Integritetspolicy för företaget Print Union Sp. z o.o. ("Print Union AB")

Målet med integritetspolicyn, här kallad Policyn, är att införa och upprätthålla den skyddsnivå som krävs enligt bestämmelserna i Europaparlamentets och Rådets förordning (EU) 2016/679 av den 27 april 2016 samt lagen om skydd av personuppgifter (2018 års författningssamling, post 1000) med avseende på skyddet av personuppgifter vid behandling av personuppgifter hos företaget Print Union Sp. z o.o. ("Print Union AB") med säte i Białynin, Produktionsanläggning 96-100 Skierniewice, Łowicka gatan 127, e-post: [email protected]

Denna Policy gäller både personuppgifter som behandlas på konventionellt sätt i böcker, handlingar, register och andra registreringssystem samt i informationssystem. Den gäller befintliga och framtida samlingar av personuppgifter. De förfaranden och principer som anges i detta dokument tillämpas på alla personer som är auktoriserade att behandla personuppgifter, både anställda och andra, t.ex. volontärer, praktikanter, traineer. Inom området för behandling av personuppgifter hos Print Union Sp. z o.o. ("Print Union AB") ingår byggnader och/eller lokaler belägna i 96-100 Skierniewice, Łowicka gatan 127

Termer som används i Integritetspolicyn betyder:

• personuppgiftsansvarig (PUA) Print Union Sp. z o.o. ("Print Union AB")
• ansvarig för informationssystem (AIS) - person ansvarig för att hantera informationssystem som används för att behandla personuppgifter,
• personuppgifter - all information om en identifierad eller identifierbar fysisk person,
• behandling av personuppgifter - insamling, registrering, lagring, bearbetning, ändring, tillhandahållande och radering av personuppgifter, särskilt i informationssystem,
• användare - person auktoriserad att behandla personuppgifter,
• informationssystem - system (enheter, verktyg, program) där personuppgifter behandlas,
• säkerhet för informationssystem - detta innebär genomförande av administrativa, tekniska och skyddsåtgärder mot ändring, förstörelse, obehörig åtkomst och avslöjande eller åtkomst eller insamling av personuppgifter samt förlust av dem,
• GDPR – Europaparlamentets och Rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG,
• personuppgiftslagen - lag av den 10 maj 2018 om skydd av personuppgifter (2018 års författningssamling, post 1000).

1. Principer för behandling av personuppgifter

1.1. Personuppgiftsansvarig behandlar personuppgifter:

1. i enlighet med lag, på ett ärligt och transparent sätt gentemot den registrerade personen ("laglighet, ärlighet och öppenhet"),
2. de samlas in för specifika, tydliga och lagligt motiverade ändamål och behandlas inte vidare på ett sätt som är oförenligt med dessa ändamål ("ändamålets begränsning"),
3. på ett adekvat, lämpligt och begränsat sätt till vad som är nödvändigt för de ändamål de behandlas för ("minimering av data"),
4. på ett korrekt sätt och uppdateras vid behov ("korrekthet"),
5. de lagras i en form som möjliggör identifiering av den registrerade personen under en period som inte överstiger den tid som är nödvändig för ändamålen med behandlingen av dessa uppgifter ("lagringsbegränsning"),
6. på ett sätt som säkerställer lämplig säkerhet för personuppgifter, inklusive skydd mot otillåten eller olaglig behandling samt oavsiktlig förlust, förstörelse eller skada, med användning av lämpliga tekniska eller organisatoriska åtgärder ("integritet och konfidentialitet").

1.2. För att följa dessa principer behandlar personuppgiftsansvarig personuppgifter lagligt, med stöd av de grunder som beskrivs i art. 6 GDPR. De samlar in personuppgifter på ett lämpligt sätt för ändamålen med behandlingen och behandlar dem under en specificerad tid. I förhållande till personer vars uppgifter de behandlar, uppfyller de informationsplikten enligt art. 13 GDPR eller art. 14 GDPR (när informationen samlas in på annat sätt än från den registrerade personen) och anger deras rättigheter såsom:

1. tillgång till data,
2. rättelse av data,
3. radering av data (rätten att bli glömd),
4. dataportabilitet,
5. invändning mot behandling,
6. begränsning av behandling,
7. lämna in klagomål till tillsynsmyndigheten,
8. invändning mot att bli profilerad.

Personuppgiftsansvarig säkerställer skyddet av uppgifter vid användning av externa enheter genom att ingå lämpliga biträdesavtal och genom att använda sig av personuppgiftsbiträden som fullgör skyldigheterna enligt GDPR. Vid tekniska eller fysiska incidenter ser personuppgiftsansvarig till att kunna återställa tillgängligheten till personuppgifter och tillgång till dem.

1.3. Bekräftelse på att informationsplikten uppfylls av personuppgiftsansvarig utgörs av informationsskyldigheterna som överlämnas till de personer vars uppgifter behandlas. I fallet med anställda presenteras informationsskyldigheterna för dem att underteckna och de arkiveras i de anställdas personakter.

För kunder och leverantörer överlämnas de vid tidpunkten för ingående av avtalet, och de affischeras också på en synlig plats på arbetsplatsen.

2. Bemyndiganden att behandla data

Personuppgiftsansvarig ser till att endast personer som kan styrka att de har blivit bemyndigade av PUA får åtkomst till personuppgifter hos Print Union Sp. z o.o. ("Print Union AB"). Bemyndigandena specificerar vilka åtgärder användarna är behöriga att utföra, dvs. skapa, ta bort, granska, överföra data, i vilka system och för hur lång tid. Personuppgiftsansvarig håller en förteckning över de bemyndigade personerna. Bemyndiganden att behandla personuppgifter kan beviljas på begäran från användarens direkta överordnade.

3. Riskanalys

Personuppgiftsansvarig genomför en riskanalys för att säkerställa skyddet av personuppgifter i proportion till de identifierade hoten. Analysen görs vid förekomst av hot och regelbundet var 4:e månad. Datanalysen görs separat för varje datamängd eller för flera datamängder med liknande omfattning. Vid behov utförs en konsekvensbedömning för att bedöma riskerna enligt art. 35 GDPR.

4. Lista säkerhetsåtgärder

Med beaktande av den tekniska kunskapsnivån, kostnaden för genomförandet samt arten, omfattningen, sammanhanget och syftet med behandlingen samt risken för att personers rättigheter och friheter med olika sannolikhet och allvarlighetsgrad kränks, vidtar den personuppgiftsansvarige och personuppgiftsbiträdet lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig för denna risk.

5. Register över behandlingsaktiviteter

Den personuppgiftsansvarige för register över behandlingsaktiviteter. I detta register inkluderas följande:

1. namn och kontaktuppgifter för den personuppgiftsansvarige,
2. syftet med behandlingen,
3. beskrivning av kategorier av registrerade personer och kategorier av personuppgifter,
4. kategorier av mottagare till vilka personuppgifter har lämnats ut eller kommer att lämnas ut, inklusive mottagare i tredje länder eller internationella organisationer,
5. om tillämpligt, information om överföring av personuppgifter till ett tredje land eller en internationell organisation, inklusive namnet på detta tredje land eller
6. internationella organisation, och för överföringar enligt artikel 49.1 andra stycket i GDPR, dokumentation om lämpliga säkerhetsåtgärder,
7. om möjligt, planerade tidpunkter för radering av olika kategorier av data,
8. om möjligt, en allmän beskrivning av tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32.1 i GDPR.

6. Utseende av dataskyddsombud

Den personuppgiftsansvarige kan/vara skyldig att utse en dataskyddsombud. Om ett dataskyddsombud utses, inkluderar dess uppgifter:

1. att informera den personuppgiftsansvarige, personuppgiftsbiträdet och de anställda som behandlar personuppgifter om deras skyldigheter enligt bestämmelserna om GDPR och lagen om skydd av personuppgifter,
2. övervakning av efterlevnaden av bestämmelserna om GDPR och lagen om skydd av personuppgifter samt den gällande integritetspolicyn i enheten, inklusive fördelning av ansvar, medvetandegörandeåtgärder, utbildning av personalen som är involverad i behandlingsoperationer samt relaterade revisioner,
3. att på begäran ge rekommendationer för bedömningen av skyddet av personuppgifter och övervaka dess genomförande i enlighet med artikel 35 i GDPR,
4. att samarbeta med tillsynsmyndigheten, dvs. ordföranden för Kontoret för personuppgiftsskydd,
5. att fungera som kontaktpunkt för tillsynsmyndigheten i frågor som rör behandlingen, inklusive förhandskonsultationer, och i relevanta fall
6. att hålla konsultationer i alla andra frågor.

Om ett dataskyddsombud utnämns, måste utnämningen anmälas till ordföranden för Kontoret för personuppgiftsskydd inom 14 dagar från utnämningen, med angivande av dataskyddsombudets förnamn, efternamn, e-postadress eller telefonnummer.

7. Förfarande vid incidenter

Den personuppgiftsansvarige implementerar en procedur för hantering av incidenter som rör överträdelser av skyddet för personuppgifter. Syftet med denna procedur är att uppfylla skyldigheten enligt artikel 33 i GDPR. Proceduren fastställer hur incidenter som hotar säkerheten för personuppgifter definieras och hur man reagerar på dem, samt hur man implementerar åtgärder för att åtgärda situationen. Varje person som är auktoriserad att behandla personuppgifter är skyldig att informera om möjligheten eller förekomsten av en incident. Denna information bör lämnas till den direkta överordnade eller dataskyddsombudet.

Meddelanden krävs för följande:

1. otillräcklig säkerhet för elektronisk utrustning och programvara för att förhindra läckage, stöld och förlust av personuppgifter, delning av lösenord med obehöriga,
2. otillräcklig fysisk säkerhet för lokaler, utrustning och dokument,
3. icke-följsamhet med regler om skydd av personuppgifter av anställda (t.ex. bristande efterlevnad av principen om rent skrivbord/skärm, lösenordsskydd, icke-låsning av rum, skåp, skrivbord, klistrande av lappar med lösenord i lådor),
4. spår på dörrar, fönster och skåp som tyder på försök till intrång,
5. dokumentation som innehåller personuppgifter förstörs utan användning av en dokumentförstörare,
6. öppna dörrar till rum, skåp där personuppgifter lagras,
7. närvaro av obehöriga personer i enheten,
8. felaktig inställning av skärmar som möjliggör insyn av obehöriga i personuppgifter,
9. bortforsling av personuppgifter i pappersform och elektroniskt utan auktorisation från den personuppgiftsansvarige,
10. avbrott i servern, datorer, hårddiskar, programvara,
11. tillhandahållande av personuppgifter till obehöriga personer,
12. telefonförsök att lura till sig personuppgifter,
13. stöld, förlust av datorer eller CD-skivor, hårddiskar, USB-minnen med personuppgifter,
14. e-postmeddelanden som uppmanar till att avslöja identifierare eller lösenord,
15. datorinfektion med virus eller andra felaktiga beteenden hos datorer,
16. händelser av slumpmässig natur (brand i byggnaden, översvämning, strömavbrott, förlust av kommunikation),
17. intrång i informationssystemet eller lokaler,
18. stöld av data/utrustning,
19. avsiktlig förstörelse av dokument.

Den ansvarige för informationssystemen bör också underrättas. Dessutom bör incidenten dokumenteras i detalj, liksom dess konsekvenser och de åtgärder som vidtagits för att rätta till situationen. Om incidenten leder till kränkningar av fysiska personers rättigheter och friheter ska den ansvarige för personuppgifterna rapportera detta till ordföranden för Kontoret för skydd av personuppgifter inom 72 timmar, och om det finns en sådan skyldighet, informera de personer som incidenten berörde.

8. Regler för skydd av personuppgifter och internutbildning

Den ansvarige för personuppgifter inför en regel för skydd av personuppgifter i Print Union Sp. z o.o. Syftet är att säkerställa att personer som behandlar personuppgifter har fullständig kunskap om principerna för att behandla personuppgifter i enheten samt de skyldigheter som åligger dem. Personer som har blivit informerade om reglerna måste bekräfta att de har tagit del av dokumentet och åtar sig att följa dess principer. Varje person bör bli bekant med reglerna före anställning. Den ansvarige för personuppgifterna tillhandahåller också utbildning för de anställda om tillämpningen av bestämmelserna om skydd av personuppgifter, och närvaron av de anställda bör bekräftas skriftligen.

9. Uppgifter för ansvarig för informationssystemet

Den ansvarige för informationssystemet utför uppgifter för att hantera och övervaka det löpande systemet för databehandling av personuppgifter. Därför:

1. hanterar han informationssystemet där personuppgifter behandlas, med hjälp av åtkomstlösenord till alla arbetsstationer och server som administratör,
2. förhindrar han obehörig åtkomst till informationssystemet där personuppgifter behandlas,
3. tilldelar han varje användare en identifikator och lösenord för informationssystemet och gör eventuella ändringar i behörigheter samt tar bort användarkonton enligt principerna som fastställts i anvisningarna för förvaltning av informationssystem som används för att behandla personuppgifter,
4. utför han arbetsplatsutbildning för användaren om användningen av datorutrustning och nätverksresurser, bekantar sig med dokument som gäller i detta avseende,
5. övervakar han autentiseringsmekanismer för användare och kontrollerar åtkomst till personuppgifter,
6. vid konstatering av säkerhetsöverträdelser i informationssystemet informerar han den ansvarige för personuppgifterna/dataskyddsombudet om överträdelsen och samarbetar med denne vid borttagandet av följderna av överträdelsen,
7. upprätthåller han detaljerad dokumentation över överträdelser av säkerheten för personuppgifter som behandlas i informationssystemet,
8. övervakar han utförandet av reparationer, underhåll och avveckling av datorutrustning där personuppgifter är lagrade, genomförning av säkerhetskopior, deras lagring och periodisk kontroll av deras lämplighet för att återställa data i händelse av ett fel i informationssystemet,
9. vidtar han åtgärder för att säkerställa att strömförsörjningen för datorer och andra enheter som påverkar säkerheten för databehandling är tillförlitlig samt att data utbyts säkert inom det interna nätverket och säker fjärröverföring.

10. Avtal om överlämnande av personuppgifter

10.1. Vid överlämnande av behandling av personuppgifter till externa enheter är den ansvarige för personuppgifterna skyldig att ingå ett överlämnandeavtal. Det förs även en förteckning över avtal om överlämnande av behandling av personuppgifter i enheten.

10.2. Avtalet specificerar vilka kategorier av individer uppgifterna avser, administratörens skyldigheter och rättigheter. Dessutom ålägger det den behandlande enheten att:

1. endast behandla personuppgifter enligt dokumenterad instruktion från administratören – detta gäller även överföring av personuppgifter till tredje land eller internationell organisation,
2. försäkra att personer som är auktoriserade att behandla personuppgifter har åtagit sig att hålla det konfidentiellt eller är underlagda lämplig lagstadgad skyldighet att upprätthålla konfidentialitet,
3. vidta alla åtgärder som krävs enligt artikel 32 i GDPR,
4. följa villkoren för att använda tjänster från en annan behandlande enhet,
5. hjälpa administratören genom lämpliga tekniska och organisatoriska åtgärder att uppfylla skyldigheten att svara på begäran från den registrerade personen angående utövande av dennes rättigheter enligt kapitel III i GDPR,
6. hjälpa administratören att uppfylla skyldigheterna enligt artikel 32–36 i GDPR,
7. radera eller returnera personuppgifter till administratören och radera alla befintliga kopior, såvida inte unionsrätten eller medlemsstatens nationella lagstiftning kräver lagring av personuppgifter,
8. tillhandahålla administratören all information som är nödvändig för att påvisa efterlevnaden av skyldigheterna enligt bestämmelserna i GDPR samt möjliggöra för administratören eller av denne auktoriserad revisor att utföra revisioner, inklusive inspektioner, och bidra till dessa.

11. Kontrollåtgärder

Övervakning och kontroll av skyddet för personuppgifter utförs av Print Union Sp. z o.o. Kontrollåtgärderna genomförs en gång varje kvartal. Från kontrollåtgärderna upprättas en protokoll där omfattningen av kontrollen och de utförda åtgärderna beskrivs detaljerat, samt rekommendationer och åtgärder för att rätta till situationen. Protokollet undertecknas av de personer som utför kontrollåtgärderna.

12. Ansvar för personer auktoriserade att behandla data

Utebliven efterlevnad av den policy för skydd av personuppgifter som administratören för personuppgifterna tillämpar, vilken principerna fastställs i detta dokument, och överträdelse av procedurer för skydd av data av de personer som är auktoriserade att behandla personuppgifter kan betraktas som allvarlig överträdelse av anställningsplikterna.