Takie coś ostatnio się pojawiło... Może i innym wpadnie do skrzynki. Zakres informacji o jakie pyta wnioskodawca graniczy z kontrolą albo audytem. Wiadomo o co chodzi - pozyskanie klienta ale bez przesady.

------------------

Na podstawie art. 61 Konstytucji RP z dnia 2 kwietnia 1997 r. oraz art. 10 ust. 1 ustawy z dnia 6 kwietnia 2001 r. o dostępie do informacji publicznej (Dz. U. z 2018 poz. 1330) wnoszę o udostępnienie następującej informacji:

I. Czy korzystają Państwo z podmiotu zewnętrznego w zakresie usług Inspektora Ochrony Danych (IOD), a jeżeli tak to proszę o wskazanie:

1. Danych podmiotu (nazwa + siedziba), z którym została zawarta taka umowa;
2. Daty zawarcia i zakończenia obowiązywania umowy;
3. Całkowitej oraz miesięcznej wartości brutto za okres obowiązywania umowy;
4. Danych osobowych (imienia i nazwiska) osoby pełniącej u Państwa funkcję Inspektora Ochrony Danych i jej danych kontaktowych;
5. Czy IOD w ramach umowy ocenia i opracowuje wzory dokumentów w Państwa organizacji pod kątem zgodności z RODO?;
6. Czy IOD w ramach umowy przeprowadza szkolenia dla pracowników lub współpracowników? Jeśli nie to kto odpowiada za coroczne szkolenia pracowników pod kątem RODO? W jaki sposób potwierdza się skuteczność szkoleń?
7. Czy w ramach umowy IOD monitoruje przestrzeganie przepisów RODO lub wewnętrznych przepisów dot. ochrony danych osobowych w Państwa jednostce, a jeżeli tak to w jaki sposób?
8. Sposobu (trybu) wyboru Wykonawcy (np. na podstawie zapytania ofertowego, zapytania o cenę, przetargu, z wolnej ręki);
9. Kiedy planujecie Państwo ogłosić przetarg lub inne zapytanie ofertowe w zakresie usług IOD oraz gdzie zostanie ogłoszone ww. postępowanie?

Jednocześnie proszę o przedłożenie (przesłanie na adres e-mail podany poniżej) kopii (skanu) umowy z podmiotem zewnętrznym w zakresie usług Inspektora Ochrony Danych;

II. Jeśli osoba pełniąca funkcję Inspektora Ochrony Danych (IOD) jest Państwa pracownikiem lub współpracownikiem tj. osobą fizyczną nieprowadzącą działalności gospodarczej, proszę o podanie:

1. Imienia i nazwiska i danych kontaktowych tej osoby ze zgłoszenia do UODO lub skanu tego zgłoszenia;
2. Łącznego wynagrodzenia (koszt pracodawcy) tego pracownika za okres 01.01.2020 – 31.12.2020 i za okres 01.01.2021 – 31.05.2021 wliczając w to wszystkie składniki wynagrodzenia, w tym ewentualne premie czy nagrody;
3. Zakresu obowiązków – przedłożenie skanu zakresu czynności lub skanu umowy cywilno-prawnej;
4. Informacji czy osoba ta wykonuje też inne obowiązki niż IOD, a jeśli tak to jakie konkretnie;
5. Całkowitego wymiaru etatu pracy tej osoby oraz określenie jaką część tego etatu poświęca na obowiązki IOD;
6. Umiejscowienia tej osoby w strukturze organizacyjnej i określenie podległości służbowej;
7. Wyjaśnienia jak w praktyce zapewniono niezależność IOD od Administratora Danych i brak konfliktu interesów w szczególności jeśli IOD realizuje także inne obowiązki;
8. Czy IOD ocenia i/lub opracowuje wzory dokumentów w Państwa organizacji pod kątem zgodności z RODO?
9. Czy IOD przeprowadza szkolenia osobiste z jego udziałem? Jeśli nie to kto odpowiada za szkolenia pracowników pod kątem RODO? W jaki sposób potwierdza się skuteczność szkoleń?
10. Czy IOD monitoruje przestrzeganie przepisów RODO lub wewnętrznych przepisów dot. ochrony danych osobowych w Państwa jednostce, a jeżeli tak to w jaki sposób?
11. Jakie IOD posiada doświadczenie i kwalifikacje?

III. Czy zgodnie z art. 20 ust. 2 pkt 14 KRI (Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych) realizują Państwo w jednostce okresowy (nie rzadziej niż raz na rok) audyt wewnętrzny w zakresie bezpieczeństwa informacji? Jeśli tak to proszę o wskazanie:

1. W przypadku jeżeli audyt przeprowadzał podmiot zewnętrzny:
1) Danych podmiotu (nazwa + siedziba), z którym została zawarta taka umowa;
2) Daty zawarcia umowy;
3) Całkowitej wartości brutto umowy;
4) Terminu wykonania ostatniego audytu KRI;
5) W jaki sposób udokumentowany jest audyt;

Jednocześnie proszę o przedłożenie (przesłanie na adres e-mail podany poniżej) kopii (skanu) umowy z podmiotem zewnętrznym w zakresie realizacji okresowego audytu w zakresie bezpieczeństwa informacji;

2. W przypadku jeżeli audyt przeprowadzał pracownik lub współpracownik jednostki:
1) Imienia i nazwiska osoby lub osób przeprowadzających audyt KRI;
2) Daty wykonania ostatniego audytu;
3) W jaki sposób udokumentowany jest audyt;
4) Jakie osoba przeprowadzająca audyt posiada doświadczenie i kwalifikacje?

3. Czy zgodnie z wymogiem art. 20 ust. 1 ww. Rozporządzenia Państwa jednostka opracowała i ustanowiła, wdrożyła i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność?

4. Czy zarządzanie bezpieczeństwem informacji w Państwa jednostce realizowane jest poprzez przez realizację i egzekwowanie działań wskazanych w art. 20 ust. 2 ww. Rozporządzenia?

5. W jaki sposób ww. działania, wskazane w art. 20 ust. 2 ww. Rozporządzenia, są realizowane


IV. Czy macie Państwo wyznaczoną osobę odpowiedzialną za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa zgodnie z wymogiem art. 21 ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa? Jeśli tak to proszę o wskazanie:

1. Czy, zgodnie z art. 22 ust. 1 pkt 5 ww. ustawy dane tej osoby zostały przekazane do właściwego CSIRT MON, CSIRT NASK lub CSIRT GOV?
2. Jakie ta osoba posiada doświadczenie i kwalifikacje?
3. W jaki sposób w Państwa jednostce zapewnione jest zarządzanie incydentem?
4. Czy Państwa jednostka zapewnia osobom, na rzecz których zadanie publiczne jest realizowane, dostęp do wiedzy pozwalającej na zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami, w szczególności przez publikowanie informacji w tym zakresie na swojej stronie internetowej;


V. Czy zgodnie z wymogiem art. 14 ust. 1 ustawy z dnia 19 lipca 2019 r. o zapewnianiu dostępności osobom ze szczególnymi potrzebami Państwa jednostka wyznaczyła koordynatora ds. dostępności? Jeśli tak to proszę o wskazanie:

1. Danych kontaktowych koordynatora ds. dostępności;
2. Czy, zgodnie z obowiązkiem wskazanym w art. 14 ust. 2 pkt 2 ww. ustawy koordynator ds. dostępności przygotował i koordynuje wdrożenie planu działania na rzecz poprawy zapewniania dostępności osobom ze szczególnymi potrzebami?
3. Czy plan działania, o którym mowa powyżej obejmuje analizę stanu zapewnienia dostępności osobom ze szczególnymi potrzebami oraz planowane działania w zakresie poprawy realizacji zadań w zakresie dostępności przez ten podmiot?
4. Czy Państwa jednostka przeprowadziła:
  1) Audyt dostępności cyfrowej strony/n internetowych dla osób z niepełnosprawnościami i aplikacji mobilnych?
  2) Audyt dostępności architektonicznej?
  3) Audyt dostępności informacyjno-komunikacyjnej?

5. Jeśli Państwa jednostka przeprowadziła audyt/y wskazane w pkt 4 powyżej i audyty te przeprowadził podmiot zewnętrzny to proszę o wskazanie:
  1) Danych podmiotu (nazwa + siedziba), z którym została zawarta taka umowa;
  2) Daty zawarcia i zakończenia obowiązywania umowy;
  3) Całkowitej oraz miesięcznej wartości brutto za okres obowiązywania umowy;

Jednocześnie proszę o przedłożenie (przesłanie na adres e-mail podany poniżej) kopii (skanu) umowy z podmiotem zewnętrznym w zakresie wykonania ww. audytu/ów;

6. Czy zgodnie z wymogiem art. 10 ustawy z dnia 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych Państwa jednostka sporządziła deklarację dostępności stron/y internetowej i/lub aplikacji mobilnej/ych?
7. Czy ww. deklaracja dostępności stron/y internetowej i/lub aplikacji mobilnej/ych została należycie opublikowana, zgodnie z wymogiem art. 10 ust. 7 ww. ustawy?
8. Czy zgodnie z wymogiem art. 11 ww. ustawy dokonaliście Państwo przeglądu i aktualizacji deklaracji dostępności do dnia 31 marca 2021 r.?


Odpowiedzi w ustawowym terminie tj. do 14 dni proszę kierować na adres poczty elektronicznej.

------------------

Czy w ramach informacji publicznej należy "spowiadać" się ze wszystkiego?