POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH 

w Publicznej Szkole Podstawowej nr 1  im. Klaudyny Potockiej w Pułtusku 

Rozdział 1 

Postanowienia ogólne 

§ 1 

Celem Polityki bezpieczeństwa przetwarzania danych osobowych w Publicznej Szkole  Podstawowej nr 1 im. Klaudyny Potockiej w Pułtusku, zwanej dalej „Polityką  bezpieczeństwa”, jest uzyskanie optymalnego i zgodnego z wymogami obowiązujących  aktów prawnych sposobu przetwarzania informacji zawierających dane osobowe. 

§ 2 

Polityka bezpieczeństwa została utworzona w związku z wymaganiami zawartymi  w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016  r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w  sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE oraz  rozporządzeniu ministra spraw wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie  dokumentacji przetwarzania danych osobowych oraz warunków technicznych  i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące  do przetwarzania danych osobowych.  

§ 3 

Ochrona danych osobowych realizowana jest poprzez zabezpieczenia:

1) fizyczne,  

2) organizacyjne,  

3) oprogramowanie systemowe,  

4) aplikacje, 

5) oraz użytkowników. 

§ 4 

1. Utrzymanie bezpieczeństwa przetwarzanych danych osobowych w Publicznej Szkole  Podstawowej nr 1 im. Klaudyny potockiej w Pułtusku rozumiane jest jako zapewnienie  ich poufności, integralności, rozliczalności oraz dostępności na odpowiednim poziomie.  Miarą bezpieczeństwa jest wielkość ryzyka związanego z ochroną danych osobowych,  którą systematycznie określa inspektor ochrony danych osobowych przekazując  sprawozdanie raz na kwartał z wnioskami i programami naprawczymi do realizacji  administratorowi. 

2. Zastosowane zabezpieczenia mają służyć osiągnięciu poniższych zasad i zapewnić: 1) poufność przetwarzania danych – rozumianą jako właściwość zapewniającą, że dane  nie są udostępniane nieupoważnionym osobom; 

2) legalizacja – rozumie się zasadność przetwarzania danych w oparciu o konkretną  podstawę prawną; 

3) integralność danych – rozumianą jako właściwość zapewniającą, że dane osobowe  nie zostały zmienione lub zniszczone w sposób nieautoryzowany; 

4) celowe i adekwatne – zapewnienie zakresu i celu przetwarzania danych osobowych; 5) prawidłowe – poprawność formy zbierania i przetwarzania zgodna z przepisami  prawa i aktami prawnymi wewnątrzzakładowymi; 

6) określone w czasie – okres na jako powierzono dane osobowe do przetwarzania  i moment kiedy te dane będą usunięte ze zbioru; 

7) rozliczalność danych – rozumianą jako właściwość zapewniającą, że działania osoby  mogą być przypisane w sposób jednoznaczny tylko tej osobie; 

8) integralność systemu – rozumianą jako nienaruszalność systemu, niemożność  jakiejkolwiek manipulacji, zarówno zamierzonej, jak i przypadkowej; 

9) dostępność informacji – rozumianą jako zapewnienie, że osoby upoważnione mają  dostęp do informacji i związanych z nią zasobów wtedy, gdy jest to potrzebne; 10) zarządzanie ryzykiem – rozumiane jako proces identyfikowania, kontrolowania,  monitorowania i minimalizowania lub eliminowania ryzyka dotyczącego 

bezpieczeństwa, które może dotyczyć systemów informacyjnych służących  do przetwarzania danych osobowych w zakresie technicznych, organizacyjnych,  procesowych i osobowych czynników ich zabezpieczenia. 

§ 5 

1. Administratorem przetwarzanych w Publicznej Szkole Podstawowej nr 1  im. Klaudyny Potockiej w Pułtusku danych osobowych i danych wrażliwych jest  Dyrektor Szkoły Anna Kamińska. 

2. Administrator powołuje Inspektora ochrony danych osobowych, którego zadania  określa § 17 niniejszej polityki. 

Rozdział 2 

Definicje 

§ 6 

Przez użyte w Polityce bezpieczeństwa określenia należy rozumieć: 

1) administrator – rozumie się Dyrektora Jednostki, który decyduje o celach i środkach  przetwarzania danych osobowych 

2) inspektora ochrony danych osobowych – rozumie się przez to osobę wyznaczoną  przez administratora danych osobowych, nadzorującą przestrzeganie zasad ochrony  danych osobowych, w szczególności zabezpieczenia danych przed ich udostępnieniem  osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem  z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem; 

3) rozporządzenie MSWiA – rozporządzenie ministra spraw wewnętrznych  i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych  osobowych oraz warunków technicznych i organizacyjnych, jakim powinny  odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych  osobowych (Dz.U. z 2004 r. nr 100, poz. 1024) 

4) rozporządzenie RODO - Rozporządzeniu Parlamentu Europejskiego i Rady (UE)  2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku  z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich  danych oraz uchylenia dyrektywy 95/46/WE oraz rozporządzeniu ministra spraw  wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji 

przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,  jakim powinny odpowiadać urządzenia i systemy informatyczne służące  do przetwarzania danych osobowych.  

5) dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej  do zidentyfikowania osoby fizycznej; 

6) dane wrażliwe – dane dotyczące osoby fizycznej pozwalające na określenie: stanu  zdrowia, kodu genetycznego, sytuacji socjalnej, pochodzenia narodowego  i etnicznego, przynależności związkowej, przynależności partyjnej, upodobań  seksualnych, religii, poglądów filozoficznych, lokalizacji, wizerunku osoby, treści 

komunikacji teleinformatycznej prowadzonej w sprawach prywatnych, informacji  o wyrokach sądowych i mandatach, orzeczeń o niepełnosprawności, decyzji  administracyjnych, egzekucji komorniczo-finansowych, zobowiązań finansowych  (długów) oraz dane biometryczne; 

7) zbiór danych osobowych – każdy posiadający strukturę zestaw danych  o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie  od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie; 

8) przetwarzanie danych – rozumie się przez to jakiekolwiek operacje wykonywane  na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie,  opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje  się w systemach informatycznych; 

9) system informatyczny – rozumie się przez to zespół współpracujących ze sobą  urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych  zastosowanych w celu przetwarzania danych osobowych; 

10)system tradycyjny – rozumie się przez to zespół procedur organizacyjnych,  związanych z mechanicznym przetwarzaniem informacji i wyposażenia, i środków  trwałych w celu przetwarzania danych osobowych na papierze; 

11) zabezpieczenie danych w systemie informatycznym – rozumie się przez  to wdrożenie i eksploatację stosownych środków technicznych i organizacyjnych  zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem; 

12) użytkownik – rozumie się przez to upoważnionego przez administratora  lub inspektora ochrony danych osobowych i jego zastępcę (o ile został powołany),  wyznaczonego do przetwarzania danych osobowych pracownika;

13) identyfikator użytkownika (login) – ciąg znaków literowych, cyfrowych lub innych,  jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych  osobowych w systemie informatycznym; 

14) hasło – ciąg znaków literowych, cyfrowych lub innych, przypisany do identyfikatora  użytkownika, znany jedynie osobie uprawnionej do pracy w systemie  informatycznym. 

Rozdział 3 

Zakres stosowania 

§ 7 

1. W Publicznej Szkole Podstawowej nr 1 im. Klaudyny Potockiej w Pułtusku przetwarzane  są w szczególności dane osobowe i dane wrażliwe zebrane w zbiorach danych osobowych. 2. Informacje te są przetwarzane zarówno w postaci dokumentacji tradycyjnej,  jak i elektronicznej.  

3. Polityka bezpieczeństwa zawiera dokumenty dotyczące wprowadzonych zabezpieczeń  technicznych, organizacyjnych i osobowych zapewniających ochronę przetwarzanych  danych osobowych.  

§ 8 

Politykę bezpieczeństwa stosuje się w szczególności do: 

1) danych osobowych przetwarzanych w systemie tradycyjnym i elektronicznym; 2) wszystkich informacji dotyczących danych osobowych niezależnie od formy  przetwarzania aktywów; 

3) wszystkich danych wrażliwych niezależnie od formy przetwarzania aktywów; 4) informacji dotyczących zabezpieczenia danych osobowych, w tym w szczególności  nazw kont i haseł w systemach przetwarzania danych osobowych; 

5) rejestru osób dopuszczonych do przetwarzania danych osobowych; 

6) innych dokumentów zawierających dane osobowe. 

§ 9 

1. Zakresy ochrony danych osobowych określone przez dokumenty Polityki  bezpieczeństwa mają zastosowanie do systemów informatycznych, w których  są przetwarzane dane osobowe, a w szczególności do:

1) wszystkich istniejących, wdrażanych obecnie lub w przyszłości systemów  informatycznych oraz papierowych, w których przetwarzane są dane  osobowe podlegające ochronie; 

2) wszystkich lokalizacji – budynków i pomieszczeń, w których są lub będą  przetwarzane informacje podlegające ochronie; 

3) wszystkich pracowników, stażystów, zleceniobiorców i innych osób  mających dostęp do informacji podlegających ochronie. 

2. Do stosowania zasad określonych przez dokumenty Polityki bezpieczeństwa  zobowiązani są wszyscy pracownicy, stażyści, zleceniobiorcy oraz inne osoby mające  dostęp do informacji podlegających ochronie. 

Rozdział 4 

Wykaz zbiorów danych osobowych 

§ 10

 

 

 

 

 

 

 

 

 

§ 11 

Zbiory danych osobowych wymienione w § 10 podlegają przetwarzaniu w sposób tradycyjny  jak i przy użyciu przy użyciu systemu informatycznego.

Rozdział 5 

Wykaz budynków, pomieszczeń i stref do przetwarzania danych osobowych § 12 

1. Dane osobowe przetwarzane są w budynku, mieszczącym się w Pułtusku 06-100,  ul. Marii Konopnickiej 5.

 

 

Rozdział 6 

Struktura zbiorów danych wskazujących zawartość poszczególnych pól informacyjnych § 13 

Struktura zbiorów danych wskazujących zawartość poszczególnych pól informacyjnych  dla programów komputerowych i systemów informatycznych stosowanych  w Publicznej Szkole Podstawowej nr 1 im. Klaudyny Potockiej w Pułtusku przedstawia się  w sposób następujący: 

 

Rozdział 7 

Sposób przepływu danych między poszczególnymi systemami i współpracy systemów  informatycznych ze zbiorami danych 

§ 14 

Przepływ danych pomiędzy poszczególnymi systemami

 

 

 

 

1. Przepływ danych w ramach systemu kadrowo-płacowego 

2. Przepływ danych w ramach systemów kadrowego i płacowo-księgowego

3. Przepływ danych w ramach zintegrowanego systemu informatycznego

Rozdział 8 

Środki techniczne i organizacyjne zabezpieczenia danych osobowych 

§ 15 

1. Zabezpieczenia organizacyjne  

1) sporządzono i wdrożono Politykę bezpieczeństwa; 

2) sporządzono i wdrożono Instrukcję zarządzania systemem informatycznym służącym  do przetwarzania danych osobowych w Publicznej Szkole Podstawowej nr 1 im.  Klaudyny Potockiej w Pułtusku; 

3) wyznaczono inspektora ochrony danych osobowych i jego zastępcę ds. systemów  informatycznych; 

4) do przetwarzania danych zostały dopuszczone wyłącznie osoby posiadające  upoważnienia nadane przez administratora bądź osobę przez niego upoważnioną; 5) stworzono procedurę postępowania w sytuacji naruszenia ochrony danych osobowych; 6) osoby zatrudnione przy przetwarzaniu danych zostały zaznajomione z przepisami  dotyczącymi ochrony danych osobowych oraz w zakresie zabezpieczeń systemu  informatycznego; 

7) osoby zatrudnione przy przetwarzaniu danych osobowych obowiązane zostały  do zachowania ich w tajemnicy i złożyły w tym zakresie stosowne oświadczenia;

8) przetwarzanie danych osobowych dokonywane jest w warunkach zabezpieczających  dane przed dostępem osób nieupoważnionych; 

9) przebywanie osób nieuprawnionych w pomieszczeniach, gdzie przetwarzane są dane  osobowe, jest dopuszczalne tylko w obecności osoby zatrudnionej przy przetwarzaniu  danych osobowych oraz w warunkach zapewniających bezpieczeństwo danych; 

10) dokumenty i nośniki informacji zawierające dane osobowe, które podlegają  zniszczeniu, neutralizuje się za pomocą urządzeń do tego przeznaczonych  lub dokonując takiej ich modyfikacji, która nie pozwoli na odtworzenie ich treści, aby  po dokonaniu usunięcia danych niemożliwa była identyfikacja osób; 

11)stosuje się zasadę anonimizacji aktywów z ustaleniem kodów umownych dla osób  uprawnionych; 

12)stosuje się zasadę zapomnienia dla aktywów, dla których wygasła zgoda  na przetwarzanie, zmienił się cel i zakres przetwarzania; 

13)stosuje się określenie terminów możliwego przetwarzania aktywów. 2. Zabezpieczenia techniczne: 

1) wewnętrzną sieć komputerową zabezpieczono poprzez odseparowanie od sieci  publicznej za FireWall  

2) stanowiska komputerowe na których przetwarza się dane osobowe wyposażono  w indywidualną ochronę antywirusową, 

3) komputery zabezpieczono przed możliwością użytkowania przez osoby nieuprawnione  do przetwarzania danych osobowych, za pomocą indywidualnego identyfikatora  użytkowania i cykliczne wymuszanie zmiany hasła. 

3. Środki ochrony fizycznej: 

1) obszar, na którym przetwarzane są dane osobowe, poza godzinami pracy, chroniony  jest alarmem, 

2) obszar, na którym przetwarzane są dane osobowe objęty jest całodobowym  monitoringiem, 

3) urządzenia służące do przetwarzania danych osobowych umieszcza się w zamykanych  pomieszczeniach z kontrolą dostępu.

Rozdział 9 

Zadania administratora i działającego w jego imieniu na podstawie upoważnienia  inspektora ochrony danych osobowych 

§ 16 

Do najważniejszych obowiązków administratora i inspektora ochrony danych osobowych należy: 

1) organizacja bezpieczeństwa i ochrony danych osobowych zgodnie z wymogami ustawy  o ochronie danych osobowych, 

2) zapewnienie przetwarzania danych zgodnie z uregulowaniami Polityki, 3) aktualizacja Polityki, 

4) wydawanie i anulowanie upoważnień do przetwarzania danych osobowych, 5) prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych, 6) ustalanie rocznego harmonogramu kontroli wewnętrznej w obszarze przetwarzania  danych osobowych i danych wrażliwych, 

7) ustalenie rocznego harmonogramu szkoleń wewnętrznych i zewnętrznych o obszarze  przetwarzania danych osobowych i danych wrażliwych, 

8) przeprowadzanie szkoleń wstępnych, 

9) prowadzenie postępowania wyjaśniającego w przypadku naruszenia ochrony danych  osobowych, prowadzenie postępowania wyjaśniającego w przypadku naruszenia  ochrony danych osobowych, 

10)nadzór nad bezpieczeństwem danych osobowych, 

11)kontrola obiektów, pomieszczeń, stanowisk pod względem zgodności przetarzania  danych z przepisami o ochronie danych osobowych z jednoczesnym przedstawieniem  protokołów, wniosków i propozycji programów naprawczych 

12)inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych  osobowych, 

13)konsultowanie opracowywania i dostosowywanie wzorów dokumentów  do przedmiotowego zakresu przetwarzania danych osobowych i danych szczególnie  wrażliwych z uwzględnieniem podstaw prawnych; 

14)stałą współpracę z inspektorem ochrony danych osobowych i realizację ustalonych  wspólnie działań kontrolno-naprawczych;

15)bieżący monitoring i zapewnienie ciągłości działania systemu informatycznego oraz  baz danych; 

16)optymalizację wydajności systemu informatycznego, instalacje i konfiguracje sprzętu  sieciowego i serwerowego; 

17)instalacje i konfiguracje oprogramowania systemowego, sieciowego; 18)konfigurację i administrowanie oprogramowaniem systemowym, sieciowym oraz  zabezpieczającym dane chronione przed nieupoważnionym dostępem; 19)nadzór nad zapewnieniem awaryjnego zasilania komputerów oraz innych urządzeń  mających wpływ na bezpieczeństwo przetwarzania danych; 

20)współpracę z dostawcami usług oraz sprzętu sieciowego i serwerowego oraz  zapewnienie zapisów dotyczących ochrony danych osobowych; 

21) zarządzanie kopiami awaryjnymi konfiguracji oprogramowania systemowego,  sieciowego; 

22) zarządzanie kopiami awaryjnymi danych osobowych oraz zasobów umożliwiających  ich przetwarzanie; 

23)przeciwdziałanie próbom naruszenia bezpieczeństwa informacji; 

24)przyznawanie na wniosek administratora danych osobowych lub administratora  bezpieczeństwa informacji ściśle określonych praw dostępu do informacji w danym  systemie; 

25)wnioskowanie do administratora danych osobowych lub administratora bezpieczeństwa  informacji w sprawie zmian lub usprawnienia procedur bezpieczeństwa i standardów  zabezpieczeń; 

26) zarządzanie licencjami, procedurami ich dotyczącymi; 

27)prowadzenie profilaktyki antywirusowej; 

28)praca inspektora ochrony danych osobowych jest nadzorowana m.in. pod względem  przestrzegania ustawy o ochronie danych osobowych, rozporządzenia ministra spraw  wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji  przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,  jakim powinny odpowiadać urządzenia i systemy informatyczne służące  do przetwarzania danych osobowych oraz Polityki bezpieczeństwa przez  administratora lub inspektora ochrony danych osobowych.

Rozdział 10 

Sprawozdanie roczne stanu systemu ochrony danych osobowych 

§ 17 

1. Corocznie do dnia 30 stycznia po zakończonym roku kalendarzowym inspektor  ochrony danych osobowych przygotowuje sprawozdanie roczne stanu funkcjonowania  systemu ochrony danych osobowych i przekazuje do administratora. 

2. Sprawozdanie przygotowywane jest w formie pisemnej w ustalony sposób. 

Rozdział 11 

Szkolenia użytkowników 

§ 18 

1. Każdy użytkownik przed dopuszczeniem do pracy z systemem informatycznym  przetwarzającym dane osobowe lub zbiorami danych osobowych w wersji papierowej  winien być poddany przeszkoleniu w zakresie ochrony danych osobowych w zbiorach  elektronicznych i papierowych. 

2. Szkolenia dzielą się na dwa rodzaje: wstępne (przeprowadzane w momencie  zatrudnienia) i okresowe (związane z przypomnieniem standardów ochronnych danych  osobowych i danych szczególnie wrażliwych). 

3. Za przeprowadzenie szkolenia odpowiada inspektor ochronnych danych osobowych  lub jego zastępca. 

4. Zakres szkolenia powinien obejmować zaznajomienie użytkownika z przepisami  ustawy o ochronie danych osobowych oraz wydanymi na jej podstawie aktami  wykonawczymi oraz instrukcjami obowiązującymi u administratora, a także  o zobowiązaniu się do ich przestrzegania.  

5. Szkolenie zostaje zakończone podpisaniem przez słuchacza oświadczenia o wzięciu  udziału w szkoleniu i jego zrozumieniu oraz zobowiązaniu się do przestrzegania  przedstawionych w trakcie szkolenia zasad ochrony danych osobowych. 

6. Dokument ten jest przechowywany w aktach osobowych użytkowników i stanowi  podstawę do podejmowania działań w celu nadania im uprawnień do korzystania  z systemu informatycznego przetwarzającego dane osobowe.

Rozdział 12 

Postanowienia końcowe 

§ 19 

1. Administrator lub inspektor ochrony danych osobowych ma obowiązek zapoznać  z treścią Polityki każdego użytkownika. 

2. Wszystkie regulacje dotyczące systemów informatycznych, określone w Polityce  dotyczą również przetwarzania danych osobowych w bazach prowadzonych  w jakiejkolwiek innej formie. 

3. Użytkownicy zobowiązani są do stosowania przy przetwarzaniu danych osobowych  postanowień zawartych w Polityce. 

4. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego  lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego  w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby  zgodnie z określonymi zasadami, a także, gdy nie zrealizowała stosownego działania  dokumentującego ten przypadek, można wszcząć postępowanie dyscyplinarne. 

5. Kara dyscyplinarna orzeczona wobec osoby uchylającej się od powiadomienia  nie wyklucza odpowiedzialności karnej tej osoby, zgodnie z ustawą oraz możliwości  wniesienia wobec niej sprawy z powództwa cywilnego przez pracodawcę  o zrekompensowanie poniesionych strat. 

6. W sprawach nieuregulowanych w Polityce mają zastosowanie przepisy ustawy,  Rozporządzenia PE i RUE, Rozporządzenia MSWiA oraz innych aktów prawnych,  które wejdą w życie w trakcie obowiązywania polityki ochrony danych osobowych. 

7. Zmian w polityce dokonuje się w takim samym trybie jak jej wdrożenie z uchyleniem  regulacji i wprowadzeniem znowelizowanego tekstu jednolitego.