Polityka Ochrony Danych Osobowych

System ochrony danych osobowych w Firmie składa się z następujących elementów:

1. Analiza ryzyka przetwarzania danych w Firmie. Dokonano analizy ryzyk łączących się z czynnościami przetwarzania danych dokonywanymi przez administratora (a także w ramach zawartych umów powierzenia – przez procesorów), zbadano możliwości adekwatnego zabezpieczenia tych czynności przed wystąpieniem zdarzeń niepożądanych i dopasowano te zabezpieczenia, wdrażając je do ogólnego systemu działania Firmy. Stwierdzono, że użyte formy zabezpieczeń są wystarczające do obniżenia poziomu ryzyka związanego z przetwarzaniem do niskiego – możliwego do zaakceptowania.
2. Rejestr. Firma opracowuje, prowadzi i utrzymuje Rejestr Czynności Przetwarzania Danych Osobowych, który jest narzędziem rozliczania zgodności z ochroną danych w Firmie.
3. Podstawy prawne. Firma zapewnia, identyfikuje, weryfikuje podstawy prawne przetwarzania danych i rejestruje je w Rejestrze, na bieżąco prowadzi analizę konieczności użycia konkretnych kategorii danych w celu wykonania niezbędnych z punktu widzenia prawa lub wymogów umowy czynności.
4. Obsługa praw jednostki. Firma spełnia obowiązki informacyjne względem osób, których dane przetwarza, oraz zapewnia obsługę ich praw, realizując otrzymane w tym zakresie żądania, w tym:
   • Przekazuje osobom wymagane prawem informacje przy zbieraniu danych i w innych sytuacjach oraz organizuje i zapewnia udokumentowanie realizacji tych obowiązków.
   • Weryfikuje i zapewnia możliwość efektywnego wykonania każdego typu żądania przez siebie i swoich przetwarzających.
   • Zapewnia odpowiednie procedury realizowania w terminach i w sposób wymagany w RODO żądań podmiotów danych oraz dokumentowania tego procesu.
   • Stosuje procedury pozwalające na zidentyfikowanie naruszenia ochrony danych oraz prawidłową obsługę takiego zdarzenia.
5. Minimalizowanie w procesach przetwarzania danych. Firma określiła zasady i metody minimalizowania w każdym zakresie przetwarzania danych, w tym zasady zarządzania prawidłowością danych; zasady zarządzania dostępem do danych; zasady zarządzania okresem przechowywania danych i weryfikacji dalszej przydatności.
6. Bezpieczeństwo. Firma dostosowuje środki ochrony danych do ustalonego ryzyka i stosuje procedury pozwalające na identyfikację, ocenę i zgłoszenie zidentyfikowanego naruszenia ochrony danych Urzędowi Ochrony Danych.
7. Przetwarzający. Firma przestrzega ustalonych zasad doboru przetwarzających dane na jej rzecz, określa wymogi co do warunków przetwarzania i weryfikuje wykonywanie umów powierzenia.
8. Eksport danych. Firma nie przekazuje danych do państw trzecich (czyli poza UE, Norwegię, Liechtenstein, Islandię) lub do organizacji międzynarodowych. W razie, gdy robią to współadministratorzy – czytelnie informuje o tym podmioty danych, dbając o weryfikację odpowiednich zabezpieczeń.
9. Firma uwzględnia konieczność oceny wpływu wprowadzanych zmian na ochronę danych, analizę ryzyka, zapewnienie prywatności (a w tym zgodności celów przetwarzania, bezpieczeństwa danych i minimalizacji) już w fazie projektowania inwestycji czy projektów będących źródłem tych zmian.
10. Przetwarzanie transgraniczne. Firma bada, kiedy zachodzą przypadki przetwarzania transgranicznego oraz zna zasady ustalania wiodącego organu nadzorczego i głównej jednostki organizacyjnej w rozumieniu RODO.

6.1. Dane szczególnych kategorii i dane karne: Firma identyfikuje przypadki przetwarzania danych szczególnych kategorii lub danych karnych oraz utrzymuje systemy działania zapewniające zgodność z prawem przetwarzania tych danych.

6.2. Dane niezidentyfikowane: Firma identyfikuje przypadki, w których przetwarza lub może przetwarzać dane niezidentyfikowane.

6.3. Profilowanie: Firma nie dokonuje profilowania przetwarzanych danych.

6.4. Współadministrowanie: Firma identyfikuje możliwości zaistnienia współadministrowania danymi i postępuje w tym zakresie zgodnie z prawem. Czyni przy tym starania o jasne przedstawienie osobom zakresu współadministrowania oraz wywiązanie się z obowiązków wynikających dla Firmy z umowy współadministrowania.

7.1. Prowadzony przez Firmę RCPD stanowi formę dokumentowania czynności przetwarzania danych, pełni rolę opisu przetwarzania danych i jest jednym z kluczowych elementów umożliwiających realizację zasady rozliczalności.

7.2. RCPD stanowi Załącznik nr 1 do Polityki, jego treść ze względów bezpieczeństwa nie jest podawana do wiadomości publicznej.

8.1. Firma dokumentuje w RCPD podstawy prawne przetwarzania danych dla poszczególnych czynności przetwarzania.

8.2. Wskazując w dokumentach ogólną podstawę prawną (zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie publiczne/władza publiczna, prawnie uzasadniony interes Firmy), dookreśla się podstawę w precyzyjny i czytelny sposób, gdy jest to potrzebne. Np. dla zgody – wskazując jej zakres, gdy podstawą jest prawo – wskazując konkretny przepis i inne dokumenty, np. umowę, porozumienie administracyjne, żywotne interesy – wskazując kategorie zdarzeń, w których się zmaterializują, prawnie uzasadniony interes – wskazując konkretny cel, np. dochodzenie roszczeń.

9.1. Firma dba o czytelność i rzetelność przekazywanych treści i metod komunikacji z osobami, których dane przetwarza.

9.2. Firma ułatwia osobom korzystanie z ich praw poprzez różne działania, w tym: zamieszczenie na stronie internetowej informacji o prawach osób, sposobie skorzystania z danych w Firmie, o wymaganiach dotyczących identyfikacji, metodach kontaktu z administratorem w tym celu, ewentualnym cenniku żądań „dodatkowych” itp.

9.3. Firma dba o dotrzymywanie prawnych terminów realizacji obowiązków względem osób.

9.4. Firma wprowadza adekwatne metody identyfikacji i uwierzytelniania osób dla potrzeb realizacji praw jednostki i obowiązków informacyjnych wykonywanych z uwzględnieniem i poszanowaniem przepisów.

9.5. Firma dokumentuje obsługę obowiązków informacyjnych, zawiadomień i żądań osób.

10.1. – 10.10. Firma wykonuje obowiązki informacyjne przy zbieraniu danych (bezpośrednim i pośrednim), informuje o planowanych zmianach celów, uchyleniach ograniczeń, prawie do sprzeciwu oraz bez zbędnej zwłoki zawiadamia o naruszeniach ochrony danych mogących powodować wysokie ryzyko dla praw i wolności.