Dz.Urz.MEN.2018.33

| Akt obowiązujący
Wersja od: 23 listopada 2018 r.

ZARZĄDZENIE Nr 41
MINISTRA EDUKACJI NARODOWEJ 1
z dnia 23 listopada 2018 r.
w sprawie powierzenia Ośrodkowi Rozwoju Edukacji przetwarzania danych osobowych, których administratorem jest Minister Edukacji Narodowej

Na podstawie art. 34 ust. 1 i 34a ust. 1 ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów (Dz. U. z 2012 r. poz. 392, z 2015 r. poz. 1064 oraz z 2018 r. poz. 1669) oraz art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1) zarządza się, co następuje:
§  1.  Minister Edukacji Narodowej, zwany dalej "Ministrem", powierza Ośrodkowi Rozwoju Edukacji, zwanemu dalej "ORE", przetwarzanie danych osobowych w celu i w zakresie niezbędnym do realizacji następujących zadań określonych w zatwierdzonym przez Radę Ministrów w dniu 22 marca 2018 r. Harmonogramie realizacji zadań, wynikających z Rządowego programu wspomagania w latach 2015-2018 organów prowadzących szkoły w zapewnieniu bezpiecznych warunków nauki, wychowania i opieki w szkołach - "Bezpieczna+" w 2018 r.:
1) kontynuacja zadania dotyczącego stworzenia i prowadzenia portalu internetowego dla nauczycieli, uczniów i ich rodziców poświęconego bezpieczeństwu w szkole;
2) monitoring Rządowego programu wspomagania w latach 2015-2018 organów prowadzących szkoły w zapewnieniu bezpiecznych warunków nauki, wychowania i opieki w szkołach -"Bezpieczna+ ", zwanego dalej "Programem".
2.  Dane osobowe, o których mowa w ust. 1, obejmują:
1) imię i nazwisko, miejsce zatrudnienia (województwo), nazwa pracodawcy, stanowisko, adres e-mail, informacje o doświadczeniu zawodowym uczestników Programu;
2) imię i nazwisko, numer PESEL, informacje o doświadczeniu zawodowym, pełniona funkcja w organie lub jednostce organizacyjnej, telefon, adres e-mail osób działających w imieniu realizatorów zadań określonych w Programie, pracowników realizatorów zadań lub innych osób świadczących usługi w ramach Programu.
3.  Dane osobowe, o których mowa w ust. 2, zawarte są w:
1) ofertach, sprawozdaniach częściowych, sprawozdaniach końcowych oraz innych informacjach przekazywanych przez realizatorów Programu;
2) rocznych ocenach efektów realizacji Programu przekazanych przez wojewodów oraz komendy powiatowe (miejskie) Państwowej Straży Pożarnej;
3) sprawozdaniach z realizacji Programu oraz rocznych ocenach efektów realizacji Programu przekazanych przez ministrów będących organami prowadzącymi szkoły.
4.  Przetwarzanie danych osobowych, o których mowa w ust. 1, powierza się do dnia 31 grudnia 2019 r.
5.  Dane osobowe, o których mowa w ust. 1, są przetwarzane w postaci papierowej oraz elektronicznej (w systemach teleinformatycznych, na informatycznych nośnikach danych, w środkach komunikacji elektronicznej oraz na portalu internetowym, o którym mowa w § 1 pkt 1.
§  2.  Niniejsze zarządzenie stanowi udokumentowane polecenie Ministra w rozumieniu art. 28 ust. 3 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej "rozporządzeniem 2016/679", na podstawie którego ORE przetwarza powierzone dane osobowe, o których mowa w § 1.
§  3.  Na powierzonych danych osobowych, o których mowa w § 1, ORE wykonuje następujące operacje przetwarzania: przechowywanie dokumentów w postaci papierowej, przechowywanie na infrastrukturze serwerowej, zabezpieczanie, kopiowanie, w tym tworzenie kopii zapasowych, odzyskiwanie, odczytywanie, opracowywanie, formatowanie, importowanie do systemów teleinformatycznych, a także przekazywanie, udostępnianie, usuwanie lub niszczenie zgodnie z ustaleniami przekazanymi przez Ministerstwo.
§  4.  ORE przetwarzając powierzone dane osobowe, o których mowa w § 1:
1) stosuje środki zabezpieczenia określone w art. 32 rozporządzenia 2016/679, przy czym wdrożone środki zabezpieczenia muszą być adekwatne do zidentyfikowanych ryzyk dla zakresu powierzonego przetwarzania danych osobowych, o których mowa w § 1;
2) udziela pomocy administratorowi w zakresie:
a) realizacji obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III rozporządzenia 2016/679,
b) zapewnienia realizacji obowiązków wynikających z art. 32-36 rozporządzenia 2016/679;
3) niezwłocznie - nie później niż w ciągu 36 godzin od jego wystąpienia - zgłasza administratorowi każde naruszenie danych osobowych lub jego podejrzenie, którego będzie uczestnikiem, lub o którym poweźmie informację;
4) udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 rozporządzenia 2016/679;
5) niezwłocznie, na wniosek administratora, udziela wszelkich informacji lub okazuje wszelkie niezbędne dokumenty związane ze środkami zabezpieczenia, o których mowa w pkt 1 i 2, systemami teleinformatycznymi, w których są przetwarzane powierzone dane osobowe, o których mowa w § 1 oraz osobami upoważnionymi do ich przetwarzania;
6) umożliwia administratorowi, na każde żądanie, przeprowadzenie kontroli, audytu lub inspekcji w zakresie zapewnienia właściwej ochrony danych osobowych oraz aktywnie w nich uczestniczy;
7) niezwłocznie informuje administratora, jeżeli zdaniem ORE wydane mu polecenie stanowi naruszenie rozporządzenia 2016/679 lub innych obowiązujących przepisów;
8) niezwłocznie informuje administratora o jakimkolwiek postępowaniu, w szczególności administracyjnym lub sądowym, dotyczącym przetwarzania przez ORE powierzonych mu danych osobowych, o których mowa w § 1, a także o wszelkich planowanych lub realizowanych w ORE kontrolach i audytach dotyczących tych danych osobowych.
§  5. 
1.  ORE prowadzi ewidencję upoważnionych osób, które będą przetwarzać powierzone dane osobowe.
2.  Na każde żądanie administratora ORE przedstawia ewidencję, o której mowa w ust. 1, zawierającą imiona i nazwiska upoważnionych osób, zakres rzeczowy upoważnienia oraz datę rozpoczęcia obowiązywania upoważnienia i jego zakończenia.
§  6. 
1.  ORE zapoznaje osoby upoważnione, o których mowa w § 5 ust. 1, z przepisami rozporządzenia 2016/679 i innych powszechnie obowiązujących aktów prawnych o ochronie danych osobowych oraz informuje je o odpowiedzialności za nieprzestrzeganie tych przepisów.
2.  Osoby upoważnione, o których mowa w § 5 ust. 1, są zobowiązane do przestrzegania przepisów rozporządzenia 2016/679 i innych powszechnie obowiązujących aktów prawnych o ochronie danych osobowych oraz do bezterminowego zachowania w tajemnicy przetwarzanych danych osobowych i sposobów ich zabezpieczenia, a także do złożenia oświadczenia w tym przedmiocie.
3.  ORE prowadzi ewidencję złożonych oświadczeń, o których mowa w ust. 2.
§  7. 
1.  Korzystanie przez ORE z usług innego podmiotu przetwarzającego wymaga uprzedniej zgody Ministra.
2.  W przypadku korzystania z usług innego podmiotu przetwarzającego, ORE ponosi pełną odpowiedzialność za działania tego podmiotu.
3.  Jeżeli podmiot, o którym mowa w ust. 1, nie wywiąże się ze spoczywających na nim obowiązków w zakresie ochrony danych osobowych, pełną odpowiedzialność wobec Ministra za wypełnienie obowiązków tego podmiotu ponosi ORE.
§  8. 
1.  W przypadku, o którym mowa w § 7 ust. 1, ORE zapewnia, w szczególności stosując odpowiednie klauzule umowne w pisemnych umowach zawieranych z innym podmiotem przetwarzającym, że podmiot ten spełnia wymagania określone w przepisach, o których mowa w art. 32 rozporządzenia 2016/679.
2.  ORE nakłada na podmiot, o którym mowa w ust. 1, obowiązek niezwłocznego - nie później niż w ciągu 24 godzin - zgłoszenia ORE stwierdzonego naruszenia ochrony danych osobowych lub jego podejrzenia, zgodnie z art. 33 ust. 2 rozporządzenia 2016/679.
3.  W przypadkach, o których mowa w ust. 2, ORE ma obowiązek niezwłocznego - nie później niż w ciągu 24 godzin od momentu otrzymania zgłoszenia od podmiotu, o którym mowa w ust. 1 - przekazania zgłoszenia Ministrowi.
§  9.  ORE lub podmiot przetwarzający, o którym mowa § 7 ust. 1, nie mogą przekazywać powierzonych danych osobowych, o których mowa w § 1, do państwa trzeciego lub organizacji międzynarodowej bez wyraźnego polecenia lub wyraźnej zgody Ministra.
§  10.  ORE w terminie, o którym mowa w § 1 ust. 4, zwraca Ministrowi powierzone dane osobowe, a kopie tych danych usuwa w uzgodnieniu z Ministrem, chyba, że przepisy prawa nakazują dalsze przechowywanie.
§  11.  Zarządzenie wchodzi w życie z dniem podpisania.
1 Minister Edukacji Narodowej kieruje działem administracji rządowej - oświata i wychowanie, na podstawie § 1 ust. 2 rozporządzenia Prezesa Rady Ministrów z dnia 13 grudnia 2017 r. w sprawie szczegółowego zakresu działania Ministra Edukacji Narodowej (Dz. U. poz. 2315).