PROWADZENIE REJESTRU ZBIORÓW DANYCH OSOBOWYCH PRZEZ ABI BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH

Transkrypt

1 PROWADZENIE REJESTRU ZBIORÓW DANYCH OSOBOWYCH PRZEZ ABI BIURO GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH 23 lutego 2016 r. Warszawa 1 Generalny Inspektor Ochrony Danych Osobowych ul. Stawki 2, Warszawa kancelaria@giodo.gov.pl

2 PLAN Prezentacji Podstawy prawne prowadzenia lokalnego rejestru zbiorów danych osobowych korzyści dla ADO Lokalny rejestr zbiorów danych osobowych - komu ma służyć czym się różni od innych rejestrów, wykazów Wymagana zawartość lokalnego rejestru zbiorów Jawność lokalnego rejestru zbiorów i sposoby jego udostępniania Rejestracja zmian dokonywanych w rejestrze zbiorów Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 2

3 Art. 36 ust. 2 pkt 2 u.o.d.o Podstawy prawne prowadzenia jawnego rejestru zbiorów przez ABI Do zadań administratora bezpieczeństwa informacji należy: 1) zapewnianie przestrzegania przepisów o ochronie danych osobowych, w szczególności przez: a) sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych, b) nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2, oraz przestrzegania zasad w niej określonych, c) zapewnianie zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych; 2) prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2-4a i 7. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 3

4 Art. 43 ust. 1 i 1a u.o.d.o Korzyści z prowadzenie lokalnego zbiorów danych osobowych Zwolnienie z obowiązku rejestracji zbiorów do GIODO 1. Z obowiązku rejestracji zbioru danych zwolnieni są administratorzy danych: 1) zawierających informacje niejawne, 12)przetwarzanych w zbiorach, które nie są prowadzone z wykorzystaniem systemów informatycznych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1. 1a. Obowiązkowi rejestracji zbiorów danych osobowych, z wyjątkiem zbiorów zawierających dane, o których mowa w art. 27 ust. 1, nie podlega administrator danych, który powołał administratora bezpieczeństwa informacji i zgłosił go Generalnemu Inspektorowi do rejestracji, z zastrzeżeniem art. 46e ust. 2. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 4

5 Komu maja służyć prowadzone rejestry zbiorów danych osobowych Rejestry zbiorów danych osobowych występujące w kontekście przepisów ustawy o ochronie danych osobowych 1. Ogólnokrajowy, jawny rejestru zbiorów danych osobowych prowadzonego przez GIODO (art. 42 ust. 1 u.o.d.o.) - celem jest sprawowania kontroli GIODO nad prawidłowością procesu przetwarzania danych osobowych oraz zapewnienie obywatelom transparentności działań ADO. 2. Lokalne, jawne rejestry zbiorów danych osobowych przetwarzanych przez ADO, prowadzone przez powołanych i zgłoszonych do GIODO ABI (art. 36a ust 2 pkt 2 u.o.d.o.) - celem jest zapewnienie transparentności działań ADO w zakresie przetwarzania danych osobowych. Funkcję kontroli sprawuje głównie powołany ABI. 3. Wykazu zbiorów danych osobowych, o których mowa w 4 pkt 2 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych ( ) (Dz. U. z 2004 r. Nr 100, poz. 1024). celem jest właściwe zabezpieczenie procesu przetwarzania danych w poszczególnych zbiorach, jak również procesów przekazywania danych pomiędzy poszczególnymi zbiorami. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 5

6 W jakich rejestrach mogą znaleźć się zbiory ADO, który powołał ABI Przynależność zbiorów ADO do poszczególnych rejestrów 1. Zbiór osób korzystających z usług medycznych. 2. Zbiór subskrybentów newslettera 3. Zbiór pracowników (Kadry, Płace, Rejestr GIODO Rejestr ABI Polityka bezpieczeństwa. wykaz zbiorów, systemów, programów Płatnik, ZUS) Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 6

7 Zawartość lokalnego rejestru zbiorów prowadzonego przez ABI A. Podstawowe informacje o zbiorze w zakresie: 1) nazwa zbioru danych; 2) oznaczenie administratora danych, adres jego siedziby, numer REGON; 3) oznaczenie przedstawiciela administratora danych, adres jego siedziby; 4) oznaczenie podmiotu, któremu powierzono przetwarzanie danych; 5) podstawa prawna upoważniająca do prowadzenia zbioru danych; 6) cel przetwarzania danych w zbiorze; 7) opis kategorii osób, których dane są przetwarzane w zbiorze; 8) zakres danych przetwarzanych w zbiorze; 9) sposób zbierania danych, czy bezpośrednio od podmiotów danych, czy z innych źródeł; 10) sposób udostępniania danych, czy dane są udostępniane innym podmiotom niż upoważnionym na podstawie przepisów prawa; 11) oznaczenie odbiorcy danych lub kategorii odbiorców, którym dane mogą być przekazywane; 12) informacja dotycząca ewentualnego przekazywania danych do państwa trzeciego B. Data wpisu zbioru do rejestru. C. Data ostatniej aktualizacji informacji o zbiorze lub informacja o wykreśleniu danego zbioru z rejestru Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 7

8 Sposób prowadzenia lokalnego rejestru zbiorów przez ABI Rozporządzenie w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. z 2015 r., poz. 719), wskazuje: 1. Zakres danych, jakie powinny być zawarte w rejestrze 2. Postać, w jakiej rejestr może być prowadzony, wskazując, że może to być postać papierowa lub elektroniczna. 3. Sposób udostępniania (zakres udostępnianych danych) 4. Zakres informacji określającej dokonywane zmiany w rejestrze (historia zmian) Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 8

9 Meta Zm. 1 Zm. 2 Rejestr zbiorów danych osobowych Meta Zm. 1 Zm. 2 Rejestr Zbiorów Danych Osobowych zbiór 1 zbiór 2 Dane 1) Nazwa zbioru: 2) Oznaczenie ADO: 3) Przedstawiciel ADO: ) Oznaczenie odbiorcy danych: 12) Informacja dotycząca transferu: Data wpisu zbioru: Data ostatniej modyfikacji: Data wykreślenia zbioru: Rodzaj operacji: (wpis, aktual. Wykreśl) Data operacji: Zakres operacji:: Rodzaj operacji: (wpis, aktual. Wykreśl) Data operacji: Zakres operacji:: Dane 1) Nazwa zbioru: 2) Oznaczenie ADO: 3) Przedstawiciel ADO: ) Oznaczenie odbiorcy danych: 12) Informacja dotycząca transferu: Data wpisu zbioru: Data ostatniej modyfikacji: Data wykreślenia zbioru: Rodzaj operacji: (wpis, aktual. Wykreśl) Data operacji: Zakres operacji:: Rodzaj operacji: (wpis, aktual. Wykreśl) Data operacji: Zakres operacji:: Rozporządzenie Ministra Administracji i Cyfryzacji z dnia 11 maja 2015 r. w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych (Dz. U. z 2015 r. poz. 719) Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 9

10 Rejestr zbiorów danych osobowych -przykład Lp. Nazwa zbioru 1. Zbiór danych kontrahentów 2. Zbiór interesantów i adresatów korespondencji przychodzącej i wychodzącej do/z. 3. Zbiór danych użytkowników Newslettera. Data wpisania do rejestru Data ostatniej aktualizacji Rodzaj ostatniej aktualizacji Wpisanie do rejestru Odwołania do zawartości zbioru (link, załącznik) Załącznik nr 1 - zbiór danych kontrahentów Modyfikacja Załącznik nr 2 - zbiór danych o interesantach i adresatach oraz korespondencji do/z Wpisanie do rejestru Załącznik nr 3 - zbiór danych użytkowników Newslettera.. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 10

11 Rejestr zbiorów danych osobowych -przykład Lp. Nazwa zbioru 1. Zbiór danych kontrahentów 2. Zbiór interesantów i adresatów korespondencji przychodzącej i wychodzącej do/z. 3. Zbiór danych użytkowników Newslettera. Data wpisania do rejestru Data ostatniej aktualizacji Rodzaj ostatniej aktualizacji Wpisanie do rejestru Odwołania do zawartości zbioru (link, załącznik) zbiór danych kontrahentów Modyfikacja zbiór danych o interesantach i adresatach oraz korespondencji do/z Wpisanie do rejestru zbiór danych użytkowników Newslettera.. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 11

12 Rejestr zbiorów danych osobowych -przykład Lp. Nazwa zbioru 1. Zbiór użytkowników newslettera Boira GIODO 2. Zbiór Administratorów Bezpieczeństwa Informacji prowadzony przez GIODO Data wpisania do rejestru Data ostatniej aktualizacji Rodzaj ostatniej aktualizacji Wpisanie do rejestru Odwołania do zawartości zbioru (link, załącznik) zbiór użytkowników newslettera Modyfikacja zbiór ABI prowadzony przez GIODO Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 12

13 Informacje o wybranym zbiorze z rejestru zbiorów. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 13

14 Informacje o wybranym zbiorze z rejestru zbiorów. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 14

15 Informacje o wybranym zbiorze z rejestru zbiorów. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 15

16 Udostępnianie lokalnego rejestru zbiorów prowadzonego przez ABI 5 Rozporządzenia w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych 1. W przypadku prowadzenia rejestru w postaci elektronicznej administrator bezpieczeństwa informacji udostępnia rejestr do przeglądania: 1) na stronie internetowej administratora danych, przy czym na stronie głównej umieszcza się odwołanie umożliwiające bezpośredni dostęp do rejestru, lub 2) na stanowisku dostępowym w systemie informatycznym administratora danych znajdującym się w siedzibie lub miejscu zamieszkania tego administratora, lub 3) przez sporządzenie wydruku rejestru z systemu informatycznego administratora danych. 2. W przypadku prowadzenia rejestru w postaci papierowej administrator bezpieczeństwa informacji udostępnia każdemu zainteresowanemu treść rejestru do przeglądania w siedzibie lub miejscu zamieszkania administratora danych. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 16

17 Udostępnianie lokalnego rejestru zbiorów prowadzonego przez ABI 5 Rozporządzenia w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych 3. W przypadku prowadzenia rejestru wyłącznie w postaci elektronicznej albo w postaci papierowej i postaci elektronicznej administrator bezpieczeństwa informacji może zdecydować, że w odniesieniu do informacji, o których mowa w 3 ust. 1 pkt 4, w postaci elektronicznej udostępnia się do przeglądania wyłącznie informacje o powierzeniu przetwarzania danych innemu podmiotowi, a jego oznaczenie i adres siedziby lub miejsca zamieszkania są udostępniane do przeglądania jedynie w sposób określony w ust. 2. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 17

18 Ewidencjonowanie zmian w rejestrze zbiorów prowadzonym przez ABI 6 Rozporządzenia w sprawie sposobu prowadzenia przez administratora bezpieczeństwa informacji rejestru zbiorów danych Administrator bezpieczeństwa informacji odnotowuje historię zmian w rejestrze zawierającą: 1) informację o rodzaju zmiany (nowy wpis, aktualizacja, wykreślenie); 2) datę dokonania zmiany; 3) informację o zakresie zmiany. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 18

19 Ewidencjonowanie zmian w rejestrze zbiorów prowadzonym przez ABI Przykład 1. Sposób dokumentowania historii zmian w lokalnym rejestrze zbiorów prowadzonym przez ABI w postaci wykazu kopii zamieszczanych kolejno opisów do którego załączane są te kopie. 1. Opis zmian dotyczący zbioru użytko wni ków newslettera Spółki XYZ kopie zamieszczanych opisów zbioru 1) Opis zbioru - wersja z dnia r. Załącznik nr 1 2) Opis zbioru - wersja z dnia r. Załącznik nr 2 3) Opis zbioru - wersja z dnia r. Załącznik nr 3 Opis zbioru 1 wersja z dnia Opis zbioru 1 wersja data z dnia 3 Opis zbioru 1 wersja data z 2 dnia data 1 Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 19

20 Ewidencjonowanie zmian w rejestrze zbiorów prowadzonym przez ABI Przykład 2. Sposób dokumentowania historii zmian w lokalnym rejestrze zbiorów prowadzonym przez ABI w postaci wskazania kolejnych zmian w opisach poszczególnych zbiorów. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 20

21 Ewidencjonowanie zmian w rejestrze zbiorów prowadzonym przez ABI Przykład 3. Sposób dokumentowania historii zmian. Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 21

22 ABI Informator Więcej informacji, w tym przykłady prowadzenia rejestru zbiorów przez ABI udostępnione zostały na stronie internetowej: Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 22

23 ABI Informator Dziękuję za uwagę Warszawa dnia 23 luty 2016 * Biuro GIODO * Andrzej. Kaczmarek Slajd nr: 23