Политика в отношении обработки персональных данных

1. Термины и определения.

В целях настоящего положения используются следующие основные понятия:

1) персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных (обучающимся, их родителям (законным представителям);

2) оператор персональных данных (оператор (МОАУ «СОШ № 37 г. Орска») – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных,   а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

3) обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или                            без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

4) автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

5) распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

6) предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

7) блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

8) уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

9) обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

10) информационная система персональных данных – совокупность содержащихся               в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

II. Состав персональных данных.

• 1. 1. 1. 1. 1. 1. 1. В состав персональных данных обучающихся, их родителей (законных представителей) входят:
• фамилия, имя, отчество обучающегося, его родителей (законных представителей);
• дата рождения обучающегося, его родителей (законных представителей);
• адрес регистрации и проживания, контактные телефоны, адреса электронной почты;
• паспортные данные родителей (законных представителей);
• данные свидетельства о рождении обучающегося;
• сведения о месте работы (учёбы) родителей (законных представителей).

2.2. Документами, содержащими персональные данные, являются:

• документы, удостоверяющие личность обучающегося (свидетельство о рождении                или паспорт);
• документы о месте проживания;
• документы о составе семьи;
• паспортные данные родителей (законных представителей) обучающегося;
• документы о получении образования, необходимого для поступления                                            в соответствующий класс;
• полис обязательного медицинского страхования;
• документы о состоянии здоровья (сведения об инвалидности, о наличии хронических заболеваний, медицинское заключение об отсутствии противопоказаний для обучения                    в образовательной организации конкретного вида и типа и т.п.);
• документы, подтверждающие права на дополнительные гарантии и компенсации                                        по определенным основаниям, предусмотренным законодательством (родители-инвалиды, неполная семья, ребёнок-сирота и т.п.);
• иные документы, содержащие персональные данные (в том числе сведения, необходимые для предоставления обучающемуся гарантий и компенсаций, установленных действующим законодательством).

2.3. Персональные данные обучающегося отражаются в его личном деле, которое заполняется после издания приказа о его зачислении в образовательную организацию. Личные дела обучающихся в алфавитном порядке формируются в папках по классам, группам, которые хранятся в специально оборудованных запираемых шкафах.

3. Общие положения.

3.1. Настоящим Положением регулируются отношения, связанные с обработкой персональных данных, осуществляемой МОАУ «СОШ № 37 г. Орска» и физическими лицами с использованием средств автоматизации или без использования таких средств, если обработка персональных данных    без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся                              в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.

3.2. Настоящее Положение устанавливает требования к защите персональных данных              при их обработке в информационных системах персональных данных.

3.3. Настоящее Положение разработано в целях обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных, в том числе от несанкционированного доступа, неправомерного их использования или утраты.

3.4. Настоящее Положение разработано в соответствии со следующими нормативными правовыми актами:

- Трудовой кодекс Российской Федерации (ст. 86-90);

- Федеральный закон от 29.12.2012 г. № 273-ФЗ «Об образовании в Российской Федерации» (с изменениями и дополнениями);

- Федеральный закон Российской Федерации от 27.07.2006 г. № 152-ФЗ

«О персональных данных» (в ред. Федеральных законов от 25.11.2009 г. № 266-ФЗ,                          от 27.12.2009 г. № 363-ФЗ, от 28.06.2010 г. № 123-ФЗ, от 27.07.2010 г. № 204-ФЗ,                              от 27.07.2010 г. № 227-ФЗ, от 29.11.2010 г. № 313-ФЗ, от 23.12.2010 г. № 359-ФЗ,                                     от 04.06.2011 г. № 123-ФЗ, от 25.07.2011 г. № 261-ФЗ, от 05.04.2013 г. № 43-ФЗ,                                   от 23.07.2013 г. № 205-ФЗ, от 21.12.2013 г. № 363-ФЗ, от 04.06.2014 г. № 142-ФЗ,                                 от 21.07.2014 г. № 216-ФЗ, от 21.07.2014 г. № 242-ФЗ, от 03.07.2016 г. № 231-ФЗ,                                    от 22.02.2017 г. № 16-ФЗ, от 01.07.2017 г. № 148-ФЗ, от 29.07.2017 г. № 223-ФЗ,                                  от 31.12.2017 г. № 498-ФЗ);

- Постановление Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой                                 без использования средств автоматизации»;

- Постановление Правительства Российской Федерации от 01.11.2012 г. № 1119                         «Об утверждении требований к защите персональных данных при их обработке                                   в информационных системах персональных данных»;

- приказ Роскомнадзора от 05.09.2013 г. № 996 «Об утверждении требований и методов               по обезличиванию  персональных   данных»;

 - рекомендации Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 31.07.2017 г. «Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 г. № 152-ФЗ                            «О персональных данных».                        

3.5. Персональные данные обучающихся,  их родителей (законных представителей) относятся к категории конфиденциальной информации. По истечении срока хранения бумажные носители, содержащие персональные данные обучающихся,  их родителей (законных представителей), сдаются в архив.

3.6. Оператор, получив доступ к персональным данным, обязан соблюдать конфиденциальность персональных данных – не раскрывать третьим лицам                                             и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

3.7. Настоящее Положение утверждается и вводится в действие приказом директора                    и является обязательным для исполнения всеми должностными лицами МОАУ «СОШ                         № 37 г. Орска», имеющими доступ к персональным данным обучающихся,  их родителей (законных представителей).

4. Цели сбора персональных данных.

4.1. К целям обработки персональных данных обучающихся,  их родителей (законных представителей) оператором относятся:

- обеспечение соблюдения законодательных и нормативных правовых актов Российской Федерации;

- приём обучающихся в образовательную организацию;

- осуществление учёта детей, оставшихся без попечения родителей;

       - поощрение обучающихся за успехи в учебной, физкультурной, спортивной, общественной, научной, научно-технической, творческой, экспериментальной и инновационной деятельности, если иное не установлено настоящим Федеральным законом;

- участие в олимпиадах;

- индивидуальный учёт результатов освоения обучающимися образовательных программ  и поощрений обучающихся, а также хранение в архивах информации об этих результатах                     и поощрениях на бумажных и (или) электронных носителях;

- организация социально-психологического тестирования обучающихся в целях раннего выявления незаконного потребления наркотических средств и психотропных веществ;

- сбор иной информации, которая размещается, опубликовывается по решению образовательной организации и (или) размещение в информационно-телекоммуникационных сетях, в том числе на официальном сайте образовательной организации в сети «Интернет», опубликование которой являются обязательными в соответствии с законодательством Российской Федерации.

4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

4.3. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность                             по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

5. Объём и категории обрабатываемых персональных данных,

категории субъектов персональных данных.

5.1. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки.

5.2. К категориям персональных данных, обрабатываемых оператором, относятся:

- дети, зачисленные в образовательную организацию;

- их родители (законные представители).

6. Порядок и условия обработки персональных данных.

6.1. Оператор осуществляет обработку персональных данных с использованием средств автоматизации или без использования таких средств.

6.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

При обработке персональных данных соблюдаются следующие общие требования:

• обработка персональных данных может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, регламентирующих образовательную деятельность организации;
• получение персональных данных осуществляется путём представления их родителем (законным представителем) ребёнка или сотрудником организации лично;
• родитель (законный представитель) ребёнка обязан предоставлять организации достоверные сведения о себе, своём ребенке и своевременно сообщать ему                                 об изменении этих персональных данных; организация имеет право проверять достоверность сведений, предоставленных родителем (законным представителем), сверяя данные с оригиналами предоставленных документов.

6.3. Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

6.4. Документы, содержащие персональные данные обучающихся, их родителей (законных представителей), создаются путём:

а) копирования оригиналов;

б) внесения сведений в учётные формы (на бумажных и электронных носителях);

в) получения оригиналов необходимых документов (личное дело обучающегося, медицинская карта обучающегося, медицинское заключение и др.).

6.5. Все персональные данные несовершеннолетнего обучающегося в возрасте до 14 лет (малолетнего) предоставляются его родителями (законными представителями).                             Если персональные данные обучающегося возможно получить только у третьей стороны,                то родители (законные представители) обучающегося должны быть уведомлены об этом заранее. От них должно быть получено письменное согласие на получение персональных данных от третьей стороны. Родители (законные представители) обучающегося должны быть проинформированы о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.

6.6. Персональные данные несовершеннолетнего обучающегося в возрасте старше 14 лет предоставляются самим обучающимся с письменного согласия своих родителей (законных представителей), усыновителей или попечителя. Если персональные данные обучающегося возможно получить только у третьей стороны, то обучающийся, должен быть уведомлен                 об этом заранее. От него и его родителей (законных представителей) должно быть получено письменное согласие на получение персональных данных от третьей стороны. Обучающийся  и его родители (законные представители) должны быть проинформированы о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.

       6.7. При передаче персональных данных другим юридическим и физическим лицам должны быть соблюдены следующие требования:

• персональные данные обучающегося не могут быть сообщены третьей стороне                      без письменного согласия обучающегося, родителей (законных представителей) несовершеннолетнего (малолетнего) обучающегося, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью обучающемуся, а также                        в случаях, установленных федеральным законом;
• лица, получающие персональные данные обучающегося, должны быть предупреждены                о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены; организация вправе требовать от этих лиц подтверждения того, что это правило соблюдено;

• передача персональных данных обучающегося представителям может быть осуществлена                  в установленном действующим законодательством порядке только в том объёме, который необходим для выполнения указанными представителями их функций.

6.8. Все меры обеспечения безопасности при сборе, обработке и хранении персональных данных распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

6.9. Предоставление персональных данных государственным органам производится                                      в соответствии с требованиями действующего законодательства и настоящим Положением.

7. Доступ к персональным данным работника.

Внутренний доступ (доступ внутри организации) определяется перечнем должностных лиц, непосредственно использующих их в служебных целях:

1. директор;
2. заместители директора;
3. педагогические работники (учителя, педагог-психолог, социальный педагог, старший воспитатель, воспитатели, классные руководители);
4. секретарь;
5. иные работники, определяемые приказом директора организации в пределах своей компетенции.
   • • • • доступ:

1. к числу массовых потребителей персональных данных вне организации можно отнести государственные функциональные структуры: налоговые инспекции, правоохранительные органы, органы статистики, военные комиссариаты, органы социального страхования, пенсионные фонды,  подразделения муниципальных органов управления;
2. надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции;
3. другие организации: управление образования администрации города Орска, Министерство образования Оренбургской области, Министерство просвещения Российской Федерации, а также иные организации в случаях, установленных федеральным законом.

VIII. Меры по обеспечению безопасности персональных данных,

их защита от актуальных угроз и опасности утраты.

1. 1. 1. 1. 1. 1. 1. 1. Под актуальными угрозами безопасности или опасностью утраты персональных данных понимается совокупность условий и факторов, создающих актуальную опасность  несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом   в информационной системе.
                        • угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные                в возникновении угрозы лица.
   2.      8.2. Защита персональных данных представляет собой предупреждение нарушения доступности, целостности, достоверности и конфиденциальности персональных данных                             и обеспечение  безопасности информации в процессе управленческой и производственной деятельности организации.     
      1. 1. 1. 1. 1. 3. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных,                        в частности:
         1. В МОАУ «СОШ № 37 г. Орска» устанавливается необходимость обеспечения                       3-го уровня защищённости персональных данных при их обработке в информационной системе, так как для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем 100 000 субъектов персональных данных, не являющихся сотрудниками оператора.                     
      2. Для обеспечения 3-го уровня защищённости персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

• • • организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
    • обеспечение сохранности носителей персональных данных;
    • утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
    • использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
    • назначение должностного лица (работника), ответственного за обеспечение безопасности персональных данных в информационной системе.

IX. Актуализация, исправление, удаление

и уничтожение персональных данных.

9.1. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных.

В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения.

В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные.

Оператор обязан уведомить субъекта персональных данных или его представителя                                 о внесённых изменениях и предпринятых мерах и принять разумные  меры для уведомления третьих лиц, которым эти персональные данные этого субъекта были переданы.

9.2. Оператор обязан прекратить обработку персональных данных или обеспечить прекращение обработки персональных данных лицом, действующим по поручению оператора:

• в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, в срок,                                     не превышающий трёх дней с даты этого выявления;
• в случае отзыва субъектом персональных данных согласия на обработку его  персональных данных оператором;
• в случае достижения цели обработки персональных данных и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществлялась другим лицом, действующим по поручению оператора) в срок,                                     не превышающий тридцати дней с даты достижения цели обработки персональных данных. В случае отсутствия возможности уничтожения персональных данных                        в течение указанного срока оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработки персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок                не установлен федеральными законами.      

X. Права и обязанности по защите персональных данных.

• •      10.1. Закрепление прав субъектов персональных данных, регламентирующих защиту его персональных данных, обеспечивает сохранность полной и точной информации о нём.

 10.2. Субъект персональных данных вправе получать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или                       не являются необходимыми для заявленной цели обработки. 

• 1. 1. 3. Родители (законные представители) детей должны быть ознакомлены                                 с документами организации, устанавливающими порядок обработки персональных данных обучающихся, их родителей (законных представителей), а также об их правах и обязанностях в этой области.
  2.      10.4. В целях защиты персональных данных, хранящихся в МОАУ «СОШ № 37 г. Орска», субъект персональных данных имеет право:
• требовать исключения или исправления неверных или неполных персональных данных;
• на свободный бесплатный доступ к своим персональным данным, включая право                                 на получение копий любой записи, содержащей персональные данные;
• определять своих представителей для защиты своих персональных данных;
• на сохранение и защиту своей личной и семейной тайны.
  1. 1. 5. Родители (законные представители) детей обязаны передавать организации комплекс достоверных, документированных персональных данных, состав которых установлен нормативными и распорядительными документами управления образования администрации города Орска, Министерством образования Оренбургской области, Министерством просвещения Российской Федерации, Уставом МОАУ «СОШ № 37

г. Орска»,  своевременно сообщать об изменении своих персональных данных.

• •      10.6. Родители (законные представители) детей ставят организацию в известность                        об изменении фамилии, имени, отчества, адреса проживания, контактных телефонов.

• •      10.7. В целях защиты частной жизни, личной и семейной тайны родители (законные представители) детей не должны отказываться от своего права на обработку персональных данных только с их согласия, поскольку это может повлечь причинение морального, материального вреда.

10.8. Предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы               и др.).

10.9. Отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством.

10.10. Использовать персональные данные субъекта без его согласия в случаях, предусмотренных законодательством.

10.11. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных субъекта.

10.12. Оператор, получив доступ к персональным данным, обязан соблюдать конфиденциальность персональных данных – не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

11.  Ответственность за нарушение норм, регулирующих обработку

и защиту персональных данных.

11.1. Лица, виновные в нарушении норм, регулирующих получение, обработку                       и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

XII. Заключительные положения.

12.1. Настоящее Положение вступает в силу с момента его утверждения директором МОАУ «СОШ № 37 г. Орска» и действует бессрочно, до замены его новым Положением.

12.2. Все изменения в Положение вносятся приказом директором МОАУ «СОШ № 37                 г. Орска».

12.3. Все должностные лица МОАУ «СОШ № 37 г. Орска», имеющие доступ                                    к персональным данным  обучающихся, их родителей (законных представителей), должны быть ознакомлены с настоящим Положением под роспись.