Rozporządzenie Ministra Środowiska z dnia 21 grudnia 2017 r. w sprawie Centralnego Rejestru Operatorów

Rozporządzenie określa

1)

sposób prowadzenia Centralnego Rejestru Operatorów dla urządzeń, zawierających co

najmniej 3 kg substancji kontrolowanych lub co najmniej 5 ton ekwiwalentu CO2 fluorowanych gazów cieplarnianych, zwanego dalej „Centralnym Rejestrem Operatorów”,

o którym mowa w art. 19 ust. 1 ustawy z dnia 15 maja 2015 r. o substancjach zubożających warstwę ozonową

oraz o niektórych fluorowanych gazach cieplarnianych, zwanej dalej „ustawą”;

2)

sposób gromadzenia danych w Centralnym Rejestrze Operatorów;

3)

sposób udostępniania danych gromadzonych w Centralnym Rejestrze Operatorów;

4)

sposób zabezpieczenia danych gromadzonych w Centralnym Rejestrze Operatorów;

5)

wzór formularza rejestracyjnego, o którym mowa w art. 14 ust. 6 ustawy, zwanego dalej

„formularzem rejestracyjnym”.

Centralny Rejestr Operatorów jest prowadzony w systemie teleinformatycznym w rozumieniu

art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne

(Dz. U. z 2017 r. poz. 570).

Centralny Rejestr Operatorów jest prowadzony w sposób zapewniający

1)

utrzymywanie Centralnego Rejestru Operatorów w stanie gotowości do przyjmowania danych

przekazywanych do tego rejestru;

2)

monitorowanie wdrożonych zabezpieczeń Centralnego Rejestru Operatorów;

3)

automatyczne sygnalizowanie w Centralnym Rejestrze Operatorów każdego sporządzenia

Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej oraz każdego wpisu dokonanego

w tych kartach.

1.

Dane, o których mowa w art. 14 ust. 3 ustawy, zawarte w Kartach Urządzenia oraz w

Kartach Systemu Ochrony Przeciwpożarowej, są gromadzone automatycznie w Centralnym

Rejestrze Operatorów.

2.

W celu gromadzenia danych w Centralnym Rejestrze Operatorów, operator urządzenia,

o którym mowa w art. 14 ust. 1 ustawy, zwany dalej „operatorem urządzenia”, uzyskuje

dostęp do Centralnego Rejestru Operatorów po utworzeniu konta na podstawie wypełnionego

formularza rejestracyjnego, którego wzór określa załącznik do rozporządzenia. Formularz

rejestracyjny jest wypełniany w postaci elektronicznej na stronie internetowej Centralnego

Rejestru Operatorów.

3.

Osoba wypełniająca formularz rejestracyjny w imieniu operatora urządzenia staje się

administratorem konta tego operatora, zwanym dalej „administratorem konta”.

4.

W przypadku gdy umocowanie do reprezentowania operatora urządzenia przez osobę wypełniającą

formularz rejestracyjny nie wynika z informacji zawartych w Krajowym Rejestrze Sądowym

(KRS), Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) lub z

informacji dostępnych w Biuletynie Informacji Publicznej na stronie podmiotowej operatora,

do formularza tego dołącza się elektroniczną kopię pełnomocnictwa podpisanego zgodnie

z zasadami reprezentacji lub innego dokumentu stanowiącego podstawę do podejmowania

czynności w imieniu lub na rzecz określonego operatora.

5.

Na podstawie danych zawartych w formularzu rejestracyjnym administratorowi konta zostają

nadane w Centralnym Rejestrze Operatorów identyfikator (login), którym jest adres

poczty elektronicznej administratora konta, i hasło.

6.

Po sprawdzeniu zgodności danych zawartych w formularzu rejestracyjnym z załączonym

dokumentem lub informacjami, o których mowa w ust. 4, na adres poczty elektronicznej

administratora konta jest przesyłana informacja o dalszej procedurze aktywacji konta.

Aktywacja konta następuje po potwierdzeniu otrzymania wiadomości, poprzez otwarcie

linku aktywującego konto.

7.

Po aktywacji konta administrator konta może dodawać lub usuwać dostęp do konta jednej

lub więcej osobom kontaktowym poprzez dodawanie lub usuwanie osób kontaktowych w Centralnym

Rejestrze Operatorów, podając następujące dane osoby kontaktowej: imię i nazwisko,

adres poczty elektronicznej oraz numer telefonu komórkowego, a w przypadku jego braku

numer telefonu stacjonarnego. Do każdej z Kart Urządzenia oraz Kart Systemu Ochrony

Przeciwpożarowej dostęp może być udzielony najwyżej trzem osobom kontaktowym.

8.

W przypadku dodawania dostępu do konta, na podany adres poczty elektronicznej osoby

kontaktowej, który jest jej identyfikatorem (loginem) w Centralnym Rejestrze Operatorów,

jest przesyłane automatycznie generowane hasło dostępu do konta, które wymaga zmiany

po pierwszym zalogowaniu.

9.

Uprawnionym do zmiany danych, o których mowa w ust. 7, jest administrator konta oraz

osoba kontaktowa w zakresie swoich danych.

10.

Zmiana administratora konta następuje poprzez aktualizację danych administratora podanych

w formularzu rejestracyjnym, z wyjątkiem danych dotyczących adresu operatora urządzenia,

oraz przekazanie dokumentu, o którym mowa w ust. 4, w przypadku określonym w tym przepisie.

Po sprawdzeniu zgodności zaktualizowanych danych administratora konta z przekazanym

dokumentem lub informacjami, o których mowa w ust. 4, na adres poczty elektronicznej

nowego administratora konta jest przesyłana informacja o aktywacji jego dostępu do

konta. Aktywacja konta następuje po potwierdzeniu otrzymania wiadomości, poprzez otwarcie

linku aktywującego konto. Przepis ust. 5 stosuje się.

11.

Zmiana następujących danych operatora urządzenia: nazwy operatora urządzenia oraz

adresu miejsca zamieszkania albo adresu siedziby, albo adresu wykonywania działalności

gospodarczej następuje poprzez ich aktualizację przez administratora konta w Centralnym

Rejestrze Operatorów.

12.

Zamknięcia konta operatora urządzenia dokonuje administrator konta w Centralnym Rejestrze

Operatorów.

13.

Czynności, o których mowa w ust. 7, 11 i 12, są dokonywane po zalogowaniu się do Centralnego

Rejestru Operatorów.

14.

W przypadku utraty hasła do konta na stronie logowania do Centralnego Rejestru Operatorów

należy podać adres poczty elektronicznej, który jest identyfikatorem (loginem) do

konta, do którego utracono dostęp. Na podany adres poczty elektronicznej zostanie

wysłana wiadomość zawierająca link umożliwiający zmianę hasła do konta.

1.

Osoby wykonujące czynności, o których mowa w art. 14 ust. 3 pkt 4 ustawy, mogą, po

uprzednim zgłoszeniu, otrzymywać automatyczne wiadomości wysyłane na ich pocztę elektroniczną

z Centralnego Rejestru Operatorów informujące o podaniu przy wpisie do Karty Urządzenia

lub Karty Systemu Ochrony Przeciwpożarowej ich numeru certyfikatu dla personelu oraz

o numerze identyfikacji podatkowej (NIP), o ile został nadany, danego operatora urządzenia

i dacie dokonania wpisu do tych kart.

2.

W zgłoszeniu, o którym mowa w ust. 1, należy podać imię i nazwisko, numer certyfikatu

dla personelu oraz adres poczty elektronicznej. Po jego dokonaniu jest przesyłana

na adres poczty elektronicznej automatyczna wiadomość, w której należy potwierdzić

zgłoszenie albo je anulować, jeżeli nie zostało ono dokonane przez właściciela poczty

elektronicznej. Po potwierdzeniu zgłoszenia są wysyłane wiadomości, o których mowa

w ust. 1.

3.

Adres poczty elektronicznej można zmienić, ponownie dokonując zgłoszenia. Po jego

dokonaniu jest przesyłana na adres poczty elektronicznej automatyczna wiadomość, w

której należy potwierdzić zmianę adresu poczty elektronicznej. Wiadomość informująca

o zmianie adresu poczty elektronicznej, zawierająca link do anulowania zmiany adresu

poczty elektronicznej, jest przesyłana również na wcześniej podany adres poczty elektronicznej.

4.

Zgłoszenia są dokonywane na stronie internetowej Centralnego Rejestru Operatorów.

1.

Administrator konta lub osoby kontaktowe udostępniają dane zawarte w Karcie Urządzenia

lub Karcie Systemu Ochrony Przeciwpożarowej danego operatora urządzenia innym osobom

w zakresie niezbędnym do dokonania przez te osoby wpisów w tych kartach zgodnie z

przepisami ustawy, nie udostępniając jednak tym osobom loginu i hasła.

2.

Administrator konta ma dostęp do danych zawartych we wszystkich Kartach Urządzenia

lub Kartach Systemu Ochrony Przeciwpożarowej danego operatora urządzenia.

3.

Osoba kontaktowa ma dostęp do danych zawartych w Karcie Urządzenia lub Karcie Systemu

Ochrony Przeciwpożarowej sporządzonych przez siebie lub do których dostęp został jej

udzielony przez administratora konta, po zalogowaniu się do Centralnego Rejestru Operatorów.

4.

Centralny Rejestr Operatorów sygnalizuje automatycznie administratorowi konta i osobie

kontaktowej, która ma dostęp do danej Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej,

na adresy ich poczty elektronicznej, każde sporządzenie Karty Urządzenia lub Karty

Systemu Ochrony Przeciwpożarowej oraz każdy wpis dokonany w tych kartach.

5.

Każdy wpis do Karty Urządzenia lub Karty Systemu Ochrony Przeciwpożarowej jest sprawdzany

automatycznie pod względem kompletności wprowadzonych danych.

1.

Dane gromadzone w Centralnym Rejestrze Operatorów są chronione poprzez zastosowanie

mechanizmów

1)

ochrony przed nieuprawnionym dostępem, w szczególności przez zastosowanie zapory sieciowej;

2)

ochrony przed oprogramowaniem złośliwym, w szczególności przez zastosowanie oprogramowania

antywirusowego;

3)

zapewnienia dostępności danych, w szczególności przez automatyczne tworzenie w odstępach

nie dłuższych niż 24 godziny kopii informacji;

4)

zapewnienia poufności danych, w szczególności przez przechowywanie informacji, w tym

także loginów i haseł osób mających dostęp do danych, w formie zaszyfrowanej;

5)

rozliczalności działań, w szczególności przez odnotowywanie w Centralnym Rejestrze

Operatorów każdego zalogowania do Centralnego Rejestru Operatorów z zaznaczeniem dokładnego

czasu zalogowania i wylogowania, zbiorów danych, jakie były przeglądane, i danych

osoby, która się logowała;

6)

reagowania na incydenty związane z bezpieczeństwem danych, w szczególności mechanizmów

a)

monitorowania dostępu do Centralnego Rejestru Operatorów,

b)

wykrywania incydentów,

c)

podejmowania działań związanych z wyjaśnianiem zaistniałych incydentów,

d)

przywracania Centralnego Rejestru Operatorów do stanu niezakłóconego funkcjonowania

po zaistniałym incydencie.

2.

Centralny Rejestr Operatorów jest zabezpieczony w szczególności przed

1)

działaniem osób lub oprogramowania, których celem jest uzyskanie nieuprawnionego dostępu

do tego rejestru lub nieuprawniona zmiana zawartości tego rejestru;

2)

utratą danych, wywołaną w szczególności awarią zasilania lub zakłóceniami w sieci

zasilającej.

Rozporządzenie wchodzi w życie z dniem 23 grudnia 2017 r.