1. Общие положения
1.1. Настоящее Положение Школы разработано в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным зако¬ном «Об информации, информационных технологиях и о защите информа¬ции», Федеральным законом «О персональных данных», Устава МАОУ СОШ № 6 им. Евдокии Бершанской, Правилами внутреннего трудового распорядка Школы.
1.2. Цель разработки Положения - определение порядка обработки персональных данных работников, обучающихся их родителей (законных представителей), контрагентов, посетителей сайта Школы и иных субъектов персональных данных, персональные данные которых подлежат обработке, на основании полномочий оператора.
Обеспечение защиты прав и свобод человека и гражданина, в т.ч. работников, обучающихся их родителей (законных представителей), контрагентов, посетителей сайта Школы, при обработке их персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности должностных лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
1.3. Порядок ввода в действие и изменения Положения.
1.3.1. Настоящее Положение вступает в силу с момента его утвержде-ния директором Школы и действует бессрочно, до замены его новым Положением.
1.3.2. Все изменения в Положение вносятся приказом.
1.4. Все работники Школы должны быть ознакомлены с настоящим Положением под роспись.
1.5. Режим конфиденциальности персональных данных снимается в случаях их обезличивания и по истечении 75 лет срока их хранения, или продлевается на основании заключения экспертной комиссии Школы, если иное не определено законом.
1.6. Требования настоящего Положения являются неотъемлемой ча-стью комплекса мер безопасности и защиты информации в Школе.
1.3. Требования настоящего Положения распространяются на всех работников Школы, осуществляющих обработку персональных данных в учреждении.
2. Основные термины, сокращения и определения
В настоящем документе используются следующие термины и их определения.
2.1. Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация (ст.3 п.1 № 152-ФЗ).
2.2. Обработка персональных данных - действия (операции) с пер-сональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование и уничтожение персональных данных (ст.3 п.3 № 152-ФЗ).
2.3. Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.
2.4. Распространение персональных данных - действия, направлен¬ные на пе-редачу персональных данных определенному кругу лиц (передача персо-нальных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом (ст.3 п.4 № 152-ФЗ).
2.5. Использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц (ст.3 п.5 № 152-ФЗ).
2.6. Хранение персональных данных места размещения и защиты информации.
2.7. Блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения, персональных данных, в том числе их передачи.
2.8. Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.
2.9. Обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных (ст.3 п.8 № 152-ФЗ).
2.10. Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъ¬екта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности (ст.3 п.12 № 152-ФЗ).
2.11. Информация — сведения (сообщения, данные) независимо от формы их представления.
2.12. Информационная система персональных данных (ИСПДн) - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств (ст.3 п.9 № 152-ФЗ).
2.13. Документированная информация - зафиксированная на матери¬альном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
3. Цель обработки персональных данных
- оказание услуг в области образования;
- сбор и анализ информации, создание базы данных в департаменте образования;
- повышение квалификации;
- оказание платных образовательных услуг;
- медицинская деятельность для реализации целей и задач учре-ждения;
- организация питания обучающихся;
- оказание дополнительных услуг и осуществления иные виды деятельности в соответствии с целями, для чего было создано учреждение;
- обеспечение условий выполнения трудовых обязанностей работников школы;
- выполнение мероприятий, обеспечивающих охрану жизни и укрепления здоровья детей, их правовую и социальную защиту;
- соблюдение норм и требований по охране труда и обеспечение личной безопасности;
- профсоюзная деятельность;
- передача данных документов об образовании в федеральный реестр документов об образовании;
- антитеррористическая безопасность учреждения, учет посещаемости обучающихся и работников школы;
- передача данных об образовании обучаемых в управления образования города Геленджика;
- передача данных обучаемых допризывной молодежи в военный комиссариат города Геленджика;
- ведение договорной работы;
- администрирование школьного сайта.
4. Категории персональных данных, обрабатываемые Оператором
4.1. В школе Оператором обрабатываются следующие категории персональных данных:
(Постановление Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных").
К ним относятся:
1 Общие (или общедоступные) - К ним законодательство о персональных данных относит базовые личные данные: ФИО, место регистрации, информация о месте работы, номер телефона, email. Обычно эти данные и так известны некоторым другим людям, могут быть опубликованы в общедоступных источниках. Например, о месте работы человека могут знать его друзья в социальных сетях.
2 Специальные - Информация о личности человека: расовая и нацио-нальная принадлежность, политические, религиозные и философские взгляды, состояние здоровья, подробности интимной жизни, информация о судимостях.
Специальные категории персональных данных отличаются от общих тем, что обычно находятся в закрытом до-ступе. Их можно узнать только лично у человека, либо сделав официальный запрос в больницу, полицию или суд. Чаще всего сообщать эти данные человек не обязан, они — его личное дело.
3 Иные - В эту категорию ПДн относят всё, что нельзя отнести к общедоступным, специальным или биометрическим дан-ным: принадлежность к определенной социальной группе, к примеру, членство в клубе, или корпоративные данные, например, то, что хранится в бухгалтерии: зарплата, периоды отпусков, стаж и так далее.
Это просто дополнительная информация, они часто могут меняться.
5. Состав персональных данных
5.1. В состав персональных данных (далее - ПДн) субъектов Школы входят:
- фамилия, имя, отчество;
- год рождения;
- месяц рождения;
- дата рождения;
- место рождения;
- адрес;
- семейное положение;
- социальное положение;
- имущественное положение;
- образование;
- профессия;
- доход;
- состояние здоровья; пол;
- гражданство;
- адрес по прописке;
- адрес проживания (реальный);
- адрес регистрации;
- адрес проживания;
- паспортные данные (серия, номер паспорта, кем и когда выдан);
- информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);
- информация о трудовой деятельности до приема на работу; информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения);
- телефонный номер (домашний, рабочий, мобильный);
- семейное положение и состав семьи (муж/жена, дети);
- информация о знании иностранных языков;
- форма допуска; оклад;
- данные о трудовом договоре (номер трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность основного отпуска, длительность дополнительного отпуска, длительность дополнительного отпуска за ненормированный рабочий день, обязанности работника, дополнительные социальные льготы и гарантии, номер и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты);
- сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);
- ИНН;
- СНИЛС;
- данные об аттестации работников;
- место выбытия;
- специальность;
- должность;
- данные о повышении квалификации;
- данные о наградах, медалях, поощрениях, почетных званиях; информация о приеме на работу, перемещении по должности, увольнении; информация об отпусках; информация о командировках; информация о болезнях;
- информация о негосударственном пенсионном обеспечении; фотография;
- адрес электронной почты; категория здоровья;
- результаты флюорографического обследования, прививочная карта (информация о сделанных прививках);
- информация о медицинских обследованиях (медицинская книжка);
- данные страхового полиса обязательного медицинского страхования;
- свидетельство о рождении;
- ФИО и дата рождения детей;
- номера банковских расчетных счетов.
5.2. Информационные системы персональных данных (ИСПДн)
5.2.1. Перечень ПДн, обрабатываемых в ИСПДн:
- фамилия, имя, отчество;
- место, год и дата рождения;
- адрес по прописке;
- адрес проживания;
- паспортные данные (серия, номер паспорта, кем и когда выдан); информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);
- информация о трудовой деятельности до приема на работу; информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения);
- телефонный номер (домашний, рабочий, мобильный); семейное положение и состав семьи (муж/жена, дети); информация о знании иностранных языков; форма допуска; оклад;
- данные о трудовом договоре (номер трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность основного отпуска, длительность дополнительного отпуска, длительность дополнительного отпуска за ненормированный рабочий день, обязанности работника, дополнительные социальные льготы и гарантии, номер и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты);
- сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета); ИНН;
- данные об аттестации работников; данные о повышении квалификации;
- данные о наградах, медалях, поощрениях, почетных званиях; информация о приеме на работу, перемещении по должности, увольнении; информация об отпусках; информация о командировках; информация о болез¬нях;
- информация о негосударственном пенсионном обеспечении; фотография;
- адрес электронной почты; ФИО детей.
5.2.2. ИСПДн сегмент ГИС ФИС «ФРДО»
Перечень ПДн, обрабатываемых в ИСПДн:
- фамилия, имя, отчество;
- дата рождения;
- серия и номер паспорта;
- номер аттестата.
Технологическое и информационное сопровождения вышеуказанных ИСПДн проводятся работниками Оператора.
- серверное помещение № 206: 353460, Краснодарский край, г-к. Геленджик, ул. Жуковского, 7.
Перечень ПДн, обрабатываемых формой сайта «Обращения граждан»:
- имя,
- электронная почта посетителей сайта.
5.2.4. Информация о мобильных приложениях Оператора.
Мобильные приложения, Оператором, не разрабатываются.
5.2.5. Интернет-сервисы, Оператором не используются.
5.3. Комплекс документов, сопровождающий процесс оформления трудовых отношений работника в Школе при его приеме, переводе и увольнении
5.3.1. Информация, представляемая работником при поступлении на работу в Школу, должна иметь документальную форму. При заключении трудового договора в соответствии со ст. 65 Трудового кодекса Российской Федерации лицо, поступающее на работу, предъявляет Работодателю:
- паспорт или иной документ, удостоверяющий личность;
- трудовую книжку, за исключением случаев, когда трудовой договор заключается впервые или работник поступает на работу на условиях совместительства, либо трудовая книжка у работника отсутствует в связи с ее утратой или по другим причинам;
- страховое свидетельство государственного пенсионного страхования;
- документы воинского учета - для военнообязанных и лиц, подлежащих воинскому учету;
- документ об образовании, о квалификации или наличии специальных знаний при поступлении на работу, требующую специальных знаний или специальной подготовки;
- свидетельство о присвоении ИНН (при его наличии у работника);
- справка о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования*.
Примечание: * Основание Федеральный закон от 27 июля 2010 г. N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" <1>, абзацем седьмым части первой статьи 65 Трудового кодекса Российской Федерации <2>, постановлением Правительства Российской Федерации от 16 мая 2011 г. N 373 "О разработке и утверждении административных регламентов исполнения государ-ственных функций и административных регламентов предоставления государственных услуг" <3>, пунктом 7 перечня <4>, утвержденного постановлением Правительства Российской Федерации от 27 сентября 2011 г. N 797 <5>, пунктом 4 перечня, утвержденного распоряжением Правительства Российской Федерации от 19 января 2018 г. N 43-р <6>, пунктом 3 перечня, утвержденного распоряжением Правительства Российской Федерации от 19 февраля 2018 г. N 260-р <7>.
5.3.2. При оформлении работника в Школу специалисту по кадрам заполняется унифицированная форма Т-2 «Личная карточка работника», в которой отражаются следующие анкетные и биографические данные работника:
- общие сведения (Ф.И.О. работника, дата рождения, место рождения, гражданство, образование, профессия, стаж работы, состояние в браке, паспортные данные);
- сведения о воинском учете;
- данные о приеме на работу;
В дальнейшем в личную карточку вносятся:
- сведения о переводах на другую работу;
- сведения об аттестации;
- сведения о повышении квалификации;
- сведения о профессиональной переподготовке;
- сведения о наградах (поощрениях), почетных званиях;
- сведения об отпусках;
- сведения о социальных гарантиях;
- сведения о месте жительства и контактных телефонах.
5.3.3. В кадрах Школы создаются и хранятся следующие группы документов, содержащие данные о работниках в единичном или сводном виде:
5.3.3.1. Документы, содержащие персональные данные работников (комплексы документов, сопровождающие процесс оформления трудовых отношений при приеме на работу, переводе, увольнении; комплекс материалов по анкетированию, тестированию; проведению собеседований с кандидатом на должность; подлинники и копии приказов по личному составу; личные дела и трудовые книжки работников; дела, содержащие основания к приказу по личному составу; дела, содержащие материалы аттестации работников; служебных расследований; справочно-информационный банк данных по персоналу (картотеки, журналы); подлинники и копии отчетных, аналитических и справочных материалов, передаваемых руководству Школы, руководителям структурных подразделений; копии отчетов, направляемых в государственные органы статистики, налоговые инспекции, вышестоящие орга¬ны управления и другие учреждения в соответствии с федеральными законами).
5.3.3.2. Документация по организации работы структурных подразделений (положения о структурных подразделениях, должностные инструкции работников, приказы, распоряжения, указания руководства Школы); документы по планированию, учету, анализу и отчетности в части работы с персоналом Школы.
6. Категории субъектов, персональные данные которых обрабатываются
- работники;
- соискатели на вакантную должность (при согласии на обработку ПДн);
- переменный состав (обучающиеся);
- переменный состав (родители или законные представители);
- физические лица (граждане, не работники школы);
- посетители сайта;
- близкие родственники работников;
- уволенные (уволившиеся) работники;
- близкие родственники уволенных (уволившихся) работников.
7. Правовые основания и условия обработки персональных данных
7.1. Правовым основанием обработки персональных данных являются нормативные правовые акты, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:
- Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
- Гражданский кодекс Российской Федерации;
- Семейный кодекс Российской Федерации;
- ст. 23, 24 Конституции Российской Федераций;
- ст. 85-90 Трудового кодекса Российской Федерации;
- Устав МАОУ СОШ № 6 им. Евдокии Бершанской;
- ст. 12, 15-17, 20, 24, 26, 42-44, 52 Федерального закона от 27.07.2004 г. № 79- ФЗ "О государственной гражданской службе Российской Федерации";
- ст. 7,8 Федерального закона от 02.05.2006 №59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации";
- Федеральный закон от 24.07.1998 г. №125-ФЗ (ред. от 31.07.2020) "Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний";
- Федеральный закон от 22.07.2008 г. № 123-Ф3 (последняя редакция) "Технический регламент о требованиях пожарной безопасности";
- Федеральный закон от 06.12.2011 г. № 402-ФЗ (ред. от 26.07.2019) "О бухгалтерском учете" (с изм. и доп. вступ. в силу с 01.01.2020);
- Федеральный закон "О гражданской обороне" от 12.02.1098 г. № 28-ФЗ (в редакции от 08.12.2020);
- Федеральный закон от 21.12.1994 г. № 68-ФЗ "О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера" (в ред. от 23.06.2020);
- Федеральный закон от 18.07.2011 г. № 223-Ф3 "О закупках товаров, работ, услуг отдельными видами юридических лиц";
- Постановление Правительства РФ от 2 августа 2019 г. № 1006 "Об утверждении требований к антитеррористической защищенности объектов (территорий) Министерства просвещения Российской Федерации и объектов (территорий), относящихся к сфере деятельности Министерства просвещения Российской Федерации, и формы паспорта безопасности этих объектов (территорий)";
- Локальные акты Учреждения "О персональных данных" и в области защиты персональных данных (ПДн);
- Учредительные документы оператора ПДн, договоры с субъектами ПДн и их согласия на обработку ПДн;
- Лицензия № 08585 от 01 декабря 2017 года.
7.2. Условия обработки персональных данных
- Обработка персональных данных осуществляется на законной и справедливой основе.
- Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
- Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
- Обработке подлежат только персональные данные, которые отвечают целям их обработки.
- Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки.
- При обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор принимает необходимые меры и/или обеспечивает их принятие по удалению или уточнению неполных или неточных данных.
- Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
7.3. Обработка ПДн осуществляется после получения согласия субъекта ПДн.
7.4. Письменное согласие субъекта ПДн включает:
- цель обработки персональных данных;
- перечень ПДн, на обработку которых дается согласие их субъекта;
- наименование или фамилия, имя, отчество и адрес лица, которое осуществляет обработку ПДн по поручению оператора (если она поручена такому лицу);
- перечень действий с ПДн, на совершение которых дается согла-сие, а также - общее описание способов обработки ПДн, которые использует оператор;
- срок, в течение которого действует согласие субъекта ПДн и спо¬собу его отзыва.
Если субъект ПДн отказывается предоставить обязательные персо-нальные данные, нужно разъяснить последствия отказа от предоставления ПДн и (или) согласия на их обработку (ч. 2 ст. 18 Закона № 152-ФЗ).
7.5. Лица, допущенные к обработке ПДн, подписывают обязательство о неразглашении ПДн, а также ознакамливаются под роспись с требованиями настоящего Положения.
7.6. Запрещается:
- обрабатывать ПДн в присутствии лиц, не допущенных к ПДн;
- осуществлять ввод ПДн под диктовку (голосовой ввод).
8. Перечень действий с персональными данными:
- сбор;
- запись;
- систематизация;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передача (распространение, предоставление, доступ);
- обезличивание;
- блокирование;
- удаление;
- уничтожение;
- смешанная, с передачей по внутренней сети юридического лица, с передачей по сети Интернет.
9. Меры, предусмотренные статьями 18.1 и 19 Федерального закона «О персональных данных»
- разработана и утверждена концепция информационной безопасности, политика в области персональных данных;
- положение об обработке персональных данных в МАОУ СОШ № 6 им. Евдокии Бершанской; Лицензия № 08585 от 01 декабря 2017 года.
- назначено лицо, ответственное за организацию обработки персо¬нальных данных;
- опубликован и размещен на сайте организации документ, опреде¬ляющий политику в отношении обработки персональных данных;
- разработаны локальные акты;
- осуществляется внутренний контроль соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ "О персональных данных" и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных;
- работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства российской федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных;
- разработана модель угроз безопасности в информационной системе;
- обеспечивается учет машинных носителей персональных данных;
- обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- разработаны правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- парольная защита.
10. Сбор, обработка и хранение персональных данных
10.1. Порядок получения персональных данных.
10.1.1. Все персональные данные работников Школы следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Должностное лицо оператора должно сообщить работнику школы о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
10.1.2. Оператор не имеет права получать и обрабатывать персональ-ные данные работника Школы о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоя¬нии здоровья, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации Работодатель вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
Обработка указанных персональных данных работников Оператором возможна только с их согласия либо без их согласия в следующих случаях:
- персональные данные являются общедоступными;
- персональные данные относятся к состоянию здоровья работника и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия работника невозможно;
- по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.
10.1.3. Оператор вправе обрабатывать персональные данные работников только с их письменного согласия.
10.1.4. Письменное согласие работника на обработку своих персональных данных должно включать в себя:
- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- наименование (фамилию, имя, отчество) и адрес оператора, получающего согласие субъекта персональных данных;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
- перечень действий с персональными данными, на совершение кото-рых дается согласие, общее описание используемых оператором способов обработки персональных данных;
- срок, в течение которого действует согласие, а также порядок его отзыва.
Форма заявления о согласии работника на обработку персональных данных (см. Справочник образцов форм документов относящихся к защите ПДн).
10.1.5. Согласие работника не требуется в следующих случаях:
- обработка персональных данных осуществляется на основании Трудового кодекса РФ или иного федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия Работодателя;
- обработка персональных данных осуществляется в целях исполнения трудового договора;
- обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов работника, если получение его согласия невозможно.
10.2. Порядок обработки, передачи и хранения персональных данных.
10.2.1. Работник Школы предоставляет специалисту по кадрам Школы, уполномоченному вести обработку персональных данных, достоверные сведения о себе. Специалист по кадрам Школы проверяет достоверность сведений, сверяя данные, предоставленные работником, с имеющимися у работника документами.
10.2.2. В соответствии со ст. 86, гл. 14 ТК РФ в целях обеспечения прав и свобод человека и гражданина директор Школы (Оператор) и его представители при обработке персональных данных работника должны соблюдать следующие общие требования:
10.2.2.1. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
10.2.2.2. При определении объема и содержания, обрабатываемых персональных данных Оператор должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами.
10.2.2.3. При принятии решений, затрагивающих интересы работника, Оператор не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.
10.2.2.4. Защита персональных данных работника от неправомерного их использования или утраты обеспечивается Оператором за счет его средств в порядке, установленном федеральным законом.
10.2.2.5. Работники и их представители должны быть ознакомлены под расписку с документами Школы, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
10.2.2.6. Во всех случаях отказ работника от своих прав на сохранение и защиту тайны недействителен.
10.3. Обработка ПДн в Школе производится путём:
- обработки ПДн в информационных системах персональных данных (ИСПДн);
- обработки ПДн, осуществляемой без использования средств автоматизации.
10.3.1. Обработка ПДн в ИСПДн
10.3.2 Обработка ПДн в ИСПДн с использованием средств автоматизации осуществляется в соответствии с требованиями Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», нормативных и руководящих документов уполномоченных федеральных органов исполнительной власти.
10.3.3. Не допускается обработка ПДн в ИСПДн с использованием средств автоматизации, если применяемые меры и средства обеспечения безопасности не соответствуют требованиям, утвержденным Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
10.3.4. Обработка ПДн с использованием средств автоматизации осу-ществляется в рамках ИСПДн с возможностью информационного обмена с сторонними организациями. Состав ИСПДн в Школе определяется «Перечнем информационных систем персональных данных», утверждаемым директором школы.
10.3.5. Обработка ПДн, осуществляемая без использования средств автоматизации
10.3.6. Лица, осуществляющие обработку ПДн без использования средств автоматизации, должны быть проинформированы о факте обработки ими ПДн, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых ПДн, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами Школы.
10.3.7. При использовании типовых форм документов, характер ин-формации в которых предполагает или допускает включение в них ПДн (далее - типовая форма), должны соблюдаться следующие условия:
- типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки ПДн, осуществляемой без использования средств автоматизации; имени (наименовании) и адресе Учреждения; фамилию, имя, отчество и адрес субъекта ПДн; источник получения ПДн; сроки обработки ПДн; перечень действий с ПДн, которые будут совершаться в процессе их обработки; общее описание используемых Учреждением способов обработки ПДн;
- типовая форма должна предусматривать поле, в котором субъект ПДн может поставить отметку о своем согласии на обработку ПДн, осуществляемую без использования средств автоматизации,
- при необходимости получения письменного согласия на обработку ПДн;
- типовая форма должна исключать объединение полей, предназначенных для внесения ПДн, цели обработки которых заведомо не совместимы.
10.4. Обработка персональных данных соискателей на замещение вакантных должностей (далее - соискатели).
10.4.1. При подборе персонала Оператор ежемесячно размещает вакансии на интерактивном портале службы труда и занятости населения министерства труда и социального развития Краснодарского края и на официальном сайте Оператора, а также принимает участие в ярмарке вакансий, прово¬димых ГКУ КК «ЦЗН» г.Геленджик.
10.4.2. Оператором не обрабатываются персональные данные соискателей. Анкеты кандидатов уничтожаются, резюме кандидатов Оператор не хранит.
11. Передача и хранение персональных данных
11.1. Передача персональных данных.
11.1.1. Под передачей персональных данных субъекта понимается распространение информации по каналам связи и на материальных носителях.
11.1.2. При передаче персональных данных работники Школы должны соблюдать следующие требования:
- не сообщать персональные данные субъекта в коммерческих целях.
- осуществлять передачу персональных данных субъектов в пределах Школы в соответствии с настоящим Положением, нормативно-технологической документацией и должностными инструкциями.
- разрешать доступ к персональным данным только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения должностных обязанностей.
- передавать персональные данные субъекта представителям субъекта в порядке, установленном законодательством и нормативно-технологической документацией и ограничивать эту информацию только теми персональными данными субъекта, которые необходимы для выполнения указанными представителями их функции.
11.2. Порядок передачи ПДн субъекта третьим лицам
11.2.1. При передаче ПДн субъекта уполномоченные лица должны придерживаться следующих требований:
- передача ПДн субъекта третьим лицам осуществляется только с письменного согласия субъекта, за исключением случаев, установленных федеральными законами;
- передача ПДн по открытым каналам связи запрещается;
- работникам Школы, имеющим доступ к ПДн, запрещена запись, хранение и вынос за пределы Школы на внешних носителях информации (диски, дискеты, USB флэш-карты и т.п.), передача по внешним адресам электронной почты или размещение в сети Интернет информации, содержащей ПДН субъектов, за исключением случаев, указанных в настоящих Правилах или установленных иными внутренними документами Школы;
- передача третьим лицам документов (иных материальных носителей), содержащих ПДн субъектов, осуществляется по письменному запросу третьего лица на предоставление ПДн субъекта. Ответы на письменные за-просы даются на бланке Школы и в том объеме, который позволяет не разглашать излишних сведений о субъекте ПДн;
- работники Школы, передающие ПДн субъектов третьим лицам, должны передавать их с обязательным уведомлением лица, получающего эти документы, об обязанности использования полученной конфиденциальной информации лишь в целях, для которых она сообщена, и с предупреждением об ответственности за незаконное использование данной конфиденциальной информации в соответствии с федеральными законами;
- предоставление ПДн субъекта государственным органам производится в соответствии с требованиями действующего законодательства Российской Федерации;
11.2.2. Учет переданных ПДн осуществляется в рамках принятых в Школе правил делопроизводства путем регистрации входящей и исходящей корреспонденции и запросов государственных органов о предоставлении ПДн физических (юридических) лиц либо их представителей. Фиксируются сведения о лицах, направивших такие запросы, дата выдачи ПДн, а также дата уведомления об отказе в предоставлении ПДн (в случае отказа).
11.2.3. Передача ПДн субъекта третьим лицам осуществляется по договорам с поручением Оператора об установлении обязанностей третьих лиц (ГБУЗ «Городская больница города-курорта Геленджик» МЗ КК и Бухгалтерии) соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а так же требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», что является нарушением требований ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», с целью исполнения своих обязанностей в соответствии с законодательством Российской Федерации.
11.3. Хранение и использование персональных данных работников:
11.3.1. Под хранением персональных данных понимается существование записей в информационных системах и на материальных носителях.
11.3.2. Хранение персональных данных субъектов осуществляется в соответствии с «Перечнем должностных лиц, допущенных к обработке пер-сональных данных» в Школе.
11.3.3. Персональные данные работников обрабатываются и хранятся в кабинете специалиста по кадрам (помещение 169), и на посту охраны.
11.3.4. Персональные данные работников могут быть получены, прохо¬дить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде - локальной компьютерной сети и в ИСПДн «1С: Предприятие (версия 8.3)».
11.3.5. Личные дела хранятся в бумажном виде в папках, прошитые и пронумерованные по страницам. Личные дела хранятся в специально отведенной секции шкафа, обеспечивающего защиту от несанкционированного доступа.
11.3.6. Подразделения, хранящие персональные данные на бумажных носителях, обеспечивают их защиту от несанкционированного доступа и копирования согласно «Положению об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденному постановлением правительства РФ 15 сентября 2008 г. N 687.
11.3.7. Срок хранения персональных данных субъекта определяется на основе соответствующих федеральных законов и внутренних нормативных документов Школы.
12. Доступ к персональным данным
12.1. Внутренний доступ.
Перечень лиц, имеющих доступ к персональным данным работников определён приказом директора Школы (приложении 1 к приказу).
12.2. Внешний доступ.
Оператор вправе осуществлять передачу персональных данных работника третьим лицам, в том числе в коммерческих целях, только с его предварительного письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных действующим законодательством Российской Федерации.
Перед передачей персональных данных Работодатель должен предупредить третье лицо о том, что они могут быть использованы только в тех целях, для которых были сообщены. При этом у третьего лица необходимо получить подтверждение того, что такое требование будет им соблюдено.
Не требуется согласие работника на передачу персональных данных:
- третьим лицам в целях предупреждения угрозы жизни и здоровью работника;
- в Фонд социального страхования Российской Федерации, Пенсионный фонд Российской Федерации в объеме, предусмотренном действующим законодательством Российской Федерации;
- в налоговые органы;
- в военные комиссариаты;
- по запросу профессиональных союзов в целях контроля за соблюдением трудового законодательства Работодателем;
- по мотивированному запросу органов прокуратуры;
- по мотивированному требованию правоохранительных органов и органов безопасности;
- по запросу от государственных инспекторов труда при осуществлении ими надзорно-контрольной деятельности;
- по запросу суда;
- в органы и организации, которые должны быть уведомлены о тяжелом несчастном случае, в том числе со смертельным исходом;
- в случаях, связанных с исполнением работником должностных обязанностей;
- в кредитную организацию, обслуживающую платежные карты работников.
12.3. Другие организации.
Сведения о работнике (в том числе уволенном) могут быть предостав¬лены другой организации только с письменного запроса на бланке Школы с приложением копии заявления работника.
12.4. Родственники и члены семей.
Персональные данные работника могут быть предоставлены родствен¬никам или членам его семьи только с письменного разрешения самого работника.
13. Блокировка, обезличивание, уничтожение персональных данных
13.1. Порядок блокировки и разблокировки персональных данных:
13.1.1. Блокировка персональных данных субъектов осуществляется с письменного заявления субъекта персональных данных.
13.1.2. Блокировка персональных данных подразумевает:
13.1.2.1. Запрет редактирования персональных данных.
13.1.2.2. Запрет распространения персональных данных любыми средствами (е-mail, сотовая связь, материальные носители).
13.1.2.3. Запрет использования персональных данных в массовых рассылках (sms, e-mail, почта).
13.1.2.4. Запрет открытия банковских счетов.
13.1.2.5. Изъятие бумажных документов, относящихся к субъекту персональных данных и содержащих его персональные данные из внутреннего документооборота Школы и запрет их использования.
13.1.3. Блокировка персональных данных субъекта может быть временно снята, если это требуется для соблюдения законодательства.
13.1.4. Разблокировка персональных данных субъекта осуществляется с его письменного согласия или заявления.
13.1.5. Повторное согласие субъекта персональных данных на обработку его данных влечет разблокирование его персональных данных.
13.2. Порядок обезличивания и уничтожения персональных данных:
13.2.1. Обезличивание персональных данных субъекта происходит по письменному заявлению субъекта персональных данных, при условии, что все договорные отношения завершены и от даты окончания последнего договора прошло не менее 5 лет.
13.2.2. При обезличивании персональные данные в информационных системах заменяются набором символов, по которому невозможно определить принадлежность персональных данных к конкретному субъекту.
13.2.3. Бумажные носители документов при обезличивании персональных данных уничтожаются. В случае невозможности уничтожения бумажных носителей, содержащих персональные данные как обезличиваемого субъекта, так и других субъектов персональных данных, персональные данные уничтожаются путем стирания или замазывания.
13.2.4. Операция обезличивания персональных данных субъекта необратима.
13.2.5. Школа обязана обеспечить конфиденциальность в отношении персональных данных при необходимости проведения испытаний информационных систем на территории разработчика и произвести обезличивание персональных данных в передаваемых разработчику информационных си-стемах.
13.2.6. Уничтожение персональных данных субъекта подразумевает прекращение какого- либо доступа к персональным данным субъекта.
13.2.7. При уничтожении персональных данных субъекта работники Школы не могут получить доступ к персональным данным субъекта в информационных системах.
13.2.8. Бумажные носители документов при уничтожении персональ-ных данных уничтожаются, персональные данные в информационных системах обезличиваются. Персональные данные восстановлению не подлежат.
13.2.9. Операция уничтожения персональных данных необратима.
14. Обязанности Оператора
14.1. В целях обеспечения прав и свобод человека и гражданина Оператор и его представители при обработке персональных данных субъекта ПДн обязаны соблюдать следующие общие требования:
14.1.1. Обработка персональных данных субъекта ПДн может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия субъекта ПДн в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности субъекта ПДн, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
14.1.2. При определении объема и содержания обрабатываемых персональных данных субъекта ПДн Оператор должен руководствоваться Конституцией Российской Федерации, Трудовым кодексом Российской Федерации и иными федеральными законами.
14.1.3. Все персональные данные субъекта ПДн следует получать у него самого. Если персональные данные субъекта ПДн возможно получить только у третьей стороны, то субъект ПДн должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Оператор должен сообщить субъекту ПДн о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа субъекта ПДн дать письменное согласие на их получение.
14.1.4. Оператор не имеет права получать и обрабатывать персональные данные субъекта ПДн о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни субъекта ПДн только с его письменного согласия.
14.1.5. Оператор не имеет права получать и обрабатывать персональные данные субъекта ПДн о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.
14.1.6. При принятии решений, затрагивающих интересы субъекта ПДн, Оператор не имеет права основываться на персональных данных субъекта ПДн, полученных исключительно в результате их автоматизированной обработки или электронного получения.
14.1.7. Защита персональных данных субъекта ПДн от неправомерного их использования или утраты должна быть обеспечена Оператором за счет его средств в порядке, установленном федеральным законом.
14.1.8. Субъект ПДн и их представители должны быть ознакомлены под подпись с локальными актами Оператор, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
14.1.9. Субъект ПДн не должен отказываться от своих прав на сохранение и защиту тайны.
15. Права оператора
Школа вправе:
15.1. Отстаивать свои интересы в суде.
15.2. Предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.).
15.3. Отказать в предоставлении персональных данных в случаях предусмотренных законом.
15.4. Использовать персональные данные субъекта без его согласия, в случаях предусмотренных законом РФ.
15.5. Осуществлять внутренний контроль за соблюдением настоящего Положения согласно должностному регламенту ответственному за обеспечение безопасности персональных данных.
15.6. Проводить расследование инцидентов безопасности персональных данных на основании принятого в Школе Регламента реагирования на инциденты информационной безопасности.
16. Обязанности субъекта персональных данных
16.1. Субъект ПДн обязан:
16.1.1. Передавать Оператору или его представителю комплекс досто¬верных документированных персональных данных, перечень которых установлен Трудовым кодексом Российской Федерации.
16.1.2. Своевременно в разумный срок, не превышающий 5 дней, со-общать Оператору об изменении своих персональных данных.
16.1.3. Субъект ПДн должен быть ознакомлен под распись с докумен¬тами Школы, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
17. Права субъекта персональных данных
17.2. Субъект ПДн имеет право:
17.2.1. На полную информацию о своих персональных данных и обработке этих данных.
17.2.2. На свободный бесплатный доступ к своим персональным дан-ным, включая право на получение копий любой записи, содержащей персональные данные субъекта ПДн, за исключением случаев, предусмотренных законодательством Российской Федерации.
17.2.3. На доступ к медицинским данным с помощью медицинского специалиста по своему выбору.
17.2.4. Требовать исключения или исправления неверных или непол-ных персональных данных, а также данных, обработанных с нарушением требований, определенных трудовым законодательством. При отказе Оператора исключить или исправить персональные данные субъекта ПДн он имеет право заявить в письменной форме Оператору о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера субъект ПДн имеет право дополнить заявлением, выражающим его собственную точку зрения.
17.2.5. Требовать извещения Оператором всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта ПДн, обо всех произведенных в них исключениях, исправлениях или дополнениях.
17.2.6. Обжаловать в суд любые неправомерные действия или бездействие Оператора при обработке и защите его персональных данных.
17.2.7. Определять своих представителей для защиты своих персональных данных.
17.2.8. Требовать прекратить в любое время передачу (распространение, предоставление, доступ) персональных данных, разрешенных для распространения. Требование оформляется в письменном виде. Оно должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПДн, а также перечень персональных данных, обработка которых подлежит прекращению.
18. Обработка персональных данных переменного состава
18.1. Состав персональных данных обучающих:
- личное дело с табелем успеваемости;
- заверенная копия свидетельства о рождении;
- сведения о составе семьи;
- сведения о родителях и законных представителях;
- копия паспорта обучающегося, достигших 14-летнего возраста;
- аттестат об основном общем образовании обучающихся, принятых в 10 класс (оригинал);
- адрес места жительства;
- номера мобильных телефонов;
- фотографии и иные сведения, относящиеся к персональным данным обучающегося;
- оригиналы и копии приказов по движению;
- основания к приказам по движению детей;
- медицинские заключения о состоянии здоровья обучающегося;
- заключения психолог медика-педагогической комиссии.
18.1.2. Данные документы являются конфиденциальными, хотя, учитывая их массовость и единое место обработки и хранения, соответствующий гриф ограничения на них не ставится. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75-летнего срока хранения, если иное не определено законом.
18.1.3. Школа определяет объем, содержание обрабатываемых персональных данных обучающихся, руководствуясь Конституцией Российской Федерации, Федеральным законом «Об образовании в Российской Федерации», данным Положением, Уставом школы и иными федеральными законами.
18.2. Общие требования при обработке персональных данных обучающихся и гарантии их зашиты
18.2.1. В целях обеспечения прав и свобод обучающегося Оператор школы и уполномоченные вести обработку персональных данных при обработке персональных данных обязаны соблюдать следующие общие требования:
18.2.1.1. Обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
18.2.1.2. При определении объема и содержания обрабатываемых персональных данных, Оператор школы, осуществляющей образовательную деятельность, должен руководствоваться Конституцией Российской, Федеральным законом «Об образовании в Российской Федерации», данным Положением, Уставом школы и иными федеральными законами.
18.2.1.3. Все персональные данные обучающегося, достигшего 14-летнего возраста, следует получать у него самого. Персональные данные обучающегося, не достигшего 14-летнего возраста, следует получать у родителей (законных представителей). Директор общеобразовательной организации, его заместители, классные руководители должны сообщить о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
Форма согласия на обработку персональных данных (ПДн).
Обработка персональных данных осуществляется только с согласия субъекта персональных данных. В связи с тем, что в образовательном учреждении осуществляется обработка специальной категории ПДн (состояние здоровья учащихся), согласие субъекта персональных данных оформляется в письменной форме Письменное согласие субъекта персональных данных, на обработку своих персональных данных должно соответствовать требованиям ч. 4 ст. 9 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных".
В соответствии с данным Положением, согласие в письменной форме субъекта персональных данных, на обработку его персональных данных должно включать в себя, в частности:
фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
наименование или фамилию, имя, отчество и адрес оператора, получающего согласие субъекта персональных данных;
цель обработки персональных данных;
перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
подпись субъекта персональных данных.
Примечание: Особое внимание следует обратить на заполнение графы, содержащей сведения о документе, подтверждающем полномочия родителя (законного представителя) несовершеннолетнего.
18.2.1.4. Оператор школы и уполномоченные вести обработку пер-сональных данных не имеют права получать и обрабатывать персональные данные обучающихся, которые не соответствуют статье 10 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных») к специальным категориям персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни обучающихся или членов их семей, за исключением случаев, если:
- субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;
- обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации;
- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;
- обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико- социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательствам Российской Федерации сохранять врачебную тайну.
18.2.1.5. При принятии решений, затрагивающих интересы обучающегося, Оператор школы и уполномоченные вести обработку персональных данных не имеют права основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получение.
18.2.1.6. Зашита персональных данных обучающегося от неправомерного их использования или утраты должна быть обеспечена Оператором школы в порядке, установленном федеральным законам.
18.2.1.7. Обучающиеся школы, достигшие 14-легнего возраста, и родители или законные представители обучающихся, не достигших 14-летнего возраста, должны быть ознакомлены под подпись с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях в этой области.
18.3. Согласно ст. 10.1 Федерального закона "О персональных данных», особенностями обработки персональных данных, разрешенных субъектом персональных данных для распространения являются:
18.3.1. Согласие на обработку персональных данных, разрешенных
субъектом персональных данных для распространения, оформляется отдель¬но от иных согласий субъекта персональных данных на обработку его персональных данных. Работник образовательной организации (оператор) обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
18.3.2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.
18.3.3. В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления и иных обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице. осуществившем их распространение или иную обработку.
18.3.4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения , не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.
18.3.5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные п. 8.3.9 настоящего Положения, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с п. 8.3.9 настоящего Положения, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.
18.3.6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:
- непосредственно;
- с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
18.3.7. Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.
18.3.8. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
18.3.9. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий не допускается.
18.3.10. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных , разрешенных субъектом персональных данных для распространения.
18.3.11. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
18.3.12. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.
18.3.13. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в п. 8.3.12 настоящего Положения.
18.3.14. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление. доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения п. 8.3 данного Положений или обратиться с таким требованием в суд, Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трёх рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.
18.3.15. Требования п. 8.3 настоящего Положения не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на государственные органы, муниципальные органы, а также на подведомственные таким органам организации функций, полномочий и обязанностей.
18.4. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
18.5. Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
18.6. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
19. Права н обязанности обучающихся, достигших 14-летнего возраста и родителей или законных представителей обучающихся, не достигших 14- летнего возраста в области защиты персональных данных
19.1. Обучающиеся: школы, достигшие 14-летнего возраста, и родители или законные представители обучающихся, не достигших 14-летнего возраста, обязаны:
19.1.1. Передавать директору организации, осуществляющей об-разовательную деятельность, его заместителям, классным руководителям, специалисту по кадрам, медицинским работникам, секретарю школы, оператору достоверные сведения о себе в порядке и объеме, предусмотренном законодательством Российской Федерации.
19.1.2. В случае изменения персональных данных: фамилия, имя, отчество, адрес места жительства, паспортные данные, состоянии здоровья сообщать классному руководителю об этом в течение 5 рабочих дней с даты их изменений.
19.2. Обучающиеся школы, достигшие 14-летнего возраста, и родители или законные представители обучающихся, не достигших 14-летнего возраста, имеют право на:
19.2.1. Полную информацию о своих персональных данных и обработке этих данных.
19.2.2. На свободный бесплатный доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные обучающегося, за исключением случаев, предусмотренных федеральными законами. Получение указанной информации о своих персональных данных возможно при личном обращении обучающегося (его родителя или представителя), — к классному руководителю, а после - к заместителю директора, ответственному за организацию и осуществление хранения персональных данных обучающихся.
19.2.3. Обжалование в суде любых неправомерных действия при обработке и по защите персональных данных.
20. Сбор, обработка и хранение персональных данных обучающихся
20.1. Получение, обработка, хранение и любое другое использование персональных данных обучающихся может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия обучающимся в трудоустройстве через Центр занятости и в рамках действующего законодательства, проведении государственной итоговой аттестации, при поступлении в ВУЗы, колледжи и иные образовательные организации.
20.2. Личные дела обучающихся хранятся в бумажном виде в папках делах), находятся в закрывающемся на замок шкафу, обеспечивающим защиту от несанкционированного доступа.
20.3. Персональные данные обучающихся могут также храниться в электронном виде в локальной компьютерной сети ( ИСПДн: сегмент Сетевой город. Образование, сегмент ГИС ФИС «ФРДО»). Доступ к электронным базам данных, содержащим персональные данные, защищается системой паролей и ограничивается для пользователей, не являющихся оператором.
20.4. Хранение персональных данных обучающихся школы должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом.
20.5. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено феде-ральным законом.
20.6. В процессе хранения персональных данных обучающихся должны обеспечиваться:
- требования нормативных документов, устанавливающих правила хранения конфиденциальных сведений;
- сохранность имеющихся данных, ограничение доступа к ним, в соответствии с законодательством Российской Федерации и настоящим Положением;
- контроль за достоверностью и полнотой персональных данных, их регулярное обновление и внесение по мере необходимости соответствующих изменений.
21. Доступ к персональным данным обучающихся
21.1. Внутренний доступ к персональным данным обучающегося имеют Оператор школы и уполномоченные вести обработку персональных данных (Перечень должностей утвержден приказом директора школы):
- директор школы;
- заместители директора школы;
- секретарь учебной части;
- специалист по кадрам;
- специалист по ОТ;
- специалист по безопасности;
- преподаватель-организатор ОБЖ;
- учителя начальной школы;
- учителя старших классов;
- заведующий производством;
- библиотекарь;
- инженер программист;
- техник;
- классные руководители — только к тем данным, которые необходимы для выполнения функций классного руководителя.
21.2. Сведения об обучающемся могут быть предоставлены (только с письменного запроса на бланке организации):
- управлению образования;
- администрации;
- военному комиссариату;
- центру занятости населения;
- надзорно-контрольным органам, которые имеют доступ к информации только в сфере своей компетенции;
- центральной районной больнице;
21.3. Персональные данные обучающегося могут быть предоставлены родственникам с письменного разрешения родителей или законных представителей обучающихся, не достигших 14-летнего возраста или письменного разрешения обучающегося, достигшего 14-летнего возраста.
22. Передача персональных данных обучающихся
22.1. При передаче персональных данных обучающегося директор школы, его заместители, секретарь учебной части, классные руководители, медицинские работники (оператор) должны соблюдать следующие требования:
22.1.1. Не сообщать персональные данные обучающегося третьей стороне без письменного согласия обучающегося при достижении им 14-летия или родителей (законных представителей), за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью обучающегося, а также в других случаях, предусмотренных федеральными законами.
22.1.2. Не сообщать персональные данные обучающегося в коммерческих целях.
22.1.3. Предупредить лиц, получающих персональные данные обучающегося, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены. Лица, получающие персональные данные обучающегося, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется на обмен персональными данными обучающегося в порядке, установленном федеральными законами.
22.1.4. Осуществлять передачу персональных данных обучающихся в пределах общеобразовательной организации в соответствии с данным Положением, с которым обучающиеся должен быть ознакомлены под роспись.
22.1.5. Разрешать доступ к персональным данным обучающихся только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные детей, которые необходимы для выполнения конкретных функций.
22.1.6. Не запрашивать информацию о состоянии здоровья обучающегося, за исключением тех сведений, которые относятся к вопросу о возможности выполнения обучающимся образовательной функции.
23. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных обучающихся
23.1. Защита прав обучающегося, установленных настоящим Положением и законодательством Российской Федерации, осуществляется судом в целях пресечения неправомерного использования персональных данных обучающегося, восстановления нарушенных прав и возмещения причиненного ущерба, в том числе морального вреда.
23.2. Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных обучающегося, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым Кодексом и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
23.3. Персональная ответственность — одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.
23.4. За нарушение правил хранения и использования персональных данных, повлекшее за собой материальный ущерб общеобразовательной организации, работник несет материальную ответственность в соответствии с действующим трудовым законодательством.
23.5. Материальный ущерб, нанесенный субъекту персональных данных за счет ненадлежащего хранения и использования персональных данных, подлежит возмещению в порядке, установленном действующим законодательством.
23.6. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с Федеральным законом № 152-ФЗ «О персональных данных», подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
24. Защита персональных данных
24.1. В целях обеспечения сохранности и конфиденциальности персональных данных субъекта персональных данных все операции по оформлению, формированию, ведению и хранению данной информации должны выполняться только работниками допущенные к этой работе и осуществляющие данную работу в соответствии со своими служебными обязанностями, зафиксированными в должностных инструкциях.
24.2. Ответы на письменные запросы других организаций и учреждений в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке Оператора и в том объеме, который позволяет не разглашать излишний объем персональных сведений о субъекте персональных данных.
24.3. Передача информации, содержащей сведения о персональных данных субъекта персональных данных, по телефону, факсу, электронной почте сети Интернет без письменного согласия работника запрещается.
24.4. Личные дела и документы, содержащие персональные данные субъекта персональных данных, хранятся в запирающихся шкафах (сейфах), обеспечивающих защиту от несанкционированного доступа.
24.5. Персональные компьютеры, в которых содержатся персональные данные, должны быть защищены паролями доступа, а материальные носите¬ли информации, содержащие ПДн, учтены в специальном журнале.
25. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных
25.1. Руководитель, разрешающий доступ работника к конфиденциальному документу несёт персональную ответственность за данное решение.
25.2. Каждый работник Школы, получающий для работы конфиденциальный документ, несёт единоличную ответственность за сохранность носителя и конфиденциальность информации.
25.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта ПДн, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
Виды ответственности за нарушение закона о персональных данных
Уголовная — в зависимости от тяжести нарушения суд может назначить разные наказания: от крупных штрафов до лишения свободы, причем, чтобы ответить по статье, достаточно рассказать чужую личную информацию всего одному человеку.
Административная — суд предпишет заплатить штраф или ограничится предупреждением.
Гражданско-правовая — необходимо будет возместить материальный или моральный ущерб.
Дисциплинарная — предполагает замечание или выговор, иногда дело может дойти до увольнения.
26. Заключительные положения
26.1. Настоящее Положение об обработке персональных данных является локальным нормативным актом, принимается на Педагогическом совете школы и утверждается (либо вводится в действие) приказом директора Школы, осуществляющей образовательную деятельность.
26.2. Все изменения и дополнения, вносимые в настоящее Положение, оформляются в письменной форме в соответствии действующим законодательством Российской Федерации.
26.3. Положение об обработке персональных данных принимается на неопределенный срок. Изменения и дополнения к Положению принимаются в порядке, предусмотренном п. 26.1. настоящего Положения.
26.4. После принятия Положения (или изменений и дополнений отдельных пунктов и разделов) в новой редакции предыдущая редакция автоматически утрачивает силу.
26.5. Обязательные документы на сайте образовательного учреждения.
Во исполнение требований ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» Оператор обязан издать документы, определяющие политику оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушении законодательства Российской Федерации, устранение последствий таких нарушений.
Оператор также обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требо¬ваниях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
