploatowania zasobów systemu zgodnie z poleceniami przełożonego, przydziałem uprawnień
● W przypadku zauważenia nadania szerszych uprawnień niezwłocznego zgłoszenia tego faktu przełożonym.
● W przypadku urządzeń przenośnych:
❖ zachowania szczególnej ostrożności podczas używania urządzenia w miejscach publicznych, salach spotkań, hotelach (ryzyko podglądania informacji chronionych przez nieuprawnione osoby);
❖ stosowania w miarę możliwości fizycznego zabezpieczenia sprzętu przed kradzieżą np. poprzez nie pozostawanie go bez nadzoru;
❖ w samochodzie komputer przenośny należy przewozić albo w zamkniętym bagażniku, albo na podłodze w miejscu przeznaczonym na nogi pasażera;
❖ zabronione jest odstępowanie komputera przenośnego osobom trzecim;
❖ komputery przenośne powinny być okresowo kontrolowane w celu sprawdzenia bezpieczeństwa;
❖ należy unikać łączenia się do publicznych sieci Wi-Fi;
❖ Personel pracujący na urządzeniach przenośnych
z innych lokalizacji niż siedziba przedsiębiorstwa powinien uzyskać ograniczony, szyfrowany dostęp do infrastruktury (np. VPN).
● W przypadku nadania – chronienia poufności i integralności swojego klucza prywatnego wykorzystywanego w podpisie elektronicznym.
● Przestrzegania, aby dostęp do komputera podczas opuszczania stanowiska pracy był zablokowany (np. poprzez włączenie wygaszacza ekranu chronionego hasłem lub wylogowania się z systemu),
● Dokonania bez zbędnej zwłoki zgłoszenia w przypadku podejrzenia ze osoba nieupoważniona weszła w posiadanie elementu uwierzytelniającego (np. karta dostępu, hasło).
● Nieudostępniania haseł innym użytkownikom i osobom trzecim.
● Niepodłączania nieautoryzowanych urządzeń do stanowiska pracy (np. dysków USB, itp.) bez niezwłocznego przeskanowania oprogramowaniem antywirusowym.
● Zmiany haseł dostępowych do systemu operacyjnego lub aplikacji służących do przetwarzania danych osobowych w przypadku podejrzenia, że hasło straciło swoją poufność.
● Stosowania następujących zasad w stosunku do haseł dostępowych:
❖ hasła mogą być zapisywane wyłącznie w postaci zaszyfrowanej;
❖ hasła nie mogą być powszechnie używanymi słowami oraz w szczególności nie należy wykorzystywać: dat, imion, nazwisk, inicjałów, numerów rejestracyjnych samochodów, numerów telefonów;
❖ hasło powinno składać się co najmniej z 8 znaków oraz powinno zawierać małe i wielkie litery oraz cyfry lub znaki specjalne.
● Wykazywania szczególnej ostrożności przy odbieraniu poczty elektronicznej przychodzącej od nieznanych adresatów lub o podejrzanym tytule e-maila, załącznika.
● Korzystania z funkcji BCC/UDW (adresatów ukrytych wiadomości), w sytuacji kiedy korespondencja jest kierowana do grupy osób, która nie jest sobie znana.
● Dbania, aby komputer wyposażony był w stosowny i na bieżąco aktualizowany program ochrony antywirusowej.
● Dbania, aby ekran monitora był ustawiony w sposób, uniemożliwiający wgląd osób nieuprawnionych.
6.16.9. Nieprzestrzeganie powyższych zasad może skutkować wyciągnięciem konsekwencji służbowych zgodnie z kodeksem pracy a w przypadku umów cywilnych (umowa o dzieło, umowa zlecenia, jednoosobowa działalność gospodarcza) odpowiedzialnością cywilną.
6.16.10. Każda osoba upoważniona do przetwarzania danych osobowych jest zobowiązana do podpisania zobowiązania dot. ochrony danych osobowych – Załącznik nr 4 do niniejszej Polityki.

7. POSTĘPOWANIE W PRZYPADKU NARUSZENIA OCHRONY DANYCH

7.16. Działania korygujące i zapobiegawcze
7.16.9. Działania korygujące podejmowane są w przypadku wykrycia niezgodności w działalności, bądź nieprawidłowego działania procesu.
7.16.10. Przesłanką do podjęcia działań korygujących mogą być wyniki kontroli, audytów, zgłoszenia niezgodności, zdarzenia i incydenty związane z ochroną danych osobowych, zapisy, wyniki badania zadowolenia klientów, analiza reklamacji klientów.
7.16.11. Działania zapobiegawcze mają na celu zapobiec wystąpieniu potencjalnych niezgodności.
7.17. Zgłaszanie naruszeń
8.2.1 ADO stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych w terminie 72 godzin od ustalenia naruszenia Instrukcja postępowania w przypadku naruszenia ochrony danych – Załącznik nr 2 do niniejszej Polityki.

9. DOSTĘP DO DANYCH OSOBOWYCH

9.1. Przetwarzanie, w tym udostępnianie danych osobowych jest prawnie dopuszczalne, jeżeli jest niezbędne dla zrealizowania obowiązku wynikającego z przepisu prawa.
9.2. W przypadku udostępnienia danych osobowych w celach innych niż włączenie do rejestru, administrator danych udostępnia posiadane informacje osobom lub podmiotom uprawnionym do ich otrzymania na mocy przepisów prawa.
9.3. Dane osobowe można wykorzystać wyłącznie zgodnie z przeznaczeniem, dla którego zostały udostępnione.
9.4. Podmiot występujący o udostępnienie informacji powinien wskazać podstawę prawną upoważniającą go do otrzymania tych danych albo uzasadnioną potrzebę żądania ich udostępnienia. Tylko w takiej sytuacji można dokonać oceny, czy w określonym przypadku udostępnienie danych jest prawnie dopuszczalne i czy nie będzie ono stanowić naruszenia zasad ochrony informacji.
9.5. Przetwarzanie, w tym udostępnianie danych osobowych w celu innym niż ten, dla którego zostały zebrane, jest dopuszczalne, jeżeli nie narusza praw i wolności osoby, której dane dotyczą, oraz następuje w celu badań naukowych, dydaktycznych, historycznych oraz statystycznych.
9.6. Udostępnienie danych może nastąpić jedynie za zgodą Administratora danych i powinno być odpowiednio udokumentowane.

10. POROZUMIENIA I KONTAKTY ZE STRONAMI ZEWNĘTRZNYMI

10.1. Jeżeli przetwarzanie ma być dokonywane w imieniu Administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.
10.2. Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, wiążąc podmiot przetwarzający i administratora, określając przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.
10.3. W przypadku zawierania umów z firmami zewnętrznymi mającymi wpływ na funkcjonowanie kluczowych elementów systemu zarządzania bezpieczeństwem informacji zalecane jest zawarcie umowy powierzenia.

11. BEZPIECZEŃSTWO OSOBOWE

11.1. Etap naboru pracownika

11.1.1. Do przetwarzania danych osobowych i do dostępu do innych informacji chronionych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez Administratora. Administrator może wydać pełnomocnictwo do nadawania upoważnień.
11.1.2. Wzór upoważnienia do przetwarzania danych osobowych stanowi Załącznik nr 1 do niniejszej Polityki. Upoważnienia rejestruje się w ewidencji upoważnień, stanowiącej Załącznik nr 3 do niniejszej Polityki.
11.1.3. Zakres upoważnienia może również być określony w umowie o pracę lub współpracę.
11.1.4. Osoba upoważniona zobowiązana jest podpisać oświadczenie lub umowę, która określa odpowiedzialność w zakresie ochrony danych osobowych.
11.1.5.Osoby upoważnione do przeprowadzania działań związanych z naborem powinny zwrócić szczególną uwagę na zasady ochrony danych wymienione w niniejszej Polityce, a także aktualnie obowiązujące przepisy prawa w tym zakresie.

12. EWIDENCJA OSÓB UPOWAŻNIONYCH DO PRZETWARZANIA DANYCH

12.1. Prowadzenie Ewidencji osób upoważnionych do przetwarzania danych osobowych nadzoruje ADO.
12.2. Ewidencja zawiera:
● imię i nazwisko osoby upoważnionej,
● datę nadania i ustania upoważnienia
● zakres upoważnienia
● identyfikator osoby upoważnionej.
12.3. Ewidencja osób upoważnionych może być prowadzona w systemie informatycznym.
12.4. Zmiany dotyczące osoby upoważnionej, takie jak:
● zmiana imienia lub nazwiska,
● zmiana zakresu upoważnienia,
podlegają niezwłocznemu odnotowaniu w ewidencji.
12.5. Zmiany dotyczące osoby upoważnionej, takie jak:
● rozwiązanie umowy;
● utrata upoważnienia do przetwarzania danych osobowych;
● zmiana zakresu obowiązków służbowych skutkująca ustaniem upoważnienia;
powodują wyrejestrowanie osoby upoważnionej w trybie natychmiastowym z ewidencji, zablokowanie identyfikatora i dostępu do baz danych oraz unieważnienie hasła osoby upoważnionej.
12.6. Osoba odpowiedzialna za sprawy kadrowe, bezpośredni przełożony osoby upoważnionej, odpowiadają za natychmiastowe zgłoszenie do ADO osób upoważnionych, którzy utracili uprawnienia do dostępu do danych osobowych, celem zablokowania im dostępu do systemu informatycznego poprzez zablokowanie identyfikatora i wyrejestrowanie z ewidencji osób upoważnionych.
12.7. Identyfikator, który utracił ważność nie może być ponownie przydzielony innej osobie upoważnionej.

12.8. Zatrudnienie/współpraca
12.8.1. Pracownicy, współpracownicy, wykonawcy i podwykonawcy powinni być świadomi swoich obowiązków i odpowiedzialności prawnej oraz zagrożeń związanych z bezpieczeństwem informacji. W tym celu należy zapewnić wszystkim zatrudnionym właściwy poziom świadomości poprzez kształcenie i szkolenie z zakresu ochrony danych osobowych, ze szczególnym uwzględnieniem procedur bezpieczeństwa. Dokumentują to:
● lista obecności ze szkoleń,
● oświadczenia pracowników,
● umowy o poufności
● posiadane zaświadczenia, dyplomy lub certyfikaty.
12.8.2. W przypadku naruszenia zasad ochrony danych osobowych jest uruchomiana odpowiednia procedura postępowania dyscyplinarnego, która powinna być poprzedzona potwierdzeniem naruszenia zasad ochrony danych osobowych i zgromadzeniem materiału dowodowego.
12.8.3. Postępowanie dyscyplinarne powinno uwzględniać: rodzaj i wagę naruszenia zasad ochrony danych osobowych, wpływ na procesy biznesowe, przypadek incydentalny czy jest to kolejne naruszenie oraz jakość odbytego przeszkolenia.
12.8.4. W przypadku pracy mobilnej i na odległość z wykorzystaniem urządzeń przenośnych zastosowano odpowiednie, dodatkowe środki bezpieczeństwa.
12.8.5. Przekazywanie sprzętu i urządzeń służących do przetwarzania danych odbywa się na podstawie protokołów przekazania sprzętu.

12.9. Zakończenie zatrudnienia/współpracy
12.9.1. Zakończenie zatrudnienia lub zmiana stanowiska pracy wewnątrz struktury panującej u Administratora powinny odbywać się w sposób zorganizowany.
12.9.2. Odchodzenie z organizacji lub zmiana stanowiska pracy wiąże się ze zwrotem posiadanego przez członka Personelu sprzętu i odebraniem lub zmianą praw dostępu.
12.9.3. Odebranie lub ograniczenie praw dostępu jest poprzedzone analizą ryzyka uwzględniającą następujące uwarunkowania:
● ustalenie inicjatora (pracownik, wykonawca czy kierownictwo ADO) i przyczyn zakończenia lub zmiany zatrudnienia;
● aktualny zakres czynności pracownika, wykonawcy lub podwykonawcy;
● wartość aktualnie dostępnych aktywów.
12.10. Zasady przyznawania dostępu
12.10.1. Przyznawanie zakresu uprawnień powinno być w ścisłym związku z zakresem obowiązków danego członka Personelu.
12.10.2. Zarządzanie dostępem na etapie nadawania, zmiany i cofania praw dostępu członków Personelu w obszarze przetwarzania danych oraz do systemów teleinformatycznych powinno się odbywać na wniosek bezpośredniego przełożonego osoby upoważnionej.
12.10.3. W zarządzaniu dostępem obowiązuje zasada, że dostęp osoby upoważnionej powinien opierać się na spełnieniu zasady rozliczalności oraz zasady niezaprzeczalności. W przypadku systemów informatycznych obowiązują następujące wymagania:
● wymóg jednoznacznej identyfikacji członka Personelu – tj. w systemach informatycznych każdy użytkownik pracuje wyłącznie na swoim indywidualnym koncie, nie są stosowane konta anonimowe lub współdzielone poza wyjątkami, gdzie z przyczyn technicznych nie ma innej możliwości,
● wymóg uwierzytelnienia członka Personelu przy korzystaniu z systemu informatycznego,
● autoryzacji przyznania praw dostępu do systemów informatycznych.
● zasady przywilejów, wiedzy i usług koniecznych.

13. POSTANOWIENIA KOŃCOWE

13.1. Do stosowania zasad określonych przez dokumenty Polityki zobowiązani są wszyscy członkowie Personelu.
13.2. Z treścią niniejszego dokumentu powinni zapoznać się wszyscy członkowie Personelu mający dostęp do informacji przetwarzanej u ADO, przed przystąpieniem do przetwarzania danych.
13.3. Niniejszy dokument może być przedstawiany podmiotom i jednostkom współpracującym z którymi współpraca może skutkować możliwością dostępu do informacji chronionych.
13.4. Wobec osoby, która w przypadku naruszenia ochrony danych osobowych lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, a także gdy nie zrealizowała stosownego działania dokumentującego ten przypadek, wszczyna się postępowanie dyscyplinarne lub porządkowe.
13.5. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszego dokumentu mogą być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, w szczególności przez osobę, która wobec naruszenia zabezpieczenia systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie powiadomiła o tym ADO.
13.6. W przypadku naruszenia postanowień Polityki członek Personelu, który dopuścił się takiego naruszenia lub przyczynił do niego (umyślnie lub nieumyślnie) może zostać ukarany zgodnie z obowiązującym regulaminem pracy, obowiązującymi przepisami prawa z zakresu ochrony danych osobowych, a w skrajnych przypadkach pociągnięty do odpowiedzialności karnej.
13.7. Umyślne lub nieumyślne naruszenie postanowień Polityki lub niestosowanie się do poleceń służbowych w tym zakresie może być potraktowane jako naruszenie obowiązków pracowniczych.
13.8. Polityka jest dokumentem wewnętrznym i nie może być udostępniana osobom postronnym w żadnej formie.
13.9. Członkowie Personelu są zobowiązani zapoznać się z treścią Polityki
13.10.Członek Personelu zobowiązany jest złożyć oświadczenie o tym, iż został zaznajomiony z przepisami i zasadami z zakresu ochrony danych osobowych, z niniejszą Polityką, a także zobowiązać się do ich przestrzegania.
13.11.Wzór oświadczenia potwierdzającego zaznajomienie członka Personelu z przepisami w zakresie ochrony informacji oraz z dokumentacją obowiązującą u Administratora Danych, a także o zobowiązaniu się do ich przestrzegania, stanowi Załącznik nr 4 do niniejszej Polityki.
13.12. Oświadczenia przechowywane są w aktach osobowych.
13.13. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie aktualnie obowiązujące przepisy prawa w zakresie ochrony danych osobowych, szczególnie RODO.
13.14. Członkowie Personelu zobowiązani są do bezwzględnego stosowania postanowień zawartych w niniejszej Polityce. W wypadku odrębnych od zawartych w niniejszej Polityce uregulowań występujących w innych procedurach obowiązujących u Administratora, członkowie Personelu mają obowiązek stosowania unormowań dalej idących, których stosowanie zapewni wyższy poziom ochrony danych osobowych.

SPIS ZAŁĄCZNIKÓW

Upoważnienie do przetwarzania danych osobowych- wzór – Załącznik nr 1;
Instrukcja postępowania w przypadku naruszenia ochrony danych osobowych – Załącznik nr 2;
Ewidencja osób upoważnionych – wzór – Załącznik nr 3;
Oświadczenie o zapoznaniu się z dokumentami z zakresu ochrony danych osobowy oraz zobowiązanie do ich przestrzegania – wzór – Załącznik nr 4.

Wypełnione załączniki przechowywane są w Teczce Ochrony Danych Osobowych.