Proszę o wzór obowiązującej dokumentacji od 25 maja br. dotycząca RODO w bursie.

Rozporządzenie o ochronie danych osobowych (RODO) określiło wymagania związane z dokumentacją ochrony danych osobowych. Administrator danych powinien przygotować i prowadzić dokumentację, która będzie określała zasady przetwarzania danych osobowych w szkole. RODO nie wskazuje wprost na rodzaje tej dokumentacji, administrator danych decyduje o tym samodzielnie. Istotnie jest jednak to, że wdrożenie zmian musi być uwzględnione w tych dokumentach.

Dokumentacja ta może przykładowo obejmować zasady przetwarzania danych, rejestry przetwarzania danych uwzględniające np. powody przetwarzania danych, kategorie podmiotów danych i danych osób, adresatów danych, a ponadto obowiązującą obecnie politykę bezpieczeństwa i instrukcję zarządzania systemem informatycznym, procedury oceny i zgłaszania incydentu do UODO, w tym rejestr incydentów i naruszeń, a także zgody na przetwarzanie danych.

1. Zasady przetwarzania danych osobowych
To dokument, który w którym administrator danych wskazuje:
• tożsamość administratora i jego dane kontaktowe,
• dane kontaktowe inspektora danych osobowych,
• cele przetwarzania danych, do których mają posłużyć dane osobowe,
• podstawę prawną przetwarzania danych, prawnie uzasadniony interes realizowany przez administratora danych,
• informacje o odbiorcach danych osobowych, którym dane mogą być udostępnione – w przypadku gdy istnieją,
• okres przechowywania danych,
• prawo do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub wniesienia sprzeciwu wobec przetwarzania, a także przenoszenia danych,
• prawo do cofnięcia zgody w dowolnym momencie w przypadku przetwarzania na podstawie zgody na przetwarzanie danych zwykłych lub szczególnej kategorii.
Wdrożenie tego dokumentu dyrektor szkoły może uznać za potwierdzenie wypełniania przez niego obowiązku informacyjnego, o którym mowa w art. 13 RODO. Umożliwia osobom zainteresowanym zapoznanie się szczegółowymi informacjami na temat przetwarzania danych osobowych przez daną szkołę. Tego rodzaju dokument może zawierać odesłanie do formularza, za pomocą którego można zwrócić się o informacje lub wycofać zgodę na przetwarzanie swoich danych.

2. Polityka bezpieczeństwa
To obowiązujący aktualnie w szkole dokument służący wskazaniu środków bezpieczeństwa i procedur bezpiecznego przetwarzania informacji, w tym danych osobowych. Jego ewentualne utrzymanie po zmianie przepisów może umożliwić dyrektorowi wypełnienie obowiązku w zakresie udokumentowania stosowanych przez niego środków technicznych i organizacyjnych mających na celu zapewnienie ochrony przetwarzanych danyych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem RODO oraz zmianą, utratą, uszkodzeniem lub zniszczeniem. W dokumencie tym można zamieścić m.in. wykaz zabezpieczeń fizycznych i technicznych, miejsc, w których dane są przetwarzane, a także programów zastosowanych do przetwarzania danych osobowych. Powinien on zawierać szczegółowe rozwiązania w zakresie bezpieczeństwa danych oraz architekturę systemów zastosowanych do ich przetwarzania. Polityka bezpieczeństwa jest dokumentem o charakterze wewnętrznym. Osoby, które dysponują wiedzą dotyczącą sposobów zabezpieczenia danych w danej szkole, powinny bezwzględnie zachować te informacje w tajemnicy.
Przykładowa polityka bezpieczeństwa znajduje się stronie: www. nadzor-pedagogiczny. pl w zakładce: Zarządzanie placówką. Ochrona danych osobowych.

3. Instrukcja zarządzania systemem informatycznym
W dokumencie tym, także obowiązującym obecnie w szkole, powinny być określone informacje dotyczące procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu, procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania. Analogicznie jak w przypadku polityki bezpieczeństwa, dokument ten powinien być udostępniony selektywnie tylko tym osobom, którym jego zapisy są niezbędne do wykonywania powierzonych im zadań. Przykładowa instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych znajduje się stronie: www. nadzor-pedagogiczny. pl w zakładce: Zarządzanie placówką. Ochrona danych osobowych.

4. Rejestr incydentów i naruszeń
Naruszenie na gruncie RODO oznacza takie zdarzenia, jak: włamanie do systemu informatycznego, zagubienie przenośnego komputera, wysłanie informacji do niewłaściwego adresata. Obowiązek ten pod rządami ustawy o ochronie danych nie występuje w szkole. RODO zmienia jednak ten stan prawny, wprowadzając obowiązek zgłoszenia naruszenia (obowiązek dyrektora szkoły) do organu nadzorującego (UODO).
Przykładowy rejestr incydentów i naruszeń może zawierać następujące informacje:
• tytuł,
• data i godzina,
• zgłaszający,
• miejsce,
• szczegóły dotyczące incydentu: okoliczności naruszenia, charakter tego naruszenia, kategorie osób, liczba osób, liczba wpisów,
• konsekwencje i środki: możliwe konsekwencje, zastosowane środki bezpieczeństwa, proponowane środki bezpieczeństwa,
• określenie ewentualnego zawiadomienia: organu nadzorczego, administratora danych osobowych, osoby, której dane dotyczą,
• inne informacje/dane.

5. Rejestr czynności przetwarzania danych osobowych
Przetwarzanie szczególnych kategorii danych osobowych (tzw. danych wrażliwych) nakłada na dyrektora szkoły obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych w formie pisemnej, w tym elektronicznej. W rejestrze tym, zgodnie z RODO, należy zamieścić w szczególności:
• cele przetwarzania danych,
• opis kategorii osób, których dane dotyczą,
• kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione,
• planowane terminy usunięcia poszczególnych kategorii danych – o ile to możliwe,
• zastosowane środki techniczne i organizacyjne stosowane w celu ochrony danych.
Przykładowy rejestr czynności przetwarzania danych osobowych w szkole:

6. Umowa na przetwarzanie danych związanych z powierzeniem przetwarzania danych
Szkoły korzystają z usług innych podmiotów, które wykonują na ich zlecenie usługi związane m.in. z prowadzeniem dziennika elektronicznego, obsługą BHP, księgowością. W takich przypadkach zleceniodawca, jako administrator danych osobowych, jest zobowiązany do zawarcia umowy powierzenia z podmiotem zewnętrznym jako podmiotem przetwarzającym (procesorem). RODO znacznie rozbudowuje umowę powierzenia, czyniąc ją bardziej szczegółową od umowy zawieranej na gruncie ustawy o ochronie danych osobowych.
Przykładowa zawartość umowy, zgodnie z zapisami art. 28 RODO, na usługę "dziennik elektroniczny:
• szczegółowy opis procesu powierzenia przetwarzania danych,
• przedmiot przetwarzania danych osobowych,
• czas obowiązywania umowy,
• charakter przetwarzania danych (forma elektroniczna przy wykorzystaniu systemów informatycznych),
• cel (realizacja umowy na usługę dziennik elektroniczny),
• rodzaj danych osobowych (dane zwykłe),
• kategorie osób, których dane dotyczą (uczniowie, nauczyciele, rodzice),
• obowiązki i prawa administratora (prawo kontroli warunków przetwarzania danych osobowych, obowiązek sprawdzania merytorycznej poprawności powierzonych danych osobowych),
• obowiązki i uprawnienia procesora (przetwarzanie danych osobowych wyłącznie na udokumentowane polecenie administratora, zapewnienie, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy, podejmowanie wymaganych środków zabezpieczających przetwarzane dane osobowe, pomoc administratorowi w wywiązywaniu się z obowiązków wobec osób, których dane dotyczą, po zakończeniu świadczenia usług związanych z przetwarzaniem usunięcie lub zwrot wszelkich danych osobowych oraz usunięcie ich istniejących kopii – zależnie od decyzji administratora),
• kary umowne za naruszenie postanowień umowy.