UWAGA - od 25 maja 2018 roku poniższa treść stanie się częściowo nieaktualna. 

Jeśli masz serwis internetowy, prowadzisz sklep lub inny biznes, to w tym tekście znajdziesz 6 najważniejszych kwestii, które musisz wiedzieć o polityce bezpieczeństwa. Dlatego też jeśli przetwarzasz dane osobowe - nasz dzisiejszy artykuł z pewnością będzie dla Ciebie przydatny. Dowiesz się z niego m.in. czym jest polityka bezpieczeństwa i dlaczego musisz ją posiadać.

1. Czym się różni polityka bezpieczeństwa i polityka prywatności?

Wbrew temu co może się wydawać - to dwa zupełnie różne dokumenty - pełniące odmienne funkcje.

Polityka prywatności nie jest obowiązkowa, choć warto ją posiadać

ponieważ pozwala wypełnić kilka obowiązków ustawowych. Określa ona Twoje relacje z użytkownikiem, w zakresie ochrony prywatności tego użytkownika. Natomiast polityka bezpieczeństwa określa Twoje wewnętrzne zasady przetwarzania danych osobowych i zawiera m.in. wykaz miejsc, w których przetwarzasz dane a także określenie środków technicznych jakie stosujesz dla zapewnienia bezpieczeństwa danych.

2. Czy muszę posiadać politykę bezpieczeństwa?

Tak - jeśli jesteś administratorem danych osobowych, czyli upraszczając - jeśli przetwarzasz dane w celach zarobkowych. Polityka bezpieczeństwa, obok instrukcji zarządzania systemem informatycznym, jest jednym z dwóch dokumentów, które musi posiadać administrator danych osobowych.

3. Jakie przepisy regulują politykę bezpieczeństwa?

Treść polityki bezpieczeństwa narzucana jest przez Rozporządzenie Ministra Spraw Wewnętrznych i Administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (strasznie długa nazwa). Oczywiście treść polityki bezpieczeństwa musi być również zgodna z samą ustawą o ochronie danych osobowych.

4. Czy muszę posiadać politykę bezpieczeństwa jeśli nie mam obowiązku rejestrowania zbioru danych osobowych?

Nawet jeśli np.

wyznaczyłeś ABI i nie musisz rejestrować zbiorów u GIODO

- musisz posiadać politykę bezpieczeństwa. Obowiązek posiadania tej polityki, wynikający z art. 36 ustawy o ochronie danych osobowych, jest niezależny od faktu rejestracji zbioru danych osobowych – przesądza o nim sam fakt przetwarzania danych.

5. Mój hostingodawca napisał, że ma politykę bezpieczeństwa, czy mimo to muszę posiadać swoją?

Tak - musisz mieć swoją politykę bezpieczeństwa. To dokument, który określa zasady przetwarzania danych przez konkretnego administratora. W związku z tym to, że podmiot, któremu powierzyłeś przetwarzanie danych osobowych dysponuje swoją polityką bezpieczeństwa - nie zwalnia Cię z obowiązku posiadania własnej polityki. Co więcej - polityka hostingodawcy określa zasady na jakich on konkretnie przetwarza dane i najpewniej będzie odbiegać od zasad obowiązujących bezpośrednio w Twojej firmie. Zupełnie inaczej wyglądać będzie ten dokument dla dużej firmy informatycznej, a zupełnie inaczej dla niewielkiego serwisu, który posiada raptem dwa lub trzy zbiory danych osobowych. Także

powierzenie przetwarzania danych osobowych

nie zwalnia Cię z obowiązku posiadania polityki bezpieczeństwa.

6. Czy politykę bezpieczeństwa publikuję na stronie internetowej?

Nie. W żadnym wypadku! To Twój wewnętrzny i poufny dokument. Jego treści nie ujawniasz użytkownikom. Do informowania użytkowników służy polityka prywatności. Politykę bezpieczeństwa zostaw dla siebie i swoich pracowników, no i ewentualnie dla GIODO - nie powinieneś jej upubliczniać.