POLITYKA OCHRONY

DANYCH OSOBOWYCH

W POLSKIM STOWARZYSZENIU EFT (PSEFT)

 

Aktualizacja - Luty 2026r.

• 1. DEFINICJE I SKRÓTY

1. Polityka – niniejsza Polityka Ochrony Danych Osobowych w Polskim Stowarzyszeniu EFT (dalej jako: PSEFT).
2. RODO - rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, Dz.Urz. UE L 119, s. 1).
3. Dane - dane osobowe, o ile co innego nie wynika wyraźnie z kontekstu.
4. Dane wrażliwe – szczególne kategorie danych i dane karne.
5. Szczególne kategorie danych - dane wymienione w art. 9 ust. 1 RODO, tj. dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej.
6. Dane karne - dane wymienione w art. 10 RODO, tj. dane dotyczące wyroków skazujących i naruszeń prawa.
7. Osoba - osoba, której dane dotyczą, o ile co innego nie wynika wyraźnie z kontekstu.
8. Podmiot przetwarzający - organizacja lub osoba, której PSEFT powierzyło przetwarzanie danych osobowych (np. usługi informatyczne, usługi księgowe).
9. Profilowanie - dowolna forma zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.
10. Eksport danych - przekazanie danych do państwa trzeciego lub organizacji międzynarodowej.
11. RCPD lub Rejestr - Rejestr Czynności Przetwarzania Danych.

 

• 2. POSTANOWIENIA OGÓLNE

1. Niniejsza Polityka ma na celu określenie wymogów, zasad i regulacji ochrony danych osobowych w PSEFT i zawiera opis zasad ochrony danych obowiązujących w PSEFT.
2. Polityka jest polityką ochrony danych osobowych w rozumieniu art. 24 ust. 2 RODO.
3. Za wdrożenie, utrzymanie, nadzór i monitorowanie niniejszej Polityki odpowiedzialny jest Zarząd PSEFT.
4. Za stosowanie niniejszej Polityki odpowiedzialni są PSEFT oraz jego personel.
5. PSEFT dołoży wszelkich starań, aby podmioty, z którymi współpracuje i którym przekaże dane osobowe podejmowali czynności zgodne z niniejszą Polityką.
6. PSEFT zobowiązuje wszystkich pracowników i współpracowników do zapoznania się z Polityką oraz do bezwzględnego przestrzegania zawartych w niej zasad.
7. PSEFT zapewnia, że przed przyjęciem niniejszej Polityki wszystkie procesy przetwarzania danych osobowych były organizowane na zasadach określonych w niniejszej Polityce.

 

• 3. ZASADY OGÓLNE OCHRONY DANYCH OSOBOWYCH

1. System ochrony danych osobowych w PSEFT opiera się na:
   1. Legalności – PSEFT dba o ochronę prywatności i przetwarzania danych zgodnie z prawem;
   2. Bezpieczeństwie – PSEFT zapewnia odpowiedni poziom bezpieczeństwa danych podejmując stałe działania w tym zakresie;
   3. Prawach jednostki – PSEFT umożliwia osobom, których dane przetwarza wykonywanie swoich praw i prawa te realizuje;
   4. Rozliczalności – PSEFT dokumentuje to, w jaki sposób spełnia obowiązki, aby w każdej chwili móc wykazać zgodność z RODO.
2. PSEFT przetwarza dane osobowe z poszanowaniem zasad zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia przechowywania, integralności i poufności oraz rozliczalności.
3. PSEFT przy przetwarzaniu danych osobowych danych osobowych dba także o zapewnienie prawidłowości ochrony danych osobowych poprzez następujące działania:
   1. prowadzenie inwentaryzacji – właściwe i systematyczne identyfikowanie zasobów danych osobowych, w tym danych wrażliwych, danych niezidentyfikowanych, danych dzieci, profilowania i współadministrowania danymi;
   2. prowadzenie Rejestru Czynności Przetwarzania Danych, w tym identyfikacja procesów przetwarzania danych, identyfikacja i weryfikacja podstaw przetwarzania oraz sposobów zabezpieczenia danych osobowych;
   3. stosowanie minimalizacji (privacy by default) – zarządzanie procesami przetwarzania danych z uwzględnieniem ich ilości, zakresu przetwarzania, dostępu oraz okresu przechowywania;
   4. projektowanie prywatności (privacy by design) – zapewnienie organizacji i planowania nowych projektów z uwzględnieniem ochrony danych osobowych;
   5. obsługa praw jednostki – spełnienie obowiązku informacyjnego wobec osób, których dane są przetwarzane oraz zapewnienie obsługi ich praw poprzez weryfikację i efektywne wykonywanie żądań osób, których dane dotyczą przez PSEFT i jej podmiotów przetwarzających, a także adekwatne zawiadamianie o naruszeniach, jeżeli jest to niezbędne;
   6. zapewnianie bezpieczeństwa – zapewnienie odpowiedniego poziomu bezpieczeństwa danych poprzez przeprowadzanie analizy ryzyka dla procesów przetwarzania danych, a oceny skutków dla ochrony danych, jeżeli na jakimkolwiek etapie stanie się to niezbędne, dostosowanie środków ochrony do ustalonego ryzyka oraz zarządzanie incydentami naruszenia ochrony danych;
   7. adekwatny dobór partnerów – weryfikacja partnerów w zakresie przetwarzania danych, w szczególności poprzez weryfikację umów powierzenia oraz zobowiązywanie do zapewnienia odpowiedniego poziomu ochrony danych.

 

• 4. INWENTARYZACJA I REJESTR

1. PSEFT identyfikuje na bieżąco przypadki przetwarzania danych lub możliwości ich przetwarzania, w tym danych wrażliwych (szczególnych kategorii danych i danych karnych) i każdorazowo wypełnia obowiązki dotyczące poprawności przetwarzania.
2. PSEFT zapewnia poprawność przetwarzania danych w przypadku współadministrowania i podejmuje starania w celu jego identyfikacji.
3. PSEFT prowadzi Rejestr Czynności Przetwarzania Danych i tym samym weryfikuje, identyfikuje i nadzoruje poprawność przetwarzania danych. Rejestr jest prowadzony na bieżąco i jest aktualizowany adekwatnie do procesów przetwarzania danych.
4. PSEFT na bieżąco weryfikuje czy istnieje prawdopodobieństwo eksportu danych i adekwatnie do potrzeb i wymogów prawa wdraża odpowiednie środki techniczne i organizacyjne dla zapewnienia poprawności przetwarzania.

 

• 5. MINIMALIZACJA DANYCH I PROJEKTOWANIE PRYWATNOŚCI

1. PSEFT zapewnia minimalizację danych z uwzględnieniem adekwatności danych do celów (ilości danych i zakresu przetwarzania), dostępu do danych oraz czasu przechowywania.
2. PSEFT dokonuje okresowego przeglądu ilości przetwarzanych danych, zakresu oraz poprawności ich przetwarzania nie rzadziej niż raz na rok.
3. PSEFT stosuje następujące ograniczenia dostępu do danych osobowych:
   1. prawne (m.in. zobowiązania do poufności, zakresy upoważnień),
   2. fizyczne (m.in. zamykanie pomieszczeń i szaf),
   3. logiczne (m.in. ograniczenia uprawnień do systemów przetwarzających dane osobowe, pseudonimizacja).
4. PSEFT dokonuje aktualizacji uprawnień dostępowych przy zmianach w składzie personelu i zmianach ról osób oraz zmianach podmiotów przetwarzających.
5. PSEFT na bieżąco weryfikuje czas przechowywania danych osobowych i dokonuje ich usuwania lub anonimizowania stosownie do informacji ujawnionych w Rejestrze.
6. Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wynikające z przetwarzania, PSEFT - zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania -wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi RODO oraz chronić prawa osób, których dane dotyczą.

 

• 6. OBSŁUGA PRAW JEDNOSTKI

1. PSEFT dba o czytelność i styl przekazywanych informacji i komunikacji z osobami, których dane przetwarza, przede wszystkim poprzez zawieranie czytelnych i jasnych klauzul w umowach oraz innych dokumentach przekazywanych osobom oraz poprzez zamieszczanie odpowiednich informacji lub linków do nich na swoich stronach internetowych, także w zakresie praw jednostek z zakresu ochrony danych osobowych, w tym w zakresie:
   1. informowania osoby o przetwarzaniu jej danych przy pozyskiwaniu danych od tej osoby,
   2. informowaniu osoby o przetwarzaniu jej danych przy pozyskiwaniu danych o tej osobie niebezpośrednio od niej,
   3. określania sposobu informowania osób o przetwarzaniu danych niezidentyfikowanych tam, gdzie to jest możliwe,
   4. informowania osoby o planowanej zmianie celu przetwarzania danych,
   5. informowania osoby przed uchyleniem ograniczenia przetwarzania,
   6. informowania odbiorców danych o sprostowaniu, usunięciu lub ograniczeniu przetwarzania danych, chyba, że będzie to wymagało niewspółmiernie dużego wysiłku lub będzie niemożliwe,
   7. zawiadamiania bez zbędnej zwłoki osoby o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności tej osoby.
2. PSEFT zapewnia realizację praw jednostek w prawem przepisanych terminach i dokumentuje obsługę obowiązków informacyjnych, zawiadomień i żądań osób.
3. Realizując prawa osób, których dane dotyczą, PSEFT wprowadza proceduralne gwarancje ochrony praw i wolności osób trzecich. W szczególności w przypadku powzięcia wiarygodnej wiadomości o tym, że wykonanie żądania osoby o wydanie kopii danych lub prawa do przeniesienia danych może niekorzystnie wpłynąć na prawa i wolności innych osób (np. prawa związane z ochroną danych innych osób, prawa własności intelektualnej, dobra osobiste itp.), PSEFT może zwrócić się do osoby w celu wyjaśnienia wątpliwości lub podjąć inne prawem dozwolone kroki, łącznie z odmową zadośćuczynienia żądaniu.
4. W przypadku braku przetwarzania danych osoby PSEFT informuje osobę o tym, że nie przetwarza danych jej dotyczących, jeśli taka osoba zgłosiła żądanie dotyczące jej praw.
5. PSEFT informuje osobę, w ciągu miesiąca od otrzymania żądania, o odmowie rozpatrzenia żądania i o prawach osoby z tym związanych.
6. Na żądanie osoby dotyczące dostępu do jej danych, PSEFT informuje osobę, czy przetwarza jej dane oraz informuje osobę o szczegółach przetwarzania, zgodnie z art. 15 RODO, a także udziela osobie dostępu do danych jej dotyczących. Dostęp do danych może być zrealizowany przez wydanie kopii danych, Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, PSEFT może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się w powszechnie stosowanej formie elektronicznej.
7. PSEFT dokonuje sprostowania nieprawidłowych danych na żądanie osoby. PSEFT ma prawo odmówić sprostowania danych, chyba że osoba w rozsądny sposób wykaże nieprawidłowości danych, których sprostowania się domaga. W przypadku sprostowania danych PSEFT informuje osobę o odbiorcach danych, na żądanie tej osoby.
8. PSEFT uzupełnia i aktualizuje dane na żądanie osoby. PSEFT ma prawo odmówić uzupełnienia danych, jeżeli uzupełnienie byłoby niezgodne z celami przetwarzania danych.
9. Na żądanie osoby, PSEFT usuwa dane, gdy:
   1. dane nie są niezbędne do celów, w których zostały zebrane ani przetwarzane w innych celach,
   2. zgoda na ich przetwarzanie została cofnięta, a nie ma innej podstawy prawnej przetwarzania,
   3. osoba wniosła skuteczny sprzeciw względem przetwarzania tych danych,
   4. dane były przetwarzane niezgodnie z prawem,
   5. konieczność usunięcia wynika z obowiązku prawnego.
10. PSEFT dokonuje obsługi prawa do usunięcia danych w taki sposób, aby zapewnić efektywną realizację tego prawa przy poszanowaniu wszystkich zasad ochrony danych, w tym bezpieczeństwa, a także weryfikację, czy nie zachodzą wyjątki, o których mowa w art. 17. ust. 3 RODO.
11. Jeżeli dane podlegające usunięciu zostały upublicznione przez PSEFT, podejmuje ono rozsądne działania, w tym środki techniczne, by poinformować innych administratorów przetwarzających te dane osobowe, o potrzebie usunięcia danych i dostępu do nich.
12. W przypadku usunięcia danych PSEFT informuje osobę o odbiorcach danych, na żądanie tej osoby.
13. PSEFT dokonuje ograniczenia przetwarzania danych na żądanie osoby, gdy:
    1. osoba kwestionuje prawidłowość danych – na okres pozwalający sprawdzić ich prawidłowość,
    2. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania,
    3. PSEFT nie potrzebuje już danych osobowych, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń,
    4. osoba wniosła sprzeciw względem przetwarzania z przyczyn związanych z jej szczególną sytuacją – do czasu stwierdzenia, czy po stronie PSEFT zachodzą prawnie uzasadnione podstawy nadrzędne wobec podstaw sprzeciwu.
14. W trakcie ograniczenia przetwarzania PSEFT przechowuje dane, natomiast nie przetwarza ich w inny sposób bez zgody osoby, której dane dotyczą, chyba że w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego.
15. PSEFT informuje osobę przed uchyleniem ograniczenia przetwarzania.
16. W przypadku ograniczenia przetwarzania danych PSEFT informuje osobę o odbiorcach danych, na żądanie tej osoby.
17. Na żądanie osoby PSEFT wydaje w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego lub przekazuje innemu podmiotowi, jeśli jest to możliwe, dane dotyczące tej osoby, które dostarczyła ona PSEFT, przetwarzane na podstawie zgody tej osoby lub w celu zawarcia lub wykonania umowy z nią zawartej, w systemach informatycznych PSEFT.
18. Jeżeli osoba zgłosi umotywowany jej szczególną sytuacją sprzeciw względem przetwarzania jej danych, a dane przetwarzane są przez PSEFT w oparciu o uzasadniony interes PSEFT lub o powierzone PSEFT zadanie w interesie publicznym, PSEFT uwzględni sprzeciw, o ile nie zachodzą po stronie PSEFT ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby zgłaszającej sprzeciw, lub podstawy do ustalenia, dochodzenia lub obrony roszczeń.
19. Jeżeli PSEFT będzie prowadził badania naukowe, historyczne lub przetwarzał dane w celach statystycznych, osoba może wnieść umotywowany jej szczególną sytuacją sprzeciw względem takiego przetwarzania. PSEFT uwzględni taki sprzeciw, chyba że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym.
20. Jeżeli osoba zgłosi sprzeciw względem przetwarzania jej danych przez PSEFT na potrzeby marketingu bezpośredniego (w tym ewentualnie profilowania), PSEFT uwzględni sprzeciw i zaprzestanie takiego przetwarzania.

 

• 7. BEZPIECZEŃSTWO

1. PSEFT zapewnia stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności osób fizycznych wskutek przetwarzania danych osobowych.
2. PSEFT przeprowadza analizy ryzyka, a także gdy to niezbędne dokonuje oceny skutków dla ochrony danych.
3. PSEFT umożliwia przetwarzanie danych osobowych na jej zlecenie jedynie pracownikom lub współpracownikom na podstawie nadanego upoważnienia lub pozytywnie zweryfikowanym podmiotom przetwarzającym na podstawie umowy powierzenia przetwarzania danych osobowych.
4. PSEFT ustala możliwe do zastosowania organizacyjne i techniczne środki bezpieczeństwa i ocenia koszt ich wdrażania, w szczególności stosując:
   1. pseudonimizację i szyfrowanie danych osobowych,
   2. środki zapewniające zdolność do ciągłego zachowania poufności, integralności, dostępności i odporności systemów i usług przetwarzania oraz środki zapewniające zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego,
   3. regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
5. Za naruszenie ochrony danych osobowych uważa się w szczególności:
   1. nieuprawniony dostęp lub próbę dostępu do danych osobowych lub pomieszczeń, w których się one znajdują,
   2. naruszenie lub próby naruszenia integralności danych rozumiane jako wszelkie modyfikacje, zniszczenia lub próby ich dokonania przez osoby nieuprawnione lub uprawnione działające w złej wierze lub jako błąd w działaniu osoby uprawnionej (np. zmianę zawartości danych, utratę całości lub części danych),
   3. utracenie lub zagubienie danych,
   4. naruszenie lub próby naruszenia integralności systemu,
   5. zmianę lub utratę danych zapisanych na kopiach zapasowych,
   6. naruszenie lub próby naruszenia poufności danych,
   7. nieuprawniony dostęp (sygnał o nielegalnym logowaniu lub inny objaw wskazujący na próbę lub działanie związane z nielegalnym dostępem do systemu),
   8. udostępnienie osobom nieupoważnionym danych osobowych
   9. zniszczenie, uszkodzenie lub wszelkie próby nieuprawnionej ingerencji w system informatyczny zmierzające do zakłócenia jego działania bądź pozyskania w sposób niedozwolony lub w celach niezgodnych z przeznaczeniem danych zawartych w systemie,
   10. inny stan systemu informatycznego lub pomieszczeń, niż pozostawiony przez użytkownika po zakończeniu pracy,
   11. włamanie do budynku lub pomieszczeń, w których przetwarzane są dane osobowe lub próby takich działań.
6. Dla zapewnienia bezpieczeństwa danych i informacji PSEFT stosuje następujące środki techniczne i organizacyjne:
   1. każda osoba działająca z upoważnienia PSEFT i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie PSEFT,
   2. każdy z pracowników i współpracowników zachowuje szczególną ostrożność przy przenoszeniu nośników danych,
   3. dane są chronione przed dostępem do nich osób nieupoważnionych,
   4. pomieszczenia, w których są przetwarzane dane osobowe są zamykane na klucz,
   5. dostęp do kluczy posiadają tylko upoważnieni pracownicy i współpracownicy,
   6. dostęp do pomieszczeń możliwy jest tylko i wyłącznie w godzinach pracy. W przypadku, gdy jest wymagany poza godzinami pracy – możliwy jest tylko na podstawie zezwolenia PSEFT,
   7. dostęp do pomieszczeń, w których są przetwarzane dane osobowe mogą mieć tylko upoważnieni pracownicy i współpracownicy,
   8. w przypadku pomieszczeń, do których dostęp mają również osoby nieupoważnione, mogą one przebywać w tych pomieszczeniach tylko w obecności osób upoważnionych i tylko w czasie wymaganym na wykonanie niezbędnych czynności,
   9. szafy, w których przechowywane są dane są zamykane na klucz, a klucze do tych szaf posiadają tylko upoważnione osoby,
   10. szafy z danymi mogą być otwarte tylko na czas potrzebny na dostęp do danych, a następnie powinny być zamykane,
   11. dane w formie papierowej mogą znajdować się na biurkach tylko na czas niezbędny na dokonanie czynności służbowych, a następnie muszą być chowane do szaf,
   12. dostęp do komputerów, na których są przetwarzane dane mają tylko upoważnieni pracownicy i współpracownicy,
   13. monitory komputerów, na których przetwarzane są dane, są tak ustawione, aby osoby nieupoważnione nie miały wglądu w dane,
   14. w przypadku potrzeby wyniesienia komputera przenośnego (np. typu laptop lub tablet) zawierającego dane osobowe lub inne informacje chronione, komputer taki musi być odpowiednio dodatkowo zabezpieczony, a dane zaszyfrowane; nie należy udostępniać osobom nieupoważnionym tych komputerów,
   15. tworzy się kopie zapasowe w celu przywrócenia dostępności danych,
   16. w przypadku korzystania z większej liczby systemów informatycznych rejestruje się dostęp do systemów informatycznych,
   17. w przypadku potrzeby przeniesienia danych osobowych pomiędzy komputerami, należy dokonać tego z zachowaniem szczególnej ostrożności; nośniki użyte do tego należy wyczyścić (skasować nieodwracalnie), aby nie zostały na nich dane osobowe, a w przypadku niemożliwości skasowania danych z nośnika, należy taki nośnik zniszczyć fizycznie; w przypadku wykorzystania do przenoszenia dysków - dane należy kasować z tych dysków,
   18. dokumenty zawierające dane osobowe przesyłane drogą elektroniczną muszą być zabezpieczone hasłem lub szyfrowane,
   19. sieć komputerowa powinna być zabezpieczona przed wszelkim dostępem z zewnątrz,
   20. stosuje się adekwatne środki ochrony przed szkodliwym oprogramowaniem, takim jak wirusy, konie trojańskie, ransomware; używa się systemu firewall do ochrony dostępu do sieci komputerowej; stosuje się mechanizmy blokady dostępu do systemu informatycznego w przypadku dłuższej nieaktywności pracy użytkownika,
   21. jeśli to możliwe korzysta się z protokołu szyfrowania SSL na stronach internetowych PSEFT,
   22. stosuje się szyfrowanie nośników i dysków zawierających dane osobowe,
   23. błędne lub nieaktualne wydruki i wersje papierowe zawierające dane osobowe lub inne informacje chronione - niszczone są za pomocą niszczarki lub w inny mechaniczny sposób uniemożliwiający powtórne ich odtworzenie,
   24. można kopiować i drukować jedynie taką liczbę materiałów i dokumentów, jaka jest niezbędna do wykonania czynności,
   25. komputery muszą być zabezpieczone hasłem; hasła nie mogą być przechowywane w miejscach ogólnodostępnych,
   26. na komputerach nie można instalować żadnego oprogramowania bez uprzedniej zgody PSEFT,
   27. prowadzi się cykliczne szkolenia personelu z zakresu ochrony danych osobowych.
7. W przypadku stwierdzenia naruszenia:
   1. zabezpieczenia systemu informatycznego,
   2. technicznego stanu urządzeń,
   3. zawartości zbioru danych osobowych,
   4. ujawnienia metody pracy lub sposobu działania programu,
   5. jakości transmisji danych w sieci telekomunikacyjnej mogącej wskazywać na naruszenie zabezpieczeń tych danych,
   6. innych zdarzeń mogących mieć wpływ na naruszenie danych osobowych (np. zalanie, pożar, itp.)

każda osoba zatrudniona przy przetwarzaniu danych jest obowiązana niezwłocznie powiadomić o tym fakcie PSEFT maksymalnie w ciągu 6 godzin od wykrycia.

8. Każdy pracownik lub współpracownik, który wykryje naruszenie ochrony danych jest zobowiązany do poinformowania o tym fakcie PSEFT niezwłocznie, maksymalnie w ciągu 6 godzin od wykrycia.
9. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania takiego naruszenia, a także innego stwierdzenia naruszenia ochrony danych lub praw i wolności osób nie podjęła działania określonego w Polityce, a w szczególności nie powiadomiła PSEFT zgodnie z określonymi zasadami stosuje się sankcje określone w kodeksie pracy lub innych adekwatnych aktach prawnych
10. PSEFT zapewnia, że zidentyfikowane naruszenia, wymagające zgłoszenia, będzie zgłaszało Prezesowi Urzędu Ochrony Danych Osobowych w terminie 72 godzin od wykrycia.

 

• 8. ADEKWATNY DOBÓR PARTNERÓW

1. PSEFT zapewnia weryfikację podmiotów przetwarzających i umów powierzenia.
2. PSEFT oczekuje od partnerów społecznych i biznesowych wdrożenia co najmniej takiego poziomu ochrony danych, jaki samo zapewnia, adekwatnie do procesu przetwarzania.

 

• 9. POSTANOWIENIA KOŃCOWE

1. Polityka jest dokumentem wewnętrznym i nie może być udostępniania osobom postronnym w żadnej formie, za wyjątkiem uzasadnionego i zgodnego z prawem żądania jej okazania przy jednoczesnym zobowiązaniu się przez nich do zachowania poufności w stosunku do treści dokumentu, a także gdy stanie się to niezbędne dla celów postępowania administracyjnego, sądowego i sądowo – administracyjnego.
2. Personel PSEFT jest zobowiązany do zapoznania się z treścią Polityki i złożenia oświadczenia o zapoznaniu się z nią.
3. W sprawach nieuregulowanych w Polityce stosuje się powszechnie obowiązujące przepisy prawa w zakresie ochrony danych osobowych.
4. W przypadku wątpliwości co do zakresu i sposobu ochrony danych osobowych powziętych na gruncie interpretacji Polityki i innych istniejących procedur ochrony danych w PSEFT, przyjmuje się, że zastosowanie znajdują te regulacje, które zapewnią wyższy poziom ochrony danych i bezpieczeństwa informacji.