Zarządzenie Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

W sprawie polityki bezpieczeństwa informacji, instrukcji zarządzania systemem informatycznym oraz innej dokumentacji dotyczącej przetwarzania danych osobowych.

		Na podstawie §3 ust.3, §4, §5 oraz na podstawie pkt. I ust. 2 załącznika rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakimi powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. Nr 100, poz. 1024), a także na podstawie art. 37 i art. 39 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) zarządza się co następuje: 

		§ 1. Przyjąć politykę bezpieczeństwa informacji w brzmieniu stanowiącym załącznik Nr 1 do niniejszego zarządzenia.

		§ 2. Przyjąć instrukcję zarządzania systemami informatycznymi służącymi do przetwarzania danych w Urzędzie Gminy Ostróda, stanowiącą załącznik Nr 2 do niniejszego zarządzenia.

		§ 3. Zobowiązać administratora bezpieczeństwa informacji do:
	
		a. udzielania upoważnień dopuszczających pracowników Urzędu Gminy do przetwarzania danych osobowych i włączenia ich do dokumentacji personalnej osób przetwarzających dane osobowe. Wzór upoważnienia określa załącznik Nr 3 do niniejszego zarządzenia. Kopia upoważnienia musi być potwierdzona oraz zawierać informację o wpisie upoważnienia do rejestru. Wzór potwierdzonego upoważnienia stanowi załącznik Nr 4 do niniejszego zarządzenia.

		b. prowadzenia rejestru wydawanych upoważnień. Wzór rejestru określa załącznik Nr 5 do niniejszego zarządzenia.

		c. wydawania pozwoleń na przebywanie osobom nieuprawnionym w obszarze, w którym przetwarzane są dane osobowe podczas nieobecności osób uprawnionych do przetwarzania danych osobowych. Wzór pozwolenia stanowi załącznik Nr 6 do niniejszego zarządzenia. 

		d. sporządzania raportów w razie naruszenia bezpieczeństwa systemu informatycznego w Urzędzie Gminy Ostróda. Wzór raportu stanowi załącznik nr 7 do niniejszego zarządzenia. 

		e. realizacji innych zadań nałożonych na administratora przez ustawę o ochronie danych osobowych.

		§ 4.1. Zobowiązać wszystkich pracowników upoważnionych do przetwarzania danych, bądź upoważnionych do przebywania w obszarze przetwarzania danych osobowych pod nieobecność osób upoważnionych do przetwarzania tych danych, do przestrzegania polityki bezpieczeństwa i instrukcji zarządzania systemami informatycznymi stanowiącymi załącznik Nr 1 i 2 do niniejszego zarządzenia oraz postanowień ustawy o ochronie danych osobowych i przepisów wykonawczych wydanych na ich podstawie. 

		2. Wzór oświadczenia o zapoznaniu się ze wszystkimi wymogami w zakresie opisanym w § 4. przez pracowników upoważnionych do przetwarzania danych, bądź upoważnionych do przebywania w obszarze przetwarzania danych osobowych pod nieobecność osób upoważnionych do przetwarzania tych danych stanowi załącznik Nr 8 do niniejszego zarządzenia. 

		§ 5. Zarządzenie wchodzi w życie z dniem podjęcia.

Załącznik I
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

Polityka bezpieczeństwa przetwarzania danych osobowych w Urzędzie Gminy Ostróda	

Realizując postanowienia ustawy o ochronie danych osobowych oraz wydane w oparciu o delegację ustawową przepisy rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informacyjne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), postanawiam wprowadzić reguły oraz zasady pozwalające na zapewnienie ochrony danych osobowych w Urzędzie Gminy Ostróda 

Zobowiązuję

wszystkie osoby posiadające upoważnienie wydane przez ABI do bezwzględnego przestrzegania podanych w niniejszym opracowaniu reguł i zasad tworzących politykę bezpieczeństwa do bezwzględnego ich przestrzegania.

I. Część ogólna

1. Postanawiam objąć w ramach polityki bezpieczeństwa dane osobowe, którymi zgodnie z ustawą wymienioną na wstępie są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

2. Stosować reguły i zasady do przetwarzania danych osobowych prowadzonych zarówno w kartotekach, skorowidzach, księgach, wykazach i innych zbiorach ewidencyjnych, jak i w systemach informatycznych, także w przypadku przetwarzania danych poza zbiorem danych.

3. Celem polityki bezpieczeństwa jest takie postępowanie, aby osoby upoważnione do przetwarzania danych osobowych w pełni zabezpieczyły dostęp do nich przed osobami nieupoważnionymi i zabezpieczyły je oraz gromadziły w zbiorach zgodnie z wymogami ustawy.

4. Traktować całokształt działań jako ochronę prywatności osób, których dane są przetwarzane oraz jako wymóg ustawowy.
 
5. Osobą odpowiedzialną za właściwy i niezakłócony przebieg przetwarzania danych w urzędzie jest Administrator Danych Osobowych, który wyznaczył w tym celu Administratora Bezpieczeństwa Informacji, który w Urzędzie Gminy Ostróda pełni także funkcję ASI.

II. Definicje

1. Ilekroć mowa w niniejszym dokumencie o:

a) Urzędzie - należy przez to rozumieć Urząd Gminy z siedzibą w Ostródzie.

b) Administratorze Bezpieczeństwa Informacji (ABI) - należy przez to rozumieć pracownika urzędu wyznaczonego przez Administratora Danych Osobowych do nadzorowania przestrzegania zasad określonych w Zarządzeniu Nr 43a/04 Wójta Gminy Ostróda z dnia1 maja 2004r.

c) Administratorze Systemu Informatycznego (ASI) - należy przez to rozumieć pracownika odpowiedzialnego za funkcjonowanie systemu informatycznego w Urzędzie Gminy Ostróda oraz stosowanie technicznych i organizacyjnych środków ochrony przewidzianym w tym systemie,

d) Użytkowniku systemu - należy przez to rozumieć osobę upoważnioną do przetwarzania danych osobowych w urzędzie. Użytkownikiem może być pracownik urzędu, osoba wykonująca pracę na podstawie umowy zlecenia lub innej umowy cywilno-prawnej, osoba odbywająca staż w urzędzie lub wolontariusz.

e) Sieci lokalnej - należy przez to rozumieć połączenie systemów informatycznych urzędu wyłącznie dla własnych jej potrzeb przy wykorzystaniu urządzeń i sieci telekomunikacyjnych.

f) Sieci rozległej - należy przez to rozumieć sieć publiczną w rozumieniu ustawy z dnia 21 lipca 2000 r. - Prawo telekomunikacyjne (Dz. U. Nr 73, poz. 852, z późn. zm.).

III. Obszar przetwarzania danych osobowych

1. Do obszaru przetwarzania danych osobowych należą:

a) pomieszczenia budynku Urzędu Gminy Ostróda znajdującego się przy ulicy Mickiewicza 24 w Ostródzie.

b) pomieszczenia w których przetwarza się dane osobowe stanowią następujące pokoje: 

- parter - Pok. Nr 3, 4, 7;

- I piętro - Pok. Nr 9, 12, 13;

- II piętro - Pok. Nr 15, 16, 17, 18, 19, 20, 21.

IV. Wykaz zbiorów danych osobowych przetwarzanych w urzędzie

1. W urzędzie zbierane są dane zawierające informacje o mieszkańcach Gminy Ostróda. Dane te tworzą następujące zbiory:

a) Rejestr przedpoborowych i poborowych - Rejestr jest zarejestrowany w referacie Spraw Obywatelskich. 

b) Oświadczenia o stanie majątkowym radnych - Rejestr jest zarejestrowany w referacie Organizacyjnym. 

c) Rejestr skarg i wniosków - Rejestr jest zarejestrowany w referacie Organizacyjnym. 

d) Ewidencja podatków, płatników i dłużników - Rejestr jest zarejestrowany w referacie Finansowym. 

e) Rejestr zaświadczeń - Rejestr jest zarejestrowany w referacie Finansowym. 

f) Zbiór kart osobowych mieszkańca - Rejestr jest zarejestrowany w referacie Spraw Obywatelskich. 

g) Rejestr decyzji o warunkach zabudowy i zagospodarowania terenu - Rejestr jest zarejestrowany w referacie Rolnictwa, gospodarki gruntami i przestrzennej. 

h) Ewidencja numerów porządkowych nieruchomości - Rejestr jest zarejestrowany w referacie Rolnictwa, gospodarki gruntami i przestrzennej. 

i) Ewidencja gruntów i budynków - Rejestr jest zarejestrowany w referacie Rolnictwa, gospodarki gruntami i przestrzennej. 

j) Dziennik korespondencyjny - Rejestr jest zarejestrowany w referacie Organizacyjnym. 

k) Sołectwa - Rejestr jest zarejestrowany w referacie Organizacyjnym.

2. Do przetwarzania danych osobowych w urzędzie zastosowano aplikacje firmy ZETO, ROMAD, GEOBID, które pracują pod kontrolą systemu operacyjnego z serii Microsoft Windows w powiązaniu z aplikacją sieciową Novell. 

V. Struktura zbioru danych osobowych i powiązania między nimi

1. Struktura zbiorów danych osobowych

a) Struktura Rejestru przedpoborowych i poborowych:

- nazwiska i imiona,

- imię ojca,

- rok urodzenia,

- adres zamieszkania lub pobytu,

- zawód,

- wykształcenie,

- kategoria zdrowia,

- numer i seria książeczki wojskowej.

b) Struktura Rejestru Oświadczenia o stanie majątkowym radnych:

- nazwiska i imiona,

- data urodzenia,

- seria i numer dowodu osobistego,

- adres zamieszkania lub pobytu,

- miejsce pracy,

- zasoby pieniężne,

- nieruchomości,

- udziały i akcje w spółkach prawa handlowego,

- mienie nabyte od Skarbu Państwa,

- prowadzona działalność gospodarcza,

- inne dane o stanie majątkowym.

c) Struktura Rejestru Skarg i wniosków:

- nazwiska i imiona,

- adres zamieszkania lub pobytu.

d) Struktura Rejestru Ewidencja podatków, płatników i dłużników:

- nazwiska i imiona,

- imiona rodziców,

- adres zamieszkania lub pobytu. 

e) Struktura Rejestru Zaświadczeń:

- nazwiska i imiona,

- adres zamieszkania lub pobytu.

f) Struktura Rejestru Zbiór kart osobowych mieszkańca:

- nazwiska i imiona,

- imiona rodziców,

- data urodzenia,

- adres zamieszkania lub pobytu,

- numer ewidencyjny PESEL,

- miejsce pracy,

- zawód,

- wykształcenie,

- seria i numer dowodu osobistego,

- nazwisko rodowe oraz nazwiska i imiona poprzednie wraz z datą zmiany, organem rejestracyjnym, jego siedzibą i numerem aktu zmiany,

- nazwisko i nazwiska rodowe ojca i matki,

- miejsce urodzenia, siedziba urzędu rejestrującego urodzenie, numer i data sporządzenia aktu urodzenia.

g) Struktura Rejestru Decyzji o warunkach zabudowy i zagospodarowania terenu:

- nazwiska i imiona, 

- adres zamieszkania lub pobytu,

h) Struktura Rejestru Ewidencja numerów porządkowych nieruchomości:

- nazwisko i imiona,

- adres zamieszkania.

i) Struktura Rejestru Ewidencja Gruntów i budynków:

- nazwiska i imiona,

- imię ojca,

- adres zamieszkania lub pobytu,

- numer ewidencyjny PESEL.

j) Struktura Rejestru Dziennik korespondencyjny:

- nazwiska i imiona,

- adres zamieszkania lub pobytu.

k) Struktura Rejestru Sołectwa:

- nazwiska i imiona,

- adres zamieszkania lub pobytu.

2. Powiązania między zbiorami.

a) Rejestr Przedpoborowych i Poborowych powiązany jest z Rejestrem Kart osobowych mieszkańca.

b) Rejestr Oświadczenia o stanie majątkowym radnych funkcjonuje jako niezależny zbiór.

c) Rejestr Skarg i wniosków funkcjonuje jako niezależny zbiór.

d) Rejestr Ewidencja podatków, płatników i dłużników powiązany jest z Rejestrem Zbiór kart osobowych mieszkańca oraz z Rejestrem Ewidencja gruntów i budynków. 

e) Rejestr Zaświadczeń powiązany jest z Rejestrem Ewidencja podatków, płatników i dłużników.

f) Rejestr Zbiór kart osobowych mieszkańca powiązany jest z Rejestrem Ewidencja gruntów i budynków, Rejestrem Przedpoborowych i poborowych, Rejestrem Ewidencja podatków, płatników i dłużników, Rejestrem Sołectwa.

g) Rejestr Decyzji o warunkach zabudowy i zagospodarowania terenu powiązany jest z Rejestrem Ewidencja gruntów i budynków, Rejestrem Ewidencja numerów porządkowych nieruchomości.

h) Rejestr Ewidencja numerów porządkowych nieruchomości powiązany jest z Rejestrem Ewidencja gruntów i budynków.

i) Rejestr Ewidencja gruntów i budynków powiązany jest z Rejestrem Ewidencja numerów porządkowych nieruchomości, Rejestrem Decyzji o warunkach zabudowy i zagospodarowania terenu

j) Rejestr Dziennik korespondencyjny funkcjonuje jako niezależny zbiór

k) Rejestr Sołectwa powiązany jest z Rejestrem Zbiór kart osobowych mieszkańca.

VI. Sposób przepływu danych pomiędzy poszczególnymi systemami

1. Sposób przepływu danych pomiędzy poszczególnymi systemami.

a) Rejestr Przedpoborowych i Poborowych

Rejestr Kart osobowych mieszkańca

Rejestr Przedpoborowych i poborowych

b) Rejestr Oświadczenia o stanie majątkowym radnych.

Rejestr Oświadczenia o stanie majątkowym radnych

Radni

c) Rejestr Skarg i wniosków.

Rejestr Skarg i wniosków

Mieszkańcy, obywatele, petenci

d) Rejestr Ewidencja podatków, płatników i dłużników.

Starostwo Powiatowe w Ostródzie

Rejestr Zbiór kart osobowych mieszkańca

Rejestr Ewidencja gruntów i budynków

Rejestr Ewidencja podatków, płatników i dłużników

e) Rejestr Zaświadczeń.

Rejestr Ewidencja podatków, płatników i dłużników

Rejestr Zaświadczeń

f) Rejestr Zbiór kart osobowych mieszkańca.

Rejestr Zbiór kart osobowych mieszkańca

Starostwo Powiatowe w Ostródzie

Rejestr Przedpoborowych i poborowych

Rejestr Ewidencja gruntów i budynków

Rejestr Ewidencja podatków, płatników i dłużników

Rejestr Sołectwa

g) Rejestr Decyzji o warunkach zabudowy i zagospodarowania terenu.

Starostwo Powiatowe w Ostródzie

Rejestr Decyzji o warunkach zabudowy i zagospodarowania terenu

Rejestr Ewidencja gruntów i budynków

Rejestr Ewidencja numerów porządkowych nieruchomości

h) Rejestr Ewidencja numerów porządkowych nieruchomości.

Rejestr Ewidencja numerów porządkowych nieruchomości

Rejestr Ewidencja gruntów i budynków

i) Rejestr Ewidencja gruntów i budynków.

Rejestr Ewidencja numerów porządkowych nieruchomości

Rejestr Decyzji o warunkach zabudowy i zagospodarowania terenu

Rejestr Ewidencja gruntów i budynków

Starostwo Powiatowe w Ostródzie

j) Rejestr Dziennik korespondencyjny funkcjonuje jako niezależny zbiór

Rejestr Dziennik korespondencyjny

Mieszkańcy, obywatele, petenci

k) Rejestr Sołectwa powiązany jest z Rejestrem Zbiór kart osobowych mieszkańca.

Sołectwa

Rejestr Zbiór kart osobowych mieszkańca

VII. Środki techniczne i organizacyjne niezbędne do zapewnienia poufności, integralności i rozliczalności danych przetwarzanych w urzędzie

A. Środki ochrony fizycznej

1. Dostęp do budynku, w którym zlokalizowany jest obszar przetwarzania danych osobowych jest nadzorowany przez pracowników ochrony i dozorców przez całą dobę.

2. Urządzenia służące do przetwarzania danych osobowych znajdują się w pomieszczeniach zabezpieczonych zamkami patentowymi.

3. W pokojach Nr 4 i 21 zastosowano kasy pancerne do przechowywania kopii zapasowych i wymiennych nośników danych.

4. Dostęp do pokojów Nr 4 i 21 jest zabezpieczony opuszczaną stalową żaluzją na drzwi wejściowe.

5. W pokojach nr 4 i 21 zainstalowano system zamka elektronicznego otwieranego na hasło.

6. Okna w pokoju Nr 4, 21, 3, 5 zabezpieczone są kratami.

B. Środki sprzętowe, informatyczne i telekomunikacyjne

1. Zastosowano niszczarki dokumentów.

2. Urządzenia wchodzące w skład systemu informatycznego podłączone są do odrębnego obwodu elektrycznego, zabezpieczonego na wypadek zaniku napięcia albo awarii w sieci zasilającej.

3. Komputery, za pomocą, których przetwarza się bądź przechowuje dane osobowe są włączone do sieci lokalnej (Ethernet) w topologii gwiazdy niepołączonej z Internetem.

4. Dane są przetwarzane w sposób scentralizowany z serwera zamkniętego na klucz w specjalnej szafie stojącej znajdującej się w sali konferencyjnej przy gabinecie Wójta.

5. Kopie awaryjne wykonywane są na nośnikach wymiennych przechowywanych w kasach pancernych.

C. Środki ochrony w ramach oprogramowania systemu

1. Dostęp fizyczny do bazy danych osobowych zastrzeżony jest wyłącznie dla ASI urzędu pełniącego także obowiązki ABI.

2. Konfiguracja systemu umożliwia użytkownikom końcowym dostęp do danych osobowych jedynie za pośrednictwem aplikacji sieciowej Novell.

3. Tworzenie kopii zapasowych zbiorów danych osobowych dokonywane jest automatycznie każdego dnia przy użyciu skryptów BAT.

4. System informatyczny pozwala zdefiniować odpowiednie prawa dostępu do zasobów informatycznych systemu.

5. Zastosowano działający w „tle” program antywirusowy na komputerach użytkowników, w których przetwarza się bądź przechowuje dane osobowe.

6. W systemie operacyjnym zastosowano mechanizm wymuszający okresową zmianę haseł dostępu do sieci.

D. Środki ochrony w ramach narzędzi baz danych i innych narzędzi programowych

1. Zastosowano identyfikator i hasło dostępu do danych na poziomie aplikacji.

2. Dla każdego użytkownika systemu jest ustalony odrębny identyfikator.

3. Zdefiniowano użytkowników i ich prawa dostępu do danych osobowych na poziomie aplikacji.

E. Środki ochrony w ramach systemu użytkowego

1. Zastosowano wygaszanie ekranu wraz z zabezpieczeniem na hasło w przypadku dłuższej nieaktywności użytkownika.

2. Komputer, z którego możliwy jest dostęp do danych osobowych zabezpieczony jest hasłem uruchomieniowym.

F. Środki organizacyjne

1. Ustalono instrukcję zarządzania systemem informatycznym w urzędzie.

2. Wójt pełniący zadania Administratora Danych Osobowych (ADO) w urzędzie wyznaczył Zarządzeniem Administratora Danych Osobowych Nr 2 z dnia 2 kwietnia 2003r., Pana Artura Jabłonkę na Administratora Bezpieczeństwa Informacji (ABI), który w urzędzie pełni także obowiązki Administratora Systemów Informatycznych (ASI).

3. ABI prowadzi rejestr wszystkich haseł w formie papierowej, na bieżąco wprowadza w nim zmiany i przechowuje go w kasie pancernej w pok. nr 4. 

4. Każdy pracownik urzędu mający uprawnienia i możliwości zmiany swojego hasła w biosie, programie czy wygaszaczu ekranu ma obowiązek w trybie pilnym powiadomić o tym ABI.

4. ABI prowadzi rejestr wystawionych przez niego i podpisanych przez ADO upoważnień dla pracowników urzędu w celu dopuszczenia ich do przetwarzania danych osobowych, bądź do przebywania w pomieszczeniach gdzie przetwarza się dane osobowe pod nieobecność osób upoważnionych do przetwarzania tych danych. 

5. Oryginalne dokumenty upoważnień dołączane są do dokumentacji personalnej pracownika.

6. Pracownicy urzędu nie posiadający wymaganych upoważnień do przetwarzania danych osobowych, bądź do przebywania w pomieszczeniach gdzie przetwarza się dane osobowe pod nieobecność osób upoważnionych do przetwarzania tych danych, w procesie uzyskiwania tych upoważnień zgłaszają się do ABI w celu odbycia szkolenia w zakresie obwiązujących przepisów o ochronie danych osobowych, procedur przetwarzania danych, a następnie świadomi odpowiedzialności karnej wynikającej z tej ustawy podpisują odpowiednie oświadczenie potwierdzające odbycie szkolenia i zaznajomienie się ze wszystkimi implikacjami wynikającymi z jej realizacji.  

7. Oryginalne dokumenty oświadczeń wydawane przez ABI potwierdzające odbycie szkolenia i zaznajomienie się ze wszystkimi implikacjami wynikającymi z ustawy o ochronie danych osobowych muszą być włączone do dokumentacji personalnej pracownika, natomiast kopie tych dokumentów przechowuje ABI. 

8. Opracowano procedurę postępowania w przypadku naruszenia ochrony danych osobowych:

a) Każdy pracownik urzędu, który poweźmie wiadomość w zakresie naruszenia bezpieczeństwa danych przez osobę przetwarzającą dane osobowe bądź posiada informację mogącą mieć wpływ na bezpieczeństwo danych osobowych jest zobowiązany fakt ten niezwłocznie zgłosić ABI.

b) W razie niemożliwości zawiadomienia ABI lub osoby przez niego upoważnionej, należy powiadomić bezpośredniego przełożonego.

c) Do czasu przybycia na miejsce naruszenia ochrony danych osobowych ABI lub upoważnionej przez niego osoby, należy:

- niezwłocznie podjąć czynności niezbędne dla powstrzymania niepożądanych skutków zaistniałego naruszenia, o ile istnieje taka możliwość, a następnie uwzględnić w działaniu również ustalenie przyczyn lub sprawców;

- rozważyć wstrzymanie bieżącej pracy na komputerze lub pracy biurowej w celu zabezpieczenia miejsca zdarzenia;

- zaniechać - o ile to możliwe - dalszych planowanych przedsięwzięć, które wiążą się z zaistniałym naruszeniem i mogą utrudnić udokumentowanie i analizę;

- podjąć inne działania przewidziane i określone w instrukcjach technicznych i technologicznych stosownie do objawów i komunikatów towarzyszących naruszeniu;

- podjąć stosowne działania, jeśli zaistniały przypadek jest określony w dokumentacji systemu operacyjnego, dokumentacji bazy danych lub aplikacji użytkowej;

- zastosować się do innych instrukcji i regulaminów, jeżeli odnoszą się one do zaistniałego przypadku;

- udokumentować wstępnie zaistniałe naruszenie;

- nie opuszczać bez uzasadnionej potrzeby miejsca zdarzenia do czasu przybycia ABI lub osoby upoważnionej;

d) Po przybyciu na miejsce naruszenia lub ujawnienia ochrony danych osobowych, ABI lub osoba go zastępująca:

- zapoznaje się z zaistniałą sytuacją i dokonuje wyboru metody dalszego postępowania mając na uwadze ewentualne zagrożenia dla prawidłowości pracy urzędu;

- może żądać dokładnej relacji z zaistniałego naruszenia od osoby powiadamiającej, jak również od każdej innej osoby, która może posiadać informacje związane z zaistniałym naruszeniem;

- rozważa celowość i potrzebę powiadamia o zaistniałym naruszeniu ADO;

- nawiązuje bezpośredni kontakt, jeżeli zachodzi taka potrzeba, ze specjalistami spoza urzędu.

e) ABI dokumentuje zaistniały przypadek naruszenia sporządzając raport, który powinien zawierać w szczególności:

- wskazanie osoby powiadamiającej o naruszeniu oraz innych osób zaangażowanych lub odpytanych w związku z naruszeniem;

- określenie czasu i miejsca naruszenia i powiadomienia;

- określenie okoliczności towarzyszących i rodzaju naruszenia;

- wyszczególnienie wziętych faktycznie pod uwagę przesłanek do wyboru metody postępowania i opis podjętego działania;

- wstępną ocenę przyczyn wystąpienia naruszenia;

- ocenę przeprowadzonego postępowania wyjaśniającego i naprawczego.

9. Raport, o którym mowa w pkt. e, ABI niezwłocznie przekazuje ADO (Wójtowi), który zapoznaje się z przyczynami i konsekwencjami zdarzenia.

10. Po wyczerpaniu niezbędnych środków doraźnych po zaistniałym naruszeniu ABI zasięga niezbędnych opinii i proponuje postępowanie naprawcze, a w tym ustosunkowuje się do kwestii ewentualnego odtworzenia danych z zabezpieczeń oraz terminu wznowienia przetwarzania danych.

11. Zaistniałe naruszenie może stać się przedmiotem szczegółowej, zespołowej analizy prowadzonej przez kierownictwo urzędu, ABI, Pełnomocnika ds. Ochrony Informacji Niejawnych.

12. Analiza, o której mowa w pkt. 11, powinna zawierać wszechstronną ocenę zaistniałego naruszenia, wskazanie odpowiedzialnych, wnioski co do ewentualnych przedsięwzięć proceduralnych, organizacyjnych, kadrowych i technicznych, które powinny zapobiec podobnym naruszeniom w przyszłości.

VIII. Postanowienia końcowe

1. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, a także gdy nie zrealizowała stosownego działania dokumentującego ten przypadek, wszczyna się postępowanie dyscyplinarne.

2. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszego dokumentu mogą być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, w szczególności przez osobę, która wobec naruszenia zabezpieczenia systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie powiadomiła o tym ABI.

3. Orzeczona kara dyscyplinarna, wobec osoby uchylającej się od powiadomienia ABI nie wyklucza odpowiedzialności karnej tej osoby zgodnie z ustawą z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926 z póź. zm.) oraz możliwości wniesienia wobec niej sprawy z powództwa cywilnego przez pracodawcę o zrekompensowanie poniesionych strat.

4. W sprawach nie uregulowanych niniejszym dokumentem mają zastosowanie przepisy ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926 z póź. zm.), rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024).

Załącznik II
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

Instrukcja zarządzania systemem informatycznym w Urzędzie Gminy Ostróda 

Wprowadzenie

Niniejszy dokument jest wewnętrznym dokumentem wydanym przez Wójta Gminy Ostróda i przeznaczonym dla osób zatrudnionych przy przetwarzaniu danych osobowych w Urzędzie Gminy Ostróda. Opracowanie jest zgodne z następującymi aktami prawnymi:

1. Ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. Nr 101, z 2002 r., poz. 926 z póź. zm.),

2. Ustawą o ochronie informacji niejawnych z dnia 22 stycznia 1999 r. (Dz. U. Nr 11, poz. 95 z późn. zm.),

3. Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024),

Niniejszy dokument reguluje sprawy ochrony danych osobowych zawartych w systemach informatycznych eksploatowanych w lokalnych sieciach komputerowych Novell Netware, Microsoft Windows oraz zbiorów danych zapisanych w postaci elektronicznej i papierowej w Urzędzie Gminy Ostróda. 

	I. Definicje

1. Ilekroć mowa w niniejszym dokumencie o:

a) Urzędzie - należy przez to rozumieć Urząd Gminy z siedzibą w Ostródzie.

b) Administratorze Bezpieczeństwa Informacji (ABI) - należy przez to rozumieć pracownika urzędu wyznaczonego przez Administratora Danych Osobowych do nadzorowania przestrzegania zasad określonych w Zarządzeniu Nr 43a/04 Wójta Gminy Ostróda z dnia 1 maja 2004r.

c) Administratorze Systemu Informatycznego (ASI) - należy przez to rozumieć pracownika odpowiedzialnego za funkcjonowanie systemu informatycznego w Urzędzie Gminy Ostróda oraz stosowanie technicznych i organizacyjnych środków ochrony przewidzianych w tym systemie,

d) Użytkowniku systemu - należy przez to rozumieć osobę upoważnioną do przetwarzania danych osobowych w urzędzie. Użytkownikiem może być pracownik urzędu, osoba wykonująca pracę na podstawie umowy zlecenia lub innej umowy cywilno-prawnej, osoba odbywająca staż w urzędzie lub wolontariusz.

e) Sieci lokalnej - należy przez to rozumieć połączenie systemów informatycznych urzędu wyłącznie dla własnych jej potrzeb przy wykorzystaniu urządzeń i sieci telekomunikacyjnych.

f) Sieci rozległej - należy przez to rozumieć sieć publiczną w rozumieniu ustawy z dnia 21 lipca 2000 r. - Prawo telekomunikacyjne (Dz. U. Nr 73, poz. 852, z późn. zm.).

II. Procedury nadawania i zmiany uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym urzędu

A. Podstawowe zasady nadawania uprawnień w urzędzie

1. Każdy użytkownik systemu przed przystąpieniem do przetwarzania danych osobowych musi zapoznać się z:

a) Ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 Nr 101, poz. 926 z późn. zm.),

b) Zarządzeniem Nr 43a/04 Wójta Gminy Ostróda z dnia 1 maja 2004r. w sprawie polityki bezpieczeństwa informacji, instrukcji zarządzania systemem informatycznym oraz innej dokumentacji dotyczącej przetwarzania danych osobowych.

2. Użytkownicy systemu nie posiadający wymaganych upoważnień do przetwarzania danych osobowych, bądź do przebywania w pomieszczeniach gdzie przetwarza się dane osobowe pod nieobecność osób upoważnionych do przetwarzania tych danych, w procesie uzyskiwania tych upoważnień zgłaszają się do ABI w celu odbycia szkolenia w zakresie obwiązujących przepisów o ochronie danych osobowych, procedur przetwarzania danych, a następnie świadomi odpowiedzialności karnej wynikającej z tej ustawy podpisują odpowiednie oświadczenie potwierdzające odbycie szkolenia i zaznajomienie się ze wszystkimi implikacjami wynikającymi z jej realizacji. 

3. Oryginalne dokumenty oświadczeń wydawane przez ABI potwierdzające odbycie szkolenia i zaznajomienie się ze wszystkimi konsekwencjami wynikającymi z ustawy o ochronie danych osobowych są włączane do dokumentacji personalnej pracownika, natomiast kopie tych dokumentów przechowuje ABI.

B. Procedura nadawania uprawnień do przetwarzania danych osobowych.

1. ABI jest informowany przez pracownika ds. kadr w urzędzie o zatrudnieniu nowego pracownika, bądź przyjęcia stażysty do pracy w urzędzie. Informacja musi zawierać proponowany okres zatrudnienia, zakres czynności oraz stanowisko, które będzie zajmowane przez pracownika.

2. Na podstawie powziętych informacji od pracownika ds. kadr w urzędzie, ABI ma obowiązek przeprowadzić szkolenie nowego użytkownika systemu w zakresie obwiązujących przepisów o ochronie danych osobowych oraz procedur przetwarzania tych danych, jakie funkcjonują w urzędzie.

3. Nowi użytkownicy systemu podpisują odpowiednie oświadczenie potwierdzające odbycie szkolenia przez ABI, które jest włączane do dokumentacji personalnej pracownika.

4. ABI nadaje upoważnienie do przetwarzania danych osobowych podpisane przez ADO osobie, która w związku z wykonywanymi przez siebie obowiązkami będzie miała dostęp do danych osobowych.

5. Umowę o pracę można podpisać dopiero na podstawie wydanego przez ABI upoważnienia oraz oświadczenia potwierdzającego odbycie szkolenia.

6. ASI, który w urzędzie pełni także obowiązki ABI odpowiednio, zgodnie z zakresem obowiązków nowego użytkownika systemu:

a) rejestruje użytkownika w systemie i nadaje mu określone uprawnienia;

b) przydziela mu priorytet i hasło dostępu do danych. Priorytet decyduje o zakresie prawa dostępu do danych.

7. Użytkownik systemu w obecności ASI uwierzytelnia się w systemie.

8. Użytkownik zmienia nadane mu przez ASI hasło i rozpoczyna pracę w aplikacji.

9. Użytkownik w każdej chwili może zmienić sobie hasło.

10. ASI pełniący obowiązki ABI w urzędzie może w każdej chwili odebrać uprawnienia użytkownikowi i zablokować jego dotychczasowe hasło.

Uwaga.

Identyfikator użytkownika w aplikacji jest tożsamy z tym, jaki jest mu przydzielany w sieci lokalnej.
 
Procedurę nadania uprawnień do przetwarzania danych osobowych w systemie należy stosować odpowiednio w przypadku zmiany uprawnień w systemie albo odebrania uprawnień w systemie.

III. Metody i środki uwierzytelnienia w systemie oraz procedury związane z ich zarządzaniem i użytkowaniem
 
A. Metody i środki uwierzytelniania.

1. W systemie informatycznym stosuje się uwierzytelniania dwustopniowe; na poziomie:

a) dostępu do sieci lokalnej;

b) dostępu do aplikacji.

2. Do uwierzytelnienia użytkownika w systemie na obu poziomach stosuje się hasła.

3. Hasło na poziomie dostępu do aplikacji składa się co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry i znaki specjalne.

4. Hasło dostępu do sieci lokalnej składa się co najmniej z 8 znaków, zawiera małe i wielkie litery oraz cyfry i znaki specjalne.

5. Hasło nie może być powtórnie użyte wcześniej niż po 15 - tej zmianie hasła.

6. Hasła nie mogą być powszechnie używanymi słowami. W szczególności nie należy jako haseł wykorzystywać: dat, imion, nazwisk, inicjałów, numerów rejestracyjnych samochodów, numerów telefonów.

7. Hasło nie może być ujawnione nawet po utracie przez nie ważności.

8. Zmiana hasła do systemu następuje nie rzadziej, niż co 30 dni oraz niezwłocznie w przypadku podejrzenia, że hasło mogło zostać ujawnione.

9. W razie podejrzenia, że hasło jest znane osobom trzecim, należy powiadomić o tym ABI, a hasło zmienić.

B. Procedury zarządzania środkami uwierzytelniania

1. ASI nadaje hasło dostępu do aplikacji dla nowego użytkownika albo dla użytkownika, który zapomniał swojego ostatniego hasła.

2. Użytkownik systemu niezwłocznie ustala swoje, znane tylko jemu hasło, po nadaniu hasła przez ASI.

3. Użytkownik systemu w trakcie pracy w aplikacji może zmienić swoje hasło dostępu.

4. ASI zapisuje swój identyfikator i hasła dostępu do aplikacji w kopercie, która zostaje zabezpieczona w sposób uniemożliwiający jej nieuważne otwarcie. Kopertę przechowuje się w sejfie znajdującym się w pokoju Nr 4.
 
IV. Procedury rozpoczęcia, zawieszenia i zakończenia pracy w systemie

A. Procedura rozpoczęcia pracy

1. Sprawdzić gotowość sprzętu komputerowego do pracy.

2. Uruchomić komputer wchodzący w skład systemu w urzędzie, podłączony fizycznie do sieci lokalnej i zalogować się do sieci podając swój identyfikator i hasło dostępu do sieci.

3. Uruchomić aplikację podając następnie swój identyfikator i hasło dostępu do aplikacji.

4. Rozpocząć pracę.

5. W razie stwierdzenia, że baza danych osobowych jest niedostępna lub uległa jakiejkolwiek zmianie powiadomić ABI.

B. Procedura zawieszenia pracy w systemie

1. W trakcie pracy, przy każdorazowym opuszczeniu stanowiska komputerowego, dopilnować, aby na ekranie nie były wyświetlane dane osobowe.

2. Przy opuszczaniu pokoju na dłuższy czas ustawić wygaszasz ekranu zabezpieczony hasłem.

C. Procedura zakończenia pracy w systemie

1. Zamknąć aplikację.

2. Zamknąć system.

3. Wyłączyć monitor i drukarkę.

V. Procedury tworzenia kopii zapasowych programów i narzędzi programowych służących do przetwarzania danych osobowych w urzędzie

1. Kopie zapasowe zbioru danych osobowych wykonywane są w cyklu dobowym (w godzinach nocnych) za pomocą specjalistycznego programu archiwizującego.

2. Wraz z kopią zbioru danych osobowych wykonywana jest kopia środowiska pracy.

3. Oprócz codziennych kopii bezpieczeństwa wykonuje się kopie zapasowe w cyklu miesięcznym i rocznym.

4. ASI sprawuje nadzór nad wykonywaniem kopii zapasowych oraz weryfikuje ich poprawność.

VI Sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe oraz wydruków

A. Elektroniczne nośniki informacji

1. Dane osobowe w postaci elektronicznej przetwarzane w systemie w urzędzie, zapisane na dyskietkach, dyskach magnetooptycznych czy dyskach twardych nie są wynoszone poza siedzibę Firmy.

2. Wymienne elektroniczne nośniki informacji są przechowywane w pokojach stanowiących obszar przetwarzania danych osobowych.

3. Po zakończeniu pracy przez użytkowników systemu, wymienne elektroniczne nośniki informacji są przechowywane w zamykanych szafach biurowych lub kasetkach.

4. Dane osobowe w postaci elektronicznej należy usunąć z nośnika informacji w sposób uniemożliwiający ich ponowne odtworzenie, nie później niż po upływie 3 dni, po wykorzystaniu tych danych chyba, że z odrębnych przepisów wynika obowiązek ich przechowywania.

5. Wymienne elektroniczne nośniki danych zawierające dane osobowe powinny być oznaczone w rozpoznawalny sposób.

6. W przypadku uszkodzenia lub zużycia nośnika zawierającego dane osobowe należy fizycznie zniszczyć nośnik przez spalenie lub rozdrobnienie.

7. W przypadku konieczności przeprowadzenia utylizacji sprzętu komputerowego, a w szczególności jednostki centralnej w której znajduje się dysk twardy na którym były przetwarzane dane osobowe bądź stwierdzenia uszkodzenia samego dysku należy:

a) sformatować dysk twardy, a następnie go wymontować;

b) jeżeli dysk jest sprawny można go wykorzystać do dalszej pracy w urzędzie;

c) w przypadku uszkodzenia dysku należy go zniszczyć zgodnie z obowiązującymi przepisami dotyczącymi gospodarki środkami trwałymi oraz wartościami niematerialnymi. 

B. Kopie zapasowe

1. Kopie zapasowe zbiorów danych osobowych oraz oprogramowania i narzędzi programowych zastosowanych do przetwarzania danych są przechowywane w pokoju Nr 4 w ogniotrwałej kasie pancernej.

2. Dostęp do kasy pancernej mają tylko upoważnieni pracownicy.

C. Wydruki

1. Wydruki, zawierające dane osobowe, należy przechowywać w pokojach stanowiących obszar przetwarzania danych osobowych.

2. Wydruki, zawierające dane osobowe, należy zniszczyć przez pocięcie w specjalnym urządzeniu nie później niż po upływie 3 dni, po ich wykorzystaniu chyba, że z odrębnych przepisów wynika obowiązek ich przechowywania. 

VII Środki ochrony systemu przed złośliwym oprogramowaniem, w tym wirusami komputerowymi

A. Ochrona antywirusowa

1. Za ochronę antywirusową odpowiada ASI.

2. Czynności związane z ochroną antywirusową systemu informatycznego wykonuje ASI, wykorzystując w trakcie pracy systemu informatycznego moduł programu antywirusowego w aktualnej wersji, sprawdzającego na bieżąco zasoby systemu informatycznego.

3. Użytkownik systemu na stanowisku komputerowym, importujący dane osobowe do systemu informatycznego jest odpowiedzialny za sprawdzenie tych danych pod kątem możliwości występowania wirusów.

B. Ochrona przed nieautoryzowanym dostępem do sieci lokalnej

1. ASI jest odpowiedzialny za aktywowanie i poprawne konfigurowanie specjalistycznego oprogramowania monitorującego wymianę danych na styku:

a) sieci lokalnej i sieci rozległej;

b) stanowiska komputerowego użytkownika systemu i pozostałych urządzeń wchodzących w skład sieci lokalnej.

2. Użytkownicy systemu obowiązani są do utrzymywania stałej aktywności zainstalowanego na ich stanowiskach komputerowych specjalistycznego oprogramowania monitorującego wymianę danych na styku tego stanowiska i sieci lokalnej.

VIII Zasady i sposób odnotowywania w systemie informacji o udostępnieniu danych osobowych.

1. W systemie informatycznym odnotowywane są informacje o odbiorcach danych z tego systemu.

2. Odbiorcą danych jest każdy, komu udostępnia się dane osobowe, z wyłączeniem:

a) osoby, której dane dotyczą;

b) osoby użytkownika systemu lub innej osoby upoważnionej do przetwarzania danych osobowych w urzędzie;

c) przedstawiciela, o którym mowa w art. 31a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych;

d) podmiotu, któremu powierzono przetwarzanie danych;

e) organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem.

3. Odnotowanie obejmuje informacje o:

a) Nazwie jednostki organizacyjnej lub imieniu i nazwisku osoby, której udostępniono dane;

b) Zakresie udostępnianych danych;

c) Dacie udostępnienia,

4. Obowiązek odnotowania ww. informacji spoczywa na użytkowniku systemu, w tym celu wypełnia on odpowiednie pole w bazie danych osobowych.

5. Odnotowanie informacji powinno nastąpić niezwłocznie po udostępnieniu danych.

6. Udostępnienie danych osobowych może nastąpić wyłącznie na pisemną prośbę odbiorcy danych.

7. Na żądanie osoby, której dane zostały udostępnione, informacje o udostępnieniu danych są zamieszczane w raporcie z systemu informatycznego, a raport przekazywany tej osobie.

8. Nadzór nad prawidłowością odnotowywania w systemie ww. informacji sprawuje ABI.

IX Procedury wykonywania przeglądów i konserwacji systemu

O przeprowadzanych przeglądach i konserwacjach systemu w każdym przypadku informowany jest ABI.

A. Przeglądy i konserwacja urządzeń

1. Przeglądy i konserwacja urządzeń wchodzących w skład systemu informatycznego powinny być wykonywane w terminach określonym przez producenta sprzętu.

2. Nieprawidłowości ujawnione w trakcie tych działań powinny być niezwłocznie usunięte, a ich przyczyny przeanalizowane. O fakcie ujawnienia nieprawidłowości należy zawiadomić ABI.

3. Za terminowość przeprowadzenia przeglądów i konserwacji oraz ich prawidłowy przebieg odpowiada ASI.

B. Przegląd programów i narzędzi programowych

1. Przegląd programów i narzędzi programowych przeprowadzany jest w następujących przypadkach:

a) zmiany wersji oprogramowania serwera plików;

b) zmiany wersji oprogramowania stanowiska komputerowego użytkownika systemu;

c) zmiany systemu operacyjnego serwera plików;

d) zmiany systemu operacyjnego stanowiska komputerowego użytkownika systemu;

e) wykonania zmian w projekcie systemu spowodowanych koniecznością naprawy, konserwacji lub modyfikacji systemu.

2. Przed dokonaniem zmian w systemie informatycznym należy dokonać przeglądu działania systemu w zmienionej konfiguracji w warunkach testowych na testowej bazie danych. Sprawdzenie powinno obejmować:

a) poprawność logowania się do systemu w zależności od posiadanych uprawnień (zasymulować pracę wszystkich typów uprawnień użytkownika);

b) poprawność działania wszystkich elementów aplikacji;

c) poprawność funkcjonalną systemu symulując działania wszystkich grup użytkowników wykonując następujące operacje:

- wprowadzanie danych osobowych;

- edytowanie danych osobowych;

- wyszukiwania danych osobowych;

- wydruku danych osobowych.

3. Przegląd przeprowadza projektant systemu w obecności ASI.

4. Za prawidłowość przeprowadzenia przeglądów i konserwacji systemu odpowiada ASI.

C. Konserwacja oprogramowania

1. Konserwację oprogramowania przeprowadza się po zgłoszeniu przez użytkownika systemu potrzeby wprowadzenia zmian pozwalających utrzymać funkcjonalność systemu w dynamicznie zmieniającym się środowisku pracy.

2. Przed dokonaniem zmian w systemie informatycznym należy dokonać przeglądu działania systemu w zmienionej konfiguracji w warunkach testowych na testowej bazie danych na podobnych zasadach jak ma to miejsce w przypadku przeglądu oprogramowania.

3. Konserwację przeprowadza projektant systemu w obecności ASI.

 

wzór

Załącznik nr 3
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

........................................
                                                                                                                                                                  /miejscowość, data/

Upoważnienie imienne do przetwarzania danych osobowych Nr............

Na podstawie art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) upoważniam Panią / Pana:

........................................................................................................................................................................................................
(imię i nazwisko osoby upoważnionej)

zatrudnioną (ego) w 

........................................................................................................................................................................................................
(nazwa jednostki i komórki organizacyjnej)

na stanowisku: ...............................................................................................................................................................................

do przetwarzania od dnia ........................................ r. danych osobowych w zakresie:

........................................................................................................................................................................................................

i nadaję identyfikator: .....................................................................................................................................................................

..........................................................................
(podpis Administratora Danych Osobowych)

wzór

Załącznik nr 4 
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

........................................
                                                                                                                                                                  /miejscowość, data/

Upoważnienie imienne do przetwarzania danych osobowych Nr............

Na podstawie art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) upoważniam Panią / Pana:

........................................................................................................................................................................................................
(imię i nazwisko osoby upoważnionej)

zatrudnioną (ego) w 

........................................................................................................................................................................................................
(nazwa jednostki i komórki organizacyjnej)

na stanowisku: ...............................................................................................................................................................................

do przetwarzania od dnia ........................................ r. danych osobowych w zakresie:

........................................................................................................................................................................................................

i nadaję identyfikator: .....................................................................................................................................................................

........................................................................
(podpis Administratora Danych Osobowych)

..................................................                                                                           ...............................................................
Pieczęć Urzędu Gminy Ostróda                                                                           Pieczęć odpisu zgodności z oryginałem

Wpisano do rejestru upoważnień pod Nr.............

..................................
data i podpis ABI

wzór

Załącznik nr 5 
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

Rejestr wydanych upoważnień do przetwarzania danych osobowych oraz do obsługi systemu informatycznego oraz urządzeń wchodzących w jego skład, służących do przetwarzania danych osobowych w Urzędzie Gminy Ostróda

Nr	Imię i nazwisko	Stanowisko	Data wystawienia upoważnienia	

wzór

Załącznik nr 6 
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

........................................
                                                                                                                                                                  /miejscowość, data/

Upoważnienie imienne Nr........... 

upoważniające do przebywania osób nieuprawnionych do przetwarzania danych osobowych w pomieszczeniach lub w części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, w czasie nieobecności w tych pomieszczeniach osoby bądź osób upoważnionych do przetwarzania tych danych

Na podstawie pkt. I ust. 2 załącznika rozporządzenia Ministra Spraw Wewnętrznych i Administracji z 29 kwietnia 2004r., Administrator Bezpieczeństwa Informacji w Urzędzie Gminy Ostróda wydaję pozwolenie na: 

1. Przebywanie Pana(i) jako osoby nieuprawnionej do przetwarzania danych osobowych w pomieszczeniach lub w części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe, w czasie nieobecności osoby bądź osób upoważnionych do przetwarzania tych danych.

2. Obszar, w którym przetwarza się dane osobowe w Urzędzie Gminy Ostróda wyznacza w rozdziale III dokument pn. „Polityka bezpieczeństwa informacji” stanowiący załącznik Nr 1 do Zarządzeniu Nr 43a/04 Wójta Gminy Ostróda z dnia 1 maja 2004r.

........................................................................................................................................................................................................
(imię i nazwisko osoby upoważnionej do przebywania w obszarze przetwarzania danych pod nieobecność osób upoważnionych)

zatrudnioną (ego) w 

........................................................................................................................................................................................................
(nazwa jednostki i komórki organizacyjnej)

na stanowisku: ...............................................................................................................................................................................

...........................................................................
(podpis Administratora Danych Osobowych)

wzór

Załącznik nr 7 
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

Raport z naruszenia bezpieczeństwa systemu informatycznego w Urzędzie Gminy Ostróda

1. Data: ……………………. ………                                                                                 Godzina: …………………………

2. Osoba powiadamiająca o zaistniałym zdarzeniu:

…………………………………………………………………………………………………...................................................................
(imię, nazwisko, stanowisko służbowe, nazwa użytkownika, (jeśli występuje)

3. Lokalizacja zdarzenia:

……………………………………………………………………………..................................................................……………………..(np. nr pokoju, nazwa pomieszczenia)

4. Rodzaj naruszenia bezpieczeństwa oraz okoliczności towarzyszące:

…………………………………………………………………………………………………...................................................................

…………………………………………………………………………………………………...................................................................

………………………………………………………………………………………….................................................................………..

5. Przyczyny wystąpienia zdarzenia:

……………………………………………………………………………….................................................................…………………..

…………………………………………………………………………….................................................................……………………..

………………………………………………………………………………….................................................................………………..

6. Podjęte działania:

…………………………………………………………………….................................................................……………………………..

……………………………………………………………………….................................................................…………………………..

………………………………………………………………………….................................................................………………………..

7. Postępowanie wyjaśniające:

……………………………………………………………….................................................................…………………………………..

…………………………………………………………….................................................................……………………………………..

………………………………………………………………………….................................................................………………………..

…………………………………………...................………..
                                                                                                                                                (data, podpis ABI)

wzór

Załącznik nr 8 
do Zarządzenia Nr 43a/04
Wójta Gminy Ostróda
z dnia 1 maja 2004r.

…………………………………..                                                                                                               ........................................
 (imię i nazwisko pracownika)                                                                                                                     /miejscowość, data/    

…………………………………..
    (zajmowane stanowisko)

OŚWIADCZENIE

(tekst oświadczenia podpisanego przez pracowników Urzędu Gminy Ostróda oraz służb pomocniczych)

		1. Stwierdzam własnoręcznym podpisem, że znana mi jest treść przepisów:

	a) Ustawy o ochronie danych osobowych: (tekst pierwotny Dz. U. 1997 r. Nr 133 poz. 883 z póź. zm.),

	b) Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024),

	c) Zapoznałem się z przyjętą polityką bezpieczeństwa i instrukcją zarządzania systemami informatycznymi stanowiącymi kolejno załącznik Nr 1 i 2 do Zarządzenia Wójta Gminy Ostróda z dnia 1 maja 2004r. Nr 43a/04.

		2. Jednocześnie zobowiązuję się nie ujawniać wiadomości, z którymi zapoznałem/zapoznałam się z racji wykonywanej pracy w Urzędzie Gminy Ostróda, a w szczególności nie będę:

	a) ujawniać danych zawartych w eksploatowanych w Urzędzie systemach informatycznych, zwłaszcza danych osobowych znajdujących się w tych systemach,

	b) ujawniać szczegółów technologicznych używanych w Urzędzie systemów oraz oprogramowania,

	c) instalował oprogramowania innego niż użytkowany bez pisemnego uzgodnienia z Administratorem Bezpieczeństwa Informacji ABI,

	d) udostępniać osobom nieupoważnionym nośniki magnetyczne i optyczne oraz wydruki komputerowe,

	e) kopiować lub przetwarzać danych w sposób inny niż dopuszczony obowiązującym Zarządzeniem Wójta Gminy Ostróda z dnia 1 maja 2004r. Nr 43a/04.

		3. Jestem świadomy(a) odpowiedzialności karnej wynikającej z ustawy o ochronie danych osobowych: (tekst pierwotny Dz. U. 1997 r. Nr 133 poz. 883 z póź. zm.),

             ………………………                                                            …………………..........................………………………
             (podpis pracownika)                                                                  (podpis Administratora Danych Osobowych)