Работодатель отвечает за сохранность таких конфиденциальных сведений, как персональные данные сотрудников, которые он получил в связи с трудовыми отношениями. И одной из основных обязанностей в этой сфере является разработка и утверждение локальных нормативных актов.
О том, что это за документы, какие правила они содержат и как работодателю организовать весь процесс - от составления текста до выполнения закрепленных предписаний, - пойдет речь в нашей статье.
Читайте также:
Новая ответственность за нарушения в персданных.
Условия и правила защиты персональных данных
Правила и условия защиты персональных данных регламентируются:
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон № 152-ФЗ).
- Трудовым кодексом РФ.
- Иными федеральными законами.
- Подзаконными актами.
- Нормативными правовыми актами государственных органов, Банка России, органов местного самоуправления, принятыми ими на основании и во исполнение федеральных законов в пределах предоставленных полномочий.
- Локальными нормативными актами работодателя.
Закон № 152-ФЗ предусматривает, что у юридического лица должны быть:
- документы, определяющие политику оператора в отношении обработки персональных данных (п. 2 ч. 1 ст. 18.1);
- локальный нормативный акт по вопросам обработки персональных данных (п. 2 ч. 1 ст. 18.1);
- локальный нормативный акт, устанавливающий процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений (п. 2 ч. 1 ст. 18.1);
- локальный нормативный акт по вопросам обучения работников, непосредственно осуществляющих обработку персональных данных (п. 6 ч. 1 ст. 18.1).
Обратите внимание!
Если международным договором РФ установлены иные правила, нежели предусмотренные Законом № 152-ФЗ, применяются правила международного договора.
ТК РФ обязывает работодателя иметь:
- документы, устанавливающие порядок обработки персональных данных работников, в том числе определяющие их права и обязанности в области персональных данных;
- локальный нормативный акт, утверждающий порядок передачи персональных данных в пределах одной организации или у одного индивидуального предпринимателя.
Требования к операторам, осуществляющим обработку персональных данных
Какие требования предъявляются к операторам, обрабатывающим персональные данные в информационных системах?
Из постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» можно сделать вывод, что помимо перечисленных выше мер оператор для обеспечения безопасности персональных данных должен также определить лицо, осуществляющее их обработку.
Кроме того, в зависимости от уровня защищенности персональных данных (а их всего четыре) оператор также должен:
- определить круг лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
- создать структурное подразделение, ответственное за обеспечение безопасности персональных данных в информационной системе, либо возложить такую функцию на одно из имеющихся подразделений.
Словарь кадровика
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Закона № 152-ФЗ).
Существуют ли какие-то требования к составу локальных документов в случае обработки персональных данных сотрудников без использования автоматических систем?
В силу постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (далее - постановление Правительства № 687) оператор должен определить Правила обработки персональных данных, осуществляемой без использования средств автоматизации, и ознакомить с ними лиц, занимающихся такой обработкой. Также предусматривается необходимость закрепления:
- перечня лиц, осуществляющих обработку персональных данных без средств автоматизации;
- перечня мер, необходимых для обеспечения сохранности персональных данных при обработке без использования средств автоматизации;
- перечня лиц, ответственных за реализацию указанных мер.
Полагаем, что все эти три документа могут быть объединены в один локальный нормативный акт.
При этом, несмотря на формулировку «перечень лиц», целесообразно указывать должности согласно штатному расписанию, а не называть пофамильно конкретных сотрудников, осуществляющих обработку персональных данных.
Итак, нормативно закреплен достаточно обширный перечень локальных нормативных актов по защите персональных данных. Их конкретный набор зависит от того, какие персональные данные и каким способом обрабатываются в данной компании.
Кроме того, локальные документы по защите персональных данных можно разграничить по принципу, должны ли они быть доступны всем сотрудникам или только некоторым.
Положение об обеспечении конфиденциальности, обработке и передаче персональных данных работников организации должно быть доступно всем сотрудникам, так как речь идет об их персональных данных.
Дополнительно могут быть разработаны и утверждены положения об обеспечении безопасности персональных данных, об их обработке в информационных системах, о структурном подразделении по обеспечению безопасности персональных данных. Эти акты должны быть доступны только тем сотрудникам, которые обеспечивают безопасность персональных данных.
Иными словами, в первом случае речь идет об исполнении обязанностей работодателя по обеспечению конфиденциальности, обработке и передаче персональных данных, во втором - о защите персональных данных работодателем и лицами, которые получают к ним доступ.
Содержание локального акта, регулирующего вопросы обработки персональных данных
Локальный нормативный акт, регулирующий вопросы обработки персональных данных, может состоять из следующих разделов:
1. Общие положения.
Здесь следует раскрыть цели и задачи учета, хранения, обработки персональных данных.
2. Перечень персональных данных.
При составлении перечня необходимо принимать во внимание общедоступность персональных данных. Общедоступными они становятся в двух случаях.
Случай 1 . В силу прямого указания закона.
Так, согласно ст. 29 Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» образовательное учреждение обязано размещать на официальном сайте сведения о руководителе образовательной организации, его заместителях, руководителях филиалов (при их наличии); о персональном составе педагогических работников с указанием уровня образования, квалификации и опыта работы.
Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в РФ» обязывает медицинскую организацию информировать Словарь кадровика Оператор - государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее ее цели, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными (п. 2 ст. 3 Закона № 152-ФЗ) граждан в доступной форме, в том числе с использованием Интернета, о мед работниках медицинских организаций, об уровне их образования и квалификации (ст. 79).
Федеральный закон от 03.12.2012 № 230-ФЗ «О контроле за соответствием расходов лиц, замещающих государственные должности, и иных лиц их доходам» обязывает граждан, занимающих определенные государственные и муниципальные должности, предоставлять для размещения в Интернете на официальных сайтах федеральных госорганов, госорганов субъектов Российской Федерации, органов местного самоуправления, Банка России, государственных корпораций, Пенсионного фонда Российской Федерации, Фонда социального страхования Российской Федерации, Федерального фонда обязательного медицинского страхования, иных организаций, созданных Российской Федерацией на основании федеральных законов, сведения об источниках получения средств, за счет которых совершена сделка по приобретению земельного участка, другого объекта недвижимости, транспортного средства, ценных бумаг, акций (долей участия, паев в уставных (складочных) капиталах организаций), если сумма сделки превышает общий доход этого гражданина и его супруги (супруга) за три последних года, предшествовавших совершению сделки.
Случай 2. По решению самого субъекта персональных данных.
Если федеральным законом перечень общедоступных персональных данных не определен, субъект персональных данных может сделать их общедоступными сам, подписав соответствующее согласие.
Очевидно, что в трудовых отношениях существует необходимость рассмотрения в качестве общедоступных сведений о фамилии, имени, отчестве, должности работника. Такая общедоступность внутри компании требуется, например, для обеспечения коммуникаций, организации внутренних телефонных и почтовых справочников и др.
Также в данном разделе желательно указать, какие документы содержат персональные данные работников.
3. Порядок обработки персональных данных.
Здесь прописываются правила работы с персональными данными соискателей, работников, бывших сотрудников. Перечисляются органы и организации, в которые компетентные лица работодателя обязаны представлять персональные данные работников без их согласия.
Словарь кадровика
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без их использования с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Закона № 152-ФЗ)
4. Перечень должностей и (или) лиц, имеющих доступ к персональным данным работников.
Перечисляются должности, замещение которых предполагает работу с персональными данными сотрудников.
5. Порядок доступа к персональным данным. Правила их передачи.
В этом разделе устанавливается порядок доступа к персональным данным. Прописывается регламент их передачи внутри организации и за ее пределы. Определяется процедура допуска должностных лиц работодателя к персональным данным.
6. Ответственность работодателя за соблюдение режима конфиденциальности персональных данных работников.
7. Ответственность должностных лиц работодателя за разглашение персональных данных.
8. Заключительные положения.
В локальном акте также должны быть предусмотрены организационные и технические меры защиты, аналогичные тем, что обеспечивают защиту коммерческой тайны в компании.
Параллельно ведомство дает разъяснения. В том числе, и о форме локального нормативного акта (далее ЛНА) в области обработки персональных данных. Разъяснения — не нормативный акт, но учитывать их стоит: в ходе проверок инспекторы обращают внимание на такие рекомендации.
Какие условия должны быть указаны в ЛНА?
1. Локальный нормативный акт должен быть утвержден генеральным директором, директором, советом директоров или другими уполномоченными лицами, определенными уставом компании.2. При утверждении ЛНА не обязательно учитывать мнение представительного органа работников.
3. Закон не устанавливает требований к количеству ЛНА по работе с персональными данными. Часто у работодателей целый свод таких положений.
Например, ЛНА могут определять:
- общие принципы обработки данных,
- порядок обработки данных на бумажных носителях,
- порядок обработки данных в информационных системах,
- порядок хранения персональных данных,
- порядок передачи данных,
- порядок обработки данных должностными лицами и проч.
- «персональные данные»,
- «оператор»,
- «обработка персональных данных»,
- «трансграничная передача персональных данных» и проч.
Что написать в ЛНА
Цели обработки персональных данных и содержаниеОни должны быть конкретными и законными. Могут опираться на регламенты деятельности работодателя, бизнес-процессы и проч.
Примеры целей:
- использование персональных данных в информационных системах, с которыми работает компания,
- использование данных при составлении документов,
- передача данных в государственные инстанции (ФСС, ПФР, ФНС и проч.) и другие организации (банки, страховые компании, гостиницы и проч.),
- сбор данных для принятия решения о приеме кандидата на работу и проч.
Указанные в ЛНА персональные данные не должны быть избыточными по отношению к целям.
Например, если речь об обработке персональных данных соискателя, цель — рассмотрение кандидатуры на конкретную должность. Для этой цели достаточно фамилии, имени, отчества, даты, месяца и года рождения, уровня образования, опыта работы, квалификации, знания иностранных языков, контактных телефонов, email.
Если нужно, в ЛНА можно прописать обработку биометрических и специальных персональных данных субъектов (расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья). Доступ к персональным данным
В ЛНА нужно указать перечень должностных лиц, у которых будет внутренний и внешний доступ к персональным данным.
Внутренний доступ.
Может быть полным и ограниченным.
При полном доступе достаточно указать перечень должностей, которым дан такой доступ к персональным данным сотрудников.
При ограниченном — указать должности, перечень персональных данных и действий с ними (с указанием целей обработки).
Также нужно назначить сотрудника, который будет отвечать за обработку персональных данных в компании (ч. 1 п. 1 ст. 18.1 Закона № 152-ФЗ «О персональных данных»).
Назначить можно прямым приказом работодателя или прописать должность в ЛНА.
Желательно, чтобы сотрудник имел отношение к работе с персональными данными: IT-специалист, HR, специалист по подбору и проч. Он будет получать указания от исполнительного органа компании (дирекция, правление, генеральный директор и проч.).
Ответственный сотрудник будет:
- контролировать соблюдение законодательства РФ о персональных данных, в том числе требований к их защите;
- информировать сотрудников о новых нормах, локальных актах о персональных данных;
- принимать и обрабатывать обращения и запросы сотрудников и (или) их представителей по вопросам обработки персональных данных.
В ЛНА нужно указать:
- наименование и местонахождение третьих лиц,
- цели передачи данных и объемы,
- перечень действий по обработке,
- способы обработки,
- требования к защите данных.
Нужно прописать порядок хранения данных и документов, в которых они содержатся (копии паспортов сотрудников, СНИЛС, ИНН и проч.).
Базы данных с персональными данными работников должны находиться на территории Российской Федерации. В ЛНА нужно указать место нахождения таких баз.
Рекомендую отдельно указать сроки хранения данных (не дольше, чем этого требуют цели обработки) в информационных системах и на бумажных носителях. Исключение, когда сроки хранения данных установлены федеральным законом, договором с субъектом персональных данных (сотрудником, партнером и проч.).
Уточните в локальном нормативном акте порядок действий при получении запросов (других обращений) на исправление, удаление, уничтожение персональных данных и прочих требований. Включите в ЛНА формы таких запросов (обращений). Обеспечение конфиденциальности данных
В ЛНА стоит прописать меры, которые компания предпримет для сохранения конфиденциальности персональных данных.
Основные требования к компании (ст. 18.1, 19 Закона № 152- ФЗ «О персональных данных», Приказ ФСТЭК России от 18.02.2013 № 21):
- определение угроз безопасности,
- обнаружение фактов несанкционированного доступа,
- применение мер по обеспечению безопасной обработки данных,
- защита технических средств, на которых хранятся данные,
- установка антивирусов и проч.
Речь об информации о лицах, которые один раз прошли на территорию предприятия. При этом у охраны есть распоряжение при пропуске гостей спрашивать у них ФИО, брать у них паспортные данные и проч.
В таких ситуациях можно вести бумажный журнал однократного пропуска на территорию компании (Постановление Правительства РФ от 15.09.2008 № 687). Копировать информацию из журнала нельзя.
В ЛНА нужно закрепить:
- порядок пропуска гостей на территорию предприятия (ведение журнала и проч.),
- данные, которые охрана запрашивает у гостей и вносит в журнал,
- цели сбора и обработки данных гостей,
- сроки обработки данных,
- перечень лиц (имена или должности), которые ведут журнал и отвечают за его сохранность и проч.
Локальный нормативный акт можно опубликовать на сайте компании, на внутреннем портале организации, наконец, на стендах в офисе. Главное — донести информацию до реальных и потенциальных субъектов персональных данных (сотрудников, партнеров и проч.).
Определяет как любую информацию, прямо или косвенно относящуюся к субъекту или позволяющую его идентифицировать (п.1 ст. 3). При этом законодательный акт не содержит разъяснения, какие именно сведения о физическом лице включает в себя данное понятие. В контексте трудовых отношений к ним, как правило, относятся:
- дата рождения;
- паспортные данные;
- адрес регистрации и проживания;
- номер СНИЛС;
- информация об образовании и трудовом стаже.
Это лишь минимальный перечень сведений о себе, которые человек предоставляет при приеме на работу. В процессе сотрудничества к нему добавляются: условия трудового договора и дополнительных соглашений, сведения о постановке на воинский учет, социальные льготы, данные о дисциплинарных взысканиях и поощрениях, отчеты для органов статистики и прочие. Массив полученной информации составляет личное дело работника.
Для чего нужно положение о работе с персональными данными
Принимая человека на работу, предприятие берет на себя функции оператора по обработке данных. Иными словами, работодатель осуществляет сбор, хранение, систематизацию, накопление и обновление информации, касающейся работников. Работа с личными данными ведется как с использованием средств автоматизации, так и без их применения. Обработка конфиденциальных сведений осуществляется не только в период сотрудничества, но и после его завершения, на стадии архивирования. Ст. 22.1 обязывает организации хранить личные дела работников в течение 75 лет. На всех этапах обработки личных сведений работодатель обязан предотвращать передачу их третьим лицам при отсутствии на то законных оснований. Комплекс соответствующих мер должен быть задокументирован как положение о работе с персональными данными работников.
Структура положения о персональных данных
Составляя положение о защите персональных данных 2019, рекомендуется придерживаться следующей структуры:
| № | Раздел | Содержание |
| 1 | Основные положения | Цели документа, законы, порядок утверждения |
| 2 | Основные понятия | Определения понятий, упортребляемых в документе |
| 3 | Состав персональных данных работников | Перечень личных сведений |
| 4 | Обработка данных | Условия обработки информации |
| 5 | Комплекс документов | Перечень документов, содержащих личные сведения |
| 6 | Доступ к персональным данным | Порядок внешнего и внутреннего доступа к информации |
| 7 | Защита персональных данных | Комплекс мер для обеспечения безопасности конфиденциальных сведений |
| 8 | Права и обязанности работника | Права работника в отношении обработки данных, обязанность по своевременному уведомлению об их изменении |
| 9 | Ответственность за разглашение информации | Разъяснение ответственности за нарушение сохранности информации в соответствии с законодательством |
Как ввести в действие положение об обработке и защите персональных данных 2019
На этапе разработки документа его содержание следует согласовать с руководителями отделов, задействованных в обработке данных, и юридической службой. Готовый локальный нормативный акт утверждается . Приказ также издается в случае внесения изменений в текст документа. Если по каким-либо причинам положение о защите личных данных отсутствует на предприятии, необходимо незамедлительно его оформить и довести его содержание до всех работников. Сотрудники, принимаемые на работу, должны прочесть положение до подписания трудового договора. Подтверждение ознакомления с текстом оформляется на усмотрение работодателя. Наиболее удобный способ - ведение журнала ознакомления с локальными нормативными актами. При необходимости работник может сколько угодно раз обращаться за текстом документа. Чтобы упростить данную процедуру, рекомендуется выложить образец положения об обработке персональных данных работника в ресурсы корпоративного электронного доступа.
Публикуем весь перечень документов, касающихся хранения и обработки персональных данных на сайте, с образцами и рекомендациями по их заполнению.
Список мер обеспечения безопасности внушительный, и для успешного прохождения проверки Роскомнадзора нужно подготовить немало документов. Чтобы все это понять, требуется техническая подготовка. Для новичка это не так просто, но лучше обезопасить себя.
Некоторые компании и сайты оказывают услуги в их подготовке: Контур , Б-152 , FreshDoc . А можно скачать шаблоны этих документов.
В любом случае, вы должны проверить внутренние системы защиты персональных данных и подготовить документы:
1. Перечень сведений конфиденциального характера
Это документ, в котором будет содержаться информация обо всех категориях и видах персональных данных, которые вы обрабатываете. Укажите, что Перечень разработан в соответствии с законом «О персональных данных» и Уставом организации (если вы представляете юрлицо), четко обозначьте ВСЕ виды категории персональных данных. Это можно сделать в виде таблицы. В этом же документе советуем указать цели и сроки обработки персональных данных. Пример .
2. Инструкция администратора информационной безопасности
Администратор информационной системы персональных данных назначается приказом руководителя. В Инструкции перечисляем должностные обязанности, такие, например, как «знать и выполнять требования всех регулирующих документов, которые регламентируют порядок по защите информации», «обеспечивать установку, настройку и обновление информационной системы персональных данных», «обеспечивать функционирование средств защиты системы», «обеспечивать выполнение требований по обеспечению безопасности информации» и пр. Примеры: первый , второй .
3. Приказ о назначении лиц, ответственных за организацию обработки персональных данных и перечне мер по защите персональных данных (для организаций).
4. Перечень персональных данных, подлежащих защите в информационных системах.
Пример.
Рекомендации Роскомнадзора по составлению документа , определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»
5. Приказ об утверждении мест хранения персональных данных.
Если вы храните персональные данные на материальных носителях, необходимо утвердить места хранения. Пример .
6. Перечень помещений, в которых ведется обработка персональных данных.
7. Инструкция пользователей информационной системы персональных данных.
Этот документ определяет должностные обязанности всех, кто работает с персональными данными (осуществляет обработку и пр.). Пример.
8. Приказ о назначении комиссии по уничтожению персональных данных.
Уничтожению персональных данных придается особое значение. После того, как цели обработки выполнены, персональные данные должны быть уничтожены. Подробнее про уничтожение персональных данных написано . Пример Приказа .
9. Проект системы защиты информационной системы персональных данных. Пример .
10. Порядок резервирования и восстановления работоспособности технических средств и программного обеспечения, баз данных и средств защиты информации. Пример .
11. План внутренних проверок режима защиты персональных данных.
План можно сделать в виде таблицы, там укажите, с какой периодичностью будут осуществляться проверки режима и оборудования. Пример .
12. Приказ о вводе в эксплуатацию информационной системы персональных данных, заключение о вводе в эксплуатацию информационной системы персональных данных. Пример .
13. Журнал учета носителей информации информационной системы персональных данных.
14. Журнал учета мероприятий по контролю обеспечения защиты персональных данных.
Журнал можно сделать в виде таблицы и записывать туда проводимые мероприятия. Пример .
15. План проведения внутренних проверок состояния защиты ПД.
Образец документа можно найти и .
16. Журнал учета обращений граждан-субъектов персональных данных о выполнении их законных прав.
Сюда запишите всех, кто обращается за информацией о своих персональных данных. Пример .
17. Правила обработки персональных данных без использования средств автоматизации. О регулировании .
18. Положение о разграничении прав доступа к обрабатываемым персональным данным. Пример .
19. Акт классификации информационной системы персональных данных.
Информационная система – «совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств» (Закон РФ «Об информации, информатизации и защите информации»). Примером информационной системы может быть база данных, содержащая персональные данные, используемая в вашей организации. Даже если вы просто владелец сайта, то говорить об информационной системе мы можем тогда, когда собранные на сайте персональные данные заносятся в базу и потом обрабатываются.
20. Инструкция по проведения антивирусного контроля в информационной системе персональных данных. Пример .
21. Инструкция по организации парольной защиты.
22. Журнал периодического тестирования средств защиты информации.
23. Форма акта уничтожения документов, содержащих персональные данные.
Если вы владелец сайта, обязательно создайте список, в котором вы будете фиксировать уничтожение персональных данных (что было сделано и когда). Пример и ещё .
24. Журнал учета средств защиты информации(перечень технических средств). Пример .
25. Журнал проведения инструктажа по информационной безопасности (для организаций).
26. Инструкция пользователю по обеспечению безопасности при возникновении внештатных ситуаций.
27. Приказ о перечне лиц, допущенных к обработке персональных данных.
28. Положение о защите персональных данных.
Цель этого документа – защитить персональные данные от несанкционированного доступа. В Положении можно прописать следующее: понятия из законодательства, цели и основания для обработки, права и обязанности оператора и субъектов персональных данных.
Опишите, как регламентируется внутренний доступ к персональным данным, кто имеет право доступа, каким образом ограничивается доступ, какие меры внутренней и внешней защиты применяются (пароли, регламентация состава работников, имеющих доступ к работе с персональными данными, обеспечение безопасности хранения персональных данных от посторонних), обязательно укажите ответственность за разглашение (для сотрудников).
29. Соглашение о неразглашении персональных данных.
Это соглашение подписывает каждый, кто имеет доступ к персональным данным. Перечислите все сведения, не подлежащие разглашению, объясните, почему и зачем это делается («я понимаю, что мне приходится заниматься сбором, хранением, обработкой персональных данных, обязуюсь соблюдать все требования, описанные в «Положении о защите персональных данных»»). Пример .
30. План мероприятий по обеспечению безопасности персональных данных.
В этом документе укажите мероприятия, сроки и исполнителя: установку антивирусной программы, установку паролей, внедрение доработок и обновлений и пр. Пример .
31. Модель угроз безопасности в информационной системе персональных данных.
Угрозы безопасности – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
В соответствии со статьей 19 закона «О персональных данных» персональные данные должны быть защищены от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий. .
Смысл этого документа – определить возможные угрозы безопасности системы персональных данных и описать, какие способы защиты будут использоваться при их возникновении. Пример .
32. Форма ответа на запрос субъекта персональных данных. Пример .
Не забывайте заполнять и обновлять эти документы!
Если после прочтения материала у вас остались вопросы (вы не совсем поняли, что является персональными данными, сомневаетесь, надо ли регистрироваться в реестре Роскомнадзора, не знаете, как оформить соглашение об обработке данных, и прочее, и прочее), пишите на [email protected].
Образовательная организация должна обеспечивать защиту сведений, составляющих государственную или иную охраняемую законом тайну при реализации образовательных программ с применением электронного обучения либо (ст. 16 № 273-ФЗ). Здесь возникает вопрос использования таких сведений, как персональные данные в образовательном учреждении.
В статье 28 закона «Об образовании» не указана обязанность образовательной организации по обеспечению . Однако хотелось бы подчеркнуть, что существует отдельный отраслевой закон «О персональных данных» № 152-ФЗ, который определяет в качестве оператора любое юридическое лицо, которое осуществляет обработку персональных данных. Данное определение настолько широкое, что под него подпадает и деятельность образовательной организации.
Особенностью закона № 152-ФЗ является то, что он, возлагая ответственность по надлежащей обработке, при этом оставляет полную свободу при разработке локальной нормативной базы. Таким образом, образовательная организация свободна в перечне данных. Рассмотрим их примерный список.
Локальный акт образовательной организации «Положение об обработке персональных данных»
Основной локальный акт по защите персональных данных в образовательной организации называется «Положение об обработке персональных данных». Необходимо учитывать основную ошибку, которую часто допускают при разработке такого важного документа - не учитываются все субъекты, данные которых обрабатываются.
Согласно федеральному закону № 152, обрабатывается информация разных субъектов (работников, обучающихся, родителей). Можно издать целых два таких положения: в отношении работников и в отношении обучающихся/воспитанников. Но возможно обойтись одним документом, это решение сугубо индивидуальное.
При разработке этого локального акта в образовательной организации необходимо учитывать следующие основные вопросы:
Какие документы регламентируют работу с персональными данными? Необходимо перечислить все документы.
Какие персональные данные обрабатываются и в каких документах содержатся?
Каковы условия получения и (что немаловажно) хранения персональных данных? Существуют требования законодательства к условиям их хранения.
Какая ответственность установлена за нарушение законодательства? Укажите ответственность по защите персональных данных именно в вашей образовательной организации.
Как осуществляется доступ работников к персональным данным?
Как осуществляется доступ лиц, не являющихся работниками (это родители, медицинские работники, представители государственных и муниципальных органов, учредители)?
Как выше уже было сказано, локальный акт образовательной организации может быть единым, в котором урегулированы все вопросы. В развитие его могут быть приняты типовые формы обработка персональных данных в школе, такие как «Форма согласия», например.
Какие еще могут быть локальные акты образовательной организации по защите персональных данных?
- Отдельным локальным актом можно регламентировать порядок хранения персональных данных. «Инструкция по обеспечению безопасности (»это достаточно сложный с технической точки зрения документ, в разработке которого необходима помощь технических сотрудников.
- «Требования к педагогическим работникам, выполняющим функции классного руководителя».
- Если классный руководитель работает с электронными журналами, это должно обязательно находить отражение в его должностной инструкции, так как именно он является ответственным за внесение данных в электронный журнал и учащихся.
- «Инструкция по работе с персональными данными в автоматизированной информационной системе ”Электронный дневник”» может быть отдельной, если нужно подробно прописать вопросы, которые регулируют использование этих данных именно в системе электронного дневника: перечень действий, ответственность и пр.
- «Требования к помещениям по работе с персональными данными» и т.д.
Помимо локальных актов в образовательной организации могут существовать другие подписанные работниками документы по защите:
- утвержденные перечни лиц, имеющие доступ к тем или иным;
- обязательства о неразглашении;
- согласие на обработку данных.
Если говорить о документе «Согласие на обработку персональных данных», то оно может даваться по разным поводам, в зависимости от целей обработки таких сведений. Главное - это соблюсти определенную форму, обусловленную законодательством.
Также к документам, касающихся защиты персональных данных в образовательной организации, могут быть отнесены уведомления, например, о получении персональных данных от третьих лиц, запросы и заявления.
Необходимо учитывать, что каждая образовательная организация является уникальной, в том числе в части использования, обработки и защиты персональных данных в школе. Возможно, образовательная организация вообще не обрабатывает персональные данные автоматизированным способом, а только осуществляет обработку без использования средств автоматизации. Соответственно, перечень локальных актов будет совершенно другим.