Dziennik Ustaw Nr 100 — 7020 — w stosunku do którego zarzàdzono zabezpieczenie danych zapisanych; 5) czas trwania zabezpieczenia, Poz. 1023 i 1024 kszta∏ceniem lub nieuprawnionym ujawnieniem oraz znis

§ 1

pkt 1, sk∏ada si´ polityka bezpieczeƒstwa i instrukcja zarzàdzania systemem informatycznym s∏u˝àcym do przetwarzania danych osobowych, zwana dalej „instrukcjà”. 2. Dokumentacj´,

§ 1pkt 1, prowadzi si´ w formie pisemnej.

3. Dokumentacj´,

§ 1pkt 1, wdra˝a administrator danych.

§ 4. Polityka bezpieczeƒstwa,

§ 3ust. 1, zawiera w szczególno

Êci: 1) wykaz budynków, pomieszczeƒ lub cz´Êci pomieszczeƒ, tworzàcych obszar, w którym przetwarzane sà dane osobowe; 2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; 3) opis struktury zbiorów danych wskazujàcy zawartoÊç poszczególnych pól informacyjnych i powiàzania mi´dzy nimi; 4) sposób przep∏ywu danych pomi´dzy poszczególnymi systemami; 5) okreÊlenie Êrodków technicznych i organizacyjnych niezb´dnych dla zapewnienia poufnoÊci, integralnoÊci i rozliczalnoÊci przetwarzanych danych. § 5. Instrukcja,

§ 3ust. 1, zawiera w szczególno

Êci: 1) procedury nadawania uprawnieƒ do przetwarzania danych i rejestrowania tych uprawnieƒ w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynnoÊci; 2) stosowane metody i Êrodki uwierzytelnienia oraz procedury zwiàzane z ich zarzàdzaniem i u˝ytkowaniem; 3) procedury rozpocz´cia, zawieszenia i zakoƒczenia pracy przeznaczone dla u˝ytkowników systemu; 4) procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narz´dzi programowych s∏u˝àcych do ich przetwarzania; 5) sposób, miejsce i okres przechowywania:

1. a)elektronicznych noÊników informacji zawierajàcych dane osobowe,
2. b)kopii zapasowych, o których mowa w pkt 4, 6) sposób zabezpieczenia systemu informatycznego przed dzia∏alnoÊcià oprogramowania, októrym mowa w pkt III ppkt 1 za∏àcznika do rozporzàdzenia; Poz. 1024 7) sposób realizacji wymogów, o których mowa w § 7 ust. 1 pkt 4; 8) procedury wykonywania przeglàdów i konserwacji systemów oraz noÊników informacji s∏u˝àcych do przetwarzania danych. § 6. 1. Uwzgl´dniajàc kategorie przetwarzanych danych oraz zagro˝enia wprowadza si´ poziomy bezpieczeƒstwa przetwarzania danych osobowych w systemie informatycznym: 1) podstawowy; 2) podwy˝szony; 3) wysoki. 2. Poziom co najmniej podstawowy stosuje si´, gdy: 1) w systemie informatycznym nie sà przetwarzane dane, o których mowa w art. 27 ustawy, oraz 2) ˝adne z urzàdzeƒ systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych nie jest po∏àczone z siecià publicznà. 3. Poziom co najmniej podwy˝szony stosuje si´, gdy: 1) w systemie informatycznym przetwarzane sà dane osobowe, o których mowa w art. 27 ustawy, oraz 2) ˝adne z urzàdzeƒ systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych nie jest po∏àczone z siecià publicznà. 4. Poziom wysoki stosuje si´, gdy przynajmniej jedno urzàdzenie systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych, po∏àczone jest z siecià publicznà. 5. Opis Êrodków bezpieczeƒstwa stosowany na poziomach, o których mowa w ust. 1, okreÊla za∏àcznik do rozporzàdzenia. § 7. 1. Dla ka˝dej osoby, której dane osobowe sà przetwarzane w systemie informatycznym — z wyjàtkiem systemów s∏u˝àcych do przetwarzania danych osobowych ograniczonych wy∏àcznie do edycji tekstu w celu udost´pnienia go na piÊmie — system ten zapewnia odnotowanie: 1) daty pierwszego wprowadzenia danych do systemu; 2) identyfikatora u˝ytkownika wprowadzajàcego dane osobowe do systemu, chyba ˝e dost´p do systemu informatycznego i przetwarzanych w nim danych posiada wy∏àcznie jedna osoba; 3) êród∏a danych, w przypadku zbierania danych, nie od osoby, której one dotyczà; Dziennik Ustaw Nr 100 — 7022 — 4) informacji o odbiorcach, w rozumieniu art. 7 pkt 6 ustawy, którym dane osobowe zosta∏y udost´pnione, dacie i zakresie tego udost´pnienia, chyba ˝e system informatyczny u˝ywany jest do przetwarzania danych zawartych w zbiorach jawnych; 5) sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8 ustawy. 2. Odnotowanie informacji, o których mowa w ust. 1 pkt 1 i 2, nast´puje automatycznie po zatwierdzeniu przez u˝ytkownika operacji wprowadzenia danych. 3. Dla ka˝dej osoby, której dane osobowe sà przetwarzane w systemie informatycznym, system zapewnia sporzàdzenie i wydrukowanie raportu zawierajàcego w powszechnie zrozumia∏ej formie informacje, o których mowa w ust. 1. 4. W przypadku przetwarzania danych osobowych, w co najmniej dwóch systemach informatycznych, wymagania, o których mowa w ust. 1 pkt 4, mogà byç realizowane w jednym z nich lub w odr´bnym systemie informatycznym przeznaczonym do tego celu. § 8. System informatyczny s∏u˝àcy do przetwarzania danych, który zosta∏ dopuszczony przez w∏aÊciwà s∏u˝b´ ochrony paƒstwa do przetwarzania informacji niejawnych, po uzyskaniu certyfikatu wydanego na podstawie przepisów ustawy z dnia 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. Nr 11, poz. 95, z póên. zm.3)) spe∏nia wymogi niniejszego roz- Poz. 1024 porzàdzenia pod wzgl´dem bezpieczeƒstwa na poziomie wysokim. § 9. Administrator przetwarzanych w dniu wejÊcia w ˝ycie niniejszego rozporzàdzenia danych osobowych jest obowiàzany dostosowaç systemy informatyczne s∏u˝àce do przetwarzania tych danych do wymogów okreÊlonych w § 7 oraz w za∏àczniku do rozporzàdzenia w terminie 6 miesi´cy od dnia wejÊcia w ˝ycie niniejszego rozporzàdzenia. § 10. Rozporzàdzenie wchodzi w ˝ycie z dniem uzyskania przez Rzeczpospolità Polskà cz∏onkostwa w Unii Europejskiej4). Minister Spraw Wewn´trznych i Administracji: w z. T. Matusiak ——————— 3) Zmiany wymienionej ustawy zosta∏y og∏oszone w Dz.U. z 2000 r. Nr 12, poz. 136 i Nr 39, poz. 462, z 2001 r. Nr 22, poz. 247, Nr 27, poz. 298, Nr 56, poz. 580, Nr 110, poz. 1189, Nr 123, poz. 1353, Nr 154 poz. 1800, z 2002 r. Nr 74, poz. 676, Nr 89, poz. 804 i Nr 153, poz. 1271, z 2003 r. Nr 17, poz. 155 oraz z 2004 r. Nr 29, poz. 257. 4) Niniejsze rozporzàdzenie by∏o poprzedzone rozporzàdzeniem Ministra Spraw Wewn´trznych i Administracji z dnia 3 czerwca 1998 r. w sprawie okreÊlenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadaç urzàdzenia i systemy informatyczne s∏u˝àce do przetwarzania danych osobowych (Dz. U. Nr 80, poz. 521 oraz z 2001 r. Nr 121, poz. 1306), które utraci moc z dniem wejÊcia w ˝ycie ustawy z dnia 22 stycznia 2004 r. o zmianie ustawy o ochronie danych osobowych oraz ustawy o wynagrodzeniu osób zajmujàcych kierownicze stanowiska paƒstwowe (Dz. U. Nr 33, poz. 285). Za∏àcznik do rozporzàdzenia Ministra Spraw Wewn´trznych i Administracji z dnia 29 kwietnia 2004 r. (poz. 1024) A. Ârodki bezpieczeƒstwa na poziomie podstawowym I 1. Obszar, o którym mowa w § 4 pkt 1 rozporzàdzenia, zabezpiecza si´ przed dost´pem osób nieuprawnionych na czas nieobecnoÊci w nim osób upowa˝nionych do przetwarzania danych osobowych. 2. Przebywanie osób nieuprawnionych w obszarze, o którym mowa w § 4 pkt 1 rozporzàdzenia, jest dopuszczalne za zgodà administratora danych lub w obecnoÊci osoby upowa˝nionej do przetwarzania danych osobowych. II 1. W systemie informatycznym s∏u˝àcym do przetwarzania danych osobowych stosuje si´ mechanizmy kontroli dost´pu do tych danych.
3. b)dost´p do danych by∏ mo˝liwy wy∏àcznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia. III System informatyczny s∏u˝àcy do przetwarzania danych osobowych zabezpiecza si´, w szczególnoÊci przed: 1) dzia∏aniem oprogramowania, którego celem jest uzyskanie nieuprawnionego dost´pu do systemu informatycznego; 2) utratà danych spowodowanà awarià zasilania lub zak∏óceniami w sieci zasilajàcej. IV 2. Je˝eli dost´p do danych przetwarzanych w systemie informatycznym posiadajà co najmniej dwie osoby, wówczas zapewnia si´, aby: 1. Identyfikator u˝ytkownika, który utraci∏ uprawnienia do przetwarzania danych, nie mo˝e byç przydzielony innej osobie.
4. a)w systemie tym rejestrowany by∏ dla ka˝dego u˝ytkownika odr´bny identyfikator; 2. W przypadku gdy do uwierzytelniania u˝ytkowników u˝ywa si´ has∏a, jego zmiana nast´puje nie rza- Dziennik Ustaw Nr 100 — 7023 — dziej ni˝ co 30 dni. Has∏o sk∏ada si´ co najmniej z 6 znaków. 3. Dane osobowe przetwarzane w systemie informatycznym zabezpiecza si´ przez wykonywanie kopii zapasowych zbiorów danych oraz programów s∏u˝àcych do przetwarzania danych. 4. Kopie zapasowe:
5. a)przechowuje si´ w miejscach zabezpieczajàcych je przed nieuprawnionym przej´ciem, modyfikacjà, uszkodzeniem lub zniszczeniem;
6. b)usuwa si´ niezw∏ocznie po ustaniu ich u˝ytecznoÊci. V Osoba u˝ytkujàca komputer przenoÊny zawierajàcy dane osobowe zachowuje szczególnà ostro˝noÊç podczas jego transportu, przechowywania i u˝ytkowania poza obszarem, o którym mowa w § 4 pkt 1 rozporzàdzenia, w tym stosuje Êrodki ochrony kryptograficznej wobec przetwarzanych danych osobowych. Poz. 1024 VI Urzàdzenia, dyski lub inne elektroniczne noÊniki informacji, zawierajàce dane osobowe, przeznaczone do: 1) likwidacji — pozbawia si´ wczeÊniej zapisu tych danych, a w przypadku gdy nie jest to mo˝liwe, uszkadza si´ w sposób uniemo˝liwiajàcy ich odczytanie; 2) przekazania podmiotowi nieuprawnionemu do przetwarzania danych — pozbawia si´ wczeÊniej zapisu tych danych, w sposób uniemo˝liwiajàcy ich odzyskanie; 3) naprawy — pozbawia si´ wczeÊniej zapisu tych danych w sposób uniemo˝liwiajàcy ich odzyskanie albo naprawia si´ je pod nadzorem osoby upowa˝nionej przez administratora danych. VII Administrator danych monitoruje wdro˝one zabezpieczenia systemu informatycznego. B. Ârodki bezpieczeƒstwa na poziomie podwy˝szonym X VIII W przypadku gdy do uwierzytelniania u˝ytkowników u˝ywa si´ has∏a, sk∏ada si´ ono co najmniej z 8 znaków, zawiera ma∏e i wielkie litery oraz cyfry lub znaki specjalne. IX Urzàdzenia i noÊniki zawierajàce dane osobowe, o których mowa w art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, przekazywane poza obszar, o którym mowa w § 4 pkt 1 rozporzàdzenia, zabezpiecza si´ w sposób zapewniajàcy poufnoÊç i integralnoÊç tych danych. Instrukcja zarzàdzania systemem informatycznym,

§ 5

rozporzàdzenia, rozszerza si´ o sposób stosowania Êrodków, o których mowa w pkt IX za∏àcznika. XI Administrator danych stosuje na poziomie podwy˝szonym Êrodki bezpieczeƒstwa okreÊlone w cz´Êci A za∏àcznika, o ile zasady zawarte w cz´Êci B nie stanowià inaczej. C. Ârodki bezpieczeƒstwa na poziomie wysokim XII 1. System informatyczny s∏u˝àcy do przetwarzania danych osobowych chroni si´ przed zagro˝eniami pochodzàcymi z sieci publicznej poprzez wdro˝enie fizycznych lub logicznych zabezpieczeƒ chroniàcych przed nieuprawnionym dost´pem. 2. W przypadku zastosowania logicznych zabezpieczeƒ, o których mowa w ust. 1, obejmujà one:

1. a)kontrol´ przep∏ywu informacji pomi´dzy systemem informatycznym administratora danych a siecià publicznà;
2. b)kontrol´ dzia∏aƒ inicjowanych z sieci publicznej i systemu informatycznego administratora danych. XIII Administrator danych stosuje Êrodki kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które sà przesy∏ane w sieci publicznej. XIV Administrator danych stosuje na poziomie wysokim Êrodki bezpieczeƒstwa, okreÊlone w cz´Êci A i B za∏àcznika, o ile zasady zawarte w cz´Êci C nie stanowià inaczej.