Polityka Bezpieczeństwa

ZASADY OCHRONY DANYCH OSOBOWYCH

I Podstawowe informacje

A. Podstawa prawna

Polityka Bezpieczeństwa (zwana dalej Polityką) wraz z Instrukcją Zarządzania Systemem Informatycznym (zwana dalej Instrukcją) opisują działania organizacyjne i techniczne podejmowane przez Monikę Jamka, prowadzącą działalność gospodarczą MiMoRo Monika Jamka,  jako Administratora Danych, których celem jest osiągnięcie i utrzymanie akceptowalnego poziomu bezpieczeństwa przetwarzanych danych osobowych oraz podniesienie poziomu świadomości pracowników w zakresie ochrony tych danych/informacji.

Polityka Bezpieczeństwa stanowi jednocześnie politykę ochrony danych w rozumieniu art. 24 ust. 2 RODO.

Do wyznaczonego celu Administrator dąży poprzez wdrożenie odpowiedniego systemu ochrony danych osobowych przed zagrożeniami wewnętrznymi i zewnętrznymi.

Polityka Bezpieczeństwa ma status dokumentu przeznaczonego do użytku wewnętrznego i może być udostępniona osobom trzecim jedynie za zgodą Administratora.

Podstawowymi aktami prawnymi, które realizuje Polityka Bezpieczeństwa  rozporządzenie z dnia 27 kwietnia 2016 roku Parlamentu Europejskiego i Rady 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – Dziennik Urzędowy UE L 119 z dnia 4 maja 2016 – dalej zwane RODO.

B. Definicje

  • Administrator – rozumie się przez to Monikę Jamka, prowadzącą działalność gospodarczą MiMoRo Monika Jamka;
  • Osoba upoważniona – każda osoba posiadająca pisemne upoważnienie do przetwarzania danych osobowych wydane przez Administratora;
  • Użytkownik systemu – każda osoba, posiadająca upoważnienie do przetwarzania danych osobowych wydane przez Administratora zarejestrowana w systemie /posiadająca unikalny identyfikator i hasło/ przetwarzająca dane osobowe;
  • Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio;
  • Szczególne kategorie danych osobowych – dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby, a także dane osobowe dotyczące wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa ;
  • Zbiór danych – uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie;
  • Przetwarzanie danych – operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
  • Usuwanie danych – zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą;
  • Identyfikator użytkownika – ciąg znaków literowych, cyfrowych lub innych jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym;
  • Hasło – ciąg znaków literowych, cyfrowych lub innych, znany jedynie osobie uprawnionej do pracy w systemie informatycznym;
  • Uwierzytelnianie – to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu;
  • Bezpieczeństwo informacji –  zachowanie poufności, integralności, dostępności i rozliczalności informacji
  • Poufność – właściwość polegająca na tym, że informacja nie jest udostępniana lub wyjawiana nieupoważnionym osobom i podmiotom;
  • Dostępność – właściwość polegającym na byciu dostępnym i użytecznym na żądanie upoważnionego podmiotu lub upoważnionej osoby;
  • Integralność – właściwość zapewniająca, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany;
  • Rozliczalność – właściwość zapewniającą, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi;
  • Naruszenie ochrony danych osobowych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;
  • System informatyczny – zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych;
  • Zabezpieczanie danych w systemie informatycznym – wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem;

C. Zdefiniowanie odpowiedzialności

Administratorem jest Monika Jamka, prowadzącą działalność gospodarczą MiMoRo Monika Jamka.

Celem Polityki jest wskazanie działań, które należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonać obowiązki Administratora w zakresie zabezpieczenia danych osobowych.

Polityka obowiązuje wszystkie osoby przetwarzające dane osobowe Administratora.

Dane osobowe objęte Polityką Bezpieczeństwa oraz sposoby ich zabezpieczeń objęte są tajemnicą nieograniczoną w czasie.

II Polityka Bezpieczeństwa

A. Podstawowe zasady Polityki Bezpieczeństwa

W celu zapewnienia ochrony danych osobowych przetwarzanych przez Administratora stosuje się następujące zasady:

  • „minimum przywilejów” – przydzielanie praw dostępu tylko w zakresie niezbędnym do wykonywania czynności służbowych,
  • separacja obowiązków” – zadania krytyczne z punktu widzenia bezpieczeństwa informacji nie mogą być realizowane przez jedną osobę,
  • „domniemana odmowa” – przyjęcia, jako standardowych najbardziej restrykcyjnych ustawień, które można zwolnić jedynie w określonych sytuacjach.

Realizacja Polityki Bezpieczeństwa przebiega według wymienionych poniżej zasad:

  1. Każda osoba biorąca udział w przetwarzaniu danych osobowych posiada pisemne, imienne upoważnienie do ich przetwarzania nadane przez Administratora stanowiące polecenie Administratora w rozumieniu art. 29 RODO oraz 32 ust. 4 RODO . Upoważnienie to połączone jest z deklaracją wszystkich osób przetwarzających dane osobowe Administratora o zachowaniu w tajemnicy danych osobowych, sposobów ich zabezpieczania jak również zapoznania się z treścią Polityki Bezpieczeństwa – procedura nadawania upoważnień jest opisana w punkcie VIII B.
  2. Administrator wdrożył stosowne środki organizacyjne i techniczne mające na celu należyte zabezpieczenie danych osobowych.
  3. Administrator zabezpiecza zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania poprzez stosowanie następujących zasad:
  • system informatyczny Administratora jest zabezpieczony przed nieupoważnionym dostępem, utratą, modyfikacją lub zniszczeniem danych poprzez stosowanie identyfikatorów (loginów), haseł dostępu oraz programowania antywirusowego. Sieć wewnętrzna jest zabezpieczona przed nieupoważnionym dostępem z zewnątrz. Serwery zewnętrzne, z których korzysta Administrator zabezpieczone są hasłem dostępu.
  • każda osoba korzystająca z systemu za pośrednictwem Administratora dysponuje indywidualnym identyfikatorem, za pośrednictwem którego może korzystać z udostępnianych zasobów i usług.
  • wszystkie osoby przetwarzające dane osobowe Administratora są uświadomieni w zakresie przyjętej Polityki.
  • wszystkie osoby przetwarzające dane osobowe Administratora mają obowiązek informowania o wystąpieniu incydentu związanego z bezpieczeństwem informacji.
  1. W przypadku naruszenia ochrony danych osobowych, zgłoszenie go organowi nadzorczemu powinno:
  • opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
  • zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
  • opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
  • opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.
  1. Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze.
  2. Administrator nie przeprowadził oceny skutków przetwarzania dla ochrony danych, gdyż charakter, zakres, kontekst i cele przetwarzania danych osobowych nie wskazują na duże prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osób fizycznych.
  3. Administrator raz w roku podejmuje działania mające na celu testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania w postaci audytu sprawdzającego.
  4. Administrator wdrożył środki zapewniające zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego w postaci tworzenia kopii zapasowych danych osobowych przetwarzanych w systemie informatycznym oraz programów i narzędzi służących do przetwarzania danych osobowych. Kopie tworzone są raz w tygodniu na dysk zewnętrzny i przechowywane w innej lokalizacji niż siedziba Administratora.

B. Realizacja Polityki Bezpieczeństwa

Szczególną uwagę Administrator zwraca na elementy zarządzania, które mają istotny wpływ na bezpieczeństwo danych rozumiane jako ochrona przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, zmodyfikowaniem, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Dotyczy to nie tylko danych osobowych przechowywanych w bazach danych, dokumentacji papierowej, ale również tych danych, które przesyłane są w sieciach komputerowych. 

W tym ostatnim przypadku chodzi głównie o zabezpieczenie danych podczas ich elektronicznego transportu, który występuje, gdy dane są przesyłane:

  1. w wiadomościach e-mail: zbiorcze dane osobowe inne niż kontaktowe lub inne mogące negatywnie wpłynąć na podmiot danych muszą być przesyłane w zabezpieczonych załącznikach oraz nie mogą stanowić treści wiadomości – przez dane kontaktowe należy rozumieć dane (imię, nazwisko, stanowisko, telefon, adres poczty elektronicznej, miejsce pracy) wykorzystywane wyłącznie w celu skontaktowania się z daną osobą,
  2. z baz danych do użytkowników,

W takim przypadku cały sprzęt komputerowy jest chroniony kryptograficznie, w szczególności komputery przenośne i inne nośniki danych.

Zasady bezpieczeństwa należy traktować w sposób kompleksowy. Przy realizacji Polityki Bezpieczeństwa ważne jest zaangażowanie wszystkich osób biorących udział w przetwarzaniu danych. Szczególnie ważna jest znajomość problematyki bezpieczeństwa oraz świadomość jej znaczenia.

Wszystkie osoby przetwarzające dane osobowe deklarują wolę ochrony przetwarzanych danych osobowych, której celem jest zapewnienie bezpieczeństwa tych danych, a w szczególności dbanie o ich:

  • Poufność,
  • Integralność,
  • Dostępność,
  • Rozliczalność.

III Wykaz zbiorów danych osobowych

Administrator przetwarza dane osobowe osób fizycznych w systemach informatycznych oraz w postaci papierowej. Wszystkie dane osobowe przetwarzane przez Administratora są przetwarzane zgodnie z obowiązującymi przepisami prawa.

Przeprowadzono szczegółową inwentaryzację danych osobowych przetwarzanych w formie papierowej jak i elektronicznej.

A. Ogólne środki bezpieczeństwa.

A 1. Upoważnienia do przetwarzania danych osobowych.

Każda osoba przetwarzająca dane osobowe musi posiadać upoważnienie do przetwarzania danych osobowych. Upoważnienie zawiera wszystkie wymagane prawem informacje oraz poziom dostępu do systemu informatycznego Administratora.

Najpóźniej w ostatnim dniu pracy anuluje się upoważnienie poprzez odnotowanie tego faktu w Ewidencji osób upoważnionych oraz dokonanie odpowiedniej adnotacji w dokumencie upoważnienia.

A 2. Zasada czystego biurka i czystego ekranu

Informacje pozostawione na biurkach mogą ulec zniszczeniu lub uszkodzeniu, lub też mogą zostać ujawnione poprzez wgląd osób postronnych, dlatego też wprowadzono zasady:

  1. dokumenty papierowe oraz inne nośniki informacji powinny być przechowywane w zamykanych na klucz szafach i/lub w innych bezpiecznych miejscach, zwłaszcza poza godzinami pracy,
  2. wszystkie dokumenty papierowe muszą być niszczone przy pomocy niszczarki,
  3. dokumenty zawierające wrażliwe lub krytyczne informacje powinny być zamykane w szafkach z zamkiem, pieczątki powinny być zamykane w szufladach z zamkiem,
  4. nie wolno pozostawić zalogowanych komputerów bez nadzoru,
  5. monitory powinny być tak ustawione by uniemożliwić podgląd informacji na ekranie osobom  postronnym,
  6. poza godzinami pracy urządzenia kopiujące powinny być chronione przed użyciem przez nieuprawnione osoby,
  7. informacje poufne/wrażliwe należy natychmiast po wydrukowaniu wyjąć z drukarki.

B. Powierzenie przetwarzania danych.

Administrator przekazuje dane osobowe innym podmiotom. Dochodzi wówczas do powierzenia przetwarzania danych osobowych. W takim przypadku Administrator podejmuje następujące działania:

  1. uwzględnia powierzenie przetwarzania danych osobowych
  2. umieszcza w umowach zapisy dotyczące powierzenia przetwarzania danych osobowych.

Zapisy umowne dotyczące powierzenia przetwarzania danych muszą zawierać zapisy o tym, że podmiot przetwarzający:

  1. przetwarza dane osobowe wyłącznie w celu i zakresie określonym w umowie, a także wyłącznie na udokumentowane polecenie administratora;
  2. zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
  3. w miarę potrzeb podejmuje wszelkie środki wymagane w celu zabezpieczenia danych osobowych, w szczególności pseudonimizację i szyfrowanie danych osobowych, zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego oraz regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.;
  4. przekazuje powierzone dane osobowe innym podmiotom do przetwarzania tylko po uzyskaniu wyraźnej zgody administratora;
  5. pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw;
  6. pomaga administratorowi wywiązać się z obowiązków dotyczących zgłaszania naruszeń ochrony danych osobowych oraz w zakresie oceny skutków przetwarzania dla  danych osobowych;
  7. po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub  zwraca Administratorowi wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
  8. udostępnia Administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

„WYSYŁANIE I ODBIERANIE KORESPONDENCJI”.

  1. Administrator Danych: Monika Jamka;
  2. Cel przetwarzania danych w zbiorze: wysyłanie i odbieranie korespondencji;
  3. Opis kategorii osób, których dane są przetwarzane w zbiorze: nadawcy i adresaci korespondencji;
  4. Zakres danych przetwarzanych w zbiorze: imię, nazwisko, adres zamieszkania lub prowadzenia działalności gospodarczej, adres do korespondencji, inne dane w miarę potrzeb;
  5. Kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych: nie dotyczy;
  6. Planowane terminy usunięcia poszczególnych kategorii danych: bez ograniczeń;
  7. Ogólny opis technicznych i organizacyjnych środków bezpieczeństwa: ograniczony dostęp do danych, przechowywanie w zamkniętej szafie.

„PROWADZENIE SPRAW KONTRAHENTÓW”

  1. Administrator Danych: Monika Jamka;
  2. Cel przetwarzania danych w zbiorze: wykonywanie czynności handlowych;
  3. Opis kategorii osób, których dane są przetwarzane w zbiorze: klienci, dostawcy, firmy spedycyjne i kurierskie;
  4. Zakres danych przetwarzanych w zbiorze: imię, nazwisko, nazwa działalności gospodarczej, adres prowadzenia działalności gospodarczej, adres do korespondencji, zakres prac, numer konta bankowego, NIP, PESEL, e-mail, telefon,  inne dane w zakresie niezbędnym do wykonania zawartych umów;
  5. Kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych: dostawcy, firmy spedycyjne, kurierskie;
  6. Planowane terminy usunięcia poszczególnych kategorii danych: upływ terminów wskazanych w przepisach prawa;
  7. Ogólny opis technicznych i organizacyjnych środków bezpieczeństwa: ograniczony dostęp do danych, wykonywanie kopii zapasowych.