OCHRONA DANYCH

OSOBOWYCH

I INFORMACJI NIEJAWNYCH

WYKŁAD 1

PODSTAWOWE POJĘCIA Z ZAKRESU

OCHRONY DANYCH OSOBOWYCH

POJĘCIE „DANYCH OSOBOWYCH”

Dane osobowe – wszelkie informacje dotyczące
zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osoba możliwa do zidentyfikowania – osoba, której tożsamość
można określić bezpośrednio lub pośrednio, w szczególności przez
powołanie się na numer identyfikacyjny albo jeden lub kilka
specyficznych czynników określających jej cechy fizyczne,
fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Informacji nie uważa się za umożliwiającą określenie tożsamości
osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub
działań.

(art. 6 ust. 1-3 ustawy)

Przykłady z orzecznictwa:

Decyzja GIODO z dnia 2 sierpnia 2011 r. DOLiS/DEC- 645/11:

„Informacje o fakcie odwołania od konkretnej decyzji środowiskowej
należy uznać za dane osobowe”.

Wyrok WSA w Warszawie z dnia 25 stycznia 2007 r. II SA/Wa 1526/06

„(...) Nie można przyjąć, iż daty rozpraw, w których ławnik orzekał oraz
sygnatury akt tych spraw są danymi osobowymi w rozumieniu ustawy.
Sygnatur danych spraw i dat rozpraw nie można w żaden sposób
wprost przypisać ławnikowi, jako informacji identyfikujących go, czy
umożliwiających ustalenie jego tożsamości, bowiem informacje
dotyczące dat rozpraw, w których ławnik orzekał oraz sygnatur akt tych
spraw nie są danymi osobowymi w rozumieniu ustawy.”.

Wyrok NSA z dnia 19 maja 2011 r. I OSK 1079/10

„2. Tam gdzie adres IP jest na dłuższy okres czasu lub na stałe przypisany
do konkretnego urządzenia, a urządzenie to przypisane jest konkretnemu
użytkownikowi, należy uznać, że stanowi on daną osobową, jest to bowiem
informacja umożliwiająca identyfikację konkretnej osoby fizycznej.

3. Internet często pozornie, a czasami faktycznie zapewnia anonimowość
jego użytkownikom. Stanowi medialne forum, na którym prezentowane są
treści naruszające ludzką godność, cześć i dobre imię. Dlatego też
wszędzie tam gdzie numer IP pozwala pośrednio na identyfikację
konkretnej osoby fizycznej powinien on być uznany za dane osobowe
w rozumieniu art. 6 ust. 1 i 2 ustawy o ochronie danych osobowych.”.

Wyrok NSA z dnia 18 listopada 2009 r. I OSK 667/09

„1. Osoba, której dane osobowe zostały ujawnione w internecie w postaci
zdjęcia zamieszczonego na portalu społecznościowym, jest możliwa do
zidentyfikowania przez nieokreśloną liczbę osób.

2. Pojęcie "dane osobowe" na gruncie prawa polskiego obejmuje wszelkie
informacje dotyczące osoby fizycznej, jeśli możliwe jest określenie jej
tożsamości i zidentyfikowanie. Dane osobowe to zespół wiadomości
(komunikatów) o konkretnym człowieku na tyle zintegrowany, że pozwala
na jego zindywidualizowanie. Obejmuje co najmniej informacje niezbędne
do identyfikacji (imię, nazwisko, miejsce zamieszkania), jednakże do tego
się nie ogranicza, bowiem mieszczą się w nim również dalsze informacje,
wzmacniające stopień identyfikacji. Do informacji takich należą zdjęcia
osoby fizycznej, chociażby wykonane w przeszłości, umożliwiające jej
identyfikację. W sytuacji gdy zdjęcie takie jest umieszczone wraz z imieniem
i nazwiskiem osoby na nim występującej w miejscu dostępnym dla
nieograniczonej liczby podmiotów, należy uznać, iż stanowi ono dane
osobowe podlegające ochronie na podstawie ustawy (...).

3. Wizerunek jest jednym z bardzo osobistych dóbr człowieka i brak zgody
na jego publikowanie, jeśli nie chodzi o osoby publiczne jest wystarczającym
powodem do uznania, że działają przepisy ustawy o ochronie danych
osobowych, jeśli tylko spełnione zostały przesłanki z art. 6 ust. 2 ustawy
o ochronie danych osobowych.”.

Decyzja GIODO z dnia 25 kwietnia 2005 r. GI-DEC-DS-80/05

„W świetle art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (...) stwierdzić należy, że informacji o tym, jakie przedmioty ma
przy sobie dana osoba, nie można zaliczyć do danych osobowych.
Z przepisu tego wynika bowiem, że nie każda informacja, która „dotyczy
osoby fizycznej", ma taki charakter, a jedynie taka, która „umożliwia
ustalenie tożsamości", a więc np. imię i nazwisko (w powiązaniu
z dodatkowymi wskazówkami) czy numer PESEL.”.

Decyzja GIODO z dnia 2 grudnia 2004 r. GI-DEC-DS-267/04/571

„Wszelkie działania dokonywane na danych przedsiębiorcy, w tym także
udostępnianie tych danych, pozostają poza regulacją ustawy z dnia 29
sierpnia 1997 r. o ochronie danych osobowych (...). W konsekwencji, poza
zakresem przedmiotowym ustawy o ochronie danych osobowych pozostaje
rozważenie legalności przetwarzania informacji o takim charakterze.”.

DEFINICJE LEGALNE WYSTĘPUJĄCE NA GRUNCIE
USTAWY O OCHRONIE DANYCH OSOBOWYCH

Zbiór danych – każdy posiadający strukturę zestaw danych o charakterze
osobowym, dostępnych według określonych kryteriów, niezależnie od tego,
czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

Przetwarzanie danych – jakiekolwiek operacje wykonywane na danych
osobowych, takie jak:

1) zbieranie,
2) utrwalanie,
3) przechowywanie,
4) opracowywanie,
5) zmienianie,
6) udostępnianie i
7) usuwanie,

a zwłaszcza te, które wykonuje się w systemach informatycznych.

System informatyczny – zespół współpracujących ze sobą urządzeń,
programów, procedur przetwarzania informacji i narzędzi programowych
zastosowanych w celu przetwarzania danych.

Zabezpieczenie danych w systemie informatycznym – wdrożenie
i eksploatacja stosownych środków technicznych i organizacyjnych
zapewniających ochronę danych przed ich nieuprawnionym przetwarzaniem.

Usuwanie danych – zniszczenie danych osobowych lub taka ich
modyfikacja, która nie pozwoli na ustalenie tożsamości osoby, której dane
dotyczą,

Administrator danych – organ, jednostka organizacyjna, podmiot lub osoba,
o których mowa w art. 3 ustawy, decydujące o celach i środkach
przetwarzania danych osobowych.

Odbiorca danych – każdy, komu udostępnia się dane osobowe,
z wyłączeniem:

a) osoby, której dane dotyczą,
b) osoby upoważnionej do przetwarzania danych,
c) przedstawiciela podmiotu mające siedzibę albo miejsce zamieszkania
w państwie trzecim,
d) podmiotu, któremu administrator danych powierzył w drodze umowy
zawartej na piśmie przetwarzanie danych,
e) organów państwowych lub organów samorządu terytorialnego, którym
dane są udostępniane w związku z prowadzonym postępowaniem.

Zgoda osoby, której dane dotyczą – oświadczenie woli, którego treścią
jest zgoda na przetwarzanie danych osobowych tego, kto składa
oświadczenie, przy czym zgoda:

- nie może być domniemana lub dorozumiana z oświadczenia woli o innej
treści;
- może być odwołana w każdym czasie.

ZAKRES PRZEDMIOTOWY USTAWY O OCHRONIE DANYCH
OSOBOWYCH

Przetwarzanie danych osobowych:

1) w systemie papierowym:
- w kartotekach,
- w skorowidzach,
- w księgach,
- w wykazach i
- w innych zbiorach ewidencyjnych.

2) w systemie informatycznym, także w przypadku
przetwarzania danych poza zbiorem.

Wyłączenia o charakterze przedmiotowym:

a) przetwarzanie danych osobowych w zbiorach doraźnych tworzonych
wyłącznie:

- ze względów technicznych,
- ze względów szkoleniowych lub
- w związku z dydaktyką w szkołach wyższych,

które po wykorzystaniu podlegają obowiązkowi niezwłocznego usunięcia
albo anonimizacji.

Wyjątek:
Przepisy dotyczące zabezpieczenia takich zbiorów przez okres ich
funkcjonowania (rozdział 5 ustawy),

b) działalność dziennikarska w rozumieniu prawa prasowego,
działalność literacka lub artystyczna, chyba że wolność wyrażania
swoich poglądów i rozpowszechniania informacji istotnie narusza prawa
i wolności osoby, której dane dotyczą

Wyjątek:
Przepisy art. 14-19 i art. 36 ust. 1 ustawy.

c) umowa międzynarodowa, której stroną jest Rzeczypospolita – jeżeli
ta umowa stanowi inaczej,

d) istnienie odrębnych ustaw, które odnoszą się do przetwarzania
danych, a przewidują dalej idącą ich ochronę, niż wynika to z ustawy
o ochronie danych osobowych – stosuje się wówczas przepisy tych
ustaw.

ZAKRES PODMIOTOWY USTAWY O OCHRONIE DANYCH
OSOBOWYCH

1) podmioty publiczne:
- organy państwowe,
- organy samorządu terytorialnego,
- państwowe i komunalne jednostki organizacyjne.

2) podmioty prywatne:
- podmioty niepubliczne realizujące zadania publiczne,
- osoby fizyczne,
- osoby prawne oraz
- jednostki organizacyjne niebędące osobami prawnymi.

Wyłączenia o charakterze podmiotowym:

a) osoby nieżyjące – ze względu na ochronę powszechnych dóbr
osobistych (kult pamięci osoby zmarłej),

b) informacje o przedsiębiorcach w zakresie, w jakim identyfikują
podmiot w obrocie gospodarczym i ściśle wiążą się z prowadzeniem
działalności gospodarczej,

c) osoby fizyczne, prawne i jednostki organizacyjne nie mające osobowości
prawnej, o ile nie przetwarzają danych w związku z działalnością zarobkową,
zawodową lub dla realizacji celów statutowych,

d) podmioty mające siedzibę albo miejsca zamieszkania w państwie trzecim
(nienależącym do Europejskiego Obszaru Gospodarczego), wykorzystujące
środki techniczne znajdujące się na terytorium Rzeczypospolitej Polskiej
wyłącznie do przekazywania danych,

e) osoby fizyczne, które wykorzystują dane wyłącznie w celach osobistych lub
domowych.

ŹRÓDŁA PRAWA W ZAKRESIE OCHRONY DANYCH
OSOBOWYCH

1) Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (tekst jednolity: Dz. U. z 2002 r. Nr 101, poz 926
z późn. zm.), zwana dalej „u.o.d.o.”.

2) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia
29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych
osobowych oraz warunków technicznych i organizacyjnych, jakim
powinny odpowiadać urządzenia i systemy informatyczne służące do
przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz.1024)

3) rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia
22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji
służbowej inspektora Biura Generalnego Inspektora Ochrony Danych
Osobowych (Dz. U. z 2004 r. Nr 94, poz. 923 z późn. zm.)

4) Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia
11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru danych do rejestracji
Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. z 2008 r.
Nr 229, poz. 1536).

W prawie międzynarodowym zagadnienie ochrony danych
osobowych po raz pierwszy zostało uregulowane w:

- Konwencji nr 108 Rady Europy z dnia 28 stycznia 1981 r. o ochronie
osób w związku z automatycznym przetwarzaniem danych osobowych,

- dyrektywie Parlamentu Europejskiego i Rady z dnia 24 października
1995 r. (95/46/EC) w sprawie ochrony osób w związku z przetwarzaniem
danych osobowych oraz swobodnego przepływu tych danych.

WYKŁAD 2

ORGANY

OCHRONY DANYCH OSOBOWYCH

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
(dalej: „GIODO”)

1) Podstawowe informacje:

a) GIODO powołuje i odwołuje Sejm Rzeczypospolitej Polskiej za zgodą
Senatu,

b) w zakresie wykonywania swoich zadań GIODO podlega tylko ustawie,

c) GIODO może zostać ten, kto spełnia łącznie następujące warunki:

- jest obywatelem polskim i stale zamieszkuje na terytorium RP,
- wyróżnia się wysokim autorytetem moralnym,
- posiada wyższe wykształcenie prawnicze i odpowiednie doświadczenie
zawodowe,
- nie był karany za przestępstwo,

d) kadencja GIODO trwa 4 lata, przy czym ta sama osoba nie może
pełnić funkcji GIODO dłużej niż przez dwie kadencje,

e) kadencja GIODO wygasa z chwilą jego śmierci, odwołania lub utraty
obywatelstwa polskiego,

f) Sejm, za zgodą Senatu, odwołuje GIODO jeżeli:

- zrzekł się stanowiska,
- stał się trwale niezdolny do pełnienia obowiązków na skutek choroby,
- sprzeniewierzył się złożonemu ślubowaniu,
- został skazany prawomocnym wyrokiem sądu za popełnienie przestępstwa,

g) GIODO nie może być bez uprzedniej zgody Sejmu pociągnięty do
odpowiedzialności karnej ani pozbawiony wolności,

h) GIODO składa Sejmowi, raz w roku, sprawozdanie ze swojej działalności
wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów
o ochronie danych osobowych.

2) Zadania GIODO:

a) kontrola zgodności przetwarzania danych z przepisami o ochronie
danych osobowych,

b) wydawanie decyzji administracyjnych i rozpatrywanie skarg
w sprawach wykonania przepisów o ochronie danych osobowych,

c) zapewnienie wykonania przez zobowiązanych obowiązków
o charakterze niepieniężnym wynikających z decyzji, o których mowa
w pkt 2, przez stosowanie środków egzekucyjnych przewidzianych
w ustawie o postępowaniu egzekucyjnym w administracji,

d) prowadzenie rejestru zbiorów danych oraz udzielanie informacji
o zarejestrowanych zbiorach,

e) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony
danych osobowych,

f) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia
ochrony danych osobowych,

g) uczestniczenie w pracach międzynarodowych organizacji i instytucji
zajmujących się problematyką ochrony danych osobowych.

GIODO:

- wykonuje swoje zadania przy pomocy Biura Generalnego Inspektora
Ochrony Danych Osobowych.

- może wykonywać swoje zadania – w przypadkach uzasadnionych
charakterem i liczbą spraw z zakresu ochrony danych osobowych na danym
terenie – przy pomocy jednostek zamiejscowych Biura.

CZYNNOŚCI KONTROLNE

W celu wykonania zadań, o których mowa w art. 12 pkt 1 i 2 ustawy, GIODO,
zastępca GIODO lub upoważnieni przez niego pracownicy Biura, zwani dalej
"inspektorami", mają prawo:

1) wstępu, w godzinach od 600 do 2200, za okazaniem imiennego
upoważnienia i legitymacji służbowej, do pomieszczenia, w którym
zlokalizowany jest zbiór danych, oraz pomieszczenia, w którym przetwarzane
są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub
innych czynności kontrolnych w celu oceny zgodności przetwarzania danych
z ustawą,
2) żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i
przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego,
3) wglądu do wszelkich dokumentów i wszelkich danych mających
bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii,
4) przeprowadzania oględzin urządzeń, nośników oraz systemów
informatycznych służących do przetwarzania danych,
5) zlecać sporządzanie ekspertyz i opinii.

Kierownik kontrolowanej jednostki organizacyjnej oraz kontrolowana osoba
fizyczna będąca administratorem danych osobowych są obowiązani
umożliwić inspektorowi przeprowadzenie kontroli, a w szczególności
umożliwić przeprowadzenie czynności oraz spełnić żądania, określonych
w pkt. 1-4.

W toku kontroli zbiorów danych, które zostały uzyskane w wyniku czynności
operacyjno-rozpoznawczych przez funkcjonariuszy organów uprawnionych
do tych czynności, inspektor przeprowadzający kontrolę ma prawo wglądu
do zbioru zawierającego dane osobowe jedynie za pośrednictwem
upoważnionego przedstawiciela kontrolowanej jednostki organizacyjnej.

Kontrolę przeprowadza się po okazaniu:

- imiennego upoważnienia
- wraz z legitymacją służbową.

Z czynności kontrolnych inspektor sporządza protokół, którego jeden
egzemplarz doręcza kontrolowanemu administratorowi danych.

Protokół podpisują:

- inspektor i
- kontrolowany administrator danych,

przy czym kontrolowany może wnieść do protokołu umotywowane
zastrzeżenia i uwagi.

W razie odmowy podpisania protokołu przez kontrolowanego:

- inspektor czyni o tym wzmiankę w protokole, a
- odmawiający podpisu może, w terminie 7 dni, przedstawić GIODO swoje
stanowisko na piśmie.

Jeżeli na podstawie wyników kontroli inspektor stwierdzi naruszenie
przepisów o ochronie danych osobowych, występuje do GIODO
o zastosowanie środków, określonych poniżej.

UPRAWNIENIA GIODO

W przypadku naruszenia przepisów o ochronie danych osobowych
GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze
decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego
z prawem, a w szczególności:

1) usunięcie uchybień,
2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub
nieudostępnienie danych osobowych,
3) zastosowanie dodatkowych środków zabezpieczających zgromadzone
dane osobowe,
4) wstrzymanie przekazywania danych osobowych do państwa trzeciego,
5) zabezpieczenie danych lub przekazanie ich innym podmiotom,
6) usunięcie danych osobowych.

Ograniczenia decyzji GIODO:

a) nie mogą one ograniczać swobody działania podmiotów
zgłaszających kandydatów lub listy kandydatów w wyborach:

- na urząd Prezydenta Rzeczypospolitej Polskiej,
- do Sejmu,
- do Senatu,
- do organów samorządu terytorialnego,
- do Parlamentu Europejskiego,

pomiędzy dniem zarządzenia wyborów a dniem głosowania.

b) nie mogą one – w odniesieniu do zbiorów danych, które zostały
uzyskane w wyniku czynności operacyjno-rozpoznawczych przez
funkcjonariuszy organów uprawnionych do tych czynności
– nakazywać ich usunięcia.

W celu inicjowania i podejmowania przedsięwzięć w zakresie doskonalenia
ochrony danych osobowych GIODO może kierować do:

- organów państwowych,
- organów samorządu terytorialnego,
- państwowych i komunalnych jednostek organizacyjnych,
- podmiotów niepublicznych realizujących zadania publiczne,
- osób fizycznych i prawnych,
- jednostek organizacyjnych niebędących osobami prawnymi oraz
- innych podmiotów

wystąpienia zmierzające do zapewnienia skutecznej ochrony danych
osobowych.

GIODO może również występować do właściwych organów z wnioskami o:

- podjęcie inicjatywy ustawodawczej albo
- wydanie bądź zmianę aktów prawnych

w sprawach dotyczących ochrony danych osobowych.

Podmiot, do którego zostało skierowane wystąpienie lub wniosek, jest
obowiązany ustosunkować się na piśmie do tego wystąpienia lub
wniosku w terminie 30 dni od daty jego otrzymania.

Strona może zwrócić się do GIODO z wnioskiem o ponowne
rozpatrzenie sprawy, przy czym na decyzję GIODO w przedmiocie
wniosku o ponowne rozpatrzenie sprawy stronie przysługuje skarga do
sądu administracyjnego.

Postępowanie w sprawach uregulowanych w u.o.d.o. prowadzi się
według przepisów Kodeksu postępowania administracyjnego, chyba że
przepisy u.o.d.o. nie stanowią inaczej.

WYKŁAD 3

ZASADY

PRZETWARZANIA

DANYCH OSOBOWYCH

A. Zasada legalności – przetwarzanie danych zgodnie z prawem.

B. Zasada celowości – zbieranie danych dla oznaczonych,
zgodnych z prawem celów i nie poddawanie ich dalszemu
przetwarzaniu niezgodnemu z tymi celami.

C. Zasada merytorycznej poprawności – dbanie o merytoryczną
poprawność danych.

D. Zasada adekwatności danych – dbanie o adekwatność danych
w stosunku do celów, w jakich są przetwarzane.

E. Zasada ograniczenia czasowego – przechowywanie danych
w postaci umożliwiającej identyfikację osób, których dotyczą, nie
dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.

Ad A.

Dane osobowe

„zwykłe”

mogą być przetwarzane przy zaistnieniu

przynajmniej jednej z enumeratywnie wymienionych w art. 23
u.o.d.o. przesłanek:

1) zgoda osoby, której dane dotyczą, chyba że chodzi o usunięcie
dotyczących jej danych,

- zgoda może obejmować również przetwarzanie danych w przyszłości,
jeżeli nie zmienia się cel przetwarzania.

- jeżeli przetwarzanie danych jest niezbędne dla ochrony żywotnych
interesów osoby, której dane dotyczą, a uzyskanie zgody jest niemożliwe,
można przetwarzać dane bez zgody tej osoby, do czasu, gdy uzyskanie
zgody będzie możliwe.

2) niezbędność przetwarzania danych dla zrealizowania
uprawnienia lub spełnienia obowiązku wynikającego z przepisu
prawa,

3) konieczność realizacji umowy, gdy osoba, której dane
dotyczą jest jej stroną lub gdy przetwarzanie jest niezbędne do
podjęcia działań przed zawarciem umowy na żądanie osoby,
której dane dotyczą,

4) przetwarzanie danych jest niezbędne do wykonania
określonych prawem zadań realizowanych dla dobra
publicznego,

5) przetwarzanie danych jest niezbędne dla wypełnienia
prawnie usprawiedliwionych celów realizowanych przez
administratorów danych albo odbiorców danych,
a przetwarzanie danych nie narusza praw i wolności osoby,
której dane dotyczą.

„Prawnie usprawiedliwiony cel”, to w szczególności:

a) marketing bezpośredni własnych produktów lub usług
administratora danych,

b) dochodzenie roszczeń z tytułu prowadzonej działalności
gospodarczej.

Dane osobowe „szczególnie chronione” (zwane także
danymi „wrażliwymi” lub „sensytywnymi”) stanowią dane
ujawniające:

a) pochodzenie rasowe lub etniczne,
b) poglądy polityczne,
c) przekonania religijne lub filozoficzne,
d) przynależność wyznaniową, partyjną lub związkową,
e) stan zdrowia,
f) kod genetyczny,
g) nałogi
h) życie seksualne
i) skazania,
j) orzeczenia o ukaraniu i mandatach karnych,
k) inne orzeczenia wydane w postępowaniu sądowym lub
administracyjnym.

Przetwarzanie danych osobowych

sensytywnych

jest

dopuszczalne, jeżeli:

1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie,
chyba że chodzi o usunięcie dotyczących jej danych,

2) przepis szczególny innej ustawy zezwala na przetwarzanie
takich danych bez zgody osoby, której dane dotyczą, i

stwarza

pełne gwarancje ich ochrony,

3) przetwarzanie takich danych jest niezbędne do ochrony
żywotnych interesów osoby, której dane dotyczą, lub innej
osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub
prawnie zdolna do wyrażenia zgody, do czasu ustanowienia
opiekuna prawnego lub kuratora,

4) jest to niezbędne do wykonania statutowych zadań kościołów
i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych
niezarobkowych organizacji lub instytucji o celach politycznych,
naukowych, religijnych, filozoficznych lub związkowych, pod
warunkiem, że przetwarzanie danych dotyczy wyłącznie członków
tych organizacji lub instytucji albo osób utrzymujących z nimi stałe
kontakty w związku z ich działalnością i

zapewnione są pełne

gwarancje ochrony przetwarzanych danych,

5) przetwarzanie dotyczy danych, które są niezbędne do
dochodzenia praw przed sądem,

6) przetwarzanie jest niezbędne do wykonania zadań
administratora danych odnoszących się do zatrudnienia
pracowników i innych osób, a

zakres przetwarzanych danych

jest określony w ustawie,

7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia,
świadczenia usług medycznych lub leczenia pacjentów przez osoby
trudniące się zawodowo leczeniem lub świadczeniem innych usług
medycznych, zarządzania udzielaniem usług medycznych i są

stworzone

pełne gwarancje ochrony danych osobowych,

8) przetwarzanie dotyczy danych, które zostały podane do wiadomości
publicznej przez osobę, której dane dotyczą,

9) jest to niezbędne do prowadzenia badań naukowych, w tym do
przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia
szkoły wyższej lub stopnia naukowego;

publikowanie wyników badań

naukowych nie może następować w sposób umożliwiający
identyfikację osób, których dane zostały przetworzone

,

10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji
praw i obowiązków wynikających z orzeczenia wydanego w postępowaniu
sądowym lub administracyjnym.

Zasada legalności:

a) oznacza zgodność także z innymi ustawami niż u.o.d.o.,
a także z aktami wykonawczymi,

b) nie obejmuje postanowień umownych,

c) zabrania (poza wyjątkami wskazanymi w innych ustawach)
zbierania danych:

- w sposób ukryty,
- przez podsłuch,
- wariograf,
- z naruszeniem tajemnicy korespondencji.

Ad B.

Zgodnie z zasadą celowości, zbieranie danych osobowych powinno:

1) być dokonywane dla oznaczonych, zgodnych z prawem celów i
2) nie być poddawane dalszemu przetwarzaniu niezgodnemu z tymi
celami, a w konsekwencji:

a) zbierający dane nie może pominąć, ani zataić tego celu,

b) nie można określać celu przetwarzania danych w sposób
ogólnikowy,

c) cel ten powinien być zakomunikowany zainteresowanemu przed
tym zebraniem danych osobowych,

d) niedopuszczalne jest uzależnianie zawarcia umowy od wyrażenia
zgody na przetwarzanie danych w zupełnie innych celach (np.
marketingu produktów i usług podmiotów trzecich).

Wyjątki od zasady celowości:

Przetwarzanie danych w celu innym niż ten, dla którego zostały
zebrane, jest dopuszczalne, jeżeli:

1) nie narusza praw i wolności osoby, której dane dotyczą oraz

2) następuje w celach badań:

- naukowych,
- dydaktycznych,
- historycznych lub
- statystycznych

3) z zachowaniem przepisów art. 23 i 25 u.o.d.o.

Ad C.

Administrator danych zapewnia poprawność danych osobowych,
a więc aby dane były:

1) zgodne z prawdą,
2) pełne (kompletne) i
3) aktualne.

W tym celu administrator danych powinien:

a) każdorazowo oceniać wiarygodność źródła pozyskania danych,

b) wypracować tryb weryfikowania prawdziwości danych (dane zwykłe/
sensytywne) oraz

c) ustalić zasady postępowania w przypadku stwierdzenia nieprawdziwości
danych (art. 35 ust. 3 ustawy).

Przedmiotową zasadę narusza zbieranie danych osobowych ze źródeł
niewiadomego pochodzenia.

Ad D.

Zgodnie z zasadą adekwatności administrator powinien
przetwarzać tylko takiego rodzaju dane i tylko o takiej treści,
które są niezbędne ze względu na cel zbierania danych.

a) relewantność danych powinna być oceniania najpóźniej w momencie ich
zbierania,

b) adekwatność danych do celu przetwarzania oceniać trzeba każdorazowo
z uwzględnieniem określonego stosunku prawnego, w związku z którym
administrator danych przetwarza dane osobowe,

c) posłużenie się określoną techniką zbierania danych nie przesądza
o naruszeniu zasady adekwatności,

d) dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”.

Ad E.

Administrator danych ma obowiązek przechowywania danych
w postaci umożliwiającej identyfikację osób, których dotyczą,
nie dłużej niż to jest niezbędne do osiągnięcia celu przetwarzania.

Po osiągnięciu celu dane powinny zostać:

1) usunięte,
2) zanonimizowane lub
3) przekazane podmiotowi uprawnionemu ustawowo do ich przejęcia od
administratora.

Z powyższych względów administrator danych jest zobowiązany do
stałego nadzorowania zawartości swoich zbiorów pod kątem
konieczności usuwania danych zbędnych, albo do których przetwarzania
przestał być upoważniony ustawowo lub w drodze umowy.

Orzecznictwo dotyczące interpretacji art. 23 u.o.d.o.:

Decyzja GIODO z dnia 30 stycznia 2012 r. DOLiS/DEC-70/12

„Pozyskiwanie informacji o przynależności związkowej pracownika jest
uzasadnione w razie zamiaru wypowiedzenia warunków pracy i płacy
konkretnemu pracownikowi lub rozwiązania umowy o pracę z konkretnym
pracownikiem, natomiast brak jest podstaw do pozyskiwania takich danych
w odniesieniu do wszystkich pracowników, w sytuacji gdy nie są oni objęci
zamiarem pracodawcy wypowiedzenia im warunków zatrudnienia lub
rozwiązania z nimi umów o pracę.”.

Decyzja GIODO z dnia 25 marca 2011 r. DIS/DEC-250/14068/11

„Przetwarzanie przez miejski zakład wodociągów i kanalizacji informacji
dotyczących daty i miejsca urodzenia klientów, jak również informacji
dotyczących imienia, nazwiska i adresu współwłaścicieli nieruchomości,
których dotyczą zawarte z klientami umowy, należy uznać za niezgodne
z przepisami o ochronie danych osobowych.”.

Decyzja GIODO z dnia 23 listopada 2011 r. DOLiS/DEC-998/11

„1. Przetwarzanie danych osobowych w celu windykacji należności jest
na gruncie ustawy (...) dopuszczalne.
2. Udostępnienie przez bank danych osobowych klienta banku spółce
będącej przedsiębiorcą, o którym mowa w art. 104 ust. 2 pkt 2 ustawy
z dnia 29 sierpnia 1997 r. - Prawo bankowe (...), w celu windykacji
należności nie narusza obowiązujących w tym zakresie przepisów
o ochronie danych osobowych.”.

Decyzja GIODO z dnia 21 września 2011 r. DOLiS/DEC-819/11

„Zgoda na przetwarzanie danych osoby, której te dane dotyczą, o której
mowa w przepisie art. 23 ust. 1 pkt 1 ustawy (...), nie jest wyłączną
okolicznością czyniącą proces przetwarzania danych legalnym. Ustawa nie
daje zatem żadnych podstaw ku temu, by taką zgodę traktować w sposób
uprzywilejowany, a jej brak nie skutkuje automatycznie bezprawnością
przetwarzania danych po stronie administratora. Dla legalności procesu
przetwarzania danych wystarczające jest zatem spełnienie jednej
z przesłanek określonych w art. 23 ust. 1 pkt 1-5 ustawy.”.

Decyzja GIODO z dnia 30 września 2010 r. DOLiS/DEC-1143/10

„Po złożeniu rezygnacji abonenta z przeniesienia numeru do sieci
i z zawarcia z operatorem telekomunikacyjnym umowy o świadczenie
usług telekomunikacyjnych, operator mógł przetwarzać jego dane
wyłącznie w ewentualnych celach dowodowych na podstawie art. 23
ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (...), zgodnie z którym przetwarzanie danych osobowych jest
dopuszczalne, jeśli jest niezbędne dla wypełnienia prawnie
usprawiedliwionych celów realizowanych przez administratorów danych
albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby,
której dane dotyczą.”.

Decyzja GIODO z dnia 22 kwietnia 2010 r. DOLiS/DEC-460/10

„Dopóki nie zostanie wydane prawomocne orzeczenie, z którego
wynikałoby, że to nie skarżący zawarł umowę z bankiem, a inna osoba
posługująca się jego danymi osobowymi, Generalny Inspektor Ochrony
Danych Osobowych nie może nakazać usunięcia danych skarżącego ze
zbioru prowadzonego przez Biuro Informacji Kredytowej w celu oceny
zdolności kredytowej i analizy ryzyka kredytowego. Nakaz taki
prowadziłby w konsekwencji do oceny przez Generalnego Inspektora
ważności umowy zawartej pomiędzy skarżącym i bankiem. Uprawnione
do tego są jedynie sądy powszechne, natomiast takich kompetencji
Generalny Inspektor nie posiada.”.

Wyrok WSA w Warszawie z dnia 27 listopada 2008 r. II SA/Wa 903/08

„Wykorzystywanie, za zgodą pracowników, ich linii papilarnych w systemie
elektronicznej kontroli czasu pracy nie narusza obowiązujących
przepisów.”.

Wyrok WSA w Warszawie z dnia 7 grudnia 2009 r. II SA/Wa 1094/09

„Nawet wykazanie przez administratora danych, że legitymuje się
przynajmniej jedną z przesłanek przewidzianych w art. 23 ust. 1 ustawy z dnia
29 sierpnia 1997 r. o ochronie danych osobowych (...), nie wyłącza oceny
adekwatności danych osoby w stosunku do celów, w jakich są one
przetwarzane. Podkreślić należy, że zasada adekwatności ma charakter
bezwzględnie obowiązujący. Adekwatność danych w stosunku do celu ich
przetwarzania powinna być rozumiana jako równowaga pomiędzy
uprawnieniem osoby do dysponowania swoimi danymi a interesem
administratora danych. Administrator danych nie może w żaden sposób
stawiać swego interesu ponad dobro osoby, której dane przetwarza.”.

Wyrok NSA z dnia 18 kwietnia 2008 r. I OSK 616/07

„Wymienione w art. 23 ust. 1 ustawy o ochronie danych osobowych
materialne przesłanki legalizujące przetwarzanie danych osobowych
mają charakter autonomiczny i niezależny, co oznacza, iż wystąpienie
jednej z nich uprawnia do przetwarzania danych.”.

Wyrok WSA w Warszawie z dnia 10 czerwca 2009 r. II SA/Wa 124/09

„Wyrażenie zgody na przetwarzanie danych osobowych przez osobę,
której te dane dotyczą, stanowiące przesłankę przetwarzania danych
osobowych wymienioną w art. 23 ust. 1 pkt 1 ustawy z dnia 29 sierpnia
1997 r. o ochronie danych osobowych (...), nie może być dorozumiane
ani istnienia takiej zgody nie można też domniemywać. Zgoda na
przetwarzanie danych osobowych stanowi oświadczenie woli osoby,
której dane mają być przetwarzane. Nie jest wystarczające samo
powiadomienie o zamiarze przetwarzania danych osobowych oraz brak
sprzeciwu zainteresowanej osoby. Wprawdzie ustawa o ochronie
danych osobowych nie wymaga, aby taka zgoda udzielona została na
piśmie, jednakże fakt udzielenia takiej zgody nie może budzić
wątpliwości, a co za tym idzie, administrator danych osobowych winien
wykazać, iż została ona faktycznie udzielona.”.

Wyrok WSA w Warszawie z dnia 5 czerwca 2007 r. II SA/Wa 8/07

„1. Zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych nie
jest jedynie stanie na straży interesów tych, których przetwarzane dane
osobowe dotyczą. Naczelną zasadą ustawy nie jest zakaz przetwarzania
danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania.
Omawiana ustawa w art. 1 stwierdza, że dane osobowe mogą być
przetwarzane, jeżeli służy to

[1] dobru publicznemu, [2] dobru osoby, której

dane dotyczą lub [3] dobru osób trzecich

. Ochrona danych osobowych na

podstawie przepisów niniejszej ustawy nie powinna być zatem
absolutyzowana i oderwana od przepisów służących ochronie innych
wartości.

2. W postępowaniu dotyczącym oceny legalności przetwarzania danych
osobowych, skarżący nie może kwestionować treści swoich akt osobowych,
nie może polemizować z jego zawartością, nie może również odnosić się do
kwestii zasadności lub braku zasadności niezakwalifikowania go na
kandydata do pracy w prowadzonym postępowaniu kwalifikacyjnym,
ponieważ zarzuty w tym zakresie nie mieszczą się w przedmiocie niniejszej
sprawy.”.

Orzecznictwo dotyczące danych wrażliwych „sensytywnych”:

Decyzja GIODO z dnia 25 maja 2011 r. DOLiS/DEC-400/11

„W myśl art. 27 ust. 2 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie
danych osobowych (...) przetwarzanie sensytywnych danych osobowych jest
dopuszczalne, jeżeli przepis szczególny innej ustawy na to zezwala bez
zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony.
Za taki przepis szczególny należy uznać art. 318 KPK, który normuje, w razie
dopuszczenia dowodu z opinii biegłych albo instytucji naukowej lub
specjalistycznej, obligatoryjne doręczenie postanowienia o dopuszczeniu tego
dowodu podejrzanemu i jego obrońcy oraz pokrzywdzonemu i jego
pełnomocnikowi. Konieczne jest stwierdzenie, iż aspekt ochrony
przetwarzanych danych osobowych, o którym mowa w art. 27 ust. 2 pkt 2,
wyraża się w treści przepisu art. 318 KPK w postaci zamkniętego katalogu
podmiotów, którym doręczane jest postanowienie, a w konsekwencji
udostępniane są dane osobowe zawarte w treści przedmiotowego
postanowienia. Doręczenie zatem innym podmiotom niż wymienione w treści
art. 318 KPK skutkuje naruszeniem przepisu.”.

Wyrok NSA z dnia 29 czerwca 2007 r. I OSK 1098/06

„1. Dokumentacja medyczna prowadzona przez zakład opieki
zdrowotnej winna w nim być nadal przechowywana po zakończeniu
procesu leczenia, czy też nawet po zakończeniu korzystania przez
danego pacjenta z usług zakładu.

2. Zakład opieki zdrowotnej może stosownie do art. 18 ust. 1 i 3 ustawy
o zakładach opieki zdrowotnej prowadzić, a więc i przetwarzać
dokumentację lekarską aktualnych i byłych pacjentów. Jest to zgodne
z art. 27 ust. 2 pkt 7 ustawy o ochronie danych osobowych
zezwalającym na przetwarzanie danych osobowych w celu świadczenia
usług medycznych lub leczenia pacjentów przez wykwalifikowane
osoby z zapewnieniem gwarancji ochrony danych osobowych.”.

Decyzja GIODO z dnia 7 kwietnia 2004 r. GI-DEC-DS-87/04

„Niedopuszczalne jest posługiwanie się przez towarzystwo ubezpieczeń na
życie formułą zgody na przetwarzanie danych osobowych, odbieranej od
osoby przystępującej do „umowy ubezpieczenia", która zawiera
postanowienia dotyczące upoważnienia towarzystwa ubezpieczeń na życie
do pozyskiwania danych o stanie zdrowia psychicznego tej osoby.”.

Wyrok WSA w Warszawie z dnia 26 sierpnia 2010 r. II SA/Wa 923/10

„Oczywistym jest, że pracodawca ma prawo do gromadzenia danych
w formie imiennej listy pracowników należących do związków zawodowych,
jeżeli w swoim żądaniu określi wskazany cel, podając np. imienną listę
pracowników, którym zamierza wypowiedzieć umowę o pracę lub też
rozwiązać z nimi umowy o pracę bez wypowiedzenia. Wówczas nie można
pracodawcy zarzucić, że narusza wskazane wyżej przepisy ustawy
o ochronie danych osobowych. Nie ma bowiem żadnej, prawnie
uzasadnionej różnicy, pomiędzy danymi dotyczącymi pojedynczego
pracownika, a danymi grupy pracowników, przy założeniu, że zarówno
w jednej sytuacji, jak i w drugiej, cel tego żądania będzie jasno
sprecyzowany.

Natomiast nie do przyjęcia jest domaganie się przez pracodawcę od
zakładowej organizacji związkowej danych o pracownikach bez podania
wyżej wskazanych celów. Takie gromadzenie przez pracodawcę danych
osobowych, "na zapas" - jak to określa w uzasadnieniu zaskarżonej decyzji
organ - nie jest dopuszczalne.”.

WYKŁAD 4

UPRAWNIENIA PRZYSŁUGUJĄCE

OSOBIE, KTÓREJ DANE OSOBOWE

DOTYCZĄ

Każdej osobie przysługuje prawo do kontroli przetwarzania
danych, które jej dotyczą, zawartych w zbiorach danych,
a zwłaszcza prawo do:

1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do
ustalenia administratora danych, adresu jego siedziby i pełnej nazwy,
a w przypadku gdy administratorem danych jest osoba fizyczna - jej
miejsca zamieszkania oraz imienia i nazwiska,

2) uzyskania informacji o celu, zakresie i sposobie przetwarzania
danych zawartych w takim zbiorze,

3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej
dotyczące, oraz podania w powszechnie zrozumiałej formie treści
tych danych,

4) uzyskania informacji o źródle, z którego pochodzą dane jej

dotyczące, chyba że administrator danych jest zobowiązany do
zachowania w tym zakresie w tajemnicy informacji niejawnych lub
zachowania tajemnicy zawodowej,

5) uzyskania informacji o sposobie udostępniania danych,
a w szczególności informacji o odbiorcach lub kategoriach odbiorców,
którym dane te są udostępniane,

6) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia,
o którym mowa w art. 26a ust. 2,

7) żądania uzupełnienia, uaktualnienia, sprostowania danych
osobowych, czasowego lub stałego wstrzymania ich przetwarzania
lub ich usunięcia, jeżeli są one niekompletne, nieaktualne,
nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już
zbędne do realizacji celu, dla którego zostały zebrane,

8) wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5,
pisemnego,

umotywowanego żądania zaprzestania przetwarzania

jej danych ze względu na jej szczególną sytuację,

W przypadku wniesienia żądania, administrator danych:

a) zaprzestaje przetwarzania kwestionowanych danych
osobowych albo

b) bez zbędnej zwłoki przekazuje żądanie GIODO, który wydaje
stosowną decyzję.

9)

wniesienia sprzeciwu wobec przetwarzania jej danych

w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy
administrator danych zamierza je przetwarzać w celach
marketingowych lub wobec przekazywania jej danych osobowych
innemu administratorowi danych,

W razie wniesienia sprzeciwu, dalsze przetwarzanie
kwestionowanych danych jest niedopuszczalne. Administrator
danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko
osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia
ponownego wykorzystania danych tej osoby w celach objętych
sprzeciwem.

10) wniesienia do administratora danych

żądania ponownego,

indywidualnego rozpatrzenia sprawy

rozstrzygniętej

z naruszeniem art. 26a ust. 1.

W razie wniesienia żądania, administrator danych:

a) bez zbędnej zwłoki rozpatruje sprawę albo

b) przekazuje ją wraz z uzasadnieniem swojego stanowiska
GIODO, który wydaje stosowną decyzję.

.

Jeżeli dane są przetwarzane dla celów:

a) naukowych,
b) dydaktycznych,
c) historycznych,
d) statystycznych lub
e) archiwalnych,

administrator danych może odstąpić od informowania osób
o przetwarzaniu ich danych w przypadkach, gdy pociągałoby to
za sobą nakłady niewspółmierne z zamierzonym celem.

OBOWIĄZEK INFORMOWANIA

Na wniosek osoby, której dane dotyczą, administrator danych jest
obowiązany w terminie 30 dni:

poinformować o przysługujących jej prawach

oraz

udzielić

, odnośnie do jej danych osobowych,

informacji określonych

w pkt. 1-6

.

Administrator danych odmawia osobie, której dane dotyczą, udzielenia
informacji, o których mowa w pkt 1-6, jeżeli spowodowałoby to:

1) ujawnienie wiadomości zawierających informacje niejawne,
2) zagrożenie dla obronności lub bezpieczeństwa państwa, życia i zdrowia
ludzi lub bezpieczeństwa i porządku publicznego,
3) zagrożenie dla podstawowego interesu gospodarczego lub
finansowego państwa,
4) istotne naruszenie dóbr osobistych osób, których dane dotyczą, lub
innych osób.

UZUPEŁNIENIE I SPROSTOWANIE DANYCH OSOBOWYCH

W razie wykazania przez osobę, której dane osobowe dotyczą, że są one:

- niekompletne,
- nieaktualne,
- nieprawdziwe lub
- zebrane z naruszeniem ustawy albo
- zbędne do realizacji celu, dla którego zostały zebrane,

administrator danych jest obowiązany, bez zbędnej zwłoki do:

a) uzupełnienia danych,
b) uaktualnienia danych,
c) sprostowania danych,
d) czasowego lub stałego wstrzymania przetwarzania kwestionowanych
danych lub
e) ich usunięcia ze zbioru,

chyba że dotyczy to danych osobowych, w odniesieniu do których tryb
ich uzupełnienia, uaktualnienia lub sprostowania określają odrębne ustawy.

W razie niedopełnienia przez administratora danych powyższego
obowiązku, osoba, której dane dotyczą, może się zwrócić do
GIODO z wnioskiem o nakazanie dopełnienia tego obowiązku.

Administrator danych jest obowiązany

poinformować bez zbędnej

zwłoki innych administratorów

, którym udostępnił zbiór danych,

o dokonanym uaktualnieniu lub sprostowaniu danych

.

WYKŁAD 5

ŚRODKI

ZAPEWNIAJĄCE OCHRONĘ

DANYCH OSOBOWYCH

Administrator danych jest obowiązany zastosować:

1) środki techniczne i
2) środki organizacyjne

zapewniające ochronę przetwarzanych danych osobowych
odpowiednią do:

a) zagrożeń i
b) kategorii danych objętych ochroną,

a w szczególności powinien zabezpieczyć dane przed ich:

- udostępnieniem osobom nieupoważnionym,
- zabraniem przez osobę nieuprawnioną,
- przetwarzaniem z naruszeniem ustawy oraz
- zmianą, utratą, uszkodzeniem lub zniszczeniem.

Administrator danych prowadzi dokumentację opisującą:

a) sposób przetwarzania danych i
b) środki techniczne i organizacyjne.

Administrator danych wyznacza administratora bezpieczeństwa
informacji, nadzorującego przestrzeganie zasad ochrony danych
osobowych, chyba że sam wykonuje te czynności.

Do przetwarzania danych mogą być dopuszczone

wyłącznie

osoby posiadające upoważnienie

nadane przez administratora

danych.

Administrator danych jest

obowiązany zapewnić kontrolę

nad tym:

- jakie dane osobowe,
- kiedy i przez kogo zostały do zbioru wprowadzone oraz
- komu są przekazywane.

OSOBY ZATRUDNIONE PRZY PRZETWARZANIU DANYCH

Administrator danych prowadzi

ewidencję osób upoważnionych

do ich przetwarzania

, która powinna zawierać:

1) imię i nazwisko osoby upoważnionej,
2) datę nadania i ustania oraz zakres upoważnienia do
przetwarzania danych osobowych,
3) identyfikator, jeżeli dane są przetwarzane w systemie
informatycznym.

Osoby

, które zostały

upoważnione

do przetwarzania danych,

są obowiązane zachować w tajemnicy

:

a) dane osobowe i
b) sposoby ich zabezpieczenia.

Zgodnie z rozporządzeniem wykonawczym (Dz. U. z 2004 r. Nr 100, poz.
1024), dokumentację tworzą:

polityka bezpieczeństwa i instrukcja zarządzania

systemem informatycznym służącym do przetwarzania danych osobowych.

Uwzględniając kategorie przetwarzanych danych oraz zagrożenia wprowadza
się poziomy bezpieczeństwa przetwarzania danych osobowych
w systemie informatycznym:

1)

podstawowy

(w systemie informatycznym nie są przetwarzane dane,

o których mowa w art. 27 ustawy i żadne z urządzeń systemu informatycznego,
służącego do przetwarzania danych osobowych nie jest połączone z siecią
publiczną);

2)

podwyższony

(w systemie informatycznym przetwarzane są dane

osobowe, o których mowa w art. 27 ustawy i żadne z urządzeń systemu
informatycznego, służącego do przetwarzania danych osobowych nie jest
połączone z siecią publiczną);

3)

wysoki

(przynajmniej jedno urządzenie systemu informatycznego,

służącego do przetwarzania danych osobowych, połączone jest z siecią
publiczną).

WYKŁAD 6

REJESTRACJA ZBIORÓW

DANYCH OSOBOWYCH

Administrator danych jest zobowiązany zgłosić GIODO:

1) zbiór danych do rejestracji (zgłoszenie obejmuje m.in.: cel przetwarzania
danych, opis kategorii osób, których dane dotyczą, oraz zakres
przetwarzanych danych, sposób zbierania oraz udostępniania danych,
informacja o odbiorcach lub kategoriach odbiorców, którym dane mogą być
przekazywane),

2) każdą zmianę informacji zawartych w zgłoszeniu w terminie
30 dni od dnia dokonania zmiany w zbiorze danych

GIODO prowadzi ogólnokrajowy,

jawny rejestr

zbiorów danych osobowych,

który powinien zawierać informacje określone w zgłoszeniu,

poza tymi, które

opisują środki techniczne i organizacyjne przedsięwzięte w celu
ochrony danych osobowych.

Na żądanie administratora danych

może być wydane

zaświadczenie

o zarejestrowaniu zgłoszonego przez niego zbioru danych, przy czym GIODO

wydaje administratorowi danych sensytywnych

zaświadczenie

o zarejestrowaniu zbioru danych

niezwłocznie

po dokonaniu rejestracji.

Zwolnienie z obowiązku rejestracji danych:

1) zawierających informacje niejawne,

2) które zostały uzyskane w wyniku czynności operacyjno-rozpoznawczych
przez funkcjonariuszy organów uprawnionych do tych czynności,

3) przetwarzanych przez właściwe organy dla potrzeb postępowania
sądowego oraz na podstawie przepisów o Krajowym Rejestrze Karnym,

4) przetwarzanych przez Generalnego Inspektora Informacji Finansowej,

5) przetwarzanych przez właściwe organy na potrzeby udziału
Rzeczypospolitej Polskiej w Systemie Informacyjnym Schengen oraz
Wizowym Systemie Informacyjnym,

6) przetwarzanych w związku z zatrudnieniem u nich, świadczeniem im usług
na podstawie umów cywilnoprawnych, a także dotyczących osób u nich
zrzeszonych lub uczących się,

7) dotyczących osób korzystających z ich usług medycznych, obsługi
notarialnej, adwokackiej, radcy prawnego, rzecznika patentowego, doradcy
podatkowego lub biegłego rewidenta,

8) przetwarzanych przez właściwie organy na podstawie przepisów
o wymianie informacji z organami ścigania państw członkowskich Unii
Europejskiej,

9) dotyczących osób należących do kościoła lub innego związku
wyznaniowego, o uregulowanej sytuacji prawnej, przetwarzanych na potrzeby
tego kościoła lub związku wyznaniowego,

10) tworzonych na podstawie przepisów dotyczących wyborów do
Sejmu, Senatu, Parlamentu Europejskiego, rad gmin, rad powiatów
i sejmików województw, wyborów na urząd Prezydenta Rzeczypospolitej
Polskiej, na wójta, burmistrza, prezydenta miasta oraz dotyczących
referendum ogólnokrajowego i referendum lokalnego,

11) dotyczących osób pozbawionych wolności na podstawie ustawy,
w zakresie niezbędnym do wykonania tymczasowego aresztowania lub
kary pozbawienia wolności,

12) przetwarzanych wyłącznie w celu wystawienia faktury, rachunku lub
prowadzenia sprawozdawczości finansowej,

13) powszechnie dostępnych,

14) przetwarzanych w celu przygotowania rozprawy wymaganej do
uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego,

15) przetwarzanych w zakresie drobnych bieżących spraw życia
codziennego.

Przesłanki wydania przez GIODO

decyzji o odmowie

rejestracji

zbioru danych:

1) nie zostały spełnione wymogi zgłoszenia (art. 41 ust. u.o.d.o.),

2) przetwarzanie danych naruszałoby zasady określone w art. 23-28
u.o.d.o.,

3) urządzenia i systemy informatyczne służące do przetwarzania
zbioru danych zgłoszonego do rejestracji nie spełniają podstawowych
warunków technicznych i organizacyjnych, określonych w przepisach
wykonawczych.

GIODO w drodze decyzji administracyjnej, nakazuje:

1) ograniczenie przetwarzania wszystkich albo niektórych kategorii
danych wyłącznie do ich przechowywania lub

2) zastosowanie innych środków, o których mowa w art. 18 ust. 1
u.o.d.o.

Administrator danych

może zgłosić ponownie

zbiór danych do

rejestracji

po usunięciu wad

, które były powodem odmowy rejestracji

zbioru.

W razie ponownego zgłoszenia zbioru do rejestracji administrator
danych

może rozpocząć ich przetwarzanie po zarejestrowaniu zbioru.

Wykreślenie z rejestru zbiorów danych osobowych jest dokonywane, jeżeli:

1) zaprzestano przetwarzania danych w zarejestrowanym zbiorze,
2)

rejestracji dokonano z naruszeniem prawa.

Administrator danych może rozpocząć ich przetwarzanie w zbiorze danych:

a)

po zgłoszeniu

tego zbioru GIODO, chyba że ustawa zwalnia go z tego

obowiązku.

b) w przypadku danych sensytywnych (wrażliwych) –

po zarejestrowaniu

zbioru

, chyba że ustawa zwalnia go z obowiązku zgłoszenia zbioru do

rejestracji.

WYKŁAD 7

KARNOPRAWNA OCHRONA

DANYCH OSOBOWYCH

PRZETWARZANIE DANYCH PRZEZ PODMIOT NIEUPRAWNIONY

Kto przetwarza w zbiorze dane osobowe:

1) choć ich przetwarzanie nie jest dopuszczalne albo
2) do których przetwarzania nie jest uprawniony,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia
wolności do lat 2.

Jeżeli przedmiotowy czyn dotyczy danych ujawniających:

a) pochodzenie rasowe lub etniczne,
b) poglądy polityczne,
c) przekonania religijne lub filozoficzne,
d) przynależność wyznaniową, partyjną lub związkową,
e) dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu
seksualnym,

sprawca podlega grzywnie, karze ograniczenia wolności albo
pozbawienia wolności do lat 3.

UDOSTĘPNIANIE DANYCH OSOBOM NIEUPRAWNIONYM

Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych
osobowych:

1) udostępnia je lub
2) umożliwia dostęp do nich osobom nieupoważnionym,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności
do lat 2 (

do 1 roku w przypadku, gdy sprawca działa nieumyślnie

).

NARUSZENIE OBOWIĄZKU ZABEZPIECZENIA DANYCH

Kto administrując danymi narusza choćby nieumyślnie obowiązek
zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną,
uszkodzeniem lub zniszczeniem,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do
roku.

NIEZGŁOSZENIE DANYCH DO REJESTRU

Kto będąc do tego obowiązany nie zgłasza do rejestracji zbioru danych,
podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności
do roku.

NIEDOPEŁNIENIE OBOWIĄZKU POINFORMOWANIA

Kto administrując zbiorem danych nie dopełnia obowiązku poinformowania
osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie
informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej
ustawie,
podlega grzywnie, karze ograniczenia wolności albo pozbawienia
wolności do roku.

UDAREMNIENIE WYKONANIA CZYNOŚCI KONTROLNEJ

Kto inspektorowi udaremnia lub utrudnia wykonanie czynności kontrolnej,
podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności
do lat 2.

WYKŁAD 8

PODSTAWOWE ZAGADNIENIA

Z ZAKRESU OCHRONY INFORMACJI

NIEJAWNYCH

ŹRÓDŁA PRAWA W ZAKRESIE OCHRONY INFORMACJI
NIEJAWNYCH

I.

Ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji
niejawnych (Dz. U. nr 182, poz. 1228)

II.

Ważniejsze akty wykonawcze do ustawy:

1) Rozporządzenie Prezesa Rady Ministrów z dnia 22 grudnia
2011 r. w sprawie sposobu oznaczania materiałów i umieszczania
na nich klauzul tajności (Dz. U. nr 288, poz. 1692),

2) Rozporządzenie Prezesa Rady Ministrów z dnia 27 kwietnia
2011 r. w sprawie przygotowania i przeprowadzania kontroli
stanu zabezpieczenia informacji niejawnych (Dz. U. nr 93, poz.541),

3) Rozporządzenie Prezesa Rady Ministrów z dnia 28 grudnia 2010 r.
w sprawie przekazywania informacji, udostępniania dokumentów
oraz udzielania pomocy służbom i instytucjom uprawnionym do
prowadzenia poszerzonych postępowań sprawdzających,
kontrolnych postępowań sprawdzających oraz postępowań
bezpieczeństwa przemysłowego (Dz. U. Nr 258, poz. 1750),

4) Rozporządzenie Rady Ministrów z dnia 7 grudnia 2011 r.
w sprawie organizacji i funkcjonowania kancelarii tajnych oraz
sposobu i trybu przetwarzania informacji niejawnych (Dz. U. Nr 276,
poz. 1631),

5) Rozporządzenie Prezesa Rady Ministrów z dnia 7 grudnia
2011 r. w sprawie nadawania, przyjmowania, przewożenia,
wydawania i ochrony materiałów zawierających informacje
niejawne (Dz. U. Nr 271, poz. 1603),

6) Rozporządzenie Prezesa Rady Ministrów z dnia 20 lipca 2011 r.
w sprawie podstawowych wymagań bezpieczeństwa
teleinformatycznego (Dz. U. nr 159, poz. 948),

7) Rozporządzenie Prezesa Rady Ministrów z dnia 20 lipca 2011 r.
w sprawie wzoru świadectwa akredytacji bezpieczeństwa systemu
teleinformatycznego (Dz. U. Nr 156, poz. 926),

8) Rozporządzenie Prezesa Rady Ministrów z dnia 28 grudnia
2010 r. w sprawie wzorów poświadczeń bezpieczeństwa (Dz. U.
Nr 258, poz. 1752),

9) Rozporządzenie Prezesa Rady Ministrów z dnia 28 grudnia
2010 r. w sprawie wzoru decyzji o cofnięciu poświadczenia
bezpieczeństwa (Dz. U. Nr 258, poz. 1754),

10) Rozporządzenie Prezesa Rady Ministrów z dnia 28 grudnia
2010 r. w sprawie wzoru decyzji o odmowie wydania
poświadczenia bezpieczeństwa (Dz. U. Nr 258 poz. 1753),

11) Rozporządzenie Rady Ministrów z dnia 5 kwietnia 2011 r.
w sprawie wzorów kwestionariusza bezpieczeństwa
przemysłowego, świadectwa bezpieczeństwa przemysłowego,
decyzji o odmowie wydania świadectwa bezpieczeństwa
przemysłowego oraz decyzji o cofnięciu świadectwa
bezpieczeństwa przemysłowego (Dz. U. Nr 86, poz. 470).

POJĘCIE INFORMACJI NIEJAWNYCH

Informacje niejawne – informacje, których nieuprawnione
ujawnienie spowodowałoby lub mogłoby spowodować
szkody dla Rzeczypospolitej Polskiej albo byłoby z punktu
widzenia jej interesów niekorzystne, także w trakcie ich
opracowywania oraz niezależnie od formy i sposobu ich
wyrażania.

(art. 1 ust. 1 ustawy)

ZAKRES PRZEDMIOTOWY USTAWY:

Określenie zasad:

1) klasyfikowania informacji niejawnych;
2) organizowania ochrony informacji niejawnych;
3) przetwarzania informacji niejawnych;
4) postępowania sprawdzającego prowadzonego w celu ustalenia,
czy osoba nim objęta daje rękojmię zachowania tajemnicy;
5) postępowania prowadzonego w celu ustalenia, czy
przedsiębiorca nim objęty zapewnia warunki do ochrony informacji
niejawnych, (postępowanie bezpieczeństwa przemysłowego);
6) organizacji kontroli stanu zabezpieczenia informacji niejawnych;
7) ochrony informacji niejawnych w systemach teleinformatycznych;
8) stosowania środków bezpieczeństwa fizycznego w odniesieniu
do informacji niejawnych.

ZAKRES PODMIOTOWY USTAWY

Przepisy ustawy mają zastosowanie do:

1) organów władzy publicznej, w szczególności:

a) Sejmu i Senatu,
b) Prezydenta Rzeczypospolitej Polskiej,
c) organów administracji rządowej,
d) organów jednostek samorządu terytorialnego, a także innych
podległych im jednostek organizacyjnych lub przez nie
nadzorowanych,
e) sądów i trybunałów,
f) organów kontroli państwowej i ochrony prawa;

2) jednostek organizacyjnych podległych Ministrowi Obrony
Narodowej lub przez niego nadzorowanych;
3) Narodowego Banku Polskiego;
4) państwowych osób prawnych i innych niż wymienione
w pkt 1-3 państwowych jednostek organizacyjnych;
5) jednostek organizacyjnych podległych organom władzy
publicznej lub nadzorowanych przez te organy;
6) przedsiębiorców:
- zamierzających ubiegać się albo ubiegających się o zawarcie
umów związanych z dostępem do informacji niejawnych lub
- wykonujących takie umowy albo
- wykonujących na podstawie przepisów prawa zadania
związane z dostępem do informacji niejawnych.

DEFINICJE LEGALNE

Dokument – każda utrwalona informacja niejawna.

Materiał – dokument lub przedmiot albo dowolna ich część,
chronione jako informacja niejawna, a zwłaszcza urządzenie,
wyposażenie lub broń wyprodukowane albo będące w trakcie
produkcji, a także składnik użyty do ich wytworzenia.

Akredytacja bezpieczeństwa teleinformatycznego – dopuszczenie
systemu teleinformatycznego do przetwarzania informacji
niejawnych.

Certyfikacja – proces potwierdzania zdolności urządzenia, narzędzia
lub innego środka do ochrony informacji niejawnych.

Audyt bezpieczeństwa systemu teleinformatycznego –
weryfikacja poprawności realizacji wymagań i procedur, określonych
w dokumentacji bezpieczeństwa systemu teleinformatycznego.

Przetwarzanie informacji niejawnych – wszelkie operacje
wykonywane w odniesieniu do informacji niejawnych i na tych
informacjach, w szczególności ich:

1) wytwarzanie,
2) modyfikowanie,
3) kopiowanie,
4) klasyfikowanie,
5) gromadzenie,
6) przechowywanie,
7) przekazywanie lub
8) udostępnianie.

Rękojmia zachowania tajemnicy – zdolność osoby do spełnienia
ustawowych wymogów dla zapewnienia ochrony informacji
niejawnych przed ich nieuprawnionym ujawnieniem, stwierdzona
w wyniku przeprowadzenia postępowania sprawdzającego.

Przedsiębiorca:

1) przedsiębiorca w rozumieniu art. 4 ustawy z dnia 2 lipca 2004 r.
o swobodzie działalności gospodarczej (Dz. U. z 2007 r. Nr 155,
poz. 1095, z późn. zm.) lub

2) każda inna jednostka organizacyjna, niezależnie od formy
własności,

którzy w ramach prowadzonej działalności gospodarczej
zamierzają realizować lub realizują związane z dostępem do
informacji niejawnych umowy lub zadania wynikające z przepisów
prawa.

Kierownik przedsiębiorcy – członek jednoosobowego zarządu
lub innego jednoosobowego organu zarządzającego, a jeżeli
organ jest wieloosobowy - cały organ albo członek lub
członkowie tego organu wyznaczeni co najmniej uchwałą
zarządu do pełnienia funkcji kierownika przedsiębiorcy,
z wyłączeniem pełnomocników ustanowionych przez ten organ
lub jednostkę.

Rozwiązania szczegółowe:

a) spółka jawna i spółka cywilna – wspólnicy prowadzący sprawy spółki,
b) spółka partnerska – wspólnicy prowadzący sprawy spółki albo zarząd,
c) spółka komandytowa i spółka komandytowo-akcyjnej –
komplementariusze prowadzący sprawy spółki;
d) osoba fizyczna prowadząca działalność gospodarczą – ta osoba.

Do:

a) postępowań sprawdzających,
b) kontrolnych postępowań sprawdzających oraz
c) postępowań bezpieczeństwa przemysłowego,

w zakresie nieuregulowanym w ustawie, mają zastosowanie
wybrane przepisy ustawy z dnia 14 czerwca 1960 r. - Kodeks
postępowania administracyjnego.

(art. 6-8, art. 12, art. 14-16, art. 24 § 1 pkt 1-6 i § 2-4, art. 26 § 1,
art. 28, art. 29, art. 30 § 1-3, art. 35 § 1, art. 39, art. 41-47, art. 50,
art. 55, art. 57-60, art. 61 § 3 i 4, art. 63 § 4, art. 64, art. 65, art. 72,
art. 75 § 1, art. 77 § 1, art. 97 § 1 pkt 4 i § 2, art. 98, art. 101, art. 103,
art. 104, art. 105 § 2, art. 107, art. 109 § 1, art. 112, art. 113 § 1,
art. 125 § 1, art. 156-158 oraz art. 217)

UDOSTĘPNIANIE INFORMACJI – ZASADY OGÓLNE

Informacje niejawne mogą być udostępnione wyłącznie osobie
dającej rękojmię zachowania tajemnicy i tylko w zakresie
niezbędnym do wykonywania przez nią pracy lub pełnienia
służby na zajmowanym stanowisku albo wykonywania
czynności zleconych.

Przepisy odrębnych ustaw określają:

1) zasady zwalniania od obowiązku zachowania w tajemnicy
informacji niejawnych oraz
2) sposób postępowania z aktami spraw zawierającymi
informacje niejawne w postępowaniu przed sądami i innymi
organami.

Jeżeli przepisy odrębnych ustaw uprawniają organy, służby lub
instytucje albo ich upoważnionych pracowników do dokonywania
kontroli, w szczególności do swobodnego dostępu do pomieszczeń
i materiałów, a jej zakres dotyczy informacji niejawnych,
uprawnienia te są realizowane z zachowaniem przepisów
niniejszej ustawy.

Przepisy ustawy o ochronie informacji niejawnych nie naruszają
przepisów:

- innych ustaw o ochronie tajemnicy zawodowej lub
- innych tajemnic prawnie chronionych,

z zastrzeżeniem przepisów ustawy w zakresie rodzajów klauzul
tajności i zasad ich nadawania.

WYKŁAD 9

RODZAJE KLAUZUL TAJNOŚCI

I ZASADY ICH NADAWANIA

Informacjom niejawnym nadaje się

klauzulę "ściśle tajne"

,

jeżeli ich nieuprawnione ujawnienie spowoduje
wyjątkowo poważną szkodę dla Rzeczypospolitej Polskiej
przez to, że:

1) zagrozi niepodległości, suwerenności lub integralności
terytorialnej Rzeczypospolitej Polskiej;

2) zagrozi bezpieczeństwu wewnętrznemu lub porządkowi
konstytucyjnemu Rzeczypospolitej Polskiej;

3) zagrozi sojuszom lub pozycji międzynarodowej
Rzeczypospolitej Polskiej;

4) osłabi gotowość obronną Rzeczypospolitej Polskiej.

5) doprowadzi lub może doprowadzić do identyfikacji
funkcjonariuszy, żołnierzy lub pracowników służb odpowiedzialnych
za realizację zadań wywiadu lub kontrwywiadu, którzy wykonują
czynności operacyjno-rozpoznawcze, jeżeli zagrozi to
bezpieczeństwu wykonywanych czynności lub może doprowadzić
do identyfikacji osób udzielających im pomocy w tym zakresie;

6) zagrozi lub może zagrozić życiu lub zdrowiu funkcjonariuszy,
żołnierzy lub pracowników, którzy wykonują czynności
operacyjno-rozpoznawcze, lub osób udzielających im pomocy
w tym zakresie;

7) zagrozi lub może zagrozić życiu lub zdrowiu świadków
koronnych lub osób dla nich najbliższych albo świadków, o których
mowa w art. 184 ustawy z dnia 6 czerwca 1997 r. - Kodeks
postępowania karnego lub osób dla nich najbliższych.

Informacjom niejawnym nadaje się

klauzulę "tajne"

, jeżeli ich

nieuprawnione ujawnienie spowoduje poważną szkodę
dla Rzeczypospolitej Polskiej przez to, że:

1) uniemożliwi realizację zadań związanych z ochroną
suwerenności lub porządku konstytucyjnego Rzeczypospolitej
Polskiej;

2) pogorszy stosunki Rzeczypospolitej Polskiej z innymi
państwami lub organizacjami międzynarodowymi;

3) zakłóci przygotowania obronne państwa lub
funkcjonowanie Sił Zbrojnych Rzeczypospolitej Polskiej;

4) utrudni wykonywanie czynności operacyjno-
rozpoznawczych prowadzonych w celu zapewnienia
bezpieczeństwa państwa lub ścigania sprawców zbrodni
przez służby lub instytucje do tego uprawnione;

5) w istotny sposób zakłóci funkcjonowanie organów ścigania
i wymiaru sprawiedliwości;

6) przyniesie stratę znacznych rozmiarów w interesach
ekonomicznych Rzeczypospolitej Polskiej.

Informacjom niejawnym nadaje się

klauzulę "poufne"

, jeżeli

ich nieuprawnione ujawnienie spowoduje szkodę dla
Rzeczypospolitej Polskiej przez to, że:

1) utrudni prowadzenie bieżącej polityki zagranicznej
Rzeczypospolitej Polskiej;

2) utrudni realizację przedsięwzięć obronnych lub negatywnie
wpłynie na zdolność bojową Sił Zbrojnych Rzeczypospolitej
Polskiej;

3) zakłóci porządek publiczny lub zagrozi bezpieczeństwu
obywateli;

4) utrudni wykonywanie zadań służbom lub instytucjom
odpowiedzialnym za ochronę bezpieczeństwa lub
podstawowych interesów Rzeczypospolitej Polskiej;

5) utrudni wykonywanie zadań służbom lub instytucjom
odpowiedzialnym za ochronę porządku publicznego,
bezpieczeństwa obywateli lub ściganie sprawców
przestępstw i przestępstw skarbowych oraz organom
wymiaru sprawiedliwości;

6) zagrozi stabilności systemu finansowego Rzeczypospolitej
Polskiej;

7) wpłynie niekorzystnie na funkcjonowanie gospodarki
narodowej.

Informacjom niejawnym nadaje się

klauzulę "zastrzeżone"

,

jeżeli nie nadano im wyższej klauzuli tajności, a ich
nieuprawnione ujawnienie może mieć szkodliwy wpływ na
wykonywanie przez organy władzy publicznej lub inne
jednostki organizacyjne zadań w zakresie:

1) obrony narodowej,
2) polityki zagranicznej,
3) bezpieczeństwa publicznego,
4) przestrzegania praw i wolności obywateli,
5) wymiaru sprawiedliwości albo
6) interesów ekonomicznych Rzeczypospolitej Polskiej.

Klauzulę tajności nadaje osoba uprawniona do podpisania
dokumentu lub oznaczenia innego niż dokument materiału.

Informacje niejawne podlegają ochronie w sposób określony
w ustawie do czasu zniesienia lub zmiany klauzuli tajności. Osoba
nadająca klauzulę tajności może określić datę lub wydarzenie,
po których nastąpi zniesienie lub zmiana klauzuli tajności.

Zniesienie lub zmiana klauzuli tajności są możliwe wyłącznie
po wyrażeniu pisemnej zgody przez:

a) osobę, która nadała klauzulę tajności albo
b) jej przełożonego

w przypadku ustania lub zmiany ustawowych przesłanek ochrony,
jednakże

w przypadku informacji niejawnych o klauzuli "ściśle tajne"

zgodę wyraża kierownik jednostki organizacyjnej, w której
materiałowi została nadana klauzula tajności.

Bez względu na upływ czasu chronione są:

1) dane mogące doprowadzić do identyfikacji funkcjonariuszy,
żołnierzy lub pracowników służb i instytucji, uprawnionych do
wykonywania na podstawie ustawy czynności operacyjno-
rozpoznawczych jako funkcjonariuszy, żołnierzy lub
pracowników wykonujących te czynności;

2) dane mogące doprowadzić do identyfikacji osób, które
udzieliły pomocy w zakresie czynności operacyjno-
rozpoznawczych służbom i instytucjom uprawnionym do ich
wykonywania na podstawie ustawy;

3) informacje niejawne uzyskane od organów innych państw lub
organizacji międzynarodowych, jeżeli taki był warunek ich
udostępnienia.

Ochronie nie podlegają dane, o których mowa w pkt. 1 i 2

, zawarte

w dokumentach, zbiorach danych, rejestrach i kartotekach, a także
w aktach funkcjonariuszy i żołnierzy organów bezpieczeństwa
państwa, podlegających obowiązkowi przekazania do Instytutu
Pamięci Narodowej - Komisji Ścigania Zbrodni przeciwko Narodowi
Polskiemu na podstawie przepisów:

1) ustawy z dnia 18 grudnia 1998 r. o Instytucie Pamięci Narodowej
- Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu,

2) ustawy z dnia 18 października 2006 r. o ujawnianiu informacji
o dokumentach organów bezpieczeństwa państwa z lat 1944-1990
oraz treści tych dokumentów

chyba że dostęp do określonych dokumentów został zastrzeżony
w trybie art. 39 ustawy wymienionej w pkt 1.

Informacje niejawne, którym nadano określoną klauzulę tajności:

1) mogą być

udostępnione wyłącznie osobie uprawnionej

, zgodnie

z przepisami ustawy dotyczącymi dostępu do określonej klauzuli
tajności;

2) muszą być

przetwarzane w warunkach uniemożliwiających ich

nieuprawnione ujawnienie

, zgodnie z przepisami określającymi

wymagania dotyczące kancelarii tajnych, bezpieczeństwa
systemów teleinformatycznych, obiegu materiałów i środków
bezpieczeństwa fizycznego, odpowiednich do nadanej klauzuli
tajności;

3)

muszą być chronione, odpowiednio do nadanej klauzuli tajności

,

z zastosowaniem środków bezpieczeństwa określonych w ustawie i
przepisach wykonawczych wydanych na jej podstawie.

WYKŁAD 10

ORGANIZACJA OCHRONY

INFORMACJI NIEJAWNYCH

Nadzór nad funkcjonowaniem systemu ochrony informacji
niejawnych w jednostkach organizacyjnych pozostających w ich
właściwości sprawują:

1) Służba Kontrwywiadu Wojskowego (SKW) wobec:
- Ministerstwa Obrony Narodowej oraz jednostek organizacyjnych
podległych Ministrowi Obrony Narodowej lub przez niego
nadzorowanych;
- ataszatów obrony w placówkach zagranicznych;
- żołnierzy w służbie czynnej wyznaczonych na stanowiska
służbowe w innych jednostkach organizacyjnych niż wymienione
powyżej,

2) Agencja Bezpieczeństwa Wewnętrznego (ABW) wobec:

- jednostek organizacyjnych i osób podlegających ustawie,
niewymienionych w pkt. 1).

Szef ABW pełni funkcję krajowej władzy bezpieczeństwa.

Krajowa władza bezpieczeństwa jest właściwa do
nadzorowania systemu ochrony informacji niejawnych
w stosunkach Rzeczypospolitej Polskiej z innymi państwami lub
organizacjami międzynarodowymi i wydawania dokumentów
upoważniających do dostępu do informacji niejawnych:

a) Organizacji Traktatu Północnoatlantyckiego, ("NATO"),
b) Unii Europejskiej lub
c) innych organizacji międzynarodowych.

Szef ABW pełni funkcję krajowej władzy bezpieczeństwa
w odniesieniu do podmiotów, wobec których kontrolę sprawuje
SKW, za pośrednictwem Szefa SKW.

W zakresie niezbędnym do kontroli stanu zabezpieczenia informacji
niejawnych, upoważnieni pisemnie funkcjonariusze ABW albo
funkcjonariusze lub żołnierze SKW mają prawo do:

1) wstępu do obiektów i pomieszczeń jednostki kontrolowanej, gdzie
informacje takie są przetwarzane;

2) wglądu do dokumentów związanych z organizacją ochrony tych
informacji w kontrolowanej jednostce organizacyjnej;

3) żądania udostępnienia do kontroli systemów teleinformatycznych
służących do przetwarzania tych informacji;

4) przeprowadzania oględzin obiektów, składników majątkowych
i sprawdzania przebiegu określonych czynności związanych z ochroną tych
informacji;

5) żądania od kierowników i pracowników kontrolowanych jednostek
organizacyjnych udzielania ustnych i pisemnych wyjaśnień;

6) zasięgania w związku z przeprowadzaną kontrolą informacji
w jednostkach niekontrolowanych, jeżeli ich działalność pozostaje
w związku z przetwarzaniem lub ochroną informacji niejawnych, oraz
żądania wyjaśnień od kierowników i pracowników tych jednostek;

7) powoływania oraz korzystania z pomocy biegłych i specjalistów, jeżeli
stwierdzenie okoliczności ujawnionych w czasie przeprowadzania kontroli
wymaga wiadomości specjalnych;

8) uczestniczenia w posiedzeniach kierownictwa, organów zarządzających
lub nadzorczych, a także organów opiniodawczo-doradczych w sprawach
dotyczących problematyki ochrony tych informacji w kontrolowanej
jednostce organizacyjnej.

Kierownicy jednostek organizacyjnych współdziałają ze służbami
i instytucjami uprawnionymi do prowadzenia poszerzonych
postępowań sprawdzających, kontrolnych postępowań sprawdzających
oraz postępowań bezpieczeństwa przemysłowego, w szczególności
udostępniają funkcjonariuszom, pracownikom albo żołnierzom tych
służb i instytucji, po przedstawieniu przez nich pisemnego
upoważnienia, pozostające w ich dyspozycji informacje i dokumenty
niezbędne do realizacji czynności w ramach tych postępowań.

Służby i instytucje uprawnione do prowadzenia poszerzonych
postępowań sprawdzających, w zakresie koniecznym do wykonywania
swoich zadań, w celu ochrony informacji niejawnych mogą zwracać się
do innych instytucji, służb i organów o udzielenie niezbędnej pomocy
przy wykonywaniu czynności w ramach prowadzonych postępowań
sprawdzających, kontrolnych postępowań sprawdzających oraz
postępowań bezpieczeństwa przemysłowego.

PEŁNOMOCNIK OCHRONY

Kierownik jednostki organizacyjnej, w której są przetwarzane
informacje niejawne,

odpowiada za ich ochronę,

w szczególności za zorganizowanie i zapewnienie
funkcjonowania tej ochrony

.

Kierownikowi jednostki organizacyjnej bezpośrednio podlega
zatrudniony przez niego pełnomocnik do spraw ochrony
informacji niejawnych, który odpowiada za zapewnienie
przestrzegania przepisów o ochronie informacji niejawnych.

Pełnomocnikiem ochrony może być osoba, która posiada:

a) obywatelstwo polskie,
b) wykształcenie wyższe,
c) odpowiednie poświadczenie bezpieczeństwa wydane przez
ABW albo SKW, a także przez były Urząd Ochrony Państwa lub
byłe Wojskowe Służby Informacyjne,
d) zaświadczenie o przeszkoleniu w zakresie ochrony informacji
niejawnych przeprowadzonym przez ABW albo SKW, a także
przez byłe Wojskowe Służby Informacyjne.

Kierownik jednostki organizacyjnej może zatrudnić zastępcę lub
zastępców pełnomocnika ochrony, z zastrzeżeniem spełnienia
przez te osoby powyższych warunków.

Zadania pełnomocnika ochrony:

1) zapewnienie ochrony informacji niejawnych, w tym stosowanie
środków bezpieczeństwa fizycznego;
2) zapewnienie ochrony systemów teleinformatycznych, w których
są przetwarzane informacje niejawne;
3) zarządzanie ryzykiem bezpieczeństwa informacji niejawnych,
w szczególności szacowanie ryzyka;
4) kontrola ochrony informacji niejawnych oraz przestrzegania
przepisów o ochronie tych informacji, w szczególności okresowa
(co najmniej raz na trzy lata) kontrola ewidencji, materiałów i obiegu
dokumentów;
5) opracowywanie i aktualizowanie, wymagającego akceptacji
kierownika jednostki organizacyjnej, planu ochrony informacji
niejawnych w jednostce organizacyjnej, w tym w razie wprowadzenia
stanu nadzwyczajnego, i nadzorowanie jego realizacji;

6) prowadzenie szkoleń w zakresie ochrony informacji
niejawnych;
7) prowadzenie zwykłych postępowań sprawdzających oraz
kontrolnych postępowań sprawdzających;
8) prowadzenie aktualnego wykazu osób zatrudnionych lub
pełniących służbę w jednostce organizacyjnej albo
wykonujących czynności zlecone, które posiadają uprawnienia
do dostępu do informacji niejawnych, oraz osób, którym
odmówiono wydania poświadczenia bezpieczeństwa lub je
cofnięto,
9) przekazywanie odpowiednio ABW lub SKW do ewidencji
danych osób uprawnionych do dostępu do informacji
niejawnych, a także osób, którym odmówiono wydania
poświadczenia bezpieczeństwa lub wobec których podjęto
decyzję o cofnięciu poświadczenia bezpieczeństwa, na
podstawie wykazu.

Swoje zadania pełnomocnik ochrony realizuje przy pomocy
wyodrębnionej i podległej mu komórki organizacyjnej do
spraw ochrony informacji niejawnych, zwanej "pionem
ochrony", jeżeli jest ona utworzona w jednostce organizacyjnej.

Kierownik jednostki organizacyjnej może powierzyć
pełnomocnikowi ochrony oraz pracownikom pionu ochrony
wykonywanie innych zadań, jeżeli ich realizacja nie naruszy
prawidłowego wykonywania zadań pełnomocnika ochrony.

W przypadku stwierdzenia naruszenia w jednostce
organizacyjnej przepisów o ochronie informacji niejawnych
pełnomocnik ochrony:

a) zawiadamia o tym kierownika jednostki organizacyjnej i

b) podejmuje niezwłocznie działania zmierzające do wyjaśnienia
okoliczności tego naruszenia oraz ograniczenia jego negatywnych
skutków,

c)

w przypadku stwierdzenia naruszenia przepisów o ochronie

informacji niejawnych o klauzuli "poufne" lub wyższej

– zawiadamia niezwłocznie również odpowiednio ABW lub SKW.

WYKŁAD 11

BEZPIECZEŃSTWO OSOBOWE

Dopuszczenie do pracy lub pełnienia służby na stanowiskach
albo zlecenie prac związanych z dostępem do

informacji

niejawnych o klauzuli "poufne" lub wyższej

może nastąpić, po:

1) uzyskaniu poświadczenia bezpieczeństwa oraz
2) odbyciu szkolenia w zakresie ochrony informacji niejawnych.

Dopuszczenie do pracy lub pełnienia służby na stanowiskach albo
zlecenie prac, związanych z dostępem danej osoby do

informacji

niejawnych o klauzuli "zastrzeżone"

może nastąpić po:

1) pisemnym upoważnieniu przez kierownika jednostki
organizacyjnej, jeżeli nie posiada ona poświadczenia
bezpieczeństwa,
2) odbyciu szkolenia w zakresie ochrony informacji niejawnych.

W zależności od stanowiska lub wykonywania czynności
zleconych, o które ubiega się osoba sprawdzana,
przeprowadza się:

1)

zwykłe postępowanie sprawdzające

- przy stanowiskach

i pracach związanych z dostępem do informacji niejawnych
o klauzuli "poufne", z zastrzeżeniem pkt 2 lit. b)-d);

2)

poszerzone postępowanie sprawdzające

:

a) przy stanowiskach i pracach związanych z dostępem do
informacji niejawnych o klauzuli "tajne" lub "ściśle tajne",

b) wobec pełnomocników ochrony, zastępców
pełnomocników ochrony oraz kandydatów na te stanowiska,

c) wobec kierowników jednostek organizacyjnych,
w których są przetwarzane informacje niejawne o klauzuli
"poufne" lub wyższej,

d) wobec osób ubiegających się o dostęp do informacji
niejawnych międzynarodowych lub o dostęp, który ma
wynikać z umowy międzynarodowej zawartej przez
Rzeczpospolitą Polską.

Osobom wskazanym w pkt 2 lit. b-d wydaje się poświadczenia
bezpieczeństwa upoważniające do dostępu do informacji
niejawnych o takiej klauzuli, jaka została wskazana we wniosku
lub poleceniu.

Pełnomocnik ochrony przeprowadza

zwykłe postępowanie

sprawdzające

na pisemne polecenie kierownika jednostki

organizacyjnej.

ABW albo SKW przeprowadzają

poszerzone postępowania

sprawdzające

:

1) na pisemny wniosek kierownika jednostki organizacyjnej lub
osoby uprawnionej do obsady stanowiska lub zlecenia prac;

2) wobec funkcjonariuszy, żołnierzy i pracowników oraz osób
ubiegających się o przyjęcie do służby lub pracy w ABW albo SKW;

3) wobec osób wykonujących czynności zlecone lub ubiegających
się o wykonywanie tych czynności na rzecz ABW albo SKW.

Cel postępowania sprawdzającego

: ustalenie, czy osoba

sprawdzana daje rękojmię zachowania tajemnicy.

W toku postępowania sprawdzającego ustala się, czy istnieją
uzasadnione wątpliwości dotyczące:

1) uczestnictwa, współpracy lub popierania przez osobę sprawdzaną
działalności szpiegowskiej, terrorystycznej, sabotażowej albo innej
wymierzonej przeciwko Rzeczypospolitej Polskiej;

2) zagrożenia osoby sprawdzanej ze strony obcych służb specjalnych
w postaci prób werbunku lub nawiązania z nią kontaktu;

3) przestrzegania porządku konstytucyjnego Rzeczypospolitej Polskiej,
a przede wszystkim, czy osoba sprawdzana uczestniczyła lub
uczestniczy w działalności partii politycznych lub innych organizacji,
o których mowa w art. 13 Konstytucji Rzeczypospolitej Polskiej, albo
współpracowała lub współpracuje z takimi partiami lub organizacjami;

4) ukrywania lub świadomego niezgodnego z prawdą podawania w ankiecie
bezpieczeństwa osobowego, zwanej dalej "ankietą", lub postępowaniu
sprawdzającym przez osobę sprawdzaną informacji mających znaczenie dla
ochrony informacji niejawnych;

5) wystąpienia związanych z osobą sprawdzaną okoliczności
powodujących ryzyko jej podatności na szantaż lub wywieranie
presji;

6) niewłaściwego postępowania z informacjami niejawnymi, jeżeli:
a) doprowadziło to bezpośrednio do ujawnienia tych informacji osobom
nieuprawnionym,
b) było to wynikiem celowego działania,
c) stwarzało to realne zagrożenie ich nieuprawnionym ujawnieniem i nie miało
charakteru incydentalnego,

d) dopuściła się tego osoba szczególnie zobowiązana na podstawie ustawy
do ochrony informacji niejawnych: pełnomocnik ochrony, jego zastępca lub
kierownik kancelarii tajnej.

W toku poszerzonego postępowania sprawdzającego

ustala się

ponadto

, czy istnieją wątpliwości dotyczące:

1) poziomu życia osoby sprawdzanej wyraźnie przewyższającego
uzyskiwane przez nią dochody;

2) informacji o chorobie psychicznej lub innych zakłóceniach
czynności psychicznych ograniczających sprawność umysłową
i mogących negatywnie wpłynąć na zdolność osoby sprawdzanej
do wykonywania prac, związanych z dostępem do informacji
niejawnych;

3) uzależnienia od alkoholu, środków odurzających lub substancji
psychotropowych.

Zasady postępowania sprawdzającego:

W razie niedających się usunąć wątpliwości,

interes ochrony

informacji niejawnych ma pierwszeństwo przed innymi prawnie
chronionymi interesami

.

Organ prowadzący postępowanie sprawdzające, kierując się

zasadami

bezstronności i obiektywizmu

, jest obowiązany do

wykazania

najwyższej staranności

w toku prowadzonego postępowania

sprawdzającego co do jego zgodności z przepisami ustawy.

Wszystkie czynności przeprowadzone w toku postępowań
sprawdzających muszą być

rzetelnie udokumentowane

i

powinny

być zakończone przed upływem 3 miesięcy

od dnia:

1) złożenia do pełnomocnika ochrony wypełnionej ankiety, lub
2) złożenia wniosku o przeprowadzenie postępowania sprawdzającego
wraz z wypełnioną ankietą.

Postępowanie sprawdzające kończy się:

1) wydaniem poświadczenia bezpieczeństwa;

2) odmową wydania poświadczenia bezpieczeństwa;

3) umorzeniem.

Po zakończeniu postępowania sprawdzającego

z wynikiem pozytywnym

organ prowadzący

postępowanie wydaje poświadczenie bezpieczeństwa
i przekazuje osobie sprawdzanej, zawiadamiając o tym
wnioskodawcę.

Poświadczenie bezpieczeństwa wydaje się na okres:

1) 10 lat - w przypadku dostępu do informacji niejawnych o

klauzuli

"poufne"

;

2) 7 lat - w przypadku dostępu do informacji niejawnych o

klauzuli

"tajne"

;

3) 5 lat - w przypadku dostępu do informacji niejawnych o

klauzuli

"ściśle tajne"

.

Poświadczenie bezpieczeństwa upoważniające do dostępu do
informacji niejawnych o wyższej klauzuli tajności uprawnia do
dostępu do informacji niejawnych o niższej klauzuli tajności,
odpowiednio przez okresy dla nich właściwe, także w odniesieniu
do poświadczeń bezpieczeństwa organizacji międzynarodowych.

Organ prowadzący postępowanie sprawdzające

odmawia wydania

poświadczenia bezpieczeństwa

, jeżeli:

1) nie zostaną usunięte wątpliwości, o których mowa w art. 24 ust. 2,

2) w trakcie poszerzonego postępowania sprawdzającego nie
zostaną usunięte wątpliwości, o których mowa w art. 24 ust. 3,

3) osoba sprawdzana została skazana prawomocnym wyrokiem na
karę pozbawienia wolności za przestępstwo umyślne ścigane
z oskarżenia publicznego, także popełnione za granicą, lub
umyślne przestępstwo skarbowe, jeżeli czyn, za który nastąpiło
skazanie, wywołuje wątpliwości, o których mowa w art. 24 ust. 2 i 3.

Umorzenie postępowania sprawdzającego

następuje

w przypadku:

1) śmierci osoby sprawdzanej;

2) rezygnacji osoby sprawdzanej z ubiegania się o stanowisko
albo zajmowania stanowiska lub wykonywania prac,
związanych z dostępem do informacji niejawnych;

3) odstąpienia przez kierownika jednostki organizacyjnej od
zamiaru obsadzenia osoby sprawdzanej na stanowisku lub
zlecenia jej prac, związanych z dostępem do informacji
niejawnych;

4) gdy postępowanie z innej przyczyny stało się
bezprzedmiotowe.

WYKŁAD 12

KANCELARIE TAJNE

Kierownik jednostki organizacyjnej,

w której są przetwarzane

informacje niejawne o klauzuli "tajne" lub "ściśle tajne"

,

tworzy kancelarię tajną i zatrudnia jej kierownika.

W przypadku uzasadnionym względami organizacyjnymi
kierownik jednostki organizacyjnej może utworzyć więcej niż
jedną kancelarię tajną.

W uzasadnionych przypadkach, za zgodą odpowiednio ABW
lub SKW, można utworzyć kancelarię tajną obsługującą dwie
lub więcej jednostek organizacyjnych. Podległość, obsada
i zasady finansowania takiej kancelarii zostaną określone przez
właściwych kierowników jednostek organizacyjnych.

Kancelaria tajna:

a) stanowi wyodrębnioną komórkę organizacyjną,
w zakresie ochrony informacji niejawnych,
b) podległą pełnomocnikowi ochrony,
c) obsługiwaną przez pracowników pionu ochrony,
d) odpowiedzialną za właściwe:
- rejestrowanie,
- przechowywanie,
- obieg i
- wydawanie materiałów uprawnionym osobom.

Kierownik jednostki organizacyjnej

może wyrazić zgodę na

przetwarzanie w kancelarii tajnej informacji niejawnych o klauzuli
"poufne" lub "zastrzeżone"

.

Kierownik jednostki organizacyjnej informuje odpowiednio ABW lub
SKW o utworzeniu lub likwidacji kancelarii tajnej, z określeniem
klauzuli tajności przetwarzanych w niej informacji niejawnych.

Jednostki organizacyjne, w których są przetwarzane informacje
niejawne, stosują środki bezpieczeństwa fizycznego

odpowiednie do poziomu zagrożeń w celu uniemożliwienia osobom
nieuprawnionym dostępu do takich informacji

, w szczególności

chroniące przed:

1) działaniem obcych służb specjalnych;
2) zamachem terrorystycznym lub sabotażem;
3) kradzieżą lub zniszczeniem materiału;
4) próbą wejścia osób nieuprawnionych do pomieszczeń, w których
są przetwarzane informacje niejawne;
5) nieuprawnionym dostępem do informacji o wyższej klauzuli
tajności niewynikającym z posiadanych uprawnień.

Zakres stosowania środków bezpieczeństwa fizycznego uzależnia
się od poziomu zagrożeń związanych z nieuprawnionym dostępem
do informacji niejawnych lub ich utratą.

W celu

uniemożliwienia

osobom nieuprawnionym

dostępu do

informacji niejawnych o klauzuli "poufne" lub wyższej

należy

w szczególności:

1) zorganizować strefy ochronne;

2) wprowadzić system kontroli wejść i wyjść ze stref ochronnych;

3) określić uprawnienia do przebywania w strefach ochronnych;

4) stosować wyposażenie i urządzenia służące ochronie informacji
niejawnych, którym przyznano certyfikaty.

Organizacja pracy:

a) kancelarii tajnej lub
b) innych niż kancelaria tajna komórek, w których są rejestrowane
materiały o klauzuli "poufne"

zapewnia możliwość ustalenia w każdych okolicznościach, gdzie
znajduje się materiał o klauzuli:

-”poufne”,
- "tajne" lub
- "ściśle tajne"

pozostający w dyspozycji jednostki organizacyjnej oraz kto z tym
materiałem się zapoznał.

Kancelaria tajna lub komórka, określona w lit. b),

odmawia

udostępnienia lub wydania materiału osobie nieuprawnionej

.

Kierownik jednostki organizacyjnej zatwierdza:

1) opracowany przez pełnomocnika ochrony sposób i tryb
przetwarzania informacji niejawnych o klauzuli "poufne"
w podległych komórkach organizacyjnych.

2) opracowaną przez pełnomocnika ochrony dokumentację
określającą poziom zagrożeń związanych z nieuprawnionym
dostępem do informacji niejawnych lub ich utratą (

dotyczy

jednostki organizacyjnej, w której są przetwarzane informacje
niejawne o klauzuli "poufne" lub wyższej

),

3) opracowaną przez pełnomocnika ochrony, instrukcję dotyczącą
sposobu i trybu przetwarzania informacji niejawnych o klauzuli
"zastrzeżone" w podległych komórkach organizacyjnych oraz
zakres i warunki stosowania środków bezpieczeństwa
fizycznego w celu ich ochrony.

WYKŁAD 13

BEZPIECZEŃSTWO TELEINFORMATYCZNE

Systemy teleinformatyczne, w których mają być przetwarzane
informacje niejawne,

podlegają akredytacji bezpieczeństwa

teleinformatycznego

udzielanej na czas określony do 5 lat.

ABW albo SKW udziela akredytacji bezpieczeństwa
teleinformatycznego dla systemu teleinformatycznego
przeznaczonego do przetwarzania informacji niejawnych

o klauzuli "poufne" lub wyższej

w terminie 6 miesięcy od otrzymania

kompletnej dokumentacji bezpieczeństwa systemu
teleinformatycznego. Od odmowy udzielenia akredytacji nie służy
odwołanie.

Potwierdzeniem udzielenia przez ABW albo SKW akredytacji,
jest świadectwo akredytacji bezpieczeństwa systemu
teleinformatycznego.

Świadectwo akredytacji bezpieczeństwa systemu
teleinformatycznego, wydaje się na podstawie:

1) zatwierdzonej przez ABW albo SKW dokumentacji
bezpieczeństwa systemu teleinformatycznego;

2) wyników audytu bezpieczeństwa systemu
teleinformatycznego przeprowadzonego przez ABW albo SKW,
przy czym właściwy organ może odstąpić od przeprowadzenia
audytu, jeżeli system jest przeznaczony do przetwarzania informacji
niejawnych o klauzuli "poufne".

Kierownik jednostki organizacyjnej udziela akredytacji
bezpieczeństwa teleinformatycznego dla systemu
teleinformatycznego przeznaczonego do przetwarzania

informacji

niejawnych o klauzuli "zastrzeżone"

przez zatwierdzenie

dokumentacji bezpieczeństwa systemu teleinformatycznego.

ABW lub SKW przeprowadza certyfikację:

1)

środków ochrony elektromagnetyczne

j przeznaczonych do

ochrony informacji niejawnych o klauzuli "poufne" lub wyższej,
2)

urządzeń i narzędzi kryptograficznych

przeznaczonych do

ochrony informacji niejawnych,
3) na wniosek zainteresowanego podmiotu –

urządzenia lub

narzędzia służącego do realizacji zabezpieczenia
teleinformatycznego

, przeznaczonego do ochrony informacji niejawnych.

Pozytywne wyniki ocen bezpieczeństwa uzyskane na podstawie
wyników badań prowadzonych w ramach certyfikacji określonych
powyżej, stanowią podstawę do wydania przez ABW albo SKW

certyfikatu ochrony elektromagnetycznej, certyfikatu ochrony
kryptograficznej

lub

certyfikatu bezpieczeństwa

teleinformatycznego

, na okres nie krótszy niż 3 lata. Od odmowy

wydania certyfikatu nie służy odwołanie.

Kierownik jednostki organizacyjnej wyznacza:

1) pracownika lub pracowników pionu ochrony pełniących funkcję
inspektora bezpieczeństwa teleinformatycznego, odpowiedzialnych
za weryfikację i bieżącą kontrolę zgodności funkcjonowania systemu
teleinformatycznego ze szczególnymi wymaganiami bezpieczeństwa
oraz przestrzegania procedur bezpiecznej eksploatacji;

2) osobę lub zespół osób, niepełniących funkcji inspektora bezpieczeństwa
teleinformatycznego, odpowiedzialnych za funkcjonowanie systemu
teleinformatycznego oraz za przestrzeganie zasad i wymagań
bezpieczeństwa przewidzianych dla systemu teleinformatycznego,
("administratora systemu").

Przedmiotowe stanowiska lub funkcje, mogą zajmować lub pełnić osoby:

a) spełniające wymagania właściwe dla pracowników pionu ochrony
(art. 16 ustawy),
b) po odbyciu specjalistycznych szkoleń z zakresu bezpieczeństwa
teleinformatycznego prowadzonych przez ABW albo SKW.

WYKŁAD 14

BEZPIECZENSTWO PRZEMYSŁOWE

Warunkiem dostępu przedsiębiorcy (i podwykonawców umów, jeżeli
ich wykonywanie wiąże się z dostępem do informacji niejawnych) do
informacji niejawnych

w związku z wykonywaniem umów albo zadań

wynikających z przepisów prawa

, jest zdolność do ochrony informacji

niejawnych.

Dokumentem potwierdzającym

zdolność do ochrony informacji

niejawnych o klauzuli "poufne" lub wyższej

jest

świadectwo

bezpieczeństwa przemysłowego

, wydawane przez ABW albo SKW

po przeprowadzeniu postępowania bezpieczeństwa przemysłowego.

W przypadku przedsiębiorcy wykonującego działalność jednoosobowo
i osobiście zdolność do ochrony informacji niejawnych potwierdza:

a) poświadczenie bezpieczeństwa upoważniające do dostępu do
informacji niejawnych o klauzuli tajności "poufne" lub wyższej,
wydawane przez ABW albo SKW i
b) zaświadczenie o odbytym przeszkoleniu w zakresie ochrony informacji
niejawnych wydawane przez ABW albo SKW.

W zależności od stopnia zdolności do ochrony informacji
niejawnych o klauzuli "poufne" lub wyższej wydaje się
świadectwo odpowiednio:

1)

pierwszego stopnia

- potwierdzające pełną zdolność

przedsiębiorcy do ochrony tych informacji;

2)

drugiego stopnia

- potwierdzające zdolność przedsiębiorcy do

ochrony tych informacji, z wyłączeniem możliwości ich
przetwarzania we własnych systemach teleinformatycznych;

3)

trzeciego stopnia

- potwierdzające zdolność przedsiębiorcy do

ochrony tych informacji, z wyłączeniem możliwości ich
przetwarzania w użytkowanych przez niego obiektach.

Świadectwo potwierdzające zdolność do ochrony informacji
niejawnych o klauzuli:

1)

"ściśle tajne"

potwierdza zdolność do ochrony informacji

niejawnych o klauzuli:

a) "ściśle tajne" - przez okres 5 lat od daty wystawienia,
b) "tajne" - przez okres 7 lat od daty wystawienia,
c) "poufne" - przez okres 10 lat od daty wystawienia;

2)

"tajne"

potwierdza zdolność do ochrony informacji niejawnych

o klauzuli:

a) "tajne" - przez okres 7 lat od daty wystawienia,
b) "poufne" - przez okres 10 lat od daty wystawienia;

3)

"poufne"

potwierdza zdolność do ochrony informacji

niejawnych o tej klauzuli przez okres 10 lat od daty wystawienia.

Postępowanie bezpieczeństwa przemysłowego:

a) jest prowadzone na wniosek przedsiębiorcy, który nie wymaga
uzasadnienia.

b) we wniosku przedsiębiorca określa stopień świadectwa oraz
klauzulę tajności informacji niejawnych, których zdolność do
ochrony ma potwierdzać świadectwo.

c) do wniosku przedsiębiorca dołącza kwestionariusz
bezpieczeństwa przemysłowego oraz ankiety lub kopie
poświadczeń bezpieczeństwa osób określonych w art. 57 ust. 3
ustawy,

d) powinno być zakończone w terminie nie dłuższym niż 6 miesięcy,
licząc od dnia przedłożenia wszystkich dokumentów niezbędnych
do jego przeprowadzenia.

e) sprawdzenie przedsiębiorcy, w tym na podstawie danych
zawartych w rejestrach, ewidencjach, kartotekach, także
niedostępnych powszechnie, obejmuje:

- strukturę kapitału oraz powiązania kapitałowe przedsiębiorcy,
źródła pochodzenia środków finansowych i sytuację finansową;

- strukturę organizacyjną;

- system ochrony informacji niejawnych, w tym środki
bezpieczeństwa fizycznego;

- wszystkie osoby wchodzące w skład organów zarządzających,
kontrolnych oraz osoby działające z ich upoważnienia;

- w szczególnie uzasadnionych przypadkach osoby posiadające
poświadczenia bezpieczeństwa.

f) w toku postępowania bezpieczeństwa przemysłowego oraz
w okresie ważności świadectwa przeprowadza się postępowania
sprawdzające wobec osób nieposiadających odpowiednich
poświadczeń bezpieczeństwa lub kolejne postępowania
sprawdzające wobec:

- kierownika przedsiębiorcy;

- pełnomocnika ochrony i jego zastępcy;

- osób zatrudnionych w pionie ochrony;

- administratora systemu teleinformatycznego;

- pozostałych osób wskazanych w kwestionariuszu, które powinny
mieć dostęp do informacji niejawnych.

g) postępowanie bezpieczeństwa przemysłowego kończy się:

- wydaniem przez ABW albo SKW świadectwa zgodnie
z wnioskiem przedsiębiorcy albo

- decyzją o odmowie wydania świadectwa lub

- decyzją o umorzeniu postępowania bezpieczeństwa
przemysłowego w przypadku:

•

wycofania przez przedsiębiorcę wniosku o wydanie

świadectwa;

•

wydania orzeczenia o zakazie prowadzenia przez

przedsiębiorcę działalności gospodarczej;
•

przejęcia lub likwidacji przedsiębiorcy.

Jednostka organizacyjna zawierająca umowę związaną z dostępem
do informacji niejawnych o klauzuli "poufne" lub wyższej jest
odpowiedzialna za wprowadzenie do umowy instrukcji
bezpieczeństwa przemysłowego, określającej:

1) szczegółowe wymagania dotyczące ochrony informacji niejawnych o klauzuli
"poufne" lub wyższej, które zostaną przekazane przedsiębiorcy w związku
z wykonywaniem umowy, odpowiednie do liczby tych informacji, klauzuli tajności oraz
liczby osób mających do nich dostęp;

2) skutki oraz zakres odpowiedzialności wykonawcy umowy z tytułu niewykonania lub
nienależytego wykonania obowiązków wynikających z niniejszej ustawy, a także
nieprzestrzegania wymagań określonych w instrukcji bezpieczeństwa przemysłowego.

Kierownik jednostki organizacyjnej zawierającej umowę związaną
z dostępem do informacji niejawnych o klauzuli "poufne" lub wyższej

wyznacza osobę odpowiedzialną za nadzorowanie, kontrolę i doradztwo
w zakresie wykonywania przez przedsiębiorcę obowiązku ochrony
wytworzonych w związku z realizacją umowy lub przekazanych mu
informacji niejawnych

.

WYKŁAD 15

KARNOPRAWNA OCHRONA

INFORMACJI NIEJAWNYCH

UJAWNIENIE LUB WYKORZYSTANIE INFORMACJI
NIEJAWNEJ O KLAUZULI „TAJNE” LUB „ŚCIŚLE TAJNE”

„Art. 265.§ 1. Kto ujawnia lub wbrew przepisom ustawy wykorzystuje
informacje niejawne o klauzuli "tajne" lub "ściśle tajne",

podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

§ 2. Jeżeli informację określoną w § 1

ujawniono osobie działającej

w imieniu lub na rzecz podmiotu zagranicznego

, sprawca

podlega karze pozbawienia wolności od 6 miesięcy do lat 8.

§ 3. Kto

nieumyślnie ujawnia

informację określoną w § 1, z którą

zapoznał się w związku z pełnieniem funkcji publicznej lub otrzymanym
upoważnieniem,
podlega grzywnie, karze ograniczenia wolności albo pozbawienia
wolności do roku.”.

UJAWNIENIE LUB WYKORZYSTANIE TAJEMNICY
ZAWODOWEJ LUB FUNKCYJNEJ

„Art. 266. § 1. Kto, wbrew przepisom ustawy lub przyjętemu na
siebie zobowiązaniu, ujawnia lub wykorzystuje informację, z którą
zapoznał się w związku z pełnioną funkcją, wykonywaną pracą,
działalnością publiczną, społeczną, gospodarczą lub naukową,

podlega grzywnie, karze ograniczenia wolności albo
pozbawienia wolności do lat 2.”

(…)

„§ 3. Ściganie przestępstwa określonego w § 1 następuje na wniosek
pokrzywdzonego.”.

UJAWNIENIE LUB WYKORZYSTANIE INFORMACJI
NIEJAWNEJ O KLAUZULI „ZASTRZEŻONE” LUB „POUFNE”

§ 2. Funkcjonariusz publiczny, który ujawnia osobie
nieuprawnionej informację niejawną o klauzuli "zastrzeżone"
lub "poufne" lub informację, którą uzyskał w związku
z wykonywaniem czynności służbowych, a której ujawnienie
może narazić na szkodę prawnie chroniony interes,

podlega karze pozbawienia wolności do lat 3.

Dziękuję za uwagę

Opracowanie:

Wojciech Gliniecki, WSAiB Gdynia, 2012