I. Podstawa prawna
- Niniejszy dokument jest polityką ochrony danych osobowych w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119, s. 1), zwanego dalej: RODO.
II. Definicja, cele, założenia i zakres stosowania Polityki ochrony danych osobowych
2.1 Definicja
- Niniejsza Polityka ochrony danych osobowych (zwana dalej: Polityką) ma za zadanie stanowić mapę wymogów, zasad i regulacji ochrony danych osobowych w Firmie Handlowo-Usługowej „Mikado” Import-Export z siedzibą w Obornikach, zwanego dalej: Administratorem.
- Polityka składa się z:
- opisu zasad ochrony danych osobowych, obowiązujących u Administratora;
- załączników uszczegóławiających i uzupełniających niniejszą Politykę.
2.2 Cele
Celem Polityki Bezpieczeństwa Informacji jest wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie wykonywać obowiązki Administratora w zakresie bezpieczeństwa danych osobowych.
- W szczególności do celów Polityki należy:
- zabezpieczenie zasobów systemów, infrastruktury technicznej, sprzętu i osprzętu przed kradzieżą, zniszczeniem lub uszkodzeniem,
- uniemożliwienie instalowania i posługiwania się oprogramowaniem nielegalnym lub niebezpiecznym,
- uniemożliwienie dostępu do informacji zawartych w systemach informatycznych osobom do tego nie upoważnionym,
- uniemożliwienie zniszczenia lub nieuprawnionej zmiany danych osobowych,
- zabezpieczenie dokumentacji papierowej zawierającej dane osobowe przed ich kradzieżą lub kopiowaniem.
2.3 Założenia
- Ochrona danych osobowych u Administratora opiera się na następujących filarach:
- Zgodności z prawem – Administrator dba o ochronę prywatności i przetwarza dane zgodnie z prawem.
- Bezpieczeństwa – Administrator dokłada wszelkich starań, aby zapewnić odpowiedni poziom bezpieczeństwa danych.
- Praw osób, których dane dotyczą – Administrator umożliwia osobom, których dane przetwarza, wykonywanie swoich praw i prawa te realizuje.
- Rozliczalności – Administrator dokumentuje to, w jaki sposób wywiązuje się z ciążących na nim obowiązków ochrony danych osobowych, aby w każdej chwili móc wykazać zgodność przetwarzania danych osobowych z RODO.
2.4 Zasady
- Administrator przetwarza dane osobowe z poszanowaniem następujących zasad:
- Zgodności z prawem – dane osobowe przetwarzane są w oparciu o konkretną podstawę prawną i zgodnie z prawem;
- Rzetelności – dane osobowe przetwarzane są rzetelnie i uczciwie;
- Przejrzystości – dane osobowe przetwarzane są w sposób przejrzysty dla osoby, której dane dotyczą;
- Minimalizacji – dane osobowe przetwarzane są wyłącznie w zakresie niezbędnym do celów;
- Adekwatności – przetwarzanie danych osobowych jest proporcjonalne do potrzeb Administratora;
- Ograniczoności przechowywania – dane są przechowywane przez Administratora przez okres nie dłuższy niż niezbędne jest to do celów, w których dane te są przetwarzane;
- Prawidłowości – przetwarzanie danych osobowych odbywa się z dbałością o prawidłowość danych osobowych;
- Czasowości – przetwarzanie danych osobowych odbywa się w koniecznym czasie;
- Integralności i poufności – Administrator zapewnia odpowiednie bezpieczeństwo przetwarzania danych osobowych.
2.5 Zakres stosowania Polityki
- Zasady określone przez Politykę mają zastosowanie do wszystkich zbiorów danych osobowych administrowanych przez Administratora, w szczególności do:
- wszystkich istniejących, wdrażanych obecnie lub w przyszłości systemów informatycznych oraz papierowych, w których przetwarzane są lub będą dane osobowe podlegające ochronie;
- danych osobowych przetwarzanych przez Administratora zarówno w przypadku, gdy jest on administratorem danych, jak i w sytuacji, gdy przetwarza dane powierzone mu na podstawie umów powierzenia przetwarzania danych osobowych, w rozumieniu art. 28 RODO;
- wszystkich nośników informacji, np. papierowych, magnetycznych, optycznych itp., na których są lub będą znajdować się dane osobowe podlegające ochronie;
- wszystkich lokalizacji – budynków i pomieszczeń, w których są lub będą przetwarzane dane osobowe podlegające ochronie;
- wszystkich pracowników w rozumieniu przepisów Kodeksu Pracy, konsultantów, stażystów i innych osób mających dostęp do danych osobowych podlegających ochronie.
- Do stosowania zasad określonych przez Politykę zobowiązani są wszyscy pracownicy w rozumieniu przepisów Kodeksu Pracy, konsultanci, stażyści i inne osoby mające dostęp do informacji podlegających ochronie.
III. Terminologia
- Administrator Danych Osobowych (Administrator) – Firma Handlowo-Usługowa „Mikado” Import-Eksport z siedzibą w Obornikach, wpisana do Centralnej Ewidencji i Informacji o Działalności Gospodarczej prowadzonej przez Ministra Gospodarki pod adresem: ul. Objezierska 3, 64-600 Oborniki, NIP: 787-121-33-46, REGON: 631180551.
- Dane osobowe – oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej; możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować.
- Zbiór danych osobowych – oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów.
- Przetwarzanie danych osobowych – oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych.
- Użytkownik – osoba mająca dostęp do zasobów systemu informatycznego posiadająca upoważnienie do przetwarzania danych osobowych w tym systemie.
- System informatyczny – zespół urządzeń, sprzętu komputerowego, oprogramowania oraz baz danych przetwarzających dane osobowe.
- Nośniki danych – wszelkie nośniki, na których informacje zapisane są w postaci elektronicznej.
- Sieć informatyczna – fizyczna warstwa systemu informatycznego obejmująca okablowanie, węzły i urządzenia aktywne organizujące ruch w sieci.
- Podmiot przetwarzający – oznacza osobę fizyczną lub prawną, który przetwarza dane osobowe w imieniu administratora na mocy umowy powierzenia przetwarzania danych osobowych, zgodnie z art. 28 RODO.
IV. System ochrony danych osobowych u Administratora
4.1 Inwentaryzacja danych osobowych
- Administrator dokonuje identyfikacji zasobów danych osobowych, klas danych, zależności między zasobami danych, identyfikacji sposobów wykorzystania danych, w szczególności: przypadków przetwarzania danych wrażliwych, przypadków przetwarzania danych niezidentyfikowanych, przypadków przetwarzania danych dzieci; profilowania.
- Administrator weryfikuje czy dochodzi do przypadków współadministrowania danymi osobowymi.
4.2 Rejestr Czynności Przetwarzania Danych Osobowych
- Administrator prowadzi Rejestr Czynności Przetwarzania Danych Osobowych, zwany dalej: Rejestrem.
- W Rejestrze, dla każdej czynności przetwarzania danych, którą Administrator uznał za odrębną dla potrzeb Rejestru, odnotowuje co najmniej:
- nazwę czynności,
- cel przetwarzania,
- opis kategorii osób,
- opis kategorii danych,
- podstawę prawną przetwarzania, wraz z wyszczególnieniem kategorii uzasadnionego interesu Administratora, jeśli podstawą jest uzasadniony interes,
- sposób zbierania danych,
- opis kategorii odbiorców danych (w tym przetwarzających),
- informację o przekazaniu poza EU/EOG,
- ogólny opis technicznych i organizacyjnych środków ochrony danych.
- Wzór Rejestru stanowi Załącznik nr 2 do Polityki. Wzór Rejestru zawiera kolumny nieobowiązkowe. W kolumnach nieobowiązkowych rejestruje się informacje w miarę potrzeb i możliwości, z uwzględnieniem tego, że pełniejsza treść Rejestru ułatwia zarządzanie zgodnością ochrony danych osobowych.
4.3 Podstawy prawne przetwarzania danych osobowych
- Administrator identyfikuje i weryfikuje podstawy prawne przetwarzania danych osobowych, a w szczególności:
- utrzymuje system zarządzania zgodami na przetwarzanie danych osobowych;
- inwentaryzuje i przygotowuje uzasadnienia przypadków, gdy dochodzi do przetwarzania danych osobowych na podstawie prawnie uzasadnionych interesów Administratora.
- Administrator rejestruje podstawy prawne przetwarzania danych osobowych w Rejestrze.
4.4 Prawa osoby, której dane dotyczą
- Administrator wywiązuje się z obowiązków informacyjnych względem osób, których dane dotyczą. W szczególności Administrator:
- przekazuje osobom, których dane dotyczą wszelkie wymagane prawem informacje w czasie pozyskiwania danych osobowych, jak również w innych sytuacjach, gdy prawo wymaga przekazania dodatkowych informacji osobom, których dane dotyczą;
- zapewnia dokumentację realizacji obowiązków, o których mowa w pkt. 4.4.1.1.
- Administrator zapewnia osobom, których dotyczą realizację praw przysługujących im na podstawie RODO. W szczególności Administrator dokłada starań, aby żądania osób, których dane dotyczą były realizowane w terminach wyznaczonych przez RODO oraz rzetelnie dokumentowane.
- Administrator stosuje procedury działania w przypadku naruszenia ochrony danych osobowych, pozwalające na identyfikację i weryfikację naruszenia, a w razie potrzeby jego niezwłoczne zgłoszenie Urzędowi Ochrony Danych Osobowych oraz zawiadomienie osoby, której dane dotyczą.
4.5 Minimalizacja
- Administrator stosuje metodykę zarządzania minimalizacją (privacy by default), która ustala zasady: zarządzania adekwatnością danych, reglamentacji i zarządzania dostępem do danych, zarządzania okresem przechowywania danych i weryfikacji dalszej przydatności.
4.6 Bezpieczeństwo danych osobowych
- Administrator ustala możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa i ocenia koszt ich wdrażania.
- Administrator ustala przydatność oraz stosuje takie środki i podejście jak:
- pseudonimizacja,
- szyfrowanie danych osobowych,
- inne środki cyberbezpieczeństwa składające się na zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,
- środki zapewnienia ciągłości działania i zapobiegania skutkom katastrof, czyli zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego.
- Administrator zapewnia odpowiedni poziom bezpieczeństwa danych, w tym:
- przeprowadza analizy ryzyka dla czynności przetwarzania danych lub ich kategorii;
- przeprowadza oceny skutków dla ochrony danych tam, gdzie ryzyko naruszenia praw i wolności osób jest wysokie;
- dostosowuje środki ochrony danych do ustalonego ryzyka;
- wdraża system zarządzania bezpieczeństwem informacji;
- zarządza incydentami naruszenia ochrony danych osobowych.
4.7 Zasady powierzania danych osobowych podmiotom przetwarzającym
- Powierzenie przetwarzania danych osobowych podmiotom przetwarzającym następuje w drodze umowy zawartej na piśmie.
- Umowa powierzenia przetwarzania danych osobowych stanowi Załącznik nr 3 do Polityki.
4.8 Przekazywanie danych osobowych
- Administrator na bieżąco weryfikuje czy dane osobowe nie są przekazywane do państw trzecich (tj. poza Europejski Obszar Gospodarczy) lub do organizacji międzynarodowych.
- W przypadku przekazywania danych osobowych do państw trzecich lub do organizacji międzynarodowych Administrator zapewnia zgodność przekazywania danych z RODO.
- Administrator na bieżąco weryfikuje, czy zachodzą przypadki transgranicznego przetwarzania danych osobowych.
4.9 Privacy by design
- Administrator uwzględnia ochronę danych osobowych w fazie projektowania.
4.10 Wykaz budynków oraz pomieszczeń, w których przetwarzane są dane osobowe
- Obszary przetwarzania danych osobowych określa załącznik nr 5 do Polityki.
4.11 Wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do ich przetwarzania
- Wykaz zbiorów danych osobowych, opis ich struktury wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi oraz sposób przepływu danych pomiędzy systemami, a także wskazanie programów stosowanych do przetwarzania danych osobowych określa załącznik nr 10 do Polityki.
V. Postanowienia końcowe
- Procedury nadawania uprawnień, metody i środki uwierzytelnienia oraz procedury tworzenia kopii zapasowych reguluje Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.
- Aktualizacji niniejszej Polityki dokonuje Administrator, który wszelkie propozycje zmian przedstawia podmiotowi odpowiedzialnemu za jej wdrożenie.
- Niniejsza Polityka wchodzi w życie z dniem [07.06.2018].
