ПОЛОЖЕНИЕ

о защите персональных данных граждан, являющихся участниками образовательных отношений,  муниципального бюджетного

дошкольного образовательного учреждения детского сада № 5 «Ягодка»

ст. Новоджерелиевской муниципального образования Брюховецкий район

I. Общие положения

1. Положение о защите персональных данных граждан, являющихся участниками образовательных отношений (далее – Положение) муниципального бюджетного дошкольного образовательного учреждения детского сада № 5 «Ягодка» ст. Новоджерелиевской муниципального образования Брюховецкий район  (далее - ДОУ) разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации (далее – ТК РФ), Кодексом об административных правонарушениях РФ, Гражданским Кодексом РФ,  а также Федеральным законом от 27 июля 2006 г. №152-ФЗ "О персональных данных", Федеральным законом «Об информации, информационных технологиях и о защите информации», другими федеральными законами и иными нормативными правовыми актами.
2. Положение является локальным нормативным актом, регламентирующим порядок обеспечения защиты персональных данных граждан, являющихся участниками образовательных отношений (далее - граждан) при их обработке в образовательном учреждении, в т.ч. защиты от несанкционированного доступа, неправомерного их использования или утраты.
3. Настоящим Положением определяются: порядок получения, обработки, хранения, передачи и любого другого использования персональных данных граждан; права и обязанности  работников, родителей (законных представителей) обучающихся и руководителя ДОУ, а также ответственность лиц, имеющих доступ к персональным данным граждан, за невыполнение правовых норм, регулирующих обработку и защиту персональных данных.
4. В настоящем Положении используются следующие основные понятия и термины:

- персональные данные граждан – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в т.ч. его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

- защита персональных данных граждан – комплекс мер технического, организационного и организационно-технического, правового характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных  данных – работнику);

- персональные данные работника – информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника;

- общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия работника или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;

- работник – физическое лицо, вступившее в трудовые отношения с работодателем (дошкольным образовательным учреждением);

- работодатель – юридическое лицо  (дошкольное образовательное учреждение), вступившее в трудовые отношения с работником;

- оператор - юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных работника, а также определяющее цели и содержание обработки персональных данных;

- обработка персональных данных – действия (операции) с персональными данными работника, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в т.ч. передачу), обезличивание, блокирование, уничтожение персональных данных;

- информационная система персональных данных – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

- использование персональных данных – действия (операции) с персональными данными, совершаемые ДОУ (уполномоченным им лицом) в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении работников или других лиц либо иным образом затрагивающих права и свободы работников или других лиц;

- конфиденциальность персональных данных – обязательное для соблюдения работодателем или лицом, получившим доступ к персональным данным, требование не допускать их распространения без согласия участника образовательных отношений или иного законного основания;

- блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в т.ч. их передачи;

- уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных или в результате которых уничтожаются материальные носители персональных данных.

   5. Персональные данные относятся к категории конфиденциальной информации. Режим конфиденциальности персональных данных снимается в случаях обезличивания или по истечении 75 лет срока хранения, если иное не определено законом.

     6. Настоящее Положение является нормативным актом, который утверждается работодателем с учётом мнения выборного органа первичной  профсоюзной организации в порядке, установленном ст. 372 ТК РФ для принятия нормативных актов.

 II. Состав персональных данных граждан

1. К персональным данным граждан, получаемым ДОУ и подлежащим хранению  в порядке, предусмотренном законодательством Российской Федерации и настоящим Положением, относятся следующие документы:

- копия паспорта (паспортные данные);

- копия страхового свидетельства государственного пенсионного страхования;

- копия свидетельства ИНН;

- копия документа воинского учета (для военнообязанных и лиц, подлежащих призыву на военную службу);

- копия документа об образовании, квалификации или наличии специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки);

-            анкетные данные, заполненные работником при поступлении на работу или в процессе работы (в т.ч. автобиография, место жительства, телефон, сведения о семейном положении работника, перемене фамилии, наличии детей и иждивенцев);

-            сведения о судимости;

- иные документы, которые с учетом специфики работы и в соответствии с законодательством РФ должны быть предъявлены работником при заключении трудового договора или в период его действия;

- трудовой договор (соглашения о внесении изменений и дополнений в него);

- заключение по данным психологического исследования (если такое имеется);

- приказы (копии приказов) о приёме, переводах, увольнении, повышении заработной платы, премировании, поощрениях и взысканиях;

- личная карточка по форме Т-2;

- заявления, объяснительные и служебные записки работника;

- документы о прохождении работником аттестации, собеседований, повышении квалификации (аттестационный лист);

-            копии отчетов, направляемые в органы статистики

-            иные документы, содержащие сведения о работнике наличие которых необходимо для документального оформления трудовых правоотношений с работником.

1. Данные документы являются конфиденциальными, при этом, учитывая их массовость и единое место обработки и хранения - соответствующий гриф ограничения на них не ставится.
2. Документы, содержащие персональные данные граждан, создаются путем:

- копирования оригиналов;

- внесения сведений в учетные формы (на бумажных и электронных носителях);

- получения оригиналов необходимых документов.

 III. Основные условия проведения обработки персональных данных граждан

 1. При определении объёма и содержания обрабатываемых персональных данных граждан должно руководствоваться  Конституцией РФ, ТК РФ и иными федеральными законами.

1. Обработка персональных данных граждан может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия гражданам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности  граждан, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.
2. Персональные данные граждан следует получать у самого гражданина. Если персональные данные  возможно получить только у третьей стороны, то гражданин должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие.
3. При получении персональных данных работодатель должен сообщить гражданину о целях, предполагаемых источниках и способах получения персональных данных, а также  о характере подлежащих получению персональных данных и последствиях отказа гражданина дать письменное согласие на их получение.
4. Работодатель не имеет права получать и обрабатывать персональные данные гражданина о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, данные о частной жизни гражданина (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны работодателем только с его письменного согласия.
5. Работодатель не имеет права получать и обрабатывать персональные данные гражданина о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.
6. При получении персональных данных не от гражданина (за исключением случаев, если персональные данные были предоставлены работодателю на основании федерального закона или если персональные данные являются общедоступными), работодатель до начала обработки таких персональных данных обязан предоставить гражданину следующую информацию:

- наименование (фамилия, имя, отчество) и адрес оператора или его представителя;

- цель обработки персональных данных и ее правовое основание;

- предполагаемые пользователи персональных данных;

- установленные законодательством права субъекта персональных данных.

8. Обработка указанных персональных данных граждан  возможна без их согласия в следующих случаях:

- персональные данные являются общедоступными;

- персональные данные к состоянию здоровья гражданина и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия  невозможно;

- по требованию полномочных государственных органов в случаях, предусмотренных федеральным законом.

1. Использование персональных данных возможно только в соответствии с целями, определившими их получение.
2. Граждане и их представители должны быть ознакомлены под роспись с документами, устанавливающими порядок обработки персональных данных граждан, а также об их правах и обязанностях в этой области.
3. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено и карается в соответствии с законодательством.

 IV. Хранение и передача персональных данных работников

 1. Персональные данные хранятся на бумажных  и электронных носителях в специально предназначенном для этого помещении.

1. Для организации хранения персональных данных в ДОУ уполномоченные лица проводят мероприятия по определению круга информационных систем и совокупности обрабатываемых персональных данных, категорированию персональных данных и предварительной классификации информационных систем.
2. В процессе хранения персональных данных необходимо обеспечивать:

- требования законодательства, устанавливающие правила хранения конфиденциальных сведений;

- сохранность имеющихся данных, ограничение доступа к ним в соответствии с законодательством РФ и настоящим Положением;

-                  контроль за достоверностью и полнотой персональных данных, их регулярное обновление и внесение по мере необходимости изменений.

1. Доступ к персональным данным разрешается только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные работника, которые необходимы для выполнения конкретных функций.
2. Внутренний доступ к персональным данным в ДОУ осуществляется в соответствии со списком лиц, уполномоченных на получение и доступ к персональным данным, утверждённым приказом руководителя ДОУ.     Иные права и обязанности работников ДОУ, в трудовые обязанности которых входит обработка персональных данных работников, определяются также должностными инструкциями.
3. Право внутреннего доступа к персональным данным граждан  образовательного учреждения имеют:

- руководитель ДОУ;

- работник, чьи персональные данные подлежат обработке;

- работники, уполномоченные в соответствии с приказом на получение и доступ к персональным данным работников.

1. В целях обеспечения надлежащего выполнения трудовых обязанностей доступ к персональным данным граждан может быть предоставлен на основании приказа руководителя ДОУ иному работнику, должность которого не включена в список лиц, уполномоченных на получение и доступ к персональным данным.
2. Юридическими и физическими лицами, оказывающими услуги ДОУ на основании заключённых гражданско-правовых договоров (либо на иных основаниях), которым необходим доступ к персональным данным  в связи с выполнением ими обязательств по указанным договорам, соответствующие данные могут предоставляться работодателем только после подписания с ними соглашения о неразглашении конфиденциальной информации.

В исключительных случаях, исходя из договорных отношений с третьими лицами, допускается наличие в договорах пунктов о неразглашении конфиденциальной информации, в т.ч. предусматривающих защиту персональных данных работников.

1. Работники, осуществляющие обработку персональных данных, должны быть уведомлены в письменной форме о своей обязанности не разглашать персональные данные работников, к которым они получили доступ.
2. Получателями персональных данных вне ДОУ на законном основании являются органы пенсионного обеспечения, органы социального страхования, определяемые в соответствии с федеральными законами о конкретных видах обязательного социального страхования; органы прокуратуры и другие правоохранительные органы; налоговые органы; федеральная инспекция труда; военкоматы; профессиональные союзы, а также иные органы и организации в соответствии с федеральными законами.  Надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции.
3. Работодатель не может сообщать персональные данные  третьей стороне без письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровья участников образовательных отношений, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.
4. Работодатель обязан передавать персональные данные граждан  их представителям в порядке, установленном ТК РФ и иными федеральными законами, и ограничивать эту информацию только теми персональными данными граждан, которые необходимы для выполнения указанными представителями их функций.
5. Любые лица, обладающие доступом к персональным данным, обязаны соблюдать специальный режим их использования защиты. Лица, получившие персональные данные граждан на законном основании, обязаны использовать их исключительно в целях, которые заявлялись при запросе соответствующей информации, а также не разглашать такую информацию (исключения из данного правила определяются только федеральными законами).

Лицо, которое получает личное дело другого работника или обучающегося во временное пользование, не имеет права делать в нем какие – либо пометки, исправления, вносить новые записи, извлекать документы из личного дела или помещать в него новые.

14. В целях обеспечения соблюдения режима конфиденциальности персональных данных в ДОУ ведутся следующие учетные документы движения персональных данных работников:

- журнал учета внутреннего доступа к персональным данным работников в учреждении;

- журнал учета выдачи персональных данных работников ДОУ организациям и государственным органам (журнал учета внешнего доступа к персональным данным работников);

- журнал проверок наличия документов, содержащих персональные данные работников;

- журнал учета применяемых работодателем носителей информации.

 V. Способы защиты персональных данных граждан

 Под угрозой или опасностью утраты персональных данных понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию.

1. Риск угрозы любым информационным ресурсам создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.
2. Защита персональных данных представляет собой регламентированный технологический, организационный и иной процесс, предупреждающий нарушений доступности, целостности, достоверности и конфиденциальности персональных данных и  обеспечивающий надёжную безопасность информации.
3. Защита персональных данных от неправомерного их использования или утраты обеспечивается работодателем за счет его средств в порядке, установленном федеральным законом.
4. ДОУ для обеспечения внутренней защиты персональных данных:

- регламентирует состав работников, функциональные обязанности которых требуют соблюдения режима конфиденциальности;

- избирательно и обоснованно распределяет документы и информацию между работниками, имеющими доступ к персональным данным;

-            рационально размещает рабочие места работников, при котором исключается бесконтрольное использование защищаемой информации;

-            своевременно обеспечивает работников информацией о требованиях законодательства по защите персональных данных;

-            своевременно выявляет нарушения требований разрешительной системы доступа работниками;

-            не допускает выдачу личных дел сотрудников и обучающихся на рабочие места

- обеспечивает организацию порядка уничтожения информации;

-            проводит воспитательную и разъяснительную работу с работниками, имеющими доступ к персональным данным, по предупреждению утраты сведений при работе с персональными данными.

1. Защита сведений, хранящихся в электронных базах данных ДОУ, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается разграничением прав доступа с использованием учётной записи и системой паролей.
2. Для обеспечения внешней защиты персональных данных ДОУ создаёт целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией с целью овладения ценными сведениями и их использования, а также их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др.
3. Под посторонним лицом понимается любое лицо, не имеющее непосредственного отношения к деятельности учреждения, посетители, работники других организационных структур. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в отделе кадров
4. ДОУ для обеспечения внешней защиты персональных данных:

- обеспечивает порядок приёма, учета и контроля деятельности посетителей;

- организует пропускной режим;

-            обеспечивает охрану территории, зданий, помещений, транспортных средств.

1. Все лица, связанные с получением, обработкой и защитой персональных данных, обязаны подписать обязательство о неразглашении персональных данных работников.
2. В случае выявления недостоверных персональных данных  гражданина или неправомерных действий с ними на период проверки ДОУ обязано осуществить блокирование персональных данных с момента обращения гражданина, либо получения запроса уполномоченного органа по защите прав субъектов.
3. При выявлении неправомерных действий персоналом с данными граждан ДОУ обязано устранить допущенные нарушения в течении не более трех рабочих дней с даты такого выявления.

В случае невозможности устранения допущенных нарушений  не позднее чем через три рабочих дня с даты выявления неправомерности действий с персональными данными ДОУ обязано уничтожить персональные данные.

11. В случае отзыва гражданином согласия на обработку своих персональных данных ДОУ обязано прекратить обработку персональных данных и уничтожить их в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между ДОУ и гражданином.

 VI. Права граждан в целях обеспечения защиты персональных данных, хранящихся в ДОУ

 1. В целях обеспечения защиты персональных данных, хранящихся в ДОУ граждане имеют право на бесплатное получение полной информации:

- о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;

- о перечне обрабатываемых персональных данных и источниках их получения;

- о сроках обработки персональных данных, в т.ч. сроках хранения;

- о юридических последствиях обработки их персональных данных.

   2. Граждане имеют право:

- на бесплатное получение полной информации о своих персональных данных и обработке этих данных;

- свободный бесплатный доступ к своим персональным данным, в т.ч. на получение копий любой записи, содержащей персональные данные, за исключением случаев, предусмотренных федеральным законом;

- определение своих представителей для защиты своих персональных данных;

- доступ к относящимся к ним медицинским данным с помощью медицинского специалиста по их выбору;

- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований ТК РФ или иного федерального закона. При отказе ДОУ исключить или исправить персональные данные гражданин имеет право заявить в письменной форме ДОУ о своём несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера гражданин имеет право дополнить заявлением, выражающим его собственную точку зрения;

- требование об извещении ДОУ всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведённых в них исключениях, исправлениях или дополнениях;

-            обжалование в суд любых неправомерных действий или бездействия ДОУ при обработке и защите его персональных данных.

3. В целях защиты частной жизни, личной и семейной тайны граждане не должны отказываться от своего права на сохранение и защиту тайны при  обработке персональных данных, поскольку это может повлечь причинение морального, материального вреда.

 VII. Обязанности граждан  в целях обеспечения достоверности их персональных данных

            1. В целях обеспечения достоверности персональных данных граждане обязаны:

         - представлять о себе достоверные сведения в порядке и объёме предусмотренном законодательством Российской Федерации;

         - в случае изменения персональных данных граждан  (фамилия, имя, отчество, адрес места жительства, паспортные данные, сведения об образовании, состоянии здоровья (вследствие выявления в соответствии с медицинским заключением противопоказаний для выполнения работником его должностных, трудовых обязанностей) и т.п.) сообщать об этом ДОУ в разумные сроки.

VIII. Ответственность за нарушении норм, регулирующих обработку и защиту персональных данных граждан

 1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных гражданина, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.

  2. За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка работы со сведениями конфиденциального характера работник несет дисциплинарную и материальную ответственность в порядке, установленном ТК РФ, и иную юридическую ответственность в порядке, установленном федеральным законом.

  3. Лица, в обязанность которых входит ведение персональных данных граждан, обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.

 Неправомерный отказ в предоставлении собранных в установленном порядке документов, либо несвоевременное предоставление таких документов или иной информации в случаях, предусмотренных законом, либо предоставление неполной или заведомо ложной информации влечет наложение на должностных лиц административного штрафа в размере, определяемом Кодексом РФ об административных правонарушениях.

4. Неправомерность деятельности органов государственной власти и организаций по сбору и использованию персональных данных может быть установлена в судебном порядке.

IX. Заключительные положения

1. Настоящее Положение вступает в силу со дня его утверждения.
2. ДОУ обеспечивает неограниченный доступ граждан к тексту настоящего Положения
3. Изменения и дополнения в настоящее Положение вносятся в порядке, установленном ст. 372 ТК РФ для принятия локальных нормативных актов.