ПОЛОЖЕНИЕ
о порядке обработки и защите персональных данных участников образовательных отношений в МБОУ «Харовская СОШ имени В.Прокатова»
1. Общие положения
1.1. Целью данного Положения является защита персональных данных участников образовательного процесса от несанкционированного доступа, неправомерного их использования или утраты.
1.2. Настоящее Положение разработано на основании Конституции Российской Федерации, Федерального закона от 19 декабря 2005 №160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», Федерального закона от 27 июля 2006 №152-ФЗ «О персональных данных», Трудового кодекса Российской Федерации, Федерального закона от 27 июля 2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» и призвано обеспечить права и свободу участников образовательного процесса при обработке их персональных данных.
1.3. Персональные данные относятся к категории конфиденциальной информации. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.
1.4. Настоящее Положение утверждается и вводится в действие приказом директора школы и является обязательным для исполнения всеми участниками образовательного процесса, имеющими доступ к персональным данным.
2. Понятия и состав персональных данных
2.1.1.Субьект персональных данных (СПД) – сотрудники образовательного учреждения при заключении трудового договора (Работник), родители (законные представители) обучающихся и обучающиеся школы при написании заявления о включении в контингент обучающихся.
2.1.2. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (СПД).
2.1.3. Оператор - физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.1.4. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.1.5. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
2.1.6. Распространение персональных данных - действия, направленные на раскрытие персональных данных определенному кругу лиц;
2.1.7. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
2.1.8. Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.2.1. Персональные данные Работника - сведения о фактах, событиях и обстоятельствах жизни Работника, позволяющие идентифицировать его личность, необходимые администрации в связи с трудовыми отношениями с Работником и касающиеся Работника.
2.2.2.К персональным данным Работника относятся:
- анкетные и биографические данные;
- наименование структурного подразделения;
- занимаемая должность;
- сведения о заработной плате;
- сведения о текущем должностном окладе;
- сведения о трудовом и общем стаже;
- паспортные данные;
- адрес прописки, проживания;
- ИНН;
- номер страхового свидетельства;
- данные об образовании;
- данные о детях;
- данные о семейном положении;
- содержание трудового договора;
- содержание трудовой книжки;
- содержание декларации, подаваемой в налоговую инспекцию;
- подлинники и копии приказов по личному составу;
- личные дела и трудовые книжки сотрудников;
- основания к приказам по личному составу;
- дела, содержащие материалы по повышению квалификации и переподготовке сотрудников, их аттестации, служебным расследованиям;
- фото и видеосъемка;
-видеосьемка средствами видеонаблюдения учреждения.
2.2.3.Администрация обязана сообщить Работнику о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа Работника дать письменное согласие на их получение.
2.2.4.Персональные данные Работника являются конфиденциальной информацией и не могут быть использованы администрацией или любым иным лицом в личных целях.
2.2.5.При определении объема и содержания персональных данных Работника администрация руководствуется Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, иными федеральными законами и настоящим Положением.
2.3.1.К персональным данным родителей (законных представителей) относятся:
- анкетные и биографические данные;
- занимаемая должность;
- паспортные данные;
- адрес регистрации, проживания;
- ИНН;
- СНИЛС;
- данные об образовании;
- данные о детях;
- данные о составе семьи;
- фото и видеосъемка;
-видеосьемка средствами видеонаблюдения учреждения;
- сведения о социальных льготах;
-состав семьи.
2.4.1.К персональным данным обучающихся относится:
- фамилия, имя, отчество;
- паспортные данные;
- адрес регистрации, проживания;
- ИНН;
- СНИЛС;
- данные об образовании;
- видеосьемка средствами видеонаблюдения учреждения;
- фото и видеосъемка;
- данные обязательного медицинского страхования;
- результаты итоговой аттестации;
- номер телефона;
- отношение к воинской службе;
- итоги образовательной деятельности.
2.4.2.Администрация может получить от самого обучающегося данные о:
- фамилии, имени, отчестве, дате рождения, месте жительстве обучающегося,
- фамилии, имени, отчестве родителей (законных представителей) обучающегося.
2.4.3.Иные персональные данные обучающегося, необходимые в связи с отношениями обучения и воспитания, администрация может получить только с письменного согласия одного из родителей (законного представителя). К таким данным относятся документы, содержащие сведения, необходимые для предоставления обучающемуся гарантий и компенсаций, установленных действующим законодательством:
- документы о составе семьи;
- документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством (родители-инвалиды, неполная семья, ребенок-сирота и т.п.).
2.4.4.В случаях, когда администрация может получить необходимые персональные данные обучающегося только у третьего лица, администрация должна уведомить об этом одного из родителей (законного представителя) заранее и получить от него письменное согласие.
2.4.5.Администрация обязана сообщить одному из родителей (законному представителю) о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа одного из родителей (законного представителя) дать письменное согласие на их получение.
2.4.6.Персональные данные обучающегося являются конфиденциальной информацией и не могут быть использованы администрацией или любым иным лицом в личных целях.
2.4.7.При определении объема и содержания персональных данных обучающегося администрация руководствуется Конституцией Российской Федерации, федеральными законами и настоящим Положением.
2.5.1.Данные документы являются конфиденциальными, хотя, учитывая их массовость и единое место обработки и хранения - соответствующий гриф ограничения на них не ставится.
3. Обработка персональных данных
3.1.Под обработкой персональных данных СПД понимается получение, хранение, комбинирование, передача или любое другое использование персональных данных участников образовательного процесса.
3.2. В целях обеспечения прав и свобод человека и гражданина оператор при обработке персональных обязаны соблюдать следующие общие требования:
3.2.1. Обработка персональных данных СПД может осуществляться исключительно в целях обеспечения образовательной и медицинской деятельностей, трудовых взаимоотношениях, выполнения федеральных законов.
3.2.2. При определении объема и содержания обрабатываемых персональных данных работника оператор должен руководствоваться Конституцией Российской Федерации, Трудовым Кодексом и иными федеральными законами.
3.2.3. Получение персональных данных может осуществляться как путем представления их самим СПД, так и путем получения их из иных источников.
Получение персональных данных определено способами обработки:
- автоматизированная;
- неавтоматизированная;
- смешанная
Неавтоматизарованная обработка- это обработка персональных данных на бумажных носителях.
Автоматизированная обработка (или обработка в информационных системах персональных данных – ИСПДн) предполагает использование компьютера.
Смешанная обработка предполагает как автоматизированную, так и неавтоматизированную обработку группы персональных данных.
Получение персональных данных определено группами обработки:
- родители обучающихся (законные представители);
- работники (администрация, педагогические работники, обслуживающий персонал);
-обучающиеся, зачисленные приказом по школе в контингент.
3.2.4. Персональные данные следует получать у СПД. Если персональные данные СПД возможно получить только у третьей стороны, то СПД должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Оператор должен сообщить СПД о целях, предполагаемых источниках и способах получения персональных данных, а так же о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
3.2.5. Оператор не имеет права получать и обрабатывать персональные данные по специальным категориям: политические, расовые, религиозные, национальные принадлежности и иные убеждения, состояние здоровья. В случаях, непосредственно связанных с вопросами трудовых отношений данные о частной жизни СПД (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны оператором только с его письменного согласия.
3.2.6. Оператор не имеет право получать и обрабатывать персональные данные СПД о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральным законом.
3.3. К обработке, передаче и хранению персональных данных СПД могут иметь доступ:
- сотрудники бухгалтерии;
администрация образовательного учреждения;
специалист по кадрам;
классный руководитель образовательного учреждения;
сотрудники Управления образования.
3.4. Использование персональных данных возможно только в соответствии с целями, определившими их получение.
3.4.1. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.
3.5. Передача персональных данных СПД возможна только с согласия или в случаях, прямо предусмотренных законодательством.
3.5.1. При передаче персональных данных СПД оператор должен соблюдать следующие требования:
- не сообщать персональные данные СПД третьей стороне без письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральным законом;
- не сообщать персональные данные СПД в коммерческих целях без его письменного согласия;
- предупредить лиц, получающих персональные данные СПД, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные СПД, обязаны соблюдать режим секретности (конфиденциальности). Данное положение не распространяется на обмен персональными данными СПД в порядке, установленном федеральными законами;
- разрешать доступ к персональным данным СПД только специально уполномоченным лицам, определенным приказом по организации, при этом указанные лица должны иметь право получать только те персональные данные СПД, которые необходимы для выполнения конкретных функций;
- не запрашивать информацию о состоянии здоровья СПД, за исключением тех сведений, которые относятся к вопросу о возможности выполнения работником трудовой функции и организации индивидуальной образовательной деятельности;
- передавать персональные данные СПД в порядке, установленном Трудовым Кодексом, и ограничивать эту информацию только теми персональными данными СПД, которые необходимы для выполнения указанными представителями их функций.
3.5.2. Передача персональных данных от оператора или его представителей внешнему потребителю может допускаться в минимальных объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.
3.6. Все меры конфиденциальности при сборе, обработке и хранении персональных данных СПД распространяются как на бумажные, так и на электронные носители информации.
3.7. Не допускается отвечать на вопросы, связанные с передачей персональной информации по телефону или факсу.
3.8. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.
4. Доступ к персональным данным
4.1. Внутренний доступ (доступ внутри организации).
4.1.1. Право доступа к персональным данным СПД имеют:
- директор школы;
- сам СПД, носитель данных;
-заместители директора;
-медицинский работник;
- классные руководители;
-администрация образовательного учреждения;
-специалист по кадрам;
- другие педагогические работники школы при выполнении ими своих служебных обязанностей.
4.1.2. Перечень лиц, имеющих доступ к персональным СПД, определяется приказом директора школы.
4.2. Внешний доступ.
4.2.1. К числу массовых потребителей персональных данных вне организации можно отнести государственные и негосударственные функциональные структуры:
- налоговые инспекции;
- правоохранительные органы;
- органы статистики;
- страховые агентства;
- военкоматы;
- органы социального страхования;
- пенсионные фонды;
- муниципальные органы управления;
4.2.2. Надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции.
4.2.3. Организации, в которые СПД может осуществлять перечисления денежных средств (страховые компании, негосударственные пенсионные фонды, благотворительные организации, кредитные учреждения), могут получить доступ к персональным данным работника только в случае его письменного разрешения.
4.2.4. Другие организации.
Сведения о СПД могут быть предоставлены другой организации только с письменного запроса на бланке организации, с приложением копии нотариально заверенного заявления СПД. Персональные данные СПД могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого СПД. В случае развода бывшая супруга (супруг) имеют право обратиться в организацию с письменным запросом о размере заработной платы сотрудника без его согласия.
5. Защита персональных данных
5.1. Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.
5.2. Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.
5.3. Защита персональных данных представляет собой жестко регламентированный и динамически технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности компании.
5.4. Защита персональных данных СПД от неправомерного их использования или утраты должна быть обеспечена оператором за счет его средств в порядке, установленном федеральным законом.
5.5. «Внутренняя защита».
5.5.1. Основным виновником несанкционированного доступа к персональным данным является, как правило, персонал, работающий с документами и базами данных. Регламентация доступа персонала к конфиденциальным сведениям, документам и базам данных входит в число основных направлений организационной защиты информации и предназначена для разграничения полномочий между операторами и сотрудниками организации.
5.5.2. Для обеспечения внутренней защиты персональных данных СПД необходимо соблюдать ряд мер:
- ограничение и регламентация состава сотрудников, функциональные обязанности которых требуют конфиденциальных знаний;
- строгое избирательное и обоснованное распределение документов и информации между сотрудниками;
- рациональное размещение рабочих мест сотрудников, при котором исключалось бы бесконтрольное использование защищаемой информации;
- знание сотрудниками требований нормативно – методических документов по защите информации и сохранении тайны;
- наличие необходимых условий в помещении для работы с конфиденциальными документами и базами данных;
- определение и регламентация состава сотрудников, имеющих право доступа (входа) в помещение, в котором находится вычислительная техника;
- организация порядка уничтожения информации;
- воспитательная и разъяснительная работа с сотрудниками по предупреждению утраты ценных сведений при работе с конфиденциальными документами;
- не допускается выдача личных дел СПД на рабочие места. Личные дела могут выдаваться на рабочие места только директору школы, сотрудникам образовательного учреждения, а в исключительных случаях, по письменному разрешению директора школы
5.5.3. Защита персональных данных сотрудника на электронных носителях.
Рабочее место операторов, содержащие персональные данные сотрудника, должны быть защищены паролем, который сообщается ответственным за персональные данные СПД.
5.6. «Внешняя защита».
5.6.1. Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией. Целью и результатом несанкционированного доступа к информационным ресурсам может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др.
5.6.2. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности компании, посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе персонала.
5.6.3. Для обеспечения внешней защиты персональных данных сотрудников необходимо соблюдать ряд мер:
- порядок приема, учета и контроля деятельности посетителей;
- пропускной режим организации;
- учет и порядок выдачи паролей;
-антивирусная защита;
- технические средства охраны, сигнализации;
- порядок охраны территории, зданий, помещений, транспортных средств;
- требования к защите информации при интервьюировании и собеседованиях.
5.7. По возможности персональные данные обезличиваются.
5.8. Кроме мер защиты персональных данных, установленных законодательством, работодатели, работники и их представители могут вырабатывать совместные меры защиты персональных данных работников.
6. Права и обязанности СПД
6.1. Закрепление прав СПД, регламентирующих защиту его персональных данных, обеспечивает сохранность полной и точной информации о нем.
6.2. Операторы должны быть ознакомлены под расписку с документами организации, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
6.3. В целях защиты персональных данных, хранящихся у оператора, работник имеет право:
- требовать исключения или исправления неверных или неполных персональных данных.
- на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;
- персональные данные оценочного характера дополнить заявлением, выражающим его собственную точку зрения;
- определять своих представителей для защиты своих персональных данных;
- на сохранение и защиту своей личной и семейной тайны.
6.4. СПД обязан:
- передавать оператору комплекс достоверных, документированных персональных данных, состав которых установлен Трудовым кодексом РФ.
- своевременно сообщать оператору об изменении своих персональных данных.
6.5. СПД ставят оператора в известность об изменении любых персональных данных.
7. Ответственность за разглашение конфиденциальной информации,
связанной с персональными данными
7.1. Персональная ответственность – одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.
7.2. Юридические и физические лица, в соответствии со своими полномочиями владеющие информацией о СПД, получающие и использующие ее, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.
7.3. Оператор, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.
7.4. Каждый сотрудник организации, получающий для работы конфиденциальный документ от оператора, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.
7.5. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных СПД, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
7.5.1. За неисполнение или ненадлежащее исполнение оператором возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера директор школы вправе применять предусмотренные Трудовым Кодексом дисциплинарные взыскания.
7.5.2. Операторы, в обязанность которых входит ведение персональных данных СПД, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом. Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации – влечет наложение на должностных лиц административного штрафа в размере, определяемом Кодексом об административных правонарушениях.
7.5.3. В соответствии с Гражданским Кодексом лица, незаконными методами получившие информацию, составляющую служебную тайну, обязаны возместить причиненные убытки.
7.5.4. Уголовная ответственность за нарушение неприкосновенности частной жизни ( в том числе незаконное собирание или распространение сведений о частной жизни лица, составляющего его личную или семейную тайну, без его согласия), неправомерный доступ к охраняемой законом компьютерной информации, неправомерный отказ в предоставлении собранных в установленном порядке документов и сведений (если эти деяния причинили вред правам и законным интересам граждан), совершенные лицом с использованием своего служебного положения наказывается штрафом, либо лишением права занимать определенные должности или заниматься определенной деятельностью, либо арестом в соответствии с УК РФ.
7.6. Неправомерность деятельности органов государственной власти и организаций по сбору и использованию персональных данных может быть установлена в судебном порядке.
Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу https://site-r00.gosweb.gosuslugi.ru/policy/.