Instrukcja postępowania w sytuacji naruszenia ochrony danych

Załącznik nr 3
do Zarządzenia nr 6/2011 Dyrektora
Szkoły Podstawowej nr 6 im. Józefa Kreta w Ustroniu
INSTRUKCJA POSTĘPOWANIA
W SYTUACJI NARUSZENIA OCHRONY DANYCH OSOBOWYCH
przyjęta do stosowania w Szkole Podstawowej nr 6 im. Józefa Kreta
§ 1.
Celem instrukcji jest określenie zadań pracowników w zakresie ochrony danych osobowych
przed modyfikacją, zniszczeniem, nieuprawnionym dostępem i ujawnieniem lub pozyskaniem
danych osobowych, a także ich utratą oraz ochroną zasobów technicznych oraz prawidłowego
reagowania pracowników w przypadku stwierdzenia naruszenia ochrony danych osobowych
lub zabezpieczeń systemu informatycznego.
§ 2.
Naruszenie systemu ochrony danych osobowych może zostać stwierdzone na podstawie
oceny:
1) stanu urządzeń technicznych;
2) zawartości zbiorów danych osobowych;
3) sposobu działania programu;
4) metod pracy, w tym obiegu dokumentów.
§ 3.
Naruszenie zabezpieczenia danych osobowych w systemie informatycznym lub innym
zbiorze danych stwierdza się, gdy:
1) stwierdzono nieuprawniony dostęp do danych osobowych;
2) doszło do udostępnienia danych osobowych osobom nieupoważnionym;
3) zostały dokonane zmiany, kopiowanie lub uszkodzenie danych osobowych przez osoby
nieupoważnione;
4) nastąpiła kradzież nośników informacji zawierających dane osobowe (w szczególności
dysków, dyskietek, płyt CD i DVD, dzienników lekcyjnych lub innej dokumentacji
przebiegu nauczania i zatrudnienia),
§ 4.
Administrator bezpieczeństwa informacji rozpoznaje naruszenie zabezpieczenia danych
osobowych, ustalając czy doszło do naruszenia, a w sytuacji nie potwierdzenia podejrzeń
wydaje decyzję o możliwości wznowienia pracy.
§ 5.
W przypadku stwierdzenia naruszenia ochrony danych osobowych należy bezzwłocznie:
1) powiadomić administratora bezpieczeństwa informacji lub dyrektora szkoły;
2) zablokować dostęp do systemu informatycznego dla użytkowników oraz osób
nieupoważnionych;
3) podjąć działania mające na celu zminimalizowanie lub całkowite wyeliminowanie
powstałego zagrożenia, w granicach uprawnień pracownika;
4) zabezpieczyć dowody umożliwiające określenie przyczyn oraz ich skutków naruszenia
bezpieczeństwa systemu.
§ 5.
Na stanowisku, na którym stwierdzono naruszenie zabezpieczenia danych osobowych
administrator bezpieczeństwa informacji lub dyrektor szkoły przejmuje nadzór nad pracą w
systemie, odsuwając od stanowiska pracownika, który dotychczas na nim pracował do czasu
zbadania naruszenia.
§ 6.
Administrator bezpieczeństwa informacji stwierdzając naruszenie zabezpieczenia danych
osobowych:
1) podejmuje działania służące ograniczeniu szkód wywołanych naruszeniem;
2) zabezpiecza dane wskazujące na naruszenie zabezpieczenia danych osobowych;
3) ustala okoliczności naruszenia ochrony danych osobowych;
4) analizuje rodzaj, zakres i źródło naruszenia ochrony danych osobowych;
5) podejmuje działania naprawcze;
6) bada przyczyny naruszenia ochrony danych osobowych i podejmuje działania mające
na celu wyeliminowanie podobnych zdarzeń zagrażających bezpieczeństwu danych.
§ 7.
Administrator bezpieczeństwa informacji zobowiązany jest do sporządzenia pisemnego
raportu na temat zaistnienia zagrożenia, zawierający co najmniej:
1) datę i miejsce wystąpienia naruszenia;
2) zakres ujawnionych danych;
3) przyczynę ujawnienia, osoby odpowiedzialne oraz dowody winy;
4) opis podjętych działań mających na celu ustalenie zakresu naruszenia;
5) podjęte działania naprawcze.
1.
2.
3.
4.
5.
§ 8.
Za przetwarzanie w zbiorze danych osobowych niedopuszczalnych bądź przetwarzanie
danych przez osobę nieuprawnioną, czyny te podlegają grzywnie, karze ograniczenia
wolności albo pozbawienia wolności do lat 2.
Pracownik, który obowiązany jest do ochrony danych osobowych udostępnia je lub
umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze
ograniczenia wolności albo pozbawienia wolności do lat 2.
Pracownik, który umyślnie doprowadził do naruszenia bezpieczeństwa danych osobowych
podlega grzywnie, karze ograniczenia wolności lub pozbawienia wolności do 1 roku.
Pracownik, który naruszył nieumyślnie obowiązek zabezpieczenia danych osobowych
przed zabraniem przez osoby nieuprawnione, uszkodzeniem lub zniszczeniem, podlega
grzywnie, karze ograniczenia wolności albo pozbawienia wolności do 1 roku.
Dyrektor szkoły może stosować kary porządkowe, niezależnie od zastosowania kar
o których mowa w punktach 1-4, w sytuacjach stwierdzonego naruszenia ochrony danych
osobowych.