Visus VR

Polityka ochrony danych osobowych
Personal Data Protection Policies
Visus VR Sp. z o.o.

1. Deklaracja o ustanowieniu Polityki ochrony danych osobowych
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych (vide Art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej), które stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Niniejszy dokument ma na celu przyczyniać się do budowania gwarancji właściwego przetwarzania danych osobowych przez Visus VR Sp. z o.o. z siedzibą w Olsztynie (dalej „Visus VR”).
Biorąc pod uwagę fakt, że procesy przetwarzania danych osobowych, realizowane w Visus VR posiadają kluczowe znaczenie dla prowadzonej działalności, utrata jakichkolwiek danych, sfałszowanie, kradzież czy skutki innych form incydentów bezpieczeństwa mogłyby spowodować groźne następstwa dla Visus VR. Równie groźne mogą okazać się m.in. niedbalstwo, pomyłki, złośliwe działanie, klęski żywiołowe, awarie, błędy sprzętowe i programowe, działania intruzów, odmowy usług oraz inne formy zagrożeń.
W związku z powyższym zgodnie z art. 24 ust. 2 RODO ustanawia się niniejszą Politykę ochrony danych osobowych oraz zobowiązuje się do wdrożenia systemu zarządzania bezpieczeństwem informacji i wynikającego z niej oraz z opracowanych na jej podstawie polityk i procedur szczegółowych.

2. Cel i podstawa ustanowienia Polityki ochrony danych osobowych
Wobec zobowiązania wyrażonego w deklaracji o ustanowieniu Polityki ochrony danych osobowych
w Visus VR w zakresie opracowania polityk szczegółowych oraz przepisów prawa ochrony danych osobowych stosowanych w Polsce oraz w Unii Europejskiej, szczególnie wobec zastosowania od dnia 25.05.2018 r. przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – RODO/GDPR) niezbędne jest doprecyzowanie zasad ochrony informacji o charakterze osobowym gromadzonych lub przetwarzanych przez Visus VR.
Polityka ma na celu:
– doprecyzowanie zasad bezpieczeństwa w kontekście ochrony danych osobowych;
– wprowadzenie najwyższych standardów ochrony danych osobowych oraz metod i sposobów zarządzania ich bezpieczeństwem;
– zapewnienie poufności, integralności oraz dostępności przetwarzanych przez Visus VR danych osobowych niezbędnych do prowadzenia działalności;
– zminimalizowania ryzyka naruszenia bezpieczeństwa danych osobowych oraz ograniczenia ewentualnych skutków naruszenia.

Niniejszy dokument został stworzony w oparciu m.in. o:
– Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO/GDPR)
– Normę PN-ISO/IES 27001 – Technika informatyczna – Techniki bezpieczeństwa – System zarządzania bezpieczeństwem informacji – Wymagania
– Normę PN-ISO/IEC 27005 – Technika informatyczna – Techniki bezpieczeństwa – Zarządzanie ryzykiem w bezpieczeństwie informacji
– Normę PN-ISO/IEC 31000 – Zarządzanie ryzykiem – Zasady i wytyczne

3. Zakres stosowania
Polityka obejmuje wskazanie działań, jakie należy wykonać oraz ustanowienie zasad i reguł postępowania, które należy stosować, aby właściwie realizować obowiązki w zakresie przetwarzania oraz zabezpieczenia danych osobowych – zarówno tych danych, których administratorem w rozumieniu RODO jest Visus VR oraz tych, których proces przetwarzania został Visus VR przekazany.

Postanowienia Polityki ochrony danych osobowych znajdą zastosowanie w stosunku do:
– danych osobowych przetwarzanych oraz przechowywanych tradycyjnie w formie papierowej, a także danych osobowych zapisywanych w pamięci nośników informacji w postaci elektronicznej, przetwarzanych z wykorzystaniem systemów informatycznych;
– wszelkich informacji dotyczących bezpieczeństwa przetwarzania danych osobowych wykorzystywanych do uwierzytelnienia w systemach informatycznych służących do przetwarzania danych oraz dotyczących zastosowanych środków ochrony.

4. Odpowiedzialność i uprawnienia
Inspektor Ochrony Danych (IOD)/ Pełnomocnik ds. prywatności
Odpowiedzialność:
– nadzór nad implementacją oraz realizacją zasad wynikających z Polityki z wymaganiami;
– nadzór nad opracowaniem
i aktualizacją dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające odpowiednią do zagrożeń oraz kategorii danych ochronę;
– reagowanie na zgłaszane incydenty związane z naruszeniem zasad oraz środków ochrony danych osobowych, a także analizowanie przyczyn ich wystąpienia.

Uprawnienia/obowiązki:
– Informowanie Visus VR, podmiotu przetwarzającego oraz pracowników/ współpracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy Polityki ochrony danych osobowych, krajowych oraz UE przepisów prawa o ochronie danych osobowych i doradzanie im w tej sprawie;
– monitorowanie przestrzegania Polityki ochrony danych osobowych, krajowych oraz UE przepisów prawa o ochronie danych osobowych przez Visus VR lub podmiot przetwarzający, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
– pełnienie funkcji punktu kontaktowego w sprawach związanych z przetwarzaniem, w tym, w stosownych przypadkach prowadzenie konsultacji;
– opracowanie lub aktualizacja dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające odpowiednią do zagrożeń oraz kategorii danych ochronę;
– żądanie, bez względu na rangę stanowiska, udzielenia niezbędnej pomocy w szczególności
w przypadku stwierdzenia, że doszło do naruszenia przepisów o ochronie danych osobowych, które może skutkować odpowiedzialnością Visus VR;
– wnioskowanie o ukaranie osób winnych naruszenia przepisów i zasad dotyczących ochrony danych osobowych;
– nadawanie, modyfikacja oraz cofanie uprawnień do przetwarzania danych osobowych;
– reprezentowanie Visus VR w kontaktach z organem nadzorczym;
– wyznaczanie lokalnych IOD w ramach realizacji uprawnień w poszczególnych jednostkach organizacyjnych lub grupach jednostek.

Zarząd (Z)
Odpowiedzialność:
Nadzór nad implementacją oraz realizacją zasad wynikających z Polityki, IOD oraz AL.

Uprawnienia/obowiązki:
– weryfikacja stanu implementacji oraz realizacji obowiązków wynikających z Polityki ochrony danych osobowych;
– powoływanie IOD, AL, AS;
– nadawanie, modyfikacja oraz cofanie uprawnień do przetwarzania danych osobowych.

Administrator lokalny (AL)
Odpowiedzialność:
Nadzór nad implementacją oraz realizacją zasad wynikających z Polityki w ramach jednostki organizacyjnej lub grupy jednostek – o ile zostały wydzielone.

Uprawnienia/obowiązki:
– weryfikacja stanu implementacji oraz realizacji obowiązków wynikających z Polityki ochrony danych osobowych w ramach jednostki organizacyjnej lub grupy jednostek;
– nadawanie, modyfikacja oraz cofanie uprawnień do przetwarzania danych osobowych w ramach jednostki organizacyjnej lub grupy jednostek;

Administrator systemu służącego do przetwarzania danych (AS)
Odpowiedzialność:
– Nadzór nad implementacją oraz realizacją zasad wynikających z Polityki w zakresie systemów informatycznych wykorzystywanych do przetwarzania danych osobowych;
– reagowanie na zgłaszane incydenty związane z naruszeniem zasad oraz środków ochrony danych osobowych, a także analizowanie przyczyn ich wystąpienia.

Uprawnienia/obowiązki:
– nadawanie praw dostępu do systemów wykorzystywanych do przetwarzania danych osobowych;
– zapewnienie optymalnej ciągłości działania systemów informatycznych wykorzystywanych do przetwarzania;
– kontrola przepływu danych pomiędzy siecią publiczną Internet a systemami informatycznymi wykorzystywanych do przetwarzania;
– podjęcie natychmiastowych działań zabezpieczających stan systemów informatycznych w sytuacji otrzymania informacji o naruszeniu ich zabezpieczeń lub informacji
o zmianach w sposobie działania wskazujących na naruszenie bezpieczeństwa danych osobowych;

5. Definicje
Dane osobowe informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Przetwarzanie operacja lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Administrator podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych – Visus VR lub podmiot, który przekazał procesy przetwarzania Visus VR.
Administrator Lokalny podmiot ustalający cele i sposoby przetwarzania w wydzielonej jednostce Visus VR.
Przetwarzający osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu Visus VR.
Odbiorca danych osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem krajowym lub prawem UE, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez odbiorców musi być zgodne z przepisami o ochronie danych osobowych mającymi zastosowanie stosownie do celów przetwarzania.

Strona trzecia osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot inny niż osoba, której dane dotyczą, administrator, podmiot przetwarzający czy osoby, które –
z upoważnienia administratora lub Przetwarzającego – mogą przetwarzać dane osobowe.
Naruszenie złamanie zasad bezpieczeństwa lub przetwarzania prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Organ nadzorczy organ publiczny zobowiązany do nadzoru nad procesami przetwarzania i ochrony danych osobowych.
Pseudonimizacja przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem, że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.

Zastosowanie znajdą również inne niż wskazane powyżej definicje legalne z zakresu ochrony danych osobowych zawarte w aktach prawnych prawa krajowego lub prawa Unii Europejskiej w szczególności zawarte w art. 4 RODO.

6. Zarządzania bezpieczeństwem danych osobowych
W celu właściwej realizacji założeń systemu bezpieczeństwa danych osobowych oraz zwiększenia jego skuteczności w Visus VR zapewnia się, aby:
– dokonywano sprawdzeń przestrzegania ustalonych zasad przetwarzania danych osobowych w tym kontroli uprawnień dostępowych w systemach informatycznych;
– dokonywano stosownej oceny skutków dla ochrony danych wobec procesów przetwarzania w zakresie jakim będzie to niezbędne;
– podejmowano niezbędne działania mające na celu przeciwdziałanie naruszeniom zasad oraz stosowanych środków bezpieczeństwa;
– stale weryfikowano adekwatność systemu bezpieczeństwa informacji w odniesieniu do potencjalnych zagrożeń wystąpienia naruszenia oraz jego zgodności z odpowiednimi przepisami prawa ochrony danych osobowych.

W celu ochrony praw osób, których dane osobowe Visus VR przetwarza – uwzględniając konieczność ochrony informacji już w momencie precyzowania sposobów przetwarzania jak i w czasie samego przetwarzania, a także uwzględniając:
– stan wiedzy technicznej;
– koszt wdrożenia;
– charakter, zakres, kontekst oraz cele przetwarzania;
– ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia
i wadze zagrożenia wynikającego z przetwarzania.

Visus VR wdraża odpowiednie środki techniczne i organizacyjne, zaprojektowane w celu skutecznej realizacji zasad ochrony danych osobowych oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń.
Za bieżącą, operacyjną ochronę danych osobowych odpowiada każda osoba przetwarzająca te dane
w zakresie zgodnym z upoważnieniem, kompetencjami lub rolą sprawowaną w procesie przetwarzania oraz wewnętrznej strukturze Visus VR.

7. Stosowanie, aktualizacja, dokumenty powiązane
Niniejszy dokument powinien być znany i stosowany przez wszystkich pracowników i współpracowników Visus VR oraz jednostek zależnych, którzy w ich imieniu i na ich rzecz przetwarzają dane objęte obowiązkiem ochrony.
Ponadto treść Polityki ochrony danych osobowych (w tym wszelkie dokumenty funkcjonalnie z nią powiązane) powinna być aktualizowana wobec zmieniających się przepisów prawa oraz zmian faktycznych zaistniałych wewnętrznie w Visus VR, a które to mogłyby spowodować, że reguły określone w dokumencie okażą się nieaktualne bądź nieadekwatne do ryzyka wystąpienia zagrożeń.
Politykę ochrony danych osobowych w Visus VR powinny uzupełniać m.in.:
– ewidencja osób upoważnionych do przetwarzania;
– rejestr czynności przetwarzania oraz rejestr kategorii czynności przetwarzania;
– ewidencja zdefiniowanych obszarów przetwarzania;
– inne dokumenty oraz rejestry dotyczące przetwarzania i zabezpieczenia danych osobowych (w tym uchwały, ewidencje, wykazy, zarządzenia oraz wewnętrzne procedury ochrony i zabezpieczenia).

8. Zasady przetwarzania danych osobowych
Visus VR dba, aby wszelkie procesy przetwarzania danych osobowych były zgodne z prawem, rzetelne oraz przejrzyste.
Dla podmiotów danych (osób, których dane dotyczą i których dane są przetwarzane przez Visus VR) powinno być jasne i wyraźne, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane przez Visus VR w określonym celu oraz w jakim stopniu te dane są lub będą przetwarzane.
Visus VR dba, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem.
Zasada jasności i przejrzystości komunikacji dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości Visus VR (chyba, że Visus VR jest Przetwarzającym), celach przetwarzania oraz innych informacjach mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia oraz informacji o przetwarzanych danych osobowych ich dotyczących.
Visus VR stara się zdefiniować ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania uprawnień przysługujących podmiotom danych w związku z takim przetwarzaniem. W szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania.
Dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, dla których są lub będą przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum.
Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, Visus VR ustala termin ich usuwania (o ile jest to możliwe) oraz stosuje okresowe przeglądy przydatności posiadanych danych osobowych.
Visus VR podejmuje wszelkie rozsądne działania zapewniające sprostowanie lub usunięcie danych osobowych, które są nieprawidłowe bądź nieprzydatne.
Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.
Dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo oraz odpowiednią poufność, w tym ochronę przed nieuprawnionym dostępem do nich i do sprzętu służącego ich przetwarzaniu oraz przed nieuprawnionym korzystaniem z tych danych oraz z tego sprzętu.

W celu realizacji powyższych zasad tj.:
– zgodności przetwarzania z prawem, rzetelności oraz przejrzystości;
– celowości;
– minimalizacji danych;
– prawidłowości;
– ograniczoności przechowywania;
– zabezpieczenia, poufności.

Visus VR, w szczególności:
– wyznacza osoby odpowiedzialne za monitorowanie stanu przetwarzania, w tym IOD – jeżeli jest to niezbędne z punktu widzenia przepisów RODO lub prowadzonych procesów przetwarzania;
– określa cele i strategie ochrony danych;
– dzieli zadania i obowiązki związane z organizacją danych;
– zapewnia środki oraz warunki konieczne do wykazania przestrzegania odpowiednich zasad określonych w Polityce ochrony danych osobowych;
– przyjmuje i zatwierdza niezbędne, w tym wymagane przez przepisy prawa, dokumenty regulujące ochronę danych osobowych;
– zapewnia środki finansowe niezbędne do ochrony danych przetwarzanych w systemach informatycznych oraz tych przechowywanych w formie tradycyjnej;
– zapewnia środki finansowe na merytoryczne przygotowanie osób odpowiedzialnych za nadzór nad ochroną danych w tym na szkolenia dla osób dopuszczonych do przetwarzania danych w zakresie ochrony danych oraz zagrożeń związanych z procesem ich przetwarzania.

9. Uwzględnienie ochrony danych oraz domyślna ochrona danych
Visus VR zobowiązana jest na wczesnym etapie projektowania operacji przetwarzania wdrożyć lub planować wdrożyć środki techniczne i organizacyjne, w taki sposób, aby od samego początku przetwarzania zapewnić ochronę prywatności i bezpieczeństwo danych osobowych („ochrona danych w fazie projektowania”). Wdrożenie odpowiednich środków prowadzone jest w oparciu o stosowną analizę uwzględniającą m.in.:
– stan wiedzy technicznej, np.;
o standardy i normy (np. z serii ISO/IEC 27001)
o analizy i materiały opracowywane przez zaufane podmioty (opracowania organów nadzorczych, opracowania Agencji Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji czy zalecenia konfiguracyjne, przewodniki zabezpieczeń podmiotów zaufanych)
o wiedza specjalistów
o rekomendacje określające środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych publikowane np. przez organ nadzorczy
– koszty wdrożenia – mając jednocześnie na uwadze, że żadne względy natury organizacyjno-finansowej nie powinny być traktowane jako podstawa do sprzecznego z prawem przetwarzania danych osobowych;
– charakter przetwarzania – planowane operacje przetwarzania jak i rodzaj danych osobowych, które będą przetwarzane, np. czy przetwarzane będą szczególne kategorie danych;
– zakres przetwarzania – wszystkie aspekty ilościowe przetwarzania, m.in.:
o zakres kategorii danych
o ilość przetwarzanych danych
o liczba podmiotów, których dotyczy przetwarzanie danych
– kontekst przetwarzania – wszelkie okoliczności prawne i faktyczne dotyczące przetwarzania;
– cele przetwarzania – bezpośrednio związane z realizacją zasady ograniczenia celu (patrz wyżej);
– ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania.
Ponadto Visus VR jest zobowiązana, aby domyślnie zapewnić jak najwyższy poziom ochrony prywatności przetwarzanych danych (np. przetwarzanie wyłącznie niezbędnych danych, krótki okres przechowywania, ograniczona dostępność), tak aby dane osobowe domyślnie nie były udostępniane nieokreślonej liczbie osób („domyślna ochrona danych”).

10. Analiza ryzyka
Visus VR zobowiązana jest do samodzielnego dokonania szczegółowej analizy prowadzonych procesów przetwarzania danych osobowych i samodzielnej oceny ryzyka, na jakie przetwarzanie danych w konkretnym przypadku jest narażone.
W szczególności Visus VR powinna wziąć pod uwagę, że ryzyko naruszenia ochrony danych osobowych może prowadzić podmiot danych do uszczerbku fizycznego, szkód majątkowych bądź niemajątkowych, a okoliczności wystąpienia tego ryzyka mogą być spowodowane m.in. przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem do danych.
Ryzyko należy oszacować na podstawie obiektywnej oceny, w ramach której stwierdza się, czy z operacjami przetwarzania danych w ogóle wiąże się ryzyko, a jeżeli tak to jaki jest jego stopień.

Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, Visus VR przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych.
Dla podobnych operacji przetwarzania danych wiążących się z podobnym wysokim ryzykiem można przeprowadzić pojedynczą ocenę.
Dokonując oceny skutków dla ochrony danych, Visus VR konsultuje się z IOD, jeżeli został on wyznaczony.
Prowadzona ocena powinna zawierać co najmniej:
– systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez Visus VR;
– ocenę czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;
– ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą;
– środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie RODO, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy;
Jeżeli ocena skutków dla ochrony danych, o której mowa powyżej wskaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby Visus VR nie zastosował środków w celu zminimalizowania tego ryzyka, to przed rozpoczęciem przetwarzania Visus VR konsultuje się z organem nadzorczym.

11. Status Inspektora Ochrony Danych
Visus VR mając na uwadze konieczność prowadzenia stałego nadzoru nad przestrzeganiem zasad ochrony danych osobowych, a także stosowania odpowiednich środków ochrony może powołać/wyznaczyć pełnomocnika ds. Polityki ochrony danych osobowych w osobie Inspektora Ochrony Danych (IOD).
IOD podlega bezpośrednio kierownictwu Visus VR lub AL i działa na podstawie udzielonego mu upoważnienia.
Visus VR zapewnia środki oraz organizacyjną odrębność IOD niezbędną do niezależnego wykonywania przez niego zadań. Zarząd oraz podmiot przetwarzający zapewniają, by IOD nie otrzymywał instrukcji dotyczących wykonywania powierzonych mu do realizacji zadań.
O ile jest to możliwe IOD może wykonywać inne zadania i obowiązki. Visus VR zapewnia, by takie zadania i obowiązki nie powodowały konfliktu interesów.
Visus VR wspiera IOD w wypełnianiu przez niego zadań, zapewniając mu zasoby niezbędne do wykonania tych zadań oraz w sytuacjach tego wymagających dostęp do danych osobowych oraz operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.
Powołanie IOD przez Visus VR jest obligatoryjne w sytuacji, gdy:
– działalność Visus VR polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
– główna działalność Visus VR polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych bądź danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

12. Przystąpienie do procesu przetwarzania
Do przetwarzania danych w Visus VR mogą być dopuszczone wyłącznie osoby:
– uświadomione w zakresie przetwarzania i ochrony danych;
– którym nadano upoważnienie do przetwarzania danych osobowych.
Upoważnienia do przetwarzania danych może udzielić Zarząd, kierownik jednostki Visus VR, bezpośredni przełożony bądź IOD.
Każdy, dopuszczony do przetwarzania danych osobowych przez Visus VR, po otrzymaniu upoważnienia do przetwarzania danych osobowych oraz po odbyciu szkolenia, składa oświadczenie o poufności, którego treść może być kształtowana w zależności od zakresu powierzonych obowiązków.
W przypadku, gdy do przetwarzania danych osobowych dopuszczona jest osoba, zatrudniona w Visus VR na podstawie cywilnoprawnych form zatrudnienia, z osobą taką, po nadaniu jej przez Visus VR odpowiedniego upoważnienia do przetwarzania danych osobowych, zalecane jest zawarcie umowy o poufności (NDA).
Visus VR prowadzi ewidencję osób upoważnionych.
Osoba udzielająca upoważnienia odpowiada za niezwłoczne zgłoszenie do prowadzącego ewidencję upoważnionych osób, które uzyskały albo utraciły uprawnienia dostępu do danych bądź zakres ich dostępu do danych uległ zmianie.
Zakres upoważnienia dostępu do danych, o którym mowa powyżej musi być aktualny. W przypadku przedłużającej się nieobecności osoby upoważnionej lub zaprzestania wykonywania przez nią części lub wszystkich obowiązków albo zwiększenia zakresu pełnionych obowiązków uzasadniających potrzebę zmiany uprawnień dostępu do danych osobowych, zakres dostępu musi być zmieniony – stosownie anulowany, ograniczony bądź zwiększony. W przypadku zmiany zakresu dostępu do danych niezbędne jest dokonanie zmian w ewidencji osób upoważnionych.
Utrata uprawnień do przetwarzania danych osobowych wynikających z upoważnienia do przetwarzania danych osobowych może nastąpić z powodu:
– rozwiązania stosunku pracy bądź innego stosunku prawnego łączącego osobę upoważnioną z Visus VR;
– zmiany stanowiska pracy lub zakresu obowiązków;
– naruszenia zasad ochrony danych osobowych.
W każdym przypadku osoba upoważniona do przetwarzania jest zobowiązana w szczególności do:
– zapoznania się i postępowania zgodnie z zasadami przetwarzania danych w Visus VR;
– zachowania poufności danych osobowych oraz informacji o sposobach ich zabezpieczenia;
– ochrony danych chronionych przed nieuprawnionym dostępem, ujawnieniem, modyfikacją, zniszczeniem lub zniekształceniem;
– wykonywania konkretnych działań i procesów w celu zapewnienia najwyższego poziomu bezpieczeństwa danych osobowych;
– informowania o każdym przypadku bądź podejrzeniu naruszenia zasad lub środków ochrony danych;
– przechowywania dokumentów lub nośników informacji zawierających dane osobowe w miejscu niedostępnym dla osób spoza grona podmiotów i osób upoważnionych do ich przetwarzania;
– niepozostawiania informacji zawierających dane osobowe przy urządzeniach służących do wydruku, do których mogą mieć dostęp osoby nieupoważnione tj. przy kopiarkach, drukarkach czy faksach;
– pracy w systemach informatycznych służących do przetwarzania danych jedynie na przypisanych kontach;
– zachowania poufności udostępnionych haseł oraz kodów dostępu;
– odpowiedniego zabezpieczenia pomieszczenia obejmującego obszar przetwarzania, jeżeli nie pozostaje w nim inna osoba upoważniona, zarówno w godzinach pracy, jak i po jej zakończeniu;
– niepozostawiania bez nadzoru jakichkolwiek dokumentów zawierających dane osobowe;
– niszczenia nieprzydatnych dokumentów zawierających informacje chronione w sposób uniemożliwiający ich ponowne odczytanie.

13. Obszar przetwarzania danych osobowych
Dane osobowe znajdujące się w posiadaniu Visus VR powinny być przetwarzane w wyznaczonych do tego pomieszczeniach lub strefach, na które mogą składać się m.in. pomieszczenia biurowe oraz ich części, gdzie Visus VR prowadzi swoją działalność bądź lokuje dane objęte obowiązkiem ochrony.
Przetwarzanie danych osobowych poza zdefiniowanym obszarem przetwarzania jest dopuszczalne jedynie
w przypadku, gdy jest to niezbędne do realizacji celu przetwarzania lub osoba upoważniona wykorzystuje do tego urządzenie przenośne udostępnione jej przez Visus VR bądź urządzenie własne spełniające warunki bezpieczeństwa zgodnie z normami Visus VR.
W obszarze przetwarzania przebywać mogą jedynie osoby do tego upoważnione.
Osoba nieupoważniona może przebywać w obszarze przetwarzania jedynie pod nadzorem osoby upoważnionej lub za zgodą Visus VR samodzielnie.
Pomieszczenia wchodzące w skład obszaru przetwarzania powinny być (o ile to możliwe) zamykane podczas nieobecności osób upoważnionych lub po godzinach pracy w sposób skutecznie ograniczający możliwość dostępu do nich osobom nieupoważnionym.
Ochrona obszarów przetwarzania powinna być gwarantowana przez odpowiednie fizyczne zabezpieczenia wejścia zapewniające, że tylko osoby upoważnione mogą uzyskać do nich dostęp. W tym celu osoby upoważnione są zobowiązane do zapewnienia:
– nadzoru pobytu osób nie będących pracownikami/współpracownikami Visus VR;
– kontroli oraz ograniczenia dostępu do obszarów przetwarzania przez osoby nieuprawnione.

Dostęp do obszarów kluczowych
Dostęp do obszarów kluczowych dla procesów przewarzania i zabezpieczenia danych (m.in. serwerowni, archiwów etc.) powinien być dostępny jedynie dla:
– osób, których dostęp do obszarów kluczowych jest niezbędny z uwagi na realizowane zadania/obowiązki;
– Zarządu – odpowiednio w zakresie poszczególnych jednostek.

Visus VR powinien prowadzić ewidencję obszarów przetwarzania oraz stosowanych fizycznych i organizacyjnych środków zabezpieczeń.

14. Przetwarzanie danych osobowych poza obszarem zdefiniowanym
Przetwarzanie bądź przechowywanie danych osobowych na urządzeniach przenośnych (m.in. komputerach przenośnych oraz urządzeniach mobilnych) lub zewnętrznych nośnikach pamięci w tym poza określonym obszarem przetwarzania Visus VR powinno być ograniczone do niezbędnego minimum.
Każde urządzenie przenośne oraz zewnętrzny nośnik pamięci w celu ochrony danych musi być zabezpieczony indywidualnym hasłem oraz loginem – w przypadku urządzeń przenośnych.
Użytkownik urządzenia przenośnego lub zewnętrznego nośnika pamięci wykorzystywanego do przetwarzania danych poza zdefiniowanym obszarem przetwarzania zobowiązany jest do:
– przechowywania przedmiotowych danych na dysku szyfrowanym oraz zabezpieczonym hasłem;
– cyklicznej zmiany stosowanych haseł gwarantującej odpowiedni poziom bezpieczeństwa w odniesieniu do skali zagrożeń oraz ryzyka naruszenia;
– transportu urządzenia w sposób minimalizujący ryzyko jego kradzieży lub zniszczenia;
– korzystania w sposób minimalizujący ryzyko podejrzenia lub przejęcia przetwarzanych danych przez osoby nieupoważnione (w szczególności zaleca się unikanie z korzystania, z urządzenia przenośnego bądź zewnętrznego nośnika w miejscach publicznych);
– uniemożliwienia korzystania z urządzenia przenośnego lub zewnętrznego nośnika osobom do tego nieuprawnionym w tym: rodzinie, dzieciom, znajomym;
– zabezpieczenia urządzenia przenośnego hasłem i utrzymania konfiguracji oprogramowania systemowego w stanie wymuszającym korzystanie z hasła;
– blokowania dostępu do urządzenia przenośnego lub zewnętrznego nośnika w przypadku, gdy nie są wykorzystywane;
– niepodłączania do niezabezpieczonych sieci bezprzewodowych poza obszarem przetwarzania;
– niepodłączania zewnętrznych nośników, na których znajdują się informacje chronione do urządzeń nienależących do Visus VR;
– regularnego i częstego kopiowania danych przetwarzanych na urządzeniu przenośnym lub przechowywanych na zewnętrznych nośnikach do systemów Visus VR- w celu umożliwienia wykonania kopii zapasowej;
– cyklicznego podłączania urządzenia przenośnego do sieci w celu wykonania aktualizacji oprogramowania (w tym oprogramowania odpowiadającego za zabezpieczenie).

Za pierwotne zabezpieczenie urządzeń przenośnych oraz wykorzystywanych przez osoby uprawnione zewnętrznych nośników odpowiada Visus VR. Stan urządzeń powinien być kontrolowany lub weryfikowany w okresowych sprawdzeniach niemniej osoby uprawnione są zobowiązane do stałej kontroli środków zabezpieczeń.
Zabezpieczenie urządzeń przenośnych oraz nośników powinno przynajmniej polegać na:
– zabezpieczeniu danych dodatkowo poprzez np. wykorzystanie oprogramowania szyfrującego;
– instalacji, konfiguracji oraz stałej aktualizacji oprogramowania antywirusowego.

W przypadku zgubienia lub kradzieży urządzenia przenośnego, bądź zewnętrznego nośnika danych, na których znajdowały się dane objęte obowiązkiem ochrony, osoba uprawniona zobowiązana jest do natychmiastowego powiadomienia o takim zdarzeniu zgodnie z zasadami informowania w przypadku naruszenia zasad ochrony danych osobowych.
Każdy z członków Visus VR powinien prowadzić ewidencję urządzeń przenośnych wykorzystywanych do przetwarzania danych poza zdefiniowanym obszarem przetwarzania.
Użytkowanie prywatnych urządzeń przenośnych w celach służbowych nie jest co do zasady dopuszczalne, chyba, że wymaga tego rodzaj powierzonych obowiązków i pod warunkiem, iż osoba wykorzystująca prywatne urządzenie przenośne zapewni ochronę danych tożsamą z ochroną urządzeń Visus VR.
W przypadku utraty prywatnego urządzenia przenośnego, na którym zapisano informacje objęte obowiązkiem ochrony – zdarzenie to jest traktowane jako incydent bezpieczeństwa i osoba upoważniona jest zobowiązana niezwłocznie poinformować o zaistniałym fakcie Visus VR.

15. Udostępnienie danych osobowych
Udostępnienie danych osobowych osobie nieupoważnionej do przetwarzania może nastąpić wyłącznie za zgodą Visus VR oraz zgodnie z przepisami prawa.
Ponadto – na skutek akceptacji uzasadnionego wniosku, dane osobowe mogą być udostępnione podmiotom uprawnionym do ich otrzymania na mocy przepisów prawa (np. organom ścigania, sądom, organom egzekucji itp.).
Przed udostępnieniem dokonuje się weryfikacji każdego przypadku żądania udostępnienia.
W przypadku wniosku pochodzącego od osoby, której dane dotyczą udostępnienie informacji zgodnie z zakresem jej uprawnień powinno nastąpić nie później niż w terminie 30 dni liczonego od daty otrzymania stosownego wniosku – chyba, że przepisy prawa stanowią inaczej.
Udostępniając dane osobowe należy zaznaczyć, że można je wykorzystywać wyłącznie zgodnie
z przeznaczeniem, dla którego zostały udostępnione.
Visus VR ma prawo odmówić udostępnienia danych chronionych w szczególności, gdy spowodowałoby to:
– ujawnienie wiadomości zawierających informacje niejawne;
– zagrożenie dla obronności lub bezpieczeństwa państwa, życia i zdrowia ludzi lub bezpieczeństwa
i porządku publicznego;
– zagrożenie dla podstawowego interesu gospodarczego lub finansowego Visus VR;
– istotne naruszenie dóbr osobistych osób, których dane dotyczą, lub innych osób.

16. Przekazanie przetwarzania danych osobowych
W zakresie korzystania z usług zewnętrznych Visus VR dopuszcza możliwość przekazania przetwarzania danych osobowych poza zakres własnej struktury organizacyjnej. Podmiot otrzymujący procesy przetwarzania („Procesor”) może realizować je w imieniu Visus VR.
Jeżeli przetwarzanie ma być dokonywane w imieniu Visus VR, korzysta ona wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało odpowiednie wymogi i chroniło prawa osób, których dane dotyczą.
Procesor nie może korzystać z usług innego Procesora bez uprzedniej szczegółowej lub ogólnej pisemnej zgody Visus VR. W przypadku ogólnej pisemnej zgody podmiot przetwarzający powinien informować Visus VR o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym Visus VR lub Administratorowi (o ile Visus VR nim nie jest) możliwość wyrażenia sprzeciwu.
Umowa przekazania przetwarzania danych osobowych
Przekazanie przetwarzania odbywa się na podstawie umowy lub innego instrumentu prawnego, który podlega prawu Unii Europejskiej lub prawu państwa członkowskiego i wiąże Procesora oraz Visus VR, określając w szczególności:
– przedmiot i czas trwania przetwarzania;
– charakter i cel przetwarzania;
– rodzaj danych osobowych oraz kategorie osób, których dane dotyczą;
– obowiązki i prawa przekazującego jak i przetwarzającego – procesora.

Ponadto umowa lub inny instrument prawny powinny stanowić w szczególności, że Procesor:
– przetwarza dane osobowe wyłącznie na udokumentowane polecenie;
– zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania poufności lub by podlegały odpowiedniemu prawnemu obowiązkowi zachowania tajemnicy;
– podejmuje wszelkie środki bezpieczeństwa oraz przestrzega warunków korzystania z usług innego podmiotu przetwarzającego;
– biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej uprawnień;
– po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji powierzającego usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że przepisy prawa nakazują przechowywanie;
– udostępnia wszelkie informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwia przeprowadzanie audytów, w tym sprawdzeń.

Wszelkie informacje w zakresie przekazania bądź planowanego przekazania przetwarzania danych osobowych powinny być kierowane do Visus VR w celu weryfikacji spełnienia odpowiednich warunków przekazania.
Przed podjęciem decyzji o przekazaniu przetwarzania zasadne jest zweryfikowanie drogą sprawdzenia faktycznych warunków przetwarzania danych u Procesora.
W zakresie uzyskiwania przez Visus VR danych osobowych na zasadzie przekazania do przetwarzania postanowienia niniejszego pkt mają odpowiednie zastosowanie.

17. Przekazanie danych do państw trzecich
Przekazanie lub lokowanie danych osobowych w państwie trzecim (spoza Europejskiego Obszaru Gospodarczego) lub do organizacji międzynarodowej może nastąpić wyłącznie:
– gdy Komisja Europejska stwierdziła na mocy decyzji, że to państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub dana organizacja międzynarodowa zapewniają odpowiedni stopień ochrony;
– z zastrzeżeniem odpowiednich zabezpieczeń;
– na podstawie wiążących reguł korporacyjnych;
– osoba, której dane dotyczą, poinformowana o ewentualnym ryzyku, z którymi – ze względu na brak decyzji KE stwierdzającej odpowiedni stopień ochrony oraz na brak odpowiednich zabezpieczeń – może się dla niej wiązać proponowane przekazanie, wyraźnie wyraziła na nie zgodę;
– przekazanie jest niezbędne do wykonania umowy między osobą, której dane dotyczą, a Visus VR lub do wprowadzenia w życie środków przed umownych podejmowanych na żądanie osoby, której dane dotyczą;
– przekazanie jest niezbędne do zawarcia lub wykonania umowy zawartej w interesie osoby, których dane dotyczą, między Visus VR a inną osobą fizyczną lub prawną;
– przekazanie jest niezbędne ze względu na ważne względy interesu publicznego;
– przekazanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń;
– przekazanie jest niezbędne do ochrony żywotnych interesów osoby, których dane dotyczą, lub innych osób, jeżeli osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
– przekazanie następuje z rejestru, który zgodnie z prawem Unii Europejskiej lub prawem państwa członkowskiego ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes – ale wyłącznie w zakresie, w jakim w danym przypadku spełnione zostały warunki takiego dostępu określone w prawie Unii lub w prawie państwa członkowskiego.
Możliwość oraz podstawy przekazania danych poza obszar EOG zawsze powinno być zawsze poprzedzone stosowną analizą w zakresie odpowiednich gwarancji bezpieczeństwa i ochrony.

18. Przetwarzanie danych w zbiorach nieinformatycznych
Zbiory nieinformatyczne (prowadzone w formie tradycyjnej – papierowej) zawierające dane osobowe powinny być odpowiednio zabezpieczone przed nieuprawnionym dostępem oraz zniszczeniem.

Dokumenty oraz wydruki, zawierające dane osobowe, należy przechowywać w pomieszczeniach do których dostęp mają jedynie osoby uprawnione.

Na czas, gdy dokumenty i wydruki zawierające dane osobowe nie są wykorzystywane powinny być niedostępne dla osób nieuprawnionych.

Wydruki robocze, błędne lub zdezaktualizowane powinny być niezwłocznie niszczone w sposób mechaniczny z wykorzystaniem niszczarek lub w inny sposób zapewniający skuteczne ich usunięcie lub zanonimizowanie.

19. Przetwarzanie danych osobowych w zbiorach informatycznych
Standardy systemu informatycznego służącego do przetwarzania danych osobowych
Każdy z systemów informatycznych wykorzystywanych do przetwarzania danych osobowych powinien spełniać standardy określone poniżej.
Zasady użytkowania i zarządzania systemem służącym do przetwarzania danych osobowych oraz wytyczne powinny być przekazane osobom odpowiedzialnym w Visus VR, za ich realizację stosownie do przydzielonych uprawnień, zakresu obowiązków oraz odpowiedzialności.

Chronione zasoby
1. Sprzęt komputerowy
– serwery;
– notebooki oraz inne urządzenia przenośne;
– infrastruktura sieciowa.
2. Oprogramowanie
– system pocztowy;
– portale intranetowe;
– inne narzędzia lub platformy wykorzystywane do prowadzenia działalności.
3. Dane
– systemów pocztowych;
– serwerów plików.
4. Ludzie
– użytkownicy oraz osób o dostępie uprzywilejowanym (administratorzy).
5. Dokumentacja
– sprzętu;
– oprogramowania, lokalnych regulaminów i procedur postępowania.
6. Inne materialne zasoby
– serwerownie;
– archiwa.

Dbałość o ciągłość działania systemów – zasilanie, przywracanie
Zaleca się, aby kluczowe urządzenia systemów przetwarzania danych (nieposiadające własnych źródeł zasilania) były podłączone do urządzeń podtrzymujących napięcie (UPS). Serwisowanie urządzeń oraz sprzętu związanego z bezpieczeństwem przetwarzania informacji powinno następować w możliwie krótkim czasie od wykrycia jego awarii.
Szybkie przywrócenie właściwego stanu technicznego urządzeń ma na celu wyeliminowanie z użycia sprzętu, który nie spełnia parametrów określonych przez szczegółowe instrukcje dotyczące elementów systemu przetwarzania danych osobowych. W szczególności oznacza to, iż nie jest dopuszczalne rezygnowanie z zabezpieczeń z powodu ich wadliwego działania spowodowanego awarią (np. pominięcie firewall z powodu uszkodzenia).
W czasie, gdy sprzęt będący istotnym elementem infrastruktury IT Visus VR przebywa w serwisie, Visus VR powinno zapewnić sprzęt o właściwościach identycznych lub przewyższających go funkcjonalnością. Może w tym celu zastosować urządzenia mniej ważnej części podległej sieci lub może zwrócić się do jednostki nadrzędnej o użyczenie sprzętu na czas usunięcia awarii.
Sposób przepływu danych osobowych pomiędzy systemami
Sposób przepływu danych osobowych pomiędzy poszczególnymi systemami powinien zostać opisany
w dokumentacji tych systemów lub w dokumentacji technicznej połączenia systemów. Należy zamieścić również informacje o danych, które przenoszone są pomiędzy systemami w sposób manualny (przy wykorzystaniu zewnętrznych nośników danych) lub półautomatycznie – za pomocą teletransmisji (przy wykorzystaniu funkcji eksportu/importu danych), wykonywanych w określonych odstępach czasu, np. wysyłka plików do CRM.
Dla identyfikacji procesów przetwarzania danych osobowych szczególne znaczenie ma przepływ danych
w systemach z rozproszonymi bazami danych. W rozproszonej bazie danych, dane zlokalizowane są
w rożnych lokalizacjach oddalonych od siebie terytorialnie i mogą zawierać, w zależności od lokalizacji, rożne zakresy danych. Należy wskazać zakres przesyłanych danych, podmiotu lub kategorii podmiotów, do których dane są przekazywane oraz ogólnych informacji na temat sposobu przesyłania danych (Internet, poczta elektroniczna, inne rozwiązania), które mogą decydować o rodzaju narzędzi niezbędnych do zapewnienia ich bezpieczeństwa podczas teletransmisji.
Dostęp do zasobów
Każdy użytkownik uzyskuje prawo dostępu do wybranych zasobów z racji wykonywanych obowiązków,
a w ślad za tym przynależności do poszczególnych grup zabezpieczeń. Dodatkowo użytkownik może uzyskać dostęp do innych zasobów po uprzednim uzyskaniu zgody przełożonego.
Zalecane jest, aby dostęp do zasobów monitorowany był w następujących obszarach kontroli:
– dostępu do sieci;
– dostępu do aplikacji.

Dostęp zdalny do zasobów Visus VR lub jednostki podległej poza siecią lokalną Visus VR możliwy powinien być poprzez kanały szyfrowane (w tym VPN) oraz w miarę możliwości w oparciu o dwuskładnikowe uwierzytelnienie.
Telefony komórkowe
Telefony komórkowe mogą posiadać dostęp do poczty służbowej, dlatego bezwzględnie należy stosować blokadę urządzenia za pomocą kodu oraz inne środki gwarantujące poufność i zabezpieczenie dostępu do danych.
W przypadku korzystania z funkcjonalności poczty służbowej w telefonie Użytkownik ma obowiązek posiadania co najmniej włączonej opcji „kodu blokady” oraz szyfrowania danych.
W przypadku utraty urządzenia, należy bezzwłocznie zgłosić ten fakt do przełożonego zgodnie z procedurami zgłaszania naruszenia.
Konta użytkowników
Każdy pracownik/współpracownik zatrudniony w Visus VR lub jednostce podległej, powinien posiadać konto wg określonych wewnętrznie standardów.
Z zastrzeżeniem korzystania z kont funkcyjnych w konta może korzystać tylko osoba, do której jest ono przypisane.
Techniczne oraz organizacyjne środki ochrony
Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych o rożnym prawdopodobieństwie wystąpienia i wadze zagrożenia systemy informatyczne służące do przetwarzania danych osobowych eksploatowane przez Visus VR powinny w stosownym przypadku posiadać mechanizmy zapewniające w szczególności:
– ochronę i kontrolę dostępu do aplikacji użytkowych;
– analizę modyfikacji danych;
– kontrolę błędów wprowadzanych danych;
– analizę poprawności przesyłanych danych;
– kontrolę uprawnień;
– szyfrowanie danych;
– anonimizację.

Visus VR wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa danych osobowych odpowiadający ryzyku naruszenia o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, w tym między innymi w stosownym przypadku:
– pseudonimizację i szyfrowanie danych osobowych;
– zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania;
– zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
– regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Oceniając, czy stopień bezpieczeństwa jest odpowiedni, Visus VR uwzględnia ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Klasy użytkowników – środki ochrony dostępu
Każdy z systemów informatycznych wykorzystywany do przetwarzania danych osobowych powinien posiadać co najmniej 2 (dwie) klasy użytkowników:
– Administratorzy – użytkownicy zarządzający systemem informatycznym upoważnieni do nadawania praw dostępu i nadzorujący jego użytkowania;
– Użytkownicy – pozostali korzystający z systemu informatycznego, którzy uzyskali uprawnienia do korzystania z systemu w celu realizacji obowiązków służbowych.

Użytkownicy systemów informatycznych służących do przetwarzania danych osobowych powinni zostać przeszkoleni przed rozpoczęciem pracy w systemie w zakresie zasad ich zabezpieczenia.
Identyfikatory oraz hasła (lub inne środki uwierzytelniania) umożliwiające dostęp do systemu powinny być przekazane w formie zapewniającej ich poufność.
Każdy z systemów informatycznych służących do przetwarzania danych osobowych powinien używać odpowiednich metod ochrony podczas autoryzacji użytkowników oraz zapewniać odpowiednio wysoki poziom bezpieczeństwa transmisji i przetwarzania danych.
Nadawanie uprawnień dostępu
O nadanie stosownych uprawnień dostępu do systemów wykorzystywanych w celach przetwarzania danych powinni wnioskować bezpośredni przełożeni lub kierownicy jednostek (wydziałów, departamentów, zespołów etc.), którym podlega osoba upoważniona.
Do przetwarzania danych osobowych w systemach powinny być dopuszczone jedynie osoby posiadające upoważnienie do przetwarzania oraz jedynie w zakresie niezbędnym do realizacji powierzonych obowiązków i posiadanych kompetencji.
Przy realizacji wniosku o dostęp do systemu, udzielający nadaje:
– jednoznaczny i niepowtarzalny identyfikator logowania;
– hasło dostępu, które użytkownik powinien zmienić z chwilą pierwszego zalogowania się systemu;
– dostęp do przetwarzania danych zgodnie z zakresem obowiązków służbowych;

Przydzielający uprawnienia dostępowe może znać hasło użytkownika tylko w momencie jego nadawania, hasła powinny być przechowywane w systemie informatycznym w postaci zaszyfrowanej.

Użytkownik jest w pełni odpowiedzialny za wszystkie czynności wykonywane w systemie przy użyciu posiadanego identyfikatora oraz hasła.
Każda zmiana zakresu obowiązków osoby upoważnionej do przetwarzania danych powodująca konieczność zmiany uprawnień (roli) w systemie informatycznym służącym do przetwarzania powinna być zgłaszana i realizowana.
W przypadku zaistnienia okoliczności utraty przez użytkownika stosownych uprawnień do przetwarzania danych, dział IT na polecenie przełożonego użytkownika dokonuje wszelkich czynności mających na celu pozbawienie dostępu do systemu informatycznego i uniemożliwienie przetwarzania danych przez takiego użytkownika. W takiej sytuacji Identyfikator użytkownika jest blokowany uniemożliwiając tym samym zalogowanie się do systemu z jego wykorzystaniem.
Identyfikator użytkownika raz przydzielony nie podlega ponownemu przydzieleniu lub zmianie. Zmiana identyfikatora może nastąpić jedynie wtedy, gdy pierwotny zostanie ujawniony i wykorzystany w celu uzyskania dostępu do systemu przez osobę nieuprawnioną.
Eksploatacja, konserwacja systemów oraz sprzętu, niszczenie nośników
Przeglądów i konserwacji sprzętu wykorzystywanego do przetwarzania danych osobowych dokonuje się w miarę potrzeb wynikających z jego obciążenia, warunków użytkowania oraz przydatności sprzętu w aspekcie funkcjonowania całości systemu informatycznego.
Prace dotyczące przeglądów, konserwacji oraz naprawy powinny być dokonywane bezpośrednio przez dział IT, bądź przez wykwalifikowane podmioty pod nadzorem personelu Visus VR bez możliwości dostępu przez nie do danych chronionych np. z wykorzystaniem odpowiednich dysków serwisowych.

Urządzenia, dyski lub inne elektroniczne nośniki informacji, zawierające dane osobowe, przeznaczone do:
– likwidacji – pozbawia się wcześniej zapisu tych danych, a w przypadku, gdy nie jest to możliwe, uszkadza się je w sposób, uniemożliwiający ich odczytanie;
– przekazania podmiotowi nieuprawnionemu do przetwarzania danych – pozbawia się wcześniej zapisu tych danych, w sposób uniemożliwiający ich odzyskanie;
– naprawy – pozbawia się wcześniej zapisu tych danych w sposób uniemożliwiający ich odzyskanie albo naprawia się je pod nadzorem.

Usuwanie danych osobowych, zawartych na nośnikach może nastąpić poprzez powierzenie tych nośników wyspecjalizowanemu w tym zakresie podmiotowi trzeciemu.

Usunięcie danych osobowych może nastąpić również w procesie nadpisania usuwanych informacji
w sposób uniemożliwiający ich ponowny odczyt.
W celu usunięcia danych chronionych może zostać zastosowana również metoda fizycznego zniszczenia nośnika, w sposób uniemożliwiający ich ponowny odczyt.
Użytkowanie urządzeń oraz oprogramowania
Sprzęt służący do przetwarzania danych osobowych powinien być wykorzystywany jedynie w celach związanych z wykonywaniem powierzonych osobie uprawnionej obowiązków służbowych.

Zabronione jest:
– wykorzystywanie urządzenia służbowego do celów powszechnie uznanych za szkodliwe, niewłaściwe, niemoralne lub nielegalne;
– pobieranie z sieci Internet oraz rozsyłanie przy pomocy poczty elektronicznej informacji niezwiązanych
z realizowanymi obowiązkami;
– nieprzestrzeganie praw autorskich w stosunku do materiałów zamieszczanych w sieci Internet.

Zabronione jest dokonywanie zmian w systemie, instalacja zewnętrznego oprogramowania bądź ingerencja w sprzęt służący do przetwarzania danych osobowych, jeżeli może wpłynąć to na funkcjonowanie zastosowanych środków bezpieczeństwa danych osobowych lub też Visus VR nie posiada uprawnień do wykorzystywania oprogramowania np. z powodu braku wymaganych licencji.
Zasady korzystania z Internetu
Visus VR zezwala pracownikom i współpracownikom na dostęp do sieci publicznej Internet. Każdy pracownik lub współpracownik powinien dbać o publiczny wizerunek Visus VR w Internecie i stosować się do poniższych wytycznych:
– osoba reprezentująca Visus VR na zewnątrz powinna korzystać z Sieci w sposób efektywny, etyczny oraz zgodny z prawem;
– służbowe rozmowy za pośrednictwem komunikatorów powinny być wykorzystywane głównie do prowadzenia działalności Visus VR albo uzyskiwania pomocy technicznej;
– do baz danych należy sięgać jedynie w celu uzyskania potrzebnych informacji;
– poczta elektroniczna powinna być używana do celów korespondencji służbowej;
– używanie Internetu nie może przeszkadzać w wykorzystywaniu sieci lokalnej Visus VR;
– korzystanie z Internetu nie może szkodzić wydajności pracownika oraz sprzętu. Dostęp każdego pracownika może zostać ograniczony przez kierownictwo jednostki;
– każdy pracownik jest odpowiedzialny za tekstową, dźwiękową czy graficzną zawartość wysyłanych oraz odbieranych informacji. Zabrania się przesyłania informacji oszukańczych, napastliwych czy obscenicznych. Każda wiadomość musi być opatrzona identyfikatorem nadawcy, przy czym nadawca nie może udawać kogoś innego czy w jakikolwiek sposób ukrywać pochodzenie informacji;
– użytkownikom nie wolno kopiować, usuwać czy zmieniać nazw informacji lub programów należących do innych osób lub Visus VR;
– Visus VR posiada uprawnienie dostępu do informacji wysyłanych lub otrzymywanych przez pracowników z wykorzystaniem służbowych kanałów korespondencji. Wszystkie informacje mogą podlegać wglądowi stron trzecich, np. organów prawa;
– zabrania się napastowania innych osób z pobudek rasowych, religijnych, narodowych, seksualnych
i jakichkolwiek innych lub przetwarzania w tym zakresie danych osobowych;
– pracownikowi nie wolno wykorzystywać danych czy oprogramowania innych osób bez ich zezwolenia;
– zabronione jest stosowanie programów dekodujących hasła i używanie technik omijających środki bezpieczeństwa Visus VR;
– nie wolno wykorzystywać systemów Visus VR dla prowadzenia działalności politycznej;
– zabrania się szkodzenia systemom Visus VR i jej zasobom informacyjnym przez rozpowszechnianie szkodliwych kodów czy niszczenie plików;
– pracownik nie może używać służbowej poczty elektronicznej i innych technik komunikacyjnych dla napastowania, zastraszania czy jakiegokolwiek niepokojenia innych osób;
– zabronione jest wykorzystywanie systemów Visus VR do uzyskiwania osobistych korzyści majątkowych;
– nie zezwala się na pobieranie i instalowanie oprogramowania typu public domain, freeware i shareware bez uprzedniej zgody pracownika działu IT lub przełożonego, jeżeli oprogramowanie to może negatywnie wpłynąć na zastosowane środki bezpieczeństwa;
– nie wolno instalować i uruchamiać oprogramowania czy otwierać jakichkolwiek pobranych materiałów bez uprzedniej kontroli antywirusowej;
– każde naruszenie zasad może pociągnąć za sobą postępowanie dyscyplinarne ze strony Visus VR lub jednostki podległej.

Sieć lokalna
Sieć lokalna Visus VR powinna być zabezpieczona przed dostępem z zewnątrz (np. firewallem lub odpowiednim protokołem), dodatkowo na urządzeniach przenośnych zainstalowane powinny być osobiste zapory uniemożliwiające nieautoryzowany dostęp do urządzenia, kiedy te znajduje się poza obszarem przetwarzania.

Proponowane zabezpieczenie sieci:
– kontrola dostępu sieciowego do serwerów
– kontrola dostęp do urządzeń sieciowych
– VPN

Kopie bezpieczeństwa
W Visus VR tworzy się kopie zapasowe zbiorów danych chronionych oraz programów i narzędzi programowych służących do ich przetwarzania.

W zależności od struktury systemu informatycznego służącego do przetwarzania danych zalecane jest tworzenie:
– kopii przyrostowych danych oraz systemów informatycznych używanych do ich przetwarzania;
– kopii pełnych danych oraz systemów informatycznych używanych do ich przetwarzania.

Kopie mogą być tworzone z użyciem pamięci przenośnej, trwałych nośników informacji bądź innej technologii gwarantującej odpowiednio wysoki poziom zabezpieczenia danych. W każdym razie kopie danych nie mogą znajdować się w jednej logicznej/narzędziowej lokacji z danymi właściwymi.

Posiadane kopie danych powinny być:
– sprawdzane cyklicznie pod kątem ich dalszej przydatności do odtworzenia danych w przypadku awarii systemu informatycznego;
– usuwane bezzwłocznie po ustaniu ich użyteczności w sposób trwały i uniemożliwiający ponowny odczyt.

Oprogramowanie zabezpieczające, programy zabronione
Systemy oraz narzędzia wykorzystywane do przetwarzania danych osobowych powinny być zabezpieczone w mechanizmy ochrony przed działaniem szkodliwego oprogramowania. Zabezpieczone powinny być
w szczególności następujące obszary:
– ochrona komputerów;
– ochrona serwera poczty;
– system antyspamowy;
– ochrona serwerów.

Ochrona antywirusowa powinna być monitorowana, pod kątem intensywności zagrożeń, aktualizacji baz. Zabronione jest wyłączanie narzędzi przeciwdziałających szkodliwemu oprogramowaniu.

Można dopuścić instalowanie przez pracowników oprogramowania dodatkowego nieuwzględnionego domyślnie w urządzeniu, pod warunkiem, że nie wpływa negatywnie na poziom bezpieczeństwa.

20. Postępowanie w przypadku naruszenia ochrony danych osobowych
Okoliczności naruszenia ochrony danych
Przed przystąpieniem do przetwarzania danych chronionych osoba upoważniona jest zobowiązana sprawdzić stan urządzeń służących do przetwarzania danych oraz dokonać oględzin obszaru przetwarzania w celu sprawdzenia, czy nie zaszły okoliczności wskazujące na naruszenie zasad ochrony informacji lub zastosowanych środków bezpieczeństwa.
Za okoliczności wskazujące na naruszenie zasad ochrony i zastosowanych środków bezpieczeństwa uznaje się w szczególności:
– nieuprawniony dostęp bądź próba nieuprawnionego dostępu do obszaru przetwarzania;
– stwierdzenie udostępnienia danych objętych poufnością osobie nieupoważnionej;
– stwierdzenie zewnętrznego naruszenia integralności systemu informatycznego;
– zalogowanie się do systemu informatycznego służącego do przetwarzania danych z wykorzystaniem identyfikatora oraz hasła innego użytkownika;
– kradzież sprzętu z użyciem, którego są przetwarzane dane osobowe lub nośników danych, na których dane się znajdują;
– dokonanie nieautoryzowanej kopii danych z użyciem nośnika zewnętrznego;
– ujawnienie wirusów komputerowych lub innych programów, które mogą mieć negatywny wpływ na funkcjonowanie systemu informatycznego bądź też integralność, dostępność lub poufność danych;
– inne zdarzenia losowe wskazujące bezpośrednio na naruszenie zasad lub środków bezpieczeństwa ochrony danych.
Działania wobec naruszenia
W przypadku stwierdzenia zaistnienia okoliczności wskazanych powyżej osoba upoważniona jest zobowiązana do natychmiastowego poinformowania o tym fakcie Visus VR.
Do czasu podjęcia przez Visus VR działań mających na celu wykluczenie zagrożenia osoba upoważniona, która zgłosiła zaistnienie okoliczności naruszenia jest zobowiązana do:
– powstrzymania się od rozpoczęcia bądź kontunuowania pracy oraz powstrzymania się od podejmowania działań, które mogły by spowodować zniszczenie śladów lub dowodów naruszenia;
– zabezpieczenia obszaru przetwarzania, systemu informatycznego lub kartotek oraz sprzętu wykorzystywanego do przetwarzania poprzez uniemożliwienie dostępu do nich osobom nieuprawnionym;
– podjęcia w zakresie możliwości działań mających na celu przeciwdziałanie zagrożeniu;
– wykonywania otrzymywanych poleceń.

Po otrzymaniu informacji w zakresie naruszenia w Visus VR podejmuje się wszelkie działania mające na celu ograniczenie zagrożenia oraz wykrycie sprawcy naruszenia, w tym:
– zabezpiecza się dane lub informacje wskazujące na naruszenie;
– ustala się okoliczności naruszenia lub zagrożenia biorąc pod uwagę w szczególności stan pomieszczeń obszaru przetwarzania oraz urządzeń lub systemów wykorzystywanych do przetwarzania;
– dokonuje się analizy rodzaju, zakresu oraz źródła naruszenia;
– podejmuje niezbędne działania naprawcze;
– bada się przyczyny naruszenia oraz podejmuje działania mające na celu wyeliminowanie podobnych zdarzeń zagrażających bezpieczeństwu danych w przyszłości;
– dokonuje się oceny czy naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych, których dane dotyczą.

Z przebiegu czynności podejmowanych wobec naruszenia zasad ochrony lub zastosowanych przez Visus VR środków bezpieczeństwa danych sporządza się raport uwzględniający w szczególności:
– dane osoby zgłaszającej naruszenie (imię i nazwisko, stanowisko, miejsce zatrudnienia);
– czas i miejsce powiadomienia oraz czas reakcji;
– charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywanie kategorii
i przybliżonej liczby osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
– konsekwencje naruszenia ochrony danych osobowych – ocenę ryzyka naruszenia praw lub wolności osób fizycznych, których dane dotyczą;
– środki zastosowane lub proponowane w celu zaradzenia naruszeniu ochrony danych osobowych, w tym
w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Wszelkie czynności podjęte w celu zapobieżenia naruszeniu mają prowadzić do przywrócenia poziomu ochrony i zastosowanych środków bezpieczeństwa danych sprzed naruszenia oraz uniemożliwić zaistnienie naruszenia w przyszłości.
Zgłoszenie naruszeń organowi nadzorczemu oraz podmiotowi danych
W przypadku stwierdzenia przez Visus VR, że wobec naruszenia ochrony danych osobowych prawdopodobne jest wystąpienie ryzyka naruszenia praw lub wolności osób fizycznych Visus VR bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza naruszenie organowi nadzorczemu – o ile tak stanowią przepisy prawa.
Jeżeli zgłoszenie, o którym mowa w poprzednim zdaniu nastąpiło po upływie 72 godzin po stwierdzeniu naruszenia do zgłoszenia przekazanego organowi nadzorczemu dołącza się wyjaśnienie przyczyn opóźnienia.
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, których dane dotyczą Visus VR i przepisy prawa tak stanowią bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu, chyba, że:
– wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
– zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą;
– zgłoszenie wymagałoby niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

W zakresie w jakim Visus VR występuje jako Przetwarzający zastosowanie znajdą postanowienia umowy o przetwarzanie danych zawartej przez Visus VR z Administratorem tych danych.

21. Okresowe sprawdzenia
Sprawdzenia i zastosowanie Polityki może być dokonywane w dowolnym momencie jak również w zakresie audytów bezpieczeństwa systemów realizowanych podczas sprawdzeń zewnętrznych.
Organizacja zmienia się, zmienia się jej struktura, wielkość, zatrudniani są nowi pracownicy, zmienia się system informatyczny w niej funkcjonujący, wreszcie zmienia się otaczający ją świat (np. rozwój globalnej sieci komputerowej i wzrost liczby związanych z nim zagrożeń). Dlatego też Polityka powinna być ciągle dostosowywana do pojawiających się nowych sytuacji i potrzeb.