Polityka prywatności i bezpieczeństwo Użytkowników

POLITYKA BEZPIECZEŃSTWA UŻYTKOWNIKÓW

 

ROZDZIAŁ I POSTANOWIENIA OGÓLNE

§ 1

  1. Polityka bezpieczeństwa danych osobowych [ „Polityką Bezpieczeństwa Użytkowników” ], określa środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych, sposób przepływu danych pomiędzy poszczególnymi systemami, zawiera wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych oraz opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, a także tryb postępowania w przypadku stwierdzenia naruszenia ochrony danych osobowych w systemach informatycznych lub kartotekach, albo w sytuacji powzięcia podejrzenia o takim naruszeniu.
  2. Polityka Bezpieczeństwa Użytkowników została opracowana zgodnie z wymogami określonymi w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r., Nr 101, poz. 926 ze zm.) oraz rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), ze szczególnym uwzględnieniem jego § 4.

§ 2

  1. Ilekroć w Polityce Bezpieczeństwa Użytkowników jest mowa o:
    1. [ „zbiorze danych” ] - rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie,
    2. [ „przetwarzaniu danych” ] - rozumie się przez to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych,
    3. [ „systemie informatycznym” ] - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,
    4. [ „kartotece” ] - rozumie się przez to zewidencjonowany, usystematyzowany zbiór wykazów, skoroszytów, wydruków komputerowych i innej dokumentacji gromadzonej w formie papierowej, zawierającej dane osobowe,
    5. [ „Administratorze Danych” ] - rozumie się przez to spółkę prowadzącą działalność gospodarczą pod firmą STARHOUSE sp. z o.o. z siedzibą w Warszawie (05-807), przy ul. Transportowców 23, wpisanej do rejestru przedsiębiorców prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem 0000286319, NIP: 7343260371. Administrator Danych jest jednocześnie właścicielem portalu www.imoto.zone.
    6. [ „Inspektorze Ochrony Danych Osobowych” ] - rozumie się przez to osobę nadzorującą przestrzeganie zasad ochrony, która jest obowiązana zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochron. W szczególności powinna ona zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmian, utrat, uszkodzeniem lub zniszczeniem. Do jej obowiązków należy między innymi podejmowanie odpowiednich działań w przypadku stwierdzenia naruszenia ochrony danych osobowych w systemach informatycznych lub kartotekach, a także nadzór i kontrola w zakresie określonym przepisami o ochronie danych osobowych oraz regulacjami wewnętrznymi Administratora Danych,
    7. [ „osobie odpowiedzialnej za prawidłowe funkcjonowanie sprzętu, oprogramowania i jego konserwację” ] - rozumie się przez to informatyka odpowiedzialnego za powyższe zadania, zwanego dalej [ „Informatykiem” ],
    8. [ „komórce organizacyjnej” ] - rozumie się przez to każdą wydzieloną organizacyjnie i funkcjonalnie komórkę wewnętrzną, zgodnie z regulaminem organizacyjnym,
    9. [ „weryfikatorze” ] – rozumie się przez to osobę wyznaczoną przez Administratora Danych lub osobę przez niego upoważnioną, uprawnioną do bezpośredniego dostępu do danych osobowych przetwarzanych w systemie informatycznym oraz kartotekach, posiadającą ustalony identyfikator i hasło,
    10. [ „pracowniku ochrony” ] - rozumie się przez to osobę wykonującą zadania z zakresu ochrony osób i mienia na rzecz Administratora Danych,
    11. [ „pomieszczeniach” ] - rozumie się przez to budynki, pomieszczenia lub części pomieszczeń określone przez Administratora Danych, tworzące obszar, w którym przetwarzane są dane osobowe z użyciem stacjonarnego sprzętu komputerowego oraz gromadzone w kartotekach.
    12. [ „Rozporządzenie RODO” ] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE uszczegóławiająca zasady przetwarzania danych osobowych powierzanych takim serwisom jak iMoto.

§ 3

  1. Operator Portalu zobowiązuje się, w ramach swojej organizacji, przetwarzać powierzone dane ze szczególną starannością, zgodnie z Rozporządzeniem RODO oraz innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą, w szczególności poprzez zastosowanie odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzania danych osobowych adekwatną do zagrożeń związanych z przetwarzaniem danych osobowych, o których mowa w art. 32 Rozporządzenia RODO.
  2. Operator Portalu nadaje upoważnienia do przetwarzania danych osobowych wszystkim osobom, które będą przetwarzały powierzone dane w celu realizacji niniejszej umowy zawartej na skutek rejestracji Użytkownika oraz zobowiązuje je do zachowania w tajemnicy (o której mowa w art. 28 ust 3 pkt b Rozporządzenia RODO) przetwarzanych danych zarówno w trakcie zatrudniania ich przez Operatora Portalu, jak i po ustaniu zatrudnienia.
  3. W celu zwiększenia efektywności ochrony danych osobowych dokonano połączenia różnych zabezpieczeń w sposób umożliwiający stworzenie kilku warstw ochronnych. Ochrona danych osobowych jest realizowana poprzez: zabezpieczenia fizyczne, procedury organizacyjne, oprogramowanie systemowe, aplikacje oraz przez weryfikatorów.
  4. Zastosowane zabezpieczenia gwarantują:
    1. poufność danych – rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym podmiotom,
    2. integralność danych - rozumie się przez to właściwość zapewniającą, że dane osobowe nie zostały zmienione lub zniszczone w sposób nieautoryzowany,
    3. rozliczalność - rozumie się przez to właściwość zapewniającą, że działania podmiotu mogą być przypisane w sposób jednoznaczny tylko temu podmiotowi,
    4. integralność systemu - rozumie się przez to nienaruszalność systemu, niemożność jakiejkolwiek manipulacji,
    5. uwierzytelnianie - rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu.
  5. Za przestrzeganie zasad ochrony i bezpieczeństwa danych w komórkach organizacyjnych (jeśli takowe zostaną powołane) odpowiedzialni są kierownicy tych komórek.

§ 4

  1. Realizację zamierzeń określonych w § 3 ust. 2 powinny zagwarantować następujące założenia:
    1. wdrożenie procedur określających postępowanie osób zatrudnionych przy przetwarzaniu danych osobowych oraz ich odpowiedzialność za bezpieczeństwo tych danych,
    2. przeszkolenie weryfikatorów w zakresie bezpieczeństwa i ochrony danych osobowych,
    3. przypisanie weryfikatorom określonych atrybutów pozwalających na ich identyfikację (hasła, identyfikatory), zapewniających im dostęp do różnych poziomów baz danych osobowych – stosownie do indywidualnego zakresu upoważnienia,
    4. podejmowanie niezbędnych działań w celu likwidacji słabych ogniw w systemie zabezpieczeń,
    5. okresowe sprawdzanie przestrzegania przez weryfikatorów wdrożonych metod postępowania przy przetwarzaniu danych osobowych,
    6. opracowanie procedur odtwarzania systemu w przypadku wystąpienia awarii,
    7. śledzenie osiągnięć w dziedzinie bezpieczeństwa systemów informatycznych i w miarę możliwości organizacyjnych i techniczno-finansowych - wdrażanie nowych narzędzi i metod pracy oraz sposobów zarządzania systemami informatycznymi, które będą służyły wzmocnieniu bezpieczeństwa danych osobowych

§ 5

  1. Za naruszenie ochrony danych osobowych uważa się w szczególności:
    1. nieuprawniony dostęp lub próbę dostępu do danych osobowych lub pomieszczeń, w których się one znajdują,
    2. wszelkie modyfikacje danych osobowych lub próby ich dokonania przez osoby nieuprawnione (np. zmian zawartości danych, utrat całości lub części danych),
    3. naruszenie lub próby naruszenia integralności systemu,
    4. zmianę lub utratę danych zapisanych na kopiach zapasowych,
    5. naruszenie lub próby naruszenia poufności danych lub ich części,
    6. nieuprawniony dostęp (sygnał o nielegalnym logowaniu lub inny objaw wskazujący na próbę lub działanie związane z nielegalnym dostępem do systemu),
    7. udostępnienie osobom nieupoważnionym danych osobowych lub ich części,
    8. zniszczenie, uszkodzenie lub wszelkie próby nieuprawnionej ingerencji w systemy informatyczne zmierzające do zakłócenia ich działania bądź pozyskania w sposób niedozwolony (lub w celach niezgodnych z przeznaczeniem) danych zawartych w systemach informatycznych lub kartotekach,
    9. inny stan systemu informatycznego lub pomieszczeń niż pozostawiony przez weryfikatora po zakończeniu pracy.
  2. Za naruszenie ochrony danych osobowych uważa się również włamanie do budynku lub pomieszczeń, w których przetwarzane są dane osobowe lub próby takich działań.

 

ROZDZIAŁ II PRZEDSIĘWZIĘCIA ZABEZPIECZAJĄCE PRZED NARUSZENIEM OCHRONY DANYCH OSOBOWYCH

§ 6

  1. Każdy nowo zatrudniany pracownik - przed dopuszczeniem do dostępu do danych osobowych – podlega przeszkoleniu w zakresie przepisów o ochronie danych osobowych oraz wynikających z nich zadań oraz obowiązków.
  2. Wszyscy weryfikatorzy podlegają okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na sprzęt nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmian wewnętrznych regulacji.

§ 7

  1. Za organizację szkoleń, odpowiedzialny jest Inspektor Ochrony Danych Osobowych.

§ 8

  1. Odpowiednio przeszkoleni weryfikatorzy powinni mieć świadomość możliwości zaistnienia sytuacji naruszenia ochrony danych osobowych. W tym celu należy:
    1. zwracać szczególną uwagę przy wchodzeniu i wychodzeniu z obiektu na podejrzane osoby lub samochody parkujące w pobliżu,
    2. przestrzegać procedur związanych z otwieraniem i zamykaniem pomieszczeń, a także z wejściem do obszarów przetwarzania danych osobowych osób nieupoważnionych,
    3. informować Inspektora Ochrony Danych Osobowych lub pracowników ochrony o podejrzanych osobach, tj.:
      1. osobach zachowujących się nietypowo;
      2. osobach przebywających w obiekcie bez wyraźnego celu;
      3. osobach posiadających przy sobie podejrzane bagaże, w których mogą być ukryte niebezpieczne przedmioty;
    4. przestrzegać zasad i procedur ochrony danych osobowych, w czasie pracy a także po jej zakończeniu.
  2. Kierownicy komórek organizacyjnych, a także osoby na stanowiskach samodzielnych oraz weryfikatorzy zobowiązani są, na podstawie dokonanej identyfikacji ewentualnych zagrożeń, przedkładać Inspektorowi Ochrony Danych Osobowych projekty i propozycje stosownych rozwiązań, których celem jest zabezpieczenie przed naruszeniem ochrony danych osobowych.

§ 9

  1. Do podstawowych zabezpieczeń przed naruszeniem ochrony danych osobowych należą (w miarę możliwości):
    1. ochrona obiektu przez wszystkie dni w roku,
    2. wydzielanie pomieszczeń,
    3. wyposażenie pomieszczeń w specjalne szafy,
    4. zabezpieczenie wejść do pomieszczeń odpowiednimi zamkami.

§ 10

  1. Klucze do pomieszczeń wydawane są wyłącznie osobom do tego uprawnionym. Klucze zapasowe do pomieszczeń, przechowywane są w specjalnej szafie i mogą być wydawane w sytuacjach awaryjnych.
  2. Klucze zapasowe do szaf, w których przechowywane są kartoteki powinny być umieszczone w specjalnej szafie i mogą być wydawane w sytuacjach awaryjnych.
  3. Każdorazowe zdanie i pobranie kluczy zapasowych podlega wpisowi do rejestru, w rejestrze odnotowuje się datę, godzinę i nazwisko osoby zdającej lub pobierającej klucze oraz potwierdza jej podpisem.

§ 11

  1. Kartoteki przechowywane są w przeznaczonych do tego szafach, do których dostęp mają wyłącznie weryfikatory.
  2. Weryfikatorzy, o których mowa w ust. 1, odpowiedzialni są za rzetelne prowadzenie kartotek, ich kompletność oraz ochronę.

 

ROZDZIAŁ III PRZETWARZANIE DANYCH OSOBOWYCH

§ 12

  1. Przetwarzanie danych osobowych z użyciem stacjonarnego sprzętu komputerowego oraz karotek odbywa się wyłącznie na obszarze wyznaczonym przez Administratora Danych.
  2. Przetwarzanie danych osobowych za pomocą urządzeń przenośnych może odbywać się poza obszarem przetwarzania danych wyłącznie za zgodą Inspektora Ochrony Danych Osobowych.
  3. Dane przetwarzane będą do czasu istnienia podstawy do ich przetwarzania, czyli w przypadku udzielenia zgody do momentu jej cofnięcia, ograniczenia lub innych działań z ze strony Użytkownika ograniczających tę zgodę, w przypadku niezbędności danych do wykonania umowy, przez czas jej wykonywania i ewentualnie okres przedawnienia roszczeń z niej (zwykle nie więcej niż 3 lata, a maksymalnie 10 lat), a w przypadku, gdy podstawą przetwarzania danych jest uzasadniony interes administratora, do czasu zgłoszenia przez Użytkownika skutecznego sprzeciwu.
  4. Administrator danych może powierzać dane Użytkownika podwykonawcom IT, księgowym, agencjom marketingowym etc. Administrator danych dokona takiej czynności jedynie na podstawie umowy o powierzenie przetwarzania danych zobowiązującej taki podmiot do odpowiedniego zabezpieczenia danych i niekorzystania z nich do własnych celów.
  5. Ponadto Administrator jest zobowiązany do przekazywania danych osobowych Użytkownika na podstawie bezwzględnie obowiązujących przepisów prawa, w tym na żądanie uprawnionych sądów, organów i instytucji.
  6. Dane przetwarzane są w następujących celach:
    1. w zakresie niezbędnym do wykonania umowy, jaka zostaje zawarta w wyniku rejestracji w portalu iMoto, niepodanie danych osobowych uniemożliwia zawarcie i wykonanie umowy;
    2. zapewnienie bezpieczeństwa świadczonych usług (np. weryfikacji, czy nie logują się nieuprawnione osoby), ulepszania usług i dopasowanie ich do potrzeb Użytkowników (np. personalizowanie treści w usługach), prowadzenie marketingu i promocji własnych usług.
    3. za zgodą Użytkownika, usługi marketingowe będą dostarczane również przez Partnerów iMoto, przy czym udzielenie zgody przez Użytkownika jest dobrowolne i w przypadku jej nieudzielania na działania marketingowe, Użytkownik nie jest / nie będzie pozbawiony dostępu do usług iMoto. Użytkownik ma zawsze możliwość ograniczenia zakresu lub zmiany zgody i może tak uczynić w dowolnym, dogodnym dla siebie momencie.
  7. Z zastrzeżeniem ograniczeń wynikających z RODO i innych przepisów prawa, Użytkownik ma nieograniczone prawo dostępu do treści swoich danych, a także ma wynikające z tego prawo do ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych oraz wniesienia sprzeciwu wobec przetwarzania. Ponadto Użytkownik ma prawo wnieść skargę do właściwego organu nadzorczego w zakresie ochrony danych osobowych (którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych), gdy uzna, iż przetwarzanie danych osobowych Użytkownika narusza przepisy o ochronie danych osobowych, w tym przepisy Ogólnego Rozporządzenia o ochronie danych osobowych z 27 kwietnia 2016 r.
  8. W każdym wypadku, dane, na przetwarzanie których Użytkownik wyraził zgodę zostaną niezwłocznie usunięte po wycofaniu przez Użytkownika udzielonej wcześniej zgody. Swoimi danymi osobowymi możesz zarządzać z poziomu konta użytkownika.
  9. Dane osobowe będą przechowywane przez okres umożliwiający ochronę roszczeń na podstawie obowiązujących przepisów prawa.
  10. Operator Portalu przetwarza powierzone mu do przetwarzania dane w okresie świadczenia Usługi tj. od momentu założenia Konta do 30 (słownie: trzydzieści) dni po skasowaniu konta Użytkownika w Portalu. Okres trzydziestodniowego przetwarzania danych związany jest z istnieniem backupów Portalu, dzięki którym Operator Portalu umożliwia zachowanie integralności danych podczas świadczenia Usługi. Okres przetwarzania danych może być dłuższy, gdy prawo polskie lub unijne nakłada na Operatora Serwisu taki obowiązek.

§ 13

  1. W celu ograniczenia dostępu osób postronnych do pomieszczeń, w których zlokalizowano przetwarzanie danych osobowych, należy zapewnić, aby:
    1. drzwi wejściowe były zabezpieczone tak, aby otwarcie z zewnątrz mogło nastąpić wyłącznie przez uprawnione osoby,
    2. wydawanie kluczy do pomieszczeń podlegało rejestracji, z jednoczesnym poświadczeniem przez osobę odbierającą, faktu otrzymania kluczy o oznaczonym numerze,
    3. pomieszczenia, w których znajdują się serwery były wyposażone w miarę możliwości w sprawne systemy klimatyzacji, ochrony przeciwpożarowej i przeciwwłamaniowej,
    4. pracownicy Administratora Danych oraz pracownicy ochrony są zobowiązani do przestrzegania zasad określających dopuszczalne sposoby przemieszczania się osób trzecich w obrębie pomieszczeń , w których przetwarzane są dane osobowe,
    5. przebywanie osób trzecich w pomieszczeniach może odbywać się wyłącznie w obecności weryfikatorów lub za zgodą Administratora Danych.

§ 14

  1. Stały dostęp do pomieszczeń, w których przetwarzane są dane osobowe, mają tylko Inspektor Ochrony Danych Osobowych, weryfikatorzy oraz Informatyk.
  2. Dostęp do pomieszczeń, w których przetwarzane są dane osobowe, osób innych niż wymienione w ust. 1 jest możliwy wyłącznie w obecności co najmniej jednego weryfikatora lub za zgodą Administratora Danych.
  3. Zakaz wyrażony w ust. 2 dotyczy innych, niż określeni w ust. 1, pracowników Administratora Danych oraz pracowników służb technicznych, porządkowych, itp.
  4. Przebywanie weryfikatora po godzinach pracy w pomieszczeniach, w których przetwarzane są dane osobowe jest dopuszczalne jedynie za zgodą kierownika komórki organizacyjnej.

§ 15

  1. W trakcie prac technicznych wykonywanych przez osoby trzecie w pomieszczeniach, przetwarzanie danych jest zabronione.

§ 16

  1. Inspektor Ochrony Danych Osobowych jest odpowiedzialny za całość zagadnień dotyczących ochrony i bezpieczeństwa danych osobowych.
  2. W celu sprawnego wykonywania swoich zadań Inspektor Ochrony Danych Osobowych jest uprawniony do wnioskowania do Administratora w celu wyznaczania kierownikom komórek organizacyjnych oraz weryfikatorom wykonywania określonych zadań.
  3. Kierownicy komórek organizacyjnych zobowiązani są do przestrzegania przepisów o ochronie danych osobowych na terenie podległych komórek organizacyjnych, a także do ścisłej współpracy z Inspektorem Ochrony Danych Osobowych. W tym celu zobowiązani są do:
    1. pisemnego wnioskowania o rejestrację nowych zbiorów danych osobowych,
    2. okresowego składania pisemnej informacji z przebiegu bieżącej kontroli i oceny funkcjonowania mechanizmów zabezpieczeń i ochrony,
    3. występowania z wnioskami w sprawie wprowadzenia niezbędnych zmian w zakresie ochrony danych osobowych.

§ 17

  1. Szczegółowy wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich przetwarzania określają załączniki.

§ 18

  1. Opis struktury zbiorów danych osobowych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi oraz sposób przepływu danych określają załączniki.

 

ROZDZIAŁ IV KONTROLA PRZESTRZEGANIA ZASAD ZABEZPIECZENIA OCHRONY DANYCH OSOBOWYCH

§ 19

  1. Inspektor Ochrony Danych Osobowych sprawuje nadzór nad przestrzeganiem zasad ochrony danych osobowych.
  2. W przypadku nieobecności Inspektora Ochrony Danych Osobowych osobę zastępującą wyznacza Inspektor Ochrony Danych Osobowych lub osoba przez niego upoważniona dokonuje okresowych kontroli i oceny funkcjonowania mechanizmów zabezpieczeń oraz przestrzegania zasad postępowania w przypadku naruszenia ochrony danych osobowych.
  3. Przedmiotem kontroli, o których mowa w ust. 2 powinno być w szczególności:
    1. funkcjonowanie zabezpieczeń systemowych,
    2. prawidłowo funkcjonowania mechanizmów kontroli dostępu do zbioru danych,
    3. funkcjonowanie zastosowanych zabezpieczeń fizycznych,
    4. zasady przechowywania kartotek,
    5. zasady i sposoby likwidacji oraz archiwizowania zbiorów archiwalnych,
    6. realizacja procedur wdrożonych przez Administratora Danych w zakresie ochrony danych.
  4. Inspektor Ochrony Danych Osobowych prowadzi rejestr dokonywanych kontroli oraz ustaleń, wniosków i zaleceń z nich wynikających, a także nadzoruje ich wykonywanie.
  5. Z kontroli, o których mowa w ust. 3 należy sporządzać protokoły, które przechowuje Inspektor Ochrony Danych Osobowych.

 

ROZDZIAŁ V POSTĘPOWANIE W PRZYPADKU NARUSZENIA LUB PODEJRZENIA NARUSZENIA OCHRONY DANYCH OSOBOWYCH

§ 20

  1. Przed przystąpieniem do pracy weryfikator obowiązany jest dokonać sprawdzenia stanu urządzeń komputerowych oraz oględzin swojego stanowiska pracy, w tym zwrócić szczególną uwagę, czy nie zaszły okoliczności wskazujące na naruszenie lub próby naruszenia ochrony danych osobowych.
  2. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, weryfikator zobowiązany jest do bezzwłocznego powiadomienia o tym fakcie Inspektora Ochrony Danych Osobowych lub upoważnioną przez niego osobę.
  3. Obowiązek określony w ust. 2 ciąży równie na pozostałych pracownikach Administratora Danych.
  4. Postanowienia ust. 2 i 3 mają zastosowanie zarówno w przypadku naruszenia lub podejrzenia naruszenia ochrony danych osobowych gromadzonych w systemach informatycznych, jak i w kartotekach.

§ 21

  1. Do czasu przybycia Inspektora Ochrony Danych Osobowych lub upoważnionej przez niego osoby, zgłaszający:
    1. powstrzymuje się od rozpoczęcia lub kontynuowania pracy, jak również od podejmowania jakichkolwiek czynności, mogących spowodować zatarcie śladów naruszenia bądź innych dowodów,
    2. zabezpiecza elementy systemu informatycznego lub kartotek, przede wszystkim poprzez uniemożliwienie dostępu do nich osób nieupoważnionych,
    3. podejmuje, stosownie do zaistniałej sytuacji, wszelkie niezbędne działania celem zapobieżenia dalszym zagrożeniom, które mogą skutkować utratą danych osobowych.
  2. Postanowienia ust. 1 mają zastosowanie zarówno w przypadku naruszenia, jak i w przypadku podejrzenia naruszenia ochrony danych.

§ 22

  1. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, Inspektor Ochrony Danych Osobowych lub osoba przez niego upoważniona, po przybyciu na miejsce:
    1. ocenia zastałą sytuację, biorąc pod uwagę w szczególności stan pomieszczeń, w których przetwarzane są dane oraz stan urządzeń, a także identyfikuje wielkość negatywnych następstw incydentu,
    2. wysłuchuje relacji osoby, która dokonała powiadomienia,
    3. podejmuje decyzje o toku dalszego postępowania, stosownie do zakresu naruszenia lub zasadności podejrzenia naruszenia ochrony danych osobowych. W uzasadnionych przypadkach niezwłocznie powiadamia Administratora.

§ 23

  1. Inspektor Ochrony Danych Osobowych lub upoważniona przez niego osoba sporządza z przebiegu zdarzenia raport, w którym powinny się znaleźć w szczególności informacje o:
    1. dacie i godzinie powiadomienia,
    2. godzinie pojawienia się w pomieszczeniach, w których przetwarzane są dane,
    3. sytuacji, jaką zastał,
    4. podjętych działaniach i ich uzasadnieniu.
  2. Kopia raportu przekazywana jest bezzwłocznie Administratorowi, w przypadku, gdy raport sporządzony został przez osobę upoważnioną przez Inspektora Ochrony Danych Osobowych, także Inspektorowi Ochrony Danych Osobowych.

§ 24

  1. Inspektor Ochrony Danych Osobowych lub osoba przez niego upoważniona podejmuje kroki zmierzające do likwidacji naruszeń zabezpieczeń danych osobowych i zapobieżenia wystąpieniu ich w przyszłości. W tym celu:
    1. w miarę możliwości przywraca stan zgodny z zasadami zabezpieczenia systemu,
    2. relacjonuje Administratorowi przedsięwzięte czynności,
    3. o ile taka potrzeba zachodzi, postuluje wprowadzenie nowych form zabezpieczenia, a w razie ich wprowadzenia nadzoruje zaznajamianie z nimi osób zatrudnionych przy przetwarzaniu danych osobowych.
  2. W przypadku, gdy naruszenie ochrony danych osobowych jest wynikiem uchybienia obowiązującej u Administratora Danych dyscypliny pracy, Inspektor Ochrony Danych Osobowych lub upoważniona przez niego osoba wnioskuje do Administratora o wyjaśnienie wszystkich okoliczności incydentu i o podjęcie stosownych działań wobec osób, które dopuściły się tego uchybienia.

§ 25

  1. W przypadku stwierdzenia naruszenia lub zaistnienia okoliczności wskazujących na naruszenia ochrony danych osobowych, weryfikator może kontynuować pracę dopiero po otrzymaniu pozwolenia od Inspektora Ochrony Danych Osobowych lub osoby przez niego upoważnionej.
  2. W przypadku zaginięcia komputera lub nośników magnetycznych, na których były zgromadzone dane osobowe, weryfikator posługujący się komputerem niezwłocznie powiadamia Inspektora Ochrony Danych Osobowych lub upoważnioną przez niego osobę, a w przypadku kradzieży występuje o powiadomienie jednostki policji.
  3. W sytuacji, o której mowa w ust. 1 Inspektor Ochrony Danych Osobowych lub upoważniona przez niego osoba podejmuje niezbędne kroki do wyjaśnienia okoliczności zdarzenia, sporządza protokół z zajęcia, który powinna podpisać także osoba, której skradziono lub, której zaginął sprzęt oraz powiadamia Administratora.
  4. W przypadku kradzieży komputera razem z nośnikiem magnetycznym Inspektor Ochrony Danych Osobowych lub upoważniona przez niego osoba podejmuje działania zmierzające do odzyskania utraconych danych oraz nadzoruje proces przebiegu wyjaśnienia sprawy.

§ 26

  1. Osoba zatrudniona przy przetwarzaniu danych osobowych za naruszenie obowiązków wynikających z Polityki Bezpieczeństwa Użytkowników oraz przepisów o ochronie danych osobowych ponosi odpowiedzialność przewidzianą w Regulaminie Pracy, Kodeksie Pracy oraz wynikając z ustawy o ochronie danych osobowych.

 

ROZDZIAŁ VI POSTĘPOWANIE W WYPADKACH NADZWYCZAJNYCH

§ 27Wypadkiem nadzwyczajnym jest katastrofa, spowodowana działaniem sił przyrody takich jak ogień, huragan, woda lub ich przejawami.§ 28

  1. W przypadku wystąpienia zagrożenia powodującego konieczność przeprowadzenia ewakuacji osób lub mienia z pomieszczeń, w których przetwarzane są dane osobowe, mają zastosowanie przepisy niniejszego rozdziału oraz innych przepisów szczególnych.
  2. O zagrożeniu, jego skali i podjętych krokach zaradczych pracownik ochrony zobowiązany jest niezwłocznie powiadomić Inspektora Ochrony Danych Osobowych lub osobę przez niego upoważnioną w każdy możliwy sposób. W razie niemożności skontaktowania się z nim pracownik ochrony zawiadamia, co najmniej jedną z niej wymienionych osób:
    1. osobę wyznaczoną przez Administratora,
    2. Administratora.
  3. Numery telefonów Inspektora Ochrony Danych Osobowych i osób, z którymi należy się kontaktować na wypadek klęski żywiołowej powinny być znane pracownikom.

§ 29

  1. Osoby biorące udział w akcji ratunkowej, mają prawo wejść do pomieszczeń w których przetwarzane są dane osobowe bez dopełniania obowiązku, o którym mowa w § 14 ust.2 Polityki Bezpieczeństwa.

§ 30

  1. W przypadku ogłoszenia alarmu ewakuacyjnego weryfikatorzy, przebywający w pomieszczeniach, w których przetwarzane są dane osobowe, obowiązani są do przerwania pracy, a w miarę możliwości przed opuszczeniem tych pomieszczeń do:
    1. zamknięcia systemu informatycznego,
    2. zabezpieczenia danych osobowych gromadzonych w kartotekach.

§ 31

  1. W czasie trwania akcji ratunkowej i po jej zakończeniu Inspektor Ochrony Danych Osobowych oraz obecni weryfikatorzy powinni, w miarę możliwości, zabezpieczać dane osobowe przed nieuprawnionym do nich dostępem.
  2. Obowiązek ten ciąży w równym stopniu na innych pracownikach Administratora Danych, obecnych przy akcji ratunkowej.

 

ROZDZIAŁ VII POSTANOWIENIA KOŃCOWE

§ 32

  1. Polityka Bezpieczeństwa jest dokumentem wewnętrznym, zawiera dane, których ujawnienie mogłoby spowodować utratę danych chronionych w związku z czym nie może być udostępniania osobom nieupoważnionym w żadnej formie.

§ 33

  1. Kierownicy komórek organizacyjnych są obowiązani zapoznać z treścią Polityki Bezpieczeństwa każdego weryfikatora.
  2. Weryfikator zobowiązany jest złożyć oświadczenie, o tym, że został zaznajomiony z przepisami ustawy o ochronie danych osobowych, wydanymi na jej podstawie aktami wykonawczymi, obowiązującą Polityką Bezpieczeństwa oraz Instrukcją zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.
  3. Wzór oświadczenia, o którym mowa w ust. 2, określa załącznik do Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.
  4. Oświadczenia przechowywane są w aktach personalnych pracownika.

§ 34

  1. W sprawach nieuregulowanych w niniejszej Polityce mają zastosowanie przepisy ustawy o ochronie danych osobowych oraz wydanych na jej podstawie aktów wykonawczych.
  2. Weryfikatorzy zobowiązani są do bezwzględnego stosowania przy przetwarzaniu danych osobowych postanowień zawartych w niniejszej Polityce Bezpieczeństwa Użytkowników.