REGULAMIN OCHRONY DANYCH OSOBOWYCH

 


REGULAMIN OCHRONY DANYCH OSOBOWYCH
w ZIELONOGÓRSKIEJ SPÓŁDZIELNI MIESZKANIOWEJ
w Zielonej Górze

I. PODSTAWA PRAWNA

1. Ustawa z dnia 29 sierpnia 1997r. o ochronie danych osobowych.
2. Kodeks cywilny.
3. Konstytucja Rzeczypospolitej Polskiej.


II. POSTANOWIENIA OGÓLNE

§ 1

1. Ochrona danych osobowych w Zielonogórskiej Spółdzielni Mieszkaniowej ma na celu zapewnienie ochrony prywatności osób, których dane Spółdzielnia przetwarza.

2. Regulamin niniejszy określa zasady ochrony danych osobowych będących w posiadaniu Spółdzielni, a także określa obowiązki administratora danych osobowych oraz prawa osób których dane Spółdzielnia przetwarza.

§ 2

1. Przez użyte w treści sformułowania należy rozumieć:
1) dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej,
2) zbiór danych – każdy posiadający strukturę zestaw danych osobowych dostępnych według określonych kryteriów, w którym dane są przetwarzane w szczególności:
- w kartotekach,
- w skorowidzach,
- w księgach,
- w wykazach,
- w rejestrach,
- w systemach informacyjnych,
3) przetwarzanie danych – wszelkie operacje wykonywane na danych osobowych i ich zbiorach, w szczególności: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie danych osobowych,
4) usuwanie danych – zniszczenie danych osobowych lub taka ich modyfikacja, która nie pozwala na ustalenie tożsamości osoby, której dane dotyczą,
5) administrator danych osobowych – podmiot zajmujący się przetwarzaniem danych osobowych. Administratorem danych osobowych jest Zielonogórska Spółdzielnia Mieszkaniowa, a w jej imieniu Zarząd Spółdzielni,
6) administrator bezpieczeństwa informacji – osoba odpowiedzialna za bezpieczeństwo danych osobowych w systemie informatycznym, wyznaczona przez administratora danych osobowych,
7) system informatyczny – to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych.

§ 3

Celem zabezpieczenia zbiorów danych osobowych w Spółdzielni jest uniemożliwienie dostępu do zbioru danych osobom nieuprawnionym.

§ 4

1. Zielonogórska Spółdzielnia Mieszkaniowa jako Administrator danych osobowych przetwarza dane osobowe dla realizacji celów statutowych m.in. w zakresie :
1) prowadzenia rejestru członków,
2) prowadzenia rejestru lokali, dla których zostały założone księgi wieczyste z adnotacją o ustanowionych hipotekach,
3) sporządzania list niezbędnych dla obliczania opłat za użytkowanie lokali,
4) gromadzenia i przetwarzania danych osobowych zawartych w indywidualnych aktach,
5) wywieszania spisu mieszkańców domu i umieszczania nazwisk przy instalacji domofonowej.

§ 5

1. Dostęp do zbioru danych osobowych oraz do ich przetwarzania mogą mieć wyłącznie osoby, które uzyskały pisemne upoważnienie wydane przez Zarząd Spółdzielni.

2. Zarząd Spółdzielni prowadzi ewidencję osób zatrudnionych przy przetwarzaniu danych osobowych.

3. Ewidencja, o której mowa w ust. 2 powinna zawierać:
- imię i nazwisko,
- stanowisko,
- zakres, w jakim pracownik został dopuszczony do przetwarzania danych osobowych,
- datę wydania upoważnienia,
- identyfikator w przypadku przetwarzania danych osobowych w systemie informatycznym.

4. Pracownik, który uzyskał upoważnienie do dostępu do zbioru danych osobowych i ich przetwarzania, powinien być zapoznany z przepisami dotyczącymi ochrony danych osobowych.

5. Pracownik Spółdzielni, który uzyskał dostęp do zbioru danych osobowych i ich przetwarzania zobowiązany jest do złożenia oświadczenia o zachowaniu ich w tajemnicy. Obowiązek ten istnieje również po ustaniu zatrudnienia przy przetwarzaniu danych osobowych.

6. Upoważnienie, o którym mowa w ust. 2 oraz oświadczenie pracownika o zachowaniu danych osobowych dołączone zostaną do akt osobowych pracownika.

7. Indywidualny zakres czynności pracownika dopuszczonego do przetwarzania danych osobowych powinien określać jego obowiązki wynikające z czynności związanych z przetwarzaniem danych osobowych oraz zakres, w jakim pracownik został upoważniony do przetwarzania tych danych.

§ 6

1. Dane osobowe są przechowywane i przetwarzane w Spółdzielni, w wydzielonych pomieszczeniach określonych zarządzeniem Zarządu Spółdzielni.

2. Do pomieszczeń, o których mowa w ust. 1 mogą mieć dostęp jedynie pracownicy Spółdzielni posiadający upoważnienie Zarządu Spółdzielni.

3. Pomieszczenia, w których przechowywane i przetwarzane są dane osobowe, są zamykane na czas nieobecności w nich osób zatrudnionych przy przetwarzaniu danych osobowych.


III. OCHRONA DANYCH OSOBOWYCH PRZETWARZANYCH W SYSTEMIE INFORMATYCZNYM

§ 7

1. Przy obsłudze systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych mogą być zatrudnieni wyłącznie pracownicy posiadający upoważnienie wydane przez Zarząd Spółdzielni.

2. Zarząd Spółdzielni wyznacza „administratora bezpieczeństwa informacji” odpowiedzialnego za bezpieczeństwo danych osobowych gromadzonych i przetwarzanych w systemie informatycznym.

3. Administrator bezpieczeństwa informacji odpowiedzialny jest za przeciwdziałanie dostępowi osób niepowołanych do systemu, w którym przetwarzane są dane osobowe oraz za podejmowanie odpowiednich działań w przypadkach wykrycia naruszeń w systemie zabezpieczeń.

§ 8

1. Pracownikowi zatrudnionemu przy przetwarzaniu danych osobowych w systemie informatycznym administratora bezpieczeństwa informacji przydziela się odrębny identyfikator i hasło.

2. Identyfikator powinien być wpisany do ewidencji pracowników zatrudnionych przy przetwarzaniu danych osobowych.

3. Ustalony identyfikator pracownika nie podlega zmianie w okresie jego zatrudnienia, a po wykreśleniu użytkownika z systemu informatycznego nie może być przydzielony innemu pracownikowi.

4. Hasło przydzielone pracownikowi podlega zmianie raz na miesiąc.

5. Hasło powinno zawierać od 5 do 10 znaków, w tym litery duże i małe oraz znaki specjalne i cyfry.

6. Hasło przydzielone pracownikowi zatrudnionemu przy przetwarzaniu danych osobowych pracownik powinien utrzymać w tajemnicy, także po upływie jego ważności.

7. Bezpośredni dostęp do systemu informatycznego zawierającego dane osobowe może nastąpić wyłącznie po podaniu identyfikatora i hasła.

8. Identyfikator osoby, która utraciła uprawnienia dostępu do systemu informatycznego zawierającego dane osobowe, należy natychmiast wyrejestrować z systemu i unieważnić jej hasło.

§ 9

1. Pracownik zatrudniony przy przetwarzaniu danych osobowych w systemie informatycznym obowiązany jest niezwłocznie powiadomić administratora bezpieczeństwa informacji gdy :
- stwierdzi naruszenie zabezpieczenia systemu informatycznego,
- stan urządzeń, zawartość zbioru danych osobowych, ujawnione metody pracy, sposób działania programu lub jakości komunikacji sieci mogą wskazywać na naruszenie zabezpieczeń tych danych.

2. Administrator bezpieczeństwa informacji po stwierdzeniu naruszenia systemu informatycznego ma obowiązek :
- zabezpieczyć ślady pozwalające na określenie przyczyny naruszenia systemu informatycznego,
- przeanalizować i określić skutki naruszenia systemu informatycznego,
- określić czynniki, które spowodowały naruszenie systemu informatycznego,
- dokonać niezbędnych korekt w systemie informatycznym polegających na zabezpieczeniu systemu przed ponownym jego naruszeniem,
- powiadomić Zarząd Spółdzielni o naruszeniu systemu informatycznego jego przyczynach i skutkach oraz podjętych działaniach korygujących system.

§ 10

Administrator bezpieczeństwa prowadzi rejestr pracowników – użytkowników systemu informatycznego, zawierający:
- imię i nazwisko pracownika,
- stanowisko,
- zakres, w jakim pracownik został dopuszczony do przetwarzania danych osobowych w systemie informatycznym,
- datę wydania upoważnienia,
- datę utraty upoważnienia,
- indywidualny identyfikator pracownika.

§ 11

System informatyczny powinien zapewnić odnotowanie:
- daty wprowadzenia i modyfikacji danych osobowych,
- identyfikatora użytkownika systemu wprowadzającego dane,
- informację, komu, kiedy i w jakim zakresie dane zostały udostępnione,
- żądanie zaprzestania przetwarzania danych po jego uwzględnieniu.

§ 12

1. System informatyczny służący do przetwarzania danych osobowych musi pozwalać na udostępnienie tych danych na piśmie w formie powszechnie zrozumiałej.

2. Dane przedstawione w formie pisemnej powinny zawierać informacje określone w § 11.


§ 13

1. Zarząd Spółdzielni w drodze zarządzenia wewnętrznego określi pomieszczenia lub ich części, tworząc obszar, w którym przetwarzane są dane osobowe w systemie informatycznym.

2. Przebywanie osób nieuprawnionych oraz dostęp do danych osobowych wewnątrz obszaru określonego w zarządzeniu Zarządu Spółdzielni jest możliwe jedynie w obecności osoby zatrudnionej przy przetwarzaniu tych danych i za zgodą Zarządu Spółdzielni.

3. Pomieszczenia, w których są przetwarzane dane osobowe, muszą być zamykane na czas nieobecności w nich osób zatrudnionych przy przetwarzaniu danych osobowych w taki sposób, aby uniemożliwić dostęp do nich osób nieuprawnionych.

4. W pomieszczeniach, w których przebywają osoby postronne, monitory komputerów powinny być ustawione w taki sposób, żeby uniemożliwić im wgląd w dane osobowe.

§ 14

1. Zarząd Spółdzielni może udostępnić dane osobowe członka Spółdzielni Zebraniu Przedstawicieli, Radzie Nadzorczej jedynie w przypadku, gdy w sprawie danego członka toczy się postępowanie wewnątrzspółdzielcze w trybie określonym postanowieniami Statutu Spółdzielni.
2. Dane osobowe członka Spółdzielni mogą być udostępnione organom samorządowym Spółdzielni rozpatrującym jego sprawę w postępowaniu wewnątrzspółdzielczym tylko w zakresie mogącym mieć znaczenie dla danej sprawy.
3. Zarząd Spółdzielni jest zobowiązany do poinformowania członków organów samorządowych Spółdzielni rozpatrującym sprawę członka Spółdzielni w postępowaniu wewnątrzspółdzielczym o przepisach dotyczących o ochronie danych osobowych.
4. Udostępnienie danych osobowych przetwarzanych przez Spółdzielnię osobom fizycznym lub podmiotom uprawnionym do ich otrzymania na mocy prawa może nastąpić za zgodą Zarządu Spółdzielni na pisemnie umotywowany wniosek, chyba że przepis szczególny stanowi inaczej.
5. Dane osobowe udostępnia się na pisemny, umotywowany wniosek, chyba że przepis innej ustawy stanowi inaczej. Wniosek powinien zawierać informacje umożliwiające wyszukanie w zbiorze żądanych danych osobowych oraz wskazywać ich zakres i przeznaczenie.
6. Zielonogórska Spółdzielnia Mieszkaniowa może odmówić udostępnienia danych osobowych w przypadkach określonych ustawą o ochronie danych osobowych.
7. Umieszczanie nazwiska na spisie mieszkańców domu lub instalacji domofonowej jest możliwe po wyrażeniu pisemnej zgody przez osobę, której dane dotyczą.

§ 15

Regulamin niniejszy został zatwierdzony Uchwałą Rady Nadzorczej ZSM Nr 64/2006r. z dnia 12.09.206r. i obowiązuje od dnia 12.09.2006r.