OPUBLIKOWANO: 10 LISTOPADA 2017
ZAKTUALIZOWANO: 14 WRZEŚNIA 2018
Bezpieczeństwo danych osobowych – wymagania wprowadzone przez unijne rozporządzenie o ochronie danych osobowych
Podstawa prawna:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych),
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz.1000).
Przetwarzanie danych osobowych przez poradnię psychologiczno-pedagogiczną, jako administratora, oznacza konieczność podjęcia działań i zastosowania środków zapewniających odpowiedni poziom bezpieczeństwa tego procesu.
Zgodnie z art. 24 ogólnego rozporządzenia o ochronie danych (dalej RODO) administrator zobowiązany jest do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z rozporządzeniem. Artykuł 32 RODO doprecyzowuje ogólną regulację z art. 24, zobowiązując administratora do wdrożenia rozwiązań technicznych i organizacyjnych mających zapewnić bezpieczeństwo nie tylko danych, ale i operacji ich przetwarzania. Poziom zapewnianej ochrony powinien być odpowiedni do zagrożeń oraz kategorii danych objętych ochroną.
RODO wymaga, aby dobór adekwatnych środków opierał się na ocenie ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia oraz na zasadzie proporcjonalności uwzględniającej stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania. W przypadku poradni psychologiczno-pedagogicznej szczególną uwagę należy zwrócić na przetwarzanie danych szczególnych kategorii – danych wrażliwych.
Wdrażając ochronę danych osobowych w poradni psychologiczno-pedagogicznej, należy zadbać o:
- bezpieczeństwo techniczne i organizacyjne,
- bezpieczeństwo systemów informatycznych,
- monitorowanie przestrzegania przepisów o ochronie danych osobowych oraz obowiązki dokumentacyjne związane z przetwarzaniem danych osobowych.
Bezpieczeństwo techniczne i organizacyjne
Wdrożenie technicznych i organizacyjnych środków bezpieczeństwa powinno być poprzedzone przeprowadzeniem analizy zagrożeń i ryzyka związanych z przetwarzaniem danych osobowych. Analiza ta powinna obejmować cały proces przetwarzania danych, ze szczególnym uwzględnieniem danych szczególnych kategorii (danych wrażliwych) i brać pod uwagę podatność stosowanych systemów informatycznych na określone zagrożenia. Po przeprowadzeniu analizy należy wybrać i zastosować adekwatne środki bezpieczeństwa.
