INSTRUKCJA ZGŁOSZENIA ZBIORU DANYCH OSOBOWYCH NA PRZYKŁADZIE ZBIORU KORESPONDENCJA

Transkrypt

1 INSTRUKCJA ZGŁOSZENIA ZBIORU DANYCH OSOBOWYCH NA PRZYKŁADZIE ZBIORU KORESPONDENCJA w ogólnokrajowym, jawnym rejestrze zbiorów osobowych prowadzonym przez Generalnego Inspektora Ochrony Danych Osobowych 1. Zgłoszenie dokonuje się na podstawie art. 40 ustawy o ochronie danych osobowych. 2. Zgłoszenie można dokonad poprzez druk będący załącznikiem do Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r. Nr 229, poz. 1536) lub poprzez formularz elektroniczny wprost na stronie GIODO pod adresem: 3. Po wywołaniu adresu należy wskazad zakładkę Wypełnianie wniosku i postępowad zgodnie z poniższą instrukcją.

2 START Informacja dla Administratorów danych nie dysponujących podpisem elektronicznym o konieczności wydruku, podpisania i wysłania tradycyjną pocztą wypełnionego formularza. A0 ZGŁOSZENIE ZBIORU 1. Jeżeli zgłaszany jest zbiór nie zawierający danych wrażliwych należy zaznaczyd pierwszy kwadrat. 2. Jeżeli dokonywana jest zmiana niezależnie czy zbiór posiada czy nie dane wrażliwie należy zaznaczyd drugi kwadrat. 3. Jeżeli zgłaszany jest zbiór zawierający dane wrażliwe należy zaznaczyd trzeci kwadrat. 4. Jeżeli mamy wcześniej przygotowany plik zgłoszenia w formacie XML, korzystamy z przycisku WCZYTAJ WNIOSEK, a następnie PRZEGLĄDAJ i wskazujemy plik z dysku i wybieramy WCZYAJ. 5. W omawiamy przykładzie należy zaznaczyd pierwszy kwadrat i wskazad DALEJ.

3 B1 Charakterystyka Administratora danych 1. Należy podad dowolną nazwę zbioru danych osobowych. Zaleca się, aby nazwa zbioru była zwięzła i adekwatna do rodzaju danych przetwarzanych w zbiorze. 2. W pkt 1 należy podad dane Administratora danych. 3. W przypadku wątpliwości można korzystad z podpowiedzi systemu znajdujących się w kwadratowym polu z symbolem i 4. Wskazad DALEJ. B2 Określenie Przedstawiciela Wnioskodawcy 1. Pola działu B2 wypełnia się tylko w przypadku Administratora danych mającego siedzibę albo miejsce zamieszkania w paostwie trzecim, tj. paostwie nie należącym do Europejskiego Obszaru Gospodarczego. 2. W przeciwnym przypadku pozostawia się pola puste. 3. Wskazad DALEJ.

4 B3 Powierzenie przetwarzania danych 1. Dział B3 wypełnia się w przypadku powierzenia przetwarzania danych w oparciu o art. 31 ustawy o ochronie danych osobowych. 2. W takim przypadku należy zaznaczyd pierwszy kwadrat i podad w polu poniżej nazwę i adres podmiotu, któremu powierzono przetwarzanie danych. 3. Jeżeli Administrator danych zamierza powierzyd przetwarzanie danych, ale nie zna w chwili zgłoszenia nazwy podmiotu, któremu to przetwarzanie powierzy należy zaznad kwadrat drugi. 4. Jeżeli Administrator danych nie powierzył lub nie zamierza powierzyd przetwarzania danych dział B3 należy zostawid pusty. 5. Wskazad DALEJ. B4 Podstawa prawna upoważniająca do przetwarzania danych 1. Należy podad przynajmniej jedną z pięciu wymienionych przesłanek uprawniających do przetwarzania danych. 2. Jeżeli Administrator danych przetwarza zbiór w oparciu o podstawy innej ustawy należy zaznaczyd kwadrat drugi i podad w polu poniżej podstawę prawną. 3. Jeżeli nie zostanie zaznaczony żaden kwadrat, system uniemożliwi dalszą pracę. 4. Dział B4 jest jednym z najważniejszych działów i jego poprawne wypełnienie jest niezbędne do zarejestrowania zbioru. 5. Wskazad DALEJ.

5 C5 Cel przetwarzania danych 1. Należy podad/opisad cel przetwarzania danych. 2. W przypadku, kiedy w dziale B4 został zaznaczony kwadrat drugi (podstawą uprawniającą do przetwarzania danych jest szczególny przepis prawa) oczywistym jest zapis w dziale C5 odnoszący się do Realizacji ustawowych obowiązków, w innych przypadkach należy podad precyzyjnie cel przetwarzania, w tym przypadku Adnotacja o odbieranej i wysyłanej korespondencji. 3. Wskazad DALEJ. C6 Opis kategorii osób, których dane dotyczą 1. Należy podad kategorię osób, których dane dotyczą, np. Osoby korespondujące. 2. W przypadku zgłaszania zbioru Korespondencja wystarczy wpisad Osoby korespondujące. 3. Wskazad DALEJ.

6 C7 Zakres przetwarzanych danych 1. Należy wyszczególnid dokładny zakres przetwarzanych danych. 2. Na liście podane są najczęściej przetwarzane dane. 3. Zakres danych określa ciężar gatunkowy zbioru i wskazuje jego zawartośd merytoryczną. 4. Wskazad DALEJ. C8 Inne dane osobowe, oprócz wymienionych w pkt C7, przetwarzane w zbiorze 1. Jeżeli przetwarzane są dane, które nie występowały na liście w dziale C7, należy w polu tekstowym wpisad brakujący zakres. 2. Wskazad DALEJ.

7 C9 Dane wrażliwe 1. Dział C9 zostawiamy niewypełniony, gdyż dotyczy on przetwarzania danych wrażliwych, a w omawianym zbiorze dane takie nie są przetwarzane. 2. Wskazad DALEJ. C10 Zakres prawny przetwarzanych danych wrażliwych 1. Należy wskazad podstawę prawną przetwarzania zbioru zawierającego dane wrażliwie, analogicznie do działu B4. 2. Jeżeli w zbiorze nie są przetwarzane dane wrażliwe, wówczas dział C10 nie jest wyświetlany. 3. W omawianym przykładzie nie są przetwarzane dane wrażliwie, dlatego dział ten jest pomijany. 4. W takim przypadku system automatycznie z działu C9 przenosi użytkownika do działu C11.

8 D11 Zbieranie danych 1. Należy podad w jaki sposób otrzymano dane do przetwarzania. 2. W omawianym przykładzie dane uzyskiwane są wprost od osób których one dotyczą. 3. Wskazujemy DALEJ. D12 Udostępnianie danych 1. Jeżeli dane będą udostępniane innym podmiotom, aniżeli tym które są uprawnione na mocy przepisów prawa, wówczas zaznaczamy pole w dziale D Wskazujemy DALEJ.

9 D13 Odbiorcy danych 1. Jeżeli w dziale D12 zaznaczono, iż dane będą udostępniane należy w dziale D13 określid odbiorców tych danych. 2. Odbiorca danych powinien byd jednoznacznie określony poprzez wskazanie jego nazwy lub nazwiska i imienia, a także adresu zamieszkania lub siedziby. 3. Należy również zwrócid uwagę na symbol i, który wyjaśnia odbiorcę danych. 4. Zgodnie z nim, za odbiorcę danych NIE UWAŻA SIĘ: a. osoby, której dane dotyczą, b. osoby upoważnionej do przetwarzania danych, c. przedstawiciela, o którym mowa w pkt 2 zgłoszenia, d. podmiotu, o którym mowa w pkt 3 zgłoszenia, e. organów paostwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem. D14 Przekazywanie danych do paostwa trzeciego 1. Jeżeli dane są przekazywane do paostwa trzeciego, tj. nie należącego do Europejskiego Obszaru Gospodarczego, wówczas należy podad nazwę tego paostwa. 2. W omawianym przykładzie nie przekazuje się danych do paostw trzecich, dlatego też dział ten pomijamy. 3. Wskazad DALEJ.

10 E15 Określenie postaci zbioru 1. Korespondencja w większości przypadków prowadzona jest tradycyjnie (papierowo) w jednym miejscu/jednej księdze dlatego w pkt a) należy zaznaczyd kwadrat centralnie. 2. Jeżeli omawiany zbiór przetwarzany jest papierowo wówczas w pkt b) należy zaznaczyd kwadrat wyłącznie w postaci papierowej 3. Jeżeli omawiany zbiór jest prowadzony również w postaci elektronicznej (przy pomocy programu komputerowego) zaznaczamy w pkt b) kwadrat w z użyciem systemu informatycznego. Zaznaczenie tego kwadratu jest automatycznie traktowane jako przetwarzanie danych ZARÓWNO w postaci PAPIEROWEJ jak i ELEKTRONICZNEJ. 4. W omawianym przykładzie zbiór prowadzony jest papierowo, dlatego należy zaznaczyd pierwszy kwadrat w pkt b). 5. Jeżeli w pkt b) zostanie zaznaczony drugi kwadrat, wówczas należy w pkt c) zaznaczyd czy mamy połączenie z Internetem (pierwszy kwadrat) czy pracujemy bez połączenia (drugi kwadrat). 6. W omawianym przykładzie zbiór prowadzony jest papierowo dlatego pkt c) nie dotyczy. 7. Wskazad DALEJ. E16 Zabezpieczenie danych (cz.i) 1. Należy zaznaczyd realizację obowiązków ustawowych określonych w art Pkt a) nie musi byd wypełniony, jeżeli wypełniony jest pkt b) i odwrotnie. 3. Pkt b, c i d muszą byd wypełnione, gdyż obowiązki te wynikają z zapisów ustawy. 4. Pkt e) należy zostawid pusty, gdyż w omawianym przykładzie zbiór przetwarzany jest papierowo, a do takich zbiorów nie jest wymagana instrukcja zarządzania systemem informatycznym.

11 E16 Zabezpieczenie danych (cz.ii) środki ochrony fizycznej 1. Należy podad środki ochrony fizycznej stosowane do zabezpieczenia zgłaszanego zbioru. 2. Środki te opisują bezpieczeostwo fizyczne miejsca przetwarzania zbioru w pomieszczeniu: okien, drzwi, szaf oraz inne, np. niszczarki dokumentów. 3. Lista środków ochrony fizycznej powinna wynikad z polityki bezpieczeostwa będącej częścią dokumentacji ochrony danych osobowych i byd zlokalizowana w tym dokumencie w dziale Środki techniczne ochrony danych. 4. W omawianym przykładzie wybrano kilka najczęściej stosowanych środków ochrony fizycznej. E16 Zabezpieczenie danych (cz.iii) środki sprzętowe infrastruktury informatycznej 1. Należy podad środki sprzętowe infrastruktury informatycznej, czyli sposoby zabezpieczenia komputera/sytemu informatycznego. 2. Częśd tę wypełnia się tylko dla zbiorów przetwarzanych elektronicznie. 3. Lista środków sprzętowych infrastruktury informatycznej powinna wynikad z polityki bezpieczeostwa będącej częścią dokumentacji ochrony danych osobowych i byd zlokalizowana w tym dokumencie w dziale Środki techniczne ochrony danych. 4. W omawianym przykładzie zbiór przetwarzany jest papierowo, dlatego pola zostały niewypełnione.

12 E16 Zabezpieczenie danych (cz.iv) środki ochrony baz danych 1. Należy podad środki ochrony baz danych, czyli sposoby zabezpieczenia bezpośrednio zbioru w poastaci elektronicznej (bazy danych). 2. Częśd tę wypełnia się tylko dla zbiorów przetwarzanych elektronicznie. 3. Lista środków ochrony baz danych powinna wynikad z polityki bezpieczeostwa będącej częścią dokumentacji ochrony danych osobowych i byd zlokalizowana w tym dokumencie w dziale Środki techniczne ochrony danych. 4. W omawianym przykładzie zbiór przetwarzany jest papierowo, dlatego pola zostały niewypełnione. E16 Zabezpieczenie danych (cz.v) środki organizacyjne 1. Ostatnią częścią zabezpieczenia danych jest określenie środków organizacyjnych. 2. Lista środków organizacyjnych powinna wynikad z polityki bezpieczeostwa będącej częścią dokumentacji ochrony danych osobowych i byd zlokalizowana w tym dokumencie w dziale Środki organizacyjne ochrony danych. 3. W pole tekstowe poniżej listy można wpisad dodatkowe środki znajdujące się we wspomnianej dokumentacji. 4. W omawianym przykładzie wybrano kilka najczęściej stosowanych środków organizacyjnych. 5. Wskazad DALEJ.

13 F17 Poziom bezpieczeostwa 1. Poziom bezpieczeostwa określa się dla zbiorów przetwarzanych elektronicznie. 2. Jeżeli w zbiorze nie są przetwarzane dane wrażliwie i system nie jest połączony z Internetem należy zaznaczyd poziom podstawowy. 3. Jeżeli w zbiorze są przetwarzane dane wrażliwie i system nie jest połączony z Internetem należy zaznaczyd poziom podwyższony. 4. Jeżeli zbiór jest przetwarzany przez sied Internet, wówczas niezależnie od tego czy w zbiorze są lub nie są przetwarzane dane wrażliwie należy zaznaczyd poziom wysoki. 5. Wskazad DALEJ. F18 Załączniki 1. W części załączniki należy podad adres na który po wysłaniu zgłoszenia zostanie przesłane potwierdzenie przyjęcia. 2. Podany adres może również może służyd jako login do konta za pośrednictwem którego będzie można uzyskad informację o stanie załatwiania przesłanego drogą elektroniczną zgłoszenia. 3. Do wniosku można dołączyd dokumenty związane ze zgłoszeniem. 4. Nie trzeba do zgłoszenia dołączad polityki bezpieczeostwa czy instrukcji zarządzania systemem informatycznym. 5. Jeżeli wyrażono zgodę na wymianę korespondencji drogą elektroniczną należy zaznaczyd pole Wyrażam zgodę na doręczanie korespondencji za pomocą środków komunikacji elektronicznej w rozumieniu przepisów o świadczeniu usług drogą elektroniczną. 6. Wskazad DALEJ.

14 Załączniki - informacja 1. Jeżeli w dziale F18 nie zaznaczono pola: Wyrażam zgodę na doręczanie korespondencji za pomocą środków komunikacji elektronicznej w rozumieniu przepisów o świadczeniu usług drogą elektroniczną zostanie wyświetlony odpowiedni komunikat. 2. Wskazad DALEJ. Wysyłka 1. Przed wysyłką należy zapisad wniosek na dysk, celem ewentualnego wykorzystania przy zgłaszaniu zamian. W tym celu należy wskazad przycisk ZAPISZ WNIOSEK i wybrad odpowiednią lokalizację na dysku. 2. Następnie należy dokument wysład. 3. Jeżeli Administrator danych posiada podpis elektroniczny i chce podpisad nim wniosek wprost ze strony GIODO należy wskazad pierwsze pole. 4. Jeżeli chce podpisad własną aplikacją należy wskazad pole drugie. 5. Omawiany przykład zostanie wysłany bez podpisu, dlatego należy wskazad pole trzecie: Wyślij wniosek bez podpisu elektronicznego. 6. Przed wysłaniem można sprawdzid zawartośd wniosku wskazując pole czwarte.

15 Potwierdzenie 1. Jeżeli transmisja zostanie zakooczona poprawnie system wyświetli stosowny komunikat. 2. Z uwagi na fakt, iż wniosek nie został podpisany elektronicznie należy go wydrukowad, a nastęnie opatrzyd podpisem i pieczęcią administratora danych lub osoby upoważnionej do jego reprezentowania. 3. Wskazad pole DRUKUJ/ZAPISZ