Polityka prywatności

Załącznik do Zarządzenia nr 1 z dnia 02.09.2019 r.
Dyrektora Hospicjum Św. Ojca Pio w Pszczynie

AKTUALIZACJA POLITYKI BEZPIECZEŃSTWA

WSTĘP

Hospicjum św. Ojca Pio, ul. M. Skłodowskiej-Curie 1, 43-200 Pszczyna, zwanego dalej w skrócie Hospicjum, są niezbędne w celu realizacji działalności leczniczej, świadczenia usług medycznych i działalności stowarzyszenia. Informacje mogą być przetwarzane tradycyjnie, jak i przy użyciu systemów informatycznych. Niezależnie od rodzaju i sposobu przetwarzania informacje muszą być chronione.

Przez bezpieczeństwo informacji rozumiemy jej ochronę przed różnymi zagrożeniami w celu zapewnienia ciągłości działania organizacji, ochrony wizerunku, zapewnienia zgodności z prawem podejmowanych działań, rozwoju.

Jednym z podstawowych elementów zabezpieczeń jest uporządkowany sposób zarządzania bezpieczeństwem przetwarzanych danych, udokumentowany polityką bezpieczeństwa informacji.

Celem polityki bezpieczeństwa informacji jest podstawa do opracowania procedur i wymagań niezbędnych dla zapewnienia właściwej ochrony informacji w organizacji. Swoim zakresem polityka bezpieczeństwa informacji obejmuje wszelkie reguły i zasady postępowania wprowadzone w organizacji celem zabezpieczenia przetwarzanych i gromadzonych danych, w tym danych osobowych. Budową polityki bezpieczeństwa informacji realizowaną przez Administratora Danych Osobowych może zajmować się prawny przedstawiciel Hospicjum lub powołany Inspektor Ochrony Danych (IOD), konsultując wszelkie aspekty tej polityki z Zarządem.

Opracowana polityka bezpieczeństwa informacji w Hospicjum podlega stałej kontroli i modyfikacji w zależności od zmieniających się warunków wewnętrznych i zewnętrznych w tym z uwzględnieniem zmian struktury organizacyjnej, zatrudnienia, zmian systemu informatycznego oraz zmian technologicznych.

W realizacji polityki bezpieczeństwa bardzo ważną rolę odgrywa świadomość zagrożeń i znajomość zasad bezpieczeństwa wśród wszystkich pracowników.

Dokument ten został utworzony w związku z wymaganiami zawartymi w ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych z 10.5.2018 r. (Dz. U. 2018 poz.1000) oraz Rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych
i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/49/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. L 119/1 z 4.5.2016
Polityka Bezpieczeństwa Informacji jest dokumentem nadrzędnym nad wszystkimi dokumentami dotyczącymi bezpieczeństwa informacji w Hospicjum.

OŚWIADCZENIE KIEROWNICTWA

Mając świadomość znaczenia informacji oraz systemów informacyjnych dla realizacji misji i celów Hospicjum zapewniam, że podejmowane przez Hospicjum działania dążą
do zapewnienia bezpieczeństwa informacji i ochrony danych osobowych.

§ 1
DEFINICJE

W polityce bezpieczeństwa zostały określone definicje, które mają również zastosowanie
do wszystkich załączników niniejszego dokumentu:
1. Administrator Danych Osobowych – rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę decydujące o celach i środkach przetwarzania danych osobowych;
2. Inspektor ochrony danych – osoba wyznaczona przez administratora danych osobowych, nadzorującą przestrzeganie zasad ochrony danych osobowych,
w szczególności zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem
z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem;
3. Dane osobowe – wszelkie informacje dotyczące zidentyfikowanej lub możliwej
do zidentyfikowania osoby fizycznej, której tożsamość można określić pośrednio lub bezpośrednio, powołując się na numer identyfikacyjny, jej cechy fizyczne, umysłowe, fizjologiczne, ekonomiczne, społeczne, kulturowe itp.
4. Zbiór danych osobowych – każdy posiadający strukturę zestaw danych i informacji o charakterze osobowym, dostępny według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.
5. Przetwarzanie danych – jakiekolwiek operacje wykonywane na danych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te wykonywane w systemach informatycznych.
6. Forma tradycyjna – sposób utrwalenia danych osobowych lub innych informacji
na papierze;
7. Identyfikator – ciąg znaków literowych, cyfrowych lub innych, jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemach informatycznych;
8. Hasło – ciąg znaków literowych, cyfrowych lub innych, przypisany do identyfikatora użytkownika, znany jedynie osobie uprawnionej do pracy w systemie informatycznym;
9. Usuwanie danych – trwałe zniszczenie danych osobowych lub ich taka modyfikacja, które nie pozwala na ustalenie tożsamości osoby, której dane dotyczą;
10. Pseudonimizacja danych – sposób modyfikacji danymi osobowymi, który nie pozwala na odczytanie danych osobowych bez dostępu do określonego wcześniej klucza;
11. Osoba trzecia – osoba spoza struktury organizacyjnej Hospicjum tj. osoba fizyczna lub prawna, organ publiczny, jednostka lub podmiot którym na podstawie upoważnienia administratora lub podmiotu przetwarzającego mogą przetwarzać dane osobowe;
12. Administrator systemu informatycznego – osoba lub osoby upoważnione przez
Administratora Danych Osobowych do zarządzania systemami informatycznymi;
13. System informatyczny – zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych w systemach
14. System Bezpieczeństwa – zestaw środków wykorzystywanych do zabezpieczenia
systemów przed nieautoryzowanym dostępem wraz z organizacją i przyjętą
dokumentacją w zakresie bezpieczeństwa.
15. Bezpieczeństwo informacji – zachowanie poufności, integralności i dostępności
informacji w systemach.
16. Incydent związany z bezpieczeństwem informacji – pojedyncze zdarzenie lub seria niepożądanych lub niespodziewanych zdarzeń związanych z naruszeniem bezpieczeństwa informacji, które zagrażają bezpieczeństwu informacji i usług realizowanych
w Med5.
17. Zabezpieczenie – wdrożenie i eksploatacja stosownych środków technicznych
i organizacyjnych, zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem
18. Środki techniczne i organizacyjne – środki służące zarządzaniu ryzykiem związanym z utratą bezpieczeństwa informacji, łącznie z politykami, procedurami, zaleceniami, praktyką lub strukturami organizacyjnymi, które mogą mieć naturę administracyjną, techniczną, zarządczą lub prawną.
19. Użytkownik – każda osoba, posiadająca upoważnienie do przetwarzania danych
wydane przez Administratora Danych lub Inspektora Ochrony Danych, zarejestrowana w systemie (posiadająca unikalny identyfikator i hasło), przetwarzająca dane.

§ 2

1. Głównym założeniem „Polityki bezpieczeństwa” jest przetwarzanie danych osobowych zgodnie z obowiązującymi przepisami oraz ich ochrona przed udostępnieniem osobom
   nieupoważnionym, zabraniem przez osobę nieuprawioną, przetwarzaniem z naruszeniem przepisów określających zasady postępowania przy przetwarzaniu danych osobowych oraz przed uszkodzeniem, zniszczeniem lub nieupoważnioną zmianą.
2. W celu wykonania założeń Polityki należy zastosować zabezpieczenia oparte
   na poniższych cechach:
   • poufności danych – określona właściwość, która zapewnia że dane nie są udostępniane osobom nieupoważnionym;
   • integralności danych – właściwość, która zapewnia, że dane osobowe nie zostały zniszczone, zmienione, uszkodzone w sposób nieautoryzowany;
   • zgodność z procedurami – każdy użytkownik w ramach wykonywanych obowiązków służbowych winien postępować zgodnie z przyjętymi w poradni wzorami i procedurami;
   • przejrzystość – udzielenie osobie, której dane dotyczą wszelkich informacji w sposób zrozumiały nie budzący dalszych wątpliwości;
   • ograniczenia celu – zbieranie danych wyłącznie w konkretnych, wcześniej określonych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z wcześniej określonymi celami;
   • zgodności z prawem i rzetelność – dane osobowe mogą być przetwarzane wyłącznie wtedy gdy określono podstawę prawną ich przetwarzania (zgoda, umowa, obowiązek prawny, ochrona żywotnych interesów osoby, wykonanie zadań realizowanych w interesie publicznym lub w ramach władzy publicznej);
   • minimalizacji danych – zbieranie i przetwarzanie danych osobowych wyłączenie w takiej ilości by założone cele zostały zrealizowane;
   • prawidłowości – przetwarzanie danych, które są prawdziwe, aktualne a w razie ich nieprawidłowego przetwarzania, ich natychmiastowe usunięcie lub sprostowanie
   • ograniczenia przechowywania- przetwarzamy dane osobowe wyłącznie w wyznaczonym czasookresie, po ustaniu tego czasu dane te należy usunąć.
3. Miarą bezpieczeństwa jest wielkość ryzyka związanego z ochroną danych osobowych a zarządzaniem ryzykiem które określa proces identyfikacji, kontrolowania oraz ograniczenia lub całkowitej eliminacji ryzyka dotyczącego bezpieczeństwa, które może dotyczyć systemów informacyjnych służących do przetwarzania danych osobowych.
4. W celu zapewnienia bezpieczeństwa informacji stosuje się następujące ogólne zasady:
   • „minimalnych przywilejów” – tzn. przydzielania praw dostępu tylko w zakresie niezbędnym do wykonania określonego zadania,
   • „separacji obowiązków” – polegającej na tym, że zadania krytyczne z punktu widzenia bezpieczeństwa systemu nie mogą być realizowane przez jedną osobę,
   • „domniemanej odmowy” – tzn. przyjęcia, jako standardowych najbardziej restrykcyjnych uprawnień i ustawień w systemach, które można zwolnić jedynie w określonych sytuacjach („to, co nie jest dozwolone, jest zabronione”).
   a. system informatyczny jest zabezpieczony przed nieupoważnionym dostępem, modyfikacją lub zniszczeniem. Sieć wewnętrzna jest zabezpieczona przed nieupoważnionym dostępem z zewnątrz.
   b. informacje są chronione w sposób proporcjonalny do ich wrażliwości, zagrożeń lub wymagań stawianych przez odpowiednie przepisy prawne i zapisy umów z innymi podmiotami.
   c. każdy użytkownik dysponuje indywidualnym identyfikatorem, za pośrednictwem, którego może korzystać z udostępnianych zasobów i usług. Włączone w systemie informatycznym mechanizmy oraz procedury zapewniają rozliczalność użytkowników zarejestrowanych w systemie.
   d. każdy użytkownik ma obowiązek informowania przełożonego lub Inspektora Ochrony Danych o wystąpieniu incydentu związanego z bezpieczeństwem informacji.
   e. w przypadku wystąpienia incydentu związanego z bezpieczeństwem informacji, kierownictwo spowoduje podjęcie szybkich działań zaradczych w celu zmniejszenia potencjalnych strat.

§ 3

Zapisy „Polityki bezpieczeństwa” mają zastosowanie do:
a. wszystkich istniejących, wdrażanych obecnie lub w przyszłości systemów informatycznych, w których są lub będą przetwarzane informacje podlegające ochronie,
b. wszystkich istniejących i utworzonych w przyszłości zbiorów danych osobowych,
c. informacji będących własnością Hospicjum, umów podlegających ochronie zgodnie z Polityką Bezpieczeństwa Informacji lub na mocy zawartych umów związanych ze świadczeniem usług,
d. wszystkich nośników, na których są lub będą znajdować się informacje podlegające ochronie,
e. wszystkich lokalizacji – budynków i pomieszczeń, w których są lub będą przetwarzane informacje podlegające ochronie,
f. wszystkich klientów i użytkowników systemu,
Do stosowania zasad określonych przez dokument Polityki Bezpieczeństwa zobowiązani są wszyscy użytkownicy.

§ 4
System informatyczny

Sposób zarządzania, przetwarzania oraz zabezpieczenie danych w systemie informatycznym określa Instrukcja Zarządzania Systemem Informatycznym stanowiący załącznik nr 1 do Polityki Bezpieczeństwa.

§ 5
Inspektor Ochrony Danych

1. Administrator danych osobowych którym jest Hospicjum Św. Ojca Pio w Pszczynie celem prawidłowego nadzorowania i przestrzegania zasad ochrony danych osobowych oraz wykonywania polityki bezpieczeństwa powołała z dniem 16.08.2019 r. Inspektora Ochrony Danych Osobowych (IOD).
2. Zadania Inspektora Ochrony Danych Osobowych określa art. 39 Rozporządzenia Parlamentu Europejskiego (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Ogólne Rozporządzenie o Ochronie Danych- RODO). Do jego głównych zadań należy:
   • organizacja bezpieczeństwa i ochrony danych osobowych zgodnie z wymogami ww. Rozporządzenia i Ustawy o ochronie danych osobowych;
   • zapewnienie przetwarzania danych osobowych zgodnie z przyjętą Polityką bezpieczeństwa;
   • nadzorowanie wydawania i anulowania upoważnień do przetwarzania danych osobowych oraz prowadzenie stosownego rejestru upoważnień;
   • prowadzenie postępowania wyjaśniającego w przypadku naruszenia ochrony danych osobowych;
   • prowadzenie szkoleń personelu uczestniczącego w operacjach przetwarzania danych osobowych;
   • prowadzenie okresowych audytów przetwarzania danych osobowych w poradni;
   • przeprowadzenia cyklicznej oceny ryzyka prowadzonych w Poradni czynności przetwarzania danych osobowych oraz dokonywanie niezbędnej oceny skutków;
   • współpraca z organem nadzorczym.

§ 6
Obowiązek informacyjny

1. Celem prawidłowego obiegu informacji zarówno wewnątrz Hospicjum jak i osób, które korzystają z usług tej placówki, dostosowano formę komunikacji Administrator z odbiorcami poprzez obowiązek informacyjny, która został umieszczona na stronie internetowej Hospicjum oraz wewnątrz budynku w miejscu ogólnodostępnym dla klientów oraz pracowników
2. Zgodnie z art. 13 RODO Administrator realizuje obowiązek informacyjny wobec podmiotów danych w momencie pozyskiwania od nich tych danych.
3. Wzór obowiązku informacyjnego, stanowi załącznik nr 2 do Polityki Bezpieczeństwa.
4. Zgodnie z art. 14 RODO Administrator, jeżeli taka sytuacja będzie miała miejsce, realizuje obowiązek informacyjny również względem podmiotów danych, których dane uzyskał z innych źródeł niż bezpośrednio od podmiotu danych.

§ 7

Wykaz pomieszczeń w których przetwarzane są dane osobowe oraz wykaz programów
zastosowanych do przetwarzania tych danych w Hospicjum Św. Ojca Pio w Pszczynie zawiera załącznik nr 3 do niniejszego dokumentu.

§ 8
Upoważnienie do przetwarzania danych osobowych

1. Każda osoba posiadające dostęp do danych osobowych Hospicjum przed przystąpieniem do przetwarzania danych w systemie informatycznym jak i tradycyjnym musi zapoznać się zasadami dotyczącymi niniejszej Polityki bezpieczeństwa.
2. Zapoznanie się z powyższymi informacjami pracownik potwierdza własnoręcznym podpisem na oświadczeniu, którego wzór stanowi załącznik nr 4.
3. Do przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez Administratora Danych lub Inspektora Ochrony Danych. Osobami upoważnionymi mogą być pracownicy Hospicjum, osoby zewnętrzne, zastępujące okresowo pracowników lub wykonujące prace na rzecz Administratora Danych na podstawie innych umów oraz wolontariusze. Wzór upoważnienia stanowi załącznik nr 5 do Polityki Bezpieczeństwa.
4. Administratora Danych Osobowych przekazuje użytkownikowi ustnie identyfikator (login) dostępowy do komputera, bądź konkretnego programu (mMedica, EDM) wraz z hasłem, który objęty jest tajemnicą, również po upływie jego ważności i znany jest jedynie osobie do tego upoważnionej oraz Administratorowi Danych Osobowych.
5. Pracownicy zobowiązani są również do:
   a. ścisłego przestrzegania zakresu nadanego im upoważnienia;
   b. zachować w tajemnicy udostępnione dane osobowe oraz sposobów ich zabezpieczenia u Administratora;
   c. natychmiastowego zgłaszania wszelkich incydentów, zdarzeń mogących stanowić naruszenie bezpieczeństwa danych bezpośrednio do Administratora.
6. Naruszenie przyjętych w placówce zasad i przepisów ochrony danych osobowych może stanowić ciężkie naruszenie podstawowych obowiązków pracowniczych.
7. Za naruszenie lub próbę naruszenia zasad przetwarzania i ochrony danych osobowych zwanych dale „danymi” uważa się m.in:
   a. naruszenie bezpieczeństwa systemów informatycznych (m.in. niezmienianie lub przyjęcie hasła poniżej ustalonych u Administratora standardów, dzielenie się swoimi loginami i hasłami, logowanie się do systemów sieciowych przez niezabezpieczone sieci publiczne, otwieranie podejrzanych załączników, pozostawienie otwartych komputerów bez opieki);
   b. umożliwienie dostępu lub udostępnienie danych podmiotom do tego nieupoważnionym;
   c. zaniechanie, nawet nieumyślne, dopełnienia obowiązku ochrony przetwarzanych danych;
   d. nie przestrzeganie obowiązku zachowania w tajemnicy danych oraz sposobów ich zabezpieczenia;
   e. przetwarzanie danych niezgodnie z założonym zakresem i celem ich zbierania;
   f. spowodowanie uszkodzenia, zgubę, niekontrolowaną zmianę lub nieuprawnione kopiowanie danych;
   g. naruszenie praw osób, których dane dotyczą i są przetwarzane.
8. Administrator prowadzi ewidencję osób upoważnionych do przetwarzania danych osobowych w placówce, której wzór stanowi załącznik nr 6 do Polityki Bezpieczeństwa.
9. Odebranie uprawnień pracownikowi następuje na pisemny wniosek przełożonego, któremu pracownik podlega z podaniem daty oraz przyczyny odebrania uprawnień.

§ 9

1. Administrator danych osobowych celem skutecznej realizacji zapisków Polityki Bezpieczeństwa jest obowiązany do wprowadzenia odpowiednich środków technicznych, organizacyjnych oraz fizycznych.
2. Do zastosowanych środków technicznych należy:
   • przetwarzanie danych osobowych w wydzielonych pomieszczeniach położonych w strefie administracyjnej.
   • pomieszczenia, w których używany jest sprzęt komputerowy, bądź przetwarzane są dane osobowe zamykane są na klucz. Po zakończeniu pracy pracownicy zamykają biuro, po godzinach pracy wstęp do pokoju możliwy jest tylko przez pracownika posiadającego zezwolenie Dyrektora na pracę w godzinach poza harmonogramem lub w dniach wolnych od pracy.
   • wyposażenie pomieszczeń w zamykane na klucz szafy dające gwarancję bezpieczeństwa dokumentacji,
   • zastosowano środki ochrony przed szkodliwym oprogramowaniem (antywirus),
   • zabezpieczenie sprzętu komputerowego przed możliwością użytkowania przez osoby nieuprawnione do przetwarzania danych osobowych poprzez indywidualny identyfikator użytkowania i cykliczne zmiany hasła.
3. Do zastosowanych środków organizacyjnych należą przede wszystkim następujące zasady:
   • Zapoznanie każdej osoby z dokumentacją prawną dotyczącą ochrony danych osobowych, przed dopuszczeniem jej do pracy przy przetwarzaniu danych osobowych oraz zobowiązanie jej do zachowania tajemnicy służbowej,
   • Prowadzenie ewidencji osób upoważnionych do przetwarzania danych osobowych,
   • Przeszkolenie osób, o których mowa w pkt. 1 § 9, w zakresie bezpiecznej obsługi urządzeń i programów związanych z przetwarzaniem i ochroną danych osobowych,
   • Wyznaczenie inspektora danych osobowych,
   • Kontrolowanie otwierania i zamykania pomieszczeń, w których są przetwarzane dane osobowe, polegające na otwarciu pomieszczenia przez pierwszą osobę, która rozpoczyna pracę oraz zamknięciu pomieszczenia przez ostatnią wychodzącą osobę.
   • Administrator wraz z powołanym Inspektorem Ochrony Danych zobowiązuje się do cyklicznego przeglądu obowiązujących w placówce zabezpieczeń.
4. Niezależnie od niniejszych zasad opisanych w dokumencie „Polityka bezpieczeństwa” w Hospicjum Św. Ojca Pio w Pszczynie w zakresie bezpieczeństwa mają zastosowanie wszelkie wewnętrzne regulaminy lub instrukcje dotyczące bezpieczeństwa ludzi i zasobów informacyjnych oraz indywidualne zakresy zadań osób zatrudnionych przy przetwarzaniu danych osobowych w określonym systemie.
5. W celu ochrony przed utratą danych w Hospicjum stosowane są następujące zabezpieczenia:
   – Ochrona przed utratą zgromadzonych danych przez robienie kopii zapasowych na dyskach zewnętrznych, bądź płytach CD/DVD, z których w przypadku awarii odtwarzane są dane;
   – w systemie informatycznym Hospicjum w Pszczynie zastosowano autoryzację użytkownika tj. uruchamiając stanowisko komputerowe, wymagane jest podanie loginu użytkownika i hasła;
   – objęcie ochroną antywirusową wszystkich danych ściąganych z Internetu na stacjach lokalnych.
6. Wykonanie postanowień tego dokumentu ma zapewnić właściwą reakcję, ocenę i udokumentowanie przypadków naruszania bezpieczeństwa systemów oraz zapewnić właściwy tryb działania w celu przywrócenia bezpieczeństwa danych przetwarzanych w Hospicjum Św. Ojca Pio w Pszczynie.

§ 10

1. Wszyscy pracownicy Hospicjum Św. Ojca Pio w Pszczynie przed przystąpieniem do pracy w systemie tradycyjnym i systemie elektronicznym przetwarzającym dane osobowe lub zbiorami danych osobowych zostają poddani przeszkoleniu w zakresie ochrony danych osobowych. Potwierdzeniem uczestnictwa w szkoleniu jest karta szkolenia (załącznik nr 7), która zostaje dołączona do akt osobowych każdego pracownika.
2. Za organizację szkolenia odpowiada administrator danych osobowych a w jego imieniu Inspektor Ochrony Danych.
3. Zakres szkolenia powinien obejmować zaznajomienie użytkownika z przepisami Rozporządzenia, Ustawy o ochronie danych osobowych oraz wydawanymi na tej podstawie aktami wykonawczymi oraz instrukcjami obowiązującymi u administratora danych osobowych.
4. Zgodnie z wymogami Ustawy o ochronie danych osobowych pracownicy zostają zapoznani z przepisami z zakresu ww. ustawy w każdym przypadku istotnych zmian w przepisach dotyczących przetwarzania danych.
5. Administrator winien prowadzić rejestr odbytych szkoleń dla pracowników Hospicjum. Wzór rejestru określa załącznik nr 8 do niniejszej polityki.

§ 11

1. Administrator Danych Osobowych ma obowiązek monitorowania zastosowanych środków ochrony.
2. W ramach kontroli należy zwracać szczególną uwagę na:
   1) okresowe sprawdzanie kopii bezpieczeństwa pod względem przydatności do możliwości odtwarzania danych;
   2) kontrola właściwej częstotliwości zmiany haseł;
   3) skuteczność zastosowanych zabezpieczeń fizycznych, technicznych i organizacyjnych.
3. Administrator Danych ma obowiązek śledzić zagrożenia wewnętrzne i zewnętrzne z szczególnym uwzględnieniem przepisów prawa oraz współpracować z Inspektorem Danych Osobowych.

§ 12
Naruszenie przetwarzania danych osobowych

1. W przypadku stwierdzenia prawdopodobieństwa wystąpienia naruszenia zasad ochrony danych osobowych, osoba która powzięła taką informację zobowiązana jest niezwłocznie powiadomić o swoich przypuszczeniach Administratora a ten Inspektora Ochrony Danych, w terminie nie później niż do końca dnia, w którym to wystąpiło.
2. Administrator lub Inspektor Ochrony Danych dokonuje oceny zgłoszenia w zakresie wystąpienia ewentualnego naruszenia w szczególności:
   – Zapoznaje się z zaistniałą sytuacją i dokonuje wyboru metody dalszego postępowania mając na uwadze ewentualne zagrożenia dla prawidłowości pracy Hospicjum Św. Ojca Pio w Pszczynie,
   – Może żądać dokładnej relacji z zaistniałego naruszenia od osoby powiadamiającej, jak również od każdej innej osoby, która może posiadać informacje związane z zaistniałym naruszeniem,
   – Rozważa celowość i potrzebę powiadomienia o zaistniałym naruszeniu organowi, któremu podlega,
   – Nawiązuje bezpośredni kontakt, jeżeli zachodzi taka potrzeba, ze specjalistami spoza placówki.
3. Każdorazowo w przypadku naruszenia, które mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych, Administrator (Inspektor Ochrony Danych) zgłasza bez zbędnej zwłoki fakt naruszenia zasad ochrony danych osobowych w poradni organowi nadzorczemu, tj. nie później niż w terminie 72 godzin po stwierdzeniu naruszenia (po stwierdzeniu, że doszło do naruszenia).
4. Jeżeli ryzyko naruszenia praw i wolności okaże się wysokie, Administrator winien zawiadomić o incydencie także osobę, której dane dotyczą.
5. Administrator dokumentuje wszelkie czynności podjęte w ramach naruszenia przetwarzania danych osobowych i wpisuje je do rejestru naruszeń i uchybień, który określa załącznik nr 9 do Polityki Bezpieczeństwa (wyłącznie w formie elektronicznej).
6. Rejestru naruszeń sporządzony w formie elektronicznej prowadzi Inspektor Ochrony Danych Osobowych.
7. Procedurę postępowania w przypadku naruszenia określa załącznik nr 10.
8. Do najważniejszych zagrożeń należą:
   – przechwycenie informacji – naruszenie poufności,
   – modyfikacja informacji – naruszenie integralności,
   – zniszczenie informacji – naruszenie dostępności,
   – blokowanie dostępu do informacji – naruszenie dostępności,
   – całkowitej utraty danych,
   – częściowej utraty danych,
   – uszkodzenia danych podczas przetwarzania,
   – celowego wprowadzania błędnych danych przez osoby nieuprawnione,
   – wejścia w posiadanie danych przez osoby nieuprawnione,
   – różne inne zagrożenia
9. Podział zagrożeń.
   – zagrożenia losowe zewnętrzne (np. klęski żywiołowe, przerwy w zasilaniu), ich występowanie może prowadzić do utraty integralności danych, ich zniszczenia i uszkodzenia infrastruktury technicznej systemu, ciągłość systemu zostaje zakłócona, nie dochodzi do naruszenia poufności danych.
   – zagrożenia losowe wewnętrzne (np. niezamierzone pomyłki operatorów, administratora, awarie sprzętowe, błędy oprogramowania), może dojść do zniszczenia danych lub zostać zakłócona ciągłość pracy systemu czy nastąpić naruszenie poufności danych.
   – zagrożenia zamierzone, świadome i celowe – najpoważniejsze zagrożenia, naruszenia poufności danych, (zazwyczaj nie następuje uszkodzenie infrastruktury technicznej i zakłócenie ciągłości pracy), zagrożenia te możemy podzielić na: nieuprawniony dostęp do systemu z zewnątrz (włamanie do systemu), nieuprawniony dostęp do systemu z jego wnętrza, nieuprawniony przekaz danych, pogorszenie jakości sprzętu i oprogramowania, bezpośrednie zagrożenie materialnych składników systemu.
10. Przypadki zakwalifikowane jako naruszenie lub uzasadnione podejrzenie naruszenia zabezpieczenia systemu informatycznego, w którym przetwarzane są dane osobowe to głównie:
    – sytuacje losowe lub nieprzewidziane oddziaływanie czynników zewnętrznych na zasoby systemu jak np.: wybuch gazu, pożar, zalanie pomieszczeń, katastrofa budowlana, napad, niepożądana ingerencja ekipy remontowej itp.,
    – niewłaściwe parametry środowiska, jak np. nadmierna wilgotność lub wysoka temperatura, oddziaływanie pola elektromagnetycznego, wstrząsy lub wibracje pochodzące od urządzeń przemysłowych,
    – awaria sprzętu lub oprogramowania, które wyraźnie wskazują na umyślne działanie w kierunku naruszenia ochrony danych lub wręcz sabotaż, a także niewłaściwe działanie serwisu, a w tym sam fakt pozostawienia serwisantów bez nadzoru,
    – pojawienie się odpowiedniego komunikatu alarmowego od tej części systemu, która zapewnia ochronę zasobów lub inny komunikat o podobnym znaczeniu,
    – jakość danych w systemie lub inne odstępstwo od stanu oczekiwanego wskazujące na zakłócenia systemu lub inną nadzwyczajną i niepożądaną modyfikację w systemie,
    – nastąpiło naruszenie lub próba naruszenia integralności systemu lub bazy danych w tym systemie,
    – stwierdzono próbę lub modyfikację danych lub zmianę w strukturze danych bez odpowiedniego upoważnienia (autoryzacji),
    – nastąpiła niedopuszczalna manipulacja danymi osobowymi w systemie,
    – ujawniono osobom nieupoważnionym dane osobowe lub objęte tajemnicą procedury ochrony przetwarzania albo inne strzeżone elementy systemu zabezpieczeń,
    – praca w systemie lub jego sieci komputerowej wykazuje nieprzypadkowe odstępstwa od założonego rytmu pracy wskazujące na przełamanie lub zaniechanie ochrony danych osobowych – np. praca przy komputerze lub w sieci osoby, która nie jest formalnie dopuszczona do jego obsługi, sygnał o uporczywym nieautoryzowanym logowaniu, itp.,
    – ujawniono istnienie nieautoryzowanych kont dostępu do danych lub tzw. „bocznej furtki”, itp.,
    – podmieniono lub zniszczono nośniki z danymi osobowymi bez odpowiedniego upoważnienia lub w sposób niedozwolony skasowano lub skopiowano dane osobowe,
    – rażąco naruszono dyscyplinę pracy w zakresie przestrzegania procedur bezpieczeństwa informacji (nie wylogowanie się przed opuszczeniem stanowiska pracy, pozostawienie danych osobowych w drukarce, na ksero, nie zamknięcie pomieszczenia z komputerem, nie wykonanie w określonym terminie kopii bezpieczeństwa, prace na danych osobowych w celach prywatnych, itp.).

Za naruszenie ochrony danych uważa się również stwierdzone nieprawidłowości w zakresie zabezpieczenia miejsc przechowywania danych osobowych (otwarte szafy, biurka, regały, urządzenia archiwalne i inne) na nośnikach tradycyjnych tj. na papierze (wydrukach), kliszy, folii, zdjęciach, nośnikach elektronicznych w formie niezabezpieczonej itp.

§ 13
[Powierzenie przetwarzania danych]

1. Hospicjum jako Administrator Danych może powierzyć przetwarzanie danych osobowych podmiotowi zewnętrznemu, pod warunkiem zawarcia z nim stosownej pisemnej umowy określającej w szczególności zakres w jakim dane mogą być przetwarzane przez podmiot i cel przetwarzania danych. Umowa ta musi określać również zakres odpowiedzialności podmiotu zewnętrznego z tytułu niewykonania lub nienależytego wykonania umowy oraz sposobu jej rozwiązania. Wzór umowy powierzenia stanowi załącznik nr 11 do niniejszej Polityki bezpieczeństwa.
2. Administrator przed zawarciem umowy powierzenia ma obowiązek sprawdzić stan zabezpieczeń i poziom ochrony przetwarzania danych osobowych określony przez podmiot zewnętrzny i zapewnia sobie możliwość kontroli stanu przetwarzania powierzonych danych w trakcie trwania umowy. Przetwarzającemu nie wolno udostępnić powierzonych danych, a w szczególności powierzać ich innemu podmiotowi.
3. Administrator Danych prowadzi kontrolę nad przekazywaniem zbiorów lub danych osobowych zgodnie z załącznikiem nr 12.
4. Dane osobowe w zakresie dokumentacji medycznej są gromadzone i przetwarzane w Hospicjum na podstawie Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta w związku z prowadzoną działalnością leczniczą, określoną na podst. Art. 10 oraz Art. 11 Ustawy o działalności leczniczej. W związku z powyższym na podstawie Art. 23.1 pkt. 5 Ustawy o ochronie danych osobowych, dane osobowe pacjentów mogą być przetwarzane bez zgody na przetwarzanie wyrażonej przez pacjenta, gdyż jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów przez Hospicjum, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W przypadku przetwarzania danych osobowych z innych powodów i zakresie niż wynikające z ww. aktów prawa, dane osobowe mogą być przetwarzane przez Hospicjum tylko za zgodą osoby której dane dotyczą. Wzór zgody osoby fizycznej na przetwarzanie danych osobowych zawiera załącznik nr 13.
5. Hospicjum może przekazywać informacje zawarte w dokumentacji medycznej tylko osobom, których dane dotyczą oraz instytucjom i organom państwowym na podstawie oraz w sposób regulowany przez inne akty prawne. Innym osobom mogą zostać informacje udostępnione lub przekazane tylko na podstawie pisemnej zgody udzielonej przez osobę, której dane dotyczą.
6. Hospicjum świadcząc usługi medyczne w zakresie badań diagnostycznych pacjentów, pobrane próbki materiału badawczego wraz z niezbędnymi do tego celu informacjami dotyczącymi pacjenta, może przekazywać innym podmiotom (np. laboratorium lub lekarzom specjalistom) w celu wykonania badania lub dokonania opisu wyników na podstawie zawartej umowy. Przekazanie próbek do badań wraz z niezbędnymi danymi pacjenta innym podmiotom oraz wyników badań lub opisu do Hospicjum powinno uwzględniać zasady ochrony danych osobowych, a szczególnie zapewniać ich bezpieczeństwo, w tym ograniczać dostęp osób nieuprawnionych. Sposób przekazywania próbek, danych i wyników powinny określać zawarte w tym celu umowy.
7. W celu świadczenia usług medycznych w ramach prowadzonych wizyt domowych, uprawnieni pracownicy mogą pobrać z rejestracji kartoteki lub ich fragmenty, druki zawierające dane odwiedzanego pacjenta (kupony, recepty, druki kartotek do dokonania wpisu w dokumentacji medycznej itp.). Po wykonaniu wizyt domowych pracownik jest zobowiązany do zwrócenia, pobranych kartotek, niewykorzystanych druków oraz wykonanych wpisów do dokumentacji medycznej w tym samym dniu. Jeżeli wykonana wizyta zakończyła się po godzinie zamknięcia poradni, pracownik powinien dokonać zwrotu dokumentów najszybciej jak to możliwe w pierwszym dniu, w którym poradnia jest czynna.
8. Punkt nr 13 nie ma zastosowania do przekazywania danych podmiotom upoważnionym do ich przetwarzania na mocy przepisów prawa, w tym szczególności ZUS, Prokuraturze, Policji, Sadom, Komornikom itp.

§ 14
[Postanowienia końcowe]

1. Za bezpieczeństwo informacji odpowiedzialny jest każdy pracownik i użytkownik systemów informatycznych. Wszyscy pracownicy zobowiązani są do zapoznania się z niniejszym dokumentem oraz do stosowania zawartych w nich reguł.
2. Wobec osoby, która w przypadku naruszenia zabezpieczeń systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie podjęła działania określonego w niniejszym dokumencie, a w szczególności nie powiadomiła odpowiedniej osoby zgodnie z określonymi zasadami, a także gdy nie zrealizowała stosownego działania dokumentującego ten przypadek, można wszcząć postępowanie dyscyplinarne.
3. Przypadki nieuzasadnionego zaniechania obowiązków wynikających z niniejszego dokumentu mogą być potraktowane jako ciężkie naruszenie obowiązków pracowniczych, w szczególności przez osobę, która wobec naruszenia zabezpieczenia systemu informatycznego lub uzasadnionego domniemania takiego naruszenia nie powiadomiła o tym Administratora Bezpieczeństwa.
4. Kara dyscyplinarna orzeczona wobec osoby uchylającej się od powiadomienia nie wyklucza odpowiedzialności karnej tej osoby, zgodnie z Ustawą o ochronie danych osobowych oraz możliwości wniesienia wobec niej sprawy z powództwa cywilnego przez pracodawcę o zrekompensowanie poniesionych strat.
5. W sprawach nieuregulowanych w niniejszym dokumencie mają zastosowanie przepisy Rozporządzenia oraz Ustawy o ochronie danych osobowych.
6. Integralną częścią Polityki Bezpieczeństwa stanowią jej załączniki.
7. Polityka Bezpieczeństwa wchodzi w życie z dniem jej podpisania przez Dyrektora i obowiązuje do czasu jej zmiany lub uchylenia.