Изменения в работе с персональными данными

Изменения в работе с персональными данными указаны в методических рекомендациях – совместном документе Роскомнадзора, Минпросвещения и Минкомсвязи от 28 августа 2020 года. Несмотря на то, что он предназначен для школ, детские сады должны применять документ по аналогии. Он ценен тем, что разъясняет спорные моменты, связанные с обработкой данных педагогов и воспитанников.

Ведомства уточнили требования к получению согласий на обработку персональных данных. Теперь не надо брать с родителей согласия для реализации образовательных отношений. Например, чтобы зачислить в детский сад или на дополнительное образование. Однако возьмите письменное согласие, если родитель хочет оформить льготу и предоставляет дополнительные сведения.

Схожие разъяснения дали для работников. Если при приеме на работу запрашиваете только те сведения, которые требует трудовое законодательство, согласие не нужно. Для обработки других персональных данных, например информации о составе семьи, согласие обязательно. Обратите внимание, что теперь оно должно содержать только одну цель обработки. Получайте отдельное согласие по каждой цели, для которой запрашиваете данные. Допустима любая форма согласия, которая позволит подтвердить его получение. Лучше всего – простая письменная.

Дополнительно разъяснили, что фото ребенка в личном деле и материалы видеонаблюдения охраняемой территории не относятся к биометрическим данным. Кроме того, у детских садов нет оснований обрабатывать биометрию даже с согласия.

1.  Ведомства рекомендовали всем работникам, которые имеют дело с персональными данными, до 14 декабря 2020 года повысить квалификацию. Обучение доступно в дистанционном формате на портале «Единый урок» в разделе «Курсы». После итоговой аттестации работник сможет получить и распечатать удостоверение о повышении квалификации.

Для работы с персональными данными назначьте ответственного. Поручите ему контролировать, как хранят и используют данные, инструктировать работников, обновлять перечень обрабатываемых данных, составлять локальные акты. Назначение оформите приказом.

Попросите подготовить список работников, которым нужен доступ к персональным данным. Предложите им подписать обязательство о неразглашении.

2. Проверьте локальные акты организации – политику обработки персональных данных, положения об обработке персональных данных работников и обучающихся. Убедитесь, что они соответствуют законодательству и методическим рекомендациям. Если нет, срочно внесите изменения. Поручите ответственному подготовить формы документов, которые понадобятся для обработки – согласия, отзывы, запросы и уведомления.

Основной документ, который регулирует обработку персональных данных в образовательной организации – это политика. Контролируйте, чтобы она включала шесть разделов: 

1) общие положения; 
2) цели сбора; 
3) правовые основания обработки; 
4) объем и категории обрабатываемых персональных данных; 
5) порядок и условия обработки; 
6) актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных. 

Такую структуру рекомендовал Роскомнадзор.

Опубликуйте политику обработки персональных данных на сайте. Дополнительно разместите на стенде при входе в здание, чтобы посетители могли с ней ознакомиться. Чтобы дополнить и детализировать политику, примите два положения об обработке персональных данных – для работников и обучающихся. Закрепите в них перечень обрабатываемых данных, порядок сбора и обработки, условия хранения и меры защиты.

Обрабатывать персональные данные работников, родителей и обучающихся можно только с их согласия.

За детей согласие дают родители. Без него организацию оштрафуют на 75 000 рублей (ч. 2 ст. 13.11 КоАП). Поручите ответственному подготовить четыре формы согласий: 

1) чтобы предоставлять льготы, гарантии и компенсации по оплате детского сада;
2) обеспечивать безопасность и охрану здоровья воспитанников;
3) размещать фотографии на сайте детского сада;
4) заполнять базу данных АИС управления качеством образования. Предложите использовать готовые образцы.

3. Для работников попросите предусмотреть две формы согласий – они нужны, чтобы разместить фотографию на сайте и запросить дополнительные сведения о семье для личной карточки.

Если работник или родитель не хотят, чтобы организация обрабатывала персональные данные, то могут отозвать согласие. Они имеют на это право, поэтому не чините препятствий. Лучше дайте им готовый образец отзыва – он единый для работника и родителя – и читайте, что делать в случае, когда отзывают согласие на обработку персональных данных.

Иногда получить персональные данные можно только у третьих лиц. Например, предыдущих работодателей работника. Чтобы действовать законно, направьте работнику уведомление. Опишите в нем цель запроса и попросите письменное согласие. Только когда получите его, можно подавать запрос в другую организацию. Также возьмите согласие, если передаете персональные данные работника третьей стороне.

Поручите ответственному составить перечень документов, в которых есть персональные данные – так вы сможете организовать их защиту. Попросите оформить перечень в виде таблицы. Предложите внести в нее три столбца: 

1) субъект данных – это воспитанник, родитель, работник и физическое лицо, которое выполняет для детского сада работы по договору подряда или оказывает услуги; 
2) документ – например, трудовой договор с работником или медицинская карта воспитанника; 
3) персональные данные.

4. Организуйте безопасное хранение документов из перечня. Например, бумажные документы храните в сейфе, а электронные – в закрытых папках в локальной сети. Контролируйте, чтобы доступ к ним имели только работники, которые утверждены приказом. Установите сроки хранения, например, в номенклатуре дел.

Уничтожьте персональные данные, когда цель обработки достигнута – уволился работник или отчислили ребенка. Для этого создайте комиссию по уничтожению. Данные, которые не можете уничтожить, обезличьте. Процедуры закрепите в локальном акте.

© Материал Справочной системы «Образование»