POLITYKA BEZPIECZEŃSTWA I OCHRONY DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ NR 2 IM. ŚW. WOJCIECHA W KRAKOWIE

Transkrypt

1 Załącznik do Zarządzenia Nr 27/2012/2013 Dyrektora Szkoły Podstawowej Nr 2 im. św. Wojciecha z dnia 2. stycznia 2013 r. POLITYKA BEZPIECZEŃSTWA I OCHRONY DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ NR 2 IM. ŚW. WOJCIECHA W KRAKOWIE USTALENIA WSTĘPNE 1 Dyrektor szkoły w zakresie ochrony danych osobowych oświadcza, że w szkole: 1) podejmuje się działania dla ochrony praw związanych z bezpieczeństwem danych osobowych, 2) podnosi się świadomość oraz kwalifikacje osób przetwarzających dane osobowe w zakresie problematyki bezpieczeństwa tych danych, 3) ochrona danych osobowych należy do podstawowych obowiązków pracowniczych, 4) obowiązek ochrony danych będzie egzekwowany od każdego pracownika, który w jakikolwiek sposób ma do nich dostęp Dyrektor jest świadomy zagrożeń związanych z przetwarzaniem danych w szczególności wynikających z dynamicznego rozwoju metod i technik przetwarzania danych w systemach informatycznych oraz sieciach telekomunikacyjnych. 2. Dyrektor zamierza doskonalić i rozwijać nowoczesne metody przetwarzania danych. 3. Dyrektor szkoły deklaruje, że szkoła będzie doskonaliła i rozwijała możliwe środki ochrony danych osobowych w celu skutecznego zapobiegania zagrożeniom wykradania zasobów komputerowych: 1) związanych z: wirusami, spamami, stronami i komunikatorami internetowymi, 2) użytkowaniem oprogramowania do wymiany plików, mogącym służyć do łatwego skopiowania pliku poza szkołę, 3) możliwością niekontrolowanego kopiowania danych na zewnętrzne, przenośne nośniki, 4) możliwością podsłuchiwania sieci, dzięki któremu można zdobyć hasła i skopiować objęte ochroną dane, 5) lekceważeniem zasad ochrony danych polegającym na pozostawianiu pomieszczenia lub stanowiska pracy bez ich zabezpieczenia, 6) brakiem świadomości niebezpieczeństwa dopuszczania osób postronnych do swojego stanowiska pracy, 7) atakami z sieci uniemożliwiającymi przetwarzanie, 8) kradzieżą sprzętu lub nośników z danymi, 9) przekazywaniem sprzętu z danymi do serwisu, 10) innym możliwym zagrożeniom. 1

2 3 1. Dane osobowe gromadzone są oraz przetwarzane z przestrzeganiem obowiązujących przepisów prawa. 2. Dane osobowe przetwarzane są w celu realizacji statutowych celów szkoły dla realizacji: 1) zadań dydaktycznych, wychowawczych, opiekuńczych i organizacyjnych wynikających z ustawy o systemie oświaty i innych przepisów, 2) polityki kadrowej oraz bieżącej obsługi stosunków pracy i zatrudnienia. 4 Polityka bezpieczeństwa danych osobowych dotyczy danych gromadzonych i przetwarzanych w zbiorach: 1) drukowanych znajdujących się w kartotekach, skorowidzach, księgach, we wszystkich zbiorach ewidencyjnych, 2) w systemach informatycznych Szkoła chroni wszystkie posiadane zasoby zgodnie z ww. przepisami prawa. 2. Pod szczególną ochroną są tzw. wrażliwe dane osobowe wymienione w art. 27 ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych. 3. Przetwarzanie danych ujawniających: 1) pochodzenie rasowe lub etniczne, 2) poglądy polityczne, przekonania religijne lub filozoficzne, 3) przynależność wyznaniową, partyjną lub związkową, 4) danych o stanie zdrowia, 5) kodzie genetycznym, nałogach lub życiu seksualnym, 6) danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sadowym lub administracyjnym dopuszczalne jest tylko w związku z realizacją celów statutowych szkoły i w granicach wynikających z przepisów art. 27 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych Szkoła stosuje środki informatyczne, techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, zabezpieczając dane przed: 1) ich udostępnieniem lub zabraniem przez osobę nieuprawnioną, 2) zmianą, utratą, uszkodzeniem lub zniszczeniem, 3) przetwarzaniem z naruszeniem ustawy. 2. Szkoła unowocześnia oraz zapewnia aktualizacje informatycznych środków ochrony danych osobowych pozwalającą na zabezpieczenie przed wirusami, nieuprawnionym dostępem oraz innymi zagrożeniami danych płynącymi z funkcjonowania systemu informatycznego oraz sieci telekomunikacyjnych. 2

3 7 1. Szkoła sprawuje kontrolę i nadzór nad niszczeniem zbędnych danych osobowych oraz ich zbiorów. 2. Niszczenie tych danych osobowych ora ich zbiorów polega na: 1) trwałym, fizycznym ich zniszczeniu wraz z ich nośnikami w stopniu uniemożliwiającym ich odtworzenie przez osoby niepowołane przy zastosowaniu powszechnie dostępnych metod, 2) anonimizacji danych osobowych, zbiorów polegającej na pozbawieniu danych osobowych, ich zbiorów cech umożliwiających identyfikację osób fizycznych, których dane dotyczą. 3. Naruszenie przez zatrudnione osoby w ramach stosunku pracy upoważnione do dostępu i przetwarzania danych osobowych, stosowanych procedur niszczenia zbędnych danych osobowych, ich zbiorów, traktowane będzie, jako ciężkie naruszenie podstawowych obowiązków pracowniczych ze wszystkimi konsekwencjami, włącznie z rozwiązaniem stosunku pracy. 4. Kontrola i nadzór nad niszczeniem zbędnych danych osobowych, ich zbiorów może polegać na wprowadzeniu odpowiednich procedur niszczenia danych, a także zlecaniu niszczenia ich wyspecjalizowanym podmiotom zewnętrznym, gwarantującym bezpieczeństwo procesu niszczenia danych odpowiednie do rodzaju nośnika tych danych Szkoła prowadzi dokumentację określającą sposób przetwarzania danych oraz środki ochrony tych danych, którą jest niniejsza polityka. 2. Załącznikami do polityki są: 1) rejestr upoważnień dostępu do danych osobowych oraz ich przetwarzania załącznik nr 1, 2) upoważnienie dla pracownika do dostępu i przetwarzania danych załącznik nr 2, 3) oświadczenie o zapoznaniu się pracownika z przepisami o ochronie danych załącznik nr 3, 4) informacja o przekazaniu danych dostępowych do systemu informatycznego załącznik nr 4, 5) odwołanie upoważnienia do dostępu i przetwarzania danych załącznik nr 5, 6) rejestr udostępnienia danych osobowych załącznik nr 6, 7) wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe załącznik nr Zarządzenia Dyrektora w zakresie polityki bezpieczeństwa danych osobowych mogą dotyczyć: 1) instrukcji sposobu i formy zabezpieczeń systemów informatycznych służących do przetwarzania danych osobowych, 2) instrukcji postępowania w sytuacji naruszenia ochrony danych osobowych, 3) innych wytycznych i zasad dotyczących bezpieczeństwa danych i ich przetwarzania. 3

4 II. ZASADY UDOSTĘPNIANIA DANYCH OSOBOWYCH 9 1. Szkoła udostępnia dane na miejscu wyłącznie osobom upoważnionym. 2. Upoważnienie może wynikać w szczególności z: 1) pisemnego zakresu czynność, obowiązków wykonywanych na danym stanowisku pracy, 2) z odrębnego dokumentu zawierającego imienne upoważnienie do dostępu do danych osobowych. 3. Szkoła dopuszcza do przetwarzania danych w systemie informatycznym, tradycyjnym na mocy pisemnych upoważnień nadanych przez dyrektora lub inną osobę wskazaną przez dyrektora. 4. Upoważnienie wygasa w związku z ustaniem zatrudnienia lub w przypadku pozbawienia upoważnienia w związku z łamaniem ustawy o ochronie danych osobowych. 5. Szkoła zapewnia dostęp do przetwarzanych danych osobom, które powierzyły jej swoje dane Osoby niezatrudnione przy przetwarzaniu danych osobowych określonego zasobu, w tym osoby, które dane udostępniły, mające interes prawny lub faktyczny w uzyskaniu dostępu do tych danych, mogą mieć do nich wgląd wyłącznie w obecności upoważnionego pracownika szkoły. 2. Zasada ta obowiązuje także w przypadku korzystania przez związki zawodowe z uprawnień przysługujących im na mocy odrębnych przepisów. 3. Dostęp do danych osobowych i ich przetwarzanie bez upoważnienia dyrektora lub osoby przez niego upoważnionej może nastąpić wyłącznie w przypadku działań osób lub organów upoważnionych na mocy odpowiednich przepisów prawa do dostępu i przetwarzania danych określonych zasobów. 4. Dostęp do danych osobowych mogą mieć: Najwyższa Izba Kontroli, Generalny Inspektor Ochrony Danych Osobowych, Zakład Ubezpieczeń Społecznych, Policja, organy skarbowe, Państwowa Inspekcja Pracy, Wojskowe Służby Informacyjne, Agencja Bezpieczeństwa Wewnętrznego, sądy powszechne i inne upoważnione przez przepisy prawa podmioty i organy, na mocy nadanych im uprawnień po ich okazaniu. III. PRACOWNICY PRZETWARZAJĄCY DANE Zaznajomienie osób upoważnionych do przetwarzania danych osobowych z powszechnie obowiązującymi przepisami prawa, uregulowaniami wewnętrznymi, a także technikami i środkami ochrony tych danych stosowanymi w szkole może odbywać się poprzez: 1) szkolenia wewnętrzne na terenie szkoły, 2) szkolenie zewnętrzne, 3) instruktaż stanowiskowy, 4

5 4) udostępnienie polityki i innych przepisów w tym zakresie. 2. Osoby upoważnione do przetwarzania danych osobowych są zapoznane z zakresem informacji objętych tajemnicą, a także o obowiązku zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia stosowanych w szkole. 12 Naruszenie zasad bezpiecznego i zgodnego z prawem przetwarzania danych osobowych przez pracowników upoważnionych do dostępu, traktowane będzie jako ciężkie naruszenie podstawowych obowiązków pracowniczych ze wszystkimi konsekwencjami, włącznie z rozwiązaniem stosunku pracy. 13 Osoby, których dane są przetwarzane w związku z realizacją celów statutowych szkoły, uzyskują informacje o przysługujących im prawach nadanych ustawą o ochronie danych osobowych. IV. OBSZAR SZKOŁY, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE Szkoła wyznacza pomieszczenia i części pomieszczeń, tworzące obszar, w którym przetwarzane są dane. 2. Jeśli w pomieszczeniu, w którym przetwarzane są dane osobowe znajduje się część ogólnodostępna, część, w której są przetwarzane dane, powinna być wyraźnie oddzielona od ogólnodostępnej. 3. Wydzielenie części pomieszczenia, w której przetwarza się dane osobowe, może być poprzez montaż barierek, lad lub odpowiednie ustawienie mebli biurowych uniemożliwiające lub ograniczające dostęp osób niepowołanych do zbiorów danych osobowych przetwarzanych w danym pomieszczeniu. 4. Komputery, w których odbywa się praca w związku z przetwarzaniem lub gromadzeniem danych, powinny być ustawiane w sposób uniemożliwiający dostęp do danych. 5. Wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, określa załącznik nr 7 do niniejszej polityki. 6. W pomieszczeniach i częściach pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, mogą przebywać wyłącznie osoby upoważnione do dostępu i przetwarzania danych oraz osoby sprawujące nadzór i kontrolę nad bezpieczeństwem ich przetwarzania Całkowite opuszczenie przez pracownika upoważnionego do przetwarzania danych pomieszczenia, w którym przetwarzane są dane osobowe, może nastąpić po odpowiednim zabezpieczeniu tych danych. 2. Opuszczenie przez pracownika przetwarzającego dane osobowe obszaru ich przetwarzania bez jego zabezpieczenia oraz znajdujących się w nim zbiorów danych 5

6 jest niedopuszczalne i będzie traktowane jako ciężkie naruszenie podstawowych obowiązków pracowniczych Dostęp do budynków i pomieszczeń szkoły, w których przetwarzane są dane osobowe podlega kontroli. 2. Kontrola dostępu polegać może na ewidencjonowaniu wszystkich przypadków pobierania i zwrotu kluczy do budynków i pomieszczeń. 3. W ewidencji uwzględnia się: imię i nazwisko osoby pobierającej lub zdającej klucz, numer lub inne oznaczenie pomieszczenia oraz godzinę pobrania lub zdania klucza. 4. Klucze do pomieszczeń, w których przetwarzane są dane osobowe mogą być wydawane wyłącznie pracownikom upoważnionym do przetwarzania danych osobowych lub innym pracownikom w związku z wykonywaną przez nich pracą. 5. Szkoła realizując politykę bezpieczeństwa w zakresie ochrony danych osobowych, może wprowadzać inne formy monitorowania dostępu do miejsc przetwarzania danych osobowych. V. ZBIORY DANYCH OSOBOWYCH 17 Szkoła sprawuje nadzór nad rodzajami oraz zawartością zbiorów danych osobowych tworzonych na jego obszarze. Wykaz zbiorów stanowi załącznik nr 8 do niniejszej polityki. 18 Szkoła realizując politykę bezpieczeństwa w zakresie ochrony danych osobowych, zapewnia zgodnie z przepisami ochronę zbiorom danych osobowych sporządzanych doraźnie, ze względów technicznych, szkoleniowych lub w związku z procesem dydaktycznym i wychowawczo-opiekuńczym realizowanym przez szkołę, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji. 19 Szkoła zabrania pracownikom gromadzenia i tworzenia zbiorów danych osobowych innych niż niezbędne dla realizacji celów statutowych. VI. USTALENIA KOŃCOWE 20 Polityka obowiązuje wszystkich pracowników szkoły, w szczególności tych, którzy tworzą, gromadzą lub w jakikolwiek sposób wykorzystują dane osobowe. 6

7 Załącznik Nr 1 REJESTR UPOWAŻNIEŃ DOSTĘPU DO DANYCH OSOBOWYCH ORAZ ICH PRZETWARZANIA L. p Nazwa zbioru danych Nazwisko i imię osoby upoważnionej Identyfikator (jeżeli dane są przetwarzane w systemie informatycznym) Numer i data nadania upoważnienia Zakres upoważnienia Data wygaśnięcia/ odwołania upoważnienia Przyczyna cofnięcia uprawnień 7

8 Załącznik Nr 2 UPOWAŻNIENIE NR. DO DOSTĘPU I PRZETWARZANIA DANYCH OSOBOWYCH Upoważniam Panią/Pana, (imię i nazwisko) Pracownika Szkoły Podstawowej Nr 2 im. św. Wojciecha do dostępu i przetwarzania danych osobowych w celach związanych z wykonywaniem obowiązków służbowych na stanowisku:.... oraz obsługi systemów informatycznych i urządzeń. Niniejsze upoważnienie obejmuje dostęp i przetwarzanie danych osobowych w formie tradycyjnej (kartoteki, ewidencje, rejestry, spisy itp.) oraz elektronicznej wg wykazu zbiorów podanych w pkt Upoważniam Panią/Pana do dostępu i przetwarzania danych osobowych zawartych w następujących zbiorach prowadzonych w formie tradycyjnej (kartoteki, ewidencje, rejestry, spisy, itp.) lub elektronicznej: Kraków,. Podpis Administratora Danych Osobowych 8

9 Załącznik Nr 3 OŚWIADCZENIE PRACOWNIKA 1. Ja niżej podpisany oświadczam, że zostałem zapoznany z obowiązującymi przepisami o ochronie danych osobowych. 2. Zobowiązuję się : 1) zachować w tajemnicy dane osobowe będące przedmiotem mojej pracy w czasie wykonywana obowiązków służbowych oraz w czasie wolnym zarówno w czasie trwania stosunku pracy, jak i po jego ustaniu, 2) chronić dane osobowe przed dostępem do nich innych osób do tego nieupoważnionych, 3) zabezpieczać dane osobowe min. przed zniszczeniem i nielegalnym ujawnieniem. 3. Oświadczam, że jestem świadomy odpowiedzialności karnej za naruszenie ustawy o ochronie danych osobowych. Art Kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Jeżeli czyn określony w ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3. Art. 50. Kto administrując zbiorem danych przechowuje w zbiorze dane osobowe niezgodnie z celem utworzenia zbioru, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat Jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 52. Kto administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 53. Kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Art. 54. Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku..... (Podpis Administratora Danych Osobowych ) (data i podpis Pracownika ) 9

10 Załącznik Nr 4 INFORMACJA O PRZEKAZANIU DANYCH DOSTĘPOWYCH DO SYSTEMU INFORMATYCZNEGO Administrator Danych Osobowych przekazał w zamkniętej kopercie Pani/Panu.. w dniu.. w obecności.. dane dostępowe do systemu:... Dane dostępowe podlegają szczególnej ochronie: należy je chronić i nie wolno ich udostępniać osobom nieupoważnionym, a po każdorazowym zakończeniu pracy w systemie należy zadbać o skuteczne wylogowanie..... (Podpis Administratora Danych Osobowych ) (data i podpis Pracownika ) 10

11 Załącznik Nr 5 ODWOŁANIE UPOWAŻNIENIA NR.. DO DOSTĘPU I PRZETWARZANIA DANYCH OSOBOWYCH Na podstawie art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych odwołuję z dniem upoważnienie do przetwarzania danych osobowych wystawione dla Pani/Pana (Podpis Administratora Danych Osobowych ) (data i podpis Pracownika ) 11

12 Załącznik Nr 6 REJESTR UDOSTĘPNIENIA DANYCH OSOBOWYCH Lp. Podstawa udostępnienia Imię i nazwisko osoby uprawnionej Data udostępnienia Zakres i forma udostępnienia Osoba udostępniająca 12

13 Załącznik Nr 7 WYKAZ BUDYNKÓW, POMIESZCZEŃ LUB CZĘŚCI POMIESZCZEŃ TWORZĄCYCH OBSZAR, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE Lp. Pomieszczenia, w których przetwarzane są dane osobowe Nazwa zbioru danych osobowych Forma zbioru 1. Sekretariat Zbiór danych osobowych dzieci mieszkających w obwodzie szkoły Zbiór danych osobowych uczniów i ich rodziców Tradycyjna Księga dzieci, rejestr decyzji Elektroniczna Platforma Edukacyjna Tradycyjna Księga uczniów, rejestry decyzji Elektroniczna Platforma Edukacyjna Zbiór danych osobowych pracowników Tradycyjna akta osobowe Elektroniczna Zintegrowany System Zarządzania Oświatą Zbiór danych osobowych dotyczących kandydatów do szkoły Tradycyjna formularze rekrutacyjne Elektroniczna Platforma Edukacyjna 2. Pokoje nauczycielskie, sale Zbiór danych osobowych uczniów i ich lekcyjne, świetlica, gabinet rodziców psychologa, gabinet pedagoga, biblioteka Tradycyjna dzienniki lekcyjne, dzienniki zajęć, karty biblioteczne, dzienniki zajęć w świetlicy, dzienniki pracy psychologa i pedagoga, karty biblioteczne, dokumentacja wychowawcy Elektroniczna Platforma Edukacyjna, docelowo elektroniczny dziennik 13

14 Załącznik Nr 8 WYKAZ ZBIORÓW DANYCH W SZKOLE PODSTAWOWEJ NR 2 IM. ŚW. WOJCIECHA W KRAKOWIE Lp. Nazwa zbioru danych osobowych Forma zbioru 1. Zbiór danych osobowych dzieci mieszkających w obwodzie szkoły Tradycyjna Księga dzieci, rejestr decyzji Elektroniczna Platforma Edukacyjna 2. Zbiór danych osobowych uczniów i ich rodziców Tradycyjna Księga uczniów, rejestry decyzji, dzienniki lekcyjne, dzienniki zajęć, dzienniki zajęć w świetlicy, dzienniki pracy psychologa i pedagoga, karty biblioteczne, dokumentacja wychowawcy Elektroniczna Platforma Edukacyjna, docelowo dziennik elektroniczny 3. Zbiór danych osobowych pracowników Tradycyjna akta osobowe Elektroniczna Zintegrowany System Zarządzania Oświatą 4. Zbiór danych osobowych dotyczących kandydatów do szkoły Tradycyjna formularze rekrutacyjne Elektroniczna Platforma Edukacyjna 14