Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящее Положение определяет порядок обработки, защиты, хранения, передачи, уничтожения и размещения персональных данных в МБОУ ООШ № 27 им. М.С. Рогова (далее — Школа, Оператор).

1.2. Положение распространяется на персональные данные обучающихся, родителей (законных представителей), работников, кандидатов на работу, посетителей официального сайта, иных физических лиц, персональные данные которых обрабатываются Школой в связи с осуществлением образовательной, трудовой, управленческой, хозяйственной и иной законной деятельности.

1.3. Положение применяется при обработке персональных данных как с использованием средств автоматизации, так и без использования таких средств, включая бумажные документы, электронные базы, государственные и муниципальные информационные системы, электронную почту, официальный сайт и иные информационные ресурсы.

1.4. Документ предназначен для внутреннего применения работниками Школы. Публичная Политика в отношении обработки персональных данных размещается на официальном сайте отдельно и должна соответствовать настоящему Положению, фактическим процессам обработки персональных данных и сведениям, направленным в Роскомнадзор.

1.5. В случае изменения законодательства Российской Федерации о персональных данных настоящее Положение подлежит пересмотру. До внесения изменений применяются нормы законодательства Российской Федерации.

2. Нормативная основа

2.1. Настоящее Положение разработано с учетом следующих нормативных правовых актов и разъяснительных документов:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации, в том числе глава 14 о защите персональных данных работника;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
• Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказ Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения»;
• рекомендации Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных;
• Устав Школы, номенклатура дел, правила внутреннего трудового распорядка, должностные инструкции и иные локальные акты Школы.

2.2. При обработке персональных данных в федеральных, региональных и муниципальных информационных системах Школа соблюдает требования операторов соответствующих систем, условия пользовательских соглашений и распорядительные акты учредителя, если они не противоречат законодательству Российской Федерации.

3. Основные понятия

4. Принципы обработки персональных данных

4.1. При обработке персональных данных Школа руководствуется следующими принципами:

• законность и справедливая основа обработки;
• обработка только для конкретных, заранее определенных и законных целей;
• недопустимость объединения баз данных, обработка которых осуществляется в несовместимых целях;
• соответствие объема и содержания персональных данных заявленным целям обработки;
• запрет обработки избыточных персональных данных;
• обеспечение точности, достаточности и актуальности персональных данных;
• хранение персональных данных не дольше, чем этого требуют цели обработки, федеральные законы, архивные сроки и локальная номенклатура дел;
• уничтожение либо обезличивание персональных данных после достижения целей обработки или при утрате законных оснований обработки.

4.2. Работникам Школы запрещается собирать и размещать персональные данные «на всякий случай», запрашивать у обучающихся и родителей сведения, которые не нужны для образовательной деятельности, либо публиковать документы со скрытыми, но технически извлекаемыми персональными данными.

5. Цели обработки, категории субъектов и состав персональных данных

5.1. Школа обрабатывает персональные данные только в пределах целей, указанных в настоящем разделе, в уведомлении об обработке персональных данных, направленном в Роскомнадзор, и в публичной Политике обработки персональных данных.

5.2. Специальные категории персональных данных, включая сведения о состоянии здоровья, обрабатываются только в случаях и объеме, необходимых для исполнения требований законодательства, обеспечения безопасных условий обучения, организации питания, медицинского сопровождения, учета ограничений по здоровью и предоставления мер поддержки.

5.3. Биометрические персональные данные Школой не обрабатываются, если отдельным приказом и соответствующими документами не введена такая обработка в порядке, установленном законодательством Российской Федерации.

5.4. Публикация фотоизображения сама по себе может быть обработкой персональных данных, а при размещении в открытом доступе рассматривается как распространение персональных данных. Поэтому размещение фото, видео, ФИО, класса, достижений и иных сведений об обучающихся допускается только после проверки наличия отдельного согласия законного представителя.

6. Организация обработки персональных данных

6.1. Директор Школы организует обработку персональных данных, утверждает локальные акты, назначает ответственного за организацию обработки персональных данных и определяет работников, имеющих доступ к персональным данным.

6.2. Ответственный за организацию обработки персональных данных:

• контролирует наличие и актуальность локальных актов в сфере персональных данных;
• ведет перечень информационных систем, бумажных массивов и мест хранения персональных данных;
• организует сбор, учет и хранение согласий на обработку и распространение персональных данных;
• проверяет материалы перед размещением на официальном сайте;
• организует рассмотрение обращений субъектов персональных данных;
• участвует во внутреннем расследовании инцидентов с персональными данными;
• проводит инструктаж работников по вопросам обработки персональных данных;
• готовит предложения о внесении изменений в уведомление, направленное в Роскомнадзор.

6.3. Работники допускаются к персональным данным только в пределах должностных обязанностей. Доступ «из интереса», передача логинов, хранение файлов с персональными данными на личных устройствах, пересылка через личные мессенджеры и публикация в открытых группах запрещаются.

6.4. Каждый работник, имеющий доступ к персональным данным, должен быть ознакомлен с настоящим Положением под подпись и обязан соблюдать конфиденциальность персональных данных как в период работы, так и после прекращения трудовых отношений.

7. Правила обработки персональных данных без использования средств автоматизации

7.1. Бумажные документы, содержащие персональные данные, хранятся отдельно от иных документов: в делах, папках, шкафах, сейфах или иных местах, исключающих свободный доступ посторонних лиц.

7.2. На бумажных носителях не допускается хранение избыточных копий паспортов, СНИЛС, медицинских документов, свидетельств и иных документов, если их хранение не требуется законом, учредителем, информационной системой или утвержденной номенклатурой дел.

7.3. Передача бумажных документов с персональными данными внутри Школы осуществляется только работникам, которым такие данные необходимы для исполнения должностных обязанностей. Передача третьим лицам допускается только при наличии правового основания.

7.4. Черновики, распечатки, списки, ведомости, проекты приказов и иные временные материалы с персональными данными после использования уничтожаются способом, исключающим восстановление данных, либо передаются на хранение в установленном порядке.

8. Обработка персональных данных в электронном виде

8.1. Электронные документы и базы с персональными данными хранятся на служебных устройствах, в официальных информационных системах либо в иных местах хранения, разрешенных приказом директора или распорядительными актами учредителя.

8.2. На рабочих местах применяются организационные и технические меры защиты: индивидуальные учетные записи, пароли, разграничение прав доступа, блокировка экрана при отсутствии работника, антивирусная защита, резервное копирование, учет носителей, контроль актуальности программного обеспечения.

8.3. Запрещается:

• хранить таблицы с персональными данными обучающихся и работников в личных облачных хранилищах без правового основания;
• пересылать документы с персональными данными через личную почту или мессенджеры, если это не согласовано и не защищено;
• оставлять открытыми на экране списки детей, родителей, работников в присутствии посторонних лиц;
• использовать один общий пароль несколькими работниками;
• передавать файлы с персональными данными без необходимости и без указания цели передачи.

8.4. При использовании государственных, муниципальных и ведомственных информационных систем работники обязаны соблюдать правила доступа, установленные операторами таких систем, и не выгружать из них персональные данные без служебной необходимости.

9. Порядок размещения персональных данных на официальном сайте

9.1. Официальный сайт Школы используется для размещения обязательной информации об образовательной организации, новостей, документов, сведений о деятельности Школы и иной информации, предусмотренной законодательством Российской Федерации и локальными актами.

9.2. До размещения любой новости, документа, фотографии, видеозаписи, презентации или файла ответственный работник обязан проверить, содержит ли материал персональные данные. Если материал содержит персональные данные, публикация допускается только при наличии правового основания и после прохождения чек-листа публикации.

9.3. На сайте запрещается размещать в открытом доступе:

• адреса проживания обучающихся, родителей и работников;
• телефоны и личные адреса электронной почты детей, родителей и работников, если их публикация не обязательна законом и не подтверждена отдельным согласием;
• даты рождения несовершеннолетних;
• паспортные данные, СНИЛС, ИНН физических лиц, реквизиты свидетельств о рождении, медицинские сведения;
• списки классов, списки участников экзаменов, списки кружков и секций с датами рождения, адресами, телефонами или иными избыточными сведениями;
• сканы заявлений, согласий, приказов, протоколов, ведомостей и других документов, где видны подписи, адреса, телефоны, паспортные данные, даты рождения, сведения о здоровье, льготах, семейном положении;
• файлы с персональными данными, скрытыми только цветом, замазкой, поверхностным редактированием PDF или изображением, если текст можно выделить, скопировать или восстановить.

9.4. При необходимости размещения информации об участии обучающихся в конкурсах, мероприятиях, олимпиадах, проектах и спортивных соревнованиях применяется минимизация данных: допускается указывать только те сведения, которые прямо разрешены согласием законного представителя и действительно нужны для цели публикации.

9.5. Рекомендуемый безопасный формат публикации сведений о несовершеннолетних без отдельного согласия: обезличенная информация, например «обучающиеся 5 класса приняли участие», «команда школы заняла призовое место», без ФИО, фото крупным планом и иных идентификаторов.

9.6. Если публикация производится на основании отдельного согласия на распространение персональных данных, в материале не допускается выходить за пределы перечня данных, целей, срока, условий и запретов, указанных в согласии.

9.7. В случае отзыва согласия на распространение персональных данных либо требования о прекращении распространения ответственное лицо обязано организовать удаление соответствующего материала с сайта и прекращение дальнейшего распространения в срок, установленный законодательством, с фиксацией факта исполнения.

10. Согласия на обработку и распространение персональных данных

10.1. Согласие на обработку персональных данных оформляется отдельно от иных документов, должно быть конкретным, предметным, информированным, сознательным и однозначным. Нельзя прятать согласие внутри заявления, договора, анкеты или общего текста, если требуется именно согласие субъекта.

10.2. Согласие на распространение персональных данных оформляется отдельно от согласия на обычную обработку персональных данных. Такое согласие требуется, в частности, для публикации фото, видео, ФИО, класса, достижений, творческих работ и иных сведений об обучающемся в открытом доступе, если публикация не является прямой обязанностью Школы по закону.

10.3. В согласии на распространение персональных данных обязательно указываются:

• ФИО субъекта персональных данных и контактная информация;
• сведения о законном представителе несовершеннолетнего и документе, подтверждающем полномочия;
• наименование и адрес Оператора;
• цель распространения;
• конкретные категории и перечень персональных данных, разрешенных для распространения;
• информационные ресурсы, где допускается размещение данных;
• срок действия согласия;
• условия и запреты, установленные субъектом или законным представителем;
• способ отзыва согласия;
• подпись субъекта или законного представителя и дата.

10.4. Молчание, бездействие, участие в мероприятии, нахождение в кадре, отметка «ознакомлен» либо устное разрешение не заменяют отдельное согласие на распространение персональных данных.

10.5. Согласия хранятся у ответственного работника в отдельном деле или электронном реестре. Перед публикацией материала ответственный за сайт проверяет наличие согласия и его объем.

11. Cookie-файлы, Яндекс.Метрика и иные сервисы веб-аналитики

11.1. Если на официальном сайте используется Яндекс.Метрика или иной сервис веб-аналитики, публичная Политика обработки персональных данных и cookie-баннер должны содержать информацию о факте использования такого сервиса, целях обработки, категориях собираемых данных, получателе данных, сроках обработки и способе отказа/отзыва согласия.

11.2. Рекомендуемый порядок: до получения согласия посетителя сайта не подключать необязательные аналитические cookie и счетчики веб-аналитики. Если техническая платформа сайта не позволяет полностью отключить загрузку счетчика до согласия, Школа фиксирует обращение в техническую поддержку платформы и размещает максимально ясное уведомление для посетителей сайта.

11.3. Пример короткого текста уведомления для сайта: «Сайт использует cookie-файлы и сервис Яндекс.Метрика для анализа посещаемости. Нажимая кнопку “Согласен”, вы даете согласие на обработку данных с использованием cookie-файлов и сервиса веб-аналитики. Подробнее — в Политике обработки персональных данных».

11.4. Использование на сайте сторонних виджетов, карт, видео, форм обратной связи, сервисов рассылок и аналитики допускается только после проверки того, какие персональные данные передаются третьим лицам и отражены ли такие передачи в Политике обработки персональных данных и уведомлении Роскомнадзора.

12. Права субъектов персональных данных и порядок рассмотрения обращений

12.1. Субъект персональных данных или его представитель вправе получать сведения об обработке его персональных данных, требовать уточнения, блокирования или уничтожения данных, отозвать согласие, требовать прекращения распространения персональных данных, обжаловать действия или бездействие Школы в уполномоченный орган или суд.

12.2. Обращения субъектов персональных данных регистрируются в журнале обращений. Ответственный работник проверяет личность заявителя или полномочия представителя и организует подготовку ответа в сроки, установленные Федеральным законом № 152-ФЗ.

12.3. Если субъект предоставляет подтверждение, что персональные данные являются неполными, неточными, неактуальными, незаконно полученными или не нужны для заявленной цели, Школа организует уточнение, блокирование или уничтожение таких данных в сроки, установленные законодательством, и фиксирует исполнение документально.

12.4. Отказ в предоставлении информации допускается только в случаях, предусмотренных федеральным законом, и должен быть мотивированным.

13. Передача персональных данных третьим лицам

13.1. Передача персональных данных третьим лицам допускается только при наличии законного основания: требования закона, договора поручения обработки, согласия субъекта персональных данных, запроса уполномоченного органа либо иной правовой обязанности Школы.

13.2. Передача персональных данных в органы управления образованием, государственные и муниципальные информационные системы, налоговые органы, Социальный фонд России, медицинские организации, правоохранительные органы и иные уполномоченные органы осуществляется в пределах их полномочий и необходимых сведений.

13.3. При поручении обработки персональных данных другому лицу в договоре или соглашении должны быть определены перечень действий с персональными данными, цели обработки, обязанности по соблюдению конфиденциальности, требования к защите данных, порядок уничтожения или возврата данных после выполнения поручения.

13.4. Трансграничная передача персональных данных и использование сервисов, предполагающих хранение или первичную запись персональных данных граждан Российской Федерации за пределами Российской Федерации, допускаются только после отдельной правовой и технической проверки и при соблюдении требований законодательства.

14. Уничтожение, обезличивание и архивное хранение персональных данных

14.1. Персональные данные уничтожаются или обезличиваются при достижении целей обработки, истечении срока хранения, отзыве согласия, выявлении неправомерной обработки либо наступлении иных законных оснований.

14.2. Уничтожение персональных данных оформляется актом. В акте указываются основание уничтожения, состав уничтоженных документов или файлов, способ уничтожения, дата, ответственные лица.

14.3. Бумажные носители уничтожаются измельчением, передачей на специализированное уничтожение или иным способом, исключающим восстановление персональных данных. Электронные данные удаляются с учетом необходимости исключить их дальнейшее использование и восстановление обычными средствами.

14.4. Документы постоянного, длительного и временного хранения передаются в архив и уничтожаются только по истечении установленных сроков хранения и с соблюдением правил архивного дела.

15. Действия при нарушении безопасности персональных данных

15.1. Работник, обнаруживший утрату документа, ошибочную отправку файла, публикацию лишних данных на сайте, несанкционированный доступ, заражение компьютера, компрометацию пароля или иной инцидент, обязан незамедлительно сообщить директору и ответственному за организацию обработки персональных данных.

15.2. При инциденте Школа принимает меры по ограничению доступа, удалению ошибочно опубликованных сведений, блокированию учетных записей, смене паролей, восстановлению данных, фиксации обстоятельств и проведению внутренней проверки.

15.3. Если установлен факт неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекший нарушение прав субъектов персональных данных, Школа направляет уведомление в Роскомнадзор в установленные законом сроки: первичное уведомление — в течение 24 часов, сведения о результатах внутреннего расследования — в течение 72 часов с момента выявления инцидента.

15.4. По итогам проверки директор принимает меры по устранению причин нарушения, привлечению виновных лиц к дисциплинарной ответственности и обновлению локальных процедур.

16. Внутренний контроль

16.1. Внутренний контроль соблюдения требований настоящего Положения осуществляется директором, ответственным за организацию обработки персональных данных и иными уполномоченными лицами.

16.2. Не реже одного раза в год рекомендуется проводить внутреннюю проверку:

• актуальности публичной Политики обработки персональных данных;
• наличия и корректности уведомления в Роскомнадзор;
• состава опубликованных на сайте документов и материалов;
• наличия согласий на распространение фото, ФИО и иных данных;
• перечня работников, имеющих доступ к персональным данным;
• порядка хранения бумажных и электронных документов;
• наличия избыточных копий документов и устаревших файлов;
• факта удаления с сайта документов со списками детей, адресами, телефонами, датами рождения и иными избыточными сведениями.

16.3. Результаты проверки оформляются справкой или актом. Нарушения устраняются в разумный срок, определенный директором.

17. Ответственность

17.1. Лица, виновные в нарушении порядка обработки персональных данных, несут дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.

17.2. Нарушением настоящего Положения признается, в частности, публикация персональных данных без правового основания, передача файлов с персональными данными посторонним лицам, хранение данных на личных устройствах без разрешения, разглашение сведений, утрата документов, несоблюдение мер защиты, а также отказ выполнить законное требование субъекта персональных данных.

18. Заключительные положения

18.1. Настоящее Положение вступает в силу со дня утверждения приказом директора Школы.

18.2. Все работники, имеющие доступ к персональным данным, подлежат ознакомлению с настоящим Положением под подпись.

18.3. Приложения к настоящему Положению являются его неотъемлемой частью и могут использоваться Школой как рабочие формы документов.

Приложение 1

к Положению о порядке обработки, защиты и размещения персональных данных

Форма согласия законного представителя на обработку персональных данных обучающегося, разрешенных для распространения

Форма применяется для публикации фото, видео, ФИО, класса, достижений и иных сведений обучающегося на сайте и иных открытых ресурсах Школы. Заполняется отдельно от иных согласий.

Я, _______________________________________________________

паспорт: серия ______ № ____________, выдан ________________________________________________

адрес: _________________________________________________________________________________

контактный телефон/e-mail: _____________________________________________________________

являясь законным представителем несовершеннолетнего обучающегося:

ФИО обучающегося _______________________________________________________

класс: ________, дата рождения: «___» ____________ ______ г.,

даю согласие МБОУ ООШ № 27 им. М.С. Рогова на обработку персональных данных обучающегося, разрешенных для распространения, на следующих условиях.

Подтверждаю, что мне разъяснено право установить запреты и условия обработки персональных данных, а также право отозвать настоящее согласие. Дата: «___» ____________ 20___ г. Подпись: _______________/____________________/

Приложение 2

к Положению о порядке обработки, защиты и размещения персональных данных

Форма согласия работника на обработку персональных данных, разрешенных для распространения

Я, ____________________________________________________________________________________,

паспорт: серия ______ № ____________, выдан ________________________________________________,

адрес: _________________________________________________________________________________,

контактный телефон/e-mail: ______________________________________________________________,

даю согласие МБОУ ООШ № 27 им. М.С. Рогова на обработку персональных данных, разрешенных для распространения, в целях размещения информации о работнике на официальном сайте, информационных стендах, в публичных отчетах и материалах Школы.

Дата: «___» ____________ 20___ г.     Подпись: _______________/____________________/

Приложение 3

к Положению о порядке обработки, защиты и размещения персональных данных

Чек-лист перед размещением материала на официальном сайте

Ответственный за подготовку материала: _______________/____________________/    Дата: «___» ____________ 20___ г.

Ответственный за проверку ПДн: _______________/____________________/    Дата: «___» ____________ 20___ г.

Приложение 4

к Положению о порядке обработки, защиты и размещения персональных данных

Журнал учета обращений субъектов персональных данных

Приложение 5

к Положению о порядке обработки, защиты и размещения персональных данных

Акт уничтожения персональных данных

г. / х. ____________________________        «___» ____________ 20___ г.

Комиссия в составе:

председатель комиссии: _________________________________________________________________

члены комиссии: ________________________________________________________________________

составила настоящий акт о том, что на основании __________________________________________

были уничтожены следующие документы/файлы, содержащие персональные данные:

Персональные данные уничтожены способом, исключающим их дальнейшее использование и восстановление обычными средствами.

Председатель комиссии: _______________/____________________/

Члены комиссии:        _______________/____________________/

                       _______________/____________________/

Приложение 6

к Положению о порядке обработки, защиты и размещения персональных данных

Перечень документов, который рекомендуется иметь в Школе по персональным данным

Этот перечень нужен, чтобы при проверке не искать документы с выражением лица “а где оно у нас лежит?”.

• Положение о порядке обработки, защиты и размещения персональных данных.
• Публичная Политика обработки персональных данных для официального сайта.
• Приказ о назначении ответственного за организацию обработки персональных данных.
• Перечень лиц, допущенных к обработке персональных данных.
• Обязательства работников о неразглашении персональных данных.
• Формы согласий на обработку персональных данных по отдельным целям.
• Формы согласий на распространение персональных данных обучающихся и работников.
• Журнал учета обращений субъектов персональных данных.
• Журнал учета инцидентов с персональными данными.
• Акты уничтожения персональных данных.
• Перечень информационных систем и бумажных массивов персональных данных.
• Модель угроз и документы по уровню защищенности информационных систем персональных данных при необходимости.
• Инструкция для работников по публикации материалов на сайте.
• Чек-лист проверки сайта и опубликованных файлов.
• Документы, подтверждающие направление и актуализацию уведомления в Роскомнадзор.

Справочно: что особенно важно для сайта Школы

1. Не размещать на сайте документы со списками обучающихся, если в них есть даты рождения, адреса, телефоны, сведения о здоровье, экзаменах, льготах, семье, документах или иных избыточных данных.

2. Не считать обычное согласие на обработку персональных данных согласием на публикацию фото и ФИО в открытом интернете. Для публикации требуется отдельное согласие на распространение персональных данных.

3. В Политике обработки персональных данных на сайте отдельно указать использование Яндекс.Метрики/cookie, категории данных, цели, сроки обработки, получателя данных и способ отзыва согласия.

4. Проверить, чтобы публичная Политика, фактическое содержание сайта и уведомление в Роскомнадзор не противоречили друг другу.