СОГЛАСОВАНО :Протокол № 3 от 21.06.2024г                        УТВЕРЖДАЮ:                     Директор   МБОУ Сиговская СОШ

Совета МБОУ Сиговская СОШ                                          Федоров А.А Приказ № 60 от 22.06.2024г.

Политика

 в отношении обработки персональных данных в информационной системе персональных данных
Муниципального бюджетного общеобразовательного учреждения Сиговская средняя общеобразовательная школа

Сведения о реализуемых требованиях к защите персональных данных.

Настоящий документ определяет Политику Муниципального бюджетного общеобразовательного учреждения Сиговская средняя общеобразовательная школа (далее – Учреждение) в отношении обработки персональных данных в информационной системе персональных данных Учреждения и представляет сведения о реализуемых требованиях к защите персональных данных (далее – Политика) в соответствии с изменениями согласно Федеральному закону  от 30.12.2020 г№ 519-ФЗ в   Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

1.      Основные понятия.

автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

модуль – совокупность хранилищ  информации, страниц и набора веб-частей;

региональный сегмент АСУ СО – комплекс программных (информационных систем) и аппаратных средств, включающий в себя АСУ СО и систему «Сетевой город. Образование», составляющий региональный сегмент Межведомственной системы, предназначенный для учета контингента обучающихся Тверской области;

федеральный сегмент – информационная система, являющаяся частью Межведомственной системы, предназначенная для ведения централизованного реестра контингента обучающихся, обеспечения целостности учета контингента обучающихся во всех региональных сегментах и сегменте высшего образования, обеспечения взаимодействия сегментов Межведомственной системы между собой, взаимодействия Межведомственной системы с ведомственными информационными системами и формирования аналитической и статистической информации;

внешние информационные системы – информационные системы федеральных органов исполнительной власти и государственных внебюджетных фондов, информационные системы Тверской области, содержащие данные о контингенте обучающихся и являющиеся поставщиками данных для сегментов Межведомственной системы;

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

персона – единица учета контингента обучающихся;

контингент обучающихся – персоны, обучающиеся в организациях образования Тверской области, и (или) проживающие на территории Тверской области;

оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

персональные данные, разрешенные субъектом персональных данных -данные для распространения, - персональные данные,данные для доступа неограниченного круга лиц к которым предоставлен субъектом персональных данных, путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законодательством.

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

внутренний идентификатор (UID) – уникальный цифровой код персоны, единый для всех сегментов Межведомственной системы и создаваемый федеральным сегментом;

комбинированный идентификатор – совокупность данных о персоне, позволяющих ее идентифицировать при отсутствии внутреннего идентификатора;

карточка ребенка (персоны) – совокупность данных о персоне в Межведомственной системе, включая идентификаторы;

заявитель – физическое лицо, подавшее заявление в электронном виде на оказание услуг посредством ЕПГУ, РПГУ.

карточка персоны – совокупность всех содержащихся в системе данных о каждой конкретной единице контингента обучающихся, структурированных в соответствии со схемой, описанной в настоящем документе;

карточка организации -  совокупность всех содержащихся в системе данных о каждой образовательной организации, структурированных в соответствии со схемой, описанной в настоящем документе;

образовательная траектория – совокупность данных об образовательных программах и образовательных результатах персоны, движении персоны между различными образовательными организациями и территориями.

2.      Принципы обработки персональных данных в информационной системе персональных данных Учреждения.

Обработка персональных данных в информационной системе персональных данных Учреждения основана на следующих принципах:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными по отношению к заявленным целям их обработки;
• при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Принимаются необходимые меры по удалению или уточнению неполных или неточных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить работника Учреждения, субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные по достижении целей обработки или в случае утраты необходимости в достижении этих целей подлежат уничтожению либо обезличиванию, если иное не предусмотрено федеральным законом

3.      Правовые основания обработки персональных данных в информационной системе персональных данных Учреждения.

Правовыми основаниями обработки персональных данных являются следующие нормативные акты:

• Федеральный закон Российской Федерации от 29 декабря 2012г. №273 – ФЗ «Об образовании в Российской Федерации»;
• Федеральный закон Российской Федерации от 9 февраля 2009г. №8 – ФЗ «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления»;
• Федеральный закон Российской Федерации от 27 июля 2010г. №210 – ФЗ «Об организации предоставления государственных и муниципальных услуг»;
• Федеральный закон Российской Федерации от 27 июля 2006г. №152 – ФЗ «О персональных данных»;
• Стратегия развития информационного общества в Российской Федерации, утвержденная указом Президента Российской Федерации от 7 февраля 2008г. № Пр-212;
• Сводный перечень первоочередных государственных и муниципальных услуг, предоставляемых в электронном виде, утвержденный Распоряжением Правительства Российской Федерации от 17 декабря 2009г. №1993 – р;
• Постановление Правительства Российской Федерации от 8 сентября 2010 г. № 697 «О единой системе межведомственного электронного взаимодействия»;
• Унифицированные функционально-технические требования к региональному сегменту единой федеральной межведомственной системы учёта контингента обучающихся по основным образовательным программам и дополнительным общеобразовательным программам;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановление Правительства Российской Федерации от 21 марта 2012 г. № 211 «Об утверждении Перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами», иными нормативными правовыми актами Российской Федерации.
• Федеральный закон  от 30.12.2020г № 519-ФЗ“О внесении изменений в Федеральный закон «О персональных данных»

4.      Цели обработки персональных данных в информационной системе персональных данных Учреждения.

Персональные данные в информационной системе персональных данных Учреждения предназначены для:

• автоматизация управленческих функций в сфере образования;
• оказания государственных и муниципальных услуг в сфере образования;
• автоматизации деятельности образовательных организаций (общеобразовательных, дошкольных, организаций дополнительного образования, организаций среднего профессионального образования);
• автоматизации сбора, учета и актуализации информации о детях;
• обучающихся в образовательных организациях различных типов;
• создания единой региональной базы данных контингента обучающихся в образовательных организациях различных типов и формирования электронного портфолио каждого обучающегося, включающего данные об образовательных траекториях, основных образовательных результатах и достижениях на протяжении всего периода обучения в образовательных организациях различных типов;
• автоматизации ведения реестра образовательных организаций и учета движения обучающихся между образовательными организациями.

5.      Состав и субъекты персональных данных

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, в Учреждении не осуществляется.

Субъекты персональных данных - физические лица, обучающиеся в Учреждении, их законных представители.

В информационной системе персональных данных Учреждения осуществляется обработка следующих категорий персональных данных: фамилия, имя, отчество, дата рождения, пол, возраст, место рождения, серия и номер основного документа удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе, адрес места жительства, почтовый адрес, телефон, Email, номер страхового свидетельства государственного пенсионного страхования (СНИЛС), гражданство, состав семьи, социальное положение, физическая группа ребенка, группа здоровья, сведения о девиантном поведении ребенка, группа инвалидности, категория инвалидности.

6.      Обработка персональных данных в информационной системе персональных данных Учреждения.

Обработка персональных данных в информационной системе персональных данных Учреждения осуществляется с использованием средств автоматизации. Учреждение не предоставляет и не раскрывает сведения, содержащие персональные данные, третьей стороне без их письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

7.      Конфиденциальность персональных данных обрабатываемых в информационной системе персональных данных Учреждения

Персональные данные обрабатываемые в информационной системе персональных данных Учреждения относятся к сведениям конфиденциального характера и охраняются законом. Должностные лица Учреждения, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъектов персональных данных.

8.      Права субъектов персональных данных, чья информация обрабатывается в информационной системе персональных данных Учреждения.

Субъекты персональных данных имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных;
• правовые основания и цели обработки персональных данных;
• цели и применяемые в Учреждении способы обработки персональных данных;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

Субъекты персональных данных вправе требовать от Учреждения уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Если субъект персональных данных считает, что Учреждение осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие Учреждения в вышестоящий орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций) или в судебном порядке.

9. Обработка персональных данных, разрешенных субъектом персональных данных для распространения:

1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, предусмотренного настоящей статьей, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

3. В случае, раскрытия персональных данных неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.

5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные частью 9 настоящей статьи, или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с частью 9 настоящей статьи, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.

6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору:

1) непосредственно;

2) с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

7. Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.

8. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

9. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.

10. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.

11. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

12. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.

13. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в части 12 настоящей статьи.

14. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений настоящей статьи или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

15. Требования настоящей статьи не применяются в случае обработки персональных данных в целях выполнения возложенных законодательством Российской Федерации на федеральные органы исполнительной власти, органы исполнительной власти субъектов Российской Федерации, органы местного самоуправления функций, полномочий и обязанностей.";

10.    Сведения о реализуемых требованиях к защите персональных данных обрабатываемых в информационной системе персональных данных Учреждения.

В Учреждении принимаются следующие меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами:

• обязанности по организации обработки персональных данных в Учреждении возложены на заместителя директора Учреждения;
• приказом директора Учреждения утверждены документы регламентирующие вопросы обработки персональных данных работников Учреждения в соответствии с требованиями постановления Правительства Российской Федерации от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» Федеральный закон от 30 декабря 2020 г. № 519-ФЗ “О внесении изменений в Федеральный закон «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;
• применяются предусмотренные соответствующими нормативными правовыми актами правовые, организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационной системе персональных данных в Учреждении;
• обеспечен неограниченный доступ к настоящей Политике;
• в целях осуществления внутреннего контроля соответствия обработки персональных данных обрабатываемых установленным требованиям в информационной системе персональных данных Учреждения организовано проведение периодических внутренних проверок условий обработки персональных данных;
• доступ к обрабатываемым персональным данным в информационной системе персональных данных Учреждения разрешается только работникам Учреждения, занимающим должности, включенные в перечень должностей, замещение которых предусматривает осуществление обработки персональных данных работников Учреждения;
• иные меры, предусмотренные законодательством Российской Федерации в области персональных данных.

• Контроль за соблюдением Политики Учреждения в отношении обработки персональных в информационной системе персональных данных Учреждения, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных в Учреждении законодательству Российской Федерации и локальным нормативным актам Учреждения в области персональных данных, в том числе требованиям к защите персональных данных, а также эффективности принятых мер, направленных на предотвращение и выявление нарушений законодательства Российской Федерации в области персональных данных,выявления возможных каналов утечки и несанкционированного доступа к персональным данным обрабатываемым в информационной системе персональных данных Учреждения, устранения последствий таких нарушений. Внутренний контроль за соблюдением законодательства Российской Федерации и локальных нормативных актов Учреждения в области персональных данных, в том числе требований к защите персональных данных обрабатываемым в информационной системе персональных данных Учреждения, осуществляется должностным лицом Учреждения, ответственным за организацию обработки персональных данных в Учреждении.

  Персональная ответственность за соблюдение требований законодательства Российской Федерации и локальных актов Учреждения в области обработки персональных данных возлагается на работников, непосредственно осуществляющих обработку персональных данных.                       Правила обработки персональных данных