Политика в отношении обработки персональных данных

1. Общие положения
   1. Настоящая политика обработки персональных данных МБОУ «СОШ №1» г. Емвы (далее – Политика) определяет цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований в МБОУ «СОШ №1» г. Емвы (далее – Школа).
   2. Локальные нормативные акты и иные документы, регламентирующие обработку персональных данных в Школе, разрабатываются с учетом положений Политики.
   3. Действие   Политики   распространяется    на   персональные   данные, которые Школа обрабатывает с использованием и без использования средств автоматизации.
   4. В Политике используются следующие понятия:

• персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
• субъект персональных данных - соискатель, работник, и его родственники, законные представители обучающихся, обучающиеся
• персональные данные, разрешенные субъектом персональных данных для распространения, – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом от 27.07.2006 № 152-ФЗ (далее – Закон);
• оператор персональных данных (оператор) – Школа – юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных – действие (операция) или совокупность действий (операций) с персональными данными с использованием и без использования средств автоматизации, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1. 5. Школа как оператор персональных данных обязана:
      1. Соблюдать конфиденциальность персональных данных, а именно не распространять персональные данные и не передавать их третьим лицам без согласия субъекта персональных данных или его законного представителя, если иное не предусмотрено законодательством.
      2. Обеспечить субъектам персональных данных, их законным представителям возможность ознакомления с документами и материалами, содержащими их персональные данные, если иное не предусмотрено законодательством.
      3. Разъяснять субъектам персональных данных, их законным представителям юридические последствия отказа предоставить персональные данные.
      4. Блокировать или удалять неправомерно обрабатываемые, неточные персональные данные либо обеспечить их блокирование или удаление.
      5. Прекратить обработку и уничтожить или обезличить персональные данные либо обеспечить прекращение обработки и уничтожение или обезличивание персональных данных при достижении цели их обработки.
      6. Прекратить обработку персональных данных или обеспечить прекращение обработки персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, или иным соглашением между Школой и субъектом персональных данных.
      7. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами.
   6. Школа вправе:
      1. Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено законодательством о персональных данных.
      2. Использовать персональные данные субъектов персональных данных без их согласия в случаях, предусмотренных законодательством.
      3. Предоставлять персональные данные субъектов персональных данных третьим лицам в случаях, предусмотренных законодательством.
      4. Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Школы, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом.
   7. Работники, совершеннолетние учащиеся, родители несовершеннолетних обучающихся , иные субъекты персональных данных (далее - субъекты персональных данных) обязаны:
      1. В случаях, предусмотренных законодательством, предоставлять Школе достоверные персональные данные.
      2. При изменении персональных данных, обнаружении ошибок или неточностей в них незамедлительно сообщать об этом Школе.
   8. Субъекты персональных данных вправе:
      1. Получать информацию, касающуюся обработки своих персональных данных, кроме случаев, когда такой доступ ограничен федеральными законами.
      2. Требовать от Школы уточнить персональные данные, блокировать их или уничтожить, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

1. 1. 3. Дополнить    персональные    данные     оценочного    характера                     заявлением, выражающим собственную точку зрения.
      4. Обжаловать действия или бездействие Школы в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке.

2. Правовые основания обработки персональных данных
   1. Правовыми основаниями обработки персональных данных в Школе являются устав и нормативные правовые акты, для исполнения которых и в соответствии с которыми Школа осуществляет обработку персональных данных, в том числе:

• Трудовой кодекс, иные нормативные правовые акты, содержащие нормы трудового права;
• Бюджетный кодекс;
• Налоговый кодекс;
• Гражданский кодекс;
• Семейный кодекс;
• Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» и принятые в соответствии с ним нормативные правовые акты;
• социальное, пенсионное и страховое законодательство Российской Федерации;
• законодательство в сфере безопасности, в том числе антитеррористической защищенности.
  2. Правовыми основаниями обработки персональных данных в Школе также являются договоры с физическими лицами, заявления (согласия, доверенности) обучающихся и родителей (законных представителей) несовершеннолетних обучающихся, согласия на обработку персональных данных.

3. Цели обработки персональных данных, их категории и перечень, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных

4. Условия обработки, хранения, сбора и передачи персональных данных
   1. Школа осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных в соответствии с законодательством о персональных данных и локальными нормативными актами Школы.

4.1.1. Доступ к персональным данным

4.1.2. Доступ к персональным данным субъектов имеет директор в полном объеме.

4.1.3. Перечень работников, допущенных к обработке персональных данных субъектов:

•        директор;

•        секретарь;

•        специалист по охране труда;

•        специалист по кадрам.

Лица, ответственные за обработку персональных данных в Школе, прекращают их обрабатывать в следующих случаях:

•        достигнуты цели обработки персональных данных;

•        истек срок действия согласия на обработку персональных данных;

•        отозвано согласие на обработку персональных данных;

•        обработка персональных данных неправомерна.

• 2. Все персональные данные Школа получает от субъекта персональных данных, а в случаях, когда субъект персональных данных несовершеннолетний - от его родителей (законных представителей).
  3. Получение и обработку персональных данных Школа осуществляет с соблюдением запретов и условий, предусмотренных Законом.
  4. Школа обрабатывает персональные данные:
• без использования средств автоматизации;
• с использованием средств автоматизации в программах и информационных системах, используемых в школе.
  5. Хранение персональных данных:
     1. Школа хранит персональные данные в течение срока, необходимого для достижения целей их обработки, а документы, содержащие персональные данные, – в течение срока хранения документов, предусмотренного номенклатурой дел, с учетом архивных сроков хранения.
     2. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях, доступ к которым ограничен. Личные дела, трудовые и медицинские книжки работников хранятся в бумажном виде в папках в кабинете специалиста по кадрам, в специально отведенной месте, обеспечивающем защиту от несанкционированного доступа.
     3. Персональные данные, обрабатываемые с использованием средств автоматизации, хранятся в таком порядке и на условиях, чтобы исключить неправомерный или случайный доступ к ним, уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия в отношении персональных данных.

4.6. Сбор персональных данных

4.6.1. Сбор персональных данных соискателей осуществляет должностное лицо школы, которому поручен подбор кадров, прием заявлений на обучение, перевод, прием заявлений в детский оздоровительный лагерь.

4.6.2. Сбор персональных данных работников осуществляет работник, назначенный Приказом директора, у самих работников. Если персональные данные работника можно получить только у третьих лиц, Школа уведомляет об этом работника и берет у него письменное согласие на получение данных.

4.6.3. Сбор персональных данных родственников работника осуществляется со слов работника и из документов, которые предоставил работник.

4.6.4. Сбор и обработка персональных данных, которые относятся к специальной категории (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) возможны только с согласия субъекта персональных данных либо в случаях, установленных законодательством о персональных данных.

4.6.5. Сбор и обработка персональных данных соискателей, работников и их родственников о членстве в общественных объединениях или профсоюзной деятельности не допускаются, за исключением случаев, предусмотренных федеральными законами.

4.6.6. Документы соискателя, который не был трудоустроен, уничтожаются в течение 30 дней с момента принятия решения об отказе в трудоустройстве.

4.6.7. Документы, содержащие персональные данные работников и родственников работников, подлежат хранению и уничтожению в сроки и в порядке, предусмотренные номенклатурой дел и архивным законодательством РФ.

4.6.8. Работники вправе требовать исключения или исправления неверных, или неполных персональных данных, а также данных, обработанных с нарушениями требований Трудового кодекса или иного федерального закона.

4.6.9. Персональные данные оценочного характера работник вправе дополнить заявлением, выражающим его собственную точку зрения.

4.6.10. По требованию работника Работодатель обязан известить всех лиц, которым ранее были сообщены неверные или неполные персональные данные этого работника, обо всех произведенных в них исключениях, исправлениях или дополнениях.

4.7. Передача персональных данных

Работники Школы, имеющие доступ к персональным данным субъектов при передаче этих данных должны соблюдать следующие требования:

4.7.1. Не передавать и не распространять персональные данные без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо:

•        для предупреждения угрозы жизни и здоровью субъекта персональных данных, если получить такое согласие невозможно;

•        для статистических или исследовательских целей (при обезличивании);

•        в случаях, напрямую предусмотренных федеральными законами.

4.7.2. Передавать без согласия субъекта персональных данных информацию в государственные и негосударственные функциональные структуры, в том числе в налоговые инспекции, фонд медицинского страхования, социальный фонд, правоохранительные органы, страховые агентства, военкоматы, медицинские организации, контрольно-надзорные органы при наличии оснований, предусмотренных в федеральных законах, или мотивированного запроса от данных структур, если это допускается законодательством РФ. Мотивированный запрос должен включать в себя указание цели запроса, ссылку на правовые основания запроса, в том числе подтверждающие полномочия органа, направившего запрос, а также перечень запрашиваемой информации.

4.7.3. Передавать персональные данные представителям работников и соискателей в порядке, установленном Трудовым кодексом, ограничивая эту информацию только теми персональными данными, которые необходимы для выполнения функций представителя, подтвержденных документально.

4.7.4.            Школа обеспечивает конфиденциальность персональных данных, передает персональные данные третьим лицам в следующих случаях:

•        субъект персональных данных дал согласие на передачу своих данных;

•        передать данные необходимо в соответствии с требованиями законодательства в рамках установленной процедуры.

4.7.5.            Школа не осуществляет трансграничную передачу персональных данных.

5. Права работника в целях обеспечения защиты персональных данных, хранящихся у работодателя

В целях обеспечения защиты персональных данных, хранящихся у работодателя, работники имеют право:

• получать полную информацию о своих персональных данных и их обработке;
• на свободный бесплатный доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных федеральными законами. Получение указанной информации о своих персональных данных возможно при личном обращении работника к директору общеобразовательной организации;
• на определение своих представителей для защиты своих персональных данных;
• на доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
• требовать об исключении или исправлении неверных, или неполных персональных данных, а также данных, обработанных с нарушением требований действующего законодательства. Указанное требование должно быть оформлено письменным заявлением работника на имя директора школы. При отказе руководителя организации исключить или исправить персональные данные работника, работник имеет право заявить в письменном виде руководителю организации, осуществляющей образовательную деятельность, о своем несогласии, с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера работник имеет право дополнить заявлением, выражающим его собственную точку зрения;
• требовать об извещение организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника обо всех произведенных в них исключениях, исправлениях или дополнениях;
• обжаловать в суде любые неправомерные действия или бездействия организации при обработке и защите его персональных данных.

6. Меры обеспечения безопасности персональных данных

6.1. К основным мерам обеспечения безопасности персональных данных в Школе относятся:

6.1.1. Назначение ответственного за организацию обработки персональных данных, в обязанности которого входит в том числе организация обработки персональных данных, инструктаж работников, внутренний контроль за соблюдением в Школе требований законодательства к защите персональных данных.

6.1.2. Издание политики обработки персональных данных и локальных актов по вопросам обработки персональных данных.

6.1.3. Ознакомление работников, осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями к защите персональных данных, политикой обработки персональных данных и локальными актами Школы по вопросам обработки персональных данных.

6.1.4. Определение угроз безопасности персональным данным при их обработке с использованием средств автоматизации и разработка мер по защите таких персональных данных.

6.1.5. Учет материальных носителей персональных данных.

6.1.6. Проведение мероприятий при обнаружении несанкционированного доступа к персональным данным, обрабатываемым с использованием средств автоматизации, в том числе восстановление персональных данных, которые были модифицированы или уничтожены вследствие несанкционированного доступа к ним.

6.1.7. Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, оценка соотношения указанного вреда и принимаемых мер.

6.1.8. Внутренний контроль соответствия обработки персональных данных требованиям законодательства.

6.1.9. Публикация политики обработки персональных данных и локальных актов по вопросам обработки персональных данных на официальном сайте Школы.

6.1.10. Организация уведомления Роскомнадзора в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, в соответствии с законодательством о персональных данных.

6.1.11. Обеспечение взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

6.2. Работодатель определяет тип угроз безопасности и уровень защищенности персональных данных, которые хранятся в информационных системах, и предпринимает меры по защите информации.

6.3. При 4-м уровне защищенности персональных данных работодатель:

— обеспечивает режим безопасности помещений, в которых размещаете информационную систему;

— обеспечивает сохранность носителей информации;

— утверждает перечень работников, допущенных до персональных данных;

— использует средства защиты информации, которые прошли оценку соответствия требованиям закона в области обеспечения безопасности информации.

6.4. При 3-м уровне защищенности персональных данных, дополнительно к мерам, перечисленным в пункте 6.3. настоящего Положения, работодатель назначает ответственного за обеспечение безопасности персональных данных в информационной системе.

6.5. При 2-м уровне защищенности персональных данных, дополнительно к мерам, перечисленным в пунктах 6.3, 6.4. настоящего Положения, работодатель ограничивает доступ к электронному журналу сообщений, за исключением работников, которым такие сведения необходимы для работы.

6.6. При 1-м уровне защищенности персональных данных, дополнительно к мерам, перечисленным в пунктах 6.3.—6.5. настоящего Положения, работодатель:

— обеспечивает автоматическую регистрацию в электронном журнале безопасности изменения полномочий работников по допуску к персональным данным в системе;

— создает отдел, ответственный за безопасность персональных данных в системе, либо возлагает такую обязанность на один из существующих отделов работодателя.

6.7. В целях защиты персональных данных на бумажных носителях работодатель:

— приказом назначает ответственного за обработку персональных данных;

— ограничивает допуск в помещения, где хранятся документы, которые содержат персональные данные работников;

— хранит документы, содержащие персональные данные работников в шкафах, запирающихся на ключ;

— хранит трудовые книжки работников в сейфе в кабинете специалиста по кадрам.

7. Уничтожение персональных данных

7.1. В случае предоставления субъектом персональных данных, его законным представителем фактов о неполных, устаревших, недостоверных или незаконно полученных персональных данных Школа актуализирует, исправляет, блокирует, удаляет или уничтожает их и уведомляет о своих действиях субъекта персональных данных.

7.2.   При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на обработку персональных данных персональные данные подлежат уничтожению, если иное не предусмотрено договором, стороной, получателем (выгодоприобретателем) по которому является субъект персональных данных.

7.3. В соответствии с Приказом Роскомнадзора от 28.10.2022 № 179, определены требования к документальному оформлению факта уничтожения персональных данных работников общеобразовательной организации:

•        в случае если обработка персональных данных осуществляется оператором без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных;

•        в случае если обработка персональных данных осуществляется оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - выгрузка из журнала).

7.4. Акт об уничтожении данных должен содержать:

•        наименование общеобразовательной организации или фамилию, имя, отчество (при наличии) оператора персональных данных и его адрес;

•        наименование общеобразовательной организации или фамилию, имя, отчество (при наличии) лица, осуществляющего обработку персональных данных субъекта персональных данных по поручению оператора (если обработка была поручена такому лицу;

•        фамилию, имя, отчество (при наличии) субъекта или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;

•        фамилию, имя, отчество (при наличии), должность лиц, уничтоживших персональные данные субъекта персональных данных, а также их подпись;

•        перечень категорий, уничтоженных персональных данных субъекта (субъектов) персональных данных;

•        наименование уничтоженного материального носителя, содержащего персональные данные субъекта персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);

•        наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных (в случае обработки персональных данных с использованием средств автоматизации);

•        способ уничтожения персональных данных;

•        причину уничтожения персональных данных;

•        дату уничтожения персональных данных субъекта (субъектов) персональных данных.

Форма акта об уничтожении персональных данных составляется в произвольной форме.

7.5. Акт об уничтожении персональных данных может быть оформлен как на бумаге, так и в электронной форме. В первом случае он заверяется личной подписью лиц, уничтоживших персональные данные, а во втором – их электронной подписью.

7.6. Выгрузка из журнала должна содержать:

•        фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;

•        перечень категорий, уничтоженных персональных данных субъекта (субъектов) персональных данных;

•        наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;

•        причину уничтожения персональных данных;

•        дату уничтожения персональных данных субъекта (субъектов) персональных данных.

8. Ответственность

8.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных соискателей на вакантные должности, работников, в том числе бывших, и их родственников, привлекаются к дисциплинарной и материальной, гражданско-правовой, административной и уголовной ответственности в случаях, установленных законодательством РФ.

8.2. Моральный вред, причиненный соискателям на вакантные должности, работникам, в том числе бывшим, и их родственникам вследствие нарушения их прав, нарушения правил обработки персональных данных, а также несоблюдения требований к защите персональных данных, подлежит возмещению в порядке и на условиях, предусмотренных законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда.

9.  Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу https://sosh1emva.gosuslugi.ru/policy/.