Polityka prywatności

POLITYKA BEZPIECZEŃSTWA
K&P RENTALS SP. Z O.O. z siedzibą w Rumi, ul Dąbrowskiego 14, wpisana do
rejestru przedsiębiorców KRS prowadzonego przez Sąd Rejonowy
w Gdańsk-Północ – VII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod
numerem 000 11 00 852 (NIP: 5842850919, REGON 528408293)
Przyjęta dnia: Gdańsk, dnia 18.07.2024r
§ 1
Podstawa prawna i cel opracowania dokumentu

1. Niniejszy dokument został stworzony w celu wdrożenia wymogów określonych w
   powszechnie obowiązujących przepisach prawa, w tym nade wszystko
   w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia
   2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych
   osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia
   dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) z dnia 27 kwietnia
   2016 r.
2. Przedmiotowy akt należy odczytywać łącznie z pozostałymi wewnętrznymi regulacjami
   takimi jak:
   2.1. Rejestr czynności przetwarzania danych osobowych (który to dokument określa w
   szczególności kategorie przetwarzanych danych, podstawę ich przetwarzania, cel,
   kategorie odbiorców danych),
   2.2. Instrukcja Zarządzania System Informatycznym (której celem jest
   udokumentowanie i ustanowienie poziomu ochrony danych przetwarzanych w
   formie elektronicznej).
   § 2
   Definicje
   Na potrzeby niniejszego dokumentu oraz jego załączników stosuje się następujące
   definicje:
3. Administrator danych osobowych: K&P RENTALS SP. Z O.O. z siedzibą w Rumi,
   ul Dąbrowskiego 14, wpisana do rejestru przedsiębiorców KRS prowadzonego
   przez Sąd Rejonowy w Gdańsk-Północ – VII Wydział Gospodarczy Krajowego
   Rejestru Sądowego, pod numerem 000 11 00 852 (NIP: 5842850919, REGON
   528408293)
4. Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do
   zidentyfikowania osoby fizycznej (osoby, której tożsamość można określić bezpośrednio
   lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo
   jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne,
   umysłowe, ekonomiczne, kulturowe lub społeczne),
5. Przetwarzanie danych osobowych – jakiekolwiek operacje wykonywane na danych
   osobowych lub ich zestawach, takie jak zbieranie, utrwalanie, organizowanie,
   porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie,
   przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub
   innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie
   lub niszczenie,
6. Anonimizacja – operacja na danych, na skutek której brak jest możliwości ustalenia
   tożsamości osoby, której dane dotyczą,
7. Pracownik – należy przez to rozumieć osobę zatrudnioną przez Administratora danych
   w formie umowy o pracę,
8. Współpracownik – osoba fizyczna świadcząca we własnym imieniu na rzecz
   Administratora usługi na podstawie umowy cywilnoprawnej (np. umowa zlecenia,
   umowa o dzieło).
9. RODO – rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r.
   w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w
   sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE,
10. Obszar przetwarzania danych osobowych – teren, na którym wykonywana jest
    choćby jedna z czynności przetwarzania danych osobowych.
    § 3
    Cel polityki bezpieczeństwa
    Celem Polityki Bezpieczeństwa przetwarzania danych osobowych u Administratora danych
    jest uzyskanie optymalnego i zgodnego z wymogami obowiązujących aktów prawnych,
    sposobu przetwarzania informacji zawierających dane osobowe, a przede wszystkim
    zapewnienie ochrony przetwarzanych danych osobowych przed wszelkiego rodzaju
    zagrożeniami, tak zewnętrznymi jak i wewnętrznymi.
    § 4
    Zakres stosowania Polityki Bezpieczeństwa
11. W ramach zabezpieczenia danych osobowych ochronie podlegają w szczególności:
    1.1. sprzęt elektroniczny – komputery osobiste (w tym przenośne) i inne urządzenia
    zewnętrzne, telefony komórkowe,
    1.2. oprogramowanie,
    1.3. dokumenty w formie papierowej.
12. Należy pamiętać, że dane osobowe:
    2.1. mogą przybrać różną formę: formularze aplikacyjne, wnioski, kwestionariusze,
    oświadczenia, umowy, akta osobowe, dokumentacja postępowań, ankiety, notatki,
    wydruki robocze, źródłowe dokumenty finansowe, orzeczenia sądów
    powszechnych, dokumentacja medyczna oraz wiele innych,
    2.2. dla oceny, czy określona informacja stanowi dane osobowe czy też nie, forma nie
    ma decydującego znaczenia. Istotne jest, czy informacja dotyczy osoby fizycznej
    oraz czy możliwe jest jej zidentyfikowanie.
    § 5
    Podstawowe zasady ochrony danych osobowych
    Administrator danych dąży do realizacji następujących zasad:
    1.1. legalności – przetwarzanie danych osobowych może się odbywać wyłącznie, gdy
    zaistnieje co najmniej jedna z przewidzianych prawem przesłanek (przepis prawa,
    konieczność realizacji umowy, odrębna zgoda),
    1.2. celowości – aby dane mogły być przetwarzane, musi istnieć ku temu konkretny,
    wyraźny i prawnie uzasadniony cel. Jeżeli przetwarzanie służy różnym celom,
    potrzebna jest podstawa na wszystkie cele. Cel przetwarzania danych powinien
    być zakomunikowany osobie, której dane dotyczą,
    1.3. adekwatności – przetwarzając dane Administrator danych powinien kierować się
    zasadą minimalizacji danych – powinien on przetwarzać tylko takie dane, które są
    mu niezbędne ze względu na cel ich zbierania,
    1.4. merytorycznej poprawności – Administrator danych jest zobowiązany do tego,
    aby dane przez niego zbierane były poprawne i w razie potrzeby uaktualniane.
    Powinien oceniać wiarygodność źródła pozyskania danych oraz wdrożyć sposób
    weryfikowania prawdziwości przetwarzanych danych,
    1.5. czasowości – zasada ograniczenia przechowywania danych – obowiązek
    przechowywania danych osobowych przez okres nie dłuższy niż jest niezbędne do
    celów, w których dane te są przetwarzane,
    1.6. integralności i poufności danych – forma przetwarzania danych osobowych
    powinna być tak zabezpieczona za pomocą odpowiednich środków technicznych
    lub organizacyjnych, by zapewniała adekwatne bezpieczeństwo danych
    osobowych, w tym ochronę przed niezgodnym z prawem przetwarzaniem,
    przypadkową utratą, zniszczeniem lub uszkodzeniem,
    1.7. rozliczalności – Administrator danych powinien móc wykazać, iż postępuje
    zgodnie z zasadami dotyczącymi przetwarzania danych osobowych,
    1.8. przejrzystości – informacje kierowane do osoby, której dane dotyczą, związane z
    przetwarzaniem jej danych, mają być dla niej łatwo dostępne, zrozumiałe, oraz
    sformułowane jasnym i prostym językiem. Osobom fizycznym należy uświadomić
    ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych
    osobowych oraz sposoby ich wykonywania.
    § 6
    Obszar przetwarzania danych osobowych
13. Przetwarzanie danych osobowych przez Administratora danych odbywa się:
    1.1. przy wykorzystaniu systemów informatycznych lub
    1.2. poza systemem informatycznym, w wersji papierowej.
14. Obszar przetwarzania danych osobowych obejmuje:
    ⎯ dane osobowe są przetwarzane w siedzibie Rumia, ul Dąbrowskiego 14, kod
    pocztowy: 84-230
15. Zabezpieczenie danych osobowych nastąpiło w następujący sposób:
    ⎯ drzwi zewnętrzne do budynku są zabezpieczone:
    zamkami na klucz
    ⎯ drzwi do lokali może otworzyć wyłączanie osoba posiadająca klucze, tj.
    wyłącznie pracodawca i pracownicy. Zwrot kluczy przez pracownika następuje
    nie później niż ostatniego dnia zatrudnienia,
    ⎯ w siedzibie występuje minimalna ilość danych przechowywanych w postaci
    papierowej;
    ⎯ w pomieszczeniu pracowników znajdują się szafki zamykane na klucz;
    ⎯ osoby postronne nie mają dostępu do pomieszczeń;
    ⎯ w pomieszczeniach znajduje się gaśnica;
    ⎯ ekrany komputerów są skierowane w taki sposób, aby osoby postronne z
    zewnątrz, nie mogły uzyskać wglądu w dane dla nich nie przeznaczone;
    ⎯ klienci (i inne osoby nieupoważnione) nie mają możliwości wejścia pod
    nieobecność pracownika do pomieszczenia, w którym są przechowywane dane
    osobowe.
16. Administrator dopuszcza możliwości przetwarzania danych osobowych w ramach
    pracy zdalnej i dyżurów odbywanych w miejscu wybranym przez pracownika. Zasady i
    wymogi bezpieczeństwa dotyczące pracy zdalnej określa dokumentacja pracy zdalnej.
    § 7
    Środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności
    i rozliczalności przetwarzania danych – ogólny opis rozwiązań
17. Zabezpieczenia organizacyjne:
    1.1. sporządzono i wdrożono Politykę Bezpieczeństwa,
    1.2. sporządzono i wdrożono Instrukcję Zarządzania Systemem Informatycznym
    służącym do przetwarzania danych osobowych,
    1.3. do przetwarzania danych zostały dopuszczone wyłącznie osoby posiadające
    upoważnienia nadane przez Administratora danych bądź osobę przez niego
    upoważnioną,
    1.4. stworzono i wdrożono procedurę postępowania w sytuacji naruszenia ochrony
    danych osobowych,
    1.5. stworzono i wdrożono zasady retencji danych,
    1.6. stworzono i wdrożono procedurę reagowania na pytania i żądania osób, których
    dane dotyczą,
    1.7. stworzono i wdrożono procedurę reagowania na incydenty związane z
    przetwarzaniem danych osobowych,
    1.8. osoby zatrudnione przy przetwarzaniu danych osobowych zostały zaznajomione z
    przepisami dotyczącymi ochrony danych osobowych oraz w zakresie zabezpieczeń
    systemu informatycznego,
    1.9. osoby zatrudnione przy przetwarzaniu danych osobowych obowiązane zostały do
    zachowania poufności,
    1.10. osoby zatrudnione przy przetwarzaniu danych osobowych zostały pouczone o
    konsekwencjach naruszenia zasad ochrony danych osobowych,
    1.11. osoby zatrudnione przy przetwarzaniu danych osobowych są regularnie szkolone,
    1.12. dane osobowe są powierzane do przetwarzania wyłącznie profesjonalnym,
    zaufanym podmiotom. Obowiązki podmiotów uczestniczących jako procesor w
    przetwarzaniu danych są określane w umowach powierzenia,
    1.13. zawierane są odpowiednie umowy powierzenia przetwarzania danych osobowych,
    1.14. opracowano i wdrożono politykę czystego biurka, czystego ekranu, czystych tablic,
    czystego pulpitu, czystych drukarek, czystych koszy,
    1.15. dokumenty papierowe nie są wynoszone poza siedzibę Administratora, chyba że
    jest to niezbędne do wypełnienia zadań służbowych lub Administrator wyraził na
    to zgodę.
18. Zabezpieczenia techniczne:
    2.1. przetwarzanie danych osobowych dokonywane jest w warunkach
    zabezpieczających dane przed dostępem osób nieupoważnionych, a w
    szczególności:
    2.1.1. dostęp do pomieszczeń, w których przetwarzane są dane osobowe jest
    ograniczony,
    2.1.2. stosowany jest system alarmowania o pożarze,
    2.1.3. dokumenty przechowywane są w dostosowanych, odpowiednio
    zabezpieczonych szafach,
    2.2. dokumenty i nośniki informacji zawierające dane osobowe, które podlegają
    zniszczeniu, neutralizuje się za pomocą urządzeń do tego przeznaczonych lub
    dokonując takiej ich modyfikacji, która nie pozwoli na odtworzenie ich treści,
    2.3. proces przetwarzania danych w systemie informatycznym został należycie
    zabezpieczony (szerzej na ten temat w Instrukcji Zarządzania Systemem
    Informatycznym).
    § 8
    Zasada czystego biurka i czystych tablic
19. Na biurkach poszczególnych pracowników powinny znajdować się wyłącznie te
    dokumenty, które są niezbędne do bieżącej pracy.
20. Po zakończeniu pracy, wszystkie wykorzystywane dokumenty i notatki powinny zostać
    schowane i zabezpieczone.
21. Należy unikać przechowywania napojów, innych płynnych substancji w bezpośrednim
    pobliżu dokumentów oraz stacji roboczych komputerów.
22. Po zakończeniu zebrania i prezentacji, należy oczyścić wykorzystywane tablice i inne
    przyrządy, z informacji stanowiących dane osobowe.
    § 9
    Udzielanie upoważnień
23. Do przetwarzania danych osobowych mają dostęp wyłącznie osoby upoważnione.
24. Nadawanie upoważnień odbywa się poprzez podpisanie upoważnienia do przetwarzania
    danych.
    § 10
    Zasada czystego kosza
25. Dokumenty zbędne, nieudane wydruki itp. powinny zostać zutylizowane (przed
    zniszczeniem należy dokładnie ocenić, czy na pewno ustały wszelkie podstawy do
    dalszego przechowania danego dokumentu).
26. Utylizacja powinna nastąpić przy wykorzystaniu właściwych ku temu urządzeń
    (niszczarek).
27. Za przykład złej praktyki uznaje się ręczne, niestaranne lub nazbyt ogólne niszczenie
    dokumentów i umieszczanie ich w koszu.
    § 11
    Zasada czystego ekranu, czystego pulpitu
28. W przypadku podejmowania interesantów/osób postronnych, jak również spotkań i
    prezentacji, na ekranie komputera nie powinny być wyświetlane żadne informacje
    mogące choćby pośrednio odnosić się do innych osób.
29. Pulpit komputera w systemie operacyjnym nie powinien stanowić docelowego miejsca
    przechowywania plików (w szczególności, jeżeli z nazw plików można wywnioskować
    kogo dotyczą).
30. Ekrany komputerów powinny być skierowane w taki sposób, ażeby osoby postronne
    odwiedzające siedzibę, nie mogły uzyskać wglądu w dane dla nich nie przeznaczone.
31. W przypadku czasowego opuszczenia stanowiska pracy, automatycznie aktywowane
    powinny być zabezpieczone hasłem wygaszacze ekranu (szerzej na ten temat w
    Instrukcji Zarządzania Systemem Informatycznym).
32. Podczas prezentacji należy:
    5.1. unikać wgrywania plików zawierających dane osobowe na dyski urządzeń
    należących do osób trzecich. Jeżeli jednak ze względu na okoliczności nie da się
    tego uniknąć, po zakończonej prezentacji pliki powinny zostać trwale usunięte z
    dysku,
    5.2. wykorzystywać funkcję rozszerzania ekranu oraz ukrywania plików znajdujących się
    na pulpicie tak, aby osoby trzecie nie miały podglądu do: plików znajdujących się
    na komputerze ani powiadomień z treścią maili lub wiadomości wysyłanych na
    komunikatorze.
    § 12
    Zasada nadzorowania interesantów
33. Interesanci (lub inne osoby postronne, typu listonosz, kurier) nie mogą być
    pozostawiani bez nadzoru, w pomieszczeniach, w których przechowywane są dane
    osobowe.
34. Rozmowa z interesantami odbywa się we właściwych ku temu warunkach,
    zapewniających poufność wymienianych treści.
35. Każdy pracownik powinien reagować na stwierdzony przypadek nieupoważnionego
    dostępu do przestrzeni, w której przetwarzane są dane osobowe.
    § 13
    Zasady dotyczące kluczy do pomieszczeń
36. Dostęp do kluczy posiadają wyłącznie osoby upoważnione.
37. Klucze pozostają pod nadzorem osób upoważnionych. Osoby upoważnione ponoszą
    odpowiedzialność za przydzielone im klucze.
38. Zabrania się pozostawiania kluczy w szafach, szufladach po zakończonym dniu pracy.
39. Wyznaczona została osoba odpowiedzialna za klucze zapasowe na wypadek utraty lub
    czasowego braku dostępu do pomieszczeń, szaf lub szuflad.
40. W przypadku utraty klucza informowana jest wyznaczona osoba, zaś zamek
    wymieniony.
41. Zwrot kluczy następuje nie później niż ostatniego dnia zatrudnienia.
    § 14
    Zasada czasowości – praktyczne aspekty stosowania
    Jak wskazano, zgodnie z zasadą czasowości dane osobowe nie powinny być przetwarzane
    przez okres dłuższy, niż jest to niezbędne z uwagi na cel, dla którego zostały zebrane. Ażeby
    prawidłowo realizować tę zasadę w praktyce należy:
    1.1. ustalić, kto jest Administratorem danych osobowych (czy dane należą do
    Administratora czy też zostały mu powierzone przez inny podmiot),
    1.2. jeżeli dane osobowe zostały powierzone przez inny podmiot, należy ustalić, po
    jakim czasie strony ustaliły obowiązek usunięcia lub zwrotu danych,
    1.3. w przypadku danych, należących do Administratora należy dokonać indywidualnej
    oceny, przez jaki okres poszczególne dane osobowe powinny być przetwarzane,
    czy nadal istnieje podstawa do ich przetwarzania,
    1.4. ocena ta powinna być wszechstronna (a więc powinna uwzględniać nie tylko
    wskazany wprost cel przetwarzania, lecz również wszelkie inne uzasadnione
    powinności i ryzyka),
    1.5. przed podjęciem decyzji o usunięciu lub zwrocie danych osobowych należy więc
    np.:
    1.5.1. ustalić, czy ustała podstawa do dalszego przetwarzania (np. zakończenie
    umowy z klientem, z dostawcą, rozwiązanie umowy o pracę z pracownikiem),
    1.5.2. określić czy dane osobowe powinny być dalej przetwarzane z uwagi na fakt, że
    roszczenia z danej umowy nie uległy jeszcze przedawnieniu,
    1.5.3. ustalić, czy w usprawiedliwionym interesie Administratora danych pozostaje
    dalsze przechowywanie danych osobowych,
    1.5.4. określić czy dane osobowe powinny być przechowywane w niezmienionej
    formie, czy też powinny zostać zanonimizowane (np. dla potrzeb
    statystycznych),
    1.5.5. zbadać, czy istnieją przepisy prawa, które nakazują nam dalsze przetwarzanie
    danych (np. przepisy ustawy Ordynacja Podatkowa, ustawy o Systemie
    Ubezpieczeń Społecznych).
    1.6. Aktualną procedurę dotyczącą okresu retencji danych osobowych określa
    załącznik nr 13.
    § 15
    Obowiązki informacyjne i komunikacja
42. Administrator danych dba o czytelność i styl przekazywanych informacji i komunikacji z
    osobami, których dane przetwarza.
43. Administrator danych dokumentuje obsługę obowiązków informacyjnych,
    zawiadomień i żądań osób. W tym celu, Administrator danych:
    2.1.1. udostępnia wzory obowiązków informacyjnych i wniosków,
    2.1.2. wprowadza w życie „Rejestr wniosków”.
44. Administrator danych wprowadza proceduralne gwarancje ochrony praw i wolności
    osób trzecich. W szczególności, Administrator danych umożliwia realizację określonych
    prawem uprawnień osób, których dane osobowe przetwarza.
45. Administrator na wiarygodne i uzasadnione żądanie, pochodzące od uprawnionej
    osoby, realizuje następujące prawa:
    4.1. dostępu do danych – Administrator danych udzieli informacji, czy i w jakim
    zakresie przetwarza dane (w tym o celu i odbiorcach danych, a także o
    planowanym okresie ich przechowywania, ich źródle i zautomatyzowanym
    podejmowaniu decyzji), następnie udzieli dostępu do przedmiotowych danych,
    4.2. tworzenia kopii danych – Administrator danych wyda kopie danych i odnotuje fakt
    pierwszego wydania, kolejne wydanie kopii może wiązać się z koniecznością
    pobrania kwoty odpowiadającej bezpośrednim kosztom obsługi żądania,
    4.3. sprostowania danych – Administrator danych sprostuje nieprawidłowe,
    nieaktualne dane,
    4.4. uzupełnienia danych – Administrator danych uzupełni, zaktualizuje dane niepełne,
    4.5. usunięcia danych – Administrator danych usunie dane, w szczególności, jeżeli:
    4.5.1. dane nie są niezbędne do celów, w których zostały zebrane,
    4.5.2.zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej
    przetwarzania,
    4.5.3.osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych,
    4.5.4. dane były przetwarzane niezgodnie z prawem,
    4.5.5.konieczność usunięcia wynika z obowiązku prawnego,
    4.5.6.w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio
    dziecku,
    4.6. ograniczenia przetwarzania – Administrator danych ograniczy przetwarzanie, w
    szczególności, jeżeli:
    4.6.1. osoba kwestionuje prawidłowość danych – na okres pozwalający sprawdzić ich
    prawidłowość,
    4.6.2.przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą,
    sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia
    ich wykorzystywania,
    4.6.3.nie potrzebuje już danych osobowych, ale są one potrzebne osobie, której
    dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń,
    4.6.4. osoba wniosła sprzeciw względem przetwarzania z przyczyn związanych z
    jej szczególną sytuacją – do czasu stwierdzenia, czy po stronie Administratora
    danych zachodzą prawnie uzasadnione podstawy nadrzędne wobec podstaw
    sprzeciwu.
    W trakcie ograniczenia przetwarzania Administrator danych przechowuje dane
    osobowe, natomiast nie przetwarza ich (nie wykorzystuje, nie przekazuje), bez
    zgody osoby, której dane dotyczą, chyba że w celu ustalenia, dochodzenia lub
    obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z
    uwagi na ważne względy interesu publicznego.
    4.7. przenoszenia danych – Administrator danych wyda w ustrukturyzowanym,
    powszechnie używanym formacie nadającym się do odczytu maszynowego lub
    przekazuje innemu podmiotowi, jeśli jest to możliwe, dane dotyczące tej osoby,
    4.8. sprzeciwu – Administrator danych uwzględni sprzeciw (dotyczy to w szczególności
    sprzeciwu w szczególnej sytuacji oraz sprzeciwu dot. marketingu
    bezpośredniego).
46. Każdy wniosek dotyczący wyżej opisanych uprawnień powinien zostać rzetelnie
    rozpoznany przez Administratora danych i spotkać się z odpowiedzią. Nie oznacza to, że
    każdy wniosek będzie mógł zostać uwzględniony.
47. Pracownicy i podmioty przetwarzające mają obowiązek bezzwłocznego informowania
    Administratora danych, o każdym odnotowanym wniosku lub żądaniu.
    § 16
    Instrukcja postępowania w przypadku zagrożeń i incydentów zagrażających
    bezpieczeństwu danych osobowych
48. Instrukcja definiuje katalog problemów i incydentów zagrażających bezpieczeństwu
    danych osobowych oraz opisuje sposób reagowania na nie. Celem instrukcji jest
    minimalizacja skutków wystąpienia incydentów bezpieczeństwa, ograniczenie ryzyka
    powstania zagrożeń i występowania incydentów w przyszłości.
49. Każdy pracownik w przypadku stwierdzenia zagrożenia lub naruszenia ochrony danych
    osobowych, zobowiązany jest niezwłocznie poinformować Administratora danych.
50. Do typowych zagrożeń bezpieczeństwa danych osobowych należą:
    3.1. niewłaściwe zabezpieczenie fizyczne pomieszczeń, urządzeń i dokumentów,
    3.2. niewłaściwe zabezpieczenie sprzętu, oprogramowania przed wyciekiem, kradzieżą
    i utratą danych osobowych,
    3.3. nieprzestrzeganie zasad ochrony danych osobowych przez pracowników.
51. Do typowych incydentów bezpieczeństwa danych osobowych należą:
    4.1. zdarzenia losowe zewnętrzne (pożar obiektu/pomieszczenia, zalanie wodą, utrata
    zasilania, utrata łączności),
    4.2. zdarzenia losowe wewnętrzne (awarie serwera, komputerów, twardych dysków,
    oprogramowania, pomyłki informatyków, Pracowników, utrata/ zagubienie
    danych),
    4.3. umyślne incydenty (włamanie do systemu informatycznego lub pomieszczeń,
    kradzież danych/sprzętu, wyciek informacji, ujawnienie danych osobom
    nieupoważnionym, świadome zniszczenie dokumentów/danych, działanie wirusów
    i innego szkodliwego oprogramowania),
    4.4. zdarzenia nieumyślne (zniszczenie potrzebnych dokumentów, usunięcie plików,
    nieusunięcie danych w terminie).
52. W przypadku stwierdzenia wystąpienia zagrożenia, Administrator danych prowadzi
    postępowanie wyjaśniające w toku, którego:
    5.1. ustala zakres i przyczyny zagrożenia oraz jego ewentualne skutki,
    5.2. inicjuje ewentualne działania zaradcze,
    5.3. rekomenduje działania prewencyjne (zapobiegawcze) zmierzające do eliminacji
    zagrożeń w przyszłości,
    5.4. dokumentuje prowadzone postępowania.
53. W przypadku stwierdzenia incydentu (naruszenia) Administrator danych prowadzi
    postępowanie wyjaśniające w toku, którego:
    6.1. ustala czas wystąpienia naruszenia, jego zakres, przyczyny, skutki oraz wielkość
    szkód, które zaistniały,
    6.2. zabezpiecza ewentualne dowody,
    6.3. ustala osoby odpowiedzialne za naruszenie,
    6.4. podejmuje działania naprawcze (usuwa skutki incydentu i ogranicza szkody),
    6.5. wyciąga wnioski i rekomenduje działania korygujące zmierzające do eliminacji
    podobnych incydentów w przyszłości,
    6.6. dokumentuje prowadzone postępowania.
54. W przypadku naruszenia ochrony danych osobowych, Administrator danych bez
    zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po
    stwierdzeniu naruszenia – zgłasza je Prezesowi Urzędu Ochrony danych osobowych.
55. Obowiązek, o którym mowa w ust. 7 nie powstaje, jeżeli jest mało prawdopodobne, by
    odnotowany incydent skutkował ryzykiem naruszenia praw lub wolności osób
    fizycznych.
56. Zgodnie z literą prawa, zgłoszenie powinno zawierać:
    9.1. opis charakteru naruszenia ochrony danych osobowych, w tym w miarę możliwości
    wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz
    kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy
    naruszenie,
    9.2. imię i nazwisko oraz dane kontaktowe wyznaczonej u Administratora danych
    osoby, która będzie w stanie udzielić bardziej szczegółowych informacji,
    9.3. opis możliwych konsekwencji naruszenia ochrony danych osobowych,
    9.4. opis zastosowanych lub proponowanych przez Administratora danych środków w
    celu zaradzenia naruszeniu ochrony danych osobowych.
57. W przypadku przekroczenia terminu 72 h, zgłoszenie musi zawierać precyzyjne
    określenie przyczyn opóźnienia. Jeżeli informacji nie da się udzielić w tym samym
    czasie, można ich udzielać sukcesywnie bez zbędnej zwłoki
58. Administrator danych, w oparciu o przewidziane prawem kryteria, dokonuje oceny, czy
    zachodzi konieczność poinformowania o incydencie osób, których dany problem
    dotyczy. Zawiadomienie jest dokonywane, jeżeli naruszenie ochrony danych
    osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób
    fizycznych.
59. Zawiadomienie powinno byś sporządzone jasnym i prostym językiem oraz zawierać:
    12.1. opis charakteru naruszenia,
    12.2. imię i nazwisko oraz dane kontaktowe wyznaczonej u Administratora danych
    osoby, która będzie w stanie udzielić bardziej szczegółowych informacji,
    12.3. opis możliwych konsekwencji naruszenia ochrony danych osobowych,
    12.4.opis zastosowanych lub proponowanych przez Administratora danych środków w
    celu zaradzenia naruszeniu ochrony danych osobowych.
60. Wszelkie podmioty, które przetwarzają dane osobowe na zlecenie Administratora
    danych powinny zostać pouczone o obowiązku niezwłocznego informowania o
    wszelkich incydentach.
    § 17
    Zadania Administratora danych
61. Do najważniejszych obowiązków Administratora danych należy:
    1.1. organizacja bezpieczeństwa i ochrony danych osobowych zgodnie z wymogami
    ustawy o ochronie danych osobowych,
    1.2. zapewnienie przetwarzania danych zgodnie z uregulowaniami Polityki,
    1.3. wydawanie i anulowanie upoważnień do przetwarzania danych osobowych,
    1.4. prowadzenie ewidencji osób upoważnionych do przetwarzania danych
    osobowych,
    1.5. prowadzenie postępowania wyjaśniającego w przypadku naruszenia ochrony
    danych osobowych, prowadzenie postępowania wyjaśniającego w przypadku
    naruszenia ochrony danych osobowych,
    1.6. prowadzenie analizy ryzyka,
    1.7. nadzór nad bezpieczeństwem danych osobowych,
    1.8. kontrola działań komórek organizacyjnych pod względem zgodności
    przetwarzania danych z przepisami o ochronie danych osobowych,
    1.9. inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony
    danych osobowych,
    1.10. odpowiedni dobór podmiotów przetwarzających oraz zawieranie umów
    powierzenia przetwarzania danych osobowych
    1.11. zawiadamianie organu nadzoru w przypadkach przewidzianych prawem.
62. Administrator dokonuje aktualnej oceny, czy zachodzą przypadki transgranicznego
    przetwarzania danych osobowych. Kryteria tej oceny zawiera załącznik nr 14.
63. Pamiętać należy, że odpowiedzialność za przetwarzanie danych osobowych nie
    obciąża wyłącznie Administratora danych. Zgodnie z powszechnie obowiązującymi
    przepisami prawa, sankcje za uchybienia mogą dotknąć wprost osób
    zatrudnionych (odpowiedzialność dyscyplinarna, możliwość regresu).
    § 18
    Postanowienia końcowe
64. Za przetwarzanie danych osobowych niezgodnie z prawem, celami przetwarzania lub
    przechowywanie ich w sposób niezapewniający ochrony interesów osób, których te
    dane dotyczą grozi odpowiedzialność karna wynikająca z przepisów ustawy o ochronie
    danych osobowych lub pracownicza na zasadach określonych w kodeksie pracy lub
    kodeksie cywilnym
65. Administrator danych ma obowiązek zapoznać z treścią Polityki każdego pracownika.
66. Wszelkie zmiany niniejszego dokumentu będą publikowane w sposób zwyczajowo
    przyjęty u Administratora danych.
    Załączniki:
67. Instrukcja zarządzania systemem informatycznym
68. Wzór upoważnienia do przetwarzania danych osobowych
69. Wzór odwołania upoważnienia do przetwarzania danych osobowych
70. Ewidencja upoważnień
71. Wzór oświadczenia o zobowiązaniu się do zachowania poufności
72. Wzór ewidencji wniosków
73. Procedura dotycząca okresu retencji danych osobowych
74. Kryteria oceny czy zachodzą przypadki transgranicznego przetwarzania danych
    osobowych
75. Wzór zgody na rozpowszechnianie wizerunku dla pracowników
76. Wzór zgody na rozpowszechnianie wizerunku dla osób trzecich
77. Wzór umowy powierzenia przetwarzania danych osobowych (wersja A – jako
    Administrator)
78. Wzór umowy powierzenia przetwarzania danych osobowych (wersja B – jako podmiot
    przetwarzający)
79. Ewidencja incydentów ochrony danych osobowych
80. Ewidencja naruszeń ochrony danych osobowych
81. Rejestr czynności przetwarzania danych osobowych
82. Rejestr kategorii czynności przetwarzania danych osobowych
83. Rejestr audytów i szkoleń
84. Informacja o stosowaniu monitoringu wizyjnego
85. Ocena ryzyka
86. Ocena skutków