ZR/72/2018

Zarządzenie  Nr 72/2018
Rektora Uniwersytetu Warmińsko-Mazurskiego w Olsztynie
z dnia 26 września 2018 roku

w sprawie zmian w Polityce Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie

Na podstawie § 17 ust. 7 Statutu Uniwersytetu Warmińsko-Mazurskiego w Olsztynie, stanowi się, co następuje:

§ 1

W Polityce Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie, stanowiącej załącznik do Zarządzenia Nr 36/2018 Rektora UWM w Olsztynie z dnia 28 maja 2018 roku w sprawie Polityki Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie:

1) w § 1 ust. 3 dodaje się pkt 10 w brzmieniu:
    „wniosek dotyczący uprawnień w systemie informatycznym.”; 

2)  § 5 ust. 2 otrzymuje brzmienie:
     „Tworzy się strukturę Lokalnych Administratorów Danych, którym przekazuje się – odpowiednio do zakresu realizowanych
       przez nich zadań statutowych – obowiązki i uprawnienia Administratora Danych w rozumieniu ust. 1, w szczególności:
        1)  w zakresie wydawania upoważnień do przetwarzania danych osobowych,
        2)  w zakresie nadzoru nad przetwarzaniem danych osobowych związanym  z wykonywaniem zadań w podległej
             jednostce organizacyjnej.”;
3) w § 5 ust 5 wykreśla się pkt. 3;
4) § 5 ust. 6 otrzymuje brzmienie:
     „Do prowadzenia rejestru czynności przetwarzania stanowiącego załącznik nr 3, który jest zbiorem wszystkich
      związanych z przetwarzaniem danych działań, zobowiązani są:
      1) kierownicy podstawowych jednostek organizacyjnych,
      2) kierownicy jednostek organizacyjnych administracji centralnej, jednostek ogólnouczelnianych i jednostek 
           międzywydziałowych.”;
5) § 6 otrzymuje brzmienie: 

„ § 6

Upoważnienie do przetwarzania danych osobowych i uprawnienia do systemów informatycznych.
1. Upoważnienie do przetwarzania danych osobowych. 
    1) Do przetwarzania danych osobowych w systemie tradycyjnym i informatycznym mogą być dopuszczone osoby
        posiadające upoważnienie wydane przez Administratora Danych lub Lokalnego Administratora Danych.
    2) Upoważnienia wydawane są:
         a)  pracownikom;
         b)  innym osobom, które na mocy stosunku prawnego łączącego ich z Administratorem Danych przetwarzają dane
              osobowe w systemach informatycznych.
    3) Osobom, o których mowa w pkt 2, upoważnienie wydaje się przy łącznym spełnieniu następujących przesłanek:
         a)  przed przystąpieniem do przetwarzania danych osobowych;
         b)  po podpisaniu oświadczenia, którego treść zobowiązuje do zachowania w tajemnicy danych osobowych oraz
              sposobów ich zabezpieczenia. Tajemnica obowiązuje zarówno w trakcie trwania stosunku prawnego
              z Administratorem Danych, jak i po jego ustaniu. Wzór oświadczenia stanowi załącznik nr 5;
         c)  po odbyciu szkolenia z zakresu ochrony danych osobowych, z zastrzeżeniem pkt 4.
    4)  Uznanie szkolenia równorzędnego odbytego poza Uniwersytetem, możliwe jest za zgodą Inspektora Ochrony Danych.
    5)  Upoważnienie ważne jest na obszarze całego Uniwersytetu. Obowiązuje ono na czas trwania stosunku prawnego
         łączącego osobę, o której mowa w pkt 2 z Administratorem Danych.
    6)  Wzór upoważnienia stanowi załącznik nr 4.
    7)  Istnieje generalny zakaz przetwarzania danych osobowych w zakresie szerszym niż wynika to z realizacji czynności
         zleconych przez Administratora Danych. 
    8)  Cofnięcie upoważnienia do przetwarzania danych następuje:
          a) wraz z rozwiązaniem stosunku prawnego łączącego z Administratorem Danych;
          b) na wniosek Inspektora Ochrony Danych;
          c) na umotywowany wniosek bezpośredniego przełożonego;
          d) w przypadku stwierdzenia zawinionego naruszenia ochrony danych osobowych. 
    9)  O każdorazowym cofnięciu upoważnienia do przetwarzania danych osobowych, zmianie stanowiska pracy lub zakresu
         obowiązków, o których mowa w ust. 2 pkt 7, Administrator Danych lub Lokalny Administrator Danych informuje
         właściwego Administratora Systemu Informatycznego, w którym użytkownik miał nadane uprawnienia do systemu
         informatycznego. 
   10) Administrator Danych zleca prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych osobom
         o których mowa w § 5 ust. 6. 
   11) Ewidencja osób upoważnionych do przetwarzania danych osobowych prowadzona jest w formie papierowej lub
         elektronicznej. Zawiera ona aktualny stan nadanych i cofniętych upoważnień do przetwarzania danych. Ewidencja
         powinna zawierać:
            a) imię i nazwisko osoby upoważnionej,
            b) stanowisko,
            c) datę nadania i cofnięcia upoważnienia,
    12) Wzór ewidencji osób upoważnionych do przetwarzania danych osobowych stanowi załącznik nr 6.
2. Uprawnienia do systemów informatycznych.
     1) Administrator Danych lub Lokalny Administrator Danych występuje do Administratora Systemu Informatycznego
         o nadanie uprawnień do systemu informatycznego osobie upoważnionej do przetwarzania danych osobowych.
     2) Wzór wniosku dotyczącego uprawnień w systemie informatycznym stanowi załącznik nr 10.
     3) Administrator Systemu Informatycznego rejestruje użytkownika w systemie i nadaje mu określone uprawnienia, generuje
         tymczasowe hasło oraz wpisuje w ewidencję użytkowników w formie papierowej lub elektronicznej z prawami dostępu
         do systemów informatycznych, która zawiera:
           a) imię i nazwisko użytkownika,
           b) stanowisko,
           c) datę nadania, modyfikacji i cofnięcia uprawnień,
           d) systemy informatyczne, do których użytkownik uzyskał uprawnienia,
           e) poziom nadanych uprawnień,
           f)  informacje, czy użytkownik przetwarza dane osobowe w systemie informatycznym.
     4) Wzór ewidencji użytkowników z uprawnieniami do systemów informatycznych stanowi załącznik nr 7.
     5) Zakres uprawnień użytkownika systemu informatycznego musi być adekwatny do zakresu wykonywanych zadań i nie
         może być on szerszy niż wynika to z realizowanych czynności zleconych przez Administratora Danych.
     6) Do cofnięcia uprawnień w systemach informatycznych stosuje się odpowiednio przepisy, o których mowa
         w § 6 ust. 1 pkt 8.
     7) W przypadku zmiany stanowiska pracy lub zakresu obowiązków osoby upoważnionej do przetwarzania danych
         osobowych, wymagana jest modyfikacja, a w uzasadnionych przypadkach cofnięcie i nadanie nowych uprawnień
         użytkownika. Cofnięcia, modyfikacji i nadania uprawnień dokonuje Administrator Systemu Informatycznego na wniosek
         Administratora Danych lub Lokalnego Administratora Danych. Wzór wniosku stanowi załącznik nr 10. ”;
6) w § 7 wykreśla się ust. 3; 
7) załącznik nr 4 do Polityki Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie
    otrzymuje brzmienie: 

„Olsztyn, dnia ……………….

UPOWAŻNIENIE DO PRZETWARZANIA DANYCH OSOBOWYCH Nr …………….

Na podstawie art. 29 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119, s. 1) – zwanym dalej RODO – upoważniam Panią/Pana:

…………………………………………………………………………………………………

(imię i nazwisko)

………………………………………………………………

(stanowisko)

do przetwarzania danych osobowych w zakresie pełnionych obowiązków służbowych na zajmowanym stanowisku.

Jednocześnie zobowiązuję Panią/Pana do przetwarzania danych osobowych, zgodnie z przepisami o ochronie danych osobowych (RODO i ustawą o ochronie danych osobowych), przepisami Kodeksu pracy, a także Polityką Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie.

Upoważniam Panią/Pana do tworzenia/posiadania dla potrzeb wykonywanej pracy zestawień ewidencji oraz rejestrów z danymi osobowymi, z zachowaniem pełnej ich ochrony, przy zastosowaniu środków technicznych i organizacyjnych wdrożonych w Uniwersytecie Warmińsko-Mazurskim w Olsztynie.

Niniejsze upoważnienie ważne jest na czas trwania stosunku prawnego łączącego Panią/Pana  z Uniwersytetem Warmińsko-Mazurskim w Olsztynie, na mocy którego zostało wydane niniejsze upoważnienie.

…………………………………………

(Podpis osoby uprawnionej do nadania upoważnienia)

Cofnięto, dnia …………………….

…..……………………………………

(Podpis osoby uprawnionej do cofnięcia upoważnienia)”;

8) dodaje się załącznik nr 10 do Polityki Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie w brzmieniu: 

„Wniosek dotyczący uprawnień w systemie informatycznym

Dotyczy systemu:

Pracownik:

 Zakres uprawnień użytkownika w systemie informatycznym.

”.         

§ 2

1. Upoważnienia do przetwarzania danych osobowych wydane na podstawie przepisów dotychczasowych stają się
    upoważnieniami w rozumieniu zmian wprowadzanych niniejszym zarządzeniem. 
2. Tekst jednolity Polityki Bezpieczeństwa Informacji Uniwersytetu Warmińsko-Mazurskiego w Olsztynie stanowi załącznik
    do niniejszego Zarządzenia.

§ 3

Zarządzenie wchodzi w życie z dniem podpisania. 

Rektor

prof. dr hab. Ryszard J. GÓRECKI