Polityka prywatności Klubu zdrowia WALMARK

I. Wstęp

Ochrona zasobów informatycznych, przetwarzających dane osobowe w Walmark Sp. z o.o. ma zasadnicze znaczenie dla Spółki, klientów, pracowników i przyszłości firmy. W związku z tym wszyscy pracownicy muszą być świadomi swojej odpowiedzialności w zakresie bezpieczeństwa przetwarzania danych osobowych. Do osiągnięcia i utrzymania wysokiego poziomu ochrony informacji konieczne jest zaangażowanie ze strony każdego pracownika Walmark Sp. z o.o.

Zarząd Walmark Sp. z o.o. zobowiązuje się do podjęcia odpowiednich kroków mających na celu zapewnienie prawidłowej ochrony systemów informatycznych przed zagrożeniami oraz, że przez cały okres przetwarzania danych osobowych systemy informatyczne oraz środki organizacyjne będą zapewniać rozliczalność, integralność oraz poufność danych.

Każda osoba posiadająca dostęp do zasobów informatycznych w tym m.in. do danych osobowych jest zobowiązana do zapoznania się z zasadami i regułami Polityki bezpieczeństwa przetwarzania danych osobowych oraz szczegółowymi politykami, procedurami i instrukcjami bezpieczeństwa obowiązującymi w Walmark Sp. z o.o. i ich bezwzględnego przestrzegania.

II. Cel wydania dokumentu

Zapewnienie podstaw dla właściwego wykonania obowiązków Administratora Danych w zakresie zabezpieczenia przetwarzanych danych osobowych dla bazy Klub Zdrowia Walmark.

III. Postanowienia ogólne

1. Polityka prywatności Klubu Zdrowia Walmark stanowi fragment dokumentu Polityka bezpieczeństwa przetwarzania danych osobowych w Walmark Sp. z o.o., który został wydany w związku z § 3 ust. 1 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), zwanego dalej „rozporządzeniem”.
2. Polityka prywatności Klubu Zdrowia Walmark odnosi się całościowo do problemu zabezpieczenia danych osobowych bazy Klub Zdrowia Walmark tj. zarówno do zabezpieczenia danych przetwarzanych w zbiorach nieinformatycznych jak i danych przetwarzanych w systemach informatyczny.
3. Przy przetwarzaniu danych osobowych w systemach informatycznych spółki stosuje się wysoki poziom bezpieczeństwa w rozumieniu § 6 ust. 4 rozporządzenia, tzn. urządzenia wchodzące w skład systemów informatycznych, służących do przetwarzania danych osobowych są podłączone do Internetu.
4. Określenie odpowiedzialności za ochronę danych osobowych jest zależne od zakresu czynności związanych z przetwarzaniem danych osobowych.

IV. Definicje

Użyte w Polityce pojęcia oznaczają:

1. Administrator Danych – Walmark Sp. z o.o. z siedzibą w Sosnowcu, reprezentowana przez Zarząd, zwana dalej „Spółką”.
2. Dane Osobowe - każda informacja dotycząca żyjącej osoby fizycznej, która pozwala na bezpośrednią lub pośrednią identyfikacje tej osoby.
3. Przetwarzanie danych osobowych - jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
4. Administrator Bezpieczeństwa Informacji (ABI) – osoba wyznaczona przez Zarząd Spółki, odpowiedzialna za bezpieczeństwo danych osobowych, nadzorowanie stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, w tym w szczególności za przeciwdziałanie dostępowi osób trzecich do systemu, w którym przetwarzane są dane osobowe oraz za podejmowanie odpowiednich działań w przypadku wykrycia naruszeń w systemie zabezpieczeń, zwany dalej „ABI”.
5. Administrator Systemu Informatycznego (ASI) – osoba/podmiot odpowiedzialna za prawidłowe funkcjonowanie infrastruktury informatycznej, na którą składa się cały sprzęt informatyczny Spółki, za jej przeglądy i konserwację oraz za stosowanie technicznych i organizacyjnych środków ochrony w systemach informatycznych.
6. Użytkownik systemu – osoba upoważniona do bezpośredniego dostępu do danych osobowych przetwarzanych w systemie informatycznym, która posiada ustalony identyfikator i hasło oraz osoba nieposiadająca dostępu do systemu informatycznego, w którym przetwarzane są dane osobowe, ale upoważniona do przetwarzania danych osobowych w zbiorze nieinformatycznym.
7. System informatyczny – zespół współpracujących ludzi, urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania informacji.
8. Zbiór nieinformatyczny - każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozproszony lub podzielony funkcjonalnie, prowadzony poza systemem informatycznym, w szczególności w formie kartoteki, skorowidza, księgi, wykazu lub innego zbioru ewidencyjnego

V. Zarządzanie bezpieczeństwem

1. Zarząd Spółki jako organ reprezentujący Spółkę jest odpowiedzialny za ochronę danych osobowych przetwarzanych na terenie kierowanej przez niego jednostki, w tym przyjęcie i wdrożenie odpowiednich zasad ochrony danych osobowych.
2. Zarząd Spółki przeprowadza przegląd polityki bezpieczeństwa w przypadku zaistnienia znaczących zmian w sposobie gromadzenia, utrzymywania, udostępniania lub niszczenia danych osobowych, jak również w przypadku zmian przepisów dotyczących ochrony danych osobowych. W przypadku nie zaistnienia określonych powyżej okoliczności, przegląd polityki jest wykonywany nie rzadziej niż raz na rok.
3. Przegląd polityki ma na celu stwierdzenie, czy postanowienia Polityki odpowiadają aktualnej i planowanej działalności Spółki oraz stanowi prawnemu aktualnemu w momencie dokonywania przeglądu.
4. Zarząd Spółki przeprowadza analizę ryzyka, co najmniej raz w roku, po każdej poważniejszej zmianie organizacyjnej lub technologicznej, a także w sytuacji, gdy jednostki organizacyjne Spółki nie są w stanie realizować zasad zawartych w Polityce. Analiza ryzyka obejmuje:
   • oszacowanie aktualnego stanu bezpieczeństwa systemu informatycznego w zakresie ryzyk dostępności, integralności i poufności danych,
   • określenie zaleceń w celu uzyskania wymaganego poziomu bezpieczeństwa,
5. Zarząd Spółki powołuje zespół, którego celem jest przeprowadzenie analizy ryzyka w zakresie:
   • oceny możliwych zagrożeń oraz działań ograniczających,
   • oceny aktualnego stanu bezpieczeństwa systemu i propozycji rozwiązań zmniejszających ryzyko,
6. Spółka może powierzyć przetwarzanie danych osobowych innemu podmiotowi tylko na podstawie umowy powierzenia, o której mowa w art. 31 Ustawy o Ochronie Danych Osobowych.
7. ABI nadzoruje przestrzeganie zasad ochrony danych osobowych zarówno w systemach informatycznych, jak również w zbiorach nieinformatycznych.
8. Każda z osób mająca styczność z danymi osobowymi jest zobowiązana do ochrony danych osobowych oraz przetwarzania ich w granicach udzielonego jej przez Spółkę upoważnienia.
9. Wszyscy pracownicy zatrudnieni na stałe lub tymczasowo w Spółce oraz użytkownicy reprezentujący osoby trzecie (tam, gdzie jest to wskazane) przechodzą przeszkolenie w zakresie:
   • odpowiednich zasad wynikających z Polityki,
   • odpowiednich procedur dotyczących bezpieczeństwa systemów informatycznych służących do przetwarzania danych osobowych,
   • poprawnego użytkowania urządzeń, aplikacji i systemów informatycznych służących do przetwarzania danych osobowych.
10. Poza stałymi formami szkoleń dotyczących bezpieczeństwa systemów informatycznych służących do przetwarzania danych osobowych, pracownikom należy zapewnić kursy, szkolenia udoskonalające wiedzę w tym zakresie.
11. Wszyscy pracownicy Spółki są zobowiązani do informowania o wszelkich zauważonych naruszeniach oraz słabościach systemu przetwarzającego dane bezpośrednio do ABI.
12. Każda osoba mająca styczność z danymi osobowymi, przed przystąpieniem do ich przetwarzania zobowiązana jest d
    • Podpisania oświadczenia o zachowaniu w tajemnicy danych osobowych, z którymi zetkną się w związku z wykonywaniem swojej pracy oraz informacji na temat środków technicznych i organizacyjnych zastosowanych w Spółce dla zapewnienia poufności, integralności i rozliczalności danych osobowych również po ustaniu zatrudnienia.
    • Uzyskania formalnego upoważnienia do przetwarzania danych osobowych wystawianego przez Spółkę.
13. Osoby upoważnione do przetwarzania danych osobowych są wpisywane przez ABI do ewidencji. Ewidencja osób upoważnionych do przetwarzania danych osobowych jest prowadzona przez ABI i zawiera:
    • Imię i nazwisko osoby upoważnionej do przetwarzania danych osobowych,
    • Zakres upoważnienia do przetwarzania danych osobowych u administratora danych,
    • Wskazanie komórki organizacyjnej, w której osoba upoważniona pracuje,
    • Identyfikator, jeśli osoba upoważniona została zarejestrowana w systemie informatycznym, służącym do przetwarzania danych osobowych,
    • Datę nadania i odebrania uprawnień,
14. Nośniki magnetyczne, na których gromadzone są wykazy zawierające ewidencję użytkowników upoważnionych do przetwarzania danych osobowych powinny być przechowywane w szafie zamykanej, do której ma dostęp ABI lub osoba przez niego upoważniona.
15. Jakakolwiek zmiana w zakresie informacji zawartych w ewidencji powinna podlegać natychmiastowemu odnotowaniu.