Политика конфиденциальности
1. Общие положения
1.1. Настоящая политика обработки персональных данных (далее – Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006г. №152-ФЗ «О персональных данных» (далее - Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые муниципальным бюджетным дошкольным образовательным учреждением детский сад №150 «Чебурашка» (далее – МБДОУ д/с № 150, Оператор).
1.2. При обработке персональных данных Оператор - МБДОУ д/с № 150 исходит из необходимости обеспечения защиты прав и свобод человека и гражданина, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну в соответствии с требованиями законодательства Российской Федерации.
1.3. Соблюдение порядка, установленного настоящей Политикой, является главным условием обработки персональных данных Оператором и обязательно для всех работников МБДОУ д/с № 150.
1.4. Политика регулирует отношения между МБДОУ д/с № 150 и иными лицами, возникающие в связи с обработкой их персональных данных МБДОУ д/с № 150.
1.5. МБДОУ д/с № 150 принимает правовые, организационные и технические меры, необходимые для обеспечения исполнения законодательства о персональных данных, либо обеспечивает их принятие.
1.6. Локальные нормативные акты и иные документы, регламентирующие обработку персональных данных в МБДОУ д/с № 150, разрабатываются с учетом положений Политики.
1.7. Действие Политики распространяется на персональные данные, которые МБДОУ д/с № 150 обрабатывает с использованием и без использования средств автоматизации.
1.8. В настоящую Политику могут вноситься изменения без предварительного уведомления субъектов персональных данных. Актуальная редакция Политики обработки персональных данных размещается на официальном сайте МБДОУ д/с № 150 в сети «Интернет».
2. Понятия, используемые в настоящей Политике
Термины и определения, используемые в настоящей Политике, используются в значении, определенном Законом о персональных данных:
2.1. Персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных.
2.3. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.4. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
2.5. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
2.6. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
2.7. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.8. Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
2.9. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
2.10. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.11. Оператор - МБДОУ д/с № 150, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия(операции), совершаемые с персональными данными.
3. Условия обработки персональных данных
3.1. Обработка персональных данных осуществляется МБДОУ д/с № 150 исключительно для достижения целей, установленных настоящей Политикой в соответствии с уставными видами деятельности Оператора.
3.2. Все персональные данные МБДОУ д/с № 150 получает от субъекта персональных данных, а в случаях, когда субъект персональных данных несовершеннолетний, – от его законных представителей.
3.3. МБДОУ д/с № 150 обрабатывает персональные данные:
3.3.1. без использования средств автоматизации;
3.3.2. с использованием средств автоматизации в программах и информационных системах: «1С: Зарплата и кадры», «Е-Услуги», «Сетевой город. Образование: дошкольное образование детей», «Сетевой город. Образование: дополнительное образование детей», «Единая информационная система в сфере закупок».
3.4. Не допускается обработка персональных данных, несовместимая с целями обработки персональных данных.
3.5. Для каждой цели обработки персональных данных устанавливаются соответствующие:
3.5.1. категории (перечень) обрабатываемых персональных данных;
3.5.2. категории субъектов, персональные данные которых могут обрабатываться;
3.5.3. перечень действий и способы обработки персональных данных;
3.5.4. правовое основание обработки персональных данных.
3.6. Перечень целей обработки персональных данных МБДОУ д/с № 150 приведён в приложении № 1 к Политике.
3.7. Обработка персональных данных осуществляется с письменного согласия субъекта персональных данных на обработку его персональных данных, за исключением случаев, установленных Законом о персональных данных и другими федеральными законами, когда получение согласия не требуется. Форма согласия на обработку персональных данных представлена в Приложениях № 2, № 3 к Политике
3.8. Обработка персональных данных необходима и осуществляется для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.
3.9. Сроки обработки персональных данных определяются целями такой обработки исходя из видов деятельности, осуществляемых МБДОУ д/с № 150 в соответствии с компетенцией.
3.10. Срок хранения персональных данных устанавливается номенклатурой дел МБДОУ д/с № 150 в соответствии с законодательством, определяющим перечень документов, образующихся в процессе образовательной деятельности и их сроки хранения.
3.11. Уничтожение персональных данных производится в следующих случаях:
3.11.1. при достижении целей обработки персональных данных или в случае утраты необходимости в достижении целей обработки персональных данных, если иное не установлено Политикой и требованиями действующего законодательства о персональных данных;
3.11.2. при истечении срока действия правовых оснований обработки персональных данных;
3.11.3. при выявлении факта обработки персональных данных, несоответствующей требованиям Положения и/или требованиям действующего законодательства о персональных данных;
3.11.4. при отзыве субъектом персональных данных согласия на обработку персональных данных, если иное не предусмотрено требованиями действующего законодательства о персональных данных. Форма отзыва согласия на обработку персональных данных представлена в Приложении № 4 к Политике;
3.11.5. при предъявлении субъектом персональных данных требования о прекращении обработки персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, если иное не предусмотрено требованиями действующего законодательства о персональных данных;
3.11.6. при получении от надзорного органа решения об уничтожении персональных данных.
3.12. Оператор обеспечивает конфиденциальность персональных данных.
3.13. МБДОУ д/с № 150 передает персональные данные третьим лицам в следующих случаях:
3.13.1. субъект персональных данных дал согласие на передачу своих данных;
3.13.2. передать данные необходимо в соответствии с требованиями законодательства в рамках установленной процедуры.
Форма журнала учёта запросов от сторонних лиц представлена в Приложении № 5 к Политике.
3.14. Оператор не осуществляет трансграничную передачу персональных данных.
3.15. Уничтожение персональных данных производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание персональных данных в информационных системах и/или в результате которых уничтожаются материальные носители персональных данных. По результатам проведенного уничтожения составляется акт об уничтожении персональных данных. Форма акта об уничтожении персональных данных субъекта(ов) представлена в Приложении № 6 к Политике.
4. Права субъектов персональных данных
4.1. Субъект персональных данных имеет право:
4.1.1. на получение в доступной форме информации, касающейся обработки его персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые оператором способы обработки персональных данных;
4) наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав;
8) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
9) информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Закона о персональных данных;
10) иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами;
4.1.2. на получение сведений, указанных в пункте 4.1.1. настоящей Политики, за исключением случаев, предусмотренных пунктом 4.2 Политики;
4.1.3. требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
4.1.4. обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке в случае, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований Закона о персональных данных или иным образом нарушает его права и свободы.
4.2. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с Законом о персональных данных и иными федеральными законами.
5. Права и обязанности Оператора персональных данных
5.1. Оператор персональных данных имеет право:
5.1.1. получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
5.1.2. в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных;
5.1.3. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами.
5.2. Оператор персональных данных обязан:
5.2.1. предоставлять субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных и предусмотренную пунктом 4.1.1. настоящей Политики;
5.2.2. организовывать обработку персональных данных в порядке, установленном действующим законодательством РФ;
5.2.3. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
5.2.4. сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 30 дней с даты получения такого запроса;
5.2.5. принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
5.2.6. публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике в отношении обработки персональных данных;
5.2.7. разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными;
5.2.8. если персональные данные получены не от субъекта персональных данных, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:
1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя;
2) цель обработки персональных данных и ее правовое основание;
2.1) перечень персональных данных;
3) предполагаемые пользователи персональных данных;
4) установленные Законом о персональных данных права субъекта персональных данных;
5) источник получения персональных данных.
Оператор освобождается от обязанности предоставить субъекту персональных данных вышеуказанные сведения в случаях, если:
1) субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором;
2) персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных;
3) обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 Закона о персональных данных;
4) оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;
5) предоставление субъекту персональных данных сведений, предусмотренных частью 3 настоящей статьи, нарушает права и законные интересы третьих лиц.
5.2.9. устранить нарушения законодательства, допущенные при обработке персональных данных, уточнять, блокировать и уничтожать персональные данные в случаях и порядке, установленных Законом о персональных данных.
6. Участники системы управления процессом обработки и защиты персональных данных
6.1. В целях обеспечения эффективного управления организацией обработки и защиты персональных данных, а также выполнения обязанностей, предусмотренных законодательством Российской Федерации для операторов персональных данных, в МБДОУ д/с № 150 определяются основные участники указанной системы управления и их функции.
6.2. Заведующий МБДОУ д/с № 150:
6.2.1. определяет, рассматривает и утверждает настоящую Политику;
6.2.2. назначает должностное лицо, ответственное за организацию обработки и защиту персональных данных в МБДОУ д/с № 150.
6.3. Должностное лицо, ответственное за организацию обработки персональных данных в МБДОУ д/с № 150:
6.3.1. осуществляет управление процессом организации обработки и защиты персональных данных в МБДОУ д/с № 150 в соответствии с требованиями законодательства Российской Федерации, Политики и иных локальных нормативных актов МБДОУ д/с № 150 по вопросам обработки и защиты персональных данных;
6.3.2. осуществляет внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
6.3.3. доводит до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
6.3.4. организует приём и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществляет контроль за приёмом и обработкой таких обращений и запросов. Форма журнала учёта обращений граждан представлена в Приложении № 7 к Политике.
7. Меры обеспечения конфиденциальности и безопасности персональных данных
7.1. Для обеспечения конфиденциальности и безопасности персональных данных субъектов персональных данных, защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии с Законом о персональных данных МБДОУ д/с № 150 принимаются необходимые правовые, организационные и технические меры или обеспечивается их принятие. В частности, принимаются следующие меры:
7.1.1. определяются актуальные угрозы безопасности персональных данных, обрабатываемых в МБДОУ д/с № 150, и применяются соответствующие организационные и технические меры защиты для установленных уровней защищенности персональных данных;
7.1.2. для нейтрализации актуальных угроз безопасности персональных данных применяются средства защиты информации, соответствующие уровням защищенности персональных данных и прошедшие в установленном порядке процедуру оценки соответствия;
7.1.3. проводится оценка эффективности принимаемых/реализованных мер защиты и обеспечения безопасности персональных данных, в том числе до ввода информационных систем в эксплуатацию (оценка может проводиться самостоятельно и/или с привлечением на договорной основе юридических лиц, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации);
7.1.4. обеспечиваются пропускной режим и управление доступом к персональным данным, техническим средствам, используемым при обработке персональных данных, средствам защиты информации, средствам обеспечения функционирования информационных систем, а также пропускной режим и управление доступом в помещения и сооружения, в которых установлены указанные средства;
7.1.5. осуществляется организация учёта технических средств, а также машинных носителей, используемых при обработке персональных данных;
7.1.6. определяется и при необходимости актуализируется перечень работников, которым для выполнения трудовых обязанностей необходим доступ к персональным данным. Перечень таких работников отражается в «Списке лиц, доступ которых к персональным данным необходим для выполнения трудовых обязанностей» и «Журнале учёта лиц, допущенных к работе с персональными данными в информационных системах»;
7.1.7. обеспечивается предоставление доступа к обрабатываемым персональным данным тем работникам, которым необходим указанный доступ в связи с выполнением ими трудовых обязанностей. Доступ к персональным данным осуществляется только после истребования с работника «Обязательства о неразглашении информации ограниченного доступа» (Приложение № 8 к Политике);
7.1.8. осуществляется ознакомление ответственных работников с требованиями законодательства и локальных нормативных актов;
7.1.9. обеспечивается недопущение к персональным данным лиц, не имеющих допуска к работе с персональными данными;
7.1.10. реализуются меры, направленные на предупреждение и обнаружение фактов несанкционированного доступа к персональным данным, и принятие мер, в том числе мер по предупреждению, обнаружению и ликвидации последствий компьютерных атак на и по реагированию на компьютерные инциденты;
7.1.11. осуществляется оценка вреда, наступление которого возможно при наступлении случая несоблюдения обязательных требований;
7.1.12. осуществляется эксплуатация разрешенного к использованию программного обеспечения и/или его компонентов, а также обеспечивается контроль за его установкой и обновлением;
7.1.13. проводится внешний и внутренний инструментальный контроль защищенности системных компонентов информационной структуры на наличие уязвимостей;
7.1.14. осуществляется эксплуатация разрешенного к использованию программного обеспечения и (или) его компонентов, а также обеспечивается контроль за его установкой и обновлением;
7.1.15. осуществляется применение СКЗИ на автоматизированных рабочих местах;
7.1.16. передача сведений, содержащих персональные данные, осуществляется по защищенным каналам связи;
7.1.17. обмен персональными данными при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путём применения электронной подписи, используется антивирусные средства защиты информации, межсетевое экранирование, присвоение персональных паролей для каждого рабочего места (конкретного работника), в обязанности которого входит обработка персональных данных;
7.1.18. установление сейфов для хранения личных дел работников и персональных данных физических лиц, запирающиеся металлические шкафы, установление пожарной сигнализации, видеонаблюдения, поста охраны.
8. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных
8.1. Работники МБДОУ д/с № 150, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных субъекта, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.
8.2. Заведующий МБДОУ д/с № 150 за нарушение норм, регулирующих получение, обработку и защиту персональных данных субъектов, несет административную ответственность согласно ст. 5.27 и 5.39 Кодекса об административных правонарушениях Российской Федерации, а также возмещает субъекту ущерб, причиненный неправомерным использованием информации, содержащей персональные данные этого субъекта.
8.3. Разглашение персональных данных субъекта (передача их посторонним лицам, в том числе другим работникам, не имеющим к ним допуск), их публичное раскрытие, утрата документов и иных носителей, содержащих персональные данные субъекта, а также иные нарушения обязанностей по их защите и обработке, установленных настоящим Положением, локальными нормативно-правовыми актами (приказами, распоряжениями) МБДОУ д/с № 150, влечёт наложение на работника, имеющего доступ к персональным данным, дисциплинарных взысканий в виде: замечания, выговора, увольнения.
8.4. По инициативе работодателя может быть расторгнут трудовой договор в случае разглашения персональных данных другого работника (п. 6 ст. 81 ТК РФ).