Rozdział 3

Administrowanie informacjami przetwarzanymi w zbiorach KSIP

§ 6. 1. Zadania oraz związane z tym obowiązki i uprawnienia administratora wynikające z przepisów ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz rozporządzenia PE i Rady (UE) 2016/679, zwane dalej „administrowaniem”, w imieniu Komendanta Głównego Policji w zakresie określonym w niniejszym zarządzeniu realizują:

1) dyrektor biura KGP właściwego w sprawach wywiadu kryminalnego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w zbiorze Osoba, zbiorze Fakt z wyjątkiem Biuletynu KSIP, zbiorze Rzecz, zbiorze Podmiot, zbiorze Pokrzywdzeni oraz rejestrze wykroczeń;

2) dyrektor biura KGP właściwego w sprawach sztabowych – w odniesieniu do części informacji przetwarzanych w zbiorze Fakt, tworzących Biuletyn KSIP oraz w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w PRIM;

3) dyrektor biura KGP właściwego w sprawach prewencji – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w rejestrze „Broń” oraz w rejestrze wykroczeń;

4) dyrektor biura KGP właściwego w sprawach ruchu drogowego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w SEWiK oraz w Ewidencji;

5) dyrektor biura KGP właściwego w sprawach łączności i informatyki – w odniesieniu do spraw technicznych dotyczących działania KSIP, w tym w zakresie utrzymania policyjnych zbiorów danych prowadzonych w systemach teleinformatycznych KSIP, obsługi technicznej tych zbiorów oraz zapewnienia pełnej funkcjonalności i sprawności technicznej systemów teleinformatycznych KSIP, w tym funkcjonalności, aplikacji, mechanizmów i narzędzi przeznaczonych do przetwarzania informacji w tych systemach oraz do dostępu do zbiorów danych KSIP i zbiorów danych, o których mowa w § 4 ust. 1 i 2.

2. Dyrektorzy, o których mowa w ust. 1 pkt 1-4, zarządzają informacjami, w tym danymi osobowymi, przetwarzanymi w administrowanych przez nich zbiorach danych i w tym zakresie:

1) realizują odpowiednio zadania określone w przepisach art. 13–21, art. 31 ust. 1-3 i 7, art. 32, art. 39-42 i art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w przepisach art. 5, art. 19, art. 24, art. 32 i art. 33 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by ich przetwarzanie było zgodne z przepisami prawa, w tym w szczególności z ustawą o Policji oraz przepisami określonymi w pkt 1, a także w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych;

3) prowadzą wykaz kategorii czynności przetwarzania w rozumieniu art. 35 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz rejestr czynności przetwarzania w rozumieniu art. 30 rozporządzenia PE i Rady (UE) 2016/679;

4) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu i wdrożeniu dokumentacji, o której mowa w ust. 4 pkt 3;

5) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, w odniesieniu do danych osobowych przetwarzanych w administrowanych przez nich zbiorach danych KSIP oraz w zbiorach danych, o których mowa w § 4 ust. 1 i 2, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, art. 33 rozporządzenia PE i Rady (UE) 2016/679 oraz pkt 6 i 7;

6) w przypadku naruszenia ochrony danych osobowych w KSIP, którego skutkiem jest prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, bez zbędnej zwłoki, nie później jednak niż w ciągu 72 godzin po stwierdzeniu tego naruszenia, zgłaszają je Prezesowi Urzędu Ochrony Danych Osobowych oraz przekazują jeden egzemplarz zgłoszenia naruszenia ochrony danych osobowych w KSIP inspektorowi ochrony danych w Komendzie Głównej Policji, wraz z dokumentacją dotyczącą naruszenia, którego dotyczy zgłoszenie;

7) zawiadamiają osobę, której dane dotyczą o naruszeniu ochrony danych osobowych w KSIP, zgodnie z art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679 w przypadku:

a) stwierdzenia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych w administrowanych przez nich zbiorach danych KSIP oraz w zbiorach danych, o których mowa w § 4 ust. 1 i 2,

b) otrzymania, zgodnie z ust. 3 pkt 6 lub ust. 4 pkt 6, informacji o wystąpieniu naruszenia, o którym mowa w lit. a, wraz z dokumentacją dotyczącą tego naruszenia;

8) mogą dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych oraz zawiadomienia, o którym mowa w pkt 7, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia oraz zawiadomienia pod warunkiem przekazania temu inspektorowi zgłoszenia oraz zawiadomienia wraz z niezbędną dokumentacją dotyczącą naruszenia, którego dotyczy zgłoszenie oraz zawiadomienie nie później niż w terminie 48 godzin od stwierdzenia wystąpienia naruszenia, a jeżeli termin 72 godzin, o którym mowa w art. 44 ust. 1 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w art. 33 ust. 1 rozporządzenia PE i Rady (UE) 2016/679 na zgłoszenie naruszenia ochrony danych osobowych w KSIP już upłynął, również wraz z dokumentacją dotyczącą wyjaśnienia przyczyn opóźnienia dokonania zgłoszenia i zawiadomienia.

3. Dyrektorzy biur KGP, Dyrektor CLKP, Komendant CBŚP, Komendant BSWP, Komendant CBZC, Dowódca BOA, komendanci wojewódzcy Policji (Komendant Stołeczny Policji), komendanci powiatowi (miejscy, rejonowi) Policji, komendanci komisariatów Policji, Komendant-Rektor Wyższej Szkoły Policji w Szczytnie oraz komendanci szkół policyjnych zgodnie z ich właściwością terytorialną i rzeczową, określoną w szczególności w art. 5a-5e, art. 6, 6f i 6g ustawy o Policji, w odniesieniu do przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, w podległych im jednostkach i komórkach organizacyjnych Policji: [6]

1) realizują odpowiednio zadania określone w przepisach art. 13–21, art. 31 ust. 1-3 i 7, art. 32, art. 39-42 i art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w przepisach art. 5, art. 19, art. 24, art. 32 i art. 33 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP, było zgodne z przepisami prawa, w tym w szczególności z ustawą o Policji oraz przepisami określonymi w pkt 1, a także w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu dokumentacji, o której mowa w ust. 4 pkt 3, oraz we współpracy z kierownikami komórek organizacyjnych właściwych w sprawach łączności i informatyki wdrażają tę dokumentację w podległych im jednostkach i komórkach organizacyjnych Policji;

4) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, art. 33 rozporządzenia PE i Rady (UE) 2016/679 oraz pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP, wraz ze zgłoszeniem naruszenia Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 33 rozporządzenia PE i Rady (UE) 2016/679, przekazują po jednym egzemplarzu tego zgłoszenia:

a) inspektorowi ochrony danych w Komendzie Głównej Policji wraz z dokumentacją dotyczącą naruszenia ochrony danych osobowych w KSIP, którego dotyczy zgłoszenie,

b) dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia, wraz z dokumentacją dotyczącą naruszenia, przekazują dyrektorom, o których mowa w ust. 1 pkt 1- 4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

7) mogą dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych oraz zawiadomienia, o którym mowa w ust. 2 pkt 7, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia oraz zawiadomienia na warunkach określonych w ust. 2 pkt 8.

4. Dyrektor biura KGP właściwego w sprawach łączności i informatyki:

1) realizuje odpowiednio zadania określone w przepisach prawa, w szczególności w art. 31 ust. 1 pkt 1 i 5, art. 32, art. 39 i art. 40 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 5 ust. 1 lit. f, art. 24 i art. 32 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmuje stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie stosowanych w systemach teleinformatycznych KSIP środków technicznych i organizacyjnych było zgodne z przepisami, o których mowa w pkt 1;

3) opracowuje i wdraża dokumentację, o której mowa w art. 31 ust. 4 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 24 ust. 2 rozporządzenia PE i Rady (UE) 2016/679, dotyczącą przetwarzania informacji, w tym danych osobowych, w KSIP, w tym w systemach teleinformatycznych KSIP, dla całości informacji, w tym danych osobowych, przetwarzanych w KSIP i dostępnych poprzez te systemy, we współpracy z dyrektorami, o których mowa w ust. 1 pkt 1-4, kierownikami, o których mowa w ust. 3 oraz inspektorem ochrony danych w KGP, zgodnie z przepisami ust. 2 pkt 4, ust. 3 pkt 3 oraz ust. 6 pkt 3;

4) dokonuje oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmuje stosowne działania zgodnie z pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP, wraz ze zgłoszeniem naruszenia Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 33 rozporządzenia PE i Rady (UE) 2016/679, przekazuje po jednym egzemplarzu tego zgłoszenia:

a) inspektorowi ochrony danych w Komendzie Głównej Policji wraz z dokumentacją dotyczącą naruszenia ochrony danych osobowych w KSIP, którego dotyczy zgłoszenie,

b) dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia, wraz z dokumentacją dotyczącą naruszenia, przekazuje dyrektorom, o których mowa w ust. 1 pkt 1- 4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

7) może dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia na warunkach określonych w ust. 2 pkt 8.

5. Kierownicy komórek organizacyjnych właściwych w sprawach łączności i informatyki w jednostkach organizacyjnych Policji, zgodnie z właściwością terytorialną i rzeczową kierowników jednostek organizacyjnych Policji, którym podlegają:

1) realizują odpowiednio zadania określone w przepisach prawa, w szczególności w art. 31 ust. 1 pkt 1 i 5 oraz ust. 4, art. 32, art. 39 i art. 40 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 5 ust. 1 lit. f, art. 24 i art. 32 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie stosowanych w systemach teleinformatycznych KSIP środków technicznych i organizacyjnych było zgodne z przepisami, o których mowa w pkt 1;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu dokumentacji, o której mowa w ust. 4 pkt 3, oraz wdrażają ją w jednostkach organizacyjnych Policji, zgodnie z właściwością terytorialną i rzeczową tych jednostek w zakresie realizowanych zadań Policji;

4) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP przekazują wypełnione zgłoszenie naruszenia ochrony danych osobowych w zakresie informacji, o których mowa w art. 44 ust. 4 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w art. 33 ust. 3 rozporządzenia PE i Rady (UE) 2016/679, kierownikom jednostek organizacyjnych Policji, o których mowa w ust. 3, zgodnie z zasadami podległości służbowej, celem dokonania przez nich zgłoszenia naruszenia w sposób określony w przepisach ust. 3;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia wraz z dokumentacją dotyczącą naruszenia przekazują dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP.

6. Inspektor ochrony danych w Komendzie Głównej Policji oraz osoba zastępująca inspektora w zakresie przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, z uwzględnieniem kompetencji dyrektorów, o których mowa w ust. 1, określonych w niniejszym zarządzeniu w zakresie administrowania informacjami, w tym danymi osobowymi w KSIP:

1) realizuje zadania określone w art. 47 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 39 rozporządzenia PE i Rady (UE) 2016/679;

2) dokonuje zgłoszenia naruszenia ochrony danych osobowych w KSIP oraz zawiadomienia, o którym mowa w ust. 2 pkt 7, w przypadkach określonych w ust. 2 pkt 8, ust. 3 pkt 7 i ust. 4 pkt 7;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczy w opracowaniu i wdrożeniu dokumentacji, o której mowa w ust. 4 pkt 3;

4) realizuje inne zadania powierzone przez administratora zgodnie z art. 47 ust. 3 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 38 ust. 6 rozporządzenia PE i Rady (UE) 2016/679.

7. Kierownicy jednostek organizacyjnych Policji, o których mowa w ust. 3, w zakresie przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, w podległych im jednostkach organizacyjnych Policji mogą powierzyć wyznaczonym przez nich w tych jednostkach inspektorom ochrony danych oraz osobom zastępującym inspektorów wykonywanie zadań, o których mowa w art. 47 ust. 3 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 38 ust. 6 rozporządzenia PE i Rady (UE) 2016/679. Powierzenie to nie może dotyczyć określonych w niniejszym zarządzeniu zadań, kompetencji, upoważnień i uprawnień kierowników jednostek i komórek organizacyjnych Policji, a także zadań inspektora ochrony danych w Komendzie Głównej Policji określonych w ust. 6 pkt 2 i 3.

8. Kierownicy jednostek i komórek organizacyjnych Policji są obowiązani do współpracy i udzielania wzajemnej niezbędnej pomocy w realizacji zadań i obowiązków, o których mowa w ust. 1- 7, w szczególności gdy te zadania lub obowiązki dotyczą właściwości różnych jednostek lub komórek organizacyjnych Policji.

Rozdział 3

Administrowanie informacjami przetwarzanymi w zbiorach KSIP

§ 6. 1. Zadania oraz związane z tym obowiązki i uprawnienia administratora wynikające z przepisów ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz rozporządzenia PE i Rady (UE) 2016/679, zwane dalej „administrowaniem”, w imieniu Komendanta Głównego Policji w zakresie określonym w niniejszym zarządzeniu realizują:

1) dyrektor biura KGP właściwego w sprawach wywiadu kryminalnego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w zbiorze Osoba, zbiorze Fakt z wyjątkiem Biuletynu KSIP, zbiorze Rzecz, zbiorze Podmiot, zbiorze Pokrzywdzeni oraz rejestrze wykroczeń;

2) dyrektor biura KGP właściwego w sprawach sztabowych – w odniesieniu do części informacji przetwarzanych w zbiorze Fakt, tworzących Biuletyn KSIP oraz w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w PRIM;

3) dyrektor biura KGP właściwego w sprawach prewencji – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w rejestrze „Broń” oraz w rejestrze wykroczeń;

4) dyrektor biura KGP właściwego w sprawach ruchu drogowego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w SEWiK oraz w Ewidencji;

5) dyrektor biura KGP właściwego w sprawach łączności i informatyki – w odniesieniu do spraw technicznych dotyczących działania KSIP, w tym w zakresie utrzymania policyjnych zbiorów danych prowadzonych w systemach teleinformatycznych KSIP, obsługi technicznej tych zbiorów oraz zapewnienia pełnej funkcjonalności i sprawności technicznej systemów teleinformatycznych KSIP, w tym funkcjonalności, aplikacji, mechanizmów i narzędzi przeznaczonych do przetwarzania informacji w tych systemach oraz do dostępu do zbiorów danych KSIP i zbiorów danych, o których mowa w § 4 ust. 1 i 2.

2. [16] Dyrektorzy, o których mowa w ust. 1 pkt 1-4, zarządzają informacjami, w tym danymi osobowymi, przetwarzanymi w administrowanych przez nich zbiorach danych i w tym zakresie:

1) realizują odpowiednio zadania określone w przepisach art. 13–21, art. 31 ust. 1-3 i 7, art. 32, art. 39-42 i art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w przepisach art. 5, art. 19, art. 24, art. 32 i art. 33 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by ich przetwarzanie było zgodne z przepisami prawa, w tym w szczególności z ustawą o Policji oraz przepisami określonymi w pkt 1, a także w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych;

3) prowadzą wykaz kategorii czynności przetwarzania w rozumieniu art. 35 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz rejestr czynności przetwarzania w rozumieniu art. 30 rozporządzenia PE i Rady (UE) 2016/679;

4) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu i wdrożeniu dokumentacji, o której mowa w ust. 4 pkt 3;

5) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, w odniesieniu do danych osobowych przetwarzanych w administrowanych przez nich zbiorach danych KSIP oraz w zbiorach danych, o których mowa w § 4 ust. 1 i 2, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, art. 33 rozporządzenia PE i Rady (UE) 2016/679 oraz pkt 6 i 7;

6) w przypadku naruszenia ochrony danych osobowych w KSIP, którego skutkiem jest prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, bez zbędnej zwłoki, nie później jednak niż w ciągu 72 godzin po stwierdzeniu tego naruszenia, zgłaszają je Prezesowi Urzędu Ochrony Danych Osobowych oraz przekazują jeden egzemplarz zgłoszenia naruszenia ochrony danych osobowych w KSIP inspektorowi ochrony danych w Komendzie Głównej Policji, wraz z dokumentacją dotyczącą naruszenia, którego dotyczy zgłoszenie;

7) zawiadamiają osobę, której dane dotyczą o naruszeniu ochrony danych osobowych w KSIP, zgodnie z art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679 w przypadku:

a) stwierdzenia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych w administrowanych przez nich zbiorach danych KSIP oraz w zbiorach danych, o których mowa w § 4 ust. 1 i 2,

b) otrzymania, zgodnie z ust. 3 pkt 6 lub ust. 4 pkt 6, informacji o wystąpieniu naruszenia, o którym mowa w lit. a, wraz z dokumentacją dotyczącą tego naruszenia;

8) mogą dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych oraz zawiadomienia, o którym mowa w pkt 7, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia oraz zawiadomienia pod warunkiem przekazania temu inspektorowi zgłoszenia oraz zawiadomienia wraz z niezbędną dokumentacją dotyczącą naruszenia, którego dotyczy zgłoszenie oraz zawiadomienie nie później niż w terminie 48 godzin od stwierdzenia wystąpienia naruszenia, a jeżeli termin 72 godzin, o którym mowa w art. 44 ust. 1 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w art. 33 ust. 1 rozporządzenia PE i Rady (UE) 2016/679 na zgłoszenie naruszenia ochrony danych osobowych w KSIP już upłynął, również wraz z dokumentacją dotyczącą wyjaśnienia przyczyn opóźnienia dokonania zgłoszenia i zawiadomienia.

3. [17] Dyrektorzy biur KGP, Dyrektor CLKP, Komendant CBŚP, Komendant BSWP, Dowódca BOA, komendanci wojewódzcy Policji (Komendant Stołeczny Policji), komendanci powiatowi (miejscy, rejonowi) Policji, komendanci komisariatów Policji, Komendant – Rektor Wyższej Szkoły Policji w Szczytnie oraz komendanci szkół policyjnych zgodnie z ich właściwością terytorialną i rzeczową, określoną w szczególności w art. 5a-5c, art. 6, 6f i 6g ustawy o Policji, w odniesieniu do przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, w podległych im jednostkach i komórkach organizacyjnych Policji:

1) realizują odpowiednio zadania określone w przepisach art. 13–21, art. 31 ust. 1-3 i 7, art. 32, art. 39-42 i art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w przepisach art. 5, art. 19, art. 24, art. 32 i art. 33 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP, było zgodne z przepisami prawa, w tym w szczególności z ustawą o Policji oraz przepisami określonymi w pkt 1, a także w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu dokumentacji, o której mowa w ust. 4 pkt 3, oraz we współpracy z kierownikami komórek organizacyjnych właściwych w sprawach łączności i informatyki wdrażają tę dokumentację w podległych im jednostkach i komórkach organizacyjnych Policji;

4) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, art. 33 rozporządzenia PE i Rady (UE) 2016/679 oraz pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP, wraz ze zgłoszeniem naruszenia Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 33 rozporządzenia PE i Rady (UE) 2016/679, przekazują po jednym egzemplarzu tego zgłoszenia:

a) inspektorowi ochrony danych w Komendzie Głównej Policji wraz z dokumentacją dotyczącą naruszenia ochrony danych osobowych w KSIP, którego dotyczy zgłoszenie,

b) dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia, wraz z dokumentacją dotyczącą naruszenia, przekazują dyrektorom, o których mowa w ust. 1 pkt 1- 4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

7) mogą dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych oraz zawiadomienia, o którym mowa w ust. 2 pkt 7, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia oraz zawiadomienia na warunkach określonych w ust. 2 pkt 8.

4. [18] Dyrektor biura KGP właściwego w sprawach łączności i informatyki:

1) realizuje odpowiednio zadania określone w przepisach prawa, w szczególności w art. 31 ust. 1 pkt 1 i 5, art. 32, art. 39 i art. 40 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 5 ust. 1 lit. f, art. 24 i art. 32 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmuje stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie stosowanych w systemach teleinformatycznych KSIP środków technicznych i organizacyjnych było zgodne z przepisami, o których mowa w pkt 1;

3) opracowuje i wdraża dokumentację, o której mowa w art. 31 ust. 4 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 24 ust. 2 rozporządzenia PE i Rady (UE) 2016/679, dotyczącą przetwarzania informacji, w tym danych osobowych, w KSIP, w tym w systemach teleinformatycznych KSIP, dla całości informacji, w tym danych osobowych, przetwarzanych w KSIP i dostępnych poprzez te systemy, we współpracy z dyrektorami, o których mowa w ust. 1 pkt 1-4, kierownikami, o których mowa w ust. 3 oraz inspektorem ochrony danych w KGP, zgodnie z przepisami ust. 2 pkt 4, ust. 3 pkt 3 oraz ust. 6 pkt 3;

4) dokonuje oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmuje stosowne działania zgodnie z pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP, wraz ze zgłoszeniem naruszenia Prezesowi Urzędu Ochrony Danych Osobowych, zgodnie z art. 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 33 rozporządzenia PE i Rady (UE) 2016/679, przekazuje po jednym egzemplarzu tego zgłoszenia:

a) inspektorowi ochrony danych w Komendzie Głównej Policji wraz z dokumentacją dotyczącą naruszenia ochrony danych osobowych w KSIP, którego dotyczy zgłoszenie,

b) dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia, wraz z dokumentacją dotyczącą naruszenia, przekazuje dyrektorom, o których mowa w ust. 1 pkt 1- 4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP;

7) może dokonywać zgłoszenia naruszenia ochrony danych osobowych w KSIP Prezesowi Urzędu Ochrony Danych Osobowych, za pośrednictwem inspektora ochrony danych osobowych w Komendzie Głównej Policji oraz występować do tego inspektora o dokonanie takiego zgłoszenia na warunkach określonych w ust. 2 pkt 8.

5. [19] Kierownicy komórek organizacyjnych właściwych w sprawach łączności i informatyki w jednostkach organizacyjnych Policji, zgodnie z właściwością terytorialną i rzeczową kierowników jednostek organizacyjnych Policji, którym podlegają:

1) realizują odpowiednio zadania określone w przepisach prawa, w szczególności w art. 31 ust. 1 pkt 1 i 5 oraz ust. 4, art. 32, art. 39 i art. 40 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 5 ust. 1 lit. f, art. 24 i art. 32 rozporządzenia PE i Rady (UE) 2016/679, w tym poprzez zapewnienie stosowania niniejszego zarządzenia;

2) podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie stosowanych w systemach teleinformatycznych KSIP środków technicznych i organizacyjnych było zgodne z przepisami, o których mowa w pkt 1;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczą w opracowaniu dokumentacji, o której mowa w ust. 4 pkt 3, oraz wdrażają ją w jednostkach organizacyjnych Policji, zgodnie z właściwością terytorialną i rzeczową tych jednostek w zakresie realizowanych zadań Policji;

4) dokonują oceny ryzyka naruszenia praw lub wolności osób fizycznych w przypadku stwierdzenia wystąpienia naruszenia ochrony danych osobowych w KSIP lub uzyskania informacji o takim naruszeniu, a także na podstawie dokonanej oceny, w zależności od jej wyników, podejmują stosowne działania zgodnie z pkt 5 i 6;

5) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP przekazują wypełnione zgłoszenie naruszenia ochrony danych osobowych w zakresie informacji, o których mowa w art. 44 ust. 4 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz w art. 33 ust. 3 rozporządzenia PE i Rady (UE) 2016/679, kierownikom jednostek organizacyjnych Policji, o których mowa w ust. 3, zgodnie z zasadami podległości służbowej, celem dokonania przez nich zgłoszenia naruszenia w sposób określony w przepisach ust. 3;

6) w przypadku wystąpienia naruszenia ochrony danych osobowych w KSIP powodującego wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w rozumieniu art. 45 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 34 rozporządzenia PE i Rady (UE) 2016/679, informacje o wystąpieniu takiego naruszenia wraz z dokumentacją dotyczącą naruszenia przekazują dyrektorom, o których mowa w ust. 1 pkt 1-4, zgodnie z właściwością określoną w tym przepisie w zakresie administrowania informacjami, w tym danymi osobowymi, przetwarzanymi w zbiorach danych KSIP.

6. [20] Inspektor ochrony danych w Komendzie Głównej Policji oraz osoba zastępująca inspektora w zakresie przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, z uwzględnieniem kompetencji dyrektorów, o których mowa w ust. 1, określonych w niniejszym zarządzeniu w zakresie administrowania informacjami, w tym danymi osobowymi w KSIP:

1) realizuje zadania określone w art. 47 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 39 rozporządzenia PE i Rady (UE) 2016/679;

2) dokonuje zgłoszenia naruszenia ochrony danych osobowych w KSIP oraz zawiadomienia, o którym mowa w ust. 2 pkt 7, w przypadkach określonych w ust. 2 pkt 8, ust. 3 pkt 7 i ust. 4 pkt 7;

3) we współpracy z dyrektorem biura KGP właściwego w sprawach łączności i informatyki uczestniczy w opracowaniu i wdrożeniu dokumentacji, o której mowa w ust. 4 pkt 3;

4) realizuje inne zadania powierzone przez administratora zgodnie z art. 47 ust. 3 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 38 ust. 6 rozporządzenia PE i Rady (UE) 2016/679.

7. [21] Kierownicy jednostek organizacyjnych Policji, o których mowa w ust. 3, w zakresie przetwarzania informacji, w tym danych osobowych, w zbiorach danych KSIP oraz zbiorach danych, o których mowa w § 4 ust. 1 i 2, w podległych im jednostkach organizacyjnych Policji mogą powierzyć wyznaczonym przez nich w tych jednostkach inspektorom ochrony danych oraz osobom zastępującym inspektorów wykonywanie zadań, o których mowa w art. 47 ust. 3 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz art. 38 ust. 6 rozporządzenia PE i Rady (UE) 2016/679. Powierzenie to nie może dotyczyć określonych w niniejszym zarządzeniu zadań, kompetencji, upoważnień i uprawnień kierowników jednostek i komórek organizacyjnych Policji, a także zadań inspektora ochrony danych w Komendzie Głównej Policji określonych w ust. 6 pkt 2 i 3.

8. [22] Kierownicy jednostek i komórek organizacyjnych Policji są obowiązani do współpracy i udzielania wzajemnej niezbędnej pomocy w realizacji zadań i obowiązków, o których mowa w ust. 1- 7, w szczególności gdy te zadania lub obowiązki dotyczą właściwości różnych jednostek lub komórek organizacyjnych Policji.

Rozdział 3

Administrowanie informacjami przetwarzanymi w zbiorach KSIP

§ 6. 1. Zadania oraz związane z tym obowiązki i uprawnienia administratora wynikające z przepisów ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz rozporządzenia PE i Rady (UE) 2016/679, zwane dalej „administrowaniem”, w imieniu Komendanta Głównego Policji w zakresie określonym w niniejszym zarządzeniu realizują:

1) dyrektor biura KGP właściwego w sprawach wywiadu kryminalnego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w zbiorze Osoba, zbiorze Fakt z wyjątkiem Biuletynu KSIP, zbiorze Rzecz, zbiorze Podmiot, zbiorze Pokrzywdzeni oraz rejestrze wykroczeń;

2) dyrektor biura KGP właściwego w sprawach sztabowych – w odniesieniu do części informacji przetwarzanych w zbiorze Fakt, tworzących Biuletyn KSIP oraz w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w PRIM;

3) dyrektor biura KGP właściwego w sprawach prewencji – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w rejestrze „Broń” oraz w rejestrze wykroczeń;

4) dyrektor biura KGP właściwego w sprawach ruchu drogowego – w odniesieniu do informacji, w tym danych osobowych, przetwarzanych w SEWiK oraz w Ewidencji;

5) dyrektor biura KGP właściwego w sprawach łączności i informatyki – w odniesieniu do spraw technicznych dotyczących działania KSIP, w tym w zakresie utrzymania policyjnych zbiorów danych prowadzonych w systemach teleinformatycznych KSIP, obsługi technicznej tych zbiorów oraz zapewnienia pełnej funkcjonalności i sprawności technicznej systemów teleinformatycznych KSIP, w tym funkcjonalności, aplikacji, mechanizmów i narzędzi przeznaczonych do przetwarzania informacji w tych systemach oraz do dostępu do zbiorów danych KSIP i zbiorów danych, o których mowa w § 4 ust. 1 i 2.

2. Dyrektorzy, o których mowa w ust. 1 pkt 1–4, zarządzają informacjami, w tym danymi osobowymi, przetwarzanymi w administrowanych przez nich zbiorach danych i w tym zakresie podejmują stosowne działania zapewniające by ich przetwarzanie było zgodne z ustawą ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, w tym odpowiednio z przepisami art. 13–21, art. 31 ust. 1–3 i ust. 7, 32, 35, 39–42 i 44 oraz z rozporządzeniem PE i Rady (UE) 2016/679, w tym odpowiednio z art. 5, 19, 24, 30, 32 i 33 oraz w tym zakresie w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych.

3. Dyrektorzy biur KGP, Dyrektor CLKP, Komendant CBŚP, Komendant BSWP, Dowódca BOA Komendanci wojewódzcy Policji (Komendant Stołeczny Policji), komendanci powiatowi (miejscy, rejonowi) Policji oraz komendanci komisariatów Policji podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie zbiorów danych KSIP oraz zbiorów danych, o których mowa w § 4 ust. 1 i 2, w podległych im komórkach organizacyjnych było zgodne w szczególności z art. 13–21, 31 ust. 1–3 i ust. 7, art. 32, 39–42 i 44 ustawy ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości oraz z art. 5, 19, 24, 32 i 33 rozporządzenia PE i Rady (UE) 2016/679, a także w tym zakresie w szczególności podejmują działania zapewniające legalność, adekwatność, prawidłowość, aktualność, integralność i poufność przetwarzania tych informacji, w tym danych osobowych, w KSIP.

4. Dyrektor biura KGP właściwego w sprawach łączności i informatyki oraz kierownicy komórek organizacyjnych właściwych w sprawach łączności i informatyki w jednostkach organizacyjnych Policji podejmują stosowne działania zapewniające by przetwarzanie informacji, w tym danych osobowych, w KSIP w zakresie stosowanych w systemach teleinformatycznych KSIP środków technicznych i organizacyjnych było zgodne z ustawą ODO przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, w szczególności z przepisami art. 31 ust. 1 pkt 1 i 5 oraz ust. 4, art. 32, 39 i 40 oraz z rozporządzeniem PE i Rady (UE) 2016/679, w szczególności z art. 5 ust. 1 lit. f, art. 24 i 32.