polityka bezpieczeństwa – Strona 3 – Sylwia Czub bloguje o danych osobowych

11 cze

Jak wskazać programy służące do przetwarzania danych osobowych

Pytanie od Pani Anity:

Czy przy opisie programów służących do przetwarzania danych musimy szczegółowo wymieniać nazwy aplikacji edytorów tekstu, arkuszy kalkulacyjnych, programów pocztowych skoro pracujemy na kilku i może to się zmieniać?

Należy wskazać nazwy programów.

Uzasadnienie: W rozporządzeniu MSWiA w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy służące do przetwarzania danych, wymienione są elementy, które musi zawierać polityka bezpieczeństwa. Punkt 2 paragrafu 4 dotyczący programów, które służą do przetwarzania danych osobowych ma brzmienie: Read More →

04 cze

Pytanie: Jaka jest podstawa prawna do wprowadzenia polityki bezpieczeństwa?

Pytanie od Pani Justyny:

Chciałabym wprowadzić zarządzeniem politykę bezpieczeństwa danych osobowych w bibliotece. Jaką podstawę prawną powinnam wskazać?

Podstawy prawne są dwie:

Art. 36 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2014 poz. 1182) oraz par. 5 rozporządzenia MSWiA z dnia 29. kwietnia 2004 roku w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnym, jakim powinny odpowiadać urządzenia i systemy służące do przetwarzania danych osobywch (Dz. U. 2004 nr 100 poz. 1024).

Icons made by Freepik from www.flaticon.com is licensed by CC BY 3.0

19 kwi

Polityka bezpieczeństwa: wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych

Ten punkt polityki bezpieczeństwa należy rozpocząć od inwentaryzacji zbiorów danych osobowych. Jak przeprowadzić inwentaryzację zbiorów i jakie zbiory przetwarza biblioteka, opisałam tutaj.

Przypomnę, że przykładowe zbiory, w ramach których mogą być przetwarzane dane w bibliotece to:

Osoby korzystające z ZFŚS.
Osoby zatrudnione na podstawie umowy cywilno-prawnej.
Osoby realizujące dla biblioteki zadania w ramach wolontariatu, stażu, czy praktyk.
Uczestnicy konkursów.
Odbiorcy newslettera
Uczestnicy wydarzeń bibliotecznych.
Baza kontaktów.
Książka korespondencyjna.
Sponsorzy i darczyńcy.
Uczestnicy przetargów.
Osoby, któych wizerunek utrwalono za pomocą monitoringu wizyjnego.
Kandydaci do pracy.
Osoby korzystające z cztelni internetowej (chyba, że z czytelni mogą korzystać tylko zarejestrowani czytelnicy, wówczas nie wyróżniamy tego zbioru).
Uczestnicy szkoleń.
Dane przetwarzane w Cyfrowym Archiwum Tradycji Lokalnej

Dla każdego z tych zbiorów należy podać informację w jakich programach jest przetwarzany. Dla przykładu: Read More →

02 kwi

Inwentaryzacja zbiorów danych osobowych

Aby przejść do kolejnej części tworzenia polityki bezpieczeństwa danych osobowych, konieczne jest wcześniejsze dokonanie inwentaryzacji zbiorów danych osobowych.

Z mojego doświadczenia wynika, że biblioteki zazwyczaj mają świadomość przetwarzania danych osobowych w dwóch zbiorach: pracowników i czytelników. Tymczasem wszystkich zbiorów danych osobowych, w ramach których są przetwarzane dane jest w bibliotece co najmniej kilkanaście. Jak je zinwentaryzować? Najłatwiej systematyzować zbiory poprzez zadanie sobie trzech pytań dotyczących przetwarzanych danych:

Jaka jest podstawa prawna przetwarzania danych (art. 23 ustawy);
Jaki jest cel przetwarzania danych;
Jakie są kategorie osób, których dane będą przetwarzane.

Polityka bezpieczeństwa: wykaz budynków i pomieszczeń stanowiących obszar przetwarzania danych

W pierwszym punkcie polityki należy wskazać konkretne obszary przetwarzania danych osobowych (czyli miejsca, gdzie te dane są gromadzone, przechowywane, opracowywane). Dotyczy to zarówno danych w postaci papierowej, jak i elektronicznej.

Zaczynamy od wyszczególnienia siedzib oraz poszczególnych pomieszczeń. Poniżej przykład dla hipotetycznej biblioteki, możemy używać dowolnych określeń, tzn. numerów pomieszczeń i/lub ich nazw: Read More →

23 mar

Polityka bezpieczeństwa, co to jest i dlaczego musi być w każdej bibliotece

Przypuszczam, że większość bibliotek przynajmniej raz otrzymała propozycję zakupu “polityki bezpieczeństwa”. Zazwyczaj był to pierwszy moment, gdy dowiadywały się o konieczności stworzenia tego dokumentu. Zgodnie z art. 36 ust. 1-2 ustawy administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.

Zapis ustawowy jest dość niejasny, na szczęście znalazł on doprecyzowanie w przepisach wykonawczych, tzn. w rozporządzeniu MSWiA w sprawie dokumentacji przetwarzania danych osobowych oraz środków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy służące do przetwarzania danych osobowych. Read More →

16 mar

Co należy zrobić, aby legalnie przetwarzać dane osobowe

Często poruszam ten temat na warsztatach – jakie warunki techniczne i organizacyjne musi spełnić biblioteka, żeby móc legalnie przetwarzać (gromadzić, edytować, itd.), dane osobowe. W kolejności realizowania są to:

Wprowadzenie odpowiednich zabezpieczeń fizycznych (np. szafy i pomieszczenia zamykane na klucz) oraz systemowych (dla danych przetwarzanych w systemach informatycznych).
Wyznaczenie osób odpowiedzialnych za realizację zdań związanych z ochroną danych osobowych, w szczególności powołanie administratora bezpieczeństwa informacji (jest to czynność fakultatywna).
Opracowanie i wdrożenie polityki bezpieczeństwa (regulaminu przetwarzania danych osobowych).

Wzór oświadczenia

Zgodnie z art. 36.2. UODO: Administrator danych prowadzi dokumentację opisującą sposób przetwarzania danych oraz środki, o których mowa w ust. 1 (niniejszej ustawy).

Ustawodawca ma na myśli konieczność wprowadzenia w bibliotece polityki bezpieczeństwa oraz instrukcji zarządzania systemami informatycznymi. Każdy z pracowników powinien zapoznać się z obowiązującymi w bibliotece regulaminami, w tym tymi z zasad przetwarzania i zabezpieczania danych osobowych.

Niektóre biblioteki stosują, jako dokument potwierdzający zapoznanie się z wyżej wymienionymi dokumentami listy, na których muszą podpisać się wszyscy pracownicy. Jest to rozwiązanie, którego nie polecam. Po pierwsze, każdy nowy pracownik będzie musiał podpisać dodatkowe oświadczenie (nie będzie mógł dopisać się do listy, bo istotna jest data złożenia podpisu), co stwarza rozbieżność w dokumentacji. Powstaje też pytanie, gdzie przechowywać listę, a gdzie oświadczenie. Read More →

01 paź

Rozporządzenie MSWiA w sprawie dokumentacji przetwarzania danych osobowych (…)

Ustawa o ochronie danych osobowych opisuje w sposób bardzo ogólny zasady zabezpieczenia zbiorów danych osobowych. Szczegółowe zasady zostały określone w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

W Rozporządzeniu określono co powinny zawierać polityka bezpieczeństwa oraz instrukcja zarządzania systemami informatycznymi. Jest to punkt wyjścia do stworzenia wymaganej przez ustawę dokumentacji.