Dziennik Ustaw - rok 2007 nr 228 poz. 1681

Na podstawie art. 6d ust. 6 ustawy z dnia 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych (Dz. U. Nr 123, poz. 776, z późn. zm.²⁾) zarządza się, co następuje:

2. Dla przetwarzania danych osobowych w systemie ustala się wysoki poziom bezpieczeństwa.

2. W systemie użytkuje się 17 baz danych, w tym jedna przeznaczona jest dla Pełnomocnika Rządu do Spraw Osób Niepełnosprawnych, zwanego dalej „Pełnomocnikiem”, i 16 dla wojewódzkich zespołów do spraw orzekania o niepełnosprawności, zwanych dalej „wojewódzkimi zespołami”. Każda baza wojewódzkiego zespołu zawiera wydzielone logicznie bazy powiatowych zespołów do spraw orzekania o niepełnosprawności, zwanych dalej „powiatowymi zespołami”.

3. W zakresie funkcjonalności system zapewnia:

1) Pełnomocnikowi – prowadzenie rejestrów szkoleń i kontroli, generowanie sprawozdań, sporządzanie analiz i statystyk, wspomaganie monitoringu procesu orzekania w nadzorowanych przez niego powiatowych i wojewódzkich zespołach i administrowanie systemem;

2) wojewódzkim zespołom – prowadzenie rejestrów odwołań, orzeczeń, członków wojewódzkiego zespołu, wydatków wojewódzkiego zespołu, szkoleń i kontroli oraz generowanie niezbędnych dokumentów wymaganych w procesie orzekania, okresowe generowanie sprawozdań, wspomaganie monitoringu procesu orzekania w powiatowych zespołach;

3) powiatowym zespołom – prowadzenie rejestrów wniosków, orzeczeń, odwołań, członków powiatowego zespołu, wydatków powiatowego zespołu oraz legitymacji, generowanie niezbędnych dokumentów wymaganych w procesie orzekania, okresowe generowanie sprawozdań.

1) poziom I – wprowadzenie danych;

2) poziom II – wprowadzenie danych i możliwość ich modyfikacji;

3) poziom III – wprowadzenie, modyfikacja oraz usuwanie danych.

2. Obsługę techniczną nadawania i odbierania uprawnień użytkownikom realizuje minister właściwy do spraw zabezpieczenia społecznego.

3. System zapewnia weryfikacje wprowadzanych danych pod względem formatu oraz poprawności merytorycznej.

2. Dla każdego użytkownika rejestrowany jest w systemie odrębny identyfikator i hasło.

3. Bezpośredni dostęp do danych w systemie następuje wyłącznie po wprowadzeniu identyfikatora i hasła użytkownika.

4. Identyfikatora użytkownika nie zmienia się, a po wyrejestrowaniu użytkownika z systemu nie przydziela się go innej osobie.

5. Identyfikator użytkownika, który utracił uprawnienia do dostępu do danych osobowych, należy niezwłocznie wyrejestrować z systemu, unieważnić jego hasło użytkownika oraz podjąć inne działania w celu zapobieżenia dalszemu dostępowi tej osoby do danych.

6. Hasło użytkownika zmieniane jest nie rzadziej niż co 30 dni.

7. Hasło składa się co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry lub znaki specjalne.

8. Hasła użytkownika nie udostępnia się również po upływie jego ważności.

1) opracowuje instrukcję, określającą sposób zarządzania systemem z uwzględnieniem wymogów bezpieczeństwa informacji, zawierającą w szczególności:

a) procedury nadawania użytkownikom systemu uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie oraz wskazanie osoby odpowiedzialnej za wykonywanie tych czynności,

b) metody i środki uwierzytelniania oraz procedury związane z ich zarządzaniem i użytkowaniem,

c) procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu,

d) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania,

e) sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz kopii zapasowych, o których mowa w lit. d,

f) sposób zabezpieczenia systemu przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu,

g) procedury wykonywania przeglądów i konserwacji systemu oraz nośników informacji służących do przetwarzania danych;

2) identyfikuje i analizuje zagrożenia i ryzyko, na które może być narażone przetwarzanie danych zgromadzonych w systemie;

3) określa potrzeby w zakresie zabezpieczenia systemu;

4) określa sposoby zabezpieczenia danych osobowych adekwatnie do zagrożeń i ryzyka;

5) monitoruje działanie zabezpieczeń wdrożonych w celu ochrony danych osobowych i ich przetwarzania;

6) wykrywa i reaguje na przypadki naruszenia bezpieczeństwa danych zgromadzonych w systemie.

2. Kopie zapasowe należy:

1) przechowywać w miejscach zabezpieczających je przed nieuprawnionym przejęciem, modyfikacją, uszkodzeniem lub zniszczeniem;

2) niezwłocznie usuwać po ustaniu ich użyteczności.

1) działaniem oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu;

2) utratą danych spowodowaną awarią zasilania lub zakłóceniami w sieci zasilającej.

2. Przebywanie osób nieuprawnionych w pomieszczeniach, o których mowa w ust. 1, jest dopuszczalne za zgodą administratora lub w obecności osoby uprawnionej do przetwarzania danych osobowych.

2. Logiczne zabezpieczenia, o których mowa w ust. 1, obejmują:

1) kontrolę przepływu informacji pomiędzy systemem a siecią publiczną;

2) kontrolę działań inicjowanych z sieci publicznej i systemu.

3. Dla danych przesyłanych w sieci publicznej stosuje się środki kryptograficznej ochrony.

1) daty wprowadzenia pierwszych i kolejnych danych tej osoby;

2) identyfikatora użytkownika wprowadzającego dane;

3) informacji komu, kiedy, w jakim zakresie i przez kogo zostały udostępnione dane zgromadzone w systemie.

2. Odnotowanie informacji, o których mowa w ust. 1 pkt 1 i 2, następuje automatycznie po zatwierdzeniu przez użytkownika operacji wprowadzenia danych.

3. Dla każdej osoby, której dane osobowe są przetwarzane w systemie, system zapewnia sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje, o których mowa w ust. 1.

Minister Pracy i Polityki Społecznej: J. Fedak

¹⁾ Minister Pracy i Polityki Społecznej kieruje działem administracji rządowej – zabezpieczenie społeczne, na podstawie § 1 ust. 2 pkt 2 rozporządzenia Prezesa Rady Ministrów z dnia 16 listopada 2007 r. w sprawie szczegółowego zakresu działania Ministra Pracy i Polityki Społecznej (Dz. U. Nr 216, poz. 1598).

²⁾ Zmiany wymienionej ustawy zostały ogłoszone w Dz. U. z 1997 r. Nr 160, poz. 1082, z 1998 r. Nr 99, poz. 628, Nr 106, poz. 668, Nr 137, poz. 887, Nr 156, poz. 1019 i Nr 162, poz. 1118 i 1126, z 1999 r. Nr 49, poz. 486, Nr 90, poz. 1001, Nr 95, poz. 1101 i Nr 111, poz. 1280, z 2000 r. Nr 48, poz. 550 i Nr 119, poz. 1249, z 2001 r. Nr 39, poz. 459, Nr 100, poz. 1080, Nr 125, poz. 1368, Nr 129, poz. 1444 i Nr 154, poz. 1792 i 1800, z 2002 r. Nr 169, poz. 1387, Nr 200, poz. 1679 i 1683 i Nr 241, poz. 2074, z 2003 r. Nr 7, poz. 79, Nr 90, poz. 844, Nr 223, poz. 2217 i Nr 228, poz. 2262, z 2004 r. Nr 96, poz. 959, Nr 99, poz. 1001 i Nr 240, poz. 2407, z 2005 r. Nr 44, poz. 422, Nr 132, poz. 1110, Nr 163, poz. 1362, Nr 164, poz. 1366 i Nr 167, poz. 1398, z 2006 r. Nr 63, poz. 440, Nr 94, poz. 651 i Nr 170, poz. 1217 oraz z 2007 r. Nr 23, poz. 144, Nr 115, poz. 791 i Nr 181, poz. 1288.