Polityka ochrony danych osobowych

Niepubliczna szkoła podstawowa Montessori Latawiec

Dokument

1. Polityka ochrony danych osobowych („Polityka”) jest dokumentem określającą wymogi oraz zasady ochrony danych osobowych obowiązujące w Niepublicznej Szkole Podstawowej Montessori Latawiec („Szkoła”; ”Administrator”)
2. Odpowiedzialność za określenie zasad zawartych w Polityce oraz ich wdrożenie i egzekwowanie spoczywa na osobie odpowiedzialnej za ochronę danych osobowych, którą Szkoła wyznaczyła.
3. Wszyscy pracownicy oraz osoby współpracujące ze Szkołą mają obowiązek stosować zasady określone w niniejszym dokumencie.
4. Niniejsza Polityka jest polityką ochrony danych osobowych w rozumieniu art. 24 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) („RODO”).

II

Podstawowe zasady ochrony danych

1. Zgodność z prawem – Szkoła przetwarza dane osobowe zgodnie z przepisami prawa powszechnie obowiązującego.
2. Bezpieczeństwo – Szkoła wdraża odpowiednie środki organizacyjno-techniczne oraz podejmuje inne wymagane działania w celu zapewnienie przestrzegania danych osobowych.
3. Realizowanie praw osób fizycznych – Szkoła realizuje wymagane przepisami prawa osób fizycznych, w tym spełnia wobec nich obowiązki informacyjne w sposób rzetelny i przejrzysty,
4. Minimalizacja – Szkoła przetwarza dane osobowe wyłącznie w zakresie niezbędnym.
5. Rozliczalność – Szkoła dokumentuje podejmowane działania w zakresie ochrony danych osobowych w sposób pozwalający ich późniejsze wykazanie.
6. Ograniczenie przechowywania – Szkoła przetwarza dane osobowe nie dłużej niż potrzeba dla celów, w których dane są przetwarzane
7. Integralność, rzetelność i poufność – Szkoła podejmuje działania w celu zapewnienia integralności, rzetelności oraz poufności danych.

III

Rejestry

Szkoła prowadzi w formie elektronicznej lub papierowej:

1. Rejestr Czynności Przetwarzania Danych Osobowych – w stosunku do danych, których Szkoła jest Administratorem – RCP, którego wzór stanowi Załącznik nr 1;
2. Rejestr kategorii czynności przetwarzania danych osobowych – w stosunku do danych, których Szkoła jest podmiotem przetwarzającym – RKCP, którego wzór stanowi Załącznik nr 2;
3. Rejestr Naruszeń – dotyczy wszelkich naruszeń bezpieczeństwa danych osobowych, którego wzór stanowi Załącznik nr 3;
4. Rejestr szkoleń – dotyczy danych osobowych pracowników, którzy odbyli szkolenie z zakresu danych osobowych, którego wzór stanowi Załącznik nr 4;
5. Rejestr upoważnień – dotyczy danych osobowych pracowników, którzy zostali upoważnieni do przetwarzania danych osobowych, którego wzór stanowi Załącznik nr 5;

IV

Prawa osób fizycznych

Szkoła realizuje wymagane przepisami prawa osób fizycznych oraz wypełnia obowiązki informacyjne w szczególności poprzez:

1. Spełnienie obowiązku informacyjnego – w przypadku pozyskania danych osobowych należy spełnić obowiązek informacyjny w taki sposób, aby osoba fizyczna mogła się z nim zapoznać, zgodnie z art. 13 oraz 14 RODO;
2. Realizację praw wynikające z przesłanych żądań osób fizycznych, w szczególności wynikających z art. 15,16,17,18,20,21 i 22 RODO;
3. Zawiadamianie o naruszeniach – Szkoła zawiadamia o naruszeniach osoby fizyczne oraz zgłasza naruszenia organowi nadzoru zgodnie z art. 33 i 34 RODO;

V

Powierzchnie przetwarzania danych osobowych

Powierzenie przetwarzania danych osobowych przez Szkołę Podmiotowi Przetwarzającemu wymaga weryfikacji Podmiotu Przetwarzającego poprzez zobowiązanie do złożenia oświadczenia w postaci Ankiety Audytowej, której wzór stanowi Załącznik nr 6 oraz zawarcia Umowy Powierzenia Przetwarzania Danych Osobowych, której wzór stanowi Załącznik nr 7.

VI

Privacy by default

1. Szkoła zobowiązuje się do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby domyślnie przetwarzane były wyłącznie niezbędne dane osobowe zarówno na etapie projektowania i opracowywania sposobów przetwarzania danych, jak i na każdym kolejnym etapie przetwarzania.
2. Obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych.
3. Zasada ta oznacza, że ustawienia prywatności stosowane przez Administratora mają mieć na celu maksymalną ochronę użytkownika.
4. Wprowadzenie zasady domyślnej ochrony danych jest równoznaczne z koniecznością podjęcia przez użytkownika dodatkowych kroków w przypadku, gdyby chciał swoją prywatność w jakikolwiek sposób ograniczyć, np. poprzez udostępnianie swoich danych większej liczbie osób fizycznych.
5. Zmiana domyślnie stosowanej maksymalnej ochrony prywatności będzie następować jedynie na wyraźne żądanie.

VII

Privacy by design

Szkoła zobowiązuje się na etapie projektowania systemów oraz usług dokonywać oceny wpływu przetwarzania danych osobowych na bezpieczeństwo oraz ochronę praw osób fizycznych, zgodnie z art. 25 ust. 1 RODO. Na tej podstawie Szkoła wdraża odpowiednie środki organizacyjne oraz techniczne mające zapewnić odpowiedni poziom bezpieczeństwa.

VIII

Szkolenia

1. Każdy pracownik Szkoły zobowiązany jest do odbycia szkolenia wstępnego z zakresu bezpieczeństwa oraz zasad przetwarzania danych osobowych przed dopuszczeniem do przetwarzania danych. Fakt odbycia szkolenia odnotowywany jest w Rejestrze Szkoleń.
2. Każdy pracownik Szkoły zobowiązany jest do odbycia szkolenia okresowego z zakresu bezpieczeństwa oraz zasad przetwarzania danych osobowych nie rzadziej niż raz w roku. Fakt odbycia szkolenia odnotowywany jest w Rejestrze Szkoleń.
3. Szkolenia są organizowane i przeprowadzane przez osobę odpowiedzialną za bezpieczeństwo przetwarzania danych osobowych w Szkole lub upoważnioną przez Administratora.

IX

Upoważnienia

1. Każdy pracownik Szkoły zostaje upoważniony do przetwarzania danych osobowych w zakresie odpowiadającym jego stanowisku.
2. Upoważnienie powinno zostać nadane przed dopuszczeniem do przetwarzania danych osobowych.
3. Zakres upoważnienia zostaje odpowiednio dostosowany jeżeli zakres przetwarzanych danych osobowych przez pracownika uległ zmianie.
4. Upoważnienie zostaje wycofane w przypadku zakończenia współpracy.

X

Odwołania do innych dokumentów

Polityka może zostać uzupełniona o wszelkie procedury oraz inne regulacje wewnętrzne, które stanowią część System Ochrony Danych Osobowych w Szkole. Szkoła stosuje się do wszelkich Polityk, Procedur oraz przyjętych regulacji wewnętrznych w celu zapewnienia możliwie wysokiego poziomu ochrony danych osobowych.