ПОЛОЖЕНИЕ
об обработке, хранении и защите персональных данных в
Муниципальном бюджетном общеобразовательном учреждении
«Образовательный центр № 5 «Созвездие»
- Общие положения
1.1. Настоящее Положение об обработке, хранении и защите персональных данных (далее – Положение) в Муниципальном бюджетном общеобразовательном учреждении «Образовательный центр № 5 «Созвездие» (далее – Оператор)
разработано в отношении обработки персональных данных во исполнение требований Федерального закона от 27.07.2006 года № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных), Федеральным законом от 27.07.2006 года N 149-ФЗ "Об информации, информационных технологиях и защите информации", Трудовым кодексом Российской Федерации, другими действующими нормативными правовыми актами Российской Федерации,
в целях обеспечения защиты прав и свобод человека и гражданина при обработке, хранении и защиты его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Положение действует в отношении всех персональных данных, которые обрабатывает, хранит и защищает Оператор.
1.3. Положение распространяется на отношения в области обработки, хранении и защите персональных данных, возникшие у Оператора как до, так и после утверждения настоящего Положения.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящее Положение публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора и размещается копия Положения на информационном стенде.
2. Термины и принятые сокращения
2.1. Персональные данные (ПД) – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (далее – субъекту персональных данных).
2.2. ПД, разрешенные субъектом персональных данных для распространения – это ПД, доступ неограниченного и ограниченного круга лиц к которым предоставлен субъектом персональных данных путем подачи согласия на обработку ПД, разрешенных субъектом персональных данных для распространения.
2.3. Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с ПД, совершаемых с использованием средств автоматизации или без их использования. Обработка ПД включает в себя в том числе:
- сбор;
- запись;
- систематизацию;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передачу (предоставление, доступ);
- распространение;
- обезличивание;
- блокирование;
- удаление;
- уничтожение.
2.4. Обработка персональных данных – автоматизированная и неавтоматизированная обработка персональных данных с помощью средств вычислительной техники или непосредственно (в бумажном или электронном виде) ответственными лицами на электронных и бумажных носителях.
2.5. Предоставление персональных данных – действия, направленные на раскрытие ПД определенному лицу или определенному кругу лиц.
2.6. Распространение персональных данных – действия, направленные на раскрытие ПД неопределенному или определенному кругу лиц.
2.7. Блокирование персональных данных – временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД).
2.8. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание ПД и (или) в результате которых уничтожаются материальные (бумажные и электронные) носители с ПД.
2.9. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПД конкретному субъекту персональных данных.
2.10. Информационная система персональных данных – совокупность содержащихся в базах ПД и обеспечивающих их обработку, хранение и защиту с помощью информационных технологий и технических средств.
2.11. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2.12. Защита персональных данных – деятельность, направленная на предотвращение утечки защищаемых ПД, несанкционированных и непреднамеренных воздействий на защищаемые ПД.
2.13. Хранение персональных данных – персональные данные могут храниться в бумажном или электронном виде. Базы данных и иные персональные данные находятся на территории РФ, за исключением случаев предусмотренных в Законе о персональных данных, ст. 18, п. 5.
2.14. Хранение ПД осуществляется не дольше, чем нужно для целей обработки, хранения и защиты в формате, позволяющем определить субъекта персональных данных. После достижения цели ПД подлежат уничтожению или обезличиванию.
- Порядок и условия обработки, хранения и защиты
персональных данных
3.1. Обработка ПД осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
3.1.1. Обработка ПД осуществляется с согласия субъекта персональных данных на обработку их ПД, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
3.1.2. Цели обработки ПД:
- обеспечение соблюдения Конституции, федеральных законов и иных нормативных правовых актов Российской Федерации;
- осуществление своей деятельности в соответствии с Уставом Оператора;
- ведение кадрового делопроизводства;
- содействие работникам в трудоустройстве, получении образования и продвижении по службе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, обеспечение сохранности имущества;
- привлечение и отбор кандидатов на работу у Оператора;
- организация постановки на индивидуальный (персонифицированный) учет работников в системе обязательного пенсионного страхования;
- заполнение и передача в органы исполнительной власти и иные уполномоченные организации требуемых форм отчетности;
- осуществление гражданско-правовых отношений;
- ведение бухгалтерского учета;
- осуществление пропускного режима и другие цели, которые соответствуют законодательству Российской Федерации
3.1.3. Категории субъектов персональных данных.
- физические лица, состоящие с Оператором в трудовых отношениях;
- физические лица, уволившиеся из МБОУ ОЦ № 5 «Созвездие»;
- физические лица, являющиеся кандидатами на работу;
- физические лица, состоящие с Оператором в гражданско-правовых отношениях.
- физические лица, имеющие право на получение дошкольного, начального общего, основного общего и среднего общего образования;
- физические лица, являющиеся родителями (законными представителями), в т.ч. опекуны (попечители).
3.1.4. ПД, обрабатываемые Оператором:
- данные, полученные при осуществлении трудовых отношений;
- данные, полученные для осуществления отбора кандидатов на работу;
- данные, полученные при осуществлении гражданско-правовых отношений;
- данные, полученные при обеспечении права на получение дошкольного, начального, общего и среднего образования
3.1.5. Примерный состав персональных данных, подлежащих обработке, хранению и защите Оператором:
- фамилия, имя, отчество (последнее – при наличии); - дата рождения; - анкета; - автобиография; - семейное положение, наличие детей, родственные связи; - адрес места жительства (места пребывания); - домашний и мобильный телефон; - адрес электронной почты; - принадлежность лица к конкретной нации, этнической группе, расе; - религиозные и политические убеждения (принадлежность к религиозной конфессии, членство в политической партии, участие в общественных объединениях, в том числе в профсоюзе, и др.); - деловые и иные личные качества, которые носят оценочный характер;
- образование; - специальность; - квалификация; - дела, содержащие материалы по повышению квалификации и переподготовке работников, их аттестации, служебным расследованиям; - копии отчетов, направляемые в органы статистики; - копии документов об образовании; - рекомендации, характеристики;
- занимаемая должность; - сведения о трудовом и общем стаже; - сведения о предыдущем месте работы; - сведения о заработной плате работника; - подлинники и копии приказов по личному составу; - личные дела, трудовые книжки и сведения о трудовой деятельности работников; - основания к приказам по личному составу; - содержание трудового договора;
- паспортные данные или реквизиты документа, удостоверяющего личность; - сведения о воинском учете; - сведения о социальных льготах; - наличие и отсутствие судимостей; - ИНН, СНИЛС; - финансовое положение (доходы, долги, владение недвижимым имуществом, денежные вклады и др.); - содержание декларации, подаваемой в налоговую инспекцию; - реквизиты свидетельства о рождении ребенка или записи акта о рождении ребенка; - реквизиты документа, подтверждающего установление опеки (при наличии); - данные и документ, удостоверяющий личность иностранного гражданина или лица без гражданства в Российской Федерации в соответствии со статьей 10 Федерального закона от 25 июля 2002 г. № 115-ФЗ «О правовом положении иностранных граждан в Российской Федерации» (иностранные граждане и лица без гражданства все документы представляют на русском языке или вместе с заверенным переводом на русский язык);
- результаты медицинского обследования на предмет годности к осуществлению трудовых обязанностей; - данные, подтверждающие потребность в обучении ребенка с ограниченными возможностями здоровья по адаптированной образовательной программе и (или) в создании специальных условий для организации обучения и воспитания ребенка-инвалида в соответствии с индивидуальной программой реабилитации инвалида; - документы, подтверждающие потребность в обучении в группе оздоровительной направленности;
- привычки и увлечения, в том числе вредные (алкоголь, наркотики и др.); - фотографии и иные сведения, относящиеся к персональным данным работника; - прочие сведения, которые могут идентифицировать человека.
3.1.6. Из указанного списка Оператор вправе получать и использовать только те сведения, которые характеризуют лицо как сторону трудового договора или как кандидата на работу в МБОУ ОЦ № 5 «Созвездие», либо как лицо, имеющее право на получение дошкольного, начального общего, основного общего и среднего общего образования.
3.1.7. Согласие на обработку ПД, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его ПД.
3.1.8. Согласие на обработку ПД, разрешенных субъектом персональных данных для распространения, может быть предоставлено Оператору:
- непосредственно при личном посещении;
- с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных;
- по электронной почте.
3.1.9. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку ПД.
3.1.10. К обработке ПД допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.
3.1.11. Обработка ПД осуществляется путем:
- получения ПД в устной и письменной форме непосредственно с согласия субъекта персональных данных на обработку или распространение его ПД;
- внесения ПД в журналы, реестры и информационные системы Оператора;
- использования иных способов обработки ПД.
3.1.12. Не допускается раскрытие третьим лицам и распространение ПД без согласия субъекта персональных данных, если иное не предусмотрено федеральными законами.
3.1.13. Передача ПД органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
3.1.14. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
- определяет угрозы безопасности ПД при их обработке;
- принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
- назначает лиц, ответственных за обеспечение безопасности ПД в структурных подразделениях и информационных системах Оператора;
- создает необходимые условия для работы с ПД;
- организует учет документов, содержащих персональные данные;
- организует работу с информационными системами, в которых обрабатываются персональные данные;
- хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
- организует обучение работников Оператора, осуществляющих обработку персональных данных.
3.1.15. При сборе и обработке ПД, в том числе посредством информационно телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных.
3.1.16. Обработке подлежат только персональные данные, которые отвечают целям их обработки и исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
3.2. Хранение ПД обеспечивается:
3.2.1. Оператор осуществляет хранение ПД в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором или соглашением.
3.2.2. ПД субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение, как на бумажных носителях, так и в электронном виде.
3.2.3. ПД, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.
3.2.4. ПД субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных системах, сайтах, электронных носителях, облачных хранилищах и т.п.
3.2.5. Не допускается хранение и размещение документов, содержащих ПД, в открытых электронных каталогах (файлообменниках) с открытым доступом для неограниченного круга лиц.
3.2.6. Хранение ПД в форме, позволяющей определить субъекта ПД, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
3.2.7. Персональные данные являются конфиденциальными. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении срока хранения, если иное не определено законом. Документы по личному составу, законченные делопроизводством до 1 января 2003 года, хранятся 75 лет. Документы по личному составу, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет.
3.3. Уничтожение ПД обеспечивается:
3.3.1. Уничтожение документов (носителей), содержащих ПД, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
3.3.2. ПД на электронных носителях уничтожаются путем стирания или форматирования носителя.
3.3.3. Факт уничтожения ПД подтверждается документально Актом об уничтожении носителей.
3.4. Защита ПД обеспечивается:
3.4.1. В соответствии с требованиями нормативных документов Оператором создана система защиты ПД, осуществляющаяся посредством разработки и исполнения нормативной, организационной и технической защиты.
3.4.2. Нормативная защита представляет собой ряд правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование системы защиты ПД.
3.4.3. Организационная защита включает в себя организацию структуры управления, системы пропускного и внутриобъектового режимов, защиты служебной информации ограниченного распространения защиты информации при работе с работниками Оператора, воспитанниками, учащимися, родителями (законными представителями), сторонними лицами.
3.4.4. Технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПД.
3.4.5 Основными мерами защиты ПД, используемыми Оператором, являются:
- назначение лица, ответственного за обработку ПД, которое осуществляет организацию обработки ПД, обучение и инструктаж, внутренний контроль за соблюдением Оператором и его работниками требований к защите ПД.
- определение актуальных угроз безопасности ПД при их обработке, и разработка мер и мероприятий по защите ПД.
- разработка локальных нормативных и организационно-распорядительных актов в отношении обработки, хранении и защиты ПД.
- установление правил доступа к обрабатываемым ПД, а также обеспечение регистрации и учета всех действий, совершаемых с ПД.
- установление индивидуальных паролей доступа работников в информационные системы, материалы делопроизводства, архив и т.п. в соответствии с их производственными обязанностями.
- применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
- применение сертифицированного антивирусного программного обеспечения с регулярно обновляемыми базами.
- соблюдение условий, обеспечивающих сохранность ПД и исключающих несанкционированный к ним доступ.
- обнаружение фактов несанкционированного доступа к ПД и принятие мер.
- восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
- осуществление внутреннего контроля и аудита за обработкой, хранением и защитой ПД.
3.4.6. Внутренний доступ к ПД (Оператор) имеют:
- директор; - заместитель директора по учебно-воспитательной работе; - заместитель директора по воспитательной работе; - заместитель директора по научно-методической работе; - заместитель директора по административно-хозяйственной работе; - методист; - старший воспитатель; - специалист по кадрам; - специалист по охране труда; - учитель; - воспитатель; - делопроизводитель; - секретарь учебной части; - сам носитель данных.
3.4.7. Внешний доступ к ПД имеют:
- государственные и негосударственные функциональные структуры; - налоговые инспекции; - правоохранительные органы; - прокуратура; - органы статистики; - страховые агентства; - военные комиссариаты; - органы социального страхования; - подразделения муниципальных и региональных органов управления.
3.4.8. В другие организации ПД субъекта персональных данных могут быть предоставлены только при наличии официального письменного запроса на фирменном бланке организации с приложением копии заявления субъекта персональных данных.
3.4.9. Родственникам и членам семей ПД работника могут быть предоставлены только с письменного разрешения самого субъекта персональных данных.
- Основные права субъекта персональных данных и
обязанности Оператора
4.1. Основные права субъекта персональных данных:
4.1.2. Субъект персональных данных имеет право на доступ к его ПД и следующим сведениям:
- подтверждение факта обработки ПД Оператором;
- правовые основания и цели обработки ПД;
- цели и применяемые Оператором способы обработки ПД;
- наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с Оператором или на основании российского законодательства;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом ПД прав, предусмотренных Законом о персональных данных
- наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПД по поручению Оператора, если обработка поручена или будет поручена такому лицу;
- обращение к Оператору и направление ему запросов;
- обжалование действий или бездействия Оператора.
4.2. Субъект персональных данных обязан:
4.2.1. Передавать работодателю или его представителю комплекс достоверных документированных персональных данных, перечень которых установлен Трудовым кодексом Российской Федерации.
4.2.2. Своевременно в разумный срок, не превышающий 5 дней, сообщать работодателю об изменении своих персональных данных.
4.3. Обязанности Оператора:
4.3.1. При сборе ПД предоставить информацию об обработке ПД.
4.3.2. В случаях если ПД были получены не от субъекта персональных данных, уведомить субъекта персональных данных.
4.3.3. При отказе в предоставлении ПД субъекту персональных данных разъясняются последствия такого отказа.
4.3.4. Опубликовать на официальном сайте Оператора, разместить на информационных стендах МБОУ ОЦ № 5 «Созвездие» настоящее Положение, определяющее основные требования и положения в отношении процедуры обработки, хранении и защите ПД.
4.3.5. Принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД;
4.3.6. Давать ответы на запросы и обращения субъектов ПД, их представителей и уполномоченного органа по защите прав субъектов ПД.
5. Актуализация, исправление, удаление и уничтожение персональных данных
5.1. Подтверждение факта обработки ПД Оператором, правовые основания и цели обработки ПД, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его представителя.
5.2. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
5.3. При этом запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта персональных данных в гражданско-правовых или трудовых отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПД Оператором;
- подпись субъекта персональных данных или его представителя.
5.4. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
5.5. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
5.6. Право субъекта персональных данных на доступ к его ПД может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его ПД нарушает права и законные интересы третьих лиц.
5.7. В случае выявления неточных ПД при обращении субъекта персональных данных или его представителя, либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование ПД, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПД не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
5.8. В случае подтверждения факта неточности ПД Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет ПД в течение 7 рабочих дней со дня представления таких сведений и снимает блокирование ПД.
5.9. В случае выявления неправомерной обработки ПД при обращении (запросе) субъекта персональных данных или его представителя, либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых ПД, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
5.10. При достижении целей обработки ПД, а также в случае отзыва субъектом персональных данных согласия на их обработку ПД подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
- Ответственность сторон
6.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
6.2. Ответственность за нарушение требований законодательства Российской Федерации и локальны нормативных, организационно-распорядительных актов в области персональных данных определяется в соответствии с законодательством Российской Федерации.
- Заключительные положения
7.1. Настоящее Положение вступает в силу с момента утверждения и действует три года.