POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH

POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH

obejmująca rejestr czynności przetwarzania danych osobowych

Małopolskiej Spółdzielni Handlowej „WIZAN”

przyjęta w dniu 01.03.2019r

ROZDZIAŁ Ogólne zasady bezpieczeństwa

1. Preambuła

   1. Niniejsza polityka bezpieczeństwa danych osobowych określasposób przetwarzania danych osobowych przez Małopolską Spółdzielnię Handlową „WIZAN” jako administratora danych osobowych - w tym:

      1. nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;

      2. cele przetwarzania;

      3. opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;

      4. kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;

      5. przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej (gdy ma to zastosowanie);

      6. jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;

      7. ogólny opis technicznych i organizacyjnych środków bezpieczeństwa – zapewniających stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych których dane dotyczą.

   2. Niniejsza polityka bezpieczeństwa danych osobowych określa także sposób przetwarzania danych osobowych przez Małopolską Spółdzielnię Handlową „WIZAN” jako podmiot przetwarzający – w tym:

      1. imię i nazwisko lub nazwę oraz dane kontaktowe każdego administratora lub podmiotu przetwarzającego, w imieniu którego Małopolska Spółdzielnia Handlowa „WIZAN” działa jako odpowiednio podmiot przetwarzający lub dalszy podmiot przetwarzający.

      2. kategorie przetwarzań dokonywanych w imieniu każdego z administratorów;

      3. przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej (gdy ma to zastosowanie);

      4. ogólny opis technicznych i organizacyjnych środków bezpieczeństwa – zapewniających stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych których dane dotyczą.

   3. Zasadnicze zasady w zakresie przetwarzania danych osobowych określają następujące akty prawne:

      1. rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej nr L 119/1 z 4.5.2016; dalej: RODO)

      2. ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.1000. 18 dalej: ustawa o ochronie danych osobowych, u.o.d.o.),

   4. Polityka bezpieczeństwa danych osobowych powinna być poddawana bieżącej aktualizacji, ale nie rzadziej niż raz do roku.

   5. W przypadku, gdyby postanowienia Polityki okazały się z jakichkolwiek względów sprzeczne z powszechnie obowiązującym prawem – stosuje się przepisy prawa, z pominięciem postanowień Polityki.

2. Podstawowe definicje

   1. Administrator Danych Osobowych, Administrator Danych (ADO) – osoba ustalająca cele i sposoby przetwarzania danych osobowych - którą jest Małopolska Spółdzielnia Handlowa „WIZAN” z siedzibą w Andrychowie przy ul. Legionów 7 wpisana przez Sąd Rejonowy w dla Krakowa – Śródmieścia w Krakowie Wydział XII Gospodarczy KRS do rejestru przedsiębiorców KRS pod nr 0000133092 NIP: 551-000-74-75 Regon: 000355476

   2. Administrator Bezpieczeństwa (AB) – osoba wyznaczona przez ADO, odpowiedzialna za zapewnianie, aby przetwarzanie danych osobowych przez ADO odbywało się zgodnie z przepisami o ochronie danych osobowych. Szczegółowy zakres obowiązków AB określa niniejsza Polityka. AB nie jest inspektorem ochrony danych, o którym mowa w art. 37 i nast. RODO, w związku z czym ADO nie ma obowiązku publikacji jego danych lub zawiadomienia o nich Organu Nadzorczego.

   3. Administrator Systemów Informatycznych (ASI) – wyznaczona przez ADO osoba, odpowiedzialna za funkcjonowanie infrastruktury informatycznej, na którą składa się cały sprzęt informatyczny oraz systemów i aplikacji informatycznych, za ich przeglądy, konserwację oraz za stosowanie technicznych i organizacyjnych środków bezpieczeństwa w systemach informatycznych. Szczegółowy zakres obowiązków ASI określa niniejsza Polityka.

   4. Dane osobowe –informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

   5. Dane biometryczne - dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne;

   6. Dane dotyczące zdrowia - dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia;

   7. Nadzorca zasobów danych osobowych (NZDO) – osoba kierująca komórką organizacyjną, odpowiedzialna za ochronę danych osobowych przetwarzanych w podległej komórce. Szczegółowy zakres obowiązków NZDO określa niniejsza Polityka.

   8. Naruszenie ochrony danych osobowych - naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;

   9. Organ Nadzorczy–Prezes Urzędu Ochrony Danych Osobowych.

   10. Odbiorca danych – osoba fizyczna lub prawna, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców.

   11. Podmiot przetwarzający - osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora.

   12. Polityka, Polityka bezpieczeństwa – niniejsza Polityka bezpieczeństwa danych osobowych.

   13. Profilowanie - dowolna formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;

   14. Przetwarzanie danych osobowych – operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

   15. Pseudonimizacja - przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;

   16. Strona trzecia -osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które – z upoważnienia administratora lub podmiotu przetwarzającego – mogą przetwarzać dane osobowe;

   17. Zbiór danych - uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie;

   18. Zgoda, Zgoda osoby, której dane dotyczą- dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

3. Obowiązki Administratora Danych Osobowych

   1. ADO zobowiązany jest zapewnić w szczególności, aby dane osobowe były:

      1. przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”);

      2. zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami („ograniczenie celu”);

      3. adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);

      4. prawidłowe i w razie potrzeby uaktualniane („prawidłowość”);

      5. przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane („ograniczenie przechowywania”);

      6. przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

   2. ADO powinien być w stanie wykazać przestrzeganie zasad określonych w pkt. 3.1 powyżej („rozliczalność”).

   3. ADO może realizować swe obowiązki za pośrednictwem upoważnionych osób, w tym zwłaszcza AB, ASI lub NZDO. Wyznaczenie może nastąpić w szczególności poprzez złożenie oświadczenia według wzorów stanowiących załącznik do niniejszej Polityki (zob. zał. nr 3).

   4. W przypadku, gdy niniejsza Politykaprzewiduje, iż obowiązki ADO stanowią jednocześnie obowiązkiosób wskazanych w pkt. 3.3 - należy to rozumieć jako równoznaczne z udzieleniem przez ADO odpowiedniego upoważnienia danej osobie.

4. Zgodność z prawem

   1. W ramach obowiązku zapewnienia zgodności z prawem przetwarzania danych osobowych, ADO powinien przetwarzać dane osobowe wyłącznie w przypadku, gdy istnieje ku temu podstawa.

   2. Podstawa przetwarzania danych osobowych istnieje jeśli:

      1. osoba, której dane dotyczą wyraziła Zgodę na przetwarzanie swoich danych osobowych w danym celu lub

      2. jest to niezbędne do:

1. wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy lub

2. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

3. ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej lub

4. wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub

5. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.

3. Przetwarzanie danych osobowych wrażliwych, w tym zwłaszcza danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia – jest dopuszczalne wyłącznie na warunkach określonych w powszechnie obowiązujących przepisach (w tym zwłaszcza art. 9 RODO).

5. Rzetelność, przejrzystość i prawidłowość

   1. W ramach obowiązku zapewnienia rzetelności i przejrzystości przetwarzania danych – ADO powinien:

      1. w przypadku pozyskania danych osobowych od osób, których dane te dotyczą – udzielać owym osobominformacji, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem, o:

1. tożsamości i danych kontaktowych ADO,

2. celu i podstawie prawnej przetwarzania danych,

3. okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriach ustalania tego okresu,

4. prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,

5. prawie wniesienia skargi do organu nadzorczego,

6. tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;

1. Gdy ma to zastosowanie, informacja wskazana w punkcie poprzedzającym powinna obejmować informacje:

1. o prawie do cofnięcia Zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem,

2. jakie prawnie uzasadnione interesy ADO lub strona trzecia realizuje w związku z przetwarzaniem danych,

3. o odbiorach lub kategoriach odbiorów danych osobowych,

4. o zautomatyzowanym podejmowaniu decyzji, w tym o Profilowaniu.

5. informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej.

1. w przypadku pozyskiwania danych osobowych nie od osób, których dane dotyczą – udzielać w rozsądnym terminie, nie później niż w ciągu miesiąca, informacji wskazanych w pkt. 5.1.1 i 5.1.2 powyżej, uzupełnionych dodatkowo o wskazanie:

1. kategorii odnośnych danych osobowych

2. źródła pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych.

2. ADO na żądanie osoby, której dane dotyczą:

   1. dostarcza jej kopię danych podlegających przetwarzaniu wraz z informacją o której mowa w art. 15 RODO.

   2. dokonuje sprostowania danych nieprawidłowych

   3. usuwa lub ogranicza przetwarzanie danych osobowych – w przypadku, gdy zgłoszone żądanie jest uzasadnione, w szczególności z uwagi na brak podstawy do dalszego przetwarzania danych przez ADO (np. w związku z cofnięciem Zgody) lub skuteczne wniesienie sprzeciwu. Ograniczenie przetwarzania powinno nastąpić w szczególności na okres niezbędny celem zbadania zasadności żądania usunięcia danych albo gdy osoba której dane dotyczą sprzeciwia się ich usunięciu.

   4. przekazuje jej dane osobowe, które dostarczyła ADO, w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego – pod warunkiem, że przetwarzanie odbywa się w sposób zautomatyzowany, na podstawie Zgody lub celem wykonania zawartej umowy. Stosownie do żądania dane powinny zostać przekazane wnioskodawcy lub innemu administratorowi.

3. ADO uwzględni sprzeciw, o którym mowa w pkt. 5.1.1 lit. d powyżej w przypadku, gdy jest on uzasadniony szczególną sytuacją osoby której dane dotyczą (art. 21 ust. 1 RODO) lub dotyczy przetwarzania danych osobowych na potrzeby marketing bezpośredniego (art. 21 ust. 2 RODO).

4. ADO informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.

5. Jeżeli ADO ma obowiązek usuną

6. dane osobowe, które wcześniej upublicznił, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje („prawo do bycia zapomnianym”).

7. W przypadku gdy w związku z prowadzoną działalnością ADO wydaje decyzje opierające się wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym Profilowaniu, ADO wdraża właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, a co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji.ADO zwolniony jest z powyższych obowiązków w przypadkach przewidzianych prawem. W szczególności ADO nie musi podawać powyższych informacji, gdy osoba, której dane dotyczą, już nimi dysponuje. Tym niemniej zaleca się podawanie tych informacji we wszystkich sytuacjach, w których jest to możliwe, w tym zwłaszcza w ramach prowadzenia działalności online, pozyskiwania zgód, zawierania umów, etc. Wzór pisma obejmującego informacje, o których mowa powyżej, stanowi załącznik do niniejszej Polityki (zał. nr 2).

6. Integralność i poufność danych, ocena skutków

   1. W ramach obowiązku zapewnienia integralności i poufności danych osobowych, ADO powinien wdrożyć odpowiednie środki techniczne i organizacyjne, zabezpieczające dane przed zmianą, utratą, uszkodzeniem lub zniszczeniem – przy czym:

      1. rodzaj owych środków należy określić uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania.W stosownym przypadku zapewnić należy zwłaszcza:

1. pseudonimizację i szyfrowanie danych osobowych;

2. zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

3. zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;

4. regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

1. Określenie środków bezpieczeństwa danych powinno zostać dokonane zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania. Środki powinny być poddawane przeglądom i uaktualniane (data protection by design).

2. Należy zapewnić, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania (data protection by default).

3. Zastosowane środki bezpieczeństwa powinny, przy uwzględnieniu czynników wskazanych w pkt. 6.1.1 powyżej, uwzględniać w szczególności zagrożenia wystąpienia:

1. sytuacji losowych - takich jak klęski żywiołowe (pożary, powodzie), ekstremalne czynniki środowiskowe (np. temperatura, wilgotność powietrza itd.), zamachy terrorystyczne.

2. czynów zabronionych, podejmowanych przez pracowników lub osoby trzecie (np. kradzież, podsłuch, naruszenie środków bezpieczeństwa systemów informatycznych),

3. błędów pracowników (np. dopuszczenie do przetwarzania danych osobowych osób nieuprawnionych),

4. awarie sprzętu - spowodowane w szczególności zastosowaniem niewłaściwych urządzeń, brakiem prawidłowego serwisowania, starzeniem się nośników ponad datę wskazaną przez producenta itd.

5. awarie oprogramowania - spowodowane w szczególności zastosowaniem oprogramowania niezatwierdzonego, brakiem regularnych aktualizacji lub serwisowania itd.

1. Ogólny opis środków bezpieczeństwa, stosowanych przez ADO, został zawarty w specyfikacji środków bezpieczeństwa stanowiącej załącznik do niniejszej Polityki (zał. nr 1). W ocenie ADO zastosowane środki, przy uwzględnieniu ich efektywności, są wystarczające dla zabezpieczenia danych przez ryzykami wskazanymi w pkt. 6.1.

2. ADO zapewnia, by każda osoba fizyczna działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora. W tym celu ADO:

   1. dopuszcza do przetwarzania danych wyłącznie osoby przeszkolonej i posiadającej upoważnienie - udzielone zgodnie ze wzorem stanowiącym załącznik do niniejszej Polityki (zob. zał. nr 4),

   2. prowadzi ewidencję osób upoważnionych stanowiącą załącznik do niniejszej Polityki (zob. zał. nr 5).

3. Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, ADO przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych stosownie do postanowień art. 35 i n. RODO (DPIA - Data Protection Impact Assessment).

4. W ocenie ADO, sposoby przetwarzania danych osobowych na dzień wejścia w życie Polityki nie uzasadniają przeprowadzenia ww. oceny, w szczególności z uwagi na to że:

1. ADO zasadniczo nie przetwarza danych osobowych z użyciem nowych technologii, rozumianych jako technologie które weszły do powszechnego zastosowania nie wcześniej niż w ciągu ostatnich 2 lat.

2. ADO nie dokonuje systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną.

3. ADO nie dokonuje przetwarzania na dużą skalę danych wrażliwych, o których mowa w art. 9 ust. 1 RODO (w tym: danych biometrycznych lub danych dotyczących zdrowia).

4. ADO nie dokonuje systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.

7. Administrator Bezpieczeństwa– AB

   1. ADO w wyniku przeprowadzonej analizy stwierdził, że nie zachodzą przesłanki obligatoryjnego powołania inspektora ochrony danych, o których mowa w art. 37 ust. 1 RODO, w tym zwłaszcza:

      1. ADO nie jest organem administracji publicznej.

      2. główna działalność ADO nie polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę – w szczególności poprzez stosowanie Profilowania;

      3. główna działalność ADO nie polega na przetwarzaniu na dużą skalę danych wrażliwych, o których mowa w art. 9 RODO (w tym: danych biometrycznych lub danych dotyczących zdrowia).

- co szczegółowo uzasadniono w analizie stanowiącej załącznik nr 11 do niniejszej Polityki (zob. zał. nr 11).

W związku z powyższym, ADO odstępuje od powołania inspektora ochrony danych, a w to miejsce powołuje Administratora Bezpieczeństwa – którego prawa i obowiązki w sposób wyczerpujący określa niniejsza Polityka wraz z powołanymi w jej treści dokumentami.

2. Obowiązki AB obejmują:

   1. zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Polityce lub powszechnie obowiązujących przepisach, a także informowanie władz ADO o treści oraz zmianach w zakresie owych obowiązków i wszelkich wykrytych nieprawidłowościach,

   2. udzielanie i cofanie upoważnień do przetwarzania danych osobowych, a także prowadzenie i aktualizacja ewidencji owych osób, a także ewidencji urządzeń (nośników pamięci) przenośnych,

   3. zawieranie umów powierzenia danych osobowych – tam, gdzie jest to konieczne,

   4. zapewnienie złożenia przez pracowników oświadczenia o znajomości przepisów o ochronie danych osobowych oraz zobowiązania do zachowania w tajemnicy danych osobowych oraz informacji na temat zabezpieczania danych osobowych,

   5. nadzorowanie procesów związanych z przetwarzaniem danych osobowych, realizowanych w obrębie struktury organizacyjnej ADO, w tym:

1. obiegu oraz przechowywania dokumentów zawierających dane osobowe;

2. fizycznych zabezpieczeń pomieszczeń, w których przetwarzane są dane osobowe, w tym dostępu do tych pomieszczeń oraz kontrolę przebywających w nich osób;

3. sposobu zabezpieczenia urządzeń przenośnych, na których przechowywane są dane osobowe;

4. sposobu postępowania z nośnikami danych, przeznaczonymi do likwidacji, przekazania podmiotowi nieuprawnionemu do przetwarzania danych lub naprawy;

1. nadzorowanie ASI oraz NZDO, a także wszelkich osób mających dostęp do danych osobowych przetwarzanych przez ADO – w zakresie realizacji ich zadań związanych z ochroną danych osobowych,

2. organizowanie szkoleń pracowników z zakresu bezpieczeństwa przetwarzania danych osobowych,

3. reprezentowanie ADO w kontaktach z Organem Nadzoru, w tym zwłaszcza w związku z prowadzonymi przez Organ Nadzoru kontrolami, postępowaniami administracyjnymi, a także przy konsultacjach oceny skutków planowanego przetwarzania dla ochrony danych osobowych, przy zgłaszaniu przypadków naruszeń ochrony danych osobowych itd.,

4. reprezentowanie ADO w kontaktach z osobami, których dane dotyczą – co obejmuje zwłaszcza pełnienie nadzoru nad przesyłaniem stosownych informacji owym osobom oraz udzielanie odpowiedzi na ich żądania związane z przetwarzanymi przez ADO danymi osobowymi.

5. opracowanie, aktualizację i przechowywanie niniejszej Polityki wraz z załącznikami oraz powiązanej z nim dokumentacji, obejmującej zwłaszcza:

1. niniejsza Polityka wraz z aneksami, wersjami archiwalnymi itd.,

2. uchwały, zarządzenia, polityki itd. dotyczące ochrony danych osobowych,

3. protokoły z przeprowadzonych kontroli wewnętrznych i zewnętrznych w zakresie ochrony danych osobowych,

4. raporty odnoszące się do stwierdzonych przypadków naruszeń ochrony danych osobowych,

5. oceny skutków przetwarzania dla ochrony danych osobowych,

6. plany archiwizacji danych osobowych i programów służących do ich przetwarzania,

7. umowy zawierane z podmiotami przetwarzającymi w przedmiocie powierzenia danych.

3. Podczas realizacji swych zadań, AB ma prawo do:

   1. uzyskiwania wszelkich informacji dotyczących przetwarzanych danych osobowych od wszystkich komórek organizacyjnych.

   2. kontrolowania komórek organizacyjnych pod kątem właściwego zabezpieczenia pomieszczeń oraz systemów informatycznych, w których przetwarzane są dane,

   3. proponowania ADO rozwiązań dotyczących ochrony danych osobowych,

   4. wydawania poleceń kierownikom komórek organizacyjnych w zakresie bezpieczeństwa danych osobowych,

   5. żądania od wszystkich pracowników udzielenia wyjaśnień i pomocy w sytuacjach naruszenia bezpieczeństwa danych osobowych lub w związku z nieprawidłowościami lub zagrożeniami związanymi z ochroną danych osobowych.

   6. wnioskowania o ukaranie osób winnych naruszenia przepisów i zasad dotyczących ochrony danych osobowych.

8. Administrator Systemu Informatycznego – ASI

   1. ADO celem zapewnienia AB pomocy w zakresie zabezpieczenia danych osobowych za pomocą środków informatycznych – może wyznaczyć Administratora Systemów Informatycznych (ASI).

   2. Obowiązki ASI obejmują w szczególności:

      1. zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Politycelub powszechnie obowiązujących przepisach, w szczególności w zakresie informatycznych środków zabezpieczenia danych osobowych – i współdziałanie w tym celu z AB,

      2. zapewnienie prawidłowego, ciągłegodziałaniasystemów, za pośrednictwem których przetwarzane są dane osobowe, a także zgodności przedmiotowych systemów z niniejszą Polityką oraz obowiązującymi standardami w zakresie bezpieczeństwa informacji,

      3. zapewnienie takiej konfiguracji systemów, która będzie optymalna z punktu widzenia umożliwienia ADO wykonywania obowiązków wynikających z niniejszej Polityki oraz przepisów o ochronie danych osobowych,

      4. zabezpieczenie systemów przed:

1. działaniem złośliwego oprogramowania, w tym zwłaszcza oprogramowania mającego na celu bezprawne uzyskanie dostępu do danych osobowych przez osoby trzecie;

2. wszelkimi zagrożeniami pochodzącymi z sieci publicznej;

1. nadzorowanie:

1. wykonywania kopii zapasowych, odpowiedniego ich przechowywania oraz okresowego sprawdzania pod kątem ich dalszej przydatności do odtwarzania danych osobowych w przypadku awarii systemu;

2. napraw, konserwacji oraz likwidacji nośników danych osobowych ( w tym: urządzeń zawierających takie nośniki, jak np. komputery, telefony itd.);

3. stosowania zasady czystego ekranu, polegającej w szczególności na blokowaniu dostępu do urządzeń, za pomocą których możliwe jest uzyskanie dostępu do danych osobowych, na czas nieobecności użytkownika;

1. zapewnienie:

1. ochrony fizycznej serwerowni, a także nośników zawierających kopie zbiorów danych osobowych;

2. awaryjnego źródła zasilania oraz zabezpieczenia przed zakłóceniami w sieci zasilającej systemów informatycznych służących do przetwarzania danych osobowych;

1. realizację wytycznych AB w zakresie ochrony danych osobowych przetwarzanych z wykorzystaniem środków informatycznych,

2. informowanie AB o wszelkich zauważonych nieprawidłowościach skutkujących obniżeniem poziomu ochrony danych osobowych,

3. szkolenia użytkowników systemu w zakresie procedur i instrukcji zapewniających ochronę danych osobowych,

4. wyjaśnianie – wspólnie z AB – wszystkich zgłoszonych nieprawidłowości i incydentów,

5. zgłaszanie AB wykrytych przypadków naruszeń ochrony danych osobowych.

1. W przypadku braku wyznaczenia ASI, obowiązki ASI wykonuje AB.

9. Nadzorcy zasobów danych osobowych – NZDO

   1. ADO w obrębie każdej komórki organizacyjnej, w której dochodzi do przetwarzania danych osobowych, może wyznaczyć Nadzorców zasobów danych osobowych (NZDO). Nadzorcą zasadniczo powinien być kierownik danej komórki.

   2. Do obowiązków Nadzorców zasobów danych osobowych należy:

      1. zapewnienie wykonywania przez ADO obowiązków wskazanych w niniejszej Politycelub powszechnie obowiązujących przepisach w podległej komórce organizacyjnej – i współdziałanie w tym celu z AB,

      2. wnioskowanie do ADO o nadanie upoważnień do przetwarzania danych osobowych dla pracowników podległej komórki organizacyjnej, a także niedopuszczanie do czynności związanych z przetwarzaniem osób nie posiadających odpowiedniego upoważnienia,

      3. w przypadku utworzenia nowego zbioru danych osobowych ustalenie, kogo dotyczą dane osobowe, jaki jest ich zakres (np. imię i nazwisko, adres zamieszkania, NIP, PESEL itp.), cel przetwarzania oraz komu dane osobowe mają być udostępniane. Wszystkie te informacje powinny zostać przekazane do AB oraz ASI,

      4. zgłaszanie AB urządzeń (nośników pamięci) przenośnych, wykorzystywanych w danej jednostce organizacyjnej,

      5. zgłaszanie AB wykrytych przypadków naruszeń ochrony danych osobowych.

10. Powierzanie przetwarzania danych osobowych

    1. ADO może powierzyć przetwarzanie danych osobowych podmiotowi przetwarzającemu, jak również przyjmować dane osobowe administrowane przez osoby trzecie w powierzenie jako podmiot przetwarzający - w drodze umowy zawartej na piśmie. Podmiot przetwarzający powinien posiadać odpowiednią wiedzę fachową, wiarygodność i zasoby zapewniające wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi powszechnie obowiązujących przepisów i chroniło prawa osób, których dane dotyczą.

    2. Umowa powierzenia powinna określać co najmniej przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora – a także zawierać inne postanowienia wymagane w świetle powszechnie obowiązujących przepisów (w tym zwłaszcza art. 28 ust. 3 RODO).

    3. Przekazanie danych osobowych do państwa trzeciego (nie należącego do Europejskiego Obszaru Gospodarczego) lub organizacji międzynarodowej dopuszczalne jest wyłącznie na zasadach wynikających z powszechnie obowiązujących przepisów.

    4. Wzór umowy o powierzenia przetwarzania danych osobowych, który ADO powinien w miarę możliwości stosować w relacjach z podmiotami przetwarzającymi, stanowi załącznik do niniejszej Polityki (zob. zał. nr 6).

    5. Ewidencja umów powierzenia, zawartych przez ADO (zarówno jako administratora, jak i podmiot przetwarzający), stanowi załącznik do niniejszej Polityki (zob. zał. nr 7).

11. Przetwarzanie danych osobowych; Wykaz budynków, pomieszczeń lub części pomieszczeń, w których przetwarzane są dane osobowe; urządzenia przenośne

    1. Przetwarzanie danych osobowych z użyciem stacjonarnego sprzętu komputerowego oraz kartotek odbywa się wyłącznie na obszarze wyznaczonym przez ADO.

    2. Wykaz budynków, pomieszczeń lub części pomieszczeń, w których odbywa się przetwarzanie danych osobowych, stanowi załącznik do niniejszej Polityki (zob. zał. nr 8) - i powinien być na bieżąco aktualizowany przez AB.

    3. Opis zbiorów danych osobowych, przetwarzanych przez ADO, wraz ze wskazaniem podstawy przetwarzania - zawarty jest w Rejestrze stanowiącym załącznik do niniejszej Polityki (zob. zał. nr 9). W przypadku danych, dla których podstawą przetwarzania jest prawnie uzasadniony interes administratora lub osoby trzeciej – ADO sporządził dodatkową analizę, również stanowiącą załącznik do niniejszej Polityki (zob. zał. nr 12).

    4. Przetwarzanie danych osobowych za pomocą urządzeń przenośnych może odbywać się poza obszarem przetwarzania danych wyłącznie za zgodą AB. AB prowadzi ewidencję takich przenośnych urządzeń (zał. nr 10).

    5. Osoba użytkująca urządzenie przenośne, zawierające dane osobowe, zachowuje szczególną ostrożność podczas jego transportu, przechowywania i użytkowania poza obszarem, o którym mowa w pkt. 11.1 wobec przetwarzanych danych osobowych. W razie utraty, uszkodzenia lub zniszczenia urządzenia - użytkownik niezwłocznie poinformuje o tym AB.

12. Szkolenia

    1. Każdy nowo zatrudniony pracownik (bez względu na podstawę zatrudnienia) – przed dopuszczeniem do przetwarzania danych osobowych – podlega przeszkoleniu w zakresie przepisów o ochronie danych osobowych oraz wynikających z nich zadań oraz obowiązków (w tym zwłaszcza w zakresie treści niniejszej Politykii wskazanej w niej dokumentacji). Dotyczy to także współpracowników, stażystów itd.

    2. Wszyscy użytkownicy podlegają okresowym szkoleniom, stosownie do potrzeb wynikających ze zmian w systemie informatycznym (wymiana sprzętu na nowszej generacji, zmiana oprogramowania) oraz w związku ze zmianą przepisów o ochronie danych osobowych lub zmian wewnętrznych regulacji.

    3. Szkolenia organizuje AB lub ASI.

    4. Uczestnictwo i zakres szkolenia powinny być każdorazowo odpowiednio udokumentowane.

13. Postępowanie na wypadek stwierdzenia naruszenia ochrony danych osobowych

    1. Każda osoba, mająca dostęp do danych osobowych ADO, zobligowana jest informować AB o wszelkich przypadkach naruszenia ochrony danych osobowych, jak też zdarzeniach mogących świadczyć o zwiększonym zagrożeniu takiego naruszenia – jak zwłaszcza:

       1. stwierdzenie naruszenia zabezpieczeń danych, w szczególności polegającego na przełamaniu zabezpieczeń fizycznych (np. poprzez zauważenie śladów włamania, przemieszczenia sprzętu, śladów korzystania ze sprzętu przez osoby nieuprawnione itd.) lub informatycznych (np. poprzez zauważenie: (i) braku dostępu do danych pomimo dysponowania stosownymi uprawnieniami; (ii) spowolnienia, niedziałania lub nieprawidłowego działania oprogramowania; (iii) obecności wirusa komputerowego lub innego złośliwego oprogramowania), ujawnieniu haseł dostępowych, otrzymaniu zgłoszenia osoby trzeciej itd.,

       2. wykrycie naruszenia obowiązków związanych z ochroną danych osobowych, wynikających z powszechnie obowiązujących przepisów lub niniejszej Politykiz załącznikami – przez daną osobę lub osoby trzecie,

       3. wykrycie zmiany stanu stanowiska pracy w porównaniu ze stanem pozostawionym,

       4. wykrycie, iż dostęp do danych osobowych uzyskała osoba nieuprawniona.

    2. AB niezwłocznie, przekaże informację o stwierdzonych naruszeniach do wiadomości odpowiednich władz ADO, w terminie wystarczającym do wykonania przez ADO obowiązków wskazanych w pkt. 13.3 i 13.4.

    3. ADO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, zgłasza je Organowi Nadzorczemu - chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Zgłoszenie powinno co najmniej:

       1. opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;

       2. zawierać imię i nazwisko oraz dane kontaktowe AB;

       3. opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;

       4. opisywać środki zastosowane lub proponowane przez ADO w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków (np. zmiana haseł, odzyskanie danych osobowych przy wykorzystaniu kopii zapasowej, zastosowanie dodatkowych środków bezpieczeństwa fizycznego, teleinformatycznego lub organizacyjnego itd.).

    4. ADO bez zbędnej zwłoki zawiadamia o naruszeniu osobę, której dane dotyczą - jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności owej osoby. Zawiadomienie powinno zostać sformułowane jasnym i prostym językiem, opisywać charakter naruszenia ochrony danych osobowych oraz zawierać przynajmniej informacje i środki o których mowa w pkt. 13.3.2-4 powyżej.

    5. Zawiadomienie, o którym mowa w pkt. 13.4, nie jest wymagane w następujących przypadkach:

       1. ADO wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;

       2. ADO zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, o którym mowa w pkt. 13.4;

       3. wymagałoby ono niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

    6. Zgłoszenia naruszeń ochrony danych osobowych Organowi Nadzoru, jak również zawiadomienia osób których dane dotyczą - powinny być dokonywane przez AB, po odbyciu konsultacji z władzami ADO.

    7. W razie stwierdzenia naruszenia ochrony danych osobowych, niezależnie od jego zakresu, wagi itd. – AB przeprowadzi postępowanie wyjaśniające, zakończone sporządzeniem stosownego raportu, który należy przekazać do wiadomości władz ADO. Raport z naruszenia ochrony danych osobowych powinien obejmować co najmniej:

       1. datę i godzinę naruszenia, a także uzyskania przez ADO informacji o naruszeniu,

       2. wskazanie, czy naruszenie zostało zgłoszone Organowi Nadzoru lub osobom których dane dotyczą,

       3. kwestie, o których mowa w pkt. 13.3 powyżej – w postaci możliwie rozbudowanej i uwzględniającej wszelkie ustalenia dokonane po ewentualnym zgłoszeniu naruszenia

       4. propozycję ew. dalszych działań, mających na celu eliminację podobnych naruszeń w przyszłości.

    8. Raport, o którym mowa powyżej, powinien mieć formę pozwalającą Organowi Nadzoru dokonać weryfikacji, że ADO wywiązał się z obowiązków wynikających z powszechnie obowiązujących przepisów.

    9. W przypadku, gdy po sporządzeniu raportu w związku z naruszeniem będą realizowane dalsze czynności, w szczególności wskazane w art. 13.7.4 powyżej – AB sporządzi odrębny raport z ich wykonania i załączy go do pierwotnego raportu.

    10. AB prowadzi rejestr stwierdzonych naruszeń, o których mowa w art. 13.7. Wzór rejestru, a także raportu z naruszenia ochrony danych osobowych stanowi załącznik do niniejszej Polityki (zob. zał. nr 13).

14. Postępowanie na wypadek klęski żywiołowej

    1. Klęską żywiołową jest katastrofa, spowodowana działaniem sił przyrody takich jak ogień, huragan, woda lub ich przejawami.

    2. W przypadku klęski żywiołowej, należy niezwłocznie poinformować AB, a w razie jego nieobecności przełożonego lub władze ADO. W czasie trwania akcji ratunkowej i po jej zakończeniu Administrator Bezpieczeństwa oraz obecni użytkownicy powinni, w miarę możliwości, zabezpieczać dane osobowe przed nieuprawnionym do nich dostępem.

    3. Po zakończeniu akcji ratunkowej AB sporządzi odpowiedni raport. Postanowienia pkt. 13.7 stosuje się odpowiednio.

15. Postanowienia końcowe

    1. W sprawach nieuregulowanych w niniejszej Polityce maja zastosowanie przepisy RODO, a także inne powszechnie obowiązujące przepisy.

    2. Użytkownicy zobowiązani są do bezwzględnego stosowania przy przetwarzaniu danych osobowych postanowień zawartych w niniejszej Polityce.

    3. Załącznikami do niniejszej Politykisą następujące dokumenty:

       1. specyfikacja środków bezpieczeństwa (zał. nr 1),

       2. wzór informacji dla osoby, której dane dotyczą (zał. nr 2),

       3. wzory wyznaczenia AB, ASI i NZDO (zał. nr 3),

       4. wzór upoważnienia do przetwarzania danych osobowych (zał. nr 4),

       5. wzór ewidencji osób upoważnionych do przetwarzania danych osobowych (zał. nr 5),

       6. wzór umowy powierzenia danych osobowych (zał. nr 6),

       7. wzór ewidencji umów powierzenia danych osobowych, zawieranych przez ADO (zał. nr 7),

       8. wykaz budynków, pomieszczeń lub części pomieszczeń, w których odbywa się przetwarzanie danych osobowych (zał. nr 8),

       9. rejestr czynności przetwarzania danych osobowych (zał. nr 9),

       10. ewidencja urządzeń przenośnych (zał. nr 10).

       11. analiza w zakresie obowiązku powołania inspektora ochrony danych (IOD) oraz przeprowadzenia oceny skutków dla ochrony danych (DPIA) – zał. nr 11.

       12. analiza w zakresie istnienia podstawy przetwarzania w postaci uzasadnionego interesu – zał. nr 12.

       13. wzór rejestru, a także raportu z naruszenia ochrony danych osobowych – zał. nr 13.

    4. Polityka może być zmieniana przez ADO - o czym należy niezwłocznie poinformować wszystkich zainteresowanych.

ANEKS nr 1

DO POLITYKI BEZPIECZEŃSTWA DANYCH OSOBOWYCH

przyjętej przez Małopolską Spółdzielnię Handlową „WIZAN” z dnia 01.03.2019r

sporządzony w dniu 01.09.2019r

ROZ

§1

My niżej podpisani, działający jako prawnie umocowani przedstawiciele Małopolskiej Spółdzielni Handlowej „WIZAN” z siedzibą w Andrychowie przy ul. Legionów 7 NIP: 551-000-74-75) niniejszym zmieniamy politykę bezpieczeństwa danych osobowych Małopolskiej Spółdzielni Handlowej „WIZAN” (dalej: Polityka) – w ten sposób, że:

1. Uchyla się art. 5 ust. 2, 3, 4, 5 i 6 Polityki w całości i zastępuje je nowymi art. 5 ust. 2 i 3 o treści:

5.2. ADO na żądanie osoby, której dane dotyczą realizuje wszelkie przysługujące jej prawa, na zasadach określonych w załączniku nr 15 do niniejszej polityki – procedury udzielenia odpowiedzi na żądanie osób fizycznych,

5.3. W przypadku gdy w związku z prowadzoną działalnością ADO wydaje decyzje opierające się wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym Profilowaniu, ADO wdraża właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą, a co najmniej prawa do uzyskania interwencji ludzkiej ze strony administratora, do wyrażenia własnego stanowiska i do zakwestionowania tej decyzji. ADO zwolniony jest z powyższych obowiązków w przypadkach przewidzianych prawem. W szczególności ADO nie musi podawać powyższych informacji, gdy osoba, której dane dotyczą, już nimi dysponuje. Tym niemniej zaleca się podawanie tych informacji we wszystkich sytuacjach, w których jest to możliwe, w tym zwłaszcza w ramach prowadzenia działalności online, pozyskiwania zgód, zawierania umów, etc. Wzór pisma obejmującego informacje, o których mowa powyżej, stanowi załącznik do niniejszej Polityki (zał. nr 2).

2. Uchyla się art. 6.2 Polityki w całości i zastępuje go zapisem:

6.2 Ogólny opis środków bezpieczeństwa, stosowanych przez ADO, a także procedura ich oceny i aktualizacji - zostały zawarte w specyfikacji środków bezpieczeństwa stanowiącej załącznik do niniejszej Polityki (zał. nr 1).

3. Zmienia się listę załączników do Polityki, zawartą w art. 15 ust. 3 Polityki, poprzez:

1. zmianę art. 15 ust. 3 ppkt. 1 na:

specyfikacja środków bezpieczeństwa (zał. nr 1), w tym: formularz analizy ryzyka (zał. nr 1.1) oraz wzór planu działań na wypadek ustalenia nieakceptowanego poziomu ryzyka związanego z przetwarzaniem danych (zał. nr 1.2),

2. dodanie na końcu 15 ust. 3 nowego podpunktu o treści:

procedura udzielenia odpowiedzi na żądanie osób fizycznych (zał. nr 15).

4. W załączniku nr 1 do Polityki (Specyfikacji środków bezpieczeństwa danych osobowych) dodaje się na końcu nowy pkt. III o treści:

III. Aktualizacja specyfikacji środków bezpieczeństwa

Analiza ryzyka

1. ADO jest zobowiązany do okresowego przeprowadzenia szczegółowej analizy procesów przetwarzania danych oraz do dokonania samodzielnie oceny ryzyka na jakie narażone jest przetwarzanie danych.

2. W celu przeprowadzenia analizy ryzyka ADO identyfikuje zagrożenia, które mogą wystąpić w organizacji ADO podczas procesów przetwarzania danych. Dla każdego z określonych zagrożeń ADO dokonuje wyliczenia poziomu ryzyka przy zastosowaniu metody polegającej na obliczeniu iloczynu prawdopodobieństwa wystąpienia danego zagrożenia ze skutkiem jego wystąpienia, według poniższego wzoru:

- gdzie:

R	poziom ryzyka związanego z danym zagrożeniem
P	prawdopodobieństwa wystąpienia zagrożenia oceniane w skali 1-5, gdzie: zagrożenie nie może wystąpić, wystąpienie zagrożenia jest mało realne – i nie miało to miejsca w ciągu ostatnich 3 lat, zagrożenie jest realne lub wystąpiło w ciągu ostatnich 3 lat, zagrożenie jest wysoce realne lub wystąpiło w ciągu ostatniego roku, zagrożenie jest nieuchronne lub wystąpiło w ciągu ostatniego miesiąca.
S(d)	skutek wystąpienia zagrożenia w zakresie dostępności informacji oceniany w skali 1-5, gdzie: wystąpienie zagrożenia nie wywoła utraty dostępu do danych wystąpienie zagrożenia może wywołać chwilową utratę danych trwająca do 4 godzin wystąpienie zagrożenia może wywołać utarte danych trwająca do 8 godzin wystąpienie zagrożenia może wywołać utarte danych trwająca do 24 godzin wystąpienie zagrożenia może wywołać trwałą utratę danych
S(i)	skutek wystąpienia zagrożenia w zakresie integralności informacji oceniany w skali 1-5, gdzie: wystąpienie zagrożenia nie ma wpływu na integralność danych wystąpienie zagrożenia może spowodować modyfikację danych zwykłych wystąpienie zagrożenia spowoduje modyfikacje danych zwykłych wystąpienie zagrożenia spowoduje modyfikacje danych wrażliwych lub większość danych zwykłych zdarzenie spowoduje modyfikacje wszystkich danych
S(p)	skutek wystąpienia zagrożenia w zakresie poufności informacji oceniany w skali 1-5, gdzie: wystąpienie zagrożenia nie spowoduje utraty poufności (udostępnienia danych osobie nieupoważnionej) wystąpienie zagrożenia może wywołać utratę poufności niektórych danych zwykłych wystąpienie zagrożenia może spowodować utratę poufności dużej części danych zwykłych wystąpienie zagrożenia najprawdopodobniej spowoduje utratę poufności większości danych zwykłych lub jakichkolwiek danych wrażliwych wystąpienie zagrożenia na pewno wywoła skutek w postaci utraty poufności wszystkich danych Specyfikacja  77 lat istnienia 54 placówek nagrody i uznania fachowców imitation watches replica Rolex Newsletter Zapisz do naszego newslettera i otrzymuj wiadomości o promocjach  w naszych sklepach i wydarzeniach organizowanych przez Wizan. zapisz Our farm has formed a non-profit organization together with many farms. The purpose is to make online shopping faster and better for everyone. Reached with many merchants or. At present, the most popular are replica rolex watches, which are of good quality and cheap. Offering a unique experience on board our boats and the fantastic "Almare" view of Baia de To dos Os Santos as well as excellent service and better replica Watches are the main items in our service portfolio. MAŁOPOLSKA SPÓŁDZIELNIA HANDLOWA "WIZAN". 34-120 Andrychów, ul. Legionów 7. Sekretariat: tel. 33 875 32 55,. Dział handlowy: tel. 33 875 28 59 fause rolex Realizacja strony internetowej Weboski