Rozporządzenie Ministra Sprawiedliwości z dnia 16 maja 2012 r. w sprawie gromadzenia danych osobowych i danych o podmiotach zbiorowych w Krajowym Rejestrze Karnym oraz usuwania tych danych z Rejestru

Rozporządzenie określa warunki, w tym techniczne i organizacyjne, sposób oraz tryb

gromadzenia danych osobowych i danych o podmiotach zbiorowych w Krajowym Rejestrze

Karnym, zwanym dalej „Rejestrem”, oraz usuwania tych danych z Rejestru.

Do zabezpieczenia danych zgromadzonych w Rejestrze stosuje się przepisy rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r.

w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i

organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące

do przetwarzania danych osobowych

(Dz. U. Nr 100, poz. 1024), z uwzględnieniem warunków, sposobu oraz trybu wynikających z niniejszego rozporządzenia.

Osobą nadzorującą przestrzeganie zasad bezpieczeństwa danych osobowych zgromadzonych

w kartotekach i systemie teleinformatycznym, a w szczególności polityki bezpieczeństwa

i instrukcji zarządzania systemem teleinformatycznym, w którym są zgromadzone dane

osobowe, jest administrator bezpieczeństwa informacji.

Dane osobowe i dane o podmiotach zbiorowych zgromadzone w Rejestrze przetwarza się

z zastosowaniem wysokiego poziomu bezpieczeństwa.

1.

Do obsługi kartotek i systemu teleinformatycznego oraz urządzeń wchodzących w jego

skład dopuszcza się wyłącznie osoby upoważnione przez dyrektora biura informacyjnego,

zwane dalej „osobami uprawnionymi”.

2.

Zakres odpowiedzialności za ochronę danych osobowych i danych o podmiotach zbiorowych

przed dostępem osób nieuprawnionych, wykorzystywaniem przez osoby nieuprawnione, uszkodzeniem

lub zniszczeniem jest określony w indywidualnym zakresie czynności osób uprawnionych.

Przed dopuszczeniem do pracy przy przetwarzaniu danych osobowych i danych o podmiotach

zbiorowych każdą osobę uprawnioną zaznajamia się z przepisami dotyczącymi Rejestru

i ochrony danych w nim zgromadzonych oraz z polityką bezpieczeństwa i instrukcją zarządzania

systemem teleinformatycznym, w którym są zgromadzone dane osobowe i dane o podmiotach

zbiorowych, niezbędnymi do wykonywania pracy na danym stanowisku, co osoba uprawniona

potwierdza własnoręcznym podpisem.

1.

O każdym przypadku naruszenia kartotek lub systemu teleinformatycznego, w których

są zgromadzone dane osobowe i dane o podmiotach zbiorowych, osoba uprawniona jest

obowiązana niezwłocznie powiadomić dyrektora biura informacyjnego oraz administratora

bezpieczeństwa informacji.

2.

W przypadku naruszenia, o którym mowa w ust. 1, osoba uprawniona postępuje w sposób

określony przez administratora bezpieczeństwa informacji.

1.

Osoba uprawniona wprowadza do bazy danych systemu teleinformatycznego dane osobowe

i dane o podmiotach zbiorowych zawarte w kartach rejestracyjnych, zawiadomieniach

o zmianach ewidencyjnych, zawiadomieniach o skazaniu przez sąd państwa obcego, o zastosowaniu

późniejszych środków oraz informacje związane z tym skazaniem, a następnie umieszcza

je w odpowiedniej kartotece.

2.

Zawiadomień przekazywanych do Rejestru wyłącznie za pośrednictwem systemu teleinformatycznego

oraz za pośrednictwem systemu ECRIS nie umieszcza się w kartotece.

1.

Karty rejestracyjne, zawiadomienia o zmianach ewidencyjnych i zawiadomienia o skazaniu

przez sąd państwa obcego usuwa się z kartotek przez fizyczne zniszczenie przez osoby

uprawnione, w sposób uniemożliwiający ustalenie tożsamości osoby, której te dane dotyczą.

2.

Dane osobowe i dane o podmiotach zbiorowych przetwarzane w bazie danych systemu teleinformatycznego

usuwa się z bazy danych systemu teleinformatycznego

1)

niezwłocznie po zaistnieniu faktu, który skutkuje obowiązkiem ich usunięcia, w przypadku

danych przekazywanych wyłącznie za pośrednictwem systemu teleinformatycznego;

2)

niezwłocznie po otrzymaniu zawiadomienia o zatarciu skazania, w przypadku danych przekazywanych

za pośrednictwem systemu ECRIS;

3)

z chwilą usunięcia kart rejestracyjnych, zawiadomień o zmianach ewidencyjnych i zawiadomień

o skazaniu przez sąd państwa obcego, w przypadku pozostałych danych.

3.

Zapis informacji dotyczących udostępniania danych osobowych lub danych o podmiotach

zbiorowych zgromadzonych w Rejestrze usuwa się z bazy danych systemu teleinformatycznego

z chwilą usunięcia wszystkich zgromadzonych danych o osobie lub podmiocie zbiorowym.

W przypadku każdej osoby i podmiotu zbiorowego, których dane są przetwarzane w Rejestrze,

system teleinformatyczny zapewnia odnotowanie

1)

daty wprowadzenia pierwszych i kolejnych danych do systemu;

2)

identyfikatora użytkownika wprowadzającego dane;

3)

informacji, które dane osobowe lub dane o podmiocie zbiorowym zostały wprowadzone

do Rejestru;

4)

źródła danych;

5)

informacji komu, kiedy, w jakim zakresie i przez kogo zostały udostępnione dane zgromadzone

w Rejestrze.

Przepisy niniejszego rozporządzenia stosuje się odpowiednio do zabezpieczenia i przetwarzania

danych o podmiotach zbiorowych zgromadzonych w Rejestrze.

Traci moc rozporządzenie Ministra Sprawiedliwości z dnia 7 listopada 2003 r. w sprawie gromadzenia

danych osobowych i danych o podmiotach zbiorowych w Krajowym Rejestrze Karnym oraz

usuwania tych danych z Rejestru

(Dz. U. Nr 198, poz. 1929).

Rozporządzenie wchodzi w życie z dniem następującym po dniu ogłoszenia.