ПОЛОЖЕНИЕ
об организации работы с персональными данными
работников и обучающихся
Настоящее Положение определяет порядок получения, обработки, хранения, передачи
и любого другого использования персональных данных работников, и обучающихся
муниципального

бюджетного

общеобразовательного

учреждения

«Средняя

общеобразовательная школа №3» города Пикалёво с целью защиты информации,
относящейся к личности, в соответствии с Федеральным законом от 27.07.2006 года № 152ФЗ «О персональных данных», Постановлением Правительства Российской Федерации от
17.11.2007г. №781 «Об утверждении Положения об обеспечении безопасности персональных
данных при

их

обработке в

информационных

системах

персональных данных»,

Постановлением Правительства Российской Федерации от 15.09.2008г. № 687 «Об
утверждении Положения об особенностях обработки персональных данных, осуществляемой
без использования средств автоматизации», Трудовым Кодексом РФ от 30.12.2001 № 197ФЗ. При разработке Положения учтены требования и рекомендации, содержащиеся в
нормативных и методических документах ФСТЭК, ФСБ и Министерства информационных
технологий и связи Российской Федерации.
1. ОСНОВНЫЕ ПОНЯТИЯ

В настоящем Положении используются следующие основные понятия:
персональные данные – любая информация, относящаяся к определенному или
определяемому на основании такой информации физическому лицу (субъекту персональных
данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес,
семейное, социальное, имущественное положение, образование, профессия, доходы, другая
информация;
оператор – государственный орган, муниципальный орган, юридическое или
физическое лицо, организующие и (или) осуществляющие обработку персональных данных,
а также определяющие цели и содержание обработки персональных данных;

обработка персональных данных – действия (операции) с персональными данными,
включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение),
использование, распространение (в том числе передачу), обезличивание, блокирование,
уничтожение персональных данных;
распространение персональных данных – действия, направленные на передачу
персональных данных определенному кругу лиц (передача персональных данных) или на
ознакомление с персональными данными неограниченного круга лиц, в том числе
обнародование персональных данных в средствах массовой информации, размещение в
информационно-телемуникационных сетях или предоставление доступа к персональным
данным каким-либо иными способом;
использование персональных данных – действия (операции) с персональными
данными, совершаемые оператором в целях принятия решений или совершения иных
действий, порождающих юридические последствия в отношении субъектах персональных
данных или других лиц либо иным образом затрагивающих права и свободы субъекта
персональных данных или других лиц;
блокирование

персональных

данных

–

временное

прекращение

сбора,

систематизации, накопления, использования, распространения персональных данных, в том
числе их передачи;
уничтожение персональных данных – действия, в результате которых невозможно
восстановить содержание персональных данных в информационной системе персональных
данных или в результате которых уничтожаются материальные носители персональных
данных;
обезличивание персональных данных – действия, в результате которых невозможно
определить принадлежность персональных данных конкретному субъекту персональных
данных;
информационная система персональных данных – информационная система,
представляющая собой совокупность персональных данных, содержащихся в базе данных, а
также информационных технологий и технических средств, позволяющих осуществлять
обработку таких персональных данных с использованием средств автоматизации или без
использования таких средств;
конфиденциальность персональных данных – обязательное для соблюдения
оператором или иным получившим доступ к персональным данным лицом требование не
допускать их распространения без согласия субъекта персональных данных или наличия
иного законного основания;

трансграничная передача персональных данных – передача персональных данных
оператором через Государственную границу Российской Федерации органу власти
иностранного государства, физическому или юридическому лицу иностранного государства;
общедоступные

персональные

данные

–

персональные

данные,

доступ

неограниченного круга лиц к которым предоставлен с согласия субъекта персональных
данных или на которые в соответствии с федеральными законами не распространяется
требование соблюдения конфиденциальности.
Субъектами персональных данных в учреждении являются:
-работники, состоящие с учреждением в трудовых отношениях, в том числе:
-работающие в учреждении по совместительству и условиях почасовой оплаты;
-все категории обучающихся;
-прочие физические лица, состоящие с учреждением в договорных отношениях.
2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1.Обработка персональных данных должна осуществляться на основе следующих
принципов:
Законности целей и способов обработки персональных данных и добросовестности;
Соответствия целей обработки персональных данных целям, заранее определенным и
заявленным при сборе персональных данных, а также полномочиями оператора;
Соответствия объема и характера обрабатываемых персональных данных, способов
обработки персональных данных целям обработки персональных данных;
Достоверности персональных данных, их достаточности для целей обработки,
недопустимости обработки персональных данных, избыточных по отношению к целям,
заявленным при сборе персональных данных;
Недопустимости объединения созданных для несовместимых между собой целей баз
данных информационных систем персональных данных.
Хранение персональных данных должно осуществляться в форме, позволяющей
определить субъекта, персональных данных, не дольше, чем этого требуют цели их
обработки, и они подлежат уничтожению по достижению целей обработки или в случае
утраты необходимости в их достижении.
Обработка персональных данных может осуществляться оператором с письменного
согласия субъектов персональных данных, за исключением следующих случаев:
а) обработка персональных данных осуществляется на основании федерального закона,
устанавливающего ее цель, условия получения персональных данных и круг субъектов,
персональные данные которых подлежат обработке, а также определяющего полномочия
оператора;

б) обработка персональных данных осуществляется в целях исполнения договора,
одной из сторон которого является субъект персональных данных;
в) обработка персональных данных осуществляется для статистических или иных
научных целей при условии обязательного обезличивания персональных данных;
г) обработка персональных данных необходима для защиты жизни, здоровья или иных
жизненно важных интересов субъекта персональных данных, если получение согласия
субъекта персональных данных невозможно.
2.2. Обработка персональных данных осуществляется только с согласия в письменной
форме субъекта персональных данных. Письменное согласие субъекта персональных
данных на обработку своих персональных данных должно включать в себя:
-фамилию, имя, отчество, адрес субъекта персональных данных, номер основного
документа удостоверяющего его личность, сведения о дате выдачи указанного документа и
выдавшем его органе;
-наименование (фамилия, имя, отчество) и адрес оператора, получившего согласие
субъекта персональных данных;
-цель обработки персональных данных;
-перечень персональных данных, на обработку которых дается согласие субъекта
персональных данных;
-перечень действий с персональными данными, на совершение которых дается
согласие, общее описание используемых оператором способов обработки персональных
данных;
-срок, в течение которого действует согласие, а также порядок его отзыва.
Форма соглашения об обработке персональных данных для всех категорий субъектов
персональных данных утверждается приказом директора

муниципального бюджетного

общеобразовательного учреждения «Средняя общеобразовательная школа №3» города
Пикалёво
2.3. Обработка специальных категорий персональных данных, касающихся расовой,
национальной принадлежности, политических взглядов, религиозных или философских
убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев,
если:
а) субъект персональных данных дал согласие в письменной форме на обработку своих
персональных данных;
б) персональные данные являются общедоступными;
в) персональные данные относятся к состоянию здоровья субъекта персональных
данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно

важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц,
и получение согласия субъекта персональных данных невозможно;
г) обработка персональных данных осуществляется в медико-профилактических целях,
в целях установления медицинского диагноза оказания медицинских и медико-социальных
услуг при условии, что обработка персональных данных осуществляется лицом,
профессионально занимающимся медицинской деятельностью и обязанным в соответствии с
законодательством Российской Федерации сохранять врачебную тайну;
д) обработка персональных данных членов (участников) общественного объединения
осуществляется

соответствующим

общественным

объединением,

действующими

в

соответствии с законодательством Российской Федерации, для достижения законных целей,
предусмотренных их учредительными документами, при условии, что персональные данные
не будут распространяться без согласия в письменной форме субъектов персональны х
данных;
е) обработка персональных данных необходима в связи с осуществлением правосудия;
ж)

обработка

персональных

данных

осуществляется

в

соответствии

с

законодательством Российской Федерации о безопасности, об оперативно-розыскной
деятельности, а также в соответствии с уголовно-исполнительным законодательством
Российской Федерации.
3. ОСНОВНЫЕ УСЛОВИЯ, ЦЕЛИ И СПОСОБЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3.1.Учреждение определяет объём, содержание обрабатываемых персональных данных,
руководствуясь законодательством Российской Федерации и нормативными документами в
области обработки персональных данных.
3.2. Обработка персональных данных работников осуществляется в целях:
обеспечения соблюдения Конституции Российской Федерации, федеральных законов и
иных нормативных правовых актов Российской Федерации,
содействия работникам в исполнении должностных обязанностей,
повышение квалификации и должностном росте,
обеспечения личной безопасности при исполнении должностных обязанностей,
учёта результатов исполнения должностных обязанностей,
обеспечения

социальными

льготами

в

соответствии

с

законодательством

и

нормативными документами учреждения.
3.3. Обработка персональных данных всех категорий обучающихся осуществляется в
целях обеспечения соблюдения Конституции Российской Федерации, Федеральных законов
и иных нормативных правовых актов Российской Федерации, содействия в освоении
образовательных программ, учёта выполнения учебного плана и качества полученных
знаний, содействия трудоустройству, обеспечения личной безопасности в период обучения,

обеспечения социальными льготами в соответствии с законодательством и нормативными
документами учреждения.
3.4. Учреждение не имеет права получать и обрабатывать персональные данные о
политических, религиозных и иных убеждениях и частной жизни субъекта без его
письменного согласия.
Учреждение не имеет права получать и обрабатывать персональные данные субъекта
о его членстве в общественных объединениях, за исключением случаев, предусмотренных
федеральным законом «О персональных данных».
3.5. Учреждение не имеет право запрашивать информацию о состоянии здоровья, за
исключением тех сведений, которые относятся к вопросу о возможности выполнения
работником трудовой функции, а обучающимся возможности получить образование.
3.6. Обработка биометрических персональных данных может осуществляться только
при наличии согласия в письменной форме субъекта персональных данных, за исключением
случаев, предусмотренных законодательством и другими нормативными правовыми актами
Российской Федерации.
3.7. Учреждение использует следующие способы обработки персональных данных:
- в автоматизированных информационных системах персональных данных в
электронном виде (в соответствии с Постановлением Правительства Российской Федерации
от 17.11.2007 № 781);
- без использования средств автоматизации в бумажном виде (в соответствии с
Постановлением Правительства Российской Федерации от 15.09.2008 № 687).
3.8. Сроки обработки персональных данных устанавливаются в соответствии с
законодательством Российской Федерации, нормативными документами Федерального
агентства по образованию и учреждения. По истечении установленных сроков персональные
данные подлежат передаче в архив в порядке, установленном законодательством Российской
Федерации.
3.9. Персональные данные субъектов, не относящиеся к категориям, указанным в п.
3.2., 3.3. (например посетителей учреждения), обрабатываются без использования средств
автоматизации в соответствии с Постановлением Правительства Российской Федерации от
15.09.2008 № 687. Учет персональных данных, необходимых для пропуска субъекта
персональных данных (посетителей) на территорию учреждения осуществляется с целью
обеспечения режима безопасности и производится в специальных журналах учета на вахте
здания учреждения. Форма журналов учета посетителей, состав персональных данных и
порядок обработки определяются локальными нормативными актами учреждения и
находятся под ответственностью должностного лица, курирующего вопросы обеспечения
безопасности учреждения.

4. СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1.Под персональными данными работников понимается информация, необходимая
учреждению в связи трудовыми отношениями и касающаяся

конкретного работника, а

также сведения о фактах, событиях и обстоятельствах жизни работника, позволяющие
идентифицировать его личность.
4.2. Состав обрабатываемых персональных данных работников учреждения:
Данные указанные в личной карточке работника при приёме на работу по
унифицированной форме Т-2, утвержденной постановлением Госкомстата России от
05.01.2004 № 1.
4.2.1.Трудовая книжка.
4.2.3.Реквизиты лицевого счёта в банковских учреждениях, необходимые для
перечисления доходов, выплачиваемых учреждением (по согласию работника).
4.2.4.Другая информация в соответствии с законодательством Российской Федерации,
нормативными документами органов исполнительной власти и локальными нормативными
актами учреждения, необходимая для обеспечения трудовых отношений и учета качества
труда.
4.3. Состав обрабатываемых персональных данных всех категорий обучающихся в
учреждении:
4.3.1.Необходимая информация в соответствии с законодательством Российской
Федерации в области среднего образования, типовыми Правилами приема в образовательное
учреждение, а также Правилами приёма в МБОУ «СОШ №3» города Пикалёво, необходимая
для организации образовательного процесса и учета успеваемости.
4.4. В состав обрабатываемых персональных данных работников и обучающихся по их
согласию может быть включена информация о лицевых счетах в учреждениях банка,
необходимая для перечисления выплачиваемых в учреждении доходов.
5. СБОР, ХРАНЕНИЕ И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1.Все персональные данные предоставляются субъектов персональных данных. Если
персональные данные возможно получить только у третьей стороны, то учреждение обязано
заранее уведомить об этом субъекта персональных данных и получить его письменное
согласие.
5.2. При поступлении на работу работник заполняет личную карточку (форма Т-2),
автобиографию и соглашение об обработке персональных данных. Личная карточка
заполняется работником самостоятельно. При заполнении карточки работник должен
заполнять все графы, на все вопросы давать полные ответы, не допускать исправлений или
зачеркиваний, прочерков, помарок в строгом соответствии с записями, которые содержа тся в
его личных документах.

5.2.1. Автобиография – документ, содержащий описание в

хронологической

последовательности основных этапов жизни и деятельности принимаемого работника.
Автобиография составляется в произвольной форме, без помарок и исправлений.
5.2.2. Личная карточка и автобиография работника должны храниться в личном деле
работника. В личном деле также хранятся иные документы персонального учета,
относящиеся к персональным данным работника, обеспечивающие трудовые отношения в
соответствии с договором (контрактом).
5.2.3. Личное дело работника оформляется после издания приказа о приеме на работу и
ведется на протяжении всей трудовой деятельности работника. Все документы личного дела
располагаются

в

хронологическом

порядке

подшиваются

в

обложку

образца,

установленного в учреждении. На ней указываются фамилия, имя, отчество работника.
Личные дела работников хранятся в сейфе, а после увольнения в архиве.
5.2.4. Трудовые книжки работников учреждения хранятся в сейфе и ведутся в
соответствии с «Правилами ведения и хранения трудовых книжек, изготовления бланков
трудовой книжки и обеспечения ими работодателей», утвержденными Постановлением
Правительства Российской Федерации № 225 от 16.04.2003 (с изм. № 51 от 06.02.2004, №
132 от 01.03.2008, № 373 от 19.05.2008).
5.3. Личные дела обучающихся хранятся в сейфе в канцелярии все время обучения, а
после окончания учебного заведения в архиве.
5.4. В процессе хранения персональных данных должен обеспечиваться контроль за
достоверностью и полнотой персональных данных, их регулярное обновление и внесение по
мере необходимости соответствующих изменений.
5.5. Учреждение при обработке персональных данных на бумажных носителях и в
автоматизированных

информационных

системах

обязано

принимать

необходимые

организационные и технические меры, в том числе при необходимости использовать
шифровальные (криптографические) средства, для защиты персональных данных от
неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования,
копирования, распространения персональных данных, а также от иных неправомерных
действий в соответствии с законодательством Российской Федерации, требованиями
нормативных документов, устанавливающих правила хранения конфиденциальных сведений
и настоящим Положением.
5.6. В целях обеспечения конфиденциальности персональных данных все операции по
их обработке должны выполняться только сотрудниками, осуществляющими данную работу
в соответствии со своими служебными обязанностями, зафиксированными в должностных
инструкциях. Разграничение прав доступа сотрудников и руководящего состава учреждения
к персональным данным утверждается приказом директора.

5.7. При обработке персональных данных в информационной системе должно быть
обеспечено:
5.7.1.проведение

мероприятий,

направленных

на

предотвращение

несанкционированного доступа к персональным данным и (или) передача их лицам, не
имеющим права доступа к такой информации;
5.7.2.своевременное

обнаружение

фактов

несанкционированного

доступа

к

персональным данным;
5.7.3.недопущение

воздействия

на

технические

средства

автоматизированной

обработки персональных данных, в результате которого может быть нарушено их
функционирование;
5.7.4.возможность

незамедлительного

восстановления

персональных

данных,

модифицированных или уничтоженных в следствие несанкциони рованного доступа к ним;
5.7.5. постоянный контроль за обеспечением уровня защищённости персональных
данных.
5.8. Все информационные системы учреждения, используемые для обработки
персональных данных, должны удовлетворять требованиям законодательства Российской
Федерации и нормативных документов ФСТЭК и ФСБ по защите конфиденциальной
информации.
6.

ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. При передаче персональных данных другим юридическим и физическим лицам
учреждение должно соблюдать следующие требования;
6.1.1. Не сообщать персональные данные третьей стороне без письменного согласия
субъекта персональных данных, за исключением случаев, когда это необходимо в целях
предупреждения угрозы жизни и здоровью работника, а также в случаях, установленных
федеральными законами. Ответы на письменные запросы других организаций и учреждений
в пределах их компетенции и предоставленных полномочий даются в письменной форме на
бланках университета и в том объеме, который позволяет не разглашать излишний объем
персональных данных. Передача информации, содержащей сведения о персональных
данных, по телефону, факсу, электронной почте без письменного согласия субъекта
персональных данных запрещается.
6.1.2. Не сообщать персональные данные в коммерческих целях без письменного
согласия субъекта персональных данных.
Предупреждать лиц, получающих доступ к персональным данным, о том, что эти
данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от
этих лиц подтверждения того, что это правило соблюдено.
Лица, получающие доступ к персональным данным, обязаны соблюдать режим
конфиденциальности. С ними учреждение заключает соглашение о неразглашении

конфиденциальной информации (персональных данных). Форма соглашения, а также список
лиц, заключающих такое соглашение, утверждается директором учреждения.
С такими лицами трудовой договор может быть расторгнут по инициативе
работодателя в случае однократного грубого нарушения работником трудовых обязанностей
– разглашение охраняемой законом тайны (государственной, коммерческой, служебной и
иной), ставшей известной работнику в связи с исполнением им трудовых обязанностей, в
том числе разглашения персональных данных другого работника на основании статьи 81, п.
6), пп. в) Трудового кодекса Российской Федерации.
Передавать персональные данные представителям субъекта персональных данных в
порядке, установленном Трудовым кодексом Российской Федерации и законом «О
персональных данных », и ограничивать эту информацию только теми персональными
данными, которые необходимы для выполнения указанными представителями их функций.
Не размещать персональные данные, обрабатываемые в учреждении, на сайте
учреждения в сети Интернет без письменного согласия субъекта персональных данных.
При передаче в электронном виде персональных данных, касающихся выплат доходов
субъектам, в банковские учреждения и Федеральное казначейство необходимо использовать
для защиты электронную цифровую подпись (ЭЦП) в соответствии с законодательством
Российской

Федерации.

Лица,

ответственные

за

организацию

электронного

документооборота, должны быть утверждены приказом директора учреждения. Организация
электронного документооборота с указанными учреждениями должна быть оформлена
договором в соответствии с законодательством Российской Федерации.
7. ОБЯЗАННОСТИ УЧРЕЖДЕНИЯ

7.1.Учреждение при обработке персональных данных обязано принимать необходимые
организационные и технические меры для защиты персональных данных от неправомерного
или случайного доступа к ним, уничтожения, изменения, блокирования, копирования,
распространения персональных данных, а также иных неправомерных действий. Защита
персональных данных от неправомерного их использования или утраты должна быть
обеспечена учреждением за счет его средств, в порядке установленном законом «О
персональных данных».
7.2. Учреждения обязано в порядке, предусмотренном законом «О персональных
данных», сообщить субъекту персональных данных или его законному представителю
информации о наличии персональных данных, относящихся к соответствующему субъекту, а
также предоставить возможность ознакомления с ними в течение десяти рабочих дней с
даты получения запроса.
Учреждение обязано безвозмездно предоставлять субъекту персональных данных или
его законному представителю возможность внести в них необходимые изменения,
уничтожить или блокировать соответствующие персональные данные, если они являются

неполными, устаревшими, недостоверными, незаконно полученными или не являются
необходимыми для заявленной цели обработки.
В случае выявления неправомерных действий с персональными данными учреждение в
сорок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить
допущенные нарушения.
Запрещается принятии на основании исключительно автоматизированной обработки
персональных данных решений, порождающих юридические последствия в отношении
субъекта персональных данных или иным образом затрагивающих его права и законные
интересы, за исключением случаев, предусмотренных федеральными законами.
8. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1.Субъект персональных данных обязан:
8.1.1. Передать учреждению или его законному представителю достоверные
персональные данные. В случае представления работником учреждению при заключении
трудового договора подложных документов, трудовой договор может быть расторгнут по
инициативе работодателя на основании ст. 81, п. 11 Трудового Кодекса Российской
Федерации.
8.1.2. Своевременно в срок, не превышающий 5 дней, сообщать учреждению об
изменении своих персональных данных.
8.2. Субъект персональных данных имеет право:
8.2.1. На получение информации, касающейся обработки его персональных данных в
том числе содержащей:
подтверждение факта обработки персональных данных учреждением, а также цели,
способы и сроки такой обработки;
сведения о лицах, которые имеют доступ к персональным данным или которым может
быть предоставлен такой доступ;
перечень обрабатываемых персональных данных и источник их получения.
Право субъекта персональных данных на доступ к своим персональным данным может
быть ограниченно только в случаях, предусмотренных законами.
8.2.2. Требовать исключения или исправления неверных или неполных персональных
данных, а также данных, обработанных с нарушением требований, определенных
законодательством.
8.2.3. Требовать извещения учреждением всех лиц, которым ранее были сообщены
неверные или неполные персональные данные, обо всех произведенных в них изменениях и
дополнениях.
8.2.4. Обжаловать в уполномоченный орган по защите прав субъектов персональных
данных или в суд любые неправомерные действия или бездействия учреждения при
обработке и защите его персональных данных.

Уполномоченным органом по защите прав субъектов персональных данных является
Федеральная служба по надзору в сфере связи, информационных технологий и массовых
коммуникаций (Роскомнадзор, http:/www.rsoc.ru) и территориальный орган Роскомнадзора
по Ленинградской области.
9. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ
ДАННЫХ

Лица виновные в нарушении требований законодательства в области обработки
персональных

данных,

несут

гражданскую,

уголовную,

административную,

дисциплинарную и иную, предусмотренную законодательством Российской Федерации.
Срок действия положения не ограничен. При изменении законодательства в акт
вносятся изменения в установленном законом порядке.

Настоящее Положение и изменения к нему утверждаются приказом директора.