Приложение № 1 к приказу
№ 275-ОД от 15.12.2023 г.
Рожнова Евгения
Евгеньевна
Подписано цифровой подписью:
Рожнова Евгения Евгеньевна
Дата: 2024.01.25 14:07:58 +03'00'
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ
ПЕРСОНАЛЬНЫХ ДАННЫХ
МБОУ «ШКОЛА № 145»
г. Нижний Новгород
2023 г.
Положение об обработке ПДн. Страница 1 из 54
Положение об обработке ПДн. Страница 2 из 54
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение разработано в соответствии с Конституцией Российской
Федерации, Трудовым Кодексом Российской Федерации от 30.12.2001 № 197-ФЗ,
Гражданским Кодексом Российской Федерации, Федеральным законом от 27.07.2006 №
149-ФЗ «Об информации, информационных технологиях и о защите информации»,
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»,
Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об
утверждении требований к защите персональных данных при их обработке в
информационных системах персональных данных», Постановлением Правительства
Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об
особенностях обработки персональных данных, осуществляемой без использования
средств автоматизации», нормативно-методическими документами ФСТЭК России в
сфере обработки персональных данных.
1.2. Положение определяет порядок и условия обработки персональных данных в
Муниципальном бюджетном общеобразовательном учреждении «Школа № 145»(далее –
Учреждение) с использованием средств автоматизации и без использования таковых
средств.
1.3. Цель разработки настоящего Положения является обеспечение защиты прав и
свобод субъектов персональных данных при обработке их персональных данных
Учреждением, а также определение порядка сбора, записи, систематизации, накопления,
хранения, уточнения (обновления, изменения), извлечения, использования, передачи
(распространения, предоставления, доступа), обезличивания, блокирования, удаления,
уничтожения персональных данных субъектов персональных данных, обеспечение
защиты прав и свобод при обработке их персональных данных, а также установление
ответственности должностных лиц, имеющих доступ к персональным данным, за
невыполнение требований норм, регулирующих обработку и защиту персональных
данных.
1.4. Обработка персональных данных в Учреждении осуществляется в следующих
целях:
1.4.1. Для категории работников (в том числе руководство, педагогический состав),
а также родственников работников, бывших работников:
- ведения кадровой работы (ведение и хранение личных дел, трудовых книжек) и
выполнения всех требований трудового законодательства;
- начисления и выплаты заработной платы;
- заключения трудовых и иных договоров;
- обработки сведений по сотрудникам об их профессиональной служебной
деятельности;
- обработки персональных данных в информационных системах (ИСПДн);
- оформления доверенностей; оформления визиток;
- оформления документов по воинскому учету в военкоматах в установленном
порядке, составления списков призывников для военкоматов;
- использования персональных данных для реализации права работника на участие
в деятельности первичной профсоюзной организации Учреждения, в том числе при
отчислении профсоюзных взносов;
подготовки
документов
для
прохождения
обучения,
аттестации,
переквалификации;
- включения в реестры и отчетности;
- передачи в ОСФР по Нижегородской области индивидуальных сведений о
начисленных страховых взносов на обязательное пенсионное страхование и данных о
трудовом стаже, кредитные учреждения (банки), Военный комиссариат Нижегородской
области, Министерство Образования и Науки Нижегородской области, Межрайонную
ИФНС России № 19 по Нижегородской области, Департамент образования и социальноПоложение об обработке ПДн. Страница 3 из 54
правовой защиты детства администрации города Нижнего Новгорода, Администрацию
города Нижнего Новгорода, ГКУ НО «ЦЗН г. Н. Новгорода», ПАО Акционерный
коммерческий Сберегательный банк Российской Федерации (адрес: Вавилова ул., д. 19, г.
Москва, 117997; в рамках договора; обработка вышеуказанных персональных данных
будет осуществляться путем: смешанной обработки; с передачей по внутренней сети
юридического лица; с передачей по сети интернет; перечень действий с персональными
данными, общее описание используемых оператором способов обработки персональных
данных: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление,
изменение),
извлечение,
использование,
передачу (предоставление,
доступ),
обезличивание, блокирование, удаление, уничтожение; объем обрабатываемых
персональных данных менее 100000 субъектов персональных данных; исполнитель
руководствуется в своих действиях ч.2.ст. 18.1, 19 Федерального закона № 152-ФЗ от
27.07.2006 г. «О персональных данных»), ООО «Государство Детей» (адрес: Россия /
129085, г. Москва, Звездный бульвар, д. 19, стр. 1, офис 1201), медицинские учреждения,
централизованную бухгалтерию, органам дознания и следствия, иным уполномоченным
органам по основаниям, предусмотренным действующим законодательством Российской
Федерации;
- подготовки документов для прохождения медицинского осмотра;
- ведение журнала термометрии, табеля посещаемости;
- размещения сведений по сотрудникам (ФИО, должность, рабочий телефон,
фотографию, адрес электронной почты, общий стаж работы, стаж работы по
специальности, педагогический стаж, уровень образования, категория, данные о
повышении квалификации и (или) профессиональной переподготовки (при наличии),
направление подготовки и/или специальность, преподаваемые дисциплины, ученая
степень (при наличии), ученое звание (при наличии)) на официальном сайте Учреждения
и информационных стендах;
- оформления журналов.
1.4.2. Для категории учеников, бывших учеников:
обработки персональных данных в информационных системах (ИСПДн);
оформления документов по воинскому учету в военкоматах в
установленном порядке, составления списков призывников для военкоматов;
ведения образовательной деятельности по образовательным программам
начального общего образования, основного общего образования, среднего
общего образования, дополнительного образования детей и взрослых;
осуществления учебно-воспитательного процесса, предоставления мер
социальной поддержки и обеспечения безопасности ребенка;
обработки сведений обучающегося;
ведения личных дел;
заполнения формуляров читателей;
подготовки документов об обучении;
ведения классного журнала в бумажном и электронном виде, дневника;
оформления и выдачи справок, характеристик, ученического проездного
билета, документов об образовании;
обеспечения питания, медицинского сопровождения, заключения договоров
о платных образовательных услугах, организации отдыха и оздоровления, оформления
участия в олимпиадах, конкурсах, соревнованиях;
учета занятости во внеурочное время;
- передачи в Военный комиссариат Нижегородской области, Министерство
Образования и Науки Нижегородской области, Департамент образования и социальноправовой защиты детства администрации города Нижнего Новгорода, Администрацию
города Нижнего Новгорода, ООО «Государство Детей» (адрес: Россия / 129085, г. Москва,
Звездный бульвар, д. 19, стр. 1, офис 1201), медицинские учреждения, органам дознания и
Положение об обработке ПДн. Страница 4 из 54
следствия, иным уполномоченным органам по основаниям, предусмотренным
действующим законодательством Российской Федерации;
- подготовки документов для прохождения медицинского осмотра;
- ведение журнала термометрии, табеля посещаемости;
- размещения на информационных стендах Оператора сведений об ученике
(фамилия, имя, отчество, класс, пол, сведения о наградах и поощрениях).
- прохождения обучения в Учреждении;
- оформления журналов.
1.4.3. Для категории родителей (законных представителей) учеников, родителей
(законных представителей) бывших учеников:
обработки персональных данных в информационных системах (ИСПДн);
ведения образовательной деятельности по образовательным программам
начального общего образования, основного общего образования, среднего общего
образования, дополнительного образования детей и взрослых;
- осуществления учебно-воспитательного процесса, предоставления мер
социальной поддержки и обеспечения безопасности ребенка;
- обработки сведений обучающегося;
- оформления и выдачи справок, характеристик.
1.4.4. Для категории посетителей сайта:
Регистрации обращений.
1.4.5. Для категории посетителей Учреждения:
Организации пропускного режима и обеспечения безопасности в Учреждении.
1.5. Срок или условие прекращения обработки персональных данных:
Реорганизация или ликвидация юридического лица
1.6. Правовое основание обработки персональных данных:
1.6.1 Для целей, указанных в пункте 1.4.1. настоящего Положения:
Трудовой кодекс Российской Федерации (ст. ст. 86-90), Гражданский кодекс
Российской Федерации, Закон Российской Федерации от 29 декабря 2012 г. № 273-ФЗ "Об
образовании в Российской Федерации", Постановление Правительства Нижегородской
области от 30 апреля 2014 г. № 301 «Об утверждении государственной программы
«Развитие образования Нижегородской области»; Лицензия на осуществление
образовательной деятеьности рег. номер 926 от 08 октября 2015 г. серия 52Л01 №002776,
Устав 1596 (утвержден от 06.08.2015г.), согласие на обработку персональных данных,
Положение об обработке персональных данных от 15.12.2023 г.
1.6.2. Для целей, указанных в пункте 1.4.2., 1.4.3 настоящего Положения:
Гражданский кодекс Российской Федерации, Закон Российской Федерации от 29
декабря 2012 г. № 273-ФЗ "Об образовании в Российской Федерации", Постановление
Правительства Нижегородской области от 30 апреля 2014 г. № 301 «Об утверждении
государственной программы «Развитие образования Нижегородской области»; Лицензия
на осуществление образовательной деятеьности рег. номер 926 от 08 октября 2015 г. серия
52Л01 №002776, Устав 1596 (утвержден от 06.08.2015г.), согласие на обработку
персональных данных, Положение об обработке персональных данных от 15.12.2023 г.
1.6.3. Для целей, указанных в пункте 1.4.4., 1.4.5. настоящего Положения:
Гражданский кодекс Российской Федерации, Закон Российской Федерации от 29
декабря 2012 г. № 273-ФЗ "Об образовании в Российской Федерации", Постановление
Правительства Нижегородской области от 30 апреля 2014 г. № 301 «Об утверждении
государственной программы «Развитие образования Нижегородской области»; Лицензия
на осуществление образовательной деятеьности рег. номер 926 от 08 октября 2015 г. серия
52Л01 №002776, Устав 1596 (утвержден от 06.08.2015г.), Положение об обработке
персональных данных от 15.12.2023 г.
1.7. В настоящем Положении используются следующие понятия, термины и
сокращения:
Положение об обработке ПДн. Страница 5 из 54
Персональные данные (ПДн) – любая информация, относящаяся к прямо или
косвенно определенному, или определяемому физическому лицу (субъекту персональных
данных.
Оператор - государственный орган, муниципальный орган, юридическое или
физическое лицо, самостоятельно или совместно с другими лицами организующие и (или)
осуществляющие обработку персональных данных, а также определяющие цели
обработки персональных данных, состав персональных данных, подлежащих обработке,
действия (операции), совершаемые с персональными данными;
Обработка персональных данных – любое действие (операция) или совокупность
действий (операций), совершаемых с использованием средств автоматизации или без
использования таких средств с персональными данными, включая сбор, запись,
систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,
использование, передачу (распространение, предоставление, доступ), обезличивание,
блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных - обработка
персональных данных с помощью средств вычислительной техники.
Распространение персональных данных - действия, направленные на раскрытие
персональных данных неопределенному кругу лиц.
Предоставление персональных данных - действия, направленные на раскрытие
персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных - временное прекращение обработки
персональных данных (за исключением случаев, если обработка необходима для
уточнения персональных данных).
Уничтожение персональных данных - действия, в результате которых становится
невозможным восстановить содержание персональных данных в информационной
системе персональных данных и (или) в результате которых уничтожаются материальные
носители персональных данных.
Обезличивание персональных данных - действия, в результате которых
становится невозможным без использования дополнительной информации определить
принадлежность персональных данных конкретному субъекту персональных данных.
Информационная система персональных данных - совокупность содержащихся
в базах данных персональных данных и обеспечивающих их обработку информационных
технологий и технических средств.
Трансграничная передача персональных данных - передача персональных
данных на территорию иностранного государства органу власти иностранного
государства, иностранному физическому лицу или иностранному юридическому лицу.
Конфиденциальность персональных данных - обязанность оператора и иных
лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не
распространять персональные данные без согласия субъекта персональных данных, если
иное не предусмотрено федеральным законом.
Субъект (персональных данных) - физическое лицо, определяемое на основании
персональных данных, обрабатываемых в Учреждении.
1.8. Настоящее Положение и изменения к нему утверждаются руководителем
Учреждения.
1.9. Настоящее Положение вступает в силу с момента его утверждения и действует
бессрочно, до замены его новым Положением.
1.10. Настоящее Положение является обязательным для исполнения всеми
работниками Учреждения, непосредственно осуществляющими обработку персональных
данных и (или) имеющими доступ к персональным данным. Все работники Учреждения
должны быть ознакомлены с настоящим Положением и изменениями к нему под роспись.
Положение об обработке ПДн. Страница 6 из 54
1.11. Настоящее Положение подлежит пересмотру в ходе периодического анализа
со стороны руководства Учреждения, а также в случаях изменения законодательства
Российской Федерации в области персональных данных.
1.12. Настоящее положение подлежит опубликованию на официальном сайте
Учреждения в течение 10 дней после его утверждения.
2.СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. В Учреждении обрабатываются персональные данные следующих групп
субъектов:
- работников (в том числе руководство, педагогический состав), а также
родственников работников, бывших работников;
- учеников, родителей (законных представителей) учеников, бывших учеников,
родителей (законных представителей) бывших учеников;
физических
лиц
–
контрагентов
(ИП
и
юридических
лиц),
представителей/работников контрагентов оператора (юридических лиц);
- посетителей сайта;
- физических лиц, обращающихся в Учреждение, посетителей Учреждения.
2.2. В Учреждении к персональным данным работников (бывших работников)
относятся следующие сведения:
- фамилия, имя, отчество;
- год, месяц, дата и место рождения;
- адрес проживания, регистрации;
- семейное, социальное, имущественное положение;
- сведения об образовании (наименования оконченных учебных заведений,
факультет, специальность, год окончания), информация о дополнительном
образовании, повышении квалификации, аттестации;
- профессия;
- доходы, полученные в Учреждении;
- специальность;
- гражданство;
- паспортные данные;
- СНИЛС;
-ИНН;
- номер страхового свидетельства государственного пенсионного страхования;
- пол;
- трудовой и общий стаж;
- сведения о детях (количество, возраст);
- социальные льготы;
- сведения о воинском учете;
- контактные телефоны;
- фотография;
- сумма дохода;
- сумма вычета;
- номер лицевого счета;
- стаж работы;
- прежнее место работы (структурное подразделение), наименование структурного
подразделения, наименование должности;
- уровень владения иностранными языками;
- профессиональные навыки;
Положение об обработке ПДн. Страница 7 из 54
- информация об аттестации (дата аттестации, решение комиссии, номер, дата
протокола);
- информация о повышении квалификации (дата начала и окончания обучения, вид
повышения квалификации, наименование образовательного учреждения, серия, №,
дата выдачи документа об образовании);
- сведения о профессиональной переподготовке (дата начала и окончания обучения,
специальность (направление, профессия), серия, номер, дата выдачи документа);
- информация о наградах (поощрениях), почетных званиях (наименование награды,
номер и дата выдачи документа), размер вознаграждения;
- данные об отпусках (вид отпуска, период, дата начала и окончания отпуска);
- отметки о явках и неявках на работу по числам месяца, количество неявок,
причины неявок;
- количество отработанных часов за месяц, количество выходных и праздничных
дней;
- сведения о социальных льготах, на которые работник имеет право в соответствии
с законодательством (наименование льготы, номер и дата выдачи документа);
- номер, дата трудового договора;
- испытательный срок;
- место назначения, дата начала и окончания, срок и цель командировки;
- серия и номер трудовой книжки или вкладыша в неё;
- основание прекращения (расторжения) трудового договора (увольнения), причина
увольнения, дата увольнения, номер и дата приказа;
- сведения о судимости в соответствии с законодательством РФ в отношении
педагогического состава;
- данные свидетельств о браке и (или) о расторжении брака, о смене фамилии.
- адрес электронной почты, стаж работы по специальности, педагогический стаж,
уровень образования, категория, данные о повышении квалификации и (или)
профессиональной переподготовки (при наличии), направление подготовки и/или
специальность, преподаваемые дисциплины, ученая степень (при наличии), ученое
звание (при наличии).
2.3. К документам (в бумажном и (или) электронном виде), содержащим
персональные данные работников Учреждении, относятся:
- паспорт или иной документ, удостоверяющий личность;
- свидетельство о постановке на учет в налоговом органе и присвоении ИНН;
- страховое пенсионное свидетельство;
- документ воинского учета;
- документы об образовании, о квалификации или наличии специальных знаний
или специальной подготовки;
- документы, содержащие сведения о заработной плате, доплатах и надбавках;
- заявление о приеме на работу;
- трудовой контракт (договор);
- приказ о приеме (форма Т-1, Т-1а);
- личная карточка работника (форма Т-2);
- личное дело работника;
- трудовая книжка;
- приказ (распоряжение) о переводе работника на другую работу (форма Т-5, Т-5а);
- приказ (распоряжение) о предоставлении отпуска работнику (форма Т-6);
- график отпусков (форма Т-7);
- заявление об увольнении;
- приказ (распоряжение) о прекращении (расторжении) трудового договора с
работником (увольнении) (форма Т-8, Т-8а);
Положение об обработке ПДн. Страница 8 из 54
- приказ (распоряжение) о направлении работника в командировку (форма Т-9, Т9а);
- командировочное удостоверение (форма Т-10);
- служебное задание для направления в командировки и отчет о его выполнении
(форма Т-10а);
- приказ (распоряжение) о поощрении (наказании) работника (форма Т-11, Т-11а);
- справка с места работы;
- справка о доходах физического лица Ф № 2-НДФЛ;
- список работников, подлежащих обязательному медицинскому страхованию;
- резюме;
- журналы заведующего здравпунктом;
- карты прививок.
2.4. В Учреждении к персональным данным учеников, бывших учеников относятся
следующие сведения: фамилия, имя, отчество; год рождения; месяц рождения; дата
рождения; место рождения; адрес; социальное положение; имущественное положение;
образование; профессия; реквизиты свидетельства о рождении (серия и номер, дата
выдачи, кем выдан, номер актовой записи), реквизиты документа, удостоверяющего
личность (тип документа, серия и номер, дата и место выдачи, кем выдан), реквизиты
полиса обязательного медицинского страхования, гражданство, пол, СНИЛС, ИНН, класс,
дата регистрации заявления о приеме, форма обучения, смена, программа обучения,
сведения о воинском учете, перечень изученных, изучаемых предметов и курсов, сведения
об успеваемости, в том числе результаты текущего контроля успеваемости,
промежуточной и итоговой аттестации, расписание уроков, расписание звонков,
содержание уроков, курсов, содержание домашних заданий и уровень их выполнения,
сведения о поведении, сведения о задолженности, социальные льготы, контактные
телефоны, фотография, разряды, звания, сведения о родителях/законных представителях
(фамилия, имя отчество; число, месяц, год рождения; СНИЛС; гражданство; реквизиты
документа удостоверяющего личность; место работы; контактные данные, документ
удостоверяющий положение законного представителя по отношению к ребенку);
информация о здоровье (группа здоровья, физкультурная группа; инвалидность (группа
инвалидности, срок действия группы инвалидности, отдельные категории инвалидности;
наличие потребности в адаптированной программе обучения, наличие потребности в
длительном лечении); данные об аттестате общеобразовательного учреждения, баллы,
оценки, отметки о явках и неявках на учебе по числам месяца, количество неявок,
причины неявок, сведения о социальных льготах, на которые ученик имеет право в
соответствии с законодательством (наименование льготы, номер и дата выдачи
документа), дата и номер приказа о зачислении, переводе, восстановлении, причина
отчисления, дата отчисления, номер и дата приказа, дата и номер приказа о допуске к
экзаменам, данные свидетельства о смерти, данные сертификата о прививках, увлечения,
интересы, похвальные грамоты, дипломы, свидетельства по учебе, спорту, данные
родителей или законных представителей (опекунов, попечителей, усыновителей), данные
о составе семьи, данные свидетельств о браке и (или) о расторжении брака, о смене
фамилии, списки приказов о зачислении несовершеннолетних детей в данное учреждение,
характеристики с прежних мест учебы.
2.5. К персональным данным родителей (законных представителей) Учеников,
родителей (законных представителей) бывших Учеников относятся:
фамилия, имя, отчество, адрес, число, месяц, год рождения, паспортные данные,
СНИЛС; гражданство, профессия; доходы, контактные данные, номер телефона, адрес
электронной почты, копия паспорта, данные свидетельств о браке и (или) о расторжении
брака, документ удостоверяющий положение законного представителя по отношению к
ребенку (в случае, если согласие заполняет законный представитель Ученика), место
Положение об обработке ПДн. Страница 9 из 54
работы, должность, сведения об образовании, сведения о составе семьи, сведения о
социальных льготах, логин.
2.6. К персональным данным посетителей сайта относятся:
имя, адрес электронной почты, город.
2.7. К персональным данным посетителей Учреждения относятся:
ФИО, цель посещения, документ, удостоверяющий личность.
3. ОСНОВНЫЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Обработка персональных данных осуществляется на основе следующих
принципов:
3.1. Обработка персональных данных осуществляется на законной и справедливой
основе.
3.2. Обработка персональных данных ограничивается достижением конкретных,
заранее определенных и законных целей. Не допускается обработка персональных
данных, несовместимая с целями сбора персональных данных.
3.3. Не допускается объединение баз данных, содержащих персональные данные,
обработка которых осуществляется в целях, несовместимых между собой.
3.4. Обработке подлежат только персональные данные, которые отвечают целям их
обработки.
3.5. Содержание и объем обрабатываемых персональных данных соответствуют
заявленным целям обработки. Обрабатываемые персональные данные не являются
избыточными по отношению к заявленным целям их обработки.
3.6. При обработке персональных данных обеспечены точность персональных
данных, их достаточность, а в необходимых случаях и актуальность по отношению к
целям обработки персональных данных. Оператор принимает необходимые меры либо
обеспечивает их принятие по удалению или уточнению неполных, или неточных данных.
3.7. Хранение персональных данных осуществляется в форме, позволяющей
определить субъекта персональных данных, не дольше, чем этого требуют цели обработки
персональных данных, если срок хранения персональных данных не установлен
федеральным законом, договором, стороной которого является субъект персональных
данных. Обрабатываемые персональные данные в Учреждении подлежат уничтожению
либо обезличиванию по достижении целей обработки или в случае утраты необходимости
в достижении этих целей, если иное не предусмотрено федеральным законом.
4. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. В целях обеспечения прав и свобод человека и гражданина
работники Учреждения при обработке персональных данных субъектов персональных
данных, обязаны соблюдать следующие общие требования:
4.1.1. Обработка персональных данных осуществляется исключительно в целях
обеспечения соблюдения законов и иных нормативных правовых актов, содействия
работникам в трудоустройстве, их обучении и продвижении по службе, обеспечения
личной безопасности, контроля количества и качества выполняемой работы и обеспечения
сохранности персональных данных.
4.1.2. При определении объема и содержания, обрабатываемых персональных
данных работники Учреждения должны руководствоваться Конституцией Российской
Федерации, Трудовым Кодексом Российской Федерации и иными федеральными
законами.
4.1.3. Обработка специальных категорий персональных данных, касающихся
расовой, национальной принадлежности, политических взглядов, религиозных или
Положение об обработке ПДн. Страница 10 из 54
философских убеждений, состояния здоровья, интимной жизни, не допускается, за
исключением случаев, предусмотренных, Федеральным законом от 27.07.2006 № 152-ФЗ
«О персональных данных».
4.1.4. Обработка персональных данных в Учреждении осуществляется только
специально уполномоченными лицами, перечень которых утверждается внутренним
приказом, при этом указанные в приказе работники должны иметь право получать только
те персональные данные субъекта, которые необходимы для выполнения
непосредственных должностных обязанностей.
4.1.5. Использование персональных данных возможно только в соответствии с
целями, определившими их получение. Персональные данные не могут быть
использованы в целях причинения имущественного и морального вреда гражданам,
затруднения реализации прав и свобод граждан Российской Федерации.
4.1.6. При принятии решений, затрагивающих интересы субъекта, работники
оператора не имеют права основываться на персональных данных субъекта, полученных
исключительно в результате их автоматизированной обработки.
4.2. Получение персональных данных.
4.2.1. Субъект персональных данных принимает решение о предоставлении его
персональных данных и дает согласие на их обработку свободно, своей волей и в своем
интересе. Согласие на обработку персональных данных должно быть конкретным,
предметным, информированным, сознательным и однозначным. Согласие на обработку
персональных данных может быть дано субъектом персональных данных или его
представителем в любой позволяющей подтвердить факт его получения форме, если иное
не установлено федеральным законом. В случае получения согласия на обработку
персональных данных от представителя субъекта персональных данных полномочия
данного представителя на дачу согласия от имени субъекта персональных данных
проверяются оператором.
4.2.2. В случаях, предусмотренных федеральным законом, обработка персональных
данных осуществляется только с согласия в письменной форме субъекта персональных
данных. Равнозначным содержащему собственноручную подпись субъекта персональных
данных согласию в письменной форме на бумажном носителе признается согласие в
форме электронного документа, подписанного в соответствии с федеральным законом
электронной подписью. Согласие в письменной форме субъекта персональных данных на
обработку его персональных данных должно включать в себя, в частности:
- фамилию, имя, отчество, адрес субъекта, номер основного документа,
удостоверяющего его личность, сведения о дате выдачи указанного документа и
выдавшем его органе;
- фамилию, имя, отчество, адрес представителя субъекта персональных данных,
номер основного документа, удостоверяющего его личность, сведения о дате выдачи
указанного документа и выдавшем его органе, реквизиты доверенности или иного
документа, подтверждающего полномочия этого представителя (при получении согласия
от представителя субъекта персональных данных);
- наименование или фамилию, имя, отчество и адрес оператора, получающего
согласие субъекта персональных данных;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта
персональных данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего
обработку персональных данных по поручению, если обработка будет поручена такому
лицу;
- перечень действий с персональными данными, на совершение которых дается
согласие, общее описание используемых оператором способов обработки персональных
данных;
Положение об обработке ПДн. Страница 11 из 54
- срок, в течение которого действует согласие, а также способ его отзыва;
- подпись субъекта персональных данных.
4.2.3. Для осуществления обработки персональных данных субъектов
персональных данных оператору необходимо получать согласие на обработку их
персональных данных, и на передачу персональных данных третьим лицам по форме,
представленной в Приложении № 1 к настоящему Положению.
4.2.4. Согласие на обработку персональных данных может быть отозвано
субъектом персональных данных. Форма отзыва согласия на обработку персональных
данных представлена в Приложении № 2 к настоящему Положению. В случае отзыва
субъектом персональных данных согласия на обработку персональных данных оператор
вправе продолжить обработку персональных данных без согласия субъекта персональных
данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2
статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О
персональных данных».
4.2.5. При возникновении необходимости получения персональных данных
субъекта от третьих лиц, от субъекта должно быть получено письменное согласие. Форма
согласия субъекта на получение его персональных данных от третьих лиц представлена в
Приложении № 3 к настоящему Положению.
4.2.6. В случае получения персональных данных от третьего лица субъект,
персональные данные которого были получены, должен быть уведомлен об этом. Форма
уведомления представлена в Приложении № 4 к настоящему Положению.
4.2.7. В уведомлении необходимо сообщить о целях, способах и источниках
получения персональных данных, а также о характере подлежащих получению
персональных данных и возможных последствиях отказа субъекта дать письменное
согласие на их получение.
4.2.8. Сведения, которые характеризуют физиологические и биологические
особенности человека и на основе которых можно установить его личность
(биометрические персональные данные), и которые используются Учреждением для
установления личности субъекта персональных данных, могут обрабатываться в
Учреждении только при наличии согласия субъекта в письменной форме.
Оператор не вправе отказывать в обслуживании в случае отказа субъекта
персональных данных предоставить биометрические персональные данные и (или) дать
согласие на обработку персональных данных, если в соответствии с федеральным законом
получение оператором согласия на обработку персональных данных не является
обязательным.
4.2.9. В случае смерти субъекта согласие на обработку его персональных данных
дают наследники субъекта персональных данных, если такое согласие не было дано
субъектом при его жизни.
4.2.10. В случае недееспособности субъекта персональных данных согласие на
обработку его персональных данных дает законный представитель субъекта персональных
данных.
4.3. Доступ к персональным данным.
4.3.1. Перечень работников (фамилии, имена, отчества и должности),
осуществляющих обработку персональных данных, как в бумажном, так и в электронном
виде и (или) имеющих доступ к персональным данным, утверждается внутренним
приказом. При этом указанные лица должны иметь право получать только те
персональные данные субъектов, которые необходимы для выполнения непосредственных
должностных обязанностей. Доступ к персональным данным работников Учреждении, не
входящих в вышеуказанный перечень, запрещается.
4.3.2. Процедура оформления доступа к персональным данным включает в себя:
Положение об обработке ПДн. Страница 12 из 54
- ознакомление работников с настоящим Положением, инструкцией пользователя
ИСПДн, Политикой информационной безопасности и другими нормативными актами,
регулирующими обработку и защиту персональных данных в Учреждении, под роспись;
- подписание работником Соглашения о неразглашении персональных данных
работника. Форма о соблюдении конфиденциальности персональных данных
представлена в Приложении № 6 к настоящему Положению.
4.3.3. Выдача документов, содержащих персональные данные работников
осуществляется в соответствии со ст. 62 Трудового кодекса РФ с соблюдением
следующей процедуры:
- заявление работника о выдаче того или иного документа на имя специалиста по
кадрам;
- выдача заверенной копии (в количестве экземпляров, необходимом работнику)
заявленного документа, либо справки о заявленном документе или сведениях,
содержащихся в нем;
- внесения соответствующих записей в Журнал учета выданной информации.
4.3.4. Всем работникам оператора снимать какие-либо копии, делать выписки,
изымать документы (либо их копии) из личного дела категорически запрещено.
4.4. Обеспечение конфиденциальности персональных данных.
4.4.1. Персональные данные относятся к категории конфиденциальной
информации.
4.4.2. Работниками оператора, получающими доступ к персональным данным,
должна обеспечиваться конфиденциальность таких данных. Работники Оператора
получившие доступ к персональным данным, не раскрывают третьим лицам и не
распространяют персональные данные без согласия субъекта персональных данных, если
иное не предусмотрено федеральным законом.
4.4.3. Учреждение вправе поручить обработку персональных данных другому лицу
с согласия субъекта персональных данных, если иное не предусмотрено федеральным
законом, на основании заключаемого с этим лицом договора, в том числе
государственного или муниципального контракта, либо путем принятия государственным
органом или муниципальным органом соответствующего акта (далее - поручение
оператора). Лицо, осуществляющее обработку персональных данных по поручению
Учреждения, обязано соблюдать принципы и правила обработки персональных данных,
предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность
персональных данных, принимать необходимые меры, направленные на обеспечение
выполнения обязанностей, предусмотренных настоящим Федеральным законом.
В поручении должны быть определены перечень персональных данных, перечень
действий (операций) с персональными данными, которые будут совершаться лицом,
осуществляющим обработку персональных данных, цели их обработки, должна быть
установлена обязанность такого лица соблюдать конфиденциальность персональных
данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 Федерального
закона от 27.07.2006 № 152-ФЗ «О персональных данных», обязанность по запросу
оператора персональных данных в течение срока действия поручения, в том числе до
обработки персональных данных, предоставлять документы и иную информацию,
подтверждающие принятие мер и соблюдение в целях исполнения поручения требований,
установленных в соответствии с настоящей статьей, обязанность обеспечивать
безопасность персональных данных при их обработке, а также должны быть указаны
требования к защите обрабатываемых персональных данных в соответствии со статьей 19
Федерального закона, в том числе требование об уведомлении оператора о случаях,
предусмотренных частью 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О
персональных данных».
4.4.4. В целях информационного обеспечения деятельности структурных
подразделений и работников оператора могут быть созданы общедоступные источники
Положение об обработке ПДн. Страница 13 из 54
персональных данных (стенды, папки в кабинетах, информация на сайте, справочники,
адресные книги и др.). В общедоступные источники персональных данных с письменного
согласия работника могут включаться его фамилия, имя, отчество, год и место рождения,
абонентский номер, сведения о профессии и иные персональные данные. Сведения о
работнике могут быть в любое время исключены из общедоступных источников
персональных данных по требованию работника, суда или иных уполномоченных
государственных органов.
4.5. Права и обязанности сторон при обработке персональных данных.
4.5.1. Работники оператора обязаны предоставлять в отдел кадров и только
достоверные, документированные персональные данные и своевременно сообщать об
изменении своих персональных данных.
4.5.2. Каждый субъект персональных данных имеет право:
- на получение полной информации о своих персональных данных и на свободный
бесплатный доступ к своим персональным данным, включая право на получение копий
любой записи, содержащей его персональные данные, за исключением случаев,
предусмотренных действующим законодательством;
Субъект персональных данных имеет право на получение информации,
касающейся обработки его персональных данных, в том числе содержащей:
- подтверждение факта обработки персональных данных оператором;
- правовое основание и цели обработки персональных данных;
- цели и применяемые оператором способы обработки персональных данных;
- наименование и место нахождения оператора, сведения о лицах (за исключением
работников оператора), которые имеют доступ к персональным данным или которым
могут быть раскрыты персональные данные на основании договора с Учреждением или на
основании федерального закона;
- обрабатываемые персональные данные, относящиеся к соответствующему
субъекту персональных данных, источник их получения, если иной порядок
представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав, предусмотренных
действующим Федеральным законом;
- информацию об осуществленной или о предполагаемой трансграничной передаче
данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего
обработку персональных данных по поручению Учреждения, если обработка поручена
или будет поручена такому лицу;
- информацию
о
способах
исполнения
оператором
обязанностей,
установленных статьей 18.1 152-ФЗ «О персональных данных»;
- иные сведения, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ
«О персональных данных» и другими федеральными законами.
4.5.3. Субъект персональных данных вправе требовать от работников оператора
уточнения своих персональных данных, их блокирования или уничтожения в случае, если
персональные данные являются неполными, устаревшими, неточными, недостоверными,
незаконно полученными или не являются необходимыми для заявленной цели обработки,
а также принимать предусмотренные законом меры по защите своих прав;
4.5.4. Субъект персональных данных вправе заявить о своем несогласии при
отказе работников Учреждении исключить или исправить персональные данные (в
письменной форме с соответствующим обоснованием такого несогласия).
4.5.5. Запрашиваемая субъектом информация должна быть предоставлена
субъекту персональных данных в доступной форме, и в них не должны содержаться
персональные данные, относящиеся к другим субъектам персональных данных, за
Положение об обработке ПДн. Страница 14 из 54
исключением случаев, если имеются законные основания для раскрытия таких
персональных данных.
Запрашиваемая информация предоставляется субъекту персональных данных или
его представителю оператором при обращении либо при получении запроса субъекта
персональных данных или его представителя.
Запрос должен содержать:
1) номер основного документа, удостоверяющего личность субъекта персональных
данных или его законного представителя;
2) сведения о дате выдачи указанного документа и выдавшем его органе;
3) сведения, подтверждающие участие субъекта персональных данных в
отношениях с оператором (номер договора, дата заключения договора, условное
словесное обозначение и (или) иные сведения), либо сведения, иным образом
подтверждающие факт обработки персональных данных оператором
4) подпись субъекта персональных данных или его законного представителя.
Запрос может быть направлен в электронной форме и подписан электронной
цифровой подписью в соответствии с законодательством Российской Федерации.
Сведения, указанные 4.5.5 настоящего положения, предоставляются субъекту
персональных данных или его представителю оператором в течение десяти рабочих дней с
момента обращения либо получения оператором запроса субъекта персональных данных
или его представителя. Указанный срок может быть продлен, но не более чем на пять
рабочих дней в случае направления оператором в адрес субъекта персональных данных
мотивированного уведомления с указанием причин продления срока предоставления
запрашиваемой информации
Оператор предоставляет сведения, указанные в п. 4.5.5 настоящего положения,
субъекту персональных данных или его представителю в той форме, в которой
направлены соответствующие обращение либо запрос, если иное не указано в обращении
или запросе.
4.5.6. В случае, если запрашиваемая информация, а также обрабатываемые
персональные данные были предоставлены для ознакомления субъекту персональных
данных по его запросу, субъект персональных данных вправе обратиться повторно к
оператору или направить ему повторный запрос в целях получения данных сведений и
ознакомления с такими персональными данными не ранее чем через тридцать дней (далее
– нормированный срок запроса) после первоначального обращения или направления
первоначального запроса, если более короткий срок не установлен федеральным законом,
принятым в соответствии с ним нормативным правовым актом или договором, стороной
которого является субъект персональных данных.
4.5.7. Субъект персональных данных вправе обратиться повторно к оператору или
направить ему повторный запрос в целях получения данных сведений, а также в целях
ознакомления с обрабатываемыми персональными данными до истечения тридцати дней,
в случае, если такие сведения и (или) обрабатываемые персональные данные не были
предоставлены ему для ознакомления в полном объеме по результатам рассмотрения
первоначального обращения. Повторный запрос субъекта персональных данных наряду с
необходимой для запроса информации должен содержать обоснование направления
повторного запроса
4.5.8. Оператор вправе отказать субъекту персональных данных в выполнении
повторного запроса, условиям повторного запроса. Такой отказ должен быть
мотивированным. Обязанность представления доказательств обоснованности отказа в
выполнении повторного запроса лежит на Учреждении.
4.5.9. Оператор обязан безвозмездно предоставить субъекту возможность
ознакомления с персональными данными, относящимися к соответствующему субъекту, а
также внести в них необходимые изменения, уничтожить или блокировать
соответствующие персональные данные по предоставлении субъектом сведений,
Положение об обработке ПДн. Страница 15 из 54
подтверждающих, что персональные данные являются неполными, устаревшими,
недостоверными, незаконно полученными или не являются необходимыми для
заявленной цели обработки. О внесенных изменениях и предпринятых мерах Учреждение
обязано уведомить субъекта и третьих лиц, которым персональные данные этого субъекта
были переданы. Форма уведомления представлена в Приложении № 4 к настоящему
Положению.
4.5.10. Все обращения работников персональных данных по вопросам,
касающимся обработки персональных данных, фиксируются ответственным лицом за
организацию обработки персональных данных в Журнале учета обращений субъектов
персональных данных (работников) по вопросам обработки персональных данных и для
получения доступа к своим персональным данным.
4.5.11. Форма журнала представлена в Приложении № 8 к настоящему Положению.
4.5.12. Для регламентации порядка учета обращений граждан для получения
доступа к своим персональным данным разработана Инструкция по учету обращений
работников для доступа к своим персональным данным, с которой ознакамливаются все
работники оператора под роспись
4.5.13. Права субъектов персональных данных при обработке их
персональных данных в целях продвижения товаров, работ, услуг на рынке, а также
в целях политической агитации.
4.5.13.1 Обработка персональных данных в целях продвижения товаров, работ,
услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с
помощью средств связи, а также в целях политической агитации оператором не
осуществляется.
4.5.14. Права субъектов персональных данных при принятии решений на
основании исключительно автоматизированной обработки их персональных данных
4.5.14.1.
Принятие на основании исключительно автоматизированной
обработки персональных данных решений, порождающих юридические последствия в
отношении субъекта персональных данных или иным образом затрагивающих его права и
законные интересы оператором не осуществляется.
4.5.15.
Право на обжалование действий или бездействий Оператора.
4.5.15.1.
Если субъект персональных данных считает, что оператор
осуществляет обработку его персональных данных с нарушением требований настоящего
Федерального закона или иным образом нарушает его права и свободы, субъект
персональных данных вправе обжаловать действия или бездействие оператора в
уполномоченный орган по защите прав субъектов персональных данных или в судебном
порядке.
4.5.15.2.
Субъект персональных данных имеет право на защиту своих прав и
законных интересов, в том числе на возмещение убытков и (или) компенсацию
морального вреда в судебном порядке.
4.6.
Обязанности оператора
4.6.1. Обязанности оператора при сборе персональных данных.
4.6.1.1. При сборе персональных данных оператор предоставляет субъекту
персональных данных по его просьбе запрашиваемую субъектом информацию.
4.6.1.2. Если в соответствии с федеральным законом предоставление персональных
данных и (или) получение оператором согласия на обработку персональных данных
являются обязательными, оператор обязан разъяснить субъекту персональных данных
юридические последствия отказа предоставить его персональные данные и (или) дать
согласие на их обработку.
4.6.1.3. Если персональные данные получены не от субъекта персональных данных,
оператор до начала обработки таких персональных предоставляет субъекту персональных
данных следующую информацию (далее – информация, сообщаемая при получении
персональных данных не от субъекта персональных данных):
Положение об обработке ПДн. Страница 16 из 54
1) наименование либо фамилия, имя, отчество и адрес оператора или его
представителя;
2) цель обработки персональных данных и ее правовое основание;
перечень персональных данных;
3) предполагаемые пользователи персональных данных;
4) установленные настоящим Федеральным законом права субъекта персональных
данных;
5) источник получения персональных данных.
4.6.1.4. Оператор не предоставляет субъекту информацию, сообщаемую при
получении персональных данных не от субъекта персональных данных, в случаях, если:
1) субъект персональных данных уведомлен об осуществлении обработки его
персональных данных оператором;
2) персональные данные получены опратором на основании федерального закона
или в связи с исполнением договора, стороной которого либо выгодоприобретателем или
поручителем, по которому является субъект персональных данных;
3) обработка персональных данных, разрешенных субъектом персональных данных
для распространения, осуществляется с соблюдением запретов и условий,
предусмотренных статьей 10.1 152-ФЗ «О персональных данных»;
4) Оператор осуществляет обработку персональных данных для статистических или
иных исследовательских целей, для осуществления профессиональной деятельности
журналиста либо научной, литературной или иной творческой деятельности, если при
этом не нарушаются права и законные интересы субъекта персональных данных;
5) предоставление субъекту персональных данных информации, сообщаемой при
получении персональных данных не от субъекта персональных данных, нарушает права и
законные интересы третьих лиц.
4.6.1.5. При сборе персональных данных, в том числе посредством информационнотелекоммуникационной сети "Интернет", оператор обеспечивает запись, систематизацию,
накопление, хранение, уточнение (обновление, изменение), извлечение персональных
данных граждан Российской Федерации в следующих информационных системах:
4.6.1.5.1. Информационная система персональных данных «Кадры» с
использованием баз данных, находящихся на территории России.
4.6.1.5.2. Информационная система персональных данных «Ученики» с
использованием баз данных, находящихся на территории России.
4.6.1.5.3. Местонахождение центра(ов) обработки данных и сведения об
организации, ответственной за хранение данных, определены внутренними документами
Учреждения.
4.6.2. Меры, направленные на обеспечение выполнения Оператором своих
обязанностей.
4.6.2.1. Оператор принимает меры, необходимые и достаточные для обеспечения
выполнения обязанностей, предусмотренных Федеральным законом и принятыми в
соответствии с ним нормативными правовыми актами. Оператор самостоятельно
определяет состав и перечень мер, необходимых и достаточных для обеспечения
выполнения обязанностей, предусмотренных настоящим Федеральным законом и
принятыми в соответствии с ним нормативными правовыми актами, если иное не
предусмотрено Федеральным законом или другими федеральными законами. К таким
мерам, в частности, относятся:
1) назначение ответственного за организацию обработки персональных данных;
2) издание оператором, являющимся юридическим лицом, документов,
определяющих политику оператора в отношении обработки персональных данных,
локальных актов по вопросам обработки персональных данных, определяющих для
каждой цели обработки персональных данных категории и перечень обрабатываемых
персональных данных, категории субъектов, персональные данные которых
Положение об обработке ПДн. Страница 17 из 54
обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения
персональных данных при достижении целей их обработки или при наступлении иных
законных оснований, а также локальных актов, устанавливающих процедуры,
направленные на предотвращение и выявление нарушений законодательства Российской
Федерации, устранение последствий таких нарушений. Такие документы и локальные
акты не могут содержать положения, ограничивающие права субъектов персональных
данных, а также возлагающие на операторов не предусмотренные законодательством
Российской Федерации полномочия и обязанности;
3) применение правовых, организационных и технических мер по обеспечению
безопасности персональных;
4) осуществление внутреннего контроля и (или) аудита соответствия обработки
персональных данных требованиям к защите персональных данных, Положению,
локальным актам оператора;
5) оценка вреда, который может быть причинен субъектам персональных данных в
случае нарушения Федерального закона «О персональных данных», соотношение
указанного вреда и принимаемых оператором мер, направленных на обеспечение
выполнения обязанностей, предусмотренных Федеральным законом «О персональных
данных»;
6) ознакомление работников оператора, непосредственно осуществляющих
обработку персональных данных, с положениями законодательства Российской
Федерации о персональных данных, в том числе требованиями к защите персональных
данных, документами, Положением, локальными актами по вопросам обработки
персональных данных, и (или) обучение указанных работников.
7) Оператор обязан опубликовать или иным образом обеспечить неограниченный
доступ к документу, определяющему его политику в отношении обработки персональных
данных, к сведениям о реализуемых требованиях к защите персональных данных.
Оператор, осуществляющий сбор персональных данных с использованием
информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей
информационно-телекоммуникационной сети, в том числе на страницах принадлежащего
оператору сайта в информационно-телекоммуникационной сети "Интернет", с
использованием которых осуществляется сбор персональных данных, документ,
определяющий его политику в отношении обработки персональных данных, и сведения о
реализуемых требованиях к защите персональных данных, а также обеспечить
возможность доступа к указанному документу с использованием средств
соответствующей информационно-телекоммуникационной сети.
4.6.3. Меры по обеспечению безопасности персональных данных при их
обработке
4.6.3.1. Оператор при обработке персональных данных принимает необходимые
правовые, организационные и технические меры или обеспечивает их принятие для
защиты персональных данных от неправомерного или случайного доступа к ним,
уничтожения, изменения, блокирования, копирования, предоставления, распространения
персональных данных, а также от иных неправомерных действий в отношении
персональных данных.
4.6.3.2. Обеспечение безопасности персональных данных достигается, в частности:
1) определением угроз безопасности персональных данных при их обработке в
информационных системах персональных данных;
2) применением организационных и технических мер по обеспечению безопасности
персональных данных при их обработке в информационных системах персональных
данных, необходимых для выполнения требований к защите персональных данных,
исполнение которых обеспечивает установленные Правительством Российской
Федерации уровни защищенности персональных данных;
Положение об обработке ПДн. Страница 18 из 54
3) применением прошедших в установленном порядке процедуру оценки
соответствия средств защиты информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности
персональных данных до ввода в эксплуатацию информационной системы персональных
данных;
5) учетом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и
принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации
последствий компьютерных атак на информационные системы персональных данных и по
реагированию на компьютерные инциденты в них;
7) восстановлением персональных данных, модифицированных или уничтоженных
вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным, обрабатываемым в
информационной системе персональных данных, а также обеспечением регистрации и
учета всех действий, совершаемых с персональными данными в информационной системе
персональных данных;
9) контролем за принимаемыми мерами по обеспечению безопасности персональных
данных и уровня защищенности информационных систем персональных данных.
4.6.3.3. Использование и хранение биометрических персональных данных вне
информационных систем персональных данных могут осуществляться только на таких
материальных носителях информации и с применением такой технологии ее хранения,
которые обеспечивают защиту этих данных от неправомерного или случайного доступа к
ним, их уничтожения, изменения, блокирования, копирования, предоставления,
распространения.
4.6.3.4. Оператор обязан в порядке, определенном федеральным органом
исполнительной власти, уполномоченным в области обеспечения безопасности,
обеспечивать взаимодействие с государственной системой обнаружения, предупреждения
и ликвидации последствий компьютерных атак на информационные ресурсы Российской
Федерации, включая информирование его о компьютерных инцидентах, повлекших
неправомерную передачу (предоставление, распространение, доступ) персональных
данных.
4.6.4. Обязанности оператора при обращении к нему субъекта персональных
данных либо при получении запроса субъекта персональных данных или его
представителя, а также уполномоченного органа по защите прав субъектов
персональных данных.
4.6.4.1. Оператор обязан сообщить в порядке, предусмотренном статьей 14
Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», субъекту
персональных данных или его представителю информацию о наличии персональных
данных, относящихся к соответствующему субъекту персональных данных, а также
предоставить возможность ознакомления с этими персональными данными при
обращении субъекта персональных данных или его представителя либо в течение десяти
рабочих дней с даты получения запроса субъекта персональных данных или его
представителя. Указанный срок может быть продлен, но не более чем на пять рабочих
дней в случае направления оператором в адрес субъекта персональных данных
мотивированного уведомления с указанием причин продления срока предоставления
запрашиваемой информации.
4.6.4.2. В случае отказа в предоставлении информации о наличии персональных
данных о соответствующем субъекте персональных данных или персональных данных
субъекту персональных данных или его представителю при их обращении либо при
получении запроса субъекта персональных данных или его представителя оператор обязан
дать в письменной форме мотивированный ответ, содержащий ссылку на положение
части 8 статьи 14 152-ФЗ «О персональных данных» или иного федерального закона,
Положение об обработке ПДн. Страница 19 из 54
являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней
со дня обращения субъекта персональных данных или его представителя либо с даты
получения запроса субъекта персональных данных или его представителя. Указанный
срок может быть продлен, но не более чем на пять рабочих дней в случае направления
оператором в адрес субъекта персональных данных мотивированного уведомления с
указанием причин продления срока предоставления запрашиваемой информации.
4.6.4.3. Оператор предоставляет безвозмездно субъекту персональных данных или
его представителю возможность ознакомления с персональными данными, относящимися
к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со
дня предоставления субъектом персональных данных или его представителем сведений,
подтверждающих, что персональные данные являются неполными, неточными или
неактуальными, Учреждение вносит в них необходимые изменения. В срок, не
превышающий семи рабочих дней со дня представления субъектом персональных данных
или его представителем сведений, подтверждающих, что такие персональные данные
являются незаконно полученными или не являются необходимыми для заявленной цели
обработки, оператор уничтожает такие персональные данные. Оператор уведомляет
субъекта персональных данных или его представителя о внесенных изменениях и
предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым
персональные данные этого субъекта были переданы.
4.6.4.4. Оператор сообщает в уполномоченный орган по защите прав субъектов
персональных данных по запросу этого органа необходимую информацию в течение
десяти рабочих дней с даты получения такого запроса. Указанный срок может быть
продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес
уполномоченного органа по защите прав субъектов персональных данных
мотивированного уведомления с указанием причин продления срока предоставления
запрашиваемой информации.
4.6.5. Обязанности оператора по устранению нарушений законодательства,
допущенных при обработке персональных данных, по уточнению, блокированию и
уничтожению персональных данных.
4.6.5.1. В случае выявления неправомерной обработки персональных данных при
обращении субъекта персональных данных или его представителя либо по запросу
субъекта персональных данных или его представителя либо уполномоченного органа по
защите прав субъектов персональных данных оператор осуществляет блокирование
неправомерно обрабатываемых персональных данных, относящихся к этому субъекту
персональных данных, или обеспечить их блокирование (если обработка персональных
данных осуществляется другим лицом, действующим по поручению оператора) с момента
такого обращения или получения указанного запроса на период проверки. В случае
выявления неточных персональных данных при обращении субъекта персональных
данных или его представителя, либо по их запросу или по запросу уполномоченного
органа по защите прав субъектов персональных данных, оператор осуществляет
блокирование персональных данных, относящихся к этому субъекту персональных
данных, или обеспечить их блокирование (если обработка персональных данных
осуществляется другим лицом, действующим по поручению оператора) с момента такого
обращения, или получения указанного запроса на период проверки, если блокирование
персональных данных не нарушает права и законные интересы субъекта персональных
данных или третьих лиц.
4.6.5.2. В случае подтверждения факта неточности персональных данных оператор
на основании сведений, представленных субъектом персональных данных или его
представителем либо уполномоченным органом по защите прав субъектов персональных
данных, или иных необходимых документов уточняет персональные данные либо
обеспечить их уточнение (если обработка персональных данных осуществляется другим
Положение об обработке ПДн. Страница 20 из 54
лицом, действующим по поручению оператора) в течение семи рабочих дней со дня
представления таких сведений и снять блокирование персональных данных.
4.6.5.3. В случае выявления неправомерной обработки персональных данных,
осуществляемой оператором или лицом, действующим по поручению оператора, оператор
в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает
неправомерную обработку персональных данных или обеспечивает прекращение
неправомерной обработки персональных данных лицом, действующим по поручению
оператора. В случае, если обеспечить правомерность обработки персональных данных
невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления
неправомерной обработки персональных данных, уничтожает такие персональные данные
или обеспечивает их уничтожение. Об устранении допущенных нарушений или об
уничтожении персональных данных оператор уведомляет субъекта персональных данных
или его представителя, а в случае, если обращение субъекта персональных данных или его
представителя либо запрос уполномоченного органа по защите прав субъектов
персональных данных были направлены уполномоченным органом по защите прав
субъектов персональных данных, также указанный орган.
4.6.5.4. В случае установления факта неправомерной или случайной передачи
(предоставления, распространения, доступа) персональных данных, повлекшей нарушение
прав субъектов персональных данных, оператор обязан с момента выявления такого
инцидента оператором, уполномоченным органом по защите прав субъектов
персональных данных или иным заинтересованным лицом уведомить уполномоченный
орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых
причинах, повлекших нарушение прав субъектов персональных данных, и
предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых
мерах по устранению последствий соответствующего инцидента, а также предоставить
сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным
органом по защите прав субъектов персональных данных, по вопросам, связанным с
выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования
выявленного инцидента, а также предоставить сведения о лицах, действия которых стали
причиной выявленного инцидента (при наличии).
4.6.5.5. В случае достижения цели обработки персональных данных оператор
прекращает обработку персональных данных или обеспечивает ее прекращение (если
обработка персональных данных осуществляется другим лицом, действующим по
поручению оператора) и уничтожает персональные данные или обеспечивает их
уничтожение (если обработка персональных данных осуществляется другим лицом,
действующим по поручению оператора) в срок, не превышающий тридцати дней с даты
достижения цели обработки персональных данных, если иное не предусмотрено
договором, стороной которого, выгодоприобретателем или поручителем по которому
является субъект персональных данных, иным соглашением между оператором и
субъектом персональных данных либо если оператор не вправе осуществлять обработку
персональных данных без согласия субъекта персональных данных на основаниях,
предусмотренных Федеральным законом «О персональных данных» или другими
федеральными законами.
4.6.5.6. В случае отзыва субъектом персональных данных согласия на обработку его
персональных данных оператор прекращает их обработку или обеспечивает прекращение
такой обработки (если обработка персональных данных осуществляется другим лицом,
действующим по поручению оператора) и в случае, если сохранение персональных
данных более не требуется для целей обработки персональных данных, уничтожает
персональные данные или обеспечивает их уничтожение (если обработка персональных
данных осуществляется другим лицом, действующим по поручению оператора) в срок, не
Положение об обработке ПДн. Страница 21 из 54
превышающий тридцати дней с даты поступления указанного отзыва, если иное не
предусмотрено договором, стороной которого, выгодоприобретателем или поручителем
по которому является субъект персональных данных, иным соглашением между
оператором и субъектом персональных данных либо если оператор не вправе
осуществлять обработку персональных данных без согласия субъекта персональных
данных на основаниях, предусмотренных Федеральным законом «О персональных
данных» или другими федеральными законами.
4.6.5.7. В случае обращения субъекта персональных данных к оператору с
требованием о прекращении обработки персональных данных оператор обязан в срок, не
превышающий десяти рабочих дней с даты получения оператором соответствующего
требования, прекратить их обработку или обеспечить прекращение такой обработки (если
такая обработка осуществляется лицом, осуществляющим обработку персональных
данных), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6,
частью 2 статьи 10 и частью 2 статьи 11 152-ФЗ «О персональных данных». Указанный
срок может быть продлен, но не более чем на пять рабочих дней в случае направления
оператором в адрес субъекта персональных данных мотивированного уведомления с
указанием причин продления срока предоставления запрашиваемой информации
4.6.5.8. В случае отсутствия возможности уничтожения персональных данных в
течение срока, указанного в пункте 4.6.5.4. настоящего Положения, оператор
осуществляет блокирование таких персональных данных или обеспечивает их
блокирование (если обработка персональных данных осуществляется другим лицом,
действующим по поручению оператора) и обеспечивает уничтожение персональных
данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными
законами.
4.6. Передача персональных данных.
4.6.1. При передаче персональных данных субъекта работники оператора обязаны
соблюдать следующие требования:
- не сообщать персональные данные субъекта третьей стороне без письменного
согласия субъекта (Приложение № 1 к настоящему Положению) или его законного
представителя, за исключением случаев, когда это необходимо в целях предупреждения
угрозы жизни и здоровью субъекта, а также в случаях, предусмотренных Трудовым
Кодексом Российской Федерации или иными федеральными законами.
- предупреждать лица, получающие персональные данные субъектов, о том, что эти
данные могут быть использованы лишь в целях, для которых они сообщены, и требовать
от этих лиц обеспечения конфиденциальности, полученных персональных данных;
- не сообщать персональные данные субъекта в коммерческих целях без его
письменного согласия;
- передавать персональные данные субъекта представителям субъектов в порядке,
установленном Трудовым Кодексом Российской Федерации, и ограничивать эту
информацию только теми персональными данными субъекта, которые необходимы для
выполнения указанными представителями их функций;
- не отвечать на вопросы, связанные с передачей персональных данных субъекта по
телефону или факсу, за исключением случаев, связанных с выполнением
соответствующими работниками своих непосредственных должностных обязанностей,
адресатам в чью компетенцию входит получение такой информации.
4.6.2. В целях обеспечения контроля правомерности использования
переданных по запросам персональных данных лицами, их получившими,
сведения о лице, направившем запрос, дата передачи персональных данных или дата
уведомления об отказе в их предоставлении, а также состав переданной информации
фиксируются в Журнале учета передачи персональных данных. Форма журнала учета
передачи персональных данных представлена в Приложении № 9 к настоящему
Положению.
Положение об обработке ПДн. Страница 22 из 54
4.7. Хранение персональных данных.
4.7.1. Хранение персональных данных должно осуществляться в форме,
позволяющей определить субъекта персональных данных, не дольше, чем этого требуют
цели их обработки, если срок хранения персональных данных не установлен федеральным
законом, договором, стороной которого, выгодоприобретателем или поручителем, по
которому является субъект персональных данных. Обрабатываемые персональные данные
подлежат уничтожению либо обезличиванию по достижению целей обработки или в
случае утраты необходимости в достижении этих целей.
В Учреждении хранение персональных данных субъектов может осуществляться
на бумажных и электронных носителях, доступ к которым ограничен списком лиц,
допущенных к обработке персональных данных.
4.7.2. Все электронные носители персональных данных подлежат строгому учету.
Форма Журнала учета электронных носителей приведена в Приложении 10 к настоящему
Положению.
4.7.3. Хранение персональных данных субъектов должно происходить в порядке,
исключающем их утрату или их неправомерное использование.
4.7.4. Персональные данные субъектов, содержащиеся на бумажных носителях и
отчуждаемых электронных носителях информации, должны храниться в сейфах или
запираемых шкафах, установленных в пределах контролируемой зоны оператора.
4.7.5. Персональные данные субъектов, содержащиеся на электронных носителях
информации, должны храниться на автоматизированных рабочих местах и серверах
информационных систем персональных данных Учреждения, установленных в пределах
контролируемой зоны оператора.
Все меры, направленные на соблюдение конфиденциальности при сборе,
обработке и хранении персональных данных субъекта, распространяются как на
бумажные, так и на электронные (автоматизированные) носители информации.
4.7.6. Все хранимые или используемые СЗИ (средства защиты информации),
эксплуатационная и техническая документация к ним подлежат поэкземплярному учету и
выдаются под расписку в Журнале поэкземплярного учета СЗИ, эксплуатационной и
технической документации к ним пользователям СЗИ, несущим персональную
ответственность за их сохранность. Форма соответствующего Журнала приведена в
Приложении № 11 к настоящему Положению.
4.7.7.
Все
хранимые
или
используемые
криптосредства
(средства
криптографической защиты информации), эксплуатационная и техническая документация
к ним, ключевые документы подлежат поэкземплярному учету и выдаются под расписку в
Журнале поэкземплярного учета криптосредств, эксплуатационной и технической
документации к ним, ключевых документов ответственным пользователем криптосредств
пользователям криптосредств, несущим персональную ответственность за их сохранность.
Форма соответствующего Журнала приведена в Приложении № 12 к настоящему
Положению. Ответственный пользователь криптосредств заводит и ведет на каждого
пользователя криптосредств Лицевой счет, в котором регистрирует числящиеся за ними
криптосредства, эксплуатационную и техническую документацию к ним, ключевые
документы. Форма Лицевого счета пользователя криптосредств приведена в Приложении
№ 13.
4.7.8. Хранение персональных данных субъектов должно происходить в порядке,
исключающем их утрату или их неправомерное использование.
4.7.9. Персональные данные субъектов, содержащиеся на бумажных носителях и
отчуждаемых машинных носителях информации, должны храниться в сейфах или
запираемых шкафах, установленных в пределах контролируемой зоны оператора. Все
хранилища должны быть учтены, и соответствующая запись внесена в Журнал учета
хранилищ (Приложение № 14).
4.8. Уничтожение персональных данных.
Положение об обработке ПДн. Страница 23 из 54
4.8.1. Обрабатываемые персональные данные должен уничтожить оператор (или
обеспечить уничтожение, если обработка персональных данных осуществляется другим
лицом, действующим по поручению оператора) в следующих случаях:
- в случае достижения цели обработки персональных данных - в срок, не
превышающий тридцати дней с даты достижения цели обработки персональных данных;
- в случае отзыва субъектом персональных данных согласия на обработку своих
персональных данных и в случае, если сохранение персональных данных более не
требуется для целей обработки персональных данных - в срок, не превышающий тридцати
дней с даты поступления указанного отзыва;
- в случае выявления неправомерной обработки с персональными данными и
невозможности устранения допущенных нарушений - в срок, не превышающий
трех рабочих дней с даты этого выявления.
4.8.2. После уничтожения персональных данных необходимо уведомить об этом
субъекта персональных данных или его законного представителя. А в случае, если
обращение субъекта персональных данных или его представителя либо запрос
уполномоченного органа по защите прав субъектов персональных данных были
направлены уполномоченным органом по защите прав субъектов персональных данных,
также указанный орган. Форма уведомления представлена в Приложении № 6 к
настоящему Положению.
4.8.3. Документы, содержащие персональные данные, подлежат хранению и
уничтожению в порядке, предусмотренным законодательством РФ и региональным
законодательством об архивном деле.
4.8.4. В случае отсутствия возможности уничтожения персональных данных в
течении указанных выше сроков, оператор осуществляет блокирование таких
персональных данных или обеспечивает их блокирование (если обработка персональных
данных осуществляется другим лицом, действующим по поручению оператора) и
обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если
иной срок не установлен федеральными законами.
4.8.5. Уничтожение персональных данных производится на основании Акта
уничтожения персональных данных. Форма Акта уничтожения предусмотрена в
Приложении № 7 к настоящему Положению.
4.9. Уточнение (обновление, изменение) персональных данных.
Исходя из того, что персональные данные содержатся во многих документах
оператора, при уточнении (обновлении, изменении) персональных данных, изменения
вносятся следующим образом:
- в личную карточку работника (ф. № Т2). В соответствии с п. 1 Указаний,
утвержденных Постановления Госкомстата РФ от 05.01.2004 № 1, при изменении
сведений о работнике в его личную карточку вносятся новые данные, которые заверяются
подписью специалиста по кадрам.
- в трудовую книжку. В соответствии с п. 7. (приказ Министерство труда и
социальной защиты Российской Федерации от 19 мая 2021 г. n 320н об утверждении
формы, порядка ведения и хранения трудовых книжек) Изменения записей в трудовых
книжках о фамилии, имени, отчестве и дате рождения производятся на основании
паспорта, свидетельств о рождении, о регистрации брака, о расторжении брака, о
перемене имени и других документов и со ссылкой на их номер, дату и орган, выдавший
документ.
Указанные изменения вносятся на первую страницу (титульный лист) трудовой
книжки. Одной чертой зачеркивается прежняя фамилия или имя, отчество (при наличии),
дата рождения и записываются новые данные. Ссылки на соответствующие документы
делаются на внутренней стороне обложки трудовой книжки и заверяются подписью
работодателя или специально уполномоченного им лица и печатью организации (или
печатью кадровой службы) (при наличии печати).
Положение об обработке ПДн. Страница 24 из 54
Изменение (дополнение) на первой странице (титульном листе) трудовой книжки
записей о полученных новых образовании, профессии, специальности осуществляется
путем дополнения имеющихся записей (если они уже имеются) или заполнения
соответствующих строк без зачеркивания ранее внесенных записей.
В случае изменения сведений, содержащих персональные данные (фамилия, имя,
отчество, адрес, абонентский номер, паспортные данные, сведения об образовании,
семейном положении (при выявлении противопоказаний для выполнения служебных
обязанностей (работы), обусловленных трудовым договором (контрактом) работники
обязаны своевременно сообщать о таких изменениях (как правило, в 3-х дневный срок) в
отдел кадров оператора.
В целях уточнения (обновления, изменения) персональных данных и для внесения
изменений в документы оператора, содержащие персональные данные работника,
необходимо в произвольной форме составлять приказ об изменении персональных данных
конкретного работника. На основании этого приказа будут вноситься изменения во все
остальные соответствующие документы. Внесенные изменения необходимо заверить
подписью ответственного работника и печатью Учреждения.
5.
ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ.
5.1. Оператор при обработке персональных данных обязано принимать
необходимые организационные и технические меры для защиты персональных данных от
неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования,
копирования, распространения персональных данных, а также от иных неправомерных
действий.
5.2. Защита персональных данных представляет собой жестко регламентированный
технологический процесс, предупреждающий нарушение доступности, целостности,
достоверности и конфиденциальности персональных данных, используемых в процессе
деятельности Учреждения.
5.3. Основными организационными мерами по защите персональных данных
оператора являются:
- ограничение и регламентация состава работников, функциональные обязанности
которых требуют конфиденциальных знаний;
- строгое, избирательное и обоснованное распределение документов и информации
между работниками;
- рациональное размещение рабочих мест работников, при котором исключалось
бы бесконтрольное использование защищаемой информации;
- обеспечение знания работником требований нормативно-методических
документов по защите информации и сохранении тайны;
- обеспечение наличия необходимых условий в помещении для работы с
конфиденциальными документами и базами данных;
- грамотная организация процесса уничтожения информации;
- организация регулярной воспитательной и разъяснительной работы с работниками
оператора по предупреждению утраты и утечки сведений при работе с
конфиденциальными документами, содержащими персональные данные;
- разработка комплекта внутренних документов оператора, регламентирующих
процессы обработки персональных данных.
5.4. В качестве дополнительных организационных мер защиты персональных
данных оператором создаются целенаправленные неблагоприятные условия и
труднопреодолимые
препятствия
для
лица,
пытающегося
совершить
несанкционированный доступ к персональным данным с целью овладения ценными
сведениями и их использования, а также их искажения, уничтожения, подмены,
фальсификации содержания реквизитов документа и т.д.
Положение об обработке ПДн. Страница 25 из 54
Под посторонним лицом понимается любое лицо, не имеющее непосредственного
отношения к деятельности оператора: клиенты, работники других организационных
структур. Посторонние лица не должны знать распределение функций, рабочие процессы,
технологию составления, оформления, ведения и хранения документов, дел и рабочих
материалов, содержащих персональные данные.
Для защиты персональных данных от несанкционированного доступа оператором
необходимо обеспечить:
- охрану в дневное время в помещении оператора (в контролируемую зону),
- постоянную работоспособность пожарной и охранной сигнализации.
5.5. В качестве технических мер защиты персональных данных оператором
должны применяться:
- антивирусная защита;
- межсетевые экраны;
- разграничение прав доступа (пароли);
- специализированные средства защиты информации от несанкционированного
доступа.
5.6. После установки (обновления) программного обеспечения, администратор
безопасности должен произвести требуемые настройки средств управления доступом к
компонентам ПЭВМ и проверить работоспособность программного обеспечения и
правильность его настройки и произвести соответствующую запись в Журнале учета
нештатных ситуаций ПЭВМ, выполнения профилактических работ, установки и
модификации программных средств ПЭВМ. Формат записей Журнала учета нештатных
ситуаций ИСПДн, выполнения профилактических работ, установки и модификации
программных средств ПЭВМ приведен в Приложении № 15.
5.7. Администратор безопасности должен проводить периодическое тестирование
технических и программных средств защиты и вносить результаты в Журнал
периодического тестирования средств защиты информации, форма которого представлена
в Приложении № 16, а также производить проверку электронных журналов и вносить
запись в соответствующий Журнал (Приложение № 17).
5.8. В целях организации контроля за обеспечением безопасности
персональных данных в Учреждении приказом создается постоянно действующая
Комиссия по обеспечению безопасности персональных данных (далее Комиссия).
5.8.1. Комиссия является совещательным органом при руководителе Учреждения.
5.8.2. Решения Комиссии вступают в силу после их утверждения руководителем
оператора.
5.9. Основные задачи Комиссии.
Основными задачами Комиссии являются:
5.9.1. Организация и проведение экспертизы ценности документов на стадии
делопроизводства при составлении номенклатуры дел и формировании дел.
5.9.2. Организация и проведение экспертизы ценности документов на стадии
подготовки их к архивному хранению.
5.9.3. Организация и проведение отбора и подготовки документов к передаче на
государственное хранение, в том числе научно-технической, аудиовизуальной и другой
специальной документации.
5.9.4. Организация и приведение документооборота оператора в соответствии с
актуальными требованиями законодательства о персональных данных.
5.9.5. Проведение классификации ИСПДн.
6.
ВЗАИМОДЕЙСТВИЕ С КОНТРОЛЬНО-НАДЗОРНЫМИ ОРГАНАМИ
6.1. При поступлении запроса от уполномоченного органа по защите прав
субъектов персональных данных (Роскомнадзор) оператор обязан сообщить информацию,
Положение об обработке ПДн. Страница 26 из 54
необходимую для осуществления деятельности указанного органа, в течение десяти
рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но
не более чем на пять рабочих дней в случае направления оператором в адрес
уполномоченного органа по защите прав субъектов персональных данных
мотивированного уведомления с указанием причин продления срока предоставления
запрашиваемой информации.
6.2. В случае выявления недостоверных персональных данных или
неправомерных действий с ними по запросу уполномоченного органа по защите прав
субъектов персональных данных оператор обязан осуществить блокирование
неправомерно обрабатываемых персональных данных, относящихся к этому субъекту
персональных данных, или обеспечить их блокирование (если обработка персональных
данных осуществляется другим лицом, действующим по поручению оператора с момента
такого обращения или получения указанного запроса на период проверки. В случае
выявления неточных персональных данных по запросу уполномоченного органа по
защите прав субъектов персональных данных оператор обязан осуществить блокирование
персональных данных, относящихся к этому субъекту персональных данных, или
обеспечить их блокирование (если обработка персональных данных осуществляется
другим лицом, действующим по поручению оператора) с момента получения указанного
запроса на период проверки, если блокирование персональных данных не нарушает права
и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных оператор на
основании сведений, представленных уполномоченным органом по защите прав
субъектов персональных данных, или иных необходимых документов обязан уточнить
персональные либо обеспечить их уточнение (если обработка персональных данных
осуществляется другим лицом, действующим по поручению оператора) в течение семи
рабочих дней со дня представления таких сведений и снять блокирование персональных
данных.
В случае выявления неправомерной обработки персональных данных,
осуществляемой оператором или лицом, действующим по поручению оператора, в срок,
не превышающий трех рабочих дней с даты этого выявления, обязан прекратить
неправомерную обработку персональных данных или обеспечить прекращение
неправомерной обработки персональных данных лицом, действующим по поручению
оператора. В случае, если обеспечить правомерность обработки персональных данных
невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления
неправомерной обработки персональных данных, обязан уничтожить такие персональные
данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об
уничтожении персональных данных оператор обязан уведомить по запросу Роскомнадзор.
6.3. В случае установления факта неправомерной или случайной передачи
(предоставления, распространения, доступа) персональных данных, повлекшей нарушение
прав субъектов персональных данных, оператор обязан с момента выявления такого
инцидента оператором, уполномоченным органом по защите прав субъектов
персональных данных или иным заинтересованным лицом уведомить уполномоченный
орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о
предполагаемых причинах, повлекших нарушение прав субъектов персональных данных,
и предполагаемом вреде, нанесенном правам субъектов персональных данных, о
принятых мерах по устранению последствий соответствующего инцидента, а также
предоставить сведения о лице, уполномоченном оператором на взаимодействие с
уполномоченным органом по защите прав субъектов персональных данных, по вопросам,
связанным с выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования
выявленного инцидента, а также предоставить сведения о лицах, действия которых стали
Положение об обработке ПДн. Страница 27 из 54
причиной выявленного инцидента (при наличии).
6.3. При проведении контрольно-надзорных мероприятий за выполнением
требований к обеспечению безопасности персональных данных при их обработке в
информационных системах персональных данных, требований к материальным носителям
биометрических персональных данных и технологиям хранения таких данных вне
информационных систем персональных данных, осуществляемых федеральным органом
исполнительной власти, уполномоченным в области обеспечения безопасности (ФСБ
России) и федеральным органом исполнительной власти, уполномоченным в области
противодействия техническим разведкам и технической защиты информации (ФСТЭК
России), представители вышеуказанных контрольно-надзорных органов не имеют права
на ознакомление с персональными данными, обрабатываемыми в информационных
системах персональных данных.
6.4. При проведении контрольно-надзорных мероприятий в отношении оператора и
контрольно-надзорными органами, не осуществляющими контроль и надзор в сфере
обработки персональных данных, представители вышеуказанных контрольно-надзорных
органов имеют право на доступ к персональным данным только в сфере своей
компетенции и в пределах своих полномочий в соответствии с законодательством
Российской Федерации.
7. ОБЩЕДОСТУПНЫЕ ИСТОЧНИКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. В целях информационного обеспечения деятельности структурных
подразделений и работников оператора могут создаваться общедоступные источники
персональных данных, такие как официальный интернет-сайт Оператора. С письменного
согласия работника его персональные данные могут быть включены в такие
общедоступные базы.
7.2. Персональные данные работника могут быть в любое время исключены из
общедоступных источников персональных данных по его требованию либо по решению
руководителя оператора, либо суда или иных уполномоченных государственных органов.
8. ОСОБЕННОСТИ
ЛИЦАМ
ПЕРЕДАЧИ
ПЕРСОНАЛЬНЫХ
ДАННЫХ
ТРЕТЬИМ
8.1. Доступ со стороны третьих лиц к персональных данным осуществляется только
с письменного согласия субъекта персональных данных, за исключением случаев, когда
такой доступ необходим в целях предупреждения угрозы жизни и здоровью работника
или других лиц, и иных случаев, установленных законодательством Российской
Федерации.
8.2. Оператор обязан сообщать персональные данные по надлежаще оформленным
запросам суда, прокуратуры и правоохранительных органов.
8.3. При передаче персональных данных оператор соблюдает следующие условия:
8.3.1. Не сообщать персональные данные третьей стороне без письменного
согласия субъекта персональных данных, за исключением случаев, когда это необходимо
в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, а
также в случаях, установленных законодательством Российской Федерации;
8.3.2. Не сообщать персональные данные субъекта персональных данных в
коммерческих целях без его письменного согласия;
8.3.3. Предупредить лиц, получивших персональные данные субъекта, о том, что
эти данные могут быть использованы лишь в целях, для которых они сообщены, и
требовать от этих лиц подтверждения того, что это правило соблюдено;
8.3.4. Осуществлять передачу персональных данных субъектов в пределах и за
Положение об обработке ПДн. Страница 28 из 54
пределы Учреждения в соответствии с настоящим Положением;
8.3.5. Разрешать доступ к персональным данным, только специально
уполномоченным лицам, при этом указанные лица должны иметь право получать только
те персональные данные, которые необходимы для выполнения конкретной функции;
8.3.6. Передавать персональные данные представителям субъекта в порядке,
установленном Трудовым кодексом Российской Федерации, и ограничивать эту
информацию только теми персональными данными, которые необходимы для выполнения
указанными представителями их функций.
8.4. Оператор вправе поручить обработку персональных данных другому лицу с
согласия субъекта персональных данных, если иное не предусмотрено федеральным
законом, на основании заключаемого с этим лицом договора, в том числе
государственного или муниципального контракта, либо путем принятия государственным
органом или муниципальным органом соответствующего акта (далее - поручение
оператора). Лицо, осуществляющее обработку персональных данных по поручению
оператора, обязано соблюдать принципы и правила обработки персональных данных,
предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность
персональных данных, принимать необходимые меры, направленные на обеспечение
выполнения обязанностей, предусмотренных Федеральным законом. В поручении
оператора должны быть определены перечень персональных данных, перечень действий
(операций) с персональными данными, которые будут совершаться лицом,
осуществляющим обработку персональных данных, цели их обработки, должна быть
установлена обязанность такого лица соблюдать конфиденциальность персональных
данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 Федерального
закона от 27.07.2006 № 152-ФЗ «О персональных данных», обязанность по запросу
оператора персональных данных в течение срока действия поручения оператора, в том
числе до обработки персональных данных, предоставлять документы и иную
информацию, подтверждающие принятие мер и соблюдение в целях исполнения
поручения оператора требований, установленных в соответствии с настоящей статьей,
обязанность обеспечивать безопасность персональных данных при их обработке, а также
должны быть указаны требования к защите обрабатываемых персональных данных в
соответствии со статьей 19 настоящего Федерального закона, в том числе требование об
уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего
Федерального закона.
9.
ОТВЕТСТВЕННОСТЬ
ЗА
РАЗГЛАШЕНИЕ
КОНФИДЕНЦИАЛЬНОЙ
ИНФОРМАЦИИ, СОДЕРЖАЩЕЙ ПЕРСОНАЛЬНЫЕ ДАННЫЕ
9.1. Каждый работник оператора, получающий доступ к конфиденциальному
документу, содержащему персональные данные, или осуществляющий обработку с
использованием ИСПДн несет персональную ответственность за сохранность носителя и
конфиденциальность информации.
9.2. Лица, виновные в нарушении норм, регулирующих получение, обработку и
защиту персональных данных работников, несут материальную, дисциплинарную,
административную, гражданско-правовую или уголовную ответственность в порядке,
установленном федеральными законами и полную материальную ответственность в
случае причинения их действиями ущерба в соответствии с п.7 ст. 243 Трудового кодекса
Российской Федерации.
9.3. Моральный вред, причиненный субъекту персональных данных вследствие
нарушения его прав, нарушения правил обработки персональных данных, установленных
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», а также
требований к защите персональных данных, установленных в соответствии с Законом,
подлежит возмещению в соответствии с законодательством РФ. Возмещение морального
Положение об обработке ПДн. Страница 29 из 54
вреда осуществляется независимо от возмещения имущественного вреда и понесенных
субъектом персональных данных убытков.
10.
ОСОБЕННОСТИ
ОБРАБОТКИ
ПЕРСОНАЛЬНЫХ
ДАННЫХ,
РАЗРЕШЕННЫХ
СУБЪЕКТОМ
ПЕРСОНАЛЬНЫХ
ДАННЫХ
ДЛЯ
РАСПРОСТРАНЕНИЯ
10.1. Согласие на обработку персональных данных, разрешенных субъектом
персональных данных для распространения, оформляется отдельно от иных согласий
субъекта персональных данных на обработку его персональных данных. Оператор обязан
обеспечить субъекту персональных данных возможность определить перечень
персональных данных по каждой категории персональных данных, указанной в согласии
на обработку персональных данных, разрешенных субъектом персональных данных для
распространения.
10.2. В случае раскрытия персональных данных неопределенному кругу лиц
самим субъектом персональных данных без предоставления оператору согласия,
предусмотренного настоящим разделом, обязанность предоставить доказательства
законности последующего распространения или иной обработки таких персональных
данных лежит на каждом лице, осуществившем их распространение или иную обработку.
10.3. В случае, если персональные данные оказались раскрытыми
неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств
непреодолимой
силы,
обязанность
предоставить
доказательства
законности
последующего распространения или иной обработки таких персональных данных лежит
на каждом лице, осуществившем их распространение или иную обработку.
10.4. В случае, если из предоставленного субъектом персональных данных
согласия на обработку персональных данных, разрешенных субъектом персональных
данных для распространения, не следует, что субъект персональных данных согласился с
распространением персональных данных, такие персональные данные обрабатываются
оператором, которому они предоставлены субъектом персональных данных, без права
распространения.
10.5. В случае, если из предоставленного субъектом персональных данных
согласия на обработку персональных данных, разрешенных субъектом персональных
данных для распространения, не следует, что субъект персональных данных не установил
запреты и условия на обработку персональных данных, предусмотренные 11.9 настоящего
раздела, или если в предоставленном субъектом персональных данных таком согласии не
указаны категории и перечень персональных данных, для обработки которых субъект
персональных данных устанавливает условия и запреты в соответствии с частью 11.9
настоящего раздела, такие персональные данные обрабатываются оператором, которому
они предоставлены субъектом персональных данных, без передачи (распространения,
предоставления, доступа) и возможности осуществления иных действий с персональными
данными неограниченному кругу лиц.
10.6. Согласие на обработку персональных данных, разрешенных субъектом
персональных данных для распространения, может быть предоставлено оператору:
1) непосредственно;
2) с использованием информационной системы уполномоченного органа по защите
прав субъектов персональных данных.
10.7. Правила использования информационной системы уполномоченного органа по
защите прав субъектов персональных данных, в том числе порядок взаимодействия
субъекта персональных данных с оператором, определяются уполномоченным органом по
защите прав субъектов персональных данных.
Положение об обработке ПДн. Страница 30 из 54
10.8. Молчание или бездействие субъекта персональных данных ни при каких
обстоятельствах не может считаться согласием на обработку персональных данных,
разрешенных субъектом персональных данных для распространения.
10.9. В согласии на обработку персональных данных, разрешенных субъектом
персональных данных для распространения, субъект персональных данных вправе
установить запреты на передачу (кроме предоставления доступа) этих персональных
данных оператором неограниченному кругу лиц, а также запреты на обработку или
условия обработки (кроме получения доступа) этих персональных данных
неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных
данных запретов и условий, предусмотренных настоящим разделом, не допускается.
10.10. Оператор обязан в срок не позднее трех рабочих дней с момента получения
соответствующего согласия субъекта персональных данных опубликовать информацию
об условиях обработки и о наличии запретов и условий на обработку неограниченным
кругом лиц персональных данных, разрешенных субъектом персональных данных для
распространения.
10.11. Установленные субъектом персональных данных запреты на передачу (кроме
предоставления доступа), а также на обработку или условия обработки (кроме получения
доступа) персональных данных, разрешенных субъектом персональных данных для
распространения, не распространяются на случаи обработки персональных данных в
государственных, общественных и иных публичных интересах, определенных
законодательством Российской Федерации.
10.12. Передача (распространение, предоставление, доступ) персональных данных,
разрешенных субъектом персональных данных для распространения, должна быть
прекращена в любое время по требованию субъекта персональных данных. Данное
требование должно включать в себя фамилию, имя, отчество (при наличии), контактную
информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта
персональных данных, а также перечень персональных данных, обработка которых
подлежит прекращению. Указанные в данном требовании персональные данные могут
обрабатываться только оператором, которому оно направлено.
10.13. Действие согласия субъекта персональных данных на обработку персональных
данных, разрешенных субъектом персональных данных для распространения,
прекращается с момента поступления оператору требования, указанного в части
10.12 настоящего раздела.
10.14. Субъект персональных данных вправе обратиться с требованием прекратить
передачу (распространение, предоставление, доступ) своих персональных данных, ранее
разрешенных субъектом персональных данных для распространения, к любому лицу,
обрабатывающему его персональные данные, в случае несоблюдения положений
настоящего раздела или обратиться с таким требованием в суд. Данное лицо обязано
прекратить передачу (распространение, предоставление, доступ) персональных данных в
течение трех рабочих дней с момента получения требования субъекта персональных
данных или в срок, указанный во вступившем в законную силу решении суда, а если такой
срок в решении суда не указан, то в течение трех рабочих дней с момента вступления
решения суда в законную силу.
11. ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
на сайте МБОУ «Школа № 145».
11.1. Адрес официального веб-сайта МБОУ «Школа № 145»: http://schooln145.ucoz.ru/
11.2
МБОУ «Школа № 145» собирает с сайта следующие категории персональных
данных:
Фамилия, имя, отчество, адрес электронной почты.
11.3
Цель обработки персональных данных: регистрация обращений.
Положение об обработке ПДн. Страница 31 из 54
Срок обработки персональных данных, полученных с официального сайта
через форму «написать нам письмо» до закрытия сайта.
11.5
На сайте происходит сбор и обработка обезличенных данных о посетителях
(в т.ч. файлов «cookie») с помощью сервисов интернет-статистики (Яндекс Метрика и
других).
11.6 Обезличенные данные посетителей сайта, собираемые с помощью сервисов
интернет-статистики, служат для сбора информации о действиях посетителях на сайте,
улучшения качества сайта и его содержания.
11.7 В случае выявления неточностей в персональных данных, Посетитель сайта
может актуализировать их, направив Оператору уведомление с помощью электронной
почты на электронный адрес Оператора s145_nn@mail.52gov.ru, либо на почтовый адрес
Оператора 603063, Нижегородская область, город Нижний Новгород, поселок Новое Доскино, 19-я лн.,
д.25, с пометкой «Актуализация персональных данных».
11.7.1
Посетитель сайта может в любой момент отозвать свое согласие на
обработку персональных данных, направив Оператору уведомление с помощью
электронной почты на электронный адрес Оператора s145_nn@mail.52gov.ru, либо на
почтовый адрес Оператора: 603063, Нижегородская область, город Нижний Новгород, поселок Новое
Доскино, 19-я лн., д.25 с пометкой «Отзыв согласия на обработку персональных данных».
11.7.2
Посетитель сайта может получить любые разъяснения по
интересующим вопросам, касающимся обработки его персональных данных, обратившись
к Оператору с помощью электронной почты s145_nn@mail.52gov.ru, либо на почтовый
адрес Оператора: 603063, Нижегородская область, город Нижний Новгород, поселок Новое Доскино, 19я лн., д.25.
В данном документе будут отражены любые изменения политики обработки
персональных данных Оператором. В случае существенных изменений Посетителю сайта
может быть выслана информация на указанный им электронный адрес.
11.4
МБОУ «Школа № 145»
Положение об обработке ПДн. Страница 32 из 54
ПРИЛОЖЕНИЕ 1
к Положению об обработке ПДн
Форма – образец
СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ
г. Нижний Новгород
«___» ____________ 20__ г.
Я,___________________________________________________________________________________________________,
_____________________серия______________№______выдан________________________________________
__________________________________________________________, проживающий (ая) по адресу:
________________________________________________________.
Настоящим даю свое согласие Муниципальному бюджетному общеобразовательному учреждению
«Школа № 145», далее МБОУ «Школа № 145» (603063, Нижегородская область, город Нижний
Новгород, поселок Новое Доскино, 19-я лн., д.25) на обработку и передачу моих персональных данных
для обработки с использованием средств автоматизации, с передачей полученной информации по локальной
сети учреждения и по сети интернет, а также без использования таких средств и подтверждаю, что, давая
такое согласие, я действую своей волей и в своих интересах.
Согласие дается мною для целей:
- формирования кадровых документов и для выполнения МБОУ «Школа № 145» всех требований трудового
законодательства;
- начисления и выплаты заработной платы;
- заключения трудовых и иных договоров;
- обработки сведений по работникам об их профессиональной служебной деятельности;
- обработки моих персональных данных в информационных системах (ИСПДн);
- ведения личных дел, трудовых книжек работников;
- оформления доверенностей;
- оформления отчетов по воинскому учету;
- использования персональных данных для реализации права работника на участие в деятельности
первичной профсоюзной организации Учреждения, в том числе при отчислении профсоюзных взносов;
- подготовки документов для прохождения обучения, аттестации, переподготовки;
- подготовки документов для прохождения медицинского осмотра;
- передачи в ОСФР по Нижегородской области индивидуальных сведений о начисленных страховых взносов
на обязательное пенсионное страхование и данных о трудовом стаже, кредитные учреждения (банки), ПАО
Акционерный коммерческий Сберегательный банк Российской Федерации, Военный комиссариат
Нижегородской области, Министерство Образования и Науки Нижегородской области, Межрайонную
ИФНС России № 19 по Нижегородской области, Департамент образования и социально-правовой защиты
детства администрации города Нижнего Новгорода, Администрацию города Нижнего Новгорода, ГКУ НО
«ЦЗН г. Н. Новгорода», ООО «Государство Детей», (адрес: Россия / 129085, г. Москва, Звездный бульвар, д.
19, стр. 1, офис 1201), медицинские учреждения, централизованную бухгалтерию, органам дознания и
следствия, иным уполномоченным органам по основаниям, предусмотренным действующим
законодательством Российской Федерации.
и распространяется на следующую информацию:
- фамилия, имя, отчество;
- год, месяц, дата и место рождения;
- адрес проживания, регистрации;
- семейное, социальное;
- сведения об образовании (наименования оконченных учебных заведений, факультет, специальность, год
окончания), информация о дополнительном образовании, повышении квалификации, аттестации;
- профессия;
- доходы, полученные в Учреждении;
- специальность;
- гражданство;
- паспортные данные;
- СНИЛС;
-ИНН;
- пол;
- трудовой и общий стаж;
Положение об обработке ПДн. Страница 33 из 54
- сведения о детях (количество, возраст);
- социальные льготы;
- сведения о воинском учете;
- контактные телефоны;
- фотография;
- сумма дохода;
- сумма вычета;
- номер лицевого счета;
- стаж работы;
- прежнее место работы (структурное подразделение), наименование структурного подразделения,
наименование должности;
- уровень владения иностранными языками;
- профессиональные навыки;
- информация об аттестации (дата аттестации, решение комиссии, номер, дата протокола);
- информация о повышении квалификации (дата начала и окончания обучения, вид повышения
квалификации, наименование образовательного учреждения, серия, №, дата выдачи документа об
образовании);
- сведения о профессиональной переподготовке (дата начала и окончания обучения, специальность
(направление, профессия), серия, номер, дата выдачи документа);
- информация о наградах (поощрениях), почетных званиях (наименование награды, номер и дата выдачи
документа), размер вознаграждения;
- данные об отпусках (вид отпуска, период, дата начала и окончания отпуска);
- отметки о явках и неявках на работу по числам месяца, количество неявок, причины неявок;
- количество отработанных часов за месяц, количество выходных и праздничных дней;
- сведения о социальных льготах, на которые работник имеет право в соответствии с законодательством
(наименование льготы, номер и дата выдачи документа);
- номер, дата трудового договора;
- испытательный срок;
- серия и номер трудовой книжки или вкладыша в неё;
- основание прекращения (расторжения) трудового договора (увольнения), причина увольнения, дата
увольнения, номер и дата приказа;
- сведения о судимости в соответствии с законодательством РФ в отношении педагогического состава.
- данные свидетельств о браке и (или) о расторжении брака, о смене фамилии.
А также согласие дается мною с целью размещения следующих сведений обо мне на информационных
стендах Учреждения: ФИО, должность, фотографию, общий стаж работы, стаж работы по специальности,
педагогический стаж, уровень образования, категория, данные о повышении квалификации и (или)
профессиональной переподготовки (при наличии), направление подготовки и/или специальность.
А также дополнительную информацию в соответствии с требованиями ст. 65 Трудового кодекса РФ
Настоящее согласие предоставляется на осуществление любых действий в отношении моих
персональных данных, которые необходимы или желаемы для достижения указанных выше целей, включая
(без ограничения) сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение),
извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление,
уничтожение, а также осуществление любых иных действий с моими персональными данными с учетом
действующего законодательства Российской Федерации.
Передача моих персональных данных разрешается на срок действия трудового договора.
В случае неправомерного использования предоставленных мною персональных данных согласие
отзывается моим письменным заявлением.
Срок прекращения обработки персональных данных определяется законодательством об архивном
деле с даты передачи карточки персонального учета работника в архив (75 лет).
___________________________
__________________
(фамилия, инициалы)
(подпись)
«____» _____________20__ г
Положение об обработке ПДн. Страница 34 из 54
ПРИЛОЖЕНИЕ 2
к Положению об обработке ПДн
Форма – образец
Директору
МБОУ «Школа № 145»
(Ф.И.О. субъекта персональных данных)
проживающего по адресу:____________
__________________________________
паспорт серии __________________№__
выдан_____________________________
заявление.
Прошу
Вас
прекратить
обработку
моих
персональных
данных
в
связи
с
_____________________________________________________________________________________
_____________________________________________________________________________________
_____________________________________________________________________________________
________________________________________________________________________________
(указать причину)
_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г
Положение об обработке ПДн. Страница 35 из 54
ПРИЛОЖЕНИЕ 3
к Положению об обработке ПДн
Форма – образец
Согласие
субъекта персональных данных на получение
персональных данных от третьих лиц
Я,_________________________________________________________________________________,
_____________________серия______________№______выдан________________________________________
__________________________________________________________, проживающий (ая) по адресу:
_________________________________________________________________________________________
согласен на получение МБОУ «Школа № 145» (603063, Нижегородская область, город Нижний
Новгород, поселок Новое Доскино, 19-я лн., д.25) информации, содержащей мои персональные
данные:
_____________________________________________________________________________________
_____________________________________________________________________________________
______________________________________________________________________________
(виды передаваемой информации и (или) документов)
от следующих юридических (физических) лиц:
_____________________________________________________________________________________
_____________________________________________________________________________________
________________________________________________________________________________
(Ф.И.О. или наименование третьих лиц)
с целью:
_____________________________________________________________________________________
_____________________________________________________________________________________
_________________________________________________________________________________
Отзыв согласия на получение персональных данных может быть осуществлен в любое время по
письменному заявлению в адрес директора Учреждения.
_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г
Положение об обработке ПДн. Страница 36 из 54
ПРИЛОЖЕНИЕ 4
к Положению об обработке ПДн
Форма – образец
Уведомление
Уважаемый__________________________________________________________________________
____________________________________________________________________________________
(Ф.И.О.)
на основании____________________________ МБОУ «Школа № 145» (603063, Нижегородская
область, город Нижний Новгород, поселок Новое Доскино, 19-я лн., д.25) получил
от_________________________________________
(наименование организации)
следующую информацию, содержащую Ваши персональные данные:
_____________________________________________________________________________________
_____________________________________________________________________________________
_____________________________________________________________________________________
_________________________________________________________________________________
с
целью:_______________________________________________________________________________
________________________________________________________________________________
Вы имеете право:
- на полную информацию о Ваших персональных данных, обрабатываемых оператором
(МБОУ «Школа № 145»);
- на свободный бесплатный доступ к Вашим персональным данным, включая право на
получение копни любой записи, содержащей Ваши персональные данные, за исключением
случаев, предусмотренных действующим законодательством;
- требовать от оператора уточнения Ваших персональных данных, их блокирования или
уничтожения в случае, если персональные данные являются неполными, устаревшими,
недостоверными, незаконно полученными или не являются необходимыми для заявленной цели
обработки, а также принимать предусмотренные законом меры по защите своих прав, получать
иную информацию, касающуюся обработки Ваших персональных данных.
_____________________________
__________________
(фамилия, инициалы)
(подпись)
«____» _____________20__ г.
Настоящее уведомление на руки получил.
_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г.
Положение об обработке ПДн. Страница 37 из 54
ПРИЛОЖЕНИЕ 5
к Положению об обработке ПДн
Форма – образец
Уведомление
об уничтожении, изменении, прекращении обработки, устранении нарушений,
допущенных при обработке персональных данных
Уважаемый__________________________________________________________________________
_________________________________________________________________________________
(Ф.И.О.)
В связи с
_____________________________________________________________________________________
_____________________________________________________________________________________
_____________________________________________________________________________________
___________________________________________________________________________
сообщаем Вам, что обработка Ваших персональных данных прекращена и указанная информация
подлежит уничтожению (изменению).
_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г.
Настоящее уведомление на руки получил:
(_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г.
Положение об обработке ПДн. Страница 38 из 54
ПРИЛОЖЕНИЕ 6
к Положению об обработке ПДн
Форма – образец
Соглашение о неразглашении персональных данных
Я,______________________________________________________________________,
_____________________серия______________№______выдан________________________________
_____________________________________________________________________________________
_______________,
проживающий
(ая)
по
адресу:
________________________________________________________.
Предупрежден (а) о том, что на период исполнения должностных обязанностей в
соответствии с должностной инструкцией мне будет предоставлен допуск к информации,
содержащей персональные данные.
Я подтверждаю, что не имею права разглашать следующие сведения: фамилия, имя,
отчество; год, месяц, дата и место рождения; адрес проживания, регистрации; семейное,
социальное, имущественное положение; образование; профессия; специальность; гражданство;
паспортные данные; ИНН; пол; трудовой и общий стаж; доходы, полученные мной в
данном Учреждении; сведения о воинском учете; социальные льготы; контактные телефоны;
биометрические персональные данные (фотография); национальная принадлежность; адрес
проживания, регистрации; СНИЛС; номер страхового свидетельства государственного
пенсионного страхования; пол; сведения о детях; сумма дохода; сумма вычета; номер лицевого
счета; уровень владения иностранными языками; стаж работы; прежнее место работы
(структурное подразделение); информация об аттестации (дата аттестации, решение комиссии,
номер, дата протокола); информация о повышении квалификации (дата начала и окончания
обучения, вид повышения квалификации, наименование образовательного учреждения, серия, №,
дата выдачи документа об образовании); сведения о профессиональной переподготовке (дата
начала и окончания обучения, специальность (направление, профессия), серия, номер, дата выдачи
документа); информация о наградах (поощрениях), почетных званиях (наименование награды,
номер и дата выдачи документа), размер вознаграждения; данные об отпусках (вид отпуска,
период, дата начала и окончания отпуска); отметки о явках и неявках на работу по числам месяца,
количество неявок, причины неявок; количество отработанных часов за месяц, количество
выходных и праздничных дней; номер, дата трудового договора; испытательный срок; место
назначения, дата начала и окончания, срок и цель командировки; серия и номер трудовой книжки
или вкладыша в неё; основание прекращения (расторжения) трудового договора (увольнения),
причина увольнения, дата увольнения, номер и дата приказа; увлечения, интересы; похвальные
грамоты, дипломы, свидетельства по учебе, спорту, данные опекунов, попечителей, данные о
составе семьи; данные свидетельств о браке и (или) о расторжении брака, о смене фамилии;
данные медицинской справке установленного образца с заключением врача о профессиональной
пригодности по выбранной профессии;
В связи с этим, даю обязательство, при обработке персональных данных соблюдать все
описанные в Положении об обработке персональных данных требования.
Настоящим добровольно принимаю на себя обязательства:
1. Не передавать и не разглашать третьим лицам информацию, содержащую персональные
данные, которая мне доверена (будет доверена) или станет известной в связи с исполнением
должностных обязанностей.
2. В случае попытки посторонних лиц получить от меня информацию, содержащую
персональные данные, а также в случае утери носителей информации, содержащих такие
сведения, немедленно сообщить об этом лицу, ответственному за организацию обработки
персональных данных.
3. Не использовать информацию, содержащую персональные данные, с целью получения
выгоды.
4. Не производить преднамеренных действий, нарушающих достоверность, целостность
или конфиденциальность персональных данных, хранимых или обрабатываемых в Учреждении
Положение об обработке ПДн. Страница 39 из 54
(603063, Нижегородская область, город Нижний Новгород, поселок Новое Доскино, 19-я лн.,
д.25).
5. Выполнять требования нормативных правовых актов, регламентирующих вопросы
защиты персональных данных.
6. В течение года после прекращения права на допуск к информации, содержащей
персональные данные, не разглашать и не передавать третьим лицам известную мне информацию,
содержащую персональные данные.
_____________________________
__________________
(фамилия, инициалы)
(подпись)
«____» _____________20__ г.
Мне известно, что нарушение этого обязательства может повлечь ответственность
трудовым, административным и уголовным законодательством РФ.
С Положением об обработке персональных данных МБОУ «Школа № 145» ознакомлен (а).
_____________________________
(фамилия, инициалы)
__________________
(подпись)
«____» _____________20__ г.
Положение об обработке ПДн. Страница 40 из 54
ПРИЛОЖЕНИЕ 7
к Положению об обработке ПДн
Форма – образец
АКТ УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
Председатель комиссии:
_____________________________________________________________________________
Член комиссии:
_____________________________________________________________________________
Составили настоящий акт в том, что «__»______20__г. произведено удаление
персональных данных находящейся на _____________________________________________
тип носителя (магнитный, бумажный)
носителе ответственного пользователя_____________________________________________
(ФИО, должность)
персональных данных___________________________________________________________
тип удаляемых персональных данных (персональные данные субъектов ПДн )
путем________________________________________________________________________
способ уничтожения (разрезание, удаление данных на магнитном носителе)
следующих персональных данных:
№
Дата уничтожения
№ договора
Пояснения
№
п/п
1
Председатель комиссии:
_____________________________
(фамилия, инициалы)
__________________
(подпись)
Член комиссии:
_____________________________
(фамилия, инициалы)
__________________
(подпись)
Положение об обработке ПДн. Страница 41 из 54
ПРИЛОЖЕНИЕ 8
к Положению об обработке ПДн
Форма – образец
Журнал учета обращений субъектов персональных данных (работников) по вопросам обработки персональных
данных и для получения доступа к своим персональным данным
______________________________________________________________________________________________________
(наименование организации)
_____________________________________________________________________________________________________
(адрес организации)
Журнал начат «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
Журнал завершен «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
На _____ листах
№ п/п
1
Дата, № и
реквизит
Краткое
запроса Сведения
содержан
об
ие
Источн
обративш
обращени
ик
емся
я (цель
получе
субъекте
обработк
ния
ПДн
и
ПДн
(ФИО,
(получен
адрес)
ия) ПДн
2
3
4
5
Сроки
обработк
и ПДн
6
Отметка о
предоставлен
ии
информации
или отказе в
ее
предоставлен
ии
7
Способ
ы
обработ
ки ПДн
и
перечен
ь
действи
й с ПДн
8
Дата
передачи
/ отказа в
предоста
влении
информа
ции
9
Причина
отказа
10
Подпись
ответствен
ного лица
Примечан
ие
11
12
Положение об обработке ПДн. Страница 42 из 54
ПРИЛОЖЕНИЕ 9
к Положению об обработке ПДн
Форма – образец
Журнал учета передачи персональных данных
______________________________________________________________________________________________________
(наименование организации)
______________________________________________________________________________________________________
(адрес организации)
Журнал начат «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
Журнал завершен «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
На _____ листах
№ п/п
Сведения о
запрашиваю
щем лице
(ФИО, адрес)
1
2
Цель
получения
запрашиваем
ых ПДн
3
Источни
к
получен
ия ПДн
Сроки
обрабо
тки
ПДн
4
5
Отметка о
предоставлени
и информации
или отказе в ее
предоставлени
и
6
Способы
обработк
и ПДн и
перечень
действий
с ПДн
7
Дата передачи
/
отказа
в
предоставлени
и
информации
8
Подпись
ответственног
о лица
9
Примечани
е
10
Положение об обработке ПДн. Страница 43 из 54
ПРИЛОЖЕНИЕ 10
к Положению об обработке ПДн
Форма – образец
Журнал учета электронных носителей персональных данных
______________________________________________________________________________________________________
(наименование организации)
______________________________________________________________________________________________________
(адрес организации)
Журнал начат «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
Журнал завершен «____» ______________________ 20__ г.
Должность
______________________ / ФИО должностного лица /
На _____ листах
Учетны
й номер
1
Дата
постановки
на учет
2
Вид
электронно
го
носителя
3
Место
хранения
(размеще
ния)
4
Лицо, ответственное за использование и хранение
ФИО,
Дата
Подпись
должнос получе
ть
ния
5
6
7
Дата
возврата
Подпись
8
9
Отметка об
уничтожении
Дата и номер
акта
10
Подпись
ответственн
ого лица
11
Положение об обработке ПДн. Страница 44 из 54
ПРИЛОЖЕНИЕ 11
к Положению об обработке ПДн
Форма – образец
ЖУРНАЛ
поэкземплярного учета средств защиты информации, эксплуатационной
и технической документации к ним
№ Наименова- Серийные
п/п ние СЗИ,
номера СЗИ,
эксплуата- эксплуатаци
ционной и онной и
технической технической
документа- документации к ним ции к ним
1
2
3
Отметка о
получении
Отметка о выдаче
От кого Дата
и Ф.И.О.пользова
получены номер
теля СЗИ
сопроводительно
го письма
5
6
7
Отметка о подключении
(установке) СЗИ
Отметка об изъятии СЗИ из
аппаратных средств
Дата и Ф.И.О.раб Дата
Номера Дата
Ф.И.О.работ Номер
расписка отников
подключе аппарат- изъятия ников органа акта или
в
органа
ния
ных
(уничто- крипрасписка
получен криптогра- (установк средств, в жения) тографичес- об
ии
фической и) и под- которые
кой защиты, уничтозащиты,
писи лиц, установпользовате- жении
пользова- произвед- лены или
ля
СКЗИ,
теля
ших
к
котопроизводивСКЗИ,
подключе рым
ших изъятие
произвед- ние (уста- подклю(уничтожеших под- новку)
чены СЗИ
ние)
ключение
(установку
)
8
9
10
11
12
13 14
Примечани
е
15
Положение об обработке ПДн. Страница 45 из 54
ПРИЛОЖЕНИЕ 12
к Положению об обработке ПДн
Форма – образец
ЖУРНАЛ
поэкземплярного учета криптосредств, эксплуатационной
и технической документации к ним, ключевых документов
№ Наименова- Серийные Номера эк- Отметка
о Отметка
о Отметка
о
подключении Отметка об изъятии СКЗИ из Примечание
п/п ние СКЗИ, номера
земпляров получении
выдаче
(установке) СКЗИ
аппаратных
средств,
эксплуата- СКЗИ, экс- (криптоуничтожении
ключевых
ционной и плуатацион- графические
документов
техничес- ной
и номера)
От кого Дата и Ф.И.О. Дата и Ф.И.О.
Дата под- Номера Дата
Ф.И.О.
Номер
кой доку- технической ключевых получе- номер пользо- распис- работников ключения аппарат- изъятия работников акта
или
ментации к документа- документов ны
сопрово- вателя ка
в органа
(установ- ных
(уничто- органа
расписка об
ним,
ции к ним,
дитель- СКЗИ покриптогра- ки)
и средств, жения) крипуничтожении
ключевых номера сеного
луче- фической подписи в
тографичесдокументов рий ключеписьма
нии
защиты,
лиц,
которые
кой защиты,
вых
пользова- произвед- установпользоватедокументов
теля СКЗИ, ших под- лены
ля
СКЗИ,
произвед- ключение или
к
производивших под- (установ- которым
ших
ключение ку)
подизъятие
(установключены
(уничтожеку)
СКЗИ
ние)
1
2
3
4
5
6
78
9
10 11
12
13
14
15
Положение об обработке ПДн. Страница 46 из 54
ПРИЛОЖЕНИЕ 13
к Положению об обработке ПДн
Форма – образец
ЛИЦЕВОЙ СЧЕТ
пользователя криптосредств
_______________________________________________________________________________
(должность, ФИО)
№ Наименование
п/п СКЗИ,
эксплуатационной и
технической
документации к ним,
ключевых
документов
1
2
Серийные номера
Номера экзем- Отметка о получении
Отметка о передаче
Отметка о возврате, унич- Примечание
СКЗИ, эксплуатаци- пляров (криптожении
онной и технической тографические От кого по- Дата и рас- Кому переда- Дата и рас- Дата
Расписка о
документации к ним, номера) клю- лучены
писка в по- но СКЗИ
писка в пе- возврата
возврате
номера серий ключе- чевых докулучении
редаче
(уничтоже- (уничтожевых документов
ментов
ния)
нии)
3
4
5
6
7
8
9
10
11
Положение об обработке ПДн. Страница 47 из 54
ПРИЛОЖЕНИЕ 14
к Положению об обработке ПДн
Форма – образец
Журнал учета хранилищ (сейфов)
Учетный
номер
1
Наименование
хранилища
(сейф,
металлический
шкаф)
2
Инвентарный
номер
3
Местонахождение
(подразделение,
номер комнаты)
4
Что находится Фамилия
(документы,
ответственного
изделия)
за сейф (шкаф)
5
6
Кол-во
комплектов
ключей и их
номера
7
Расписка
ответственного
за хранилище в
получении
ключа и дата
8
Расписка в
приеме
ключа
и
дата
9
Положение об обработке ПДн. Страница 48 из 54
ПРИЛОЖЕНИЕ 15
к Положению об обработке ПДн
Форма – образец
ЖУРНАЛ
учета нештатных ситуаций ИСПДн, выполнения профилактических работ, установки и модификации программных средств на
компьютерах ПЭВМ
№ п/п Дата
1
2
Краткое описание выполненной ФИО исполнителей и
работы (нештатной ситуации) их подписи
3
4
ФИО ответственного за
эксплуатацию ПЭВМ,
подпись
5
Подпись администратора
безопасности
6
Примечание (ссылка
на заявку)
7
Положение об обработке ПДн. Страница 49 из 54
ПРИЛОЖЕНИЕ 16
к Положению об обработке ПДн
Форма – образец
Журнал периодического тестирования средств защиты информации
Дата
Наименование Цель,
задачи Результат
тестирования средства
тестирования
тестирования
защиты
1
2
3
4
Фамилия, имя, отчество, должность должностного Подпись должностного лица
лица (должностных лиц), проводящего(их) (лиц),
проводившего
тестирование
тестирование
5
6
Положение об обработке ПДн. Страница 50 из 54
ПРИЛОЖЕНИЕ 17
к Положению об обработке ПДн
Форма – образец
Журнал проверок электронных журналов
Дата
Наименование Цель,
Результат Фамилия, имя, отчество,
проверки журнала
задачи
проверки должность
должностного
проверки
лица (должностных лиц),
проводящего(их) проверку
1
2
3
4
5
Подпись
должностного
лица
(лиц),
проводившего
проверку
6
Положение об обработке ПДн. Страница 51 из 54
ПРИЛОЖЕНИЕ 18
к Положению об обработке ПДн
Форма – образец
СОГЛАСИЕ
НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ, РАЗРЕШЕННЫХ ДЛЯ
РАСПРОСТРАНЕНИЯ
г. Нижний Новгород
«___» ____________ 20__ г.
Я,_______________________________________________________________________________,
Фамилия, имя, отчество
контактная информация: ________________________________________________________
(номер телефона, адрес электронной почты или почтовый адрес)
___________________________________________________________________________________________________________________________
.
Настоящим даю свое согласие Муниципальному бюджетному общеобразовательному учреждению
"Школа № 145 " (603063, Нижегородская область, город Нижний Новгород, поселок Новое Доскино, 19-я лн.,
д.25) ИНН 5256027931, ОГРН 10252026167131025202272798, далее МБОУ «Школа № 145» на обработку
моих персональных данных, разрешенных для распространения с использованием средств автоматизации, с
передачей полученной информации по локальной сети учреждения и по сети интернет, а также без
использования таких средств на информационном ресурсе оператора – официальном сайте по адресу:
http://schooln145.ucoz.ru/, посредством которого будут осуществляться предоставление доступа
неограниченному кругу лиц и иные действия с персональными данными и подтверждаю, что, давая такое
согласие, я действую своей волей и в своих интересах.
Согласие дается мною для целей:
Исполнения приказа Федеральной службы по надзору в сфере образования и науки от 29 мая 2014
г. N 785 "Об утверждении требований к структуре официального сайта образовательной организации в
информационно-телекоммуникационной сети "Интернет" и формату представления на нем информации"
размещения следующих сведений обо мне на официальном сайте Учреждения, расположенному по адресу:
http://schooln145.ucoz.ru/.
Категория и перечень персональных данных, на обработку которых дается согласие: ФИО,
должность, рабочий телефон, фотографию, адрес электронной почты, общий стаж работы, стаж работы по
специальности, уровень образования, данные о повышении квалификации и (или) профессиональной
переподготовки (при наличии), опыт работы, направление подготовки и/или специальность, преподаваемые
дисциплины, ученая степень (при наличии), ученое звание (при наличии).
Категории и перечень персональных данных, для обработки которых субъект персональных данных
устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов
_____________________________________________________________________________________
(Заполняется по желанию субъекта персональных данных часть 9, ст.10.1 Федерального закона от 27 июля 2006 г.№ 152-ФЗ «О персональных данных»)
условия, при которых полученные персональные данные могут передаваться оператором,
осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к
информации лишь для строго определенных сотрудников, либо с использованием информационнотелекоммуникационных сетей, либо без передачи полученных персональных данных.
_____________________________________________________________________________________
(Заполняется по желанию субъекта персональных данных часть 9, ст.10.1 Федерального закона от 27 июля 2006 г.№ 152-ФЗ «О персональных данных»)
Настоящее согласие предоставляется на осуществление любых действий в отношении моих
персональных данных, которые необходимы или желаемы для достижения указанных выше целей, включая
(без ограничения) сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение),
извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление,
уничтожение, а также осуществление любых иных действий с моими персональными данными с учетом
действующего законодательства Российской Федерации.
Согласие на обработку моих персональных данных, разрешенных для распространения дается на срок
действия трудового договора или до срока завершения работы сайта, в зависимости от того, какое событие
наступит раньше.
В случае неправомерного использования предоставленных мною персональных данных согласие
отзывается моим письменным заявлением.
___________________________
__________________
(фамилия, инициалы)
(подпись)
«____»_____________20__г.
Положение об обработке ПДн. Страница 52 из 54
№
п/п
Лист ознакомления с Положением об обработке персональных данных в
МБОУ «Школа № 145»
Подпись в
ознакомле
Дата
Ф.И.О. работника
Должность
нии с
ознакомл
положение
ения
м
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
Положение об обработке ПДн. Страница 53 из 54
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
Положение об обработке ПДн. Страница 54 из 54
