Współadministrowanie w sądach apelacji rzeszowskiej

WSPÓLNE UZGODNIENIA WSPÓŁADMINISTRATORÓW DANYCH W SĄDOWYCH SYSTEMACH TELEINFORMACYJNYCH

§ 1

1. Administratorzy danych osobowych, identyfikowani jako Współadministratorzy danych przetwarzanych w sądowych systemach teleinformatycznych, kierując się potrzebą określenia odpowiednich zakresów swojej odpowiedzialności dotyczącej wypełniania obowiązków wynikających z art. 26 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwane dalej: „RODO” oraz dążeniem do zapewnienia najwyższych gwarancji ochrony danych osobowych w sądowych systemach teleinformatycznych, w wyniku wspólnych uzgodnień wypracowali niniejszy dokument.
2. Niniejszy dokument odzwierciedla odpowiednie zakresy obowiązków i odpowiedzialności Współadministratorów oraz relacje pomiędzy nimi a podmiotami, których dane przetwarzane są w sądowych systemach teleinformatycznych.
3. Zasadnicza treść uzgodnień będzie udostępniana podmiotom, których dane przetwarzane są w sądowych systemach teleinformatycznych. Udostępnienie nastąpi w formie publikacji na stronach podmiotowych BIP Stron.
4. Realizacja postanowień niniejszego dokumentu nie może naruszać niezawisłości sędziowskiej oraz konstytucyjnej zasady trójpodziału władzy.

§ 2
Podstawa prawna

Współadministratorzy, przetwarzając dane osobowe, regulują zasady dotyczące tego przetwarzania tak, aby odpowiadały one w pełni przepisom:

1. Zarządzenia Ministra Sprawiedliwości z dnia 29 lipca 2022 roku w sprawie powierzenia sądom apelacyjnym wykonywania czynności związanych z projektowaniem, wdrażaniem i utrzymywaniem systemów teleinformatycznych (Dz. Urz. MS z 2022 r. poz. 155 z uwzględnieniem aktów zastępujących albo zmieniających uregulowany w zarządzeniu zakres; zwane dalej: Zarządzeniem);
2. Rozporządzenia RODO;
3. Ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. U z 2018 r. poz. 1000, tj. Dz. U z 2019 r. poz. 1781);
4. Ustawy z dnia 14 grudnia 2018 r. o ochronie danych osobowych peztwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (Dz. U. z 2019 r. poz.125, tj. Dz. U z 2023 r. poz. 206; zwana dalej: uDODO); ;
5. Ustawy z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych (Dz. U z 2001 r. poz. 1070, tj. Dz. U z 2023 poz. 217 z późn. zm.; zwane danej: PUSP);
6. Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. z 2023 r. poz. 913) z późn. zm.; zwana dalej: „UCyber”;
7. oraz innych przepisów w zakresie ochrony danych osobowych,

a także by spełniały wymagania bezpieczeństwa informacji i cyberbezpieczeństwa przewidziane dla tego typu systemów teleinformatycznych oraz uwzględniały zalecenia i rekomendacje wydawane przez właściwe w tym obszarze podmioty i instytucje.

§ 3
Cele przetwarzania

Poszczególni Współadministratorzy identyfikują następujące cele przetwarzania:

1. realizacja ustawowo określonych kompetencji w zakresie informatyzacji sądownictwa i współdziałanie w tym obszarze poprzez centralizację sądowych systemów teleinformatycznych i zasobów teleinformatycznych zmierzającą do budowy jednolitego scentralizowanego środowiska teleinformatycznego służącego do bezpiecznego przetwarzania danych, w tym w szczególności danych osobowych;
2. współdziałanie przy realizacji zadań i obowiązków dotyczących utrzymania i rozwoju sądowych systemów teleinformatycznych oraz infrastruktury niezbędnej do zapewnienia właściwego funkcjonowania tych systemów, w szczególności tych, o których mowa w Zarządzeniu;
3. współdziałanie w zakresie dostępu do danych, w tym danych osobowych, w zakresie niezbędnym do wykonywania czynności służbowych przez administratorów systemów teleinformatycznych;
4. współdziałanie w zakresie informatyzacji sądownictwa mające na celu optymalizację kosztów funkcjonowania resortu sprawiedliwości;
5. zapewnienie jednolitego poziomu świadczonych usług, obsługi sądowych systemów teleinformatycznych i zapewnienia bezpieczeństwa informacji i ochrony danych osobowych przetwarzanych w tych systemach;
6. dążenie do uregulowania zasad dotyczących funkcjonowania, utrzymania i korzystania z sądowych systemów teleinformatycznych, aby odpowiadały one w pełni przepisom o ochronie danych osobowych, a także by spełniały wymagania bezpieczeństwa informacji i cyberbezpieczeństwa przewidziane dla tego typu systemów oraz uwzględniały zalecenia i rekomendacje wydawane przez właściwe w tym obszarze podmioty i instytucje.

§ 4
Współadministratorzy

1. Na potrzeby niniejszego dokumentu identyfikuje się administratorów danych dokonujących:
    
   1. przetwarzania podstawowego lub merytorycznego (tzw. administratorzy merytoryczni) – realizowanego w oparciu o kompetencje regulowane właściwymi przepisami prawa przez poszczególne sądy z obszaru apelacji rzeszowskiej korzystające z sądowych systemów teleinformatycznych (np. sprawowanie wymiaru sprawiedliwości, działalność administracyjna, czynności kadrowo – finansowe, itp.) ;
   2. przetwarzania pomocniczego lub technicznego (tzw. administratorzy techniczni) – realizowanego przez Dyrektora Sądu Apelacyjnego w Rzeszowie w ramach ustawowych i powierzonych zadań związanych z informatyzacją sądownictwa lub obsługą informatyczną sądów; administrator techniczny realizuje zadania związane z informatyzacją sądownictwa, w tym zapewnia bezpieczne i zgodne z prawem przetwarzanie danych osobowych w sądowych systemach teleinformatycznych.
2. Administratorzy ci wspólnie identyfikowani są jako Współadministratorzy danych osobowych przetwarzanych w sądowych systemach teleinformatycznych.

§ 5
Sądowe systemy teleinformatyczne

1. Na potrzeby niniejszego dokumentu identyfikuje się sądowe systemy teleinformatyczne, dla których zastosowanie mają poczynione w niniejszym dokumencie wspólne uzgodnienia Współadministratorów:
    
   1. sądowe systemy teleinformatyczne o zasięgu ogólnokrajowym, wdrażane i utrzymywane przez Ministra Sprawiedliwości na podstawie art. 175da § 1 PUSP lub powierzone do utrzymania Dyrektorowi Sądu Apelacyjnego w Rzeszowie na podstawie art. 175da § 7 PUSP, udostępniane do korzystania wszystkim sądom powszechnym z obszaru apelacji rzeszowskiej (tzw. systemy centralne);
   2. sądowe systemy teleinformatyczne centralizowane na obszarze apelacji rzeszowskiej – utrzymywane, administrowane oraz zabezpieczane przy użyciu środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo w ustalony na obszarze apelacji rzeszowskiej sposób przez Dyrektora Sądu Apelacyjnego w Rzeszowie w oparciu o art. 31a § 1a PUSP;
   3. sądowe systemy teleinformatyczne lokalne, dla których określono, że Dyrektor Sądu Apelacyjnego w Rzeszowie zapewnia utrzymanie lub obsługę informatyczną w oparciu o art. 31a § 1a PUSP.
2. Administratorzy przetwarzający dane w sądowych systemach teleinformatycznych określonych w ust. 1 wspólnie identyfikowani są jako Współadministratorzy dla tych danych osobowych.
3. Strony współużytkują sądowe systemy teleinformatyczne. Systemy, o których mowa w ust. 1 pkt 1 zostały wskazane w załączniku nr 2 do niniejszego Porozumienia – „Wykaz sądowych systemów teleinformatycznych (systemy centralne)”. Systemy, o których mowa w ust. 1 pkt 2 i 3 zostały wskazane w załączniku nr 1 do „Deklaracji świadczenia usług IT w sądach apelacji rzeszowskiej”.

§ 6
Oświadczenia Współadministratorów

1. Współadministratorzy wspólnie ustalają cele oraz sposoby przetwarzania danych w sądowych systemach teleinformatycznych na zasadach współadministrowania w rozumieniu art. 26 RODO i art. 33 uDODO.
2. Strony oświadczają, że dołożą wszelkich starań, aby współpraca podjęta w ramach czynności regulowanych niniejszym dokumentem skutkowała podniesieniem poziomu bezpieczeństwa sądowych systemów teleinformatycznych i zgromadzonych w nich danych osobowych.
3. Każdy ze Współadministratorów wyznaczył inspektora ochrony danych osobowych, którego dane kontaktowe umieszczone są na stronach podmiotowych BIP Współadministratora.

§ 7
Opis przetwarzania oraz podział obowiązków pomiędzy Współadministratorów

1. Na warunkach określonych niniejszym dokumentem, Współadministratorzy przetwarzają dane osobowe wprowadzone do sądowych systemów teleinformatycznych.
2. Współadministratorzy wykonują prawa administratora danych w sądowych systemach teleinformatycznych w rozumieniu RODO tylko w zakresie operacji i czynności na danych osobowych, za które odpowiadają, zaś charakter i cel przetwarzania określony jest rolą, jaką Współadministratorom przyznaje się w sądowych systemach teleinformatycznych na potrzeby realizacji przypisanych zadań, tj. administratora merytorycznego lub administratora technicznego.
3. Współadministratorzy przy określaniu sposobów przetwarzania danych osobowych w sądowych systemach teleinformatycznych zobowiązani są do:
    
   1. wdrożenia i stosowania odpowiednich środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa danych osobowych we wdrażanych, utrzymywanych i użytkowanych sądowych systemach teleinformatycznych, spełniających wszystkie wymogi zapisów RODO, uDODO i pozostałych przepisów w zakresie ochrony danych osobowych, a także wymagania przewidziane dla bezpieczeństwa informacji i UCyber,
   2. zagwarantowania zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności sądowych systemów teleinformatycznych, a także zdolności do szybkiego przywrócenia dostępności danych osobowych w razie incydentu lub naruszenia ochrony danych osobowych,
   3. regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania, uwzględniając przy tym stan wiedzy technicznej, koszty oraz charakter, zakres, kontekst i cele przetwarzania danych osobowych oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze.
   4. wzajemnego, niezwłocznego informowania się o zidentyfikowanych ryzykach, bądź podatnościach mających wpływ na przetwarzanie danych w użytkowanych sądowych systemach teleinformatycznych.
4. Każdy ze Współadministratorów jest zobowiązany do wdrożenia środków organizacyjnych, a także mechanizmów uwierzytelniania oraz nadzoru działań w sądowych systemach teleinformatycznych, w szczególności przez:
    
   1. zabezpieczenie danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem RODO, zmianą, utratą, uszkodzeniem lub zniszczeniem;
   2. przeszkolenie w zakresie przepisów dot. ochrony danych osobowych przed dopuszczeniem do pracy każdej osoby, której właściwy Współadministrator nadaje uprawnienia dostępowe do danych osobowych;
   3. stosowanie procedur nadawania i odbierania uprawnień dostępowych, w tym zapewnienie, że dostęp do danych osobowych posiadają wyłącznie osoby upoważnione do ich przetwarzania;
   4. zapewnienie kontroli nad prawidłowością przetwarzania danych osobowych;
   5. dochowanie szczególnej staranności aby osoby upoważnione do przetwarzania danych osobowych zachowały te dane oraz sposoby ich zabezpieczenia w tajemnicy, również po zakończeniu powierzonych do realizacji czynności;
   6. prowadzenie dokumentacji opisującej sposób przetwarzania danych osobowych oraz zastosowanych środków technicznych i organizacyjnych zapewniających ochronę informacji w sądowych systemach teleinformatycznych.
5. Administrator techniczny odpowiada za zapewnienie odpowiednich obiektów, instalacji lub urządzeń infrastruktury telekomunikacyjnej będących na jego wyposażeniu wraz z odpowiednią przestrzenią dyskową (zapewnia w szczególności obszary opisane w Deklaracji świadczenia usług IT w sądach apelacji rzeszowskiej), a także odpowiednią obsługą administratorską gwarantującą zachowanie wszystkich funkcjonalności sądowych systemów teleinformatycznych oraz zapewniającą wydajność, bezpieczeństwo, dostępność, integralność i niezawodność.
6. W zakresie sądowych systemów teleinformatycznych, o których mowa w Zarządzeniu, za czynności opisane w ustępie powyżej odpowiada, zgodnie z Zarządzeniem:
    
   1. Minister Sprawiedliwości dla systemów centralnych, dla których w załączniku nr 2 do niniejszego Porozumienia został wskazany jako administrator techniczny, z wyłączeniem czynności administrowania systemem w przypadku tych systemów dla których w ww. załączniku jako odpowiedzialny za administrowanie wskazany został Sąd Apelacyjny w Rzeszowie ;
   2. Dyrektor Sądu Apelacyjnego w Rzeszowie dla systemów centralnych, dla których w załączniku nr 2 do niniejszego Porozumienia został wskazany jako administrator techniczny oraz dla systemów teleinformatycznych scentralizowanych w apelacji rzeszowskiej. Rodzaj i zakres czynności realizowanych w lokalnych systemach teleinformatycznych został określony w Deklaracji świadczenia usług IT w sądach apelacji rzeszowskiej stanowiącej załącznik nr 1 do niniejszego Porozumienia.
7. Dyrektor Sądu Apelacyjnego w Rzeszowie, któremu na podstawie Zarządzenia powierzono administrowanie w systemach centralnych uprawniony jest do inicjowania działań zmierzających do podnoszenia standardów bezpieczeństwa w tych systemach oraz dokumentowania tego procesu, ponadto zobowiązany jest do opracowywania, wdrażania, udostępniania i przechowywania dokumentacji bezpieczeństwa informacji związanej z administrowaniem systemem centralnym.
8. Dyrektorowi Sądu Apelacyjnego w Rzeszowie w odniesieniu do systemów centralizowanych na obszarze apelacji przysługują kompetencje analogiczne, jak opisane w ustępie powyżej. Dokumentacja ta opracowywana jest sukcesywnie i w zakresie uzasadnionym potrzebami, okolicznościami i warunkami organizacyjno-technicznymi.
9. Dyrektor Sądu Apelacyjnego w Rzeszowie odpowiedzialny za administrowanie systemami centralnymi wskazanymi w załączniku nr 2 do niniejszego Porozumienia zobowiązany jest uzupełnić dokumentację, o której mowa w ust. 7 w terminie 1 roku od daty wejścia w życie niniejszego Porozumienia.
10. Współadministratorzy danych, identyfikowani w procesach przetwarzania danych w sądowych systemach teleinformatycznych scentralizowanych na obszarze danej apelacji, uprawnieni są do powoływania zespołów administratorów, inspektorów ochrony danych oraz innych według identyfikowanych potrzeb i możliwości organizacyjnych.
11. Współadministratorzy realizują obowiązki wynikające z niniejszego dokumentu kierując się dokumentacją, o której mowa w ust. 7 i 8 oraz własną wewnętrzną dokumentacją, w tym politykami, procedurami regulującymi ochronę informacji i danych osobowych.
12. Współadministratorzy zapewniają, że wszyscy pracownicy są regularnie szkoleni z zakresu ochrony danych osobowych, w szczególności w zakresie procedur ich zabezpieczania i przetwarzania zgodnie z zapisami niniejszego dokumentu i regulacjami wewnętrznymi danego Współadministratora.
13. Zmiany wprowadzane w dokumentacji, o której mowa w ust. 7 i 8 poprzedza się w miarę możliwości konsultacjami z pozostałymi Współadministratorami, w szczególności jeśli te zmiany mogłyby wpłynąć na bezpieczeństwo wykonywanego przez nich przetwarzania danych osobowych, a także aby zapewnić spójność z obowiązującą u nich dokumentacją.

§ 8
Zachowanie poufności

1. Współadministratorzy zobowiązani są do zachowania w tajemnicy wszelkich informacji uzyskanych w związku z przetwarzaniem danych osobowych w sądowych systemach teleinformatycznych, oraz sposobów ich zabezpieczenia i bezpieczeństwa związanych z nimi pozostałych usług.
2. Współadministratorzy są odpowiedzialni za zobowiązanie swoich pracowników, współpracowników, przedstawicieli lub podwykonawców do przestrzegania zasad poufności określonych w niniejszym dokumencie.
3. Obowiązki Współadministratorów do zachowania poufności danych osobowych, sposobów ich zabezpieczenia i bezpieczeństwa związanych z nimi usług pozostają w mocy bezterminowo.

§ 9
Obsługa incydentów i naruszeń ochrony danych przetwarzanych w sądowych systemach teleinformatycznych

/…/

§ 10
Upoważnienia do przetwarzania danych osobowych w sądowych systemach teleinformatycznych

/…/

§ 11
Obowiązki informacyjne Współadministratorów

1. Administrator merytoryczny odpowiada za zgodne z prawem zbieranie i utrwalanie danych osobowych, a także wykonywanie dalszych operacji na danych osobowych swojej jednostki wprowadzonych do sądowych systemów teleinformatycznych. Administrator merytoryczny zarządza danymi osobowymi swojej jednostki wprowadzonymi do sądowych systemów teleinformatycznych, w tym odpowiada za realizację zasady minimalizacji tych danych, ograniczenia przetwarzania oraz za ich prawidłowość i rzetelność.
2. Administrator merytoryczny odpowiada za realizację obowiązków informacyjnych przewidzianych w art. 13 i 14 RODO w odniesieniu do podmiotów danych, których dane wprowadza do sądowych systemów teleinformatycznych.
3. Na administratorze merytorycznym spoczywa obowiązek odpowiadania na żądania osoby, której dane wprowadza i przetwarza w sądowych systemach teleinformatycznych w zakresie wykonywania jej praw określonych w rozdziale III RODO, a administrator techniczny zobowiązuje się udzielać pomocy administratorowi merytorycznemu przy realizacji tych praw w sytuacji, gdy pomoc taka okaże się niezbędna.
4. Współadministratorzy będą współpracowali przy zapewnieniu realizacji obowiązków wynikających z art. 32–36 RODO.
5. Współadministratorzy zobowiązują się udzielać sobie nawzajem wszelkich informacji niezbędnych dla wykazania wywiązania się z obowiązków określonych w RODO, uDODO, a także zobowiązani są, bez zbędnej zwłoki, powiadomić właściwych pozostałych Współadministratorów o wszelkich skargach, pismach, kontrolach organu nadzorczego, o postępowaniach sądowych i administracyjnych pozostających w związku z realizacją zasad współadministrwania oraz udostępnić na wniosek drugiego Współadministratora wszelką dokumentację z tym związaną, o ile nie istnieją ku temu przeszkody natury prawnej.
6. Każdy ze Współadministratorów zobowiązuje się do współpracy i wzajemnego wsparcia w razie postępowania przed organem nadzorczym lub sporu sądowego z podmiotem danych, którego dane przetwarzane są w oparciu o zasady współadministrowania.
7. Każdy ze Współadministratorów odpowiada za szkody spowodowane swoim działaniem w związku z niedopełnieniem obowiązków, które RODO, uDODO nakłada bezpośrednio
   na administratora, jak i za szkody spowodowane niezastosowaniem adekwatnych środków bezpieczeństwa.
8. Każdy ze Współadministratorów odpowiada za działanie i zaniechanie osób przy pomocy których, będzie realizował przetwarzania danych osobowych w sądowych systemach teleinformatycznych, jak za działanie lub zaniechanie własne.

§ 12
Powierzenie przetwarzania danych osobowych

/…/

§ 13

1. Postanowienia wyżej wskazane wygasają w przypadku i w zakresie w jakim realizacja jego postanowień zostanie odpowiednio uregulowana w prawie krajowym lub unijnym.
2. Niniejsze Porozumienie w zakresie zapisów wyżej wskazanych zastępuje wszelkie umowy powierzenia przetwarzania danych osobowych zawarte miedzy Współadministratorami, które z dniem wejścia w życie niniejszego Porozumienia przestają obowiązywać. Niniejsze zasady zobowiązują do przeglądu wszelkich porozumień i innych uzgodnień w zakresie przetwarzania danych osobowych w sądowych systemach teleinformatycznych i ich dostosowania do obowiązujących przepisów prawa powszechnego i niniejszych Zasad.
3. Każdy ze Współadministratorów ma prawo zgłoszenia propozycji zmian postanowień zawartych w niniejszym dokumencie. Wymagane jest aby projekt zmian poprzedzony był konsultacjami z pozostałymi Współadministratorami. Konsultacje przeprowadza Współadministrator wnioskujący o zmianę. Uzgodnioną zmianę wnioskujący przekazuje - za pośrednictwem Dyrektora Sądu Apelacyjnego w Rzeszowie - Ministrowi Sprawiedliwości celem implementacji.

§ 14
Postanowienia końcowe

1. Niniejsze Porozumienie zaczyna obowiązywać z dniem 1 stycznia 2024 r. i jest zawarte na czas nieoznaczony, z zastrzeżeniem, że przepisy Porozumienia zawarte w §5 ust. 1 pkt 1, a wynikające z wejścia w życie art. 2 pkt 15 ustawy zmieniającej, wchodzą w życie z dniem 14 marca 2024 r .
2. Integralną część niniejszego Porozumienia stanowią załączniki. Zmiana treści załączników nie stanowi zamiany postanowień niniejszego Porozumienia i wymaga jedynie poinformowanie wszystkich Stron.
3. Wszelkie zmiany niniejszego Porozumienia, wymagają zachowania formy pisemnej lub elektronicznej pod rygorem nieważności.
4. W sytuacji sporządzenia Porozumienia w formie pisemnej poprzez złożenie własnoręcznych podpisów pod Porozumieniem sporządza się je po jednym egzemplarzu dla każdej ze Stron.