Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych

§ 8. Rozporzàdzenie wchodzi w ˝ycie z dniem

1 maja 2004 r.

§ 7. Zabezpieczone dane zapisane przechowuje si´

w warunkach zabezpieczajàcych przed ich utratà, znie-

Minister SprawiedliwoÊci: G. Kurczuk

1024

ROZPORZÑDZENIE MINISTRA SPRAW WEWN¢TRZNYCH I ADMINISTRACJI1)

z dnia 29 kwietnia 2004 r.

w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych,

jakim powinny odpowiadaç urzàdzenia i systemy informatyczne s∏u˝àce do przetwarzania danych

osobowych

Na podstawie art. 39a ustawy z dnia 29 sierpnia

1997 r. o ochronie danych osobowych (Dz. U. z 2002 r.

Nr 101, poz. 926 i Nr 153, poz. 1271 oraz z 2004 r.

Nr 25, poz. 219 i Nr 33, poz. 285) zarzàdza si´, co nast´puje

§ 1. Rozporzàdzenie okreÊla

1) sposób prowadzenia i zakres dokumentacji opisujàcej sposób przetwarzania danych osobowych

oraz Êrodki techniczne i organizacyjne zapewniajàce ochron´ przetwarzanych danych osobowych

odpowiednià do zagro˝eƒ oraz kategorii danych

obj´tych ochronà;

przetwarzania danych osobowych w systemie informatycznym;

3) haÊle — rozumie si´ przez to ciàg znaków literowych, cyfrowych lub innych, znany jedynie osobie

uprawnionej do pracy w systemie informatycznym;

4) sieci telekomunikacyjnej — rozumie si´ przez to

sieç telekomunikacyjnà w rozumieniu art. 2 pkt 23

ustawy z dnia 21 lipca 2000 r. — Prawo telekomunikacyjne (Dz. U. Nr 73, poz. 852, z póên. zm.2))

5) sieci publicznej — rozumie si´ przez to sieç publicznà w rozumieniu art. 2 pkt 22 ustawy z dnia

21 lipca 2000 r. — Prawo telekomunikacyjne;

2) podstawowe warunki techniczne i organizacyjne,

jakim powinny odpowiadaç urzàdzenia i systemy

informatyczne s∏u˝àce do przetwarzania danych

osobowych;

6) teletransmisji — rozumie si´ przez to przesy∏anie

informacji za poÊrednictwem sieci telekomunikacyjnej;

3) wymagania w zakresie odnotowywania udost´pniania danych osobowych i bezpieczeƒstwa przetwarzania danych osobowych.

7) rozliczalnoÊci — rozumie si´ przez to w∏aÊciwoÊç

zapewniajàcà, ˝e dzia∏ania podmiotu mogà byç

przypisane w sposób jednoznaczny tylko temu

podmiotowi;

§ 2. Ilekroç w rozporzàdzeniu jest mowa o

1) ustawie — rozumie si´ przez to ustaw´ z dnia

29 sierpnia 1997 r. o ochronie danych osobowych,

zwanà dalej „ustawà”;

2) identyfikatorze u˝ytkownika — rozumie si´ przez to

ciàg znaków literowych, cyfrowych lub innych jednoznacznie identyfikujàcy osob´ upowa˝nionà do

———————

1) Minister

Spraw Wewn´trznych i Administracji kieruje

dzia∏em administracji rzàdowej — administracja publiczna, na podstawie § 1 ust. 2 pkt 1 rozporzàdzenia Prezesa

Rady Ministrów z dnia 14 marca 2002 r. w sprawie szczegó∏owego zakresu dzia∏ania Ministra Spraw Wewn´trznych i Administracji (Dz. U. Nr 35, poz. 325 i Nr 58,

poz. 533).

8) integralnoÊci danych — rozumie si´ przez to w∏aÊciwoÊç zapewniajàcà, ˝e dane osobowe nie zosta∏y zmienione lub zniszczone w sposób nieautoryzowany;

9) raporcie — rozumie si´ przez to przygotowane

przez system informatyczny zestawienia zakresu

i treÊci przetwarzanych danych;

10) poufnoÊci danych — rozumie si´ przez to w∏aÊciwoÊç zapewniajàcà, ˝e dane nie sà udost´pniane

nieupowa˝nionym podmiotom;

———————

2) Zmiany wymienionej ustawy zosta∏y og∏oszone w Dz. U.

z 2001 r. Nr 122, poz. 1321 i Nr 154, poz. 1800 i 1802,

z 2002 r. Nr 25, poz. 253, Nr 74, poz. 676 i Nr 166, poz. 1360

oraz z 2003 r. Nr 50, poz. 424, Nr 113, poz. 1070, Nr 130,

poz. 1188 i Nr 170, poz. 1652.

11) uwierzytelnianiu — rozumie si´ przez to dzia∏anie,

którego celem jest weryfikacja deklarowanej to˝samoÊci podmiotu.

§ 3. 1. Na dokumentacj´, o której mowa w § 1

pkt 1, sk∏ada si´ polityka bezpieczeƒstwa i instrukcja

zarzàdzania systemem informatycznym s∏u˝àcym do

przetwarzania danych osobowych, zwana dalej „instrukcjà”.

2. Dokumentacj´, o której mowa w § 1 pkt 1, prowadzi si´ w formie pisemnej.

3. Dokumentacj´, o której mowa w § 1 pkt 1, wdra˝a administrator danych.

§ 4. Polityka bezpieczeƒstwa, o której mowa w § 3

ust. 1, zawiera w szczególnoÊci

1) wykaz budynków, pomieszczeƒ lub cz´Êci pomieszczeƒ, tworzàcych obszar, w którym przetwarzane sà dane osobowe;

2) wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych;

3) opis struktury zbiorów danych wskazujàcy zawartoÊç poszczególnych pól informacyjnych i powiàzania mi´dzy nimi;

4) sposób przep∏ywu danych pomi´dzy poszczególnymi systemami;

5) okreÊlenie Êrodków technicznych i organizacyjnych niezb´dnych dla zapewnienia poufnoÊci, integralnoÊci i rozliczalnoÊci przetwarzanych danych.

§ 5. Instrukcja, o której mowa w § 3 ust. 1, zawiera

w szczególnoÊci

1) procedury nadawania uprawnieƒ do przetwarzania

danych i rejestrowania tych uprawnieƒ w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynnoÊci;

2) stosowane metody i Êrodki uwierzytelnienia oraz

procedury zwiàzane z ich zarzàdzaniem i u˝ytkowaniem;

3) procedury rozpocz´cia, zawieszenia i zakoƒczenia

pracy przeznaczone dla u˝ytkowników systemu;

4) procedury tworzenia kopii zapasowych zbiorów

danych oraz programów i narz´dzi programowych

s∏u˝àcych do ich przetwarzania;

5) sposób, miejsce i okres przechowywania

a) elektronicznych noÊników informacji zawierajàcych dane osobowe,

b) kopii zapasowych, o których mowa w pkt 4,

6) sposób zabezpieczenia systemu informatycznego

przed dzia∏alnoÊcià oprogramowania, októrym mowa

w pkt III ppkt 1 za∏àcznika do rozporzàdzenia;

Poz. 1024

7) sposób realizacji wymogów, o których mowa

w § 7 ust. 1 pkt 4;

8) procedury wykonywania przeglàdów i konserwacji

systemów oraz noÊników informacji s∏u˝àcych do

przetwarzania danych.

§ 6. 1. Uwzgl´dniajàc kategorie przetwarzanych

danych oraz zagro˝enia wprowadza si´ poziomy bezpieczeƒstwa przetwarzania danych osobowych w systemie informatycznym

1) podstawowy;

2) podwy˝szony;

3) wysoki.

2. Poziom co najmniej podstawowy stosuje si´,

gdy

1) w systemie informatycznym nie sà przetwarzane

dane, o których mowa w art. 27 ustawy, oraz

2) ˝adne z urzàdzeƒ systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych nie jest

po∏àczone z siecià publicznà.

3. Poziom co najmniej podwy˝szony stosuje si´,

gdy

1) w systemie informatycznym przetwarzane sà dane

osobowe, o których mowa w art. 27 ustawy, oraz

2) ˝adne z urzàdzeƒ systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych nie jest

po∏àczone z siecià publicznà.

4. Poziom wysoki stosuje si´, gdy przynajmniej

jedno urzàdzenie systemu informatycznego, s∏u˝àcego do przetwarzania danych osobowych, po∏àczone

jest z siecià publicznà.

5. Opis Êrodków bezpieczeƒstwa stosowany na poziomach, o których mowa w ust. 1, okreÊla za∏àcznik

do rozporzàdzenia.

§ 7. 1. Dla ka˝dej osoby, której dane osobowe sà

przetwarzane w systemie informatycznym — z wyjàtkiem systemów s∏u˝àcych do przetwarzania danych

osobowych ograniczonych wy∏àcznie do edycji tekstu

w celu udost´pnienia go na piÊmie — system ten zapewnia odnotowanie

1) daty pierwszego wprowadzenia danych do systemu;

2) identyfikatora u˝ytkownika wprowadzajàcego dane osobowe do systemu, chyba ˝e dost´p do systemu informatycznego i przetwarzanych w nim

danych posiada wy∏àcznie jedna osoba;

3) êród∏a danych, w przypadku zbierania danych, nie

od osoby, której one dotyczà;

4) informacji o odbiorcach, w rozumieniu art. 7 pkt

6 ustawy, którym dane osobowe zosta∏y udost´pnione, dacie i zakresie tego udost´pnienia,

chyba ˝e system informatyczny u˝ywany jest do

przetwarzania danych zawartych w zbiorach jawnych;

5) sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8

ustawy.

2. Odnotowanie informacji, o których mowa

w ust. 1 pkt 1 i 2, nast´puje automatycznie po zatwierdzeniu przez u˝ytkownika operacji wprowadzenia danych.

3. Dla ka˝dej osoby, której dane osobowe sà przetwarzane w systemie informatycznym, system zapewnia sporzàdzenie i wydrukowanie raportu zawierajàcego w powszechnie zrozumia∏ej formie informacje,

o których mowa w ust. 1.

4. W przypadku przetwarzania danych osobowych, w co najmniej dwóch systemach informatycznych, wymagania, o których mowa w ust. 1 pkt 4,

mogà byç realizowane w jednym z nich lub w odr´bnym systemie informatycznym przeznaczonym do tego celu.

§ 8. System informatyczny s∏u˝àcy do przetwarzania danych, który zosta∏ dopuszczony przez w∏aÊciwà

s∏u˝b´ ochrony paƒstwa do przetwarzania informacji

niejawnych, po uzyskaniu certyfikatu wydanego na

podstawie przepisów ustawy z dnia 22 stycznia 1999 r.

o ochronie informacji niejawnych (Dz. U. Nr 11,

poz. 95, z póên. zm.3)) spe∏nia wymogi niniejszego roz-

Poz. 1024

porzàdzenia pod wzgl´dem bezpieczeƒstwa na poziomie wysokim.

§ 9. Administrator przetwarzanych w dniu wejÊcia

w ˝ycie niniejszego rozporzàdzenia danych osobowych jest obowiàzany dostosowaç systemy informatyczne s∏u˝àce do przetwarzania tych danych do wymogów okreÊlonych w § 7 oraz w za∏àczniku do rozporzàdzenia w terminie 6 miesi´cy od dnia wejÊcia w ˝ycie niniejszego rozporzàdzenia.

§ 10. Rozporzàdzenie wchodzi w ˝ycie z dniem uzyskania przez Rzeczpospolità Polskà cz∏onkostwa

w Unii Europejskiej4).

Minister Spraw Wewn´trznych i Administracji

w z. T. Matusiak

———————

3) Zmiany wymienionej ustawy zosta∏y og∏oszone w Dz.U.

z 2000 r. Nr 12, poz. 136 i Nr 39, poz. 462, z 2001 r. Nr 22,

poz. 247, Nr 27, poz. 298, Nr 56, poz. 580, Nr 110,

poz. 1189, Nr 123, poz. 1353, Nr 154 poz. 1800, z 2002 r.

Nr 74, poz. 676, Nr 89, poz. 804 i Nr 153, poz. 1271,

z 2003 r. Nr 17, poz. 155 oraz z 2004 r. Nr 29, poz. 257.

4) Niniejsze rozporzàdzenie by∏o poprzedzone rozporzàdzeniem Ministra Spraw Wewn´trznych i Administracji z dnia

3 czerwca 1998 r. w sprawie okreÊlenia podstawowych

warunków technicznych i organizacyjnych, jakim powinny

odpowiadaç urzàdzenia i systemy informatyczne s∏u˝àce

do przetwarzania danych osobowych (Dz. U. Nr 80,

poz. 521 oraz z 2001 r. Nr 121, poz. 1306), które utraci moc

z dniem wejÊcia w ˝ycie ustawy z dnia 22 stycznia 2004 r.

o zmianie ustawy o ochronie danych osobowych oraz

ustawy o wynagrodzeniu osób zajmujàcych kierownicze

stanowiska paƒstwowe (Dz. U. Nr 33, poz. 285).

Za∏àcznik do rozporzàdzenia Ministra Spraw Wewn´trznych

i Administracji z dnia 29 kwietnia 2004 r. (poz. 1024)

A. Ârodki bezpieczeƒstwa na poziomie podstawowym

I

1. Obszar, o którym mowa w § 4 pkt 1 rozporzàdzenia, zabezpiecza si´ przed dost´pem osób nieuprawnionych na czas nieobecnoÊci w nim osób upowa˝nionych do przetwarzania danych osobowych.

2. Przebywanie osób nieuprawnionych w obszarze, o którym mowa w § 4 pkt 1 rozporzàdzenia, jest

dopuszczalne za zgodà administratora danych lub

w obecnoÊci osoby upowa˝nionej do przetwarzania

danych osobowych.

II

1. W systemie informatycznym s∏u˝àcym do przetwarzania danych osobowych stosuje si´ mechanizmy

kontroli dost´pu do tych danych.

b) dost´p do danych by∏ mo˝liwy wy∏àcznie po wprowadzeniu identyfikatora i dokonaniu uwierzytelnienia.

III

System informatyczny s∏u˝àcy do przetwarzania

danych osobowych zabezpiecza si´, w szczególnoÊci

przed

1) dzia∏aniem oprogramowania, którego celem jest

uzyskanie nieuprawnionego dost´pu do systemu

informatycznego;

2) utratà danych spowodowanà awarià zasilania lub

zak∏óceniami w sieci zasilajàcej.

IV

2. Je˝eli dost´p do danych przetwarzanych w systemie informatycznym posiadajà co najmniej dwie

osoby, wówczas zapewnia si´, aby

1. Identyfikator u˝ytkownika, który utraci∏ uprawnienia do przetwarzania danych, nie mo˝e byç przydzielony innej osobie.

a) w systemie tym rejestrowany by∏ dla ka˝dego

u˝ytkownika odr´bny identyfikator;

2. W przypadku gdy do uwierzytelniania u˝ytkowników u˝ywa si´ has∏a, jego zmiana nast´puje nie rza-

dziej ni˝ co 30 dni. Has∏o sk∏ada si´ co najmniej z 6

znaków.

3. Dane osobowe przetwarzane w systemie informatycznym zabezpiecza si´ przez wykonywanie kopii

zapasowych zbiorów danych oraz programów s∏u˝àcych do przetwarzania danych.

4. Kopie zapasowe

a) przechowuje si´ w miejscach zabezpieczajàcych je

przed nieuprawnionym przej´ciem, modyfikacjà,

uszkodzeniem lub zniszczeniem;

b) usuwa si´ niezw∏ocznie po ustaniu ich u˝ytecznoÊci.

V

Osoba u˝ytkujàca komputer przenoÊny zawierajàcy dane osobowe zachowuje szczególnà ostro˝noÊç

podczas jego transportu, przechowywania i u˝ytkowania poza obszarem, o którym mowa w § 4 pkt 1 rozporzàdzenia, w tym stosuje Êrodki ochrony kryptograficznej wobec przetwarzanych danych osobowych.

Poz. 1024

VI

Urzàdzenia, dyski lub inne elektroniczne noÊniki

informacji, zawierajàce dane osobowe, przeznaczone

do

1) likwidacji — pozbawia si´ wczeÊniej zapisu tych

danych, a w przypadku gdy nie jest to mo˝liwe,

uszkadza si´ w sposób uniemo˝liwiajàcy ich odczytanie;

2) przekazania podmiotowi nieuprawnionemu do

przetwarzania danych — pozbawia si´ wczeÊniej

zapisu tych danych, w sposób uniemo˝liwiajàcy

ich odzyskanie;

3) naprawy — pozbawia si´ wczeÊniej zapisu tych danych w sposób uniemo˝liwiajàcy ich odzyskanie

albo naprawia si´ je pod nadzorem osoby upowa˝nionej przez administratora danych.

VII

Administrator danych monitoruje wdro˝one zabezpieczenia systemu informatycznego.

B. Ârodki bezpieczeƒstwa na poziomie podwy˝szonym

X

VIII

W przypadku gdy do uwierzytelniania u˝ytkowników u˝ywa si´ has∏a, sk∏ada si´ ono co najmniej z 8

znaków, zawiera ma∏e i wielkie litery oraz cyfry lub

znaki specjalne.

IX

Urzàdzenia i noÊniki zawierajàce dane osobowe,

o których mowa w art. 27 ust. 1 ustawy z dnia

29 sierpnia 1997 r. o ochronie danych osobowych,

przekazywane poza obszar, o którym mowa w § 4 pkt

1 rozporzàdzenia, zabezpiecza si´ w sposób zapewniajàcy poufnoÊç i integralnoÊç tych danych.

Instrukcja zarzàdzania systemem informatycznym,

o której mowa w § 5 rozporzàdzenia, rozszerza si´

o sposób stosowania Êrodków, o których mowa w pkt

IX za∏àcznika.

XI

Administrator danych stosuje na poziomie podwy˝szonym Êrodki bezpieczeƒstwa okreÊlone w cz´Êci

A za∏àcznika, o ile zasady zawarte w cz´Êci B nie stanowià inaczej.

C. Ârodki bezpieczeƒstwa na poziomie wysokim

XII

1. System informatyczny s∏u˝àcy do przetwarzania

danych osobowych chroni si´ przed zagro˝eniami pochodzàcymi z sieci publicznej poprzez wdro˝enie fizycznych lub logicznych zabezpieczeƒ chroniàcych

przed nieuprawnionym dost´pem.

2. W przypadku zastosowania logicznych zabezpieczeƒ, o których mowa w ust. 1, obejmujà one

a) kontrol´ przep∏ywu informacji pomi´dzy systemem informatycznym administratora danych

a siecià publicznà;

b) kontrol´ dzia∏aƒ inicjowanych z sieci publicznej

i systemu informatycznego administratora danych.

XIII

Administrator danych stosuje Êrodki kryptograficznej ochrony wobec danych wykorzystywanych do

uwierzytelnienia, które sà przesy∏ane w sieci publicznej.

XIV

Administrator danych stosuje na poziomie wysokim Êrodki bezpieczeƒstwa, okreÊlone w cz´Êci A i B

za∏àcznika, o ile zasady zawarte w cz´Êci C nie stanowià inaczej.

w stosunku do którego zarzàdzono zabezpieczenie

danych zapisanych;

5) czas trwania zabezpieczenia,

Poz. 1023 i 1024

kszta∏ceniem lub nieuprawnionym ujawnieniem oraz

zniszczeniem lub uszkodzeniem noÊnika informatycznego.

6) dane identyfikujàce miejsce zabezpieczenia danych zapisanych.