Strona główna » Polityka prywatności

POLITYKA OCHRONY DANYCH OSOBOWYCH
W TRITECH NEW TECHNOLOGIES SP. Z O.O.

skrót nazwy: TNT

I. Postanowienia ogólne

§ 1.

Postanowienia ogólne

1. TNT deklaruje przetwarzanie danych osobowych z poszanowaniem obowiązujących w tym zakresie przepisów prawa oraz zachowanie szczególnej staranności w realizacji deklaracji.

2. Polityka określa zasady i tryb postępowania przy przetwarzaniu danych osobowych w TNT.

3. Podstawą prawną opracowania Polityki jest RODO i UODO.

§ 2.

Podstawowe pojęcia

Użyte w Polityce Ochrony Danych Osobowych w TRITECH NEW TECHNOLOGIES Sp. z o.o. określenia oznaczają:

1. Polityka – niniejszy dokument;

2. Instrukcja – Instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych;

3. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE

4. UODO – Ustawa z dnia 10 maja 2018 o ochronie danych osobowych

5. Przepisy o ochronie danych osobowych – Polityka, Instrukcja, RODO oraz UODO;

6. TNT – TRITECH NEW TECHNOLOGIES Sp. z o.o.;

7. Administrator – TNT , reprezentowany przez Zarząd lub osoba przez niego upoważniona;

8. RCPD – Rejestr czynności przetwarzania danych osobowych i Rejestr kategorii danych osobowych, prowadzony w TNT w ramach systemu informatycznego;

9. Osoba upoważniona – osoba upoważniona do przetwarzania danych osobowych;

10. IOD – Inspektor Ochrony Danych Osobowych, wyznaczony przez Administratora i bezpośrednio mu podlegający, odpowiedzialny za nadzór nad zapewnieniem bezpieczeństwa danych osobowych;

11. Administrator Systemu Informatycznego (ASI) – osoba posiadająca najwyższe uprawnienia w systemach informatycznych w ramach których przetwarza się dane osobowe, odpowiedzialna za sprawność, konserwację oraz wdrażanie technicznych zabezpieczeń tych systemów;  przetwarza się dane osobowe,;

12. Lokalny Administrator Systemu Informatycznego (LASI) – osoba, która posiada w systemach informatycznych w ramach których przetwarza się dane osobowe uprawnienia administracyjne nadane przez ASI;.

13. Naruszenie ochrony danych osobowych – naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych;

14. Odbiorcy danych osobowych – osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią;

15. Kategoria odbiorców danych osobowych – zakres podmiotowy Odbiorców danych osobowych;

16. Dane osobowe – informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

17. Przetwarzanie  -operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

18. Zbiór danych – uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie;

19. Pracownik – osoba zatrudniona w TNT na podstawie stosunku pracy lub innego stosunku prawnego;

20. Kierownik – Kierownik komórki organizacyjnej TNT;

21. Profilowanie – dowolna formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych, wybranych czynników osobowych osoby fizycznej;

22. Organ nadzorczy – Generalny Inspektor Ochrony Danych Osobowych (Prezes Urzędu Ochrony Danych Osobowych).

Pozostałe skróty i definicje należy interpretować zgodnie z postanowieniami RODO, UODO oraz aktami prawa wewnętrznego obowiązującymi w TNT.

§ 3.

Zakres stosowania

1. Politykę stosuje się do danych osobowych przetwarzanych w TNT.

2. Nadzór ogólny nad realizacją Przepisów o ochronie danych osobowych pełni Administrator.

3. Nadzór nad poprawnością realizacji Przepisów o ochronie danych osobowych, w szczególności zasad opisanych w Polityce oraz Instrukcji, oraz nad wykonywaniem zadań związanych z ochroną danych osobowych w TNT pełni IOD.

4. Właściwy kierownik zobowiązany jest do uzgadniania z IOD treści dokumentów i umów, w ramach których przetwarzane są dane osobowe w TNT w tym umów powierzenia i podpowierzenia.

§ 4.

Podstawowe zasady ochrony danych osobowych

1. Dane osobowe przetwarzane w TNT podlegają ochronie zgodnie z przepisami RODO i UODO.

2. Pracownicy przetwarzają dane osobowe  z poszanowaniem zasady:

3. legalizmu – zgodnie z prawem oraz wskazaniem podstawy prawnej;

4. rzetelności – rzetelnie i uczciwie;

5. transparentności – w sposób przejrzysty dla osoby, której dane dotyczą;

6. minimalizacji – w konkretnych celach i nie „na zapas”;

7. adekwatności – nie więcej niż potrzeba;

8. prawidłowości – z dbałością o prawidłowość danych;

9. czasowości – nie dłużej niż potrzeba;

10. praw jednostki – umożliwiając osobom, których dane są przetwarzane, wykonywanie swoich praw i realizując te prawa;

11. bezpieczeństwa – zapewniając odpowiednie bezpieczeństwo danych ;

12. rozliczalności – dokumentując sposób spełniania obowiązków, aby w każdej chwili móc wykazać zgodność z zasadą legalizmu.

§ 5.

Podstawy prawne przetwarzania danych osobowych

1. Przetwarzanie danych osobowych w TNT jest dopuszczalne wyłącznie w celu realizowania zadań TNT.

2. Przetwarzanie danych osobowych w TNT nie może naruszać praw i wolności osób, których dane osobowe dotyczą, a w szczególności zabrania się przetwarzania danych osobowych ujawniających następujących kategorii danych: pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.

3. Podstawą przetwarzania danych osobowych w TNT jest:

4. wyraźna zgoda osoby, której dane dotyczą, na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach;

5. wykonywanie szczególnych praw Administratora niezbędne do wypełnienia jego obowiązków lub osoby, której dane dotyczą;

6. ochrona żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, które są fizycznie lub prawnie niezdolne do wyrażenia zgody;

7. przetwarzanie danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;

8. przetwarzanie niezbędne do ustalenia, dochodzenia lub obrony roszczeń;

9. przetwarzanie niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa krajowego;

10. przetwarzanie niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa krajowego;

11. przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych; na podstawie prawa Unii lub prawa krajowego które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.

II. System ochrony danych

§ 6.

Obowiązek informacyjny

1. W przypadku zbierania danych osobowych na potrzeby TNT bezpośrednio od osoby, której dane dotyczą, Pracownik zbierający dane osobowe, podczas pozyskiwania danych – najpóźniej podczas pierwszego kontaktu z osobą, której dane dotyczą oraz każdorazowo, gdy zmieni się cel przetwarzania, jest zobowiązany do przekazania tej osobie informacji o:

1. tożsamości i danych kontaktowych Administratora;

2. danych kontaktowych IOD;

3. celach przetwarzania danych osobowych;

4. podstawie prawnej przetwarzania (wymóg ustawowy, umowny, warunek zawarcia umowy lub zgoda itp. wraz z wskazaniem ewentualnych konsekwencji niepodania danych osobowych);

5. prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO;

6. Odbiorcach danych osobowych lub o Kategoriach odbiorców, jeżeli istnieją;

7. zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, zgodnie z art 13 ust. 1 lit. f) RODO – gdy ma to zastosowanie;

8. okres, przez który dane osobowe będą przechowywane; a gdy nie jest to możliwe, kryteria ustalania tego okresu;

9. prawach osoby, której dane dotyczą do: dostępu do danych osobowych, sprostowania, usunięcia lub ograniczenia przetwarzania, przenoszenia danych, wniesienia sprzeciwu wobec przetwarzania, cofnięcia zgody o ile ją wyrażono, wniesienia skargi do organu nadzorczego;

10. zautomatyzowanym podejmowaniu decyzji, w tym o Profilowaniu;

1. W przypadku zbierania danych osobowych na potrzeby TNT w sposób inny, niż od osoby, której dane dotyczą (nie bezpośrednio), Pracownik zbierający dane osobowe, jest zobowiązany do przekazania tej osobie informacji, o których mowa w ust. 1 Polityki, oraz o:

2. źródle pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych;

3. kategorii danych osobowych, o których mowa w § 5 ust. 2 Polityki;

4. prawnie uzasadnione interesy realizowane przez Administratora lub przez stronę trzecią, na zasadach określonych w art 6 ust. 1 lit f) RODO;

III. Obsługa praw jednostki

§ 7.

Kontrola przetwarzania

Każdej osobie, której dane osobowe są przetwarzane w TNT przysługuje prawo do kontroli przetwarzania jej danych osobowych, a w szczególności prawo do:

1. uzyskania wyczerpującej informacji, czy jej dane osobowe są przetwarzane;

2. wniesienia sprzeciwu względem przetwarzanych danych osobowych osoby;

3. zgłoszenia interwencji przy automatycznym przetwarzaniu danych;

4. żądania wydania kopii danych osobowych;

5. żądania sprostowania danych osobowych;

6. żądania uzupełnienia danych osobowych;

7. żądania usunięcia danych osobowych (“prawo do bycia zapomnianym”);

8. żądania ograniczenia przetwarzania danych osobowych;

9. żądania przeniesienia danych osobowych;

10. uzyskania informacji o sprostowaniu, uzupełnieniu, usunięciu lub ograniczeniu przetwarzania danych.

§ 8.

Żądania jednostek

1. Prawo do kontroli przetwarzania danych osobowych, o którym mowa w § 7 realizowane jest na wniosek osoby, której dane są przetwarzane.

2. Wniosek, o którym mowa w ust. 1, może zostać złożony przez osobę, której dane są przetwarzane. Wniosek może zostać złożony w dowolnej formie – pisemnej, elektronicznej, za pomocą faksu lub telefonicznej.

3. Wniosek, o którym mowa w ust. 1, każdorazowo przekazywany jest, przez właściwą komórkę organizacyjną, niezwłocznie do IOD.

4. IOD we współpracy z właściwym Kierownikiem dokonuje rozpatrzenia otrzymanego wniosku w terminie do 1 miesiąca od dnia otrzymania wniosku, podejmuje czynności zgodnie z wnioskiem lub informuje osobę, która złożyła wniosek o odmowie rozpatrzenia jej wniosku i o jej prawach z tym związanych.

§ 9.

Uzyskanie informacji o przetwarzaniu danych osobowych

W przypadku wniosku, o którym mowa w § 8 ust. 1, IOD we współpracy z właściwym Kierownikiem udziela osobie, której dane dotyczą, następujących informacji:

1. czy w TNT przetwarzane są dane osobowe wnioskującego;

2. zakresie danych osobowych dotyczących wnioskującego jakie są przetwarzane w TNT;

3. sposobie pozyskania danych osobowych wnioskującego;

4. celu, zakresie i metodzie przetwarzania danych osobowych wnioskującego;

5. okresie przetwarzania danych osobowych wnioskującego;

6. zakresie udostępnienia danych osobowych wnioskującego innym podmiotom, wraz ze wskazaniem tych podmiotów.

§ 10.

Wniesienie sprzeciwu względem przetwarzanych danych osobowych

1. Jeżeli osoba zgłosi umotywowany jej szczególną sytuacją sprzeciw względem przetwarzania jej danych, a dane przetwarzane są przez TNT w oparciu o uzasadniony interes TNT lub o powierzone TNT zadanie w interesie publicznym, TNT uwzględni sprzeciw, o ile nie zachodzą po stronie TNT ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby zgłaszającej sprzeciw, lub podstawy do ustalenia, dochodzenia lub obrony roszczeń.

2. Sprzeciw, o którym mowa w ust. 1, może zostać złożony przez osobę, której dane są przetwarzane. Sprzeciw może zostać złożony w dowolnej formie – pisemnej, elektronicznej, za pomocą faksu lub telefonicznej.

3. Sprzeciw, o którym mowa w ust. 1, każdorazowo przekazywany jest, przez właściwą komórkę organizacyjną, niezwłocznie do IOD.

4. IOD we współpracy z Kierownikiem i Administratorem dokonuje rozpatrzenia otrzymanego sprzeciwu w terminie do 1 miesiąca od dnia jego otrzymania, uwzględnia sprzeciw lub informuje osobę, o odmowie uwzględnienia sprzeciwu i o jej prawach z tym związanych.

§ 11.

Zgłoszenie interwencji przy automatycznym przetwarzaniu danych

1. Jeżeli TNT przetwarza dane w sposób automatyczny, w tym w szczególności stosuje Profilowanie i w konsekwencji podejmuje względem osoby decyzje wywołujące skutki prawne lub inaczej istotnie wpływające na osobę, TNT zapewnia możliwość złożenia sprzeciwu takiej osobie, chyba że taka automatyczna decyzja jest niezbędna do zawarcia lub wykonania umowy pomiędzy osobą wnoszącą sprzeciw a TNT lub jest wprost dozwolona przepisami prawa lub  opiera się o wyraźną zgodę odwołującej osoby.

2. Postanowienia § 10 ust. 2-4 Polityki stosuje się odpowiednio.

§ 12.

Żądanie wydania kopii danych osobowych

Na wniosek o wydanie kopii danych osobowych IOD w porozumieniu z Kierownikiem przekazuje kopię tych danych. Informację o wydaniu pierwszej kopii danych Kierownik odnotowuje w aktach dotyczących tego wniosku, z kopią do IOD.

13.

Żądanie sprostowania danych osobowych

1. Na wniosek  o sprostowanie danych złożony przez osobę, której dane są przetwarzane Kierownik w porozumieniu z IOD dokonuje sprostowania nieprawidłowych danych tej osoby.

2. TNT ma prawo odmówić sprostowania danych, chyba że osoba, o której mowa w ust. 1, wykaże nieprawidłowości danych, których sprostowania się domaga.

 § 14.

Żądanie uzupełnienia danych osobowych

1. Na wniosek o uzupełnienie danych osobowych Kierownik w porozumieniu z IOD uzupełnia i aktualizuje dane zgodnie z wnioskiem osoby.

2. TNT ma prawo odmówić uzupełnienia danych, jeżeli uzupełnienie byłoby niezgodne z celami przetwarzania danych (np. TNT nie musi przetwarzać danych, które są TNT zbędne).

3. Kierownik może polegać na oświadczeniu osoby, co do uzupełnianych danych, chyba że będzie to niewystarczające w świetle przyjętych przez TNT procedur (np. co do pozyskiwania takich danych), prawa lub zaistnieją podstawy, aby uznać oświadczenie za niewiarygodne.

§ 15.

Żądanie usunięcia danych osobowych (“prawo do bycia zapomnianym”)

1. Na wniosek o usunięcie danych Kierownik w porozumieniu z IOD usuwa dane, gdy:

1. nie są już niezbędne do realizacji celów, w których zostały zebrane;

2. nie są przetwarzane w innych celach;

3. zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej przetwarzania;

4. osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych;

5. dane były przetwarzane niezgodnie z prawem;

6. konieczność usunięcia wynika z obowiązku prawnego;

7. żądanie dotyczy danych dziecka zebranych na podstawie zgody w celu świadczenia usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku (np. profil dziecka na portalu społecznościowym, udział w konkursie na stronie internetowej).

8. Jeżeli dane podlegające usunięciu zostały upublicznione przez TNT, IOD podejmuje działania, w tym środki techniczne, by poinformować innych administratorów przetwarzających te dane osobowe, o potrzebie usunięcia danych i dostępu do nich.

§ 16.

Żądanie ograniczenia przetwarzania danych osobowych

1. Na wniosek o ograniczenie przetwarzania Kierownik w porozumieniu z IOD dokonuje ograniczenia przetwarzania danych w przypadku, gdy:

1. osoba, której dane są przetwarzane kwestionuje prawidłowość danych – na okres pozwalający sprawdzić ich prawidłowość;

2. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;

3. TNT nie potrzebuje już danych osobowych, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;

4. osoba wniosła sprzeciw względem przetwarzania z przyczyn związanych z jej szczególną sytuacją – do czasu stwierdzenia, czy po stronie TNT zachodzą prawnie uzasadnione podstawy nadrzędne wobec podstaw sprzeciwu.

5. W trakcie ograniczenia przetwarzania Kierownik przechowuje dane, natomiast ich nie przetwarza (tzn. nie wykorzystuje, nie przekazuje itp.), bez zgody osoby, której dane dotyczą. Kierownik może te dane przetwarzać jedynie w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego.

§ 17.

Żądanie przeniesienia danych osobowych

1. Na wniosek o przeniesienie danych Kierownik w porozumieniu z IOD wydaje te dane innemu podmiotowi, przetwarzane w TNT na podstawie zgody tej osoby lub w celu zawarcia lub wykonania umowy z nią zawartej

2. Dane te wydawane są w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego.

§ 18.

Informowanie o sprostowaniu, usunięciu lub ograniczeniu przetwarzania danych

1. Kierownik w porozumieniu z IOD informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania, których dokonał każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernych do sprawy działań.

2. Kierownik w porozumieniu z IOD informuje osobę, której dane dotyczą o odbiorcach którym przekazał dane wskazane w zdaniu pierwszym – na wniosek tej osoby.

§ 19.

Przechowywanie dokumentacji

Dokumentacja dotycząca wniosków, o których mowa w § 9 – § 18 przechowywana jest przez właściwą komórkę organizacyjną i IOD.

III. Inspektor Ochrony Danych

§ 20.

Prawa i obowiązki IOD

1. Powołanie IOD i informacje ogólne:

1. IOD wykonuje swoje obowiązki w sposób należyty, zapewniając niezbędny poziom wiedzy fachowej, w szczególności w świetle prowadzonych operacji przetwarzania danych oraz ochrony, której wymagają dane osobowe. z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.

2. IOD podlega bezpośrednio Administratorowi.

3. IOD jest wyznaczany na podstawie kwalifikacji zawodowych a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań wynikających z Przepisów o chronię danych osobowych.

4. Każdorazowe wyznaczenie lub odwołanie IOD w TNT lub zmiana na stanowisku IOD wymaga powiadomienia Organu nadzorczego, w terminie 14 dni od dnia wyznaczenia, odwołania lub zmiany, wskazując imię, nazwisko, adres poczty elektronicznej lub numer telefonu IOD.

5. Dane kontaktowe IOD publikuje się na stronie TNT.

6. Za zawiadomienie, o którym mowa powyżej odpowiedzialny jest Administrator.

7. Zawiadomienie sporządza się w postaci elektronicznej i opatruje kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.

8. Administrator zapewnia zasoby niezbędne do wykonania zadań IOD oraz utrzymania jego wiedzy fachowej, a także zapewnia dostęp do danych osobowych i operacji przetwarzania, a także zapewnia, że IOD jest właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych w TNT.

9. IOD bezpośrednio lub w porozumieniu z Kierownikami obsługuje wszystkie sprawy związane z przetwarzaniem danych osobowych oraz wykonywaniem praw odnośnie tych danych.

10. IOD jest zobowiązany do zachowania tajemnicy i poufności co do wykonywania swoich zadań.

11. W doborze i stosowaniu środków ochrony danych osobowych w TNT, IOD zwraca szczególną uwagę na ich należyte zabezpieczenie przed udostępnieniem osobom nieuprawnionym, kradzieżą, uszkodzeniem lub nieuprawnioną modyfikacją.

1. Obowiązki i zadania IOD:

1. nadzór merytoryczny nad przestrzeganiem Przepisów o ochronie danych osobowych;

2. informowanie Administratora, podmiotu przetwarzającego oraz Pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich w zakresie Przepisów o ochronie danych osobowych, każdorazowych zmianach w obrębie tych obowiązków oraz doradztwo w zakresie ochrony i przetwarzania danych osobowych;

3. monitorowanie przestrzegania Przepisów o ochronie danych osobowych oraz polityk Administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych,

4. podział obowiązków oraz prowadzenie działań zwiększających świadomość, szkoleń Pracowników;

5. bieżące prowadzenie działań audytowych w komórkach organizacyjnych TNT oraz wskazywanie obszarów wymagających poprawy i monitorowanie podjętych działań naprawczych;

6. ocenianie, we współpracy z Kierownikami, skutków planowanych operacji przetwarzania dla ochrony danych osobowych, jeżeli dany rodzaj przetwarzania danych – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych;

7. ocena skutków dla ochrony danych, o której mowa w pkt 5) dokonywana jest zgodnie z art. 35 RODO;

8. współpraca z Organem nadzorczym, w tym pełnienie funkcji punktu kontaktowego dla Organu nadzorczego, w kwestiach związanych z przetwarzaniem danych osobowych,

9. prowadzenie konsultacji z Organem nadzorczym przed rozpoczęciem przetwarzania danych osobowych, w przypadku zidentyfikowania wysokiego ryzyka skutków dla ochrony danych osobowych, o którym mowa w art. 36 RODO,

10. udostępnianie, w porozumieniu z Administratorem wymaganej dokumentacji, wstępu do pomieszczeń itp. wymaganych podczas kontroli Organu nadzorczego;

11. rejestrowanie kontroli, o której mowa w pkt 7), w tym przechowywanie protokołów pokontrolnych, realizacja zaleceń pokontrolnych lub składanie, w porozumieniu z Administratorem, pisemnych zastrzeżeń co do treści protokołu, w terminie 7 dni od dnia przedstawienia protokołu kontroli do podpisu;

12. opracowywanie i aktualizowanie Polityki, we współpracy z komórkami organizacyjnymi TNT;

13. dokonywanie okresowego przeglądu ustanowionych użytkowników systemów i aktualizacja uprawnień użytkowników nie rzadziej niż raz na rok.

14. nadzór w imieniu Administratora, nad zgodnym z Przepisami o ochronie danych osobowych, prowadzeniem RCPD;

15. wydawanie, przechowywanie i archiwizacja upoważnień do przetwarzania danych osobowych nadanych za pośrednictwem RCPD;

16. współpraca z Kierownikami, w szczególności przy wnioskach, o których mowa
    w § 9- § 18 Polityki;

17. zarządzanie postępowania w przypadku naruszenia ochrony danych osobowych, o którym mowa w § 38 Polityki;

18. opiniowanie treści dokumentów i umów, w ramach których przetwarzane są dane osobowe w TNT w tym umów powierzenia i podpowierzenia;

19. zbieranie informacji w celu identyfikacji czynności przetwarzania oraz analizowanie i sprawdzanie zgodność czynności przetwarzania z Przepisami o ochronie danych osobowych;

20. przechowywanie haseł do systemu informatycznego, o których mowa w § 23.

21. opiniowanie, w zależności od kategorii przetwarzanych danych osobowych oraz zagrożeń, poziomu bezpieczeństwa przetwarzanych danych w systemie informatycznym,

1. IOD ma prawo do:

   1. rekomendowania i egzekwowania wykonania zadań związanych z ochroną danych osobowych w TNT,

   2. wstępu w każdym czasie do pomieszczeń, w których zlokalizowane są zbiory danych osobowych i przeprowadzenia niezbędnych badań i innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z Przepisami o ochronie danych osobowych,

   3. żądania złożenia pisemnych lub ustnych wyjaśnień w zakresie niezbędnym do ustalenia stanu faktycznego,

   4. żądania okazania dokumentów i wszelkich danych mających bezpośredni związek z problematyką kontroli lub sprawdzenia,

   5. żądania udostępnienia do kontroli lub sprawdzenia urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych.

IV. Administratorzy systemu informatycznego

§ 21.

Nadanie uprawnień w systemie informatycznym, zabezpieczenia

1. Najwyższe uprawnienia w systemie informatycznym posiada ASI. Osobami uprawnionymi do instalowania i usuwania oprogramowania systemowego i narzędziowego są również LASI. Dopuszcza się możliwość dokonywania zmian w systemie informatycznym przez inne osoby, wyłącznie pod nadzorem ASI lub LASI. ASI realizuje bezpośrednio obowiązki IOD w wyznaczonym przez IOD obszarze działania.

2. W doborze i stosowaniu środków ochrony danych osobowych przetwarzanych w systemie informatycznym w TNT, ASI/LASI zwraca szczególną uwagę na ich należyte zabezpieczenie przed udostępnieniem osobom nieuprawnionym, kradzieżą, uszkodzeniem lub nieuprawnioną modyfikacją.

§ 22.

Obowiązki ASI i LASI

Do obowiązków ASI oraz LASI należy w szczególności:

1. rejestrowanie i wyrejestrowywanie użytkowników systemu informatycznego na podstawie wniosku złożonego w RCPD przez Kierownika;

2. dokonywanie zmiany uprawnień użytkowników systemu informatycznego na podstawie wniosku, o którym mowa w pkt 1);

3. prowadzenie ewidencji identyfikatorów użytkowników systemu informatycznego;

4. konfigurowanie urządzeń i oprogramowania;

5. aktualizowanie i konfigurowanie oprogramowania antywirusowego;

6. reagowanie na naruszenia bezpieczeństwa i usuwanie skutków tych naruszeń;

7. nadzorowanie właściwego użytkowania oraz serwisowania urządzeń i oprogramowania;

8. dokonują zmian w systemach informatycznych na wniosek złożony w RCPD;

9. wykonywanie kopii zapasowych zbiorów danych osobowych oraz programów i narzędzi programowych służących do ich przetwarzania w systemie informatycznym;

10. utrzymywanie deklarowanego poziomu bezpieczeństwa systemu informatycznego.

§ 23.

Przechowywanie haseł do systemu informatycznego

1. Obowiązki ASI wykonywane są przez pracownika wyznaczonego przez Administratora. ASI wyznacza LASI i informuje o tym fakcie IOD.

2. Nadzór nad wykonywaniem obowiązków przez ASI oraz LASI wynikających z Polityki i Instrukcji sprawuje Administrator.

3. Hasła do systemu, którymi posługuje się ASI są przechowywane w miejscu zapewniającym adekwatne środki bezpieczeństwa, w zamkniętej i opieczętowanej kopercie przez IOD. W kopercie umieszcza się przede wszystkim hasła do urządzeń znajdujących się na styku sieci publicznej i wewnętrznej, firewalli, aktywnych urządzeń sieciowych oraz hasła administracyjne.

4. Hasła, o których mowa w ust. 3 zmieniane są w każdym przypadku próby łamania hasła, jednak nie rzadziej niż raz na 12 miesięcy, chyba, że nastąpiła zmiana osoby pełniącej obowiązki ASI lub LASI. W tym przypadku hasła zmieniane są niezwłocznie po zmianie obsady kadrowej.

V. Przetwarzanie danych osobowych

§ 24.

Rejestr Czynności Przetwarzania Danych (RCPD)

1. RCPD stanowi formę dokumentowania czynności przetwarzania danych, narzędzie służące do inwentaryzacji i monitorowania sposobu, w jaki wykorzystuje się w TNT dane osobowe, pełni rolę mapy przetwarzania danych i jest jednym z kluczowych elementów umożliwiających realizację fundamentalnej zasady, na której opiera się cały system ochrony danych osobowych, czyli zasady rozliczalności.

2. Nadzór w imieniu Administratora, nad zgodnym z Przepisami o ochronie danych osobowych, prowadzeniem RCPD powierza się IOD.

3. W RCPD, dla każdej odrębnej czynności przetwarzania danych osobowych Kierownik lub Pracownik posiadający upoważnienie do przetwarzania danych osobowych, odnotowuje co najmniej:

4. cel przetwarzania danych osobowych;

5. opis kategorii osób, których dane dotyczą;

6. opis kategorii danych osobowych;

7. opis kategorii odbiorców, którym dane zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub organizacjach międzynarodowych;

8. gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej;

9. jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków ochrony danych;

10. jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych;

11. podstawę prawną przetwarzania, wraz z wyszczególnieniem kategorii uzasadnionego interesu TNT, jeśli podstawą jest uzasadniony interes;

12. sposób zbierania danych osobowych;

1. W RCPD, dla każdej odrębnej kategorii czynności przetwarzania danych Kierownik lub Pracownik posiadający upoważnienie do przetwarzania danych osobowych, odnotowuje co najmniej:

1. imię i nazwisko lub nazwa oraz dane kontaktowe każdego administratora, w imieniu którego działa TNT;

2. kategorie przetwarzań dokonywanych w imieniu każdego z administratorów;

3. gdy ma to zastosowanie, przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej.

4. jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych.

1. Instrukcja obsługi RCPD stanowi Załącznik Nr 1 do Polityki.

2. RCPD prowadzony jest w formie elektronicznej w ramach systemu informatycznego PERS. RCPD udostępniany jest w formie pisemnej na każde żądanie właściwych organów, w postaci wydruku treści danych zawartych w RCPD.

§ 25.

Podstawy przetwarzania

1. Kierownicy dokumentują w RCPD podstawy prawne przetwarzania danych dla poszczególnych czynności przetwarzania.

2. Kierownik ma obowiązek znać podstawy prawne, na jakich komórka przez niego kierowana dokonuje konkretnych czynności przetwarzania danych osobowych. Jeżeli podstawą jest uzasadniony interes TNT, kierownik komórki organizacyjnej ma obowiązek znać konkretny realizowany przetwarzaniem interes TNT.

3. Wskazując ogólną podstawę prawną (zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie publiczne/ władza publiczna, uzasadniony cel TNT) Kierownik dookreśla podstawę w czytelny sposób, gdy jest to potrzebne. Np. dla zgody wskazując na jej zakres, gdy podstawą jest prawo – wskazując na konkretny przepis i inne dokumenty, np. umowę, porozumienie administracyjne, żywotne interesy – wskazując na kategorie zdarzeń, w których się zmaterializują, uzasadniony cel – wskazując na konkretny cel.

4. TNT wdraża metody zarządzania zgodami, zgodnie z § 29 Polityki.

VI. Upoważnienia do przetwarzania danych osobowych, zgody na przetwarzanie danych osobowych

§ 26.

Upoważnienia do przetwarzania danych osobowych

1. Do przetwarzania danych osobowych w TNT mogą być dopuszczeni jedynie Pracownicy posiadający odpowiednie upoważnienie do przetwarzania danych osobowych. Upoważnienie nadawane jest na wniosek Kierownika, za pośrednictwem RCPD przez IOD działającego w imieniu Administratora.

2. Wzór upoważnienia do przetwarzania danych osobowych wraz z informacją o wygaśnięciu oraz o terminie odwołania upoważnienia do przetwarzania danych osobowych określony jest w załączniku nr  2 i  do niniejszej Polityki.

3. Informacje o nadanych przez Administratora uprawnieniach do przetwarzania danych osobowych oraz informacje o odwołaniu lub wygaśnięciu uprawnień do przetwarzania danych ewidencjonowane są w RCPD.

4. Dokument upoważnienia do przetwarzania danych osobowych jak również dokument potwierdzający odwołanie lub wygaśnięcie upoważnienia do przetwarzania danych osobowych, po wydrukowaniu z RCPD, jest traktowany jako uwierzytelniona kopia, niewymagająca, dla zachowania formy pisemnej, złożenia podpisów, z wyłączeniem sytuacji gdy złożenie podpisu wymagane jest przepisami prawa powszechnie obowiązującego.

5. Kierownik jest zobowiązany do przekazania IOD informacji o zakończeniu stosunku pracy z Pracownikiem, który posiada upoważnienie do przetwarzania danych osobowych w celu odwołania tego upoważnienia.

6. Każdy Pracownik, przed dopuszczeniem go do przetwarzania danych osobowych w TNT, musi być zapoznany z Przepisami dotyczącymi ochrony danych osobowych. Za zapoznanie Pracownika z Przepisami dotyczącymi ochrony danych osobowych odpowiada IOD, rejestrując fakt przeszkolenia Pracownika.

§ 27.

Zasady doboru i weryfikacji podmiotów przetwarzających dane na rzecz TNT

Zasady doboru i weryfikacji podmiotów przetwarzających dane na rzecz I TNT opracowane w celu zapewnienia że podmioty przetwarzające wdrożyły odpowiednie środki organizacyjne i techniczne dla zapewnienia bezpieczeństwa danych osobowych oraz realizacji praw jednostki, o których mowa w § 7, zostały określone w odrębnych aktach prawa wewnętrznego.

§ 28.

Umowa powierzenia i podpowierzenia przetwarzania danych osobowych

1. Jeżeli do wykonania w imieniu Administratora czynności przetwarzania podmiot przetwarzający korzysta z usług innego podmiotu, umowa podpowierzenia z tym podmiotem zawiera minimalne postanowienia umowy zawartej pomiędzy Administratorem a podmiotem przetwarzającym.

2. Właściwy Kierownik rozlicza podmioty przetwarzające w zakresie zgodnego z Przepisami o ochronie danych osobowych wykonywania umowy powierzenia i podpowierzenia.

3. Wzór umowy powierzenia przetwarzania danych osobowych stanowi Załącznik nr 3 do Polityki

§ 29.

Przetwarzanie danych osobowych na podstawie zgody

1. Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma formę pisemnego, elektronicznego lub ustnego oświadczenia. Czynność ta może polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.

2. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.

3. W przypadku konieczności uzyskania zgody od osoby, której dane dotyczą właściwy Kierownik podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą wszelkich informacji, o których mowa w § 7.

4. Poza informacjami, o których mowa w ust. 3, Kierownik poucza osobę, której dane dotyczą, o możliwości cofnięcia zgody w dowolnym momencie oraz o fakcie, że wycofanie zgody nie ma wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

5. Informacje, o których mowa w ust. 3 i 4 Kierownik podaje z wykorzystaniem klauzuli informacyjnej, której wzór stanowi załącznik nr 4.

6. Kierownik musi być w stanie wykazać, w szczególności że osoba, której dane dotyczą:

1. wyraziła zgodę na przetwarzanie danych osobowych w konkretnym celu,

2. wyraziła zgodę na komunikowanie się na odległość (za pośrednictwem e-mail, telefon, sms, itp.)

3. odmówiła udzielenia zgody,

4. cofnęła zgodę.

Kierownik może w tym celu tworzyć rejestry zgód.

1. Informację o wyrażeniu zgody przez osobę, której dane dotyczą Kierownik niezwłocznie przekazuje do IOD.

VII.Bezpieczeństwo

§ 30.

Analizy ryzyka i adekwatności środków bezpieczeństwa

1. W TNT przeprowadzając analizy ryzyka i adekwatności środków bezpieczeństwa danych osobowych:

1. zapewnia się odpowiedni stan wiedzy o bezpieczeństwie informacji, cyberbezpieczeństwie i ciągłości działania;

2. kategoryzuje się dane oraz czynności przetwarzania danych osobowych pod kątem ryzyka, które przedstawiają;

3. przeprowadza się analizy ryzyka naruszenia praw lub wolności osób fizycznych dla czynności przetwarzania danych lub ich kategorii;

4. analizuje się możliwe sytuacje i scenariusze naruszenia ochrony danych osobowych uwzględniając charakter, zakres, kontekst i cele przetwarzania, ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia;

5. ustala się możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa i ocenia koszt ich wdrażania. W tym celu ustala się przydatność i stosuje takie środki i podejście jak:

1. szyfrowanie danych osobowych,

2. pseudonimizacja,

3. minimalizacja,

4. uwzględnianie ochrony danych osobowych w fazie projektowania (przed przetwarzaniem jak i w czasie przetwarzania) oraz domyślna ochrona danych,

5. środki zapewnienia ciągłości działania i zapobiegania skutkom katastrof, czyli zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego,

6. inne środki cyberbezpieczeństwa składające się na zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;

7. W TNT stosuje się środki bezpieczeństwa ustalone w ramach analiz ryzyka i adekwatności środków bezpieczeństwa oraz ocen skutków dla ochrony danych.

8. W ramach przestrzegania zasad wynikających z ust. 1 pkt 5 lit. c) i d) właściwy Kierownik:

   1. są obowiązani przed przetwarzaniem jak i w czasie samego przetwarzania weryfikować zakres pozyskiwanych danych, zakres ich przetwarzania i ilość przetwarzanych danych pod kątem adekwatności do celów przetwarzania, zmiany tego zakresu danych osobowych i ilości;

   2. dokonują okresowego – nie rzadziej niż raz na rok – przeglądu ilości przetwarzanych danych i zakresu ich przetwarzania i okresu przetwarzania;

   3. dane, których zakres i okres przydatności ulega ograniczeniu wraz z upływem czasu są usuwane z systemów informatycznych I TNT, jak też z akt podręcznych i głównych.

9. Właściwy Kierownik w porozumieniu z IOD dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych tam, gdzie zgodnie z analizą ryzyka ryzyko naruszenia praw i wolności osób jest wysokie.

§ 31.

Procedury bezpieczeństwa fizycznego i bezpieczeństwa informacji TNT

W TNT stosuje się ograniczenia dostępu do danych osobowych:

1. prawne (zobowiązania do poufności, zakresy upoważnień);

2. fizyczne (strefy dostępu, zamykanie pomieszczeń);

3. logiczne (ograniczenia uprawnień do systemów przetwarzających dane osobowe i zasobów sieciowych, w których rezydują dane osobowe).

4. W TNT stosuje się kontrolę dostępu fizycznego.

5. IOD na wniosek właściwego Kierownika dokonuje aktualizacji uprawnień dostępowych przy zmianach w składzie personelu i zmianach stanowiskach pracy, oraz zmianach podmiotów przetwarzających.

6. IOD dokonuje okresowego przeglądu ustanowionych użytkowników systemów i aktualizuje ich uprawnienia nie rzadziej niż raz na rok.

§ 32.

Środki techniczne i organizacyjne niezbędne dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych osobowych

1. Wszyscy Pracownicy oraz osoby spoza TNT mają obowiązek zachowania tajemnicy o przetwarzanych w TNT danych osobowych oraz o stosowanych sposobach zabezpieczeń danych osobowych. Obowiązek zachowania tajemnicy istnieje również po ustaniu zatrudnienia lub współpracy.

2. Użytkownicy, o których mowa w ust. 1 są w szczególności zobowiązani do:

3. bezwzględnego przestrzegania zasad bezpieczeństwa przetwarzania informacji w TNT, określonych w Przepisach o ochronie danych osobowych;

4. przetwarzania danych osobowych tylko w wyznaczonych do tego celu pomieszczeniach służbowych (lub wyznaczonych ich częściach);

5. zabezpieczania zbioru danych osobowych oraz dokumentów zawierających dane osobowe przed dostępem osób nieupoważnionych za pomocą środków określonych w Przepisach o ochronie danych osobowych;

6. niszczenia wszystkich zbędnych nośników zawierających dane osobowe w sposób uniemożliwiający ich odczytanie lub taką ich anonimizację aby niemożliwym stało się zidentyfikowanie na ich podstawie osoby fizycznej;

7. nieudzielania informacji o danych osobowych przetwarzanych w TNT innym podmiotom, chyba że obowiązek taki wynika wprost z przepisów prawa i tylko w sytuacji, gdy przesłanki określone w Przepisach o ochronie danych osobowych zostały spełnione;

8. bezzwłocznego zawiadamiania IOD o wszelkich przypadkach naruszenia bezpieczeństwa danych osobowych w TNT, a także o przypadkach utraty lub kradzieży dokumentów lub innych nośników zawierających te dane osobowe.

§ 33.

Sposoby zabezpieczenia pomieszczeń, w których przetwarzane są dane osobowe

1. Wszystkie pomieszczenia, w których przetwarza się dane osobowe należy zamykać na klucz, w przypadku opuszczenia pomieszczenia przez ostatnią osobę upoważnioną do przetwarzania danych osobowych — także w godzinach pracy. Po zakończeniu pracy klucz od pomieszczenia zdawany jest zgodnie z wewnętrznie przyjętymi dla każdej lokalizacji TNT procesami.

2. Dane osobowe gromadzone w wersji papierowej lub na nośnikach informatycznych (typu pamięć zewnętrzna) po zakończeniu pracy należy przechowywać w zamkniętych na klucz meblach biurowych, a tam, gdzie jest to możliwe – w szafach metalowych. Klucze od szafek należy zabezpieczyć przed dostępem osób nieupoważnionych do przetwarzania danych osobowych. Nieaktualne lub błędne wydruki zawierające dane osobowe należy niszczyć w niszczarkach.

3. Obiekty TNT, w których zlokalizowane są zbiory danych osobowych, są nadzorowane zgodnie z wewnętrznie przyjętymi dla każdej lokalizacji TNT procesami.

§ 34.

Sposoby zabezpieczenia przed nieautoryzowanym dostępem do baz danych osobowych w TNT

W TNT stosuje się następujące sposoby zabezpieczenia przed nieautoryzowanym dostępem do baz danych osobowych w TNT:

1. podłączenie urządzenia końcowego (komputera, terminalu, drukarki) do sieci informatycznej (komputerowej) TNT dokonywane jest przez ASI lub LASI.

2. udostępnianie użytkownikowi zasobów systemu informatycznego zawierających dane osobowe (programy i baza danych) następuje na podstawie wniosku zgłoszonego za pośrednictwem RCPD;

3. identyfikacja użytkownika w systemie informatycznym poprzez zastosowanie uwierzytelnienia,

4. przydzielanie indywidualnego identyfikatora i hasła każdemu użytkownikowi systemu informatycznego i rejestrowanie przez system czasu logowania użytkownika i rodzaju wprowadzonych przez niego danych,udostępnianie kluczy i uprawnień do wejścia do bazy danych osobowych (serwerowni) tylko pracownikom do tego upoważnionym,

5. stosowanie programu antywirusowego z zaporą antywłamaniową;

6. zabezpieczenie hasłami kont na komputerach oraz używanie kont z ograniczonymi uprawnieniami do ciągłej pracy,

7. ustawienie monitorów stanowisk przetwarzania danych osobowych w sposób uniemożliwiający wgląd w dane osobom nieupoważnionym,

8. automatyczne wygaszanie ekranu i blokowanie nieużywanego komputera po upływie 5 minut;

9. wymuszanie zmiany hasła do systemu informatycznego nie rzadziej niż co 30 dni.

§ 35.

Sposoby zabezpieczenia przed nieautoryzowanym dostępem do baz danych w TNT poprzez Internet

W TNT stosuje się następujące sposoby zabezpieczenia przed nieautoryzowanym dostępem do baz danych w TNT poprzez Internet:

1. logiczne oddzielenie sieci wewnętrznej LAN od sieci zewnętrznej, uniemożliwiające uzyskanie połączenia z bazą danych osobowych spoza systemu informatycznego, jak również uzyskanie dostępu z systemu do sieci rozległej Internet;

2. zastosowanie dwóch poziomów zabezpieczenia sieci:

   1. pierwszy poziom ochrony stanowi lokalna brama sieciowa z zainstalowanym systemem typu firewall — z funkcją analizy charakteru ruchu sieciowego uniemożliwiającym nawiązanie połączenia z chronionymi komputerami oraz blokującym ruch o charakterze niepożądanym lub takim, który może zostać uznany za szkodliwy,

   2. drugi poziom zabezpieczeń stanowią listy dostępu do serwerów baz danych z określonych adresów i puli adresowej.

§ 36.

Sposoby zabezpieczenia przed utratą danych osobowych w wyniku awarii

W TNT stosuje się następujące sposoby zabezpieczenia przed utratą danych osobowych w wyniku awarii:

1. odrębne zasilanie sprzętu komputerowego,

2. ochrona serwerów przed zanikiem zasilania poprzez stosowanie zasilaczy zapasowych UPS,

3. ochrona przed utratą zgromadzonych danych osobowych poprzez cykliczne wykonywanie kopii zapasowych, z których, w przypadku awarii, odtwarzane są dane i system operacyjny,

4. ochrona przed awarią podsystemu dyskowego poprzez używanie macierzy dyskowych,

5. zapewnienie właściwej temperatury i wilgotności powietrza dla pracy sprzętu komputerowego, poprzez zastosowanie przynajmniej jednego klimatyzatora,

6. zastosowanie ochrony przeciwpożarowej poprzez umieszczenie w serwerowniach gaśnic,

7. zwiększenie niezawodności serwerów i urządzeń sieciowych poprzez odpowiednie rozmieszczenie ich w szafach serwerowych.

§ 37.

Organizacyjne sposoby zabezpieczenia ochrony danych osobowych i ich przetwarzania:

1. W TNT stosuje się następujące organizacyjne sposoby zabezpieczenia ochrony danych osobowych i ich przetwarzania:

   1. wyznaczenie IOD, ASI oraz LASI;

   2. zapoznanie każdej osoby z przepisami dotyczącymi ochrony danych osobowych, przed dopuszczeniem jej do pracy przy ich przetwarzaniu,;

   3. przeszkolenie osób w zakresie bezpiecznej obsługi urządzeń i programów związanych z przetwarzaniem i ochroną danych osobowych oraz form zabezpieczenia pomieszczeń i budynków;

   4. zobowiązanie osób upoważnionych do przetwarzania danych osobowych do zachowania w tajemnicy przetwarzanych danych osobowych oraz sposobów ich przetwarzania;

   5. ograniczenie przebywania osób nieuprawnionych w pomieszczeniach, gdzie przetwarzane są dane osobowe w warunkach zapewniających bezpieczeństwo tych danych;

   6. kontrolowanie pomieszczeń, w których przetwarzane są dane osobowe;

   7. prowadzenie ewidencji użytkowników;

   8. opracowanie i wdrożenie Polityki i Instrukcji;

   9. stosowanie pisemnych umów powierzenia przetwarzania danych osobowych dla współpracy z wykonawcami i podwykonawcami przetwarzającymi dane osobowe;

   10. stosowanie upoważnień do przetwarzania danych osobowych.

2. Zasady przebywania pracowników i interesantów na terenie obiektów TNT oraz pobieranie i zdawanie kluczy od pomieszczeń służbowych przez pracowników regulują wewnętrzne procesy przyjęte dla każdej lokalizacji TNT.

§ 38.

Postępowanie w przypadku naruszenia ochrony danych osobowych

1. Pracownicy TNT zobowiązani są do niezwłocznego informowania IOD o każdym przypadku naruszenia przestrzegania Przepisów o ochronie danych osobowych, w tym o każdym przetwarzaniu danych osobowych niezgodnie z prawem, udostępnieniu danych osobowych osobie nieuprawnionej do ich przetwarzania oraz o każdej czynności mogącej lub budzącej wątpliwości w zakresie zgodnego z prawem przetwarzania danych osobowych.

2. IOD analizuje każdy zgłoszony przypadek i ocenia go pod kątem zaistnienia naruszenia Przepisów o ochronie danych osobowych;

3. W przypadku potwierdzenia przez IOD, że doszło do naruszenia Przepisów o ochronie danych osobowych, Kierownik obowiązany jest przekazać do IOD komplet informacji związanych ze stwierdzonym naruszeniem, w szczególności:

   1. opis naruszenia, jego charakter i czas trwania naruszenia;

   2. kategorie danych osobowych, których dotyczyło naruszenie, a nadto w miarę możliwości przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;

   3. ewentualnie liczbę poszkodowanych osób, których dane dotyczą, oraz rozmiar poniesionej przez nie szkody;

   4. umyślny lub nieumyślny charakter naruszenia;

   5. działania podjęte przez Kierownika w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;

   6. wszelkie inne czynniki (obciążające lub łagodzące) mające zastosowanie do okoliczności sprawy, np. osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

4. Potwierdzone przez IOD naruszenie ochrony danych, IOD zobowiązany jest zgłosić Organowi nadzorczemu bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli zgłoszenie będzie organowi przekazane później, to konieczne będzie wyjaśnienie przyczyn opóźnienia.

5. Zgłoszenie powinno, co najmniej:

1. opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;

2. zawierać imię i nazwisko oraz dane kontaktowe IOD;

3. opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;

4. opisywać środki zastosowane lub proponowane przez Administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

5. IOD ma obowiązek dokumentowania wszelkich naruszeń ochrony danych, w tym okoliczności naruszenia, jego skutków i podjętych działań zaradczych. Dokumentacja musi być na tyle szczegółowa, aby na jej podstawie Organ nadzorczy mógł ocenić, czy Administrator wypełnia obowiązki związane ze zgłaszaniem naruszeń.

6. Jeżeli Administrator podejmie decyzję o niezgłaszaniu naruszenia Organowi nadzorczemu ze względu na niskie ryzyko naruszenia praw podmiotów danych, to takie naruszenie ochrony i decyzja powinny być udokumentowane przez IOD.

7. Naruszeń ochrony danych nie trzeba będzie zgłaszać tylko wówczas, gdy jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Przy ocenie prawdopodobieństwa i powagi ryzyka należy uwzględnić przede wszystkim rodzaj i wrażliwość danych osobowych, których dotyczy naruszenie, łatwość w zidentyfikowaniu osób fizycznych, dotkliwość naruszenia dla osób fizycznych, liczbę osób fizycznych dotkniętych naruszeniem, a także szczególne cechy administratora.

8. W przypadkach, jeżeli naruszenie ochrony danych osobowych powoduje wysokie ryzyko naruszenia praw lub wolności osób fizycznych IOD w porozumieniu z Administratorem bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą o takim naruszeniu.

§ 39.

Kontrola przestrzegania ochrony danych osobowych

1. IOD co najmniej raz w roku przeprowadza kontrolę w zakresie przestrzegania przez Pracowników przetwarzających dane osobowe Przepisów prawa o ochronie danych osobowych.

2. Kontrola dokonywana jest w trybie:

   1. kontroli planowej,

   2. kontroli doraźnej w przypadku powzięcia informacji o naruszeniu ochrony danych osobowych,

3. Kontrola polega w szczególności na sprawdzeniu:

   1. czy Pracownicy i inne osoby mające dostęp do danych osobowych przetwarzanych w TNT posiadają odpowiednie upoważnienia do przetwarzania danych osobowych;

   2. czy dane osobowe nie zostały udostępnione nieupoważnionym Pracownikom lub osobom spoza TNT;

   3. wykonywania obowiązku wprowadzenia wymaganych informacji do RCPD;

   4. przestrzegania obowiązku informacyjnego wobec osób, których dane osobowe są przetwarzane w TNT.

4. Przed rozpoczęciem okresu objętego kontrolą planową IOD informuje o tym fakcie Administratora i Kierownika.

5. Po zakończeniu kontroli IOD przygotowuje sprawozdanie pokontrolne i przekazuje je Kierownikowi i Administratorowi.

6. IOD raz w roku przygotowuje, w oparciu o wyniki wszystkich kontroli, sprawozdanie roczne stanu funkcjonowania systemu ochrony danych osobowych w TNT i przekazuje je Administratorowi na koniec I kwartału każdego następującego po kontroli roku.

VIII.Odpowiedzialność karna i dyscyplinarna i postanowienia końcowe

§ 40.

Odpowiedzialność karna i dyscyplinarna

1. Naruszenie przepisów o ochronie danych osobowych jest zagrożone sankcjami karnymi wynikającymi z Przepisów o ochronie danych osobowych oraz w przepisach kodeksu karnego.

2. Niezależnie od odpowiedzialności przewidzianej w przepisach, o których mowa w ust. 1, naruszenie zasad ochrony danych osobowych obowiązujących w TNT może zostać uznane za ciężkie naruszenie podstawowych obowiązków pracowniczych skutkować odpowiedzialnością dyscyplinarną.

§ 41.

Postanowienia końcowe

1. Do spraw nieuregulowanych w Polityce stosuje się przepisy RODO i UODO.

2. Polityka nie wyłącza stosowania innych dokumentów dotyczących zabezpieczenia danych osobowych.