Monthly Archives: październik 2016

29 paź

Jak określić administratora danych osobowych w bibliotece wojskowej lub urzędzie?

Problem z ustaleniem administratora danych osobowych w bibliotece klubu wojskowego (dalej będę nazywać ją biblioteką wojskową) polega na tym, że ta biblioteka nie jest samodzielną jednostką organizacyjną. Biblioteka wojskowa znajduje się w strukturach organizacyjnych jednostki wojskowej, która nie posiada osobowości prawnej. Natomiast osobowość posiada obsługujący jednostkę wojskową pod względem administracyjnym i gospodarczym oddział, pododdział lub związek organizacyjny (np. Wojskowy Oddział Gospodarczy). Kierownicy bibliotek wojskowych stają przed trudnością w określeniu, czy administratorem jest jednostka, dowódca, czy WOG.

Punktem wyjścia do znalezienia odpowiedzi na pytanie, jest ustawowa definicja administratora danych: jest to organ, jednostka organizacyjna, podmiot lub osobę decydującą (samodzielnie) o celach i środkach przetwarzania danych osobowych.  Trudność w ustaleniu administratora danych osobowych w instytucjach państwowych polega na tym, że dla danych przetwarzanych w ramach jednego podmiotu (np. urzędu) może być różny administrator danych osobowych. Dla danych pracowniczych będzie nim pracodawca, ale dla danych przetwarzanych w ramach centralnego rejestru PESEL Minister Spraw Wewnętrznych i Administracji. Decydującym czynnikiem jest odpowiedź na pytanie kto decyduje o celach i środach przetwarzania danych osobowych. Co ciekawe w przypadku wniosków kierowanych do urzędu o udostępnienie danych z rejestru PESEL powstaje nowy zbiór danych osobowych „decyzji administracyjnych na wniosek o udostępnienie danych z rejestru PESEL”, dla którego administratorem jest podmiot przetwarzający te dane. Read More →

25 paź

Wzór sprawozdania ze sprawdzenia zgodności przetwarzania danych z przepisami

Piszecie do mnie ostatnio z prośbą o wzór sprawozdania ze sprawdzenia zgodności z przepisami o ochronie danych osobowych. Prawda jest taka, że jest on już od bardzo dawna na moim blogu, ale po prostu chyba za bardzo ukryty, bo nie możecie do niego dotrzeć.

Przypomnę tylko krótko, że przeprowadzanie regularnych sprawdzeń ze zgodności przetwarzania danych z przepisami, jest obowiązkiem każdego administratora danych osobowych. Jest to podstawa do kontroli zgodności przetwarzania i stosowania odpowiednich środków. Może to być także forma analizy ryzyka i zagrożeń (a konkretne szacowania ryzyka). Gdy został powołany administrator bezpieczeństwa informacji, to jego obowiązkiem jest przeprowadzanie sprawdzeń. Jeżeli ABI nie ma, to sprawdzenia przeprowadza dyrektor/prezes/wojewoda itd. lub wyznaczona do tego przez niego osoba. Z takiego sprawdzenia przeprowadzonego w jednostce, która nie ma ABI wystarczy przygotować notatkę służbową (nie ma w ogóle obowiązku dokumentowania sprawdzenia, jednakże wydaje się to bardzo zasadne). Read More →

21 paź

Zaproszenie na Fenomenalną konferencję

Kochani serdecznie zapraszam Was na Fenomenalną Konferencję. Będziecie mieli okazję wziąć udział w warsztatach z cenionymi specjalistami, którzy podzielą się nie tylko swoją wiedzą, ale także doświadczeniem. Będą też bardzo interesujące wykłady. Ze mną będziecie mieli okazję spotkać się dwukrotnie: podczas warsztatów poświęconych metodologii tworzenia regulaminów biblioteki, konkursów i wydarzeń oraz podczas wykładu o reformie przepisów o ochronie danych osobowych. Dużo ważnej wiedzy podanej w bardzo przystępny sposób. Nie czekajcie do ostatniej chwili, bo liczba miejsc na moje warsztaty jest ograniczona

http://fundacjafenomen.pl/fenomenalnabiblioteka

18 paź

[aktualizacja] Czy muszę mieć analizę ryzyka i zagrożeń?

Coraz częściej pytacie o to, czy istnieje obowiązek opracowania analizy zagrożeń i ryzyka. A tak w ogóle, to o co chodzi z tą analizą? Zgodnie z nazwą, analiza służy szacowaniu ryzyka i zagrożeń na poufności, integralności oraz rozliczalności informacji chronionych (myślę, że należy ten temat omawiać szerzej, nie tylko w zakresie danych osobowych). Krajowe przepisy o ochronie danych osobowych nie wskazują wprost na obowiązek opracowania analizy, jednakże już w ogólnym rozporządzeniu o ochronie danych osobowych, które będzie bezwzględnie obowiązywać od połowy 2018 roku, pojawia się konieczność szacowania ryzyka, aby móc zapewnić odpowiednie środki ochrony danych. Podobnie obowiązek szacować ryzyko mają wszystkie podmioty, które dotyczy Rozporządzenie Prezesa Rady Ministrów z dnia 20 lipca 2011 r. w sprawie podstawowych wymagań bezpieczeństwa teleinformatycznego, czyli, te w których przetwarzane są informacje niejawne. Natomiast podmioty, które prowadzą rejestry publiczne są zobligowane do szacowania ryzyka na podstawie Rozporządzenia Rady Ministrów z 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych.  Analiza ryzyka i zagrożeń to dokument będący wynikiem procesu szacowania ryzyka. Oznacza to, że nie można kupić gotowej analizy ryzyka i zagrożeń – powinna być ona tworzona indywidualnie dla każdego podmiotu. Read More →

12 paź

Jak zmieniło się moje życie od kiedy mam profil zaufany ePUAP

Mówi się, że mała rzecz, a cieszy. Tak najprościej można podsumować działanie ePUAP. W skrócie, czym jest profil zaufany ePUAP: jest to elektroniczny podpis, który umożliwia załatwianie spraw urzędowych przez Internet. Tak, dobrze przeczytaliście, po zalogowaniu się na stronę ePUAP (a właściwie to już ePUAP2) można załatwić sprawę we wszystkich dostępnych na stronie urzędach (zauważyłam, że liczba dostępnych usług sukcesywnie rośnie). Nie trzeba wysyłać żadnych listów poleconych, ani biegać do kasy, aby kupić znaczki skarbowe (jeżeli sprawa wymaga opłaty, robimy zwykły przelew przez Internet).

Podczas studiów podyplomowych wielu moich wykładowców namawiało do założenia profilu zaufanego ePUAP, argumentując że jest to wynalazek naprawdę ułatwiający życie. Jednak nigdy nie chciało mi się tego zrobić, bo założenie konta na platformie ePUAP wymagało jego uwierzytelnienia w urzędzie (np. ZUSie, Urzędzie Skarbowym). Po założeniu działalności gospodarczej, liczba pism wymienianych z urzędami oraz moich wizyt w urzędach gwałtownie wzrosła (czasami ze względu na własne interesy, czasami załatwiałam interesy klientów). Szczególnie męczyło mnie aktualizowanie danych w CEIDG. Przy okazji jednej z w wizyt w US (okazało się, że muszę złożyć podpis na deklaracji, którą wysłałam pocztą… makabra) przeczytałam na drzwiach jednego z pokojów, że można tam zatwierdzić profil zaufanych ePUAP. Niewiele zastanawiając się nad tym, zalogowałam się z komórki do serwisu, założyłam konto i weszłam do pokoju, gdzie Pani w ciągu dwóch minut zatwierdziła mój profil. W sumie może straciłam na to 5 minut. Read More →

06 paź

Czy można niszczyć dokumenty przez spalenie?

Wielu moich klientów lubi palić dokumenty i uważa to za najszybszy i najskuteczniejszy sposób niszczenia dokumentów. Często też jest to jedyna forma niszczenia dokumentów, jaką stosują w swojej firmie, dlatego nie kupują niszczarek. Czy metoda palenia dokumentów zawierających dane osobowe, dla których cel przetwarzania już ustał jest skuteczna. I przede wszystkim czy jest to zgodne z przepisami o ochronie danych osobowych?

Read More →