Dokumentacja ta może przykładowo obejmować zasady przetwarzania danych, rejestry przetwarzania danych uwzględniające np. powody przetwarzania danych, kategorie podmiotów danych i danych osób, adresatów danych, a ponadto obowiązującą obecnie politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym, procedury oceny i zgłaszania incydentu do UODO, w tym rejestr incydentów i naruszeń, a także zgody na przetwarzanie danych.
1. Zasady przetwarzania danych osobowych
To dokument, który w którym administrator danych wskazuje:
- tożsamość administratora i jego dane kontaktowe,
- dane kontaktowe inspektora danych osobowych,
- cele przetwarzania danych, do których mają po-
- służyć dane osobowe,
- podstawę prawną przetwarzania danych, prawnie uzasadniony interes realizowany przez administratora danych,
- informacje o odbiorcach danych osobowych, którym dane mogą być udostępnione – w przypadku gdy istnieją,
- okres przechowywania danych,
- prawo do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub wniesienia sprzeciwu wobec przetwarzania, a także przenoszenia danych,
- prawo do cofnięcia zgody w dowolnym momencie w przypadku przetwarzania na podstawie zgody na przetwarzanie danych zwykłych lub szczególnej kategorii.
Wdrożenie tego dokumentu dyrektor szkoły może uznać za potwierdzenie wypełniania przez niego obowiązku informacyjnego, o którym mowa w art. 13 RODO. Umożliwia osobom zainteresowanym zapoznanie się szczegółowymi informacjami na temat przetwarzania danych osobowych przez daną szkołę. Tego rodzaju dokument może zawierać odesłanie do formularza, za pomocą którego można zwrócić się o informacje lub wycofać zgodę na przetwarzanie swoich danych.
2. Polityka bezpieczeństwa
To obowiązujący aktualnie w szkole dokument służący wskazaniu środków bezpieczeństwa i procedur bezpiecznego przetwarzania informacji, w tym danych osobowych. Jego ewentualne utrzymanie po zmianie przepisów może umożliwić dyrektorowi wypełnienie obowiązku w zakresie udokumentowania stosowanych przez niego środków technicznych i organizacyjnych mających na celu zapewnienie ochrony przetwarzanych danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem RODO oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. W dokumencie tym można zamieścić m.in. wykaz zabezpieczeń fizycznych i technicznych, miejsc, w których dane są przetwarzane, a także programów zastosowanych do przetwarzania danych osobowych. Powinien on zawierać szczegółowe rozwiązania w zakresie bezpieczeństwa danych oraz architekturę systemów zastosowanych do ich przetwarzania. Polityka bezpieczeństwa jest dokumentem o charakterze wewnętrznym. Osoby, które dysponują wiedzą dotyczącą sposobów zabezpieczenia danych w danej szkole, powinny bezwzględnie zachować te informacje w tajemnicy.
Przykładowa polityka bezpieczeństwa znajduje się stronie: www.nadzor-pedagogiczny.pl w zakładce: Zarządzanie placówką. Ochrona danych osobowych.
3. Instrukcja zarządzania systemem informatycznym
W dokumencie tym, także obowiązującym obecnie w szkole, powinny być określone informacje dotyczące procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu, procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania. Analogicznie jak w przypadku polityki bezpieczeństwa, dokument ten powinien być udostępniony selektywnie tylko tym osobom, którym jego zapisy są niezbędne do wykonywania powierzonych im zadań. Przykładowa instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych znajduje się stronie: www.nadzor-pedagogiczny.pl
w zakładce: Zarządzanie placówką. Ochrona danych osobowych.
4. Rejestr incydentów i naruszeń
Naruszenie na gruncie RODO oznacza takie zdarzenia, jak: włamanie do systemu informatycznego, zagubienie przenośnego komputera, wysłanie informacji do niewłaściwego adresata. Obowiązek ten pod rządami ustawy o ochronie danych nie występuje w szkole. RODO zmienia jednak ten stan prawny, wprowadzając obowiązek zgłoszenia naruszenia (obowiązek dyrektora szkoły) do organu nadzorującego (UODO).
Przykładowy rejestr incydentów i naruszeń może zawierać następujące informacje:
- tytuł,
- data i godzina,
- zgłaszający,
- miejsce,
- szczegóły dotyczące incydentu: okoliczności naruszenia, charakter tego naruszenia, kategorie osób, liczba osób, liczba wpisów,
- konsekwencje i środki: możliwe konsekwencje, zastosowane środki bezpieczeństwa, proponowane środki bezpieczeństwa,
- określenie ewentualnego zawiadomienia: organu nadzorczego, administratora danych osobowych, osoby, której dane dotyczą,
- inne informacje/dane.
| Dane kontaktowe | ||||
| Nazwa administratora danych osobowych: Dyrektor Szkoły Podstawowej nr .... w.................................... lub imię i nazwisko ................................................................ |
||||
| Dane inspektora danych osobowych (imię i nazwisko) | ||||
| Kategorie osób, których dane dotyczą | Kategorie danych osobowych | Kategorie odbiorców, którym dane osobowe ujawniono (lub zostaną ujawnione) | Planowane terminy usunięcia danych osobowych | Zastosowane środki techniczne i organizacyjne stosowane w celu ochrony danych |
5. Rejestr czynności przetwarzania danych osobowych
Przetwarzanie szczególnych kategorii danych osobowych (tzw. danych wrażliwych) nakłada na dyrektora szkoły obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych w formie pisemnej, w tym elektronicznej.
W rejestrze tym, zgodnie z RODO, należy zamieścić w szczególności:
- cele przetwarzania danych,
- opis kategorii osób, których dane dotyczą,
- kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione,
- planowane terminy usunięcia poszczególnych kategorii danych – o ile to możliwe,
- zastosowane środki techniczne i organizacyjne stosowane w celu ochrony danych.
6. Umowa na przetwarzanie danych związanych z powierzeniem przetwarzania danych
Szkoły korzystają z usług innych podmiotów, które wykonują na ich zlecenie usługi związane m.in. z prowadzeniem dziennika elektronicznego, obsługą BHP, księgowością. W takich przypadkach zleceniodawca, jako administrator danych osobowych, jest zobowiązany do zawarcia umowy powierzenia z podmiotem zewnętrznym jako podmiotem przetwarzającym (procesorem). RODO znacznie rozbudowuje umowę powierzenia, czyniąc ją bardziej szczegółową od umowy zawieranej na gruncie ustawy o ochronie danych osobowych.
Przykładowa zawartość umowy, zgodnie z zapisami art. 28 RODO, na usługę Dziennik elektroniczny:
- szczegółowy opis procesu powierzenia przetwarzania danych,
- przedmiot przetwarzania danych osobowych,
- czas obowiązywania umowy,
- charakter przetwarzania danych (forma elektroniczna przy wykorzystaniu systemów informatycznych),
- cel (realizacja umowy na usługę dziennik elektroniczny),
- rodzaj danych osobowych (dane zwykłe),
- kategorie osób, których dane dotyczą (uczniowie, nauczyciele, rodzice),
- obowiązki i prawa administratora (prawo kontroli warunków przetwarzania danych osobowych, obowiązek sprawdzania merytorycznej poprawności powierzonych danych osobowych),
- obowiązki i uprawnienia procesora (przetwarzanie danych osobowych wyłącznie na udokumentowane polecenie administratora, zapewnienie, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy, podejmowanie wymaganych środków zabezpieczających przetwarzane dane osobowe, pomoc administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą, po zakończeniu świadczenia usług związanych z przetwarzaniem, usunięcie lub zwrot wszelkich danych osobowych oraz usunięcie ich istniejących kopii – zależnie od decyzji administratora),
- kary umowne za naruszenie postanowień umowy.
