Политика в отношении обработки персональных данных

 1    Общие положения

Настоящий документ «Политика в отношении обработки персональных данных» (далее – Политика) муниципального бюджетного общеобразовательного учреждения «Средняя школа № 1 имени Алексея Владимировича Войналовича"» (далее – Учреждение, Оператор) разработана в соответствии с требованиями Федерального закона «О персональных данных» от 27 июля 2006 года № 152-ФЗ и распространяется на все персональные данные, обрабатываемые в Учреждении.  

Целью настоящей Политики является доведение до субъектов персональных данных необходимой информации, позволяющей понять, какие персональные данные и с какой целью собираются Оператором, каким образом они обрабатываются, какие требования к обеспечению их безопасности реализуются.

Настоящая Политика распространяется на персональные данные, полученные как до, так и после ее утверждения.

В дополнение к настоящей Политике Оператор может выпускать дополнительные нормативные документы, регламентирующие защиту и порядок обработки персональных данных.

Действие настоящего документа распространяется на все процессы Учреждения, в рамках которых осуществляется обработка персональных данных.

      2    Правовое основание, цели и способы обработки персональных данных

   2.1    Цели и способы обработки персональных данных  

Учреждение обрабатывает персональные данные, в соответствии с Уставом.

Учреждение обрабатывает персональные данные учащихся и их родителей (законных представителей) с целью обеспечения реализации предусмотренных законодательством Российской Федерации полномочий органов местного самоуправления города Нижневартовска в сфере образования. 

Персональные данные сотрудников иных образовательных учреждений, технического специалиста в пункте проведения государственного экзамена, выпускников текущего года Учреждения, иных образовательных учреждений обрабатываются с целью формирования федеральной и региональной информационной системы обеспечения проведения государственной итоговой аттестации обучающихся, освоивших основные образовательные программы основного общего и среднего общего образования.

Персональные данные сотрудников Учреждения обрабатываются в целях:

• содействия сотрудникам в трудоустройстве, обучении и продвижении по службе;
• начисления заработной платы;
• выполнения социальных обязательств со стороны работодателя в отношении сотрудников;
• обеспечения личной безопасности сотрудников;
• контроля количества и качества выполняемой работы;
• обеспечения сохранности имущества сотрудников и работодателя;
• обеспечения соблюдения законодательства Российской Федерации.

Обработка (сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение) персональных данных в Учреждении подразделяется на: 

• обработку персональных данных в информационных системах с использованием средств автоматизации; 
• обработку персональных данных, осуществляемую без использования средств автоматизации.

   2.2    Состав обрабатываемых персональных данных

Персональные данные выпускников текущего года Учреждения:

• фамилия;
• имя;
• отчество;
• дата рождения;
• номер и серия документа удостоверяющего личность (паспорт РФ/ временное удостоверение личности/ вид на жительство/ загранпаспорт/ паспорт гражданина иностранного государства/ дипломатический паспорт/ служебный паспорт/ военный билет/ разрешение на временное проживание/ удостоверение беженца/ удостоверение личности гражданина РФ (в виде пластиковой карты)/ свидетельство о рождении или другой документ);
• пол;
• гражданство;
• адрес фактического места жительства;
• страховой номер индивидуального лицевого счета;
• номер класса;
• наименование образовательного учреждения;
• сведения о форме обучения;
• форма проведения государственной итоговой аттестации (ГИА-9/ГИА-11);
• сведения о сдаваемых экзаменах (предмет, дата, этап);
• сведения о профильных предметах;
• сведения о предметах, преподаваемых по сокращенной программе;
• контактный телефон.

Персональные данные выпускников текущего года иных образовательных учреждений:

• фамилия;
• имя;
• отчество;
• паспортные данные (серия и номер документа, удостоверяющего личность);
• пол;
• номер и буква класса (при наличии);
• сведения о сдаваемом экзамене (наименование предмета, код предмета, номер аудитории, номер варианта, дата проведения государственного экзамена);
• код региона;
• код образовательной организации;
• код пункта проведения государственной итоговой аттестации;
• сведения, расположенные на бланке регистрации итогового сочинения, изложения (код работы, наименование вида работы, номер темы, количество бланков записи, место проведения).

Персональные данные технического специалиста в пункте проведения государственного экзамена, сотрудников иных образовательных учреждений:

• фамилия;
• имя;
• отчество;
• дата рождения;
• пол;
• номер и серия документа, удостоверяющего личность (паспорт РФ/ временное удостоверение личности/ вид на жительство/ загранпаспорт/ паспорт гражданина иностранного государства/ дипломатический паспорт/ служебный паспорт/ военный билет/ разрешение на временное проживание/ удостоверение беженца/ удостоверение личности гражданина РФ (в виде пластиковой карты)/ свидетельство о рождении или другой документ);
• сведения о трудовой деятельности (место работы, должность, стаж, возможная должность в ППЭ (пункт проведения единого государственного экзамена), предметная спецификация);
• сведения об образовании (уровень профессионального образования, квалификация).

Персональные данные сотрудников Учреждения: 

• фамилия;
• имя;
• отчество; 
• пол;
• данные документа, удостоверяющего личность (вид документа, серия, номер, дата и место выдачи, код подразделения, дата регистрации по месту жительства); 
• сведения документов, подтверждающих право иностранного гражданина на осуществление трудовой деятельности в РФ;
• дата и место рождения; 
• адрес местожительства (регистрации);
• контактные номера телефонов (домашний, мобильный); 
• адрес электронной почты;
• гражданство; 
• сведения о семейном положении (состав семьи, копии свидетельств о заключении/расторжении брака, о рождении детей, а также о лицах, находящихся под опекой и попечительством);
• сведения о количестве детей субъекта персональных данных до 18 лет;
• сведения о количестве детей субъекта персональных данных до 23 лет, обучающихся по очной форме обучения;
• сведения обязательных предварительных (при поступлении на работу) и периодических медицинских осмотров (обследований);
• данные полиса ОМС;
• данные полиса ДМС;
• сведения о заработной плате;
• идентификационный номер налогоплательщика;
• страховой номер индивидуального лицевого счета; 
• сведения об образовании, профессии, квалификации или наличии специальных знаний; 
• сведения о стаже работы;
• подразделение, должность;
• должностной оклад, премия;
• основной и дополнительный зарплатные счета (банк, филиал, номер счета, срок действия);
• сведения о воинском учете;
• наличие и сведения о водительском удостоверении;
• информация об аттестации, повышении квалификации, профессиональной переподготовке;
• сведения о приеме на работу и переводах на другую работу;
• данные о поощрениях и наградах;
• данные о социальных льготах (номер и дата выдачи документа, основание); 
• сведения об отпусках, в том числе о выезде за пределы РФ;
• табельный номер;
• данные о трудовом договоре; 
• сведения о прекращении трудового договора (увольнении);
• сведения о гражданско-правовых договорах сотрудников: дата, общая сумма по договору, сумма выплаты (за месяц, за квартал), порядок оплаты, период этапов выполнения;
• иные сведения, предоставленные по собственной инициативе. 

Персональные данные учащихся в Учреждении:  

• фамилия;
• имя;
• отчество;
• дата рождения;
• сведения документа, удостоверяющего личность (паспорт РФ/ загранпаспорт/ свидетельство о рождении или другой документ);
• пол;
• национальность;
• адрес регистрации и фактического места жительства;
• страховой номер индивидуального лицевого счета;
• сведения о составе семьи;
• дата поступления в образовательное учреждение;
• дата окончания образовательного учреждения;
• номер в регистрационной книге;
• основные данные из документов об образовании (академическая справка, аттестат о среднем (полном) общем образовании, аттестат об основном общем образовании, военный билет, диплом об образовании, диплом кандидата наук, диплом об окончании аспирантуры (адъюнктуры), документы об участии в олимпиадах, дипломы чемпионов (победителей) / призеров) игр, чемпионатов, средний балл, медали);
• учебная программа;
• специальность;
• сведения об образовании;
• сведения о дополнительном образовании;
• контактный телефон;
• иные сведения об учащихся.

Персональные данные родителей (законных представителей) учащихся в Учреждении: 

• фамилия;
• имя;
• отчество;
• дата рождения;
• место рождения;
• сведения документа, удостоверяющего личность (паспорт РФ/ загранпаспорт или другой документ);
• гражданство;
• адрес фактического места жительства;
• страховой номер индивидуального лицевого счета;
• сведения о трудовой деятельности;
• тип представителя (мать/отец/законный представитель);
• сведения документа, удостоверяющего законность представителя по отношению к ребенку;
• электронный адрес;
• контактный телефон;
• иные сведения, предоставленные законным представителем по собственной инициативе.

   2.3    Правовое основание обработки персональных данных

Обработка персональных данных в Учреждении осуществляется на основании следующих нормативно-методических документов:

• Конституция Российской Федерации (статьи 23-24);
• Трудовой кодекс Российской Федерации (статьи 86-90);
• Федеральный закон «О персональных данных» от 27 июля 2006 года № 152-ФЗ.

      3    ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка персональных данных в Учреждении осуществляется на основе следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
• при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению, либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом; 
• при обработке персональных данных обеспечивается раздельное хранение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместных между собой. 

При обработке персональных данных в Учреждении обеспечивается точность персональных данных, их достаточность и в необходимых случаях актуальность по отношению к целям обработки персональных данных. Учреждение принимает необходимые меры (обеспечивает их принятие) по удалению или уточнению неполных или неточных персональных данных. 

Обработка персональных данных в Учреждении осуществляется на основании письменного согласия субъекта персональных данных. Учреждение не размещает персональные данные субъекта персональных данных в общедоступных источниках без его предварительного согласия. 

В случае отказа субъекта персональных данных предоставить свои персональные данные Оператор в обязательном порядке разъясняет субъекту юридические последствия такого отказа.

Учреждение не осуществляет принятие решений на основании исключительно автоматизированной обработки персональных данных, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Поручение обработки персональных данных третьему лицу осуществляется Учреждением только на основании договора, заключенного между Учреждением и третьим лицом, либо ином основании, предусмотренном действующим законодательством, при наличии согласия субъекта персональных данных, за исключением случаев, предусмотренных действующим законодательством Российской Федерации.

      4    ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

В соответствии с Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ субъект персональных данных имеет право: 

1.    Получить от Учреждения сведения, касающиеся обработки персональных данных Оператором, а именно: 

• подтверждение факта обработки персональных данных Оператором; 
• правовые основания и цели обработки персональных данных; 
• способы обработки персональных данных, применяемые Оператором; 
• наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки персональных данных, в том числе сроки их хранения;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу; 
• иные сведения, предусмотренные Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ или другими федеральными законами.

2.    Обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 1 части 4 настоящей Политики, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

3.    Потребовать от Учреждения уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

4.    Заявить возражение против принятия в отношении себя решений, порождающих юридические последствия на основе исключительно автоматизированной обработки персональных данных.

5.    Отозвать согласие на обработку персональных данных в предусмотренных законом случаях. 

Получение вышеуказанных сведений, уточнение, блокирование или уничтожение Оператором персональных данных, а также выполнение иных правомерных требований субъекта персональных данных осуществляется на основании письменного запроса. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. 

Повторный запрос, указанный в пункте 2, наряду со сведениями, описанными выше, должен содержать обоснование направления повторного запроса.

Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите  прав субъектов персональных данных или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с действующим законодательством Российской Федерации.

      5    ОБЯЗАННОСТИ ОПЕРАТОРА

В соответствии с требованиями Федерального закона «О персональных данных» от 27 июля 2006 года № 152-ФЗ Учреждение обязано:

1.    Предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить мотивированный отказ от предоставления такой информации в срок, предусмотренный Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ.

2.    Предоставлять субъекту персональных данных по его повторного запросу информацию, касающуюся обработки его персональных данных, при условии, что запрос соответствует части 4 настоящей Политики, либо на законных основаниях предоставить мотивированный отказ от предоставления такой информации в срок, предусмотренный Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ.

3.    По требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. 

4.    Уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных. Исключение составляют следующие случаи:

• субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим Оператором; 
• персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных; 
• персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника; 
• Учреждение осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных.

5.    В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

6.    В случае подтверждения факта неточности персональных данных на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

7.    В случае выявления неправомерной обработки персональных данных в срок, не превышающий трех рабочих дней с даты этого выявления, прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае если обеспечить правомерность обработки персональных данных невозможно, Учреждение в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязано уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

8.    В случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных,  если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Учреждение не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» от 27 июля 2006 года № 152-ФЗ или другими федеральными законами. 

9.    В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Оператором и субъектом персональных данных. Об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных.

10.    В случае обращения субъекта персональных данных к оператору с требованием о прекращении обработки персональных данных оператор обязан по общему правилу прекратить их обработку или обеспечить прекращение такой обработки (если за оператора действует обработчик) за исключением случаев, когда обработка возможна без согласия субъекта персональных данных, в течение десяти рабочих дней с даты получения требования. Указанный срок может быть продлен не более чем на пять рабочих дней по мотивированному уведомлению, которое оператор должен направить в адрес субъекта персональных данных.

11.    В случае изменения сведений, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.

12.    В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан уведомить Роскомнадзор о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о контактном лице - в течение суток с момента выявления такого инцидента оператором, самим Роскомнадзором или иным заинтересованным лицом, а о результатах внутреннего расследования выявленного инцидента и о лицах, действия которых стали причиной выявленного инцидента (при наличии) - в течение трех суток.

      6    МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

При обработке персональных данных Учреждение принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.  

Размещение информационных систем, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в этих помещениях обеспечивают сохранность носителей персональных данных и средств защиты информации, а также исключают возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.

Учреждение принимает следующие основные меры по обеспечению безопасности персональных данных при их обработке: 

• осуществляет взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации в соответствии с утвержденным регламентом;
• осуществляет взаимодействие уполномоченным органом по защите прав субъектов персональных данных в соответствии с утвержденным регламентом;
• определяет угрозы безопасности персональных данных при их обработке в информационных системах;
• применяет соответствующие технические и организационные меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требования к защите персональных данных для установленных классов;
• применяет средства защиты информации, прошедшие в установленном действующим законодательством Российской Федерации порядке процедуру оценки соответствия;
• осуществляет хранение персональных данных, вне зависимости от типа носителя, в охраняемом помещении, оснащенном противопожарной сигнализацией;
• устанавливает правила доступа к персональным данным, обрабатываемым в информационных системах;
• при обработке персональных данных в информационных системах контролирует обеспечение уровня защищенности персональных данных и предотвращение несанкционированного доступа к ним и/или передачи их лицам, не имеющим права доступа к такой информации;
• оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных, в том числе до ввода в эксплуатацию новых информационных систем.
• В целях координации действий по обеспечению безопасности персональных данных в Учреждении назначены лица, ответственные за защиту информации.

В целях обеспечения соответствия требованиям Федерального закона «О персональных данных» от 27 июля 2006 года № 152-ФЗ Учреждение не раскрывает информацию о конкретных применяемых средствах и методах обеспечения информационной безопасности персональных данных.

      7    ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ 

Внесение изменений в настоящую Политику должно производиться при изменении действующего законодательства Российской Федерации, по результатам анализа инцидентов информационной безопасности, актуальности, достаточности и эффективности используемых мер обеспечения информационной безопасности, по результатам проведения внутренних аудитов информационной безопасности и других контрольных мероприятий.