Polityka Bezpieczeństwa przy przetwarzaniu danych osobowych

Na konieczność stworzenia Polityki Bezpieczeństwa przy przetwarzaniu danych osobowych, zwaną dalej Polityką, składają się dwa akty prawne:

1. Ustawa o ochronie danych osobowych z dnia 27 sierpnia 1997 r. (Dz. U. 2002 r. r 101 poz. 925 z póżn. zm.) zwana dalej Ustawą,
2. Rozporządzenie MSWiA z dnia 29 kwietnia 2004 r.  (Dz. U. 2004 Nr 100, poz. 1024) zwana dalej Rozporządzeniem.

Wymogom Ustawy z dn. 27 sierpnia 1997 r. jak i Rozporządzeniu z dn. 29 kwietnia 2004 r. podlegają praktycznie wszystkie osoby prawne i jednostki organizacyjne, które przetwarzają dane osobowe (w tym dane personalne swoich pracowników) w związku z działalnością zarobkową, zawodową, lub do realizacji celów statutowych.

Rozporządzenie MSWiA z dnia 29 kwietnia 2004 r. nakłada obowiązek opracowania i posiadania formalnej dokumentacji polityki bezpieczeństwa, oraz nakłada obowiązek wdrożenie przyjętych zasad do 29 października 2004 r.

Polityka powinna być opracowana tak, aby była dostępna i zrozumiała dla każdego pracownika, żeby jej stosowanie w praktyce nie było uciążliwe. W związku z tym, Polityka nie powinna zawierać szczegółów technicznych, nazw eksploatowanych systemów informatycznych oraz procedur awaryjnych.
Szczegóły techniczne, w postaci np.: nazw wdrożonych i eksploatowanych systemów  informatycznych, oraz procedury opracowane na wypadek sytuacji awaryjnych, powinny być znane tylko osobom odpowiedzialnym za dany wycinek funkcjonowania przedsiębiorstwa lub Pionu IT.
W związku ze zmieniającymi się systemami operacyjnymi i informatycznymi eksploatowanymi w firmie, oraz ruchu osobowym, okresowo powinien być przeprowadzany audyt przestrzegania dokumentu Polityki.
Opracowanie oraz wdrożenie Polityki można podzielić na wiele etapów. Jeden z takich sposobów przedstawiamy poniżej. W naszej ofercie, wdrożenia jest podzielone na etapy. W tymj miejscu przedstawiamy proces wdrożenia składający się z trzech etapów:

I etap: Po przeprowadzeniu rozmów z Zarządem firmy, lub osobę przez niego wyznaczoną, zostaje  określony cel biznesowy i poziom zabezpieczenia systemów informatycznych. Po przeprowadzeniu analiz zostają wybrane optymalne mechanizmy zabezpieczające dane osobowe firmy.

II etap: Określona zostaje struktura osobowa ochrony danych osobowych. Identyfikujemy posiadane systemy informatyczne i tworzymy odpowiadające im grupy.

III etap: Po  wykonaniu  w/w  etapów, rozpoczyna  się  opracowywanie dokumentacji w postaci papierowej, wymaganej w Rozporządzeniu z dn. 29 kwietnia 2004 r., a w szczególności :

• Instrukcja zarządzania systemem informatycznym,
• Polityka Bezpieczeństwa przetwarzania danych osobowych w systemie informatycznym
• Wykaz struktury baz danych eksploatowanych systemów informatycznych, oraz powiązań i między nimi,
• Wykaz budynków i pomieszczeń, w których odbywa się przetwarzanie danych osobowych,
• Wzory wymaganych  ewidencji, upoważnień,  oświadczeń oraz Załączników (39 rodzajów),
• Procedury określające metody postępowania,
• Diagram przepływu danych osobowych pomiędzy systemami informatycznymi,