art. 10

Artykuł 10 Bezpieczeństwo – państwa członkowskie 1.   W odniesieniu do swojego N.SIS każde państwo członkowskie przyjmuje niezbędne środki, obejmujące plan bezpieczeństwa, plan ciągłości działania i plan przywrócenia gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej, aby: a) zapewnić fizyczną ochronę danych, w tym poprzez sporządzenie planów awaryjnych służących ochronie infrastruktury krytycznej; b) uniemożliwić osobom nieuprawnionym dostęp do infrastruktury przetwarzania danych, wykorzystywanej do przetwarzania danych osobowych (kontrola dostępu do infrastruktury); c) zapobiegać nieuprawnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu nośników danych (kontrola nośników danych); d) zapobiegać nieuprawnionemu wprowadzaniu danych oraz nieuprawnionemu oglądaniu, zmienianiu lub usuwaniu przechowywanych danych osobowych (kontrola przechowywania); e) zapobiegać korzystaniu z systemów zautomatyzowanego przetwarzania danych przez osoby nieuprawnione, używające sprzętu do przesyłu danych (kontrola użytkowników); f) zapobiegać nieuprawnionemu przetwarzaniu danych w SIS oraz nieuprawnionemu zmienianiu lub usuwaniu danych przetwarzanych w SIS (kontrola wprowadzania danych); g) zapewnić, by osoby uprawnione do korzystania z systemu zautomatyzowanego przetwarzania danych miały dostęp wyłącznie do danych objętych posiadanym przez nie uprawnieniem, wyłącznie za pomocą indywidualnych i niepowtarzalnych identyfikatorów użytkownika oraz poufnego trybu dostępu (kontrola dostępu do danych); h) zapewnić, by wszystkie organy mające prawo dostępu do SIS lub do infrastruktury przetwarzania danych stworzyły profile z opisem funkcji i zadań osób, które są uprawnione do dostępu do danych oraz do ich wprowadzania, aktualizowania, usuwania i wyszukiwania, oraz by profile te były niezwłocznie udostępniane organom nadzorczym, o których mowa w art. 55 ust. 1, na ich wniosek (profile personelu); i) zapewnić możliwość weryfikacji i stwierdzania, którym podmiotom można przesyłać dane osobowe za pośrednictwem sprzętu do przesyłu danych (kontrola przesyłu danych); j) zapewnić możliwość późniejszej weryfikacji i stwierdzania, które dane osobowe zostały wprowadzone do systemów zautomatyzowanego przetwarzania danych oraz kiedy, przez kogo i w jakim celu (kontrola wprowadzania danych); k) zapobiegać nieuprawnionemu odczytywaniu, kopiowaniu, zmienianiu lub usuwaniu danych osobowych podczas ich przekazywania lub podczas transportu nośników danych, w szczególności poprzez zastosowanie odpowiednich technik szyfrowania (kontrola transportu); l) monitorować skuteczność środków bezpieczeństwa, o których mowa w niniejszym ustępie, oraz stosować konieczne środki organizacyjne dotyczące monitorowania wewnętrznego, aby zapewnić przestrzeganie niniejszego rozporządzenia (kontrolowanie własnej działalności); m) zapewnić w razie przerwy w działaniu możliwość przywrócenia normalnego funkcjonowania zainstalowanych systemów (odzyskiwanie); oraz n) zapewnić, by SIS wykonywał właściwie swoje funkcje, by błędy były zgłaszane (niezawodność) i by dane osobowe przechowywane w SIS nie mogły ulec uszkodzeniu w wyniku nieprawidłowego funkcjonowania systemu (integralność). 2.   Państwa członkowskie stosują środki równoważne środkom, o których mowa w ust. 1, w odniesieniu do bezpieczeństwa przetwarzania i wymiany informacji uzupełniających, w tym zabezpieczenia pomieszczeń biur SIRENE. 3.   Państwa członkowskie stosują środki równoważne środkom, o których mowa w ust. 1 niniejszego artykułu, w odniesieniu do bezpieczeństwa przetwarzania danych SIS przez organy, o których mowa w art. 34. 4.   Środki opisane w ust. 1, 2 i 3 mogą stanowić część ogólnego podejścia i planu w zakresie bezpieczeństwa na szczeblu krajowym obejmującego różne systemy informatyczne. W takich przypadkach, wymogi przewidziane w niniejszym artykule i ich stosowanie do SIS muszą zostać wyraźnie wskazane w tym planie, który musi zapewniać ich spełnianie.