ZARZĄDZENIE Nr 9/2015

Transkrypt

1 ZARZĄDZENIE Nr 9/2015 Dyrektora Publicznej Szkoły Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli z dnia 5 czerwca 2015 roku w sprawie: wprowadzenia Polityki Bezpieczeństwa Informacji. Na podstawie art.36 ustawy z dn. 29 sierpnia 1997 roku o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) oraz 3 i 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać systemy i urządzenia informatyczne służące do przetwarzania danych osobowych (Dz.U nr 100 poz. 1024) 1 Wprowadzam w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli Politykę Bezpieczeństwa Informacji, której treść stanowi załącznik nr 1 do zarządzenia. 2 Każdy pracownik, zgodnie z wykazem, jest zobowiązany zapoznać się z treścią załącznika nr 1. 3 Oświadczenie o zapoznaniu się z treścią Polityki Bezpieczeństwa Informacji, zaopatrzone w podpis pracownika i datę, dołącza się do akt osobowych. Wzór oświadczenia stanowi załącznik nr 2 Polityki Bezpieczeństwa Informacji. 4 Dyrektor zobowiązuje wszystkich pracowników do przestrzegania Polityki Bezpieczeństwa Informacji. W przypadku niezastosowania się do treści zarządzenia mogą zostać wyciągnięte konsekwencje służbowe przewidziane prawem. 5 Zarządzenie wchodzi w życie z dniem 5 czerwca 2015 roku.

2 Załącznik nr 1 do Zarządzenia Nr 9/2015 Dyrektora PSPzOI nr 7 w Stalowej Woli z dnia 5 czerwca 2015 roku. POLITYKA BEZPIECZEŃSTWA INFORMACJI w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli Podstawa prawna: 1. Konstytucja RP (art. 47 i 51) 2. Konwencja nr 108 Rady Europy dotycząca osób w związku z automatycznym przetwarzaniem danych osobowych 3. 3 i 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, (Dz. U. 2004/100/1024). zgodnie z art. 1 ust. 1 ustawy z 29 sierpnia 1997 r. (Dz. U. 2002/101/926 - Tekst jednolity z późn. zm.). 4. art. 68 ust.2 ustawy z 27 sierpnia 2009r. o finansach publicznych (Dz.U.157 poz z późn. zm.) 1 Strona 2 z 43

3 POSTANOWIENIA WSTĘPNE. 1. Polityka bezpieczeństwa przetwarzania danych osobowych w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 w Stalowej Woli zwana dalej Polityką bezpieczeństwa określa podstawowe zasady dotyczące zapewnienia bezpieczeństwa w zakresie danych osobowych przetwarzanych w zbiorach danych: a) tradycyjnych, w szczególności kartotekach, księgach, skorowidzach, aktach osobowych, wykazach, w zbiorach ewidencyjnych; b) w systemach informatycznych, w szczególności deklaracje ZUS, ewidencje płacowe, informacje skarbowe, ewidencje statystyczne, plany organizacyjne, dane w dziennikach elektronicznych. 2. Polityka bezpieczeństwa zawiera: a) identyfikację zasobów systemu tradycyjnego i informatycznego, b) wykaz pomieszczeń, tworzący obszar, w którym przetwarzane są dane osobowe, c) wykaz zbiorów danych osobowych oraz programy zastosowane do przetwarzania tych danych, d) opis struktury zbiorów danych i sposoby ich przepływu, e) środki techniczne i organizacyjne, służące zapewnieniu poufności przetwarzanych danych. 4. Procedury i zasady określone w niniejszym dokumencie stosuje się do wszystkich osób upoważnionych do przetwarzania danych osobowych, zarówno zatrudnionych w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 w Stalowej Woli, jak i innych, np. studentów, odbywających w niej praktyki pedagogiczne. 5. Dane osobowe" są to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Możliwa do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny (np. PESEL, NIP) albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. 6. Odpowiedzialność za powierzone dane osobowe, ponoszą wszyscy pracownicy szkoły, mający dostęp do danych osobowych w ramach swych obowiązków służbowych. Polityka bezpieczeństwa" jest to zestaw praw, reguł i praktycznych doświadczeń regulujących sposób zarządzania, ochrony i dystrybucji zasobów w danych osobowych Polityka bezpieczeństwa" opisuje działania, które w najbardziej efektywny sposób pozwolą osiągnąć postawiony cel. 7. W celu zapewnienia bezpieczeństwa przetwarzanych danych wymaga się, aby wszyscy jego użytkownicy byli świadomi konieczności ochrony wykorzystywanych zasobów. Konsekwencją nie stosowania przez pracownika środków bezpieczeństwa określonych w instrukcjach wewnętrznych może być zniszczenie części lub całości systemów informatycznych, utrata poufności, autentyczności, straty finansowe, jak również utrata wizerunku. 8. Pracownicy są odpowiedzialni za bezpieczeństwo danych, do których mają dostęp. W szczególności w systemach informatycznych odpowiadają oni za poprawne wprowadzanie informacji do tych systemów oraz za użycie, zniszczenie lub uszkodzenie sprzętu oraz znajdujących się na nim danych i oprogramowania. 2 Strona 3 z 43

4 DEFINICJE. Ilekroć w dokumencie jest mowa o: 1. administratorze danych osobowych (ADO) - rozumie się przez to osobę decydującą o celach i środkach przetwarzania danych - dyrektor szkoły, 2. haśle - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, znany jedynie osobie uprawnionej do pracy w systemie informatycznym, 3. identyfikatorze użytkownika - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym, 4. odbiorcy danych - rozumie się przez to każdego, komu udostępnia się dane osobowe, z wyłączeniem: osoby, której dane dotyczą; osobę upoważnioną do przetwarzania danych; osobę, której powierzono przetwarzanie danych; organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem, 5. osobie upoważnionej do przetwarzania danych osobowych - rozumie się przez to pracownika szkoły, która upoważniona została do przetwarzania danych osobowych przez dyrektora szkoły na piśmie, 6. poufności danych - rozumie się przez to właściwość zapewniającą, że dane nie są udostępniane nieupoważnionym osobom, 7. raporcie - rozumie się przez to przygotowane przez system informatyczny zestawienia zakresu i treści przetwarzanych danych, 8. rozporządzeniu MSWiA - rozumie się przez to rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne, służące do przetwarzania danych osobowych (Dz. U. z 2004 r., nr 100, poz ) 9. serwisancie - rozumie się przez to pracownika zajmującego się instalacją, naprawą i konserwacją sprzętu komputerowego, 10. sieci publicznej - rozumie się przez to sieć telekomunikacyjną, wykorzystywaną głównie do świadczenia publicznie dostępnych usług telekomunikacyjnych, 11. systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych, 12. szkoła - rozumie się przez to Publiczną Szkołę Podstawową z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernnika w Stalowej Woli, 13. teletransmisji - rozumie się przez to przesyłanie informacji za pośrednictwem sieci telekomunikacyjnej, 14. ustawie - rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r., nr 101, poz z późn. zm.) 15. uwierzytelnianiu - rozumie się przez to działanie, którego celem jest weryfikacja deklarowanej tożsamości podmiotu, 16. użytkowniku - rozumie się przez to osobę upoważnioną do przetwarzania danych osobowych, której nadano identyfikator i przyznano hasło. 3 Strona 4 z 43

5 ORGANIZACJA PRZETWARZANIA DANYCH OSOBOWYCH. 1. Administrator danych osobowych, reprezentowany przez dyrektora szkoły, realizuje zadania w zakresie ochrony danych osobowych, w tym zwłaszcza: a) podejmuje decyzje o celach i środkach przetwarzania danych osobowych z uwzględnieniem przede wszystkim zmian w obowiązującym prawie, organizacji administratora danych oraz technik zabezpieczenia danych osobowych, b) upoważnia poszczególne osoby do przetwarzania danych osobowych w określonym indywidualnie zakresie, odpowiadającym zakresowi jej obowiązków oraz odwołuje te upoważnienia lub wyrejestrowuje użytkownika z systemu informatycznego, c) prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych oraz pozostałą dokumentację z zakresu ochrony danych o ile jako właściwą do jej prowadzenia nie wskaże innej osoby, d) zapewnia, użytkownikom odpowiednie stanowiska i warunki pracy, umożliwiające bezpieczne przetwarzanie danych, e) podejmuje odpowiednie działania w przypadku naruszenia lub podejrzenia naruszenia procedur, f) sprawuje nadzór nad wdrożeniem stosowanych środków fizycznych, a także organizacyjnych i technicznych w celu zapewnienia bezpieczeństwa danych, g) sprawuje nadzór nad funkcjonowaniem systemu zabezpieczeń, w tym także nad prowadzeniem ewidencji z zakresu ochrony danych osobowych, h) koordynuje wewnętrzne audyty przestrzegania przepisów o ochronie danych osobowych, i) nadzoruje udostępnianie danych osobowych odbiorcom danych i innym podmiotom, j) przygotowuje wnioski zgłoszeń rejestracyjnych i aktualizacyjnych zbiorów danych oraz prowadzi inną korespondencję z Generalnym Inspektorem Ochrony Danych, k) zawiera wzory dokumentów (odpowiednie klauzule w dokumentach), dotyczących ochrony danych osobowych, l) nadzoruje prowadzenie ewidencji i innej dokumentacji z zakresu ochrony danych osobowych, m) prowadzi oraz aktualizuje dokumentację, opisującą sposób przetwarzanych danych osobowych oraz środki techniczne i organizacyjne, zapewniające ochronę przetwarzanych danych osobowych, n) podejmuje odpowiednie działania w przypadku naruszenia lub podejrzenia naruszenia systemu informatycznego, o) przygotowuje wyciągi z polityki bezpieczeństwa, dostosowane do zakresów obowiązków osób upoważnionych do przetwarzania danych osobowych, p) przygotowuje materiały szkoleniowe z zakresu ochrony danych osobowych i prowadzi szkolenia osób upoważnionych do przetwarzania danych osobowych, q) na czas nieobecności (urlop, choroba) wyznacza swojego zastępcę. 2. Osoba upoważniona do przetwarzania danych osobowych jest zobowiązana przestrzegać następujących zasad: a) może przetwarzać dane osobowe wyłącznie w zakresie ustalonym indywidualnie przez administratora danych w upoważnieniu i tylko w celu wykonywania nałożonych obowiązków. Rozwiązanie stosunku pracy, odwołanie z pełnionej funkcji powoduje wygaśnięcie upoważnienia do przetwarzania danych osobowych, Strona 5 z 43

6 b) musi zachować tajemnicę danych osobowych oraz przestrzegać procedur ich bezpiecznego przetwarzania. Przestrzeganie tajemnicy danych osobowych obowiązuje przez cały okres zatrudnienia u administratora danych, a także po ustaniu stosunku pracy lub odwołaniu z pełnionej funkcji. c) zapoznaje się z przepisami prawa w zakresie ochrony danych osobowych oraz postanowieniami niniejszej polityki i instrukcji zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych, d) stosuje określone przez administratora danych procedury oraz wytyczne mające na celu zgodne z prawem, w tym zwłaszcza adekwatne, przetwarzanie danych, e) korzysta z systemu informatycznego administratora danych w sposób zgodny ze wskazówkami zawartymi w instrukcji obsługi urządzeń wchodzących w skład systemu informatycznego, oprogramowania i nośników, f) zabezpiecza dane przed ich udostępnianiem osobom nieupoważnionym. 4 WYKAZ POMIESZCZEŃ, TWORZĄCYCH OBSZAR, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE. 1. Przetwarzaniem danych osobowych jest wykonywanie jakichkolwiek operacji na danych osobowych, takich, jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza tych, które wykonuje się w systemie informatycznym. 2. Dane osobowe przetwarzane są na terenie Publicznej Szkoły Podstawowej z Oddziałami Integracyjnymi nr 7 w Stalowej Woli. 3. Ze względu na szczególne nagromadzenie danych osobowych szczególnie chronione powinny być następujące pomieszczenia : a) gabinet dyrektora szkoły, b) sekretariat, c) gabinety wicedyrektorów szkoły, d) pokój nauczycielski, e) pokój księgowości, f) pokój pedagoga i psychologa, g) pokój logopedy, h) pokój kadr, i) gabinet pielęgniarki szkolnej, j) gabinet stomatologiczny, k) archiwum. Strona 6 z 43

7 Ul. Okulickiego 14, Stalowa Wola ADRES BUDYNEK POMIESZCZENIA Gabinet dyrektora Gabinety wicedyrektorów Pokój księgowości Sekretariat Gabinet pedagoga i psychologa Gabinet pielęgniarki szkolnej Gabinet stomatologiczny Gabinet logopedyczny Biblioteka Pokój nauczycielski Sale lekcyjne Świetlica Pokój kadr Pokój nauczycieli wychowania fizycznego Składnica akt szkoły/archiwum ZABEZPIECZENIE Kluczami dysponuje dyrektor, Kluczami dysponują wicedyrektorzy, klucze dostępne w gabinecie dyrektora Kluczami dysponują pracownice księgowości, klucze dostępne w gabinecie dyrektora Kluczami dysponuje dyrektor, sekretarz, klucze dostępne w gabinecie dyrektora Kluczami dysponuje pedagog, klucze dostępne w gabinecie dyrektora Kluczami dysponuje pielęgniarka, klucze dostępne w gabinecie dyrektora Kluczami dysponuje lekarz i pielęgniarka, Kluczami dysponuje logopeda, klucze dostępne w gabinecie dyrektora Kluczami dysponują pracownicy biblioteki, klucze dostępne w gabinecie dyrektora Kluczami dysponują nauczyciele, klucze dostępne u woźnej Klucze dostępne w pokoju nauczycielskim i u woźnej Klucze dostępne w gabinecie dyrektora i u woźnej Kluczami dysponuje kierownik administracyjny, klucze dostępne w gabinecie dyrektora Kluczami dysponują nauczyciele, klucze dostępne w gabinecie dyrektora Kluczami dysponuje samodzielny referent, klucze dostępne w gabinecie dyrektora. Uwagi dodatkowe: - Teren na zewnątrz budynku jest monitorowany. - Monitorowane są wejścia do budynku; wejście główne i od strony dziedzińca wewnętrznego oraz hol na parterze. - Szkoła posiada system alarmowy nadzorowany przez Firmę Skarem Sp. z. o. o.(ul. 1 Sierpnia 24, Stalowa Wola). - Do w/w pomieszczeń dostęp posiada pracownik obsługi i personel sprzątający właściwy dla wskazanego rejonu pracy. Strona 7 z 43

8 5. IDENTYFIKACJA ZASOBÓW SYSTEMU INFORMATYCZNEGO. 1. Struktura informatyczna Publicznej Szkoły Podstawowej z Oddziałami Integracyjnymi nr 7 w Stalowej Woli składa się z sieci wewnętrznej LAN, mieszczącej się w pomieszczeniach szkoły. Komputery Szkoły przez system firewall posiadają dostęp do Internetu, którego operatorem jest Telekomunikacja Polska S.A. 2. W ramach tej struktury funkcjonują systemy informatyczne: a) VULCAN ARKUSZ OPTIVUM planowanie i organizacja procesu nauczania w szkole, b) VULCAN - UCZNIOWIE OPTIVUM NET+ w skład którego wchodzą: - dziennik elektroniczny służący do rejestrowania i przetwarzania danych związanych z procesem nauczania (oceny, frekwencja, informacje o uczniach, rodzicach oraz ich dane, arkusze ocen, e-świadectwa), - e-sekretariat, - aplikacja Lekcja+, c) SIO program do obsługi systemu informacji oświatowej, d) PŁATNIK wymiana informacji z ZUS (ubezpieczenie emerytalne, rentowe, wypadkowe, zdrowotne), e) VULCAN Płace Optivum obsługa płacowa szkoły, f) VULCAN Kadry Optivum obsługa kadrowa szkoły, g) VULCAN Mol program do obsługi wypożyczeni w bibliotece szkolnej, h) LIBRUS Plan lekcji, i) Pakiet Microsoft Office, WYKAZ ZBIORÓW DANYCH OSOBOWYCH PRZETWARZANYCH ZA POMOCĄ SYSTEMÓW INFORMATYCZNYCH 6 Lp. Nazwa zbioru danych osobowych/opis Struktura danych osobowych 1. Arkusz organizacyjny 2. Sekretariat /Vulcan Optivum/ 3. SIO Imię, nazwisko, data urodzenia, wykształcenie, nr PESEL, stopień awansu zawodowego, staż pedagogiczny, pensum, dane płacowe, stanowisko, przydzielone zadania. Imiona, nazwisko, data urodzenia, adres zamieszkania, imiona i nazwisko rodziców/opiekunów, nr PESEL, nr tel. stacjonarnego lub komórkowego, informacje dotyczące ocen, frekwencji, nr legitymacji szkolnej i karty rowerowej Imiona, nazwisko, data urodzenia, wykształcenie, nr PESEL, stopień awansu zawodowego, staż pedagogiczny, pensum, dane płacowe, stanowisko, Strona 8 z 43

9 Lp. Nazwa zbioru danych osobowych/opis Struktura danych osobowych przydzielone zadania Dziennik elektroniczny UONET+ /Vulcan Optivum/ Księgowość /Finanse Optivum, Płace Optivum/ Imiona, nazwisko, data urodzenia, adres zamieszkania, imiona i nazwisko rodziców/opiekunów, nr PESEL, nr tel. stacjonarnego lub komórkowego, informacje dotyczące ocen, frekwencji, plan lekcji, zastępstwa. Imiona, nazwisko, data urodzenia, adres zamieszkania, nr PESEL, wykształcenie, stopień awansu zawodowego, staż, imiona rodziców, wynagrodzenie, numery rachunków bankowych 6. Płatnik Imiona, nazwisko, data urodzenia, adres zamieszkania, nr PESEL, dane o członkach rodziny, rodzaj umowy, stopień niepełnosprawności, uprawnienia emerytalno-rentowe. 7. Biblioteka MOL Nazwisko, imiona, klasa 8. Kadry Optivum 9. Plan lekcji /Librus/ Imię, nazwisko, data urodzenia, wykształcenie, nr PESEL, stopień awansu zawodowego, staż pedagogiczny, pensum, dane płacowe, stanowisko, przydzielone zadania. Rozkład zajęć uczniów w poszczególnych salach, rozkład zajęć nauczycieli. 10. OBIEG - Sprawdzian /OKE Kraków/ Imiona, nazwisko, nr PESEL 11. Ewidencja wydanych świadectw Imiona, nazwisko, nr PESEL 12. Ewidencja wydanych zaświadczeń /OKE/ Imiona, nazwisko, nr PESEL 13. Ewidencja ubezpieczeń uczniów Nazwisko, imiona, data urodzenia, adres zamieszkania, nr PESEL 7 STRUKTURA ZBIORÓW DANYCH PRZETWARZANYCH TRADYCYJNIE I. Zbiór danych Kandydaci do szkoły". Zbiór ten obejmuje dane osobowe kandydatów ubiegających się o przyjęcie do szkoły. 1. Zakres pierwszy danych tego zbioru, tzn. imię (imiona) i nazwisko kandydata, data i miejsce urodzenia, PESEL, adres zamieszkania, imię i nazwisko rodziców (prawnych opiekunów), Strona 9 z 43

10 ich adres zamieszkania, numer telefonu, dostępny jest członkom szkolnej komisji rekrutacyjno -kwalifikacyjnej, dyrektorowi szkoły i jego zastępcom oraz sekretarzowi szkoły, która wspiera komisję w pracach związanych z naborem kandydatów przygotowaniem list przyjętych i ich uaktualnieniem oraz zbieraniem dokumentacji od kandydatów, adresy rodziców. 2. Wykazy kandydatów, przyjętych do szkoły, są upubliczniane wraz z ich danymi: imionami i nazwiskami na tablicy informacyjnej wewnątrz budynku szkoły. 3. Dane z tego zakresu mogą być udostępniane zarówno organowi prowadzącemu szkołę (Urzędowi Miasta Stalowej Woli), jak i organowi nadzorującemu szkołę, ( Podkarpackiemu Kuratorowi Oświaty) w celu opracowywania raportów o wynikach naboru kandydatów do szkół. II. Zbiór danych Uczniowie szkoły". Zbiór ten obejmuje dane osobowe uczniów i ich rodziców: imię (imiona) i nazwisko ucznia, data i miejsce urodzenia, adres zamieszkania, PESEL oraz imiona i nazwisko rodziców (prawnych opiekunów), adres zamieszkania, numer telefonu domowego lub do pracy. 1. Zakres pierwszy danych tego zbioru: numer ewidencyjny ucznia, imię (imiona) i nazwisko, data i miejsce urodzenia, adres zamieszkania oraz imiona i nazwiska rodziców (prawnych opiekunów) ucznia obejmuje Księgę uczniów szkoły i jest dostępny wychowawcom klasowym, dyrektorowi i jego zastępcom oraz sekretarzowi. Dane tego zakresu są udostępniane organowi prowadzącemu szkołę i organowi nadzorującemu szkołę w celu przeprowadzenia kontroli. Dane tego zakresu mogą być udostępnione pracownikom NIK, GIODO, MEN na podstawie pisemnych upoważnień do przeprowadzenia kontroli, a także policji w sytuacji popełnienia przez ucznia wykroczenia przeciw prawu. 2. Zakres drugi danych tego zbioru: imię (imiona) i nazwisko ucznia, data i miejsce urodzenia, imiona i nazwisko rodziców (prawnych opiekunów) oraz adres ich zamieszkania odnosi się do arkuszy ocen ucznia. Dane w nich zawarte przetwarzają wychowawcy klas, dostęp do nich mają również dyrektor szkoły i jego zastępcy oraz sekretarz, która po zakończonym cyklu kształcenia gromadzi je w specjalnych teczkach i przechowuje w archiwum szkolnym. 3. Dane z zakresu trzeciego mogą być udostępniane tylko przedstawicielom organu prowadzącego i nadzorującego szkołę w celach kontrolnych. Zakres trzeci danych osobowych tego zbioru: imiona i nazwisko ucznia, data i miejsce urodzenia, imiona i nazwisko rodziców (prawnych opiekunów) oraz adres zamieszkania i numery telefonów do domu lub do pracy obejmuje dzienniki lekcyjne i jest dostępny wszystkim nauczycielom zatrudnionym w szkole oraz praktykantom, odbywającym w niej praktyki pedagogiczne. Przechowywany jest w pokoju nauczycielskim w specjalnie przeznaczonej do tego celu szafce zamykanej na klucz. Nie mają do niej dostępu ani uczniowie, ani ich rodzice, jak również pozostali pracownicy szkoły, poza sekretarzem, który po zakończonym roku szkolnym zdaje je do archiwum szkolnego. Dane osobowe z tego zakresu mogą być udostępnione jedynie przedstawicielom organu prowadzącego szkołę oraz organu nadzorującego w czasie wizytacji lub w sytuacjach interwencyjnych, a także NIK i MEN w celu przeprowadzenia odpowiednich kontroli. Strona 10 z 43

11 4. Zakres czwarty danych zbioru Uczniowie szkoły : imię (imiona) i nazwisko ucznia, data i miejsce urodzenia, PESEL, informacje o przebytych chorobach, wzroście, wadze, ostrości wzroku itp., a także imiona i nazwisko rodziców (prawnych opiekunów) i ich adres zamieszkania odnosi się do dokumentacji medycznej ucznia, na którą składają się karta zdrowia ucznia oraz wykazy ewidencyjne uczniów. Dane z tego zakresu są przetwarzane w sposób tradycyjny przez pielęgniarkę szkolną, a dostęp do nich ma oprócz niej mają lekarz, prowadzący badania uczniów, oraz dyrektor szkoły. Wykazy ewidencyjne uczniów, w których są podane ich imiona, nazwiska oraz PESEL są przekazywane do NFZ, natomiast pozostałą dokumentację wydaje się uczniowi po zakończeniu nauki. Dane z tego zakresu mogą być udostępnione NFZ, NIK na podstawie pisemnego upoważnienia w celu przeprowadzenia kontroli. 5. Zakres piąty danych tego zbioru obejmuje dane uczniów (w tym dane wrażliwe), tj. imiona i nazwisko ucznia, data i miejsce urodzenia, adres zamieszkania, a także ostatnie dane o stanie zdrowia (w tym również zdrowia psychicznego), przedstawione w zaświadczeniach i opiniach, poradni psychologiczno-pedagogicznej, która wnioskuje do dyrektora szkoły o nauczanie indywidualne, indywidualny tok nauki, obniżenie progu wymagań albo dostosowanie warunków sprawdzianu do formy niepełnosprawności ucznia. Dostęp do tych danych, które są przetwarzane wyłącznie ręcznie, mają wyłącznie dyrektor szkoły, jego zastępcy, pedagog szkolny i nauczyciele pracujący bezpośrednio z dzieckiem oraz specjaliści obejmujący dziecko opieką psychologiczno-pedagogiczną. Mogą być udostępnione organom, prowadzącym kontrolę, w tym zwłaszcza Podkarpackiemu Kuratorium Oświaty i Okręgowej Komisji Egzaminacyjnej w Krakowie. 6. Zakres szósty danych tego zbioru: imiona i nazwisko ucznia, data i miejsce urodzenia, PESEL, adres zamieszkania, numer telefonu oraz imiona i nazwisko rodziców, dostępny jest dyrektorowi szkoły, jego zastępcy i sekretarzowi. Dane te wprowadzane są do systemu informatycznego i przesyłane do Okręgowej Komisji Egzaminacyjnej w Krakowie w celu przetwarzania ich dla potrzeb sprawdzianu. Dostęp do nich jest możliwy po wprowadzeniu odpowiedniego identyfikatora nadanego przez OKE w Krakowie. 7. Zakres siódmy danych tego zbioru dotyczy danych przekazywanych do programów SIO (system informacji oświatowej) i uaktualnianych dwa razy do roku. Wprowadzanie danych do SIO jest możliwe po wprowadzeniu identyfikatora i hasła. Dostęp do tych danych mają organ prowadzący i nadzorujący szkołę, w przypadku SIO do danych osobowych ma dostęp również MEN. III. Zbiór danych Pracownicy szkoły". Zbiór ten obejmuje dane osobowe byłych i obecnych pracowników szkoły, tj.: nauczycieli, pracowników administracji i obsługi. Dane te przetwarzane są zarówno ręcznie, jak i w systemie informatycznym. Strona 11 z 43

12 1. Zakres pierwszy danych tego zbioru, tzn. imię i nazwisko nauczyciela oraz ich numery telefonów, dostępne są prawie wszystkim pracownikom szkoły. 2. Zakres drugi tego zbioru, tzn. imię i nazwisko pracownika szkoły, data i miejsce urodzenia imiona i nazwisko rodziców, adres zamieszkania, wysokość wynagrodzenia, dane dotyczące wynagrodzenia, kwalifikacji zawodowych, wynagrodzenia, przeszeregowań, urlopów i zwolnień lekarskich, numer dowodu osobistego, nr PESEL, a także dane wrażliwe - informacje o odbytych szkoleniach, o posiadanych dzieciach, zawartym związku małżeńskim, a także dane o stanie zdrowia, wynikające z zaświadczeń lekarskich, wydawanych na podstawie przeprowadzonych badań profilaktycznych (wstępnych, okresowych i kontrolnych) oraz w związku z ubieganiem się nauczyciela o przyznanie urlopu dla podratowania zdrowia. Dane te zamieszczone są w dokumentach teczek akt osobowych pracownika, a dostęp do nich mają: a) dyrektor szkoły, b) wicedyrektorzy szkoły, c) sekretarz, d) główna księgowa, Dane z zakresu drugiego mogą być udostępniane organowi prowadzącemu szkołę i organowi nadzorującemu szkołę, a także innym organom prowadzącym kontrolę, w tym zwłaszcza PIP, RIO i sądom powszechnym w związku z prowadzonym postępowaniem. W systemie informatycznym, funkcjonującym w szkole, dane zbioru Pracownicy szkoły" są przetwarzane tylko w drugim zakresie. Na polecenie dyrektora szkoły specjalista zajmujący się sprawami kadrowymi przygotowuje w programie MS Office" umowy o pracę, porozumienia, przeszeregowania, wypowiedzenia, w tym wypowiedzenia zmieniające, informacje o warunkach zatrudnienia, korespondencję w sprawie zatrudnienia i wysokości zarobków lub rozwiązania stosunku pracy i świadectwa pracy. Dane te są niezwłocznie wprowadzane do bazy danych komputera. Dostęp do komputera jest możliwy tylko po wprowadzeniu odpowiedniego identyfikatora i hasła. Z teczek akt osobowych pracowników szkoły dane są przekazywane przez osoby zajmujące się sprawami kadrowymi, sekretarz, wicedyrektorów i dyrektora w sposób tradycyjny do programów SIO - system informacji oświatowej i arkusza organizacyjnego i uaktualniane dwa razy do roku. Wprowadzanie danych do SIO jest możliwe po wprowadzeniu identyfikatora i hasła. Dostęp do tych danych mają organ prowadzący i nadzorujący szkołę, w przypadku SIO do danych osobowych ma dostęp również MEN. IV. Zbiór danych Księgowość-finanse szkoły". Zakres danych tego zbioru, tzn. imię i nazwisko pracownika szkoły, jego adres zamieszkania, data i miejsce urodzenia, imiona i nazwiska rodziców, dane, dotyczące wykształcenia i stopnia awansu zawodowego, stażu pracy, wynagrodzenia, urlopów i zwolnień lekarskich, numeru, numeru konta bankowego, numer PESEL, dostępny jest tylko dyrektorowi szkoły i głównemu księgowymi. Strona 12 z 43

13 1. Dane tego zakresu są udostępniane przez głównego księgowego ZUS-owi, urzędom skarbowym, a także firmom ubezpieczeniowym w zakresie wymaganym przez nie w tradycyjnym systemie przetwarzania danych. 2. Dane tego zbioru są też przetwarzane za pomocą programu Płatnik, który służy do korespondencji z ZUS-em. Kontakt z ZUS-em odbywa się za pomocą Internetu po uprzednim uwierzytelnieniu połączenia za pomocą kwalifikowanego podpisu elektronicznego. Certyfikat dla tego zabezpieczenia jest wydawany na okres dwóch lat. 3. Na tym samym komputerze przetwarzane są dane: imię i nazwisko pracownika, staż pracy, a także informacje dotyczące wynagrodzenia, w tym wynagrodzenia zasadniczego, dodatku stażowego i dodatku motywacyjnego oraz kwot odciąganych na poczet podatku od osób fizycznych, składek na ZUS, fundusz zdrowotny i związki zawodowe, a także kwot spłaty z tytułu pożyczek. 4. Na tym samym komputerze są przetwarzane dane: imię i nazwisko pracownika, adres i numer rachunku bankowego, w celu przygotowania i dokonania przelewu wynagrodzeń w systemie bankowości elektronicznej. Dostęp do tej usługi uzyskuje się po połączeniu z siecią Internet przy pomocy bezpiecznego, szyfrowanego połączenia. Logowanie do systemu odbywa się przy użyciu jednorazowego kodu i hasła. Ze względu na fakt, że system informatyczny szkoły połączony jest z siecią publiczną poprzez Internet, zgodnie z 6. ust. 4. rozporządzenia MSWiA należy zapewnić wysoki poziom bezpieczeństwa przetwarzania danych osobowych w systemie informatycznym. Wykaz zbiorów danych osobowych: I. Przetwarzanych w systemach informatycznych: 1. budżet, 2. zbiór danych finansowo - księgowych, 3. faktury, 4. przelewy, 5. płace, 6. kadry, 7. dane uczniów, Strona 13 z 43

14 UCZNIOWIE PRACOWNICY Zbiór danych osobowych Program służący do przetwarzania zbioru danych Miejsce przetwarzania Osoby odpowiedzialne Kadry Optivum Pokój kadr Specjalista ds. kadrowych Programy księgowe /Płace Optivum, Finanse Optivum, Płatnik Pokój księgowości Głowna księgowa Arkusz Optivum sekretariat Sekretarz szkoły Gabinet dyrektora dyrektor SIO Sekretariat Sekretarz szkoły Gabinet dyrektora Pokój kadr dyrektor Specjalista ds. kadrowych Plan Lekcji Gabinet wicedyrektora wicedyrektor Pakiet Office Pokój kadr Specjalista ds. kadrowych Pokój księgowości sekretariat Gabinet dyrektora Gabinety wicedyrektorów Gabinet dyrektora Sekretarz szkoły dyrektor wicedyrektorzy SIO sekretariat Sekretarz szkoły Gabinet dyrektora dyrektor System OBIEG /OKE Kraków/ VULCAN Optivum UCZNIOWIE NET sekretariat Gabinet dyrektora sekretariat Gabinet dyrektora Sekretarz szkoły dyrektor Sekretarz szkoły dyrektor Strona 14 z 43

15 PRACOWNICY Zbiór danych osobowych Program służący do przetwarzania zbioru danych Miejsce przetwarzania Osoby odpowiedzialne Pokój nauczycielski nauczyciele Sale lekcyjne Wszyscy nauczyciele Gabinety wicedyrektorów wicedyrektorzy Pakiet Office Sekretariat Sekretarz szkoły Gabinet dyrektora Gabinety wicedyrektorów Pokój psychologa i pedagoga Pokój logopedy dyrektor wicedyrektorzy Psycholog i pedagog logopeda MOL Biblioteka biblioteka Pracownicy biblioteki II. Przetwarzanych tradycyjnie: 1. rejestr wniosków o przyjęcie do szkoły, 2. rejestr aktów nadania stopnia awansu zawodowego, 3. rejestr wniosków o pomoc z Zakładowego Funduszu Świadczeń Socjalnych, 4. dokumentacja przebiegu nauczania, 5. dzienniki zajęć lekcyjnych i zajęć innych, 6. dokumentacja związana z procedurą nadania stopnia awansu zawodowego 7. rejestr zaświadczeń o zatrudnieniu i wynagrodzeniu. Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Akta osobowe Ewidencja akt osobowych Miejsce przetwarzania/ odpowiedzialny Pokój kadr/ specjalista do spraw kadrowych Pokój kadr/ specjalista do spraw kadrowych Miejsce przechowy wania Pokój kadr Pokój kadr zabezpieczenia okno. monitoring Strona 15 z 43

16 Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Orzeczenia lekarskie do celów sanitarno epidemiologicznych Oświadczenia i wnioski do funduszu socjalnego Listy obecności pracowników Zaświadczenia Protokoły powypadkowe Miejsce przetwarzania/ odpowiedzialny Pokój kadr/ specjalista do spraw kadrowych Pokój kadr/ specjalista do spraw kadrowych Pokój kadr, księgowość, sekretariat, pokój nauczycielski/ specjalista do spraw kadrowych Sekretariat szkoły, Pokój kadr/sekretarz szkoły Pokój kadr/ specjalista do spraw kadrowych Miejsce przechowy wania Pokój kadr Pokój kadr Pokój kadr Pokój kadr, sekretariat Pokój kadr zabezpieczenia okno monitoring okno, system Arkusz organizacyjny Dokumentacja nadzoru pedagogicznego Sekretariat szkoły, gabinet dyrektora/dyrektor gabinet dyrektora/dyrektor Sekretariat szkoły gabinet dyrektora Strona 16 z 43

17 UCZNIOWIE Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Dokumentacja awansów zawodowych nauczycieli Ewidencja zwolnień lekarskich Dokumentacja dotycząca polityki kadrowej- opiniowanie awansów, wyróżnień, odznaczeń, nagród, wnioski o odznaczenia, itp. Ewidencja osób zatrudnionych przy przetwarzania danych osobowych Miejsce przetwarzania/ odpowiedzialny gabinet dyrektora/dyrektor Pokój kadr/ specjalista do spraw kadrowych Sekretariat szkoły, gabinet dyrektora/dyrektor Sekretariat szkoły/sekretarz Miejsce przechowy wania Pokój kadr Pokój kadr sekretariat sekretariat zabezpieczenia Karty zapisu dziecka do szkoły Księga uczniów Sekretariat/ sekretarz szkoły Sekretariat/ sekretarz szkoły Sekretariat Sekretariat Szafa zamykana na Strona 17 z 43

18 Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Księga dzieci Arkusze ocen Dzienniki lekcyjne Dzienniki zajęć innych Pomoc społeczna, stypendia, wyprawki, obiady Księga wydanych legitymacji i legitymacje Rejestr zaświadczeń i zaświadczenia Miejsce przetwarzania/ odpowiedzialny Sekretariat/ sekretarz szkoły Pokój nauczycielski/ wychowawca Gabinet wicedyrektorów/ wicedyrektorzy, Sekretariat/ sekretarz szkoły Pokój nauczycielski/ wychowawcy, nauczyciele Pokój nauczycielski/ wychowawcy, nauczyciele Świetlica/ wychowawcy świetlicy Gabinet pedagoga/ pedagog szkolny Biblioteka/ bibliotekarz Sekretariat/ sekretarz szkoły Sekretariat/ sekretarz szkoły Sekretariat/ sekretarz szkoły Miejsce przechowy wania Sekretariat Sekretariat Pokój nauczyciels ki Pokój nauczyciels ki Sekretariat Sekretariat Sekretariat zabezpieczenia klucz. klucz. Strona 18 z 43

19 Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Księga absolwentów Świadectwa i duplikaty Dokumentacja ubezpieczeniowa Protokoły powypadkowe Karty zdrowia ucznia Karty biblioteczne Dokumentacja pomocy psychologicznopedagogicznej (opinie, orzeczenia) Ewidencja uczniów przystępujących do sprawdzianu OKE Miejsce przetwarzania/ odpowiedzialny Sekretariat/ sekretarz szkoły Sekretariat/ sekretarz szkoły Pokój kadr/ specjalista do spraw kadrowych Pokój kadr/ specjalista do spraw kadrowych Gabinet pielęgniarki szkolnej/ pielęgniarka szkolna Gabinet stomatologa/lekarz stomatolog Biblioteka szkolna/ bibliotekarz Gabinet pedagoga szkolnego/ pedagog szkolny Sekretariat/ sekretarz szkoły Sekretariat / sekretarz szkoły Miejsce przechowy wania Sekretariat Sekretariat Pokój kadr Pokój kadr Gabinet pielęgniarki szkolnej Gabinet stomatologi czny Biblioteka szkolna Gabinet pedagoga szkolnego sekretariat zabezpieczenia okno, s. klucz, system klucz, system alarmowy klucz, system alarmowy Strona 19 z 43

20 Zbiór danych osobowy ch Dokumentacja służąca przetwarzaniu danych Dokumenty zarchiwizowane Protokół rad pedagogicznych, księga uchwał Umowy zawierane z osobami fizycznymi Ewidencja decyzjizwolnienia z obowiązkowych zajęć, odroczenie obowiązku szkolnego Miejsce przetwarzania/ odpowiedzialny Sekretariat/ sekretarz szkoły Gabinet dyrektora/ dyrektor szkoły Pokój kadr/ specjalista do spraw kadrowych Gabinet dyrektora szkoły/ dyrektor szkoły Miejsce przechowy wania Pomieszcze nie gospodarcz e- archiwum Gabinet dyrektora szkoły Pokój kadr sekretariat zabezpieczenia klucz, system alarmowy 8 ŚRODKI TECHNICZNE I ORGANIZACYJNE DLA ZAPEWNIENIA POUFNOŚCI, INTEGRALNOŚCI I ROZLICZALNOŚCI PRZETWARZANYCH DANYCH Szkoła przetwarza dane osobowe na podstawie przepisów prawa. Dane osobowe mogą być udostępniane zgodnie z art. 29 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. 1. W celu zapewnienia ochrony danych osobowych stosuje się odpowiednie rozwiązania organizacyjne i techniczne: a) budynek szkoły objęty jest monitoringiem zewnętrznym i chroniony systemem alarmowym czujniki ruchu ; b) każdy pracownik szkoły przed dopuszczeniem do przetwarzania danych osobowych zobowiązany jest do zapoznania się oraz stosowania przepisów ustawy o ochronie danych osobowych i instrukcji wewnątrzszkolnych; Strona 20 z 43

21 c) pomieszczenia, w których przetwarzane są dane zamykane są na klucz, jeżeli nie przebywa w nim osoba uprawniona. d) monitory ustawione są w sposób uniemożliwiający oglądanie ekranu z miejsc ogólnodostępnych. e) bieżące naprawy komputera, dokonywane są w obecności użytkownika systemu. f) dopuszcza się instalowanie tylko legalnie pozyskanych programów, niezbędnych do wykonywania ustalonych i statutowych zadań szkoły i posiadających ważną licencję użytkownika. g) wykorzystywanie akt i dokumentów, zawierających dane osobowe (dzienniki zajęć), do pracy w domu jest kategorycznie zabronione. h) dane z nośników przenośnych nie będących kopiami zapasowymi po wprowadzeniu do systemu informatycznego administratora danych powinny być trwale usuwane z tych nośników przez fizyczne zniszczenie (np. płyty CD-ROM) lub usunięcie danych programem trwale usuwającym pliki. Jeśli istnieje uzasadniona konieczność, dane pojedynczych osób (a nie całe zbiory czy szerokie wypisy ze zbiorów) mogą być przechowywane na specjalnie oznaczonych nośnikach. Nośniki te muszą być przechowywane w zamkniętych na klucz szafach, nie udostępnianych osobom postronnym. Po ustaniu przydatności tych danych nośniki powinny być trwale kasowane lub niszczone; i) po wykorzystaniu wydruki, zawierające dane osobowe, należy codziennie przed zakończeniem pracy zniszczyć w niszczarce. O ile to możliwe, nie należy przechowywać takich wydruków w czasie dnia na biurku ani też wynosić poza siedzibę administratora j) pocztą elektroniczną można przesyłać tylko jednostkowe dane, a nie całe bazy lub szerokie z nich wypisy i tylko w postaci zaszyfrowanej. k) osobom upoważnionym do przetwarzania danych osobowych przydziela się konta opatrzone niepowtarzalnym identyfikatorem, umożliwiające dostęp do danych, zgodnie z zakresem upoważnienia do ich przetwarzania. Administrator bezpieczeństwa przydziela pracownikowi upoważnionemu do przetwarzania danych konto w systemie informatycznym, dostępne po wprowadzeniu prawidłowego identyfikatora i uwierzytelnieniu hasłem. l) do zagwarantowania poufności i integralności danych osobowych konieczne jest przestrzeganie przez użytkowników swoich uprawnień w systemie, tj. właściwego korzystania z baz danych, używania tylko własnego identyfikatora i hasła oraz stosowania się do zaleceń dyrektora. m) operacje za pośrednictwem rachunku bankowego administratora danych może wykonywać główny księgowy, upoważniony przez dyrektora, po uwierzytelnieniu się zgodnie z procedurami określonymi przez bank obsługujący rachunek n) odpowiedzialnym za monitorowanie dostępu do systemu i jego użycia jest administrator danych osobowych o) administrator danych osobowych przeprowadza raz w roku przegląd przetwarzanych danych osobowych pod kątem celowości ich dalszego przetwarzania. Osoby upoważnione do przetwarzania danych osobowych, w tym zwłaszcza osoby przetwarzające dane osobowe, są obowiązani współpracować z dyrektorem w tym zakresie i wskazywać mu dane osobowe, które powinny zostać usunięte ze względu na zrealizowanie celu przetwarzania danych osobowych lub brak ich adekwatności do realizowanego celu. p) udostępnianie danych osobowych policji i sądom może nastąpić w związku z prowadzonym przez nie postępowaniem. Udostępnianie danych osobowych funkcjonariuszom policji może nastąpić tylko po przedłożeniu pisemnego wniosku o przekazanie lub udostępnienie informacji. Strona 21 z 43

22 q) osoba udostępniająca dane osobowe, jest obowiązana zażądać od policjanta pokwitowania pobrania dokumentów zawierających informacje przekazane na podstawie pisemnego wniosku albo potwierdzenia faktu uzyskania wglądu w treść informacji. 2. Niezastosowanie się do prowadzonej przez administratora danych polityki bezpieczeństwa przetwarzania danych osobowych, której założenia określa niniejszy dokument, i naruszenie procedur ochrony danych przez pracowników upoważnionych do przetwarzania danych osobowych może być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, skutkujące rozwiązaniem stosunku pracy bez wypowiedzenia na podstawie art. 52 Kodeksu pracy. Niezależnie od rozwiązania stosunku pracy osoby, popełniające przestępstwo, będą pociągane do odpowiedzialności karnej zwłaszcza na podstawie art. 51 i 52. ustawy oraz art Kodeksu karnego. 9 PRZEGLĄDY POLITYKI BEZPIECZEŃSTWA 1. Polityka bezpieczeństwa powinna być poddawana przeglądowi przynajmniej raz na rok. W razie istotnych zmian dotyczących przetwarzania danych osobowych administrator danych osobowych może zarządzić przegląd polityki bezpieczeństwa stosownie do potrzeb. 2. administrator danych osobowych analizuje czy polityka bezpieczeństwa i pozostała dokumentacja z zakresu ochrony danych osobowych jest adekwatna do: a) zmian w budowie systemu informatycznego, b) zmian organizacyjnych administratora danych, w tym również zmian statusu osób upoważnionych do przetwarzania danych osobowych, c) zmian w obowiązującym prawie. Strona 22 z 43

23 10. POSTANOWIENIA KOŃCOWE. 1. Każda osoba, upoważniona do przetwarzania danych osobowych, zobowiązania jest do zapoznania się przed dopuszczeniem do przetwarzania danych z niniejszym dokumentem oraz złożyć stosowne oświadczenie, potwierdzające znajomość jego treści ( załącznik nr 2). 2. Niezastosowanie się do postanowień niniejszego dokumentu i naruszenie procedur ochrony danych jest traktowane jako ciężkie naruszenie obowiązków służbowych, skutkujące poważnymi konsekwencjami prawnymi włącznie z rozwiązaniem stosunku pracy na podstawie art. 52. Kodeksu pracy. Stalowa Wola, dnia 5 czerwca 2015 roku (podpis i pieczęć dyrektora) Załączniki: 1. Instrukcja zarządzania systemem informatycznym 2. Oświadczenie o zachowaniu poufności i zapoznaniu się z przepisami 3. Upoważnienie do przetwarzania danych osobowych 4. Odwołanie upoważnienie do przetwarzania danych osobowych 5. Rejestr osób upoważnionych do przetwarzania danych osobowych 6. Raport z naruszenia bezpieczeństwa danych osobowych Strona 23 z 43

24 Załącznik nr 1 do Polityki Bezpieczeństwa Informacji z dnia 5 czerwca 2015 roku. INSTRUKCJA ZARZĄDZANIA SYSTEMEM INFORMATYCZNYM SŁUŻĄCYM DO PRZETWARZANIA DANYCH OSOBOWYCH w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli Strona 24 z 43

25 1 POSTANOWIENIA WSTĘPNE 1. Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli, zwana dalej Instrukcją określa zasady, tryb postępowania i zalecenia Administratora Danych, które muszą być stosowane przez osoby przez niego upoważnione do przetwarzania danych osobowych w systemach informatycznych. 2. Instrukcja została opracowana zgodnie z wymogami 5 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). 3. Podstawowymi celami zabezpieczeń systemów informatycznych służących do przetwarzania danych osobowych jest zapewnienie jak najwyższego poziomu bezpieczeństwa przetwarzanych danych osobowych w systemach informatycznych. 4. Za priorytet uznano zagwarantowanie zgromadzonym danym osobowym, przez cały okres ich przetwarzania w systemach, charakteru poufnego wraz z zachowaniem ich integralności i rozliczalności. 2 OBOWIĄZKI W ZAKRESIE OCHRONY DANYCH OSOBOWYCH 1. Do obowiązków osób zaangażowanych w przetwarzanie danych osobowych w systemach informatycznych należy: a) Podejmowanie współpracy przy ustaleniu przyczyn naruszenia ochrony danych osobowych oraz usuwania skutków tych naruszeń, w tym zapobieganie ich ewentualnemu ponownemu wystąpieniu. b) Przetwarzanie danych osobowych wyłącznie w celach określonych przez swoich przełożonych. 2. Do kompetencji osób zarządzających pracownikami należy w szczególności wystawianie dla bezpośrednio podległych pracowników wniosków o nadanie, zmianę lub cofnięcie uprawnień do systemów informatycznych, w których są przetwarzane dane osobowe. 3. Użytkownicy powinni podlegać okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmianą wewnętrznych regulacji. 3 OBOWIĄZKI ADMINISTRATORA DANYCH OSOBOWYCH Do obowiązków Administratora Danych Osobowych w zakresie ochrony danych osobowych przetwarzanych w systemach informatycznych należy w szczególności: a) Nadzór nad stosowaniem środków ochrony. b) Nadzór nad przestrzeganiem przez użytkowników systemu procedur bezpieczeństwa. Strona 25 z 43

26 c) Wskazywanie zagrożeń oraz reagowanie na naruszenia ochrony danych osobowych i usuwanie ich skutków. d) Prowadzenie ewidencji użytkowników systemów informatycznych, w których przetwarzane są dane osobowe, stanowiącej część ewidencji osób upoważnionych do przetwarzania danych osobowych oraz wszelkiej dokumentacji opisującej sposób realizacji i stopień ochrony danych osobowych Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli e) Kontrolowanie nadanych w systemach informatycznych uprawnień do przetwarzania danych osobowych pod kątem ich zgodności z wpisami umieszczonymi w ewidencji osób upoważnionych do przetwarzania danych osobowych. f) Prowadzenie szkoleń dla użytkowników w zakresie stosowanych w systemach informatycznych środków ochrony danych osobowych. g) Zapewnienie doradztwa w zakresie przestrzegania przez pracowników firmy zewnętrznej zasad ochrony danych osobowych przyjętych Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli. h) Operacyjne zarządzanie systemami informatycznymi w sposób zapewniający ochronę danych osobowych w nich przetwarzanych. i) Przestrzeganie opracowanych dla systemu procedur operacyjnych i bezpieczeństwa. j) Kontrola przepływu informacji pomiędzy systemem informatycznym a siecią publiczną oraz kontrola działań inicjowanych z sieci publicznej a systemem informatycznym. k) Zarządzanie stosowanymi w systemach informatycznym środkami uwierzytelnienia, w tym rejestrowanie i wyrejestrowywanie użytkowników oraz dokonywanie zmiany uprawnień na podstawie zaakceptowanych wniosków przez osobę do tego upoważnioną. l) Utrzymanie systemu w należytej sprawności technicznej. m) Regularne tworzenie kopii zapasowych zasobów danych osobowych oraz programów służących do ich przetwarzania oraz okresowe sprawdzanie poprawności wykonania kopii zapasowych. n) Wykonywanie lub nadzór nad wykonywaniem okresowych przeglądów i konserwacji, zgodnie z odrębnymi procedurami, sprzętu IT, systemów informatycznych, aplikacji oraz elektronicznych nośników informacji, na których zapisane są dane osobowe. 4 OBOWIĄZKI UŻYTKOWNIKÓW Do obowiązków użytkowników systemu informatycznego w zakresie ochrony danych osobowych w systemach informatycznych należy w szczególności 1) Przestrzeganie opracowanych dla systemu zasad przetwarzania danych osobowych. 2) Przestrzeganie opracowanych dla systemu procedur operacyjnych i bezpieczeństwa. 3) Udostępnianie danych osobowych wyłącznie osobom upoważnionym lub uprawnionym do ich uzyskania. Strona 26 z 43

27 4) Uniemożliwienie dostępu lub podglądu danych osobowych w systemie dla osób nieupoważnionych. 5) Informowanie Administratora Danych Osobowych o wszelkich naruszeniach, podejrzeniach naruszenia i nieprawidłowościach w sposobie przetwarzania i ochrony danych osobowych. 6) Wykonywania bez zbędnej zwłoki poleceń Administratora danych osobowych w zakresie ochrony danych osobowych jeśli są one zgodne z przepisami prawa powszechnie obowiązującego. 5 BEZPIECZNA EKSPLOATACJA SYSTEMÓW INFORMATYCZNYCH Bezpieczna eksploatacja systemów informatycznych przetwarzających dane osobowe zostaje zapewniona poprzez przestrzeganie następujących zasad: 1) Użytkownikom zabrania się wprowadzania zmian do oprogramowania, sprzętu informatycznego poprzez jego samodzielne konfigurowanie i wyposażanie. 2) Użytkownikom zabrania się umożliwiania stronom trzecim uzyskiwania nieupoważnionego dostępu do systemów informatycznych. 3) Użytkownikom nie wolno instalować nowego lub aktualizować już zainstalowanego oprogramowania. 4) Użytkownikom nie wolno korzystać z systemów informatycznych dla celów innych niż związane z wykonywaniem obowiązków służbowych. 5) Użytkownikom nie wolno podejmować prób testowania, modyfikacji i naruszenia zabezpieczeń systemów informatycznych lub jakichkolwiek działań noszących takie znamiona. 6) Informacje przetwarzane przy użyciu współdzielonych aplikacji sieciowych na stacjach roboczych muszą być zapisywane na dyskach serwera. 7) Wszystkie aplikacje sieciowe, współdzielone zasoby użytkowe muszą być ulokowane na przeznaczonych do tego celu serwerach. 8) Nieautoryzowane podłączenie własnego lub strony trzeciej urządzenia teleinformatycznego do systemu informatycznego jest zabronione. 6 NADAWANIE UPRAWNIEŃ DO PRZETWARZANIA DANYCH 1. Użytkownicy systemu przetwarzającego dane osobowe przed przystąpieniem do przetwarzania danych osobowych w tym systemie informatycznym, zobowiązani są zapoznać się z: a) Ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 Nr 101, poz. 926 z późn. zm.). b) Polityką bezpieczeństwa przetwarzania danych osobowych w Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli c) Użytkownicy przed dopuszczeniem do obsługi systemu informatycznego, w którym przetwarzane są dane osobowe powinni podlegać przeszkoleniu w zakresie obsługi sprzętu informatycznego, oprogramowania systemowego oraz oprogramowania do obsługi aplikacji, którą będą wykorzystywali. Strona 27 z 43

28 2. Pierwsze zarejestrowanie użytkownika w systemie i nadanie odpowiednich uprawnień do systemu przetwarzającego dane osobowe musi być poprzedzone złożeniem przez użytkownika oświadczenia o: a) Zachowaniu w tajemnicy danych osobowych i sposobów ich zabezpieczania oraz przetwarzaniu danych osobowych zgodnie z przepisami. b) Uzyskanie formalnego upoważnienia do przetwarzania danych osobowych. 3. Wzory oświadczenia oraz upoważnienia stanowią załączniki nr i do polityki bezpieczeństwa przetwarzania danych osobowych Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli. 4. Identyfikator oraz zakres dostępu użytkownika powinien być rejestrowany w ewidencji osób upoważnionych do przetwarzania danych osobowych. 5. Administrator powinien przekazywać użytkownikom tymczasowe hasła dostępowe w sposób bezpieczny. W tym celu należy unikać pośrednictwa osób trzecich lub korzystania do tego celu z niechronionych wiadomości poczty elektronicznej. 6. Zmiany dotyczące użytkownika, takie jak rozwiązanie umowy o pracę lub utrata upoważnienia, są przesłanką do natychmiastowego wyrejestrowania użytkownika z systemu oraz unieważnienia haseł i odnotowanie tego faktu w ewidencji osób upoważnionych do przetwarzania danych osobowych. 7. Prawa dostępu przyznane użytkownikom, którzy nie są pracownikami Publicznej Szkole Podstawowej z Oddziałami Integracyjnymi nr 7 im. Mikołaja Kopernika w Stalowej Woli powinny mieć charakter czasowy i mogą być przyznawane na okres odpowiadający wykonywanemu zadaniu. 8. Dostęp do systemu informatycznego a także do poszczególnych aplikacji i baz danych przetwarzających dane osobowe powinien być możliwy tylko po podaniu identyfikatora odrębnego dla każdego użytkownika i poufnego hasła. 7 METODY I SRODKI UWIRZYTELNIANIA W SYSTEMIE 1. Identyfikatory i hasła są sposobem zagwarantowania rozliczalności, poufności i integralności danych osobowych przetwarzanych w systemach informatycznych. Służą do weryfikowania tożsamości użytkownika, uzyskania dostępu do określonych zasobów, kont uprzywilejowanych lub uruchomienia określonej funkcjonalności. 2. Mając na uwadze zagwarantowanie wysokiego poziomu bezpieczeństwa przetwarzania danych osobowych oraz zagwarantowania użytkownikom pełnej rozliczalności wykonywanych przez nich operacji w systemach informatycznych, wszyscy użytkownicy przy uwierzytelnianiu do systemów informatycznych powinni stosować się do poniższych zasad: a) Użytkownik systemu powinien posiadać unikalny identyfikator do swojego osobistego i wyłącznego użytku. b) Hasła dostępu do systemów informatycznych powinny być tworzone przez użytkownika i stanowią tajemnicę służbową, znaną wyłącznie temu. c) Użytkownik ponosi pełną odpowiedzialność za utworzenie hasła dostępu oraz jego przechowywanie. d) Hasła nie mogą być ujawniane lub przekazywane komukolwiek, bez względu na okoliczności. Strona 28 z 43