Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

§ 14. 1. Komisja egzaminacyjna składa się z przewod-

4) ustrój organów ochrony prawnej z elementami pra. wa konstytucyjnego,

niczącego i sekretarza, którymi są sędziowie delegowani

do Ministerstwa Sprawiedliwości, oraz z 2 do 4 sędziów

5) organizację wewnętrznego urzędowania sądów

i zakres działania sekretariatów sądowych oraz innych działów administracji sądowej.

sądów powszechnych i referendarza sądowego.

2. Podczas egzaminu mogą być obecni prezesi są­

dów wojewódzkich i osoby zaproszone przez przewodniczącego.

§ 15. Termin i miejsce przeprowadzenia egzaminu

wyznacza przewodniczący komisji egzaminacyjnej, zawiadamiając o nich - co najmniej na 14 dni przed rozpoczęciem egzaminu - członków komisji i za pośred­

nictwem prezesów sądów wojewódzkich - aplikantów.

§ 16. 1. Egzamin składa się z części pisemnej i ust-

nej.

2. Część pisemna egzaminu odbywa się w obec-

Poz. 520 ·i 521

§ 18. 1. Warunkiem zdania części ustnej egzaminu

jest otrzymanie ocen pozytywnych ze wszystkich

przedmiotów.

2. Nie usprawiedliwione nieprzystąpienie do części

ustnej egzaminu lub rezygnacja z odpowiedzi w trakcie

jej trwania są równoznaczne z uzyskaniem oceny niedostatecznej.

§ 19. Oceny cząstkowe oraz końcowy wynik egzaminu określa się stopniami: celujący, bardzo dobry, dobry, dostateczny i niedostateczny.

ności co najmniej dwóch członków komisji .

§ 20. Oc enę końcową egzaminu komisja ustala

3. Część pis.e mna egzaminu odbywa się jednego

dnia i trwa cztery godziny.

4. Część pisemna egzaminu polega na załatwieniu

wniosku o wpis w postępowaniu wieczysto-księgo­

wym i rejestrowym.

5. Podczas części pisemnej egzaminu aplikant może posługiwać się tekstami przepisów prawnych, komentarzami i zbiorami orzeczeń.

6. Komisja ocenia odrębnie każdy z wniosków

o wpis, wystawiając dwa niezależne stopnie.

większością głosów.

W przypadku równej ilości gło­

sów decyduje głos przewodniczącego.

§ 21 . 1. W razie niedostatecznego wyniku egzaminu może on być powtórzony tylko raz, po upływie

trzech miesięcy od daty egzaminu poprzedniego, nie

póżniej jednak niż przed upływem roku .

2. Aplikant, który z usprawiedliwionych przyczyn

nie przystąpił do egzaminu w pierwszym terminie, może do niego przystąpić w terminie póżniejszym, w okresie nie dłuższym niż rok od ukończenia aplikacji .

§ 22. 1. Z przebiegu i wyników egzaminu sporządza

7. Ocena niedostateczna choćby z jednej czynności

powoduje niedopuszczenie do części ustnej egzaminu.

się protokół, który podpisują przewodniczący,

tarz i członkowie komisji .

8. Część ustna odbywa się po części pisemnej. Przeprowadzają ją poszczególni egzaminatorzy w obecności komisji; członkowie komisji mogą zadawać pytania

dodatkowe.

2. Osoby, które zdały egzamin, otrzymują świadec­

two zawierające ocen ę.

§ 17. 1. Zakres przedmiotowy części ustnej egzaminu obejmuje

1) postępowanie wieczysto-księgowe,

sekre-

§ 23. W sprawach nie uregulowanych w rozporzą­

dzeniu do aplikantów stosuje się odpowiednio przepisy ustawy o pracownikach urzędów państwowych oraz

wydanych na jej podstawie aktów wykonawczych.

§ 24. Rozporządz enie wchodzi w życie po upływie

14 dni od dnia ogłoszenia.

2) postępowanie rejestrowe,

3) prawo cywilne materialne i procesowe w zakresie

czynności wykonywanych przez referendarza są­

dowego,

Minister Sprawiedliwości: H. Suchocka

521

ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI

z dnia 3 czerwca 1998 r.

w sprawie określenia podstawowych warunków technicznych i organizacyjnych,

jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

Na podstawie art. 45 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U.

Nr 133, poz. 883) zarządza się, co następuje

§ 1. Ilekroć w rozporządzeniu jest mowa o

1) systemie informatycznym - należy przez to rozumieć system przetwarzania informacji wraz ze

związanymi z nim ludźmi oraz zasobami technicznymi i finansoyvymi, który dostarcza i rozprowadza

informacje,

.

.

-

3003-

2) zabezpieczeniu systemu informatycznego ~ należy

przez to rozumieć wdrożenie stosownych środków

administracyjnych, technicznych i fizycznych w celu zabezpieczenia zasobów technicznych oraz

ochrony przed modyfikacją, zniszczeniem, nieuprawn ionym dostępem i ujawnieniem lub pozyskaniem danych osobowych, a także ich utratą.

§ 2. W celu właś ciwego zarządzania zabezpieczeniami systemu informatycznego oraz dla ochrony danych osobowych w nim przetwarzanych, administrator

danych, przed przystąpieniem do przetwarzania danych osobowych , jest obowiązany

1) określić cele, strategię i politykę zabezpieczenia

systemów informatycznych, w których przetwarzane są dane osobowe,

Poz. 521

2. Instrukcja, o której mowa w ust. 1, określa tryb

postępowania w przypadku, gdy

1) stwierdzono naruszenie zabezpieczenia systemu

informatycznego,

2) stan urządzenia, zawartość zbioru danych osobowych, ujawnione metody pracy, sposób działania

programu lub jakość komunikacji w sieci telekomunikacyjnej mogą wskazywać na naruszenie za bezpieczeń tych danych .

3. W przypadkach, o których mowa w ust. 2, osoba

dane osobowe jest obowiązana niezwłocznie powiadomić o tym administratora bezpieczeństwa informacji lub inną upoważnioną przez niego

przetwarzająca

osobę·

2) zidentyfikowa ć i przeanalizować zagrożenia i ryzyko, na które może być narażone przetwarzanie danych osobowych,

§ 7. 1. Administrator danych określa budynki, pomieszczenia lub części pomieszczeń, tworzące obszar,

w którym przetwarzane są dane osobowe z użyciem

stacjonarnego sprzętu komputerowego.

3) określić potrzeby w zakresie zabezpieczenia zbiorów danych osobowych i systemów informatycznych, z uwzględnieniem potrzeby kryptograficznej

ochrony danych osobowych, w szczególności podczas ich przesyłania za pomocą urządzeń teletransmisji danych ,

2. Przebywanie wewnątrz obszaru, o którym mowa

w ust. 1, osób nieuprawnionych do dostępu do danych

osobowych jest dopuszczalne tylko w obecności osoby zatrudnionej przy przetwarzaniu tych danych i za

zgodą administratora danych lub osoby przez niego

4) określić zabezpieczenia adekwatne do

i ryzyka,

zagroż eń

5) monitorować działanie zabezpieczeń wdrożonych

w celu ochrony danych osobowych i ich przetwarzania ,

6) opracować i wdrożyć program szkolenia w zakresie

zabezpieczeń systemu informatycznego,

7) wykrywać i właściwie reagować na przypadki naruszenia bezpieczeństwa danych osobowych i systemów informatycznych je przetwarzając ych.

§ 3. Administrator danych wyznacza osobę, zwaną

dalej "administratorem bezpieczeństwa informacji",

odpowiedzialną za bezpieczeństwo danych osobowych w systemie informatycznym, w tym w szczególności za przeciwdziałanie dostępowi osób niepowoła­

nych do systemu , w kt órym przetwarzane są dane osobowe, oraz za podejmowanie odpowiednich działań

w przypadku wykrycia naruszeń w systemie zabezpieczeń.

§ 4. Indywidualny zakres czynności osoby zatrudnionej przy przetwarzaniu danych osobowych powinien określać zakres odpowiedzialności tej osoby za

ochronę tych danych przed niepowołanym dostępem,

nieuzasadnioną modyfikacją lub zniszczeniem, nielegalnym ujawnieniem lub pozyskaniem - w stopniu

odpowiednim do zadań tej osoby przy przetwarzaniu

danych osobowych.

§ 5. Przed dopuszczeniem do pracy przy przetwarzaniu danych osobowych każda osoba powinna być

zaznajomiona z przepisami dotyczącymi ochrony danych osobowych.

§ 6. 1. Administrator danych jest obowiązany do

opracowania instrukcji postępowania w sytuacji naruszenia ochrony danych osobowych, przeznaczonej dla

osób zatrudnionych przy przetwarzaniu tych danych.

upoważnionej .

3. Budynki lub pomieszczenia, w których przetwa rzane są dane osobowe, powinny być zamykane na

czas nieobecności w nich osób zatrudnionych przy

przetwarzaniu danych, w sposób uniemożliwiający dostęp do nich osób trzecich.

§ 8. Urządzenia i systemy informatyczne służące do

przetwarzania danych osobowych, zasilane energią

elektryczną, powinny być zabezpieczone przed utratą

tych danych spowodowaną awarią zasilania lub zakłó­

ceniami w sieci zasilającej.

§ 9. Osoba użytkująca przenośny komputer, służą­

cy do przetwarzania danych osobowych, obowiązana

jest zachować szczególną ostrożność podczas transportu i przechowywania tego komputera poza obsza rem, o którym mowa w § 7 ust. 1, w celu zapobieżenia

dostępowi do tych danych osobie niepowołanej,

a w szczególności powinna

1) zabezpieczyć dostęp do komputera hasłem,

2) nie zezwalać na używanie komputera osobom nieupowa żn ionym do dostępu do danych osobowych .

§ 10. 1. Urządzenia, dyski lub inne informatyczne

nośniki, zawierające dane osobowe, przeznaczone do

likwidacji, pozbawia się wcześniej zapisu tych danych,

a w przypadku gdy nie jest to możliwe, uszkadza się

w sposób uniemożliwiający ich odczytanie.

2. Urządzenia, dyski lub inne informatyczne nośni­

ki, zawierające dane osobowe, przeznaczone do przekazania innemu podmiotowi, nieuprawnionemu do

otrzymania danych osobowych, pozbawia się wcześniej zapisu tych danych.

3. Urządzenia, dyski lub inne informatyczne nośni­

ki danych, przeznaczone do naprawy, pozbawia się

przed naprawą zapisu tych danych albo naprawia się je

pod nadzorem osoby upoważnionej przez administratora danych.

-

3004-

4. Wydruki, które zawierają dane osobowe i ~ą

przeznaczone do usunięcia, należy zniszczyć w stopniu

uniemożliwiającym ich odczytanie.

§ 11. 1. Administrator danych jest obowiązany do

opracowania instrukcji, określającej sposób zarządza­

nia systemem informatycznym, słuzącym do przetwarzania danych osobowych, ze szczególnym uwzględ ­

nieniem wymogów bezpieczeństwa informacji.

2. Instrukcja, o której mowa w ust. 1, powinna za wierać w szczególności

1) określenie sposobu przydziału haseł dla użyt~owni­

ków i częstotliwość ich zmiany oraz wskazanie osoby odpowiedzialnej za te czynności,

2) określenie sposobu rejestrowania i wyrejestrowywania użytkowników oraz wskazanie osoby odpowiedzialnej za te czynności,

3) procedury rozpoczęcia i zakończenia pracy,

4) metodę i częstotliwość tworzenia kopii awaryjnych,

5) metodę i częstotliwość sprawdzania ?becności ~i­

rusów komputerowych oraz metodę Ich usuwania,

6) sposób i czas przechowywania n<?śników i,nformacji, w tym kopii informatycznych I wydrukow,

7) sposób dokonywania przeglądów i konserwacji

systemu i zbioru danych osobowych,

8) sposób postępowania w zakresie komunikacji

w sieci komputerowej.

§ 12. 1. Kopie awaryjne, o których mowa w § 11

ust. 2 pkt 4, nie powinny być przechowywane w tych

samych pomieszczeniach, w których przechowy,,":,a.ne

są zbiory danych osobowych eksploatowane na blezą­

co.

2. Kopie awaryjne należy

1) okresowo sprawdzać pod kątem ich dalszej przydatności do odtworzenia danych w przypadku

awarii systemu,

2) bezzwłocznie usuwać po ustaniu ich użyteczności .

§ 13. Nośniki informacji oraz wydruki z danymi osobowymi, które nie są przeznaczo~e do. ~d<?s.tępnienia,

przechowuje się w warunkach unlemozllwlaJących dostęp do nich osobom niepowołanym.

§ 14. 1. System informatyczny przetwarzający dane

osobowe powinien być wyposażony w mechanizmy

uwierzytelnienia użytkownika oraz kontroli dostępu do

tych danych .

2. Administrator bezpieczeństwa informacji jest odpowiedzialny za właściwy nadzór nad funkcjonowaniem mechanizmów, o których mowa w ust. 1.

3. Dla każdego użytkownika systemu informatv:c~­

nego, w którym przetwarza się dane osobowe, admini strator danych lub upoważniona przez niego osoba

ustala odrębny identyfikator i hasło.

4. Identyfikator, o którym mowa w ust. 1, wpisuje

do ewidencji określonej wart. 39 ust. 1 ustawy

z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 883), zwanej dalej "ustawą",

wraz z imieniem i nazwiskiem użytkownika, oraz reJestruje w systemie informatycznym.

się

5. Bezpośredni dostęp do danych osobowy~h pr~e

twarzanych w systemie informatycznym moze mlec

Poz. 521

miejsce wyłącznie po podaniu identyfikatora i właści­

wego hasła.

6. Hasło użytkownika powinno być zmieniane co

najmniej raz na miesiąc.

7. Identyfikator użytkownika nie powinien być

zmieniany, a po wyrejestrowaniu użytkownik~ z sys~e­

mu informatycznego nie powinien być przydzielany Innej osobie.

8. Hasła użytkownika, umożliwiające dostęp do systemu informatycznego, utrzymuje

również po upływie ich ważności .

się

w tajemnicy,

9. Identyfikator osoby, która utraciła uprawnienia

do dostępu do danych osobowych, należy niezwłocz­

nie wyrejestrować z systemu informatycznego, w którym są one przetwarzane, unieważnić jej has~o . or~z

podjąć inne stosowne działania w celu zapoblezema

dalszemu dostępowi tej osoby do danych.

§ 15. 1. Jeżeli istnieją odpowiednie możliwości

techniczne, ekrany monitorów stanowisk dostępu do

danych osobowych powinny być automa~ycznie wy!ą~

czane po upływie ustalonego czasu nleaktywnoscl

użytkownika.

2. W pomieszczeniach, gdzie przebywają osoby postronne, monitory stanowisk dostępu do danych osobowych powinny być ustawione w taki sposób, żeby

uniemożliwić tym osobom wgląd w dane.

§ 16. Dla każdej osoby, której dane są przetwarzane

w systemie informatycznym, system ten powinien zapewniać odnotowanie

1) daty pierwszego wprowadzenia danych tej osoby,

2) źródła pochodzenia danych , jeśli dane pochodzić

mogą z różnych źródeł,

3) identyfikatora użytkownika wprowadzającego dane,

4) informacji, komu, kiedy i w jakim zakresie dane zostały udostępnione , jeśli przewidziane jest udostęp­

nianie danych innym podmiotom , chyba że dane te

traktuje się jako dane powszechnie dostępne,

5) sprzeciwu, o którym mowa wart. 32 ust. 1 p~t 7

ustawy, po jego uwzględnieniu, oraz sprzecIwu

określonego wart. 32 ust. 1 pkt 8 ustawy.

§ 17. System informatyczny służący do przetwa rzania danych osobowych powinien umożliwić udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych o każdej osobie, której dane są

przetwarzane, wraz z informacjami , o których mowa

w § 16.

§ 18. Administrator danych przetwarzanych w zbiorze istniejącym w dniu wejścia w życie rozporządzenia

obowiązany jest do wykonania czynności, o których

mowa w § 2, w terminie trzech miesięcy od dnia wej ścia w życie rozporządzenia.

§ 19. Rozporządzenie wchodzi w życie po upływie

14 dni od dnia ogłoszenia .

Minister Spraw Wewnętrznyc h i Administracji

J. Tomaszewski