Polityka bezpieczeństwa danych osobowych
05.02.2013
Polityka bezpieczeństwa danych osobowych stanowi zbiór instrukcji oraz wytycznych, które mają zastosowanie w ochronie danych osobowych w określonych podmiotach. Każdy podmiot może tworzyć swoją własną politykę bezpieczeństwa. Jednakże musi przy tym kierować się w szczególności następującymi przepisami prawa:
- ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U> Nr 133, poz. 883 z późn. zm.);
- rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024 z późn. zm.).
Polityka bezpieczeństwa stanowi obok instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych dokumentację opisującą sposób przetwarzania danych osobowych.
W rozumieniu wskazanej wyżej ustawy za dane osobowe należy uważać wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Jednakże informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Polityka bezpieczeństwa powinna być sporządzona w formie pisemnej.
Celem ustanowienia polityki bezpieczeństwa jest przede wszystkim zapewnienie:
- integralności danych osobowych – to właściwość, która zapewnia, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany;
- rozliczalności danych osobowych – to właściwość, która zapewnia, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi;
- pełnej ochrony danych osobowych przed pozyskaniem ich przez nieuprawniony podmiot;
- zgodnego z prawem przetwarzania danych osobowych – to jakiekolwiek operacje, które wykonywane są na danych osobowych takie, jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych;
- ochrony praw osób, których dotyczą przetwarzane dane osobowe.
Polityka bezpieczeństwa powinna zawierać w szczególności:
- wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe;
- wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;
- opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi;
- sposób przepływu danych pomiędzy poszczególnymi systemami;
- określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.
Politykę bezpieczeństwa wdraża administrator danych.
Na podstawie ustawy o ochronie danych osobowych administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w przepisie art. 3 tej ustawy, które decydują o celach i środkach przetwarzania danych osobowych. Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem przedmiotowej ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. Administrator danych powinien prowadzić dokumentację opisującą sposób przetwarzania danych oraz zastosowane środki techniczne i organizacyjne. Administrator danych obowiązany jest wyznaczyć administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, chyba że sam wykonuje te czynności.
Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych.
Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Ponadto powinien on prowadzić ewidencję osób upoważnionych do ich przetwarzania, która powinna zawierać:
- imię i nazwisko osoby upoważnionej;
- datę nadania i ustania oraz zakres upoważnienia do przetwarzania danych osobowych;
- identyfikator, jeżeli dane są przetwarzane w systemie informatycznym.
Osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia.
Mikołaj
Jestem mile zaskoczony jakością, fachowością i krótkim czasem prowadzenia sprawy choć do tej pory współpracowałem z wieloma kancelariami i prawnikami.
Andrzej
Szczerze polecam ta kancelarie dobry kontakt, szybka odpowiedz i pełen profesjonalizm. W sądzie poszło tak jak mówił Pan Dariusz. Dziękuje.
Piotr
Cieszy mnie niezmiernie, że w tak trudnych czasach wyzysku, manipulacji i cwaniactwa jest tak profesjonalna możliwość obrony. Dziękuję panie Darku !
Darek
Jestem bardzo mile zaskoczony profesjonalnością i szybkością odpowiedzi. Poleciłem serwis znajomym, bo warto!
Michał
Bardzo fachowa i szybka pomoc, a wszystko w dobrej cenie. Jestem pełen uznania i wdzięczności dla Kancelarii LexVin za profesjonalną realizację usługi.
Karolina
Bardzo dziękuję za zajęcie się moją sprawą oraz szybkie wysłanie mi sprzeciwu. Z pewnością polecę Państwa usługi.
Joanna
Pomoc prawną otrzymałam błyskawicznie i profesjonalnie.Świetna,merytoryczna i miła obsługa. Serdecznie dziękuję.
Aneta
Bardzo dziękuję za profesjonalne i szybkie napisanie sprzeciwu. Polecam pomoc prawną Kancelarii LexVin każdemu, kto szuka profesjonalnej pomocy prawnej.
