Dzienniki Urzędowe - rok 2008 nr 4 poz. 79

Na podstawie art. 34 ust. 1 ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów, art. 36 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.) oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024) – zarządza się, co następuje:

Ilekroć w zarządzeniu jest mowa o:

1) ustawie – rozumie się przez to ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.), zwaną dalej „ustawą”;

2) rozporządzeniu – rozumie się przez to rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, zwanym dalej „rozporządzeniem”;

3) systemie informatycznym – rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych.

Przetwarzanie danych osobowych pracowników i innych osób służy realizacji zadań wynikających z bieżącej pracy i działalności Ministerstwa Środowiska.

1. Administratorem danych w Ministerstwie Środowiska w rozumieniu ustawy jest Minister Środowiska.

2. Obowiązki wynikające z ustawy Minister Środowiska powierza:

1) Dyrektorowi Generalnemu Ministerstwa Środowiska – w zakresie tworzenia warunków technicznych i organizacyjnych, zapewniających ochronę przetwarzanych danych osobowych;

2) Administratorowi Bezpieczeństwa Informacji – w zakresie nadzoru nad przestrzeganiem zasad ochrony dotyczących: stosowanych środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych stosownie do zagrożeń oraz kategorii danych objętych ochroną, zabezpieczenia danych przed ich udostępnianiem osobom nieupoważnionym, zabraniem przez osobę nieupoważnioną, przetwarzaniem ich z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;

3) Administratorowi sieci informatycznych – w zakresie instalacji, konserwacji i bezpieczeństwa systemów informatycznych, o których mowa w rozporządzeniu i Polityce Bezpieczeństwa w zakresie przetwarzania danych osobowych w Ministerstwie Środowiska;

4) dyrektorom komórek organizacyjnych – zwanych dalej lokalnymi administratorami danych osobowych – w których następuje przetwarzanie danych osobowych – w zakresie tworzenia warunków organizacyjnych i przestrzegania zasad ochrony danych osobowych, o których mowa w rozporządzeniu i Polityce Bezpieczeństwa w zakresie przetwarzania danych osobowych w Ministerstwie Środowiska;

5) Dyrektorowi komórki organizacyjnej właściwej w sprawach administracyjnych i finansowych w zakresie zabezpieczenia realizacji procesu ochrony danych osobowych pod względem administracyjnym i finansowym.

3. Administrator Bezpieczeństwa Informacji realizuje zadania wynikające z ustawy i rozporządzenia z pomocą:

1) Dyrektora komórki organizacyjnej właściwej w sprawach kadr;

2) lokalnych administratorów danych osobowych;

3) Dyrektora komórki organizacyjnej właściwej w sprawach administracyjnych i finansowych;

4) Administratora sieci informatycznych.

1. Zgodnie z wymogami § 3 ust. 1 rozporządzenia wprowadza się do stosowania Politykę Bezpieczeństwa w zakresie przetwarzania danych osobowych w Ministerstwie Środowiska, stanowiącą załącznik nr 1 do niniejszego zarządzenia.

2. Zgodnie w wymogami § 3 ust. 1 rozporządzenia wprowadza się do stosowania Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, stanowiącą załącznik nr 1 do Polityki Bezpieczeństwa w zakresie przetwarzania danych osobowych w Ministerstwie Środowiska.

1. Administrator Bezpieczeństwa Informacji zobowiązany jest do:

1) prowadzenia ewidencji baz danych w systemach informatycznych, w których przetwarzane są dane osobowe w Ministerstwie Środowiska, zgodnie z załącznikiem nr 1 do Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych;

2) prowadzenia ewidencji osób zatrudnionych przy przetwarzaniu danych osobowych w systemach informatycznych i ich identyfikatorów, zgodnie z załącznikiem nr 2 do Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych;

3) prowadzenia ewidencji miejsc przetwarzania danych osobowych i sposobu ich zabezpieczania, zgodnie z załącznikiem nr 3 do Instrukcji zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

2. Dyrektor komórki organizacyjnej właściwej w sprawach kadr zobowiązany jest do uzupełniania akt osobowych pracowników zatrudnionych przy przetwarzaniu danych osobowych o oświadczenia, z których wynika, że zapoznali się z przepisami obowiązującymi w tym zakresie.

3. Udostępnianie danych osobowych pracowników Ministerstwa Środowiska do celów innych niż określone w § 2 niniejszego zarządzenia, w przypadku pracowników, odbywa się wyłącznie za pośrednictwem komórki organizacyjnej właściwej w sprawach kadr.

Lokalni administratorzy danych osobowych zobowiązani są do ścisłej współpracy z Dyrektorem komórki organizacyjnej właściwej w sprawach administracyjnych i finansowych w zakresie tworzenia warunków organizacyjnych i technicznych umożliwiających spełnienie wymogów wynikających z obowiązywania ustawy o ochronie danych osobowych w Ministerstwie Środowiska.

Administrator Bezpieczeństwa Informacji, na podstawie informacji przekazywanych przez lokalnych administratorów danych osobowych, opracowuje zakres niezbędnych zmian dotyczących warunków organizacyjnych i technicznych umożliwiających spełnienie wymogów wynikających z obowiązywania ustawy o ochronie danych osobowych w Ministerstwie Środowiska, a następnie przedkłada do zatwierdzenia Ministrowi Środowiska.

Dyrektor Generalny, Dyrektor komórki organizacyjnej właściwej w sprawach administracyjnych i finansowych, Dyrektor komórki organizacyjnej właściwej w sprawach kadr, oraz lokalni administratorzy danych osobowych odpowiadają za realizację zatwierdzonych przez Ministra Środowiska przedsięwzięć organizacyjnych i technicznych, o których mowa w § 7.

Osoby nieprzestrzegające przepisów podlegają sankcjom przewidzianym w rozdziale 8 ustawy.

1. Lokalni administratorzy danych osobowych zobowiązani są w terminie 30 dni od dnia wejścia w życie zarządzenia do:

1) przygotowania i przesłania do Administratora Bezpieczeństwa Informacji ewidencji baz danych w systemach informatycznych, w których przetwarzane są dane osobowe;

2) przygotowania i przesłania do Administratora Bezpieczeństwa Informacji listy osób zatrudnionych przy przetwarzaniu danych osobowych i ich identyfikatorów;

3) przygotowania i przesłania do Administratora Bezpieczeństwa Informacji wykazu miejsc, w których ma miejsce przetwarzanie danych osobowych, w podległych im komórkach organizacyjnych.

2. Dokumenty, o których mowa w ust. 1 należy przygotować zgodnie z załącznikami do Polityki Bezpieczeństwa w zakresie przetwarzania danych osobowych w Ministerstwie Środowiska.

Zarządzenie wchodzi w życie z dniem 7 maja 2008 r.