I. Общие положения
1.Положение о порядке обработки и защите персональных данных обучающихся и работников МБОУ Салтановская СОШ (далее – Положение) разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации (далее – ТК РФ), Федеральными законами от 27.07.2006г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», от 27.07.2006г. № 152-ФЗ «О персональных данных».
2. Положение является локальным нормативным актом, регламентирующим порядок обеспечения защиты персональных данных обучающихся и работников при их обработке в образовательном учреждении, в том числе защиты от несанкционированного доступа, неправомерного их использования или утраты.
3. Настоящим Положением определяется порядок получения, обработки, хранения, передачи и любого другого использования персональных данных обучающихся и работников, права и обязанности работников и руководителя образовательного учреждения, а также ответственность лиц, имеющих доступ к персональным данным обучающихся и работников, за невыполнение правовых норм, регулирующих обработку и защиту персональных данных .
- Состав персональных данных работников
1. К персональным данным работников, получаемым работодателем и подлежащим хранению у работодателя в порядке, предусмотренном законодательством Российской Федерации и настоящим Положением, относятся следующие документы, содержащиеся в личных делах работников:
копия паспорта (паспортные данные работника);
копия страхового свидетельства государственного пенсионного страхования;
копия документа воинского учета (для военнообязанных и лиц, подлежащих призыву на военную службу);
копия документа об образовании, квалификации или наличии специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки);
анкетные данные, заполненные работником при поступлении на работу или в процессе работы (в т.ч. автобиография, сведения о семейном положении работника, перемене фамилии, наличии детей и иждивенцев);
иные документы, которые с учетом специфики работы и в соответствии с законодательством РФ должны быть предъявлены работником при заключении трудового договора или в период его действия;
трудовой договор (соглашения о внесении изменений и дополнений в него);
заключение по данным психологического исследования (если такое имеется);
копии приказов о приеме, переводах, увольнении, повышении заработной платы, премировании, поощрениях и взысканиях;
личная карточка по форме Т-2;
заявления, объяснительные и служебные записки работника;
документы о прохождении работником аттестации, собеседования, повышения квалификации (аттестационный лист);
иные документы, содержащие сведения о работнике, нахождение которых в личном деле работника необходимо для документального оформления трудовых правоотношений с работником.
2. Документы, содержащие персональные данные работников, создаются путем:
копирования оригиналов;
внесения сведений в учетные формы (на бумажных и электронных носителях);
получения оригиналов необходимых документов.
- Основные условия проведения обработки персональных данных работников
1. При определении объема и содержания обрабатываемых персональных данных работников работодатель должен руководствоваться Конституцией РФ, ТК РФ и иными федеральными законами.
2. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
3. Персональные данные следует получать у самого работника. Если персональные данные работника, возможно, получить только у третьей стороны, то работник должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.
4. При получении персональных данных работодатель должен сообщить работнику о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
5. Работодатель не имеет права получать и обрабатывать персональные данные работника о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, данные о частной жизни работника (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны работодателем только с его письменного согласия.
6. Работодатель не имеет права получать и обрабатывать персональные данные работника о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.
7. При получении персональных данных не от работника (за исключением случаев, если персональные данные были предоставлены работодателю на основании федерального закона или если персональные данные являются общедоступными), работодатель до начала обработки таких персональных данных обязан предоставить работнику следующую информацию:
наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
цель обработки персональных данных и ее правовое основание;
предполагаемые пользователи персональных данных;
установленные законодательством права субъекта персональных данных.
8 Обработка указанных персональных данных работников работодателем возможна без их согласия в следующих случаях:
персональные данные являются общедоступными;
персональные данные относятся к состоянию здоровья работника и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия работника невозможно;
по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.
9. Работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
IV. Хранение и передача персональных данных работников
1. Персональные данные работников образовательного учреждения могут храниться на бумажных и электронных носителях .
2. Для организации хранения персональных данных в образовательном учреждении специалисты по информационной работе и другие специалисты проводят мероприятия по определению круга информационных систем и совокупности обрабатываемых персональных данных, категорированию персональных данных и предварительной классификации информационных систем.
3. В процессе хранения персональных данных работников необходимо обеспечивать:
требования законодательства, устанавливающие правила хранения конфиденциальных сведений;
сохранность имеющихся данных, ограничение доступа к ним в соответствии с законодательством РФ и настоящим Положением;
контроль за достоверностью и полнотой персональных данных, их регулярное обновление и внесение по мере необходимости соответствующих изменений.
4. Доступ к персональным данным работников разрешается только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.
5. Внутренний доступ к персональным данным работников в образовательном учреждении осуществляется в соответствии со списком лиц, уполномоченных на получение и доступ к персональным данным, утвержденным приказом руководителя образовательного учреждения.
Иные права и обязанности работников образовательного учреждения, в трудовые обязанности которых входит обработка персональных данных работников, определяются также должностными инструкциями.
6. Право внутреннего доступа к персональным данным работников образовательного учреждения имеют:
- руководитель организации;
- работник, чьи персональные данные подлежат обработке;
- работники, уполномоченные в соответствии с приказом на получение и доступ к персональным данным работников.
7. В целях обеспечения надлежащего выполнения трудовых обязанностей доступ к персональным данным работника может быть предоставлен на основании приказа руководителя образовательного учреждения иному работнику, должность которого не включена в список лиц, уполномоченных на получение и доступ к персональным данным.
8. Юридическим и физическим лицам, оказывающим услуги образовательному учреждению на основании заключенных гражданско-правовых договоров (либо на иных основаниях), которым необходим доступ к персональным данным работников образовательного учреждения в связи с выполнением ими обязательств по указанным договорам, соответствующие данные могут предоставляться работодателем только после подписания с ними соглашения о неразглашении конфиденциальной информации.
В исключительных случаях, исходя из договорных отношений с третьими лицами, допускается наличие в договорах пунктов о неразглашении конфиденциальной информации, в том числе предусматривающих защиту персональных данных работников.
9. Работники, осуществляющие обработку персональных данных, должны быть уведомлены в письменной форме о своей обязанности не разглашать персональные данные работников, к которым они получили доступ.
10. Получателями персональных данных работника вне образовательного учреждения на законном основании являются органы пенсионного обеспечения, органы социального страхования, определяемые в соответствии с федеральными законами о конкретных видах обязательного социального страхования; органы прокуратуры и другие правоохранительные органы; налоговые органы; федеральная инспекция труда; профессиональные союзы, а также иные органы и организации в соответствии с федеральными законами.
11. Работодатель не может сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.
12. Работодатель обязан передавать персональные данные работника представителям работников в порядке, установленном ТК РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными работника, которые необходимы для выполнения указанными представителями их функций.
13. Любые лица, обладающие доступом к персональным данным работников образовательного учреждения, обязаны соблюдать специальный режим их использования и защиты. Лица, получившие персональные данные работника на законном основании, обязаны использовать их исключительно в целях, которые заявлялись при запросе соответствующей информации, а также не разглашать такую информацию (исключения из данного правила определяются только федеральными законами).
Лицо, которое получает личное дело другого работника во временное пользование, не имеет права делать в нем какие-либо пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.
V. Способы защиты персональных данных работников.
1. Защита персональных данных работников представляет собой регламентированный технологический, организационный и иной процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных работников образовательного учреждения и обеспечивающий надежную безопасность информации.
2. Защита персональных данных работников от неправомерного их использования или утраты обеспечивается работодателем за счет его средств в порядке, установленном федеральным законом.
3. Для обеспечения внутренней защиты персональных данных работников работодатель:
регламентирует состав работников, функциональные обязанности которых требуют соблюдения режима конфиденциальности;
избирательно и обоснованно распределяет документы и информацию между работниками, имеющими доступ к персональным данным;
своевременно обеспечивает работников информацией о требованиях законодательства по защите персональных данных;
обеспечивает организацию порядка уничтожения информации;
проводит разъяснительную работу с работниками, имеющими доступ к персональным данным, по предупреждению утраты сведений при работе с персональными данными.
4. Защита сведений, хранящихся в электронных базах данных работодателя, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается разграничением прав доступа с использованием учетной записи и системой паролей.
5. Для обеспечения внешней защиты персональных данных работников образовательное учреждение:
обеспечивает порядок приема, учета и контроля деятельности посетителей;
организует пропускной режим;
обеспечивает охрану территории, зданий, помещений, транспортных средств.
6. Все лица, связанные с получением, обработкой и защитой персональных данных, обязаны подписать обязательство о неразглашении персональных данных работников.
7. В случае выявления недостоверных персональных данных работника или неправомерных действий с ними на период проверки работодатель обязан осуществить блокирование персональных данных работника с момента обращения его самого или его законного представителя либо получения запроса уполномоченного органа по защите прав субъектов.
8. При выявлении неправомерных действий с персональными данными работника работодатель обязан устранить допущенные нарушения не более трех рабочих дней с даты такого выявления.
В случае невозможности устранения допущенных нарушений работодатель не позднее чем через три рабочих дня с даты выявления неправомерности действий с персональными данными работника обязан уничтожить персональные данные работника.
9. В случае отзыва работником согласия на обработку своих персональных данных работодатель обязан прекратить обработку персональных данных работника и уничтожить их в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между работником и работодателем.
- Права работников в целях обеспечения защиты персональных данных, хранящихся у работодателя
1. В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право на бесплатное получение полной информации о:
лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
перечне обрабатываемых персональных данных и источниках их получения;
сроках обработки персональных данных, в том числе сроках их хранения;
юридических последствиях обработки их персональных данных.
2. Работники имеют право на:
бесплатное получение полной информации о своих персональных данных и обработке этих данных;
свободный бесплатный доступ к своим персональным данным, в том числе на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральным законом;
определение своих представителей для защиты своих персональных данных;
доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;
требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ или иного федерального закона. При отказе работодателя исключить или исправить персональные данные работника он имеет право заявить в письменной форме работодателю о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;
требование об извещении работодателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжалование в суд любых неправомерных действий или бездействия работодателя при обработке и защите его персональных данных.
3. Работники не должны отказываться от своих прав на сохранение и защиту тайны.
VII. Обязанности работников в целях обеспечения достоверности их персональных данных
1. В целях обеспечения достоверности персональных данных работники обязаны:
при приеме на работу в образовательное учреждение представлять о себе достоверные сведения в порядке и объеме, предусмотренном законодательством Российской Федерации;
в случае изменения персональных данных работника (фамилия, имя, отчество, адрес места жительства, паспортные данные, сведения об образовании, состоянии здоровья (вследствие выявления в соответствии с медицинским заключением противопоказаний для выполнения работником его должностных, трудовых обязанностей) и т.п.) сообщать об этом работодателю в разумные сроки.
VIII. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работников
1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
2. За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера работник несет дисциплинарную и материальную ответственность в порядке, установленном ТК РФ, и иную юридическую ответственность в порядке, установленном федеральным законом.
3. Лица, в обязанность которых входит ведение персональных данных работников, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации влечет наложение на должностных лиц административного штрафа в размере, определяемом Кодексом РФ об административных правонарушениях.
IX. Персональные данные обучающегося.
1. Персональные данные обучающегося - сведения о фактах, событиях и обстоятельствах жизни обучающегося, позволяющие идентифицировать его личность, необходимые администрации образовательного учреждения (далее - администрация) в связи с отношениями обучения и воспитания обучающегося и касающиеся обучающегося.
2. К персональным данным обучающегося относятся:
- сведения, содержащиеся в свидетельстве о рождении, паспорте или ином документе, удостоверяющем личность;
- информация, содержащаяся в личном деле обучающегося;
- информация, содержащаяся в личном деле обучающегося, лишенного родительского попечения;
- сведения, содержащиеся в документах воинского учета (при их наличии);
- информация об успеваемости;
- информация о состоянии здоровья;
- документ о месте проживания;
- иные сведения, необходимые для определения отношений обучения и воспитания.
3. Администрация может получить от самого обучающегося данные о:
- фамилии, имени, отчестве, дате рождения, месте жительства обучающегося;
- фамилии, имени, отчестве родителей (законных представителей) обучающегося.
4. Иные персональные данные обучающегося, необходимые в связи с отношениями обучения и воспитания, администрация может получить только с письменного согласия одного из родителей (законного представителя). К таким данным относятся документы, содержащие сведения, необходимые для предоставления обучающемуся гарантий и компенсаций, установленных действующим законодательством:
- документы о составе семьи;
- документы о состоянии здоровья (сведения об инвалидности, о наличии хронических заболеваний и т. п.);
- документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством (родители-инвалиды, неполная семья, ребенок-сирота и т. п.).
5. В случаях, когда администрация может получить необходимые персональные данные обучающегося только у третьего лица, она должна уведомить об этом одного из родителей (законного представителя) заранее и получить от него письменное согласие.
6. Администрация обязана сообщить одному из родителей (законному представителю) о целях, способах и источниках получения персональных данных, а также о характере подлежащих получению персональных данных и возможных последствиях отказа одного из родителей (законного представителя) дать письменное согласие на их получение.
7. Персональные данные обучающегося являются конфиденциальной информацией и не могут быть использованы администрацией или любым иным лицом в личных цепях.
8. При определении объема и содержания персональных данных обучающегося администрация руководствуется Конституцией Российской Федерации, федеральными законами и настоящим Положением.
X. Хранение, обработка и передача персональных данных обучающегося
1. Обработка персональных данных обучающегося осуществляется для обеспечения соблюдения законов и иных нормативных правовых актов в целях воспитания и обучения обучающегося, обеспечения его личной безопасности, контроля качества образования, пользования льготами, предусмотренными законодательством Российской Федерации и локальными актами администрации.
2. Право доступа к персональным данным обучающегося имеют:
- работники управления образования (при наличии соответствующих полномочий, установленных приказом управления образования);
- директор образовательного учреждения;
- секретарь образовательного учреждения;
- главный бухгалтер ;
- заместители директора по УВР, ВР, социальный педагог, педагог-психолог, старший вожатый;
- классные руководители (только к персональным данным обучающихся своего класса);
- учителя-предметники;
- ответственный за питание;
- библиотекарь;
- инспектор по охране прав детства;
- медработник.
3. Директор образовательного учреждения осуществляет прием обучающегося в образовательное учреждение.
Директор образовательного учреждения может передавать персональные данные обучающегося третьим лицам, только если это необходимо в целях предупреждения угрозы жизни и здоровья обучающегося, а также в случаях, установленных федеральными законами.
4. Секретарь:
- принимает или оформляет вновь личное дело обучающегося и вносит в него необходимые данные;
- предоставляет свободный доступ родителям (законным представителям) к персональным данным обучающегося на основании письменного заявления.
К заявлению прилагается:
- родителем; копия документа, удостоверяющего личность;
- законным представителем; копия удостоверения опекуна (попечителя).
Не имеет права получать информацию об обучающемся родитель, лишенный или ограниченный в родительских правах на основании вступившего в законную силу постановления суда.
5. Главный бухгалтер имеет право доступа к персональным данным обучающегося в случае, когда исполнение им своих трудовых обязанностей или трудовых обязанностей работников бухгалтерии по отношению к обучающемуся (предоставление льгот, установленных законодательством) зависит от знания персональных данных обучающегося.
6. При передаче персональных данных обучающегося директор, секретарь, главный бухгалтер, заместители директора по УВР, ВР, классные руководители, социальный педагог, инспектор по охране прав детства образовательного учреждения обязаны:
- предупредить лиц, получающих данную информацию, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены;
- потребовать от этих лиц письменное подтверждение соблюдения этого условия.
7. Иные права, обязанности, действия работников, в трудовые обязанности которых входит обработка персональных данных обучающегося, определяются трудовыми договорами и должностными инструкциями.
XI. Обязанности работников администрации, имеющих доступ к персональным данным обучающегося
1. Работники администрации, имеющие доступ к персональным данным обучающегося, обязаны:
- не разглашать персональные данные обучающегося третьей стороне без письменного согласия одного из родителей (законного представителя), кроме случаев, когда в соответствии с федеральными законами такого согласия не требуется;
- использовать персональные данные обучающегося, полученные только от него лично или с письменного согласия одного из родителей (законного представителя);
- обеспечить защиту персональных данных обучающегося от их неправомерного использования или утраты, в порядке, установленном законодательством Российской Федерации;
- ознакомить родителя (родителей) или законного представителя с настоящим Положением и их правами и обязанностями в области защиты персональных данных, под роспись;
- соблюдать требование конфиденциальности персональных данных обучающегося;
- исключать или исправлять по письменному требованию одного из родителей (законного представителя) обучающегося его недостоверные или неполные персональные данные, а также данные, обработанные с нарушением требований законодательства;
- ограничивать персональные данные обучающегося при передаче уполномоченным работникам правоохранительных органов или работникам департамента (управления) образования только той информацией, которая необходима для выполнения указанными лицами их функций;
- запрашивать информацию о состоянии здоровья обучающегося только у родителей (законных представителей);
- обеспечить обучающемуся или одному из его родителей (законному представителю) свободный доступ к персональным данным обучающегося, включая право на получение копий любой записи, содержащей его персональные данные;
- предоставить по требованию одного из родителей (законного представителя) обучающегося полную информацию о его персональных данных и обработке этих данных.
2. Лица, имеющие доступ к персональным данным обучающегося, не вправе:
- получать и обрабатывать персональные данные обучающегося о его религиозных и иных убеждениях, семейной и личной жизни;
- предоставлять персональные данные обучающегося в коммерческих целях.
3. При принятии решений, затрагивающих интересы обучающегося, администрации запрещается основываться на персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения.
XII. Права и обязанности обучающегося, родителя (законного представителя)
1. В целях обеспечения защиты персональных данных, хранящихся у администрации, обучающийся, родитель (законный представитель) имеют право на:
- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований законодательства. При отказе администрации исключить или исправить персональные данные обучающегося родитель (законный представитель) имеет право заявить в письменной форме администрации о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера родитель (законный представитель) имеет право дополнить заявлением, выражающим его собственную точку зрения;
- требование об извещении администрацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные обучающегося, обо всех произведенных в них исключениях, исправлениях или дополнениях;
- обжалование любых неправомерных действий или бездействия администрации при обработке и защите персональных данных обучающегося врамках действующего законодательства;
2. Родитель (законный представитель) обязан сообщать администрации сведения, которые могут повлиять на принимаемые администрацией решения в отношении обучающегося.
XIII. Хранение персональных данных обучающегося
Должны храниться в сейфе на бумажных носителях и на электронных носителях с ограниченным доступом:
- документы, поступившие от родителя (законного представителя);
- сведения об обучающемся, поступившие от третьих лиц с письменного согласия родителя (законного представителя);
- иная информация, которая касается отношений обучения и воспитания обучающегося.
XIV. Ответственность администрации и ее сотрудников
1.Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных обучающегося,работника привлекаются к дисциплинарной и материальной ответственности, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
- Заключительные положения
1. Работодатель обязан ознакомить работников, законных представителей обучающихся с настоящим Положением, а также с внесенными в него изменениями и дополнениями под роспись с указанием даты ознакомления.
