Dziennik Ustaw - rok 2001 nr 63 poz. 644

Na podstawie art. 17 ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym (Dz. U. Nr 50, poz. 580 i z 2001 r. Nr 56, poz. 579) zarządza się, co następuje:

1) ustawa – ustawę z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym,

2) Rejestr – Krajowy Rejestr Karny.

1) identyfikuje i analizuje zagrożenia i ryzyko, na które może być narażone przetwarzanie danych osobowych,

2) określa potrzeby w zakresie zabezpieczenia kartotek i systemu informatycznego,

3) określa zabezpieczenia danych osobowych adekwentne do zagrożeń i ryzyka,

4) monitoruje działanie zabezpieczeń wdrożonych w celu ochrony danych osobowych i ich przetwarzania,

5) opracowuje i wdraża program szkolenia w zakresie zabezpieczeń kartotek i systemu informatycznego,

6) wykrywa i reaguje na przypadki naruszenia bezpieczeństwa danych osobowych zgromadzonych w kartotekach i systemie informatycznym.

2. Indywidualny zakres czynności osób uprawnionych określa zakres odpowiedzialności za ochronę danych osobowych przed dostępem osób nieuprawnionych, wykorzystywaniem przez osoby nieuprawnione, uszkodzeniem lub zniszczeniem.

2. O każdym przypadku naruszenia kartotek lub systemu informatycznego, w których są zgromadzone dane osobowe, osoba uprawniona jest obowiązana niezwłocznie powiadomić dyrektora oraz administratora bezpieczeństwa informacji.

2. Pomieszczenia lub części pomieszczeń, o których mowa w ust. 1, wyposaża się w zabezpieczenia techniczne uniemożliwiające utratę zbiorów danych osobowych oraz zabezpieczenia chroniące przed dostępem do nich osób nieuprawnionych, wykorzystywaniem przez osoby nieuprawnione, uszkodzeniem lub zniszczeniem oraz zamyka się na czas nieobecności w nich osób uprawnionych, w sposób uniemożliwiający dostęp do nich osób trzecich.

2. Zapis informacji dotyczących udostępnienia danych osobowych zgromadzonych w Rejestrze usuwa się z bazy danych systemu informatycznego z chwilą usunięcia wszystkich zgromadzonych tam danych o osobie.

2. W przypadku gdy pozbawienie nośników informatycznych zapisu danych osobowych nie jest możliwe, uszkadza się je w sposób uniemożliwiający ich odczytanie.

2. Kopie awaryjne należy:

1) okresowo sprawdzać pod kątem ich dalszej przydatności do odtworzenia danych osobowych w przypadku awarii systemu,

2) bezzwłocznie usuwać po ustaniu ich użyteczności, w sposób określony w § 13.

3. Kopii awaryjnych nie przechowuje się w tych samych pomieszczeniach, w których przechowywane są zbiory danych osobowych eksploatowane na bieżąco.

2. Dla każdej osoby uprawnionej będącej użytkownikiem systemu informatycznego, o którym mowa w ust. 1, dyrektor lub osoba przez niego upoważniona ustala odrębny identyfikator i hasło użytkownika,

3. Identyfikator, o którym mowa w ust. 2, wpisuje się do ewidencji określonej w art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883, z 2000 r. Nr 12, poz. 136, Nr 50, poz. 580 i Nr 116, poz. 1216 oraz z 2001 r. Nr 42, poz. 474 i Nr 49, poz. 509) wraz z imieniem i nazwiskiem użytkownika oraz rejestruje w systemie informatycznym.

4. Bezpośredni dostęp do danych osobowych przetwarzanych w systemie informatycznym może mieć miejsce wyłącznie po podaniu identyfikatora i właściwego hasła użytkownika.

5. Hasło użytkownika zmienia się co najmniej raz na miesiąc.

6. Identyfikatora użytkownika nie zmienia się, a po wyrejestrowaniu użytkownika z systemu informatycznego nie przydziela się innej osobie.

7. Hasła użytkownika nie udostępnia się, również po upływie jego ważności.

8. Identyfikator osoby, która utraciła uprawnienia do dostępu do danych osobowych, należy niezwłocznie wyrejestrować z systemu informatycznego, unieważnić jej hasło użytkownika oraz podjąć inne stosowne działania w celu zapobieżenia dalszemu dostępowi tej osoby do danych.

9. Identyfikator osoby, o której mowa w ust. 8, wykreśla się z ewidencji z chwilą usunięcia wszystkich danych osobowych wprowadzonych przez tę osobę do kartotek i systemu informatycznego.

2. W pomieszczeniach, gdzie mogą przebywać osoby postronne, monitory, o których mowa w ust. 1, powinny być ustawione w sposób uniemożliwiający tym osobom wgląd w dane.

1) daty wprowadzenia pierwszych i kolejnych danych tej osoby,

2) identyfikatora użytkownika wprowadzającego dane,

3) informacji, jakie dane osobowe zostały wprowadzone do Rejestru,

4) informacji, komu, kiedy, w jakim zakresie i przez kogo zostały udostępnione dane zgromadzone w Rejestrze.

Minister Sprawiedliwości: L. Kaczyński