ЗАТВЕРДЖЕНО

«31» серпня 2021р.

Наказ № 167 від 31 серпня 2021р.

Положення про порядок обробки та захисту персональних даних Смолінського ліцею №2 Смолінської селищної ради Кіровоградської області

1. Загальні положення

1.1. Положення про порядок обробки та захисту персональних даних Смолінського ліцею №2 Смолінської селищної ради Кіровоградської області (далі – Положення) визначає комплекс заходів для забезпечення захисту персональних даних працівників та здобувачів освіти закладу, персональні дані яких обробляються під час реалізації закладу повноважень.

1.2. Положення розроблено на підставі Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI (далі – Закон) та Типового порядку обробки персональних даних у базах персональних даних, затвердженого наказом Уповноваженого Ради України з прав людини від 08.01.2014 № 1/02-14.

1.3.Положення є обов’язковим для виконання працівниками закладу, які мають доступ до персональних даних та/або обробляють персональні дані.

1.4.Усі терміни у цьому Положенні визначаються відповідно до Закону, при цьому згідно із термінологією Закону вважається володільцем персональних даних.

1.5.До персональних даних працівника та здобувача освіти закладу належать будь-які відомості чи сукупність відомостей, за якими він ідентифікується чи може бути конкретно ідентифікованим.

1.6. Персональні дані працівників, здобувачів освіти закладу обробляються на паперових носіях і за допомогою автоматизованих систем: ІТС «ДІСО», «Комплекс програм автоматизації бухгалтерського обліку (Розрахунок заробітної плати)» (далі-Автоматизована система), а також інших програмних продуктів (Excel, Word тощо).

1.7. Під обробкою персональних даних розуміється будь-яка дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.

1.8. Персональні дані працівників обробляються відповідальною особою з кадрового діловодства, фінансово-господарській службі та працівниками медичного пункту, персональні дані здобувачів освіти обробляються педагогічними працівниками, працівниками медичного пункту закладу.

1.9. Третіми особами у контексті Закону є:

–державні органи, яким персональні дані передаються відповідно до законодавства (Пенсійний фонд, податкова інспекція, військові комісаріати, центри зайнятості тощо.);

– банківська установа, що надає послуги у рамках зарплатного карткового проекту;

–інші юридичні та фізичні особи, що звертаються із запитом щодо доступу до персональних даних працівників.

1.10. Передавання персональних даних третім особам та доступ третіх осіб до персональних даних відбувається з урахуванням вимог Закону у порядку, визначеному розділом 11 Положення.

1.11. Профспілковий комітет трудового колективу закладу, що діє у закладі, самостійно забезпечує захист відомостей, наданих працівниками, які є членами профспілкових комітетів, і вважаються володільцем таких персональних даних.

2. Мета обробки персональних даних

2.1. Обробка персональних даних працівників закладу проводиться з метою забезпечення реалізації трудових, соціально-трудових відносин, військового обліку військовозобов’язаних та призовників, охорони праці (відповідно до Кодексу законів про працю України (КЗпП), Законів України «Про професійні спілки, їх права та гарантії діяльності», «Про військовий обов’язок та військову службу», «Про охорону праці», колективного договору); адміністративно-правових відносин (відповідно до Господарського кодексу України, Цивільного кодексу України, згідно зі Регламентом районної державної адміністрації), відносин у сфері бухгалтерського і податкового обліку (відповідно до Податкового кодексу України, Законів України «Про бухгалтерський облік та фінансову звітність в Україні», «Про оплату праці»).

2.2. Обробка персональних даних здобувачів освіти закладу проводиться з метою забезпечення реалізації права на позашкільну, загальну середню освіту, та на їх соціальний захист (відповідно до законів України «Про освіту», «Про загальну середню освіту», «Про забезпечення організаційно-правових умов соціального захисту дітей-сиріт та дітей, позбавлених батьківського піклування», «Про охорону дитинства», «Про державну соціальну допомогу особам з інвалідністю з дитинства та дітям з інвалідністю»).

2.3. Обробка персональних даних працівників є необхідною для виконання передбаченого законодавством обов’язку закладу як роботодавця для:

–ведення кадрового діловодства;

–підготовки визначеної законодавством статистичної та іншої звітності;

–документаційного забезпечення визначених у пункті 2.1. відносин, у т. ч. прав та обов’язків працівників та роботодавця у сфері праці та соціального захисту.

2.4. Обробка персональних даних здобувачів освіти є необхідною для виконання передбаченого законодавством обов’язку ліцею як закладу освіти:

– ведення діловодства в сфері освіти;

– підготовки визначеної законодавством статистичної та іншої звітності;

– документаційного забезпечення визначених у пункті 2.2. відносин, у т. ч. прав та обов’язків здобувачів освіти у сфері освіти та соціального захисту.

3. Склад персональних даних, що обробляються в Смолінському ліцеї №2

3.1.Відповідно до визначеної мети обробки, нормативно-правових актів, специфіки діяльності закладу, потреб управлінської діяльності, кваліфікаційних вимог до посад працівників, обробляються такі персональні дані працівників:

прізвище, ім’я, по батькові; дата і місце народження; паспортні дані; ідентифікаційний код (номер облікової картки платника податків); відомості з військового квитка (приписного свідоцтва) (для військовозобов’язаних та осіб призовного віку), в обсязі, необхідному для ведення військового обліку; відомості про трудову діяльність, що містяться у трудовій книжці; відомості про освіту, наявність спеціальних знань або підготовки (за потреби, залежно від кваліфікаційних вимог до посади); відомості про наявність кваліфікаційної категорії (розряду, класу тощо); відомості про стан здоров’я (обробляються відповідно до статті 24 Кодексу законів про працю України в обсязі, необхідному для реалізації трудових відносин та для забезпечення вимог законодавства у сфері охорони праці); біографічні дані; відомості про ділові та особисті якості, зокрема, вказані у біографічні довідці; відомості про родинний стан, членів родини в обсязі, необхідному для реалізації трудових відносин; відомості про місце реєстрації та фактичне проживання, номери телефонів, адресу особистої електронної пошти; відомості про членство у професійних спілках; відомості, що підтверджують право на пільги та компенсації відповідно до законодавства (встановлення інвалідності, належність до категорії постраждалих від аварії на ЧАЕС, отримання пенсії за віком, статус одинокої матері, опікуна, піклувальника, усиновлення дитини тощо); фото зображення (можливе відео).

3.2. Відповідно до визначеної мети обробки, нормативно-правових актів, специфіки діяльності закладу, потреб управлінської діяльності, медичних вимог до здобувачів освіти, обробляються такі персональні дані:

прізвище, ім’я, по батькові; дата і місце народження; паспортні дані (дані свідоцтва про народження дитини); ідентифікаційний код (номер облікової картки платника податків); відомості з військового квитка (приписного свідоцтва) (для військовозобов’язаних та осіб призовного віку), відомості про освіту; відомості про стан здоров’я (обробляються відповідно до Закону  України «Про освіту»); відомості про членів родини в обсязі, необхідному для реалізації заходів по соціальному захисту; відомості про місце реєстрації та фактичне проживання, номери телефонів, адресу особистої електронної пошти; відомості, що підтверджують право на пільги та компенсації відповідно до законодавства (встановлення інвалідності, належність до категорії постраждалих від аварії на ЧАЕС, отримання пенсії, тощо); фото зображення (можливе відео).

3.3. У закладі не обробляються відомості про расове або етнічне походження працівників та здобувачів освіти, їх політичні, релігійні або світоглядні переконання, членство в політичних партіях, відомості, що стосуються статевого життя.

3.4. Обробка персональних даних працівників та здобувачів освіти про стан здоров’я (що згідно із законодавством належить до персональних даних, обробка яких становить особливий ризик для прав і свобод громадян) є необхідною для реалізації прав та виконання обов’язків володільця персональних даних у сфері трудових правовідносин та права дитини на навчання у спеціальному закладі освіти, відповідно до закону. Враховуючи ці обробки, заклад, як володілець персональних даних не підлягає обов’язку повідомляти Уповноваженого Верховної Ради України з прав людини про обробку зазначених видів персональних даних (ст.9 Закону, п.1.2, 2.1.3 Порядку повідомлення Уповноваженого Верховної Ради України з прав людини про обробку персональних даних, яка становить особливий ризик для прав і свобод суб’єктів персональних даних, про відділ або відповідальну особу, що організовує роботу, пов’язану із захистом персональних даних при їх обробці, а також оприлюднення вказаної інформації, затвердженого наказом Уповноваженого Верховної Ради України з прав людини від 08.01.2014 № 1/02-14).

4. Обов’язки та права особи, відповідальної за організацію роботи, пов’язаної із захистом персональних даних в закладі

4.1. Для забезпечення реалізації норми статті 24 Закону, згідно з якою володільці, розпорядники персональних даних та треті особи зобов’язані забезпечити захист цих даних від випадкових втрат або знищення, від незаконної обробки, у т.ч. незаконного знищення чи доступу до персональних даних, наказом директора ліцею призначається особа (особи), відповідальна за організацію роботи, пов’язаної із захистом персональних даних (далі – Відповідальна особа). Наказ доводиться до відома Відповідальної особи під підпис.

4.2.Відповідальна особа:

4.2.1.Інформує та консультує адміністрацію та працівників закладу з питань додержання законодавства про захист персональних даних.

4.2.2. Взаємодіє з Уповноваженого Верховної Ради України з прав людини та визначеними ним посадовими особами його Секретаріату з питань запобігання ту усунення порушень законодавства про захист персональних даних.

4.2.3. Забезпечує реалізацію прав суб’єктів персональних даних.

4.2.4. У разі виявлення порушень законодавства про захист персональних даних та/або цього Положення повідомляє про це адміністрацію закладу з метою вжиття необхідних заходів.

4.2.5. Аналізує загрози безпеці персональних даних.

4.2.6. Відстежує зміни у законодавстві про захист персональних даних, за необхідності ініціює внесення змін чи доповнень до цього Положення.

4.2.7. Фіксує факти порушень режиму захисту персональних даних у порядку, визначеному розділом 10 цього Положення.

4.3. Відповідальна особа має право:

4.3.1. На доступ до будь-яких персональних даних, які обробляються в закладі, та до всіх приміщень, де здійснюється обробка персональних даних.

4.3.2. Перевіряти стан дотримання працівниками законодавства у сфері захисту персональних даних та виконання вимог цього Положення, брати участь у службових розслідуваннях з питань порушень порядку обробки та захисту персональних даних.

4.3.3. Вносити пропозиції про розмежування режиму доступу працівників до обробки персональних даних відповідно до їх посадових обов’язків.

5. Права та обов’язки суб’єктів персональних даних

5.1. Відповідно до Закону працівник та здобувач освіти закладу, як фізична особа, щодо якої здійснюється обробка її персональних даних є суб’єктом персональних даних і має право:

–знати про місцезнаходження своїх персональних даних, мету їх обробки;

– на доступ до своїх персональних даних,

– отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані;

– на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв’язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;

– застосовувати засоби правового захисту у разі порушення законодавства про захист персональних даних;

– звертатися із скаргами на обробку своїх персональних даних до Уповноваженого Верховної Ради України з прав людини або суду;

– інші права, визначені статтею 8 Закону.

Інформація про права у сфері захисту персональних даних, володільця персональних даних, третіх осіб, яким можуть передаватися персональні дані, доводиться до працівника під час прийняття на роботу одночасно зі збором персональних даних, необхідних для реалізації трудових відносин, відповідно до статті 12 Закону, у поряду визначеному розділом «Збирання та оновлення персональних даних працівників» цього Положення.

5.2. Суб’єкт персональних даних зобов’язаний повідомляти заклад про зміну своїх персональних даних, що підлягають обробці у порядку, визначеному у пункті 7.2. цього Положення.

6. Обов’язки працівників, які обробляють персональні дані

Працівники закладу, які обробляють персональні дані:

6.1.Мають бути обізнані з вимогами Закону та інших нормативно-правових актів у сфері захисту персональних даних.

6.2.Зобов’язані:

6.2.1.Використовувати персональні дані лише відповідно до професійних чи службових або трудових обов’язків, запобігати втраті персональних даних або їх неправомірному використанню.

6.2.2.Не допускати розголошення у будь – який спосіб персональних даних, які їм було довірено або які стали відомі у зв’язку з виконанням до професійних чи службових або трудових обов’язків (крім випадків, передбачених законом), при цьому таке зобов’язання чинне після припинення ними діяльності, пов’язаної з персональними даними, крім випадків, установлених законом.

6.2.3.Терміново повідомляти Відповідальну особу у разі:

– втрати або неумисного знищення носіїв інформації з персональними даними;

– втрати ними ключів від приміщень, сейфів, шаф, де зберігаються персональні дані;

– якщо ідентифікаційні дані для входу в Автоматизовану систему стали відомі іншим особам, за винятком системного адміністратора управління;

– виявлення спроби несанкціонованого доступу до персональних даних.

6.2.4.При звільненні з роботи або переведенні на іншу посаду своєчасно передати працівнику, визначеному директором закладу, носії інформації, що містять відомості про персональні дані, які були отримані або створені особисто чи спільно з іншими працівниками під час виконання посадових обов’язків.

7. Збирання та оновлення персональних даних працівників

7.1.Збирання персональних даних є складовою процесу обробки таких персональних даних, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу.

7.1.1.Обробка (у т. ч. збирання) персональних даних, зазначених у пункті 3.1 цього Положення, проводиться на підставі пункту 5 частини першої статті 11 Закону – для виконання передбаченого законом обов’язку закладу як роботодавця, що використовує працю найманих працівників та як закладу освіти, що надає освітні послуги.

7.1.2. Відповідно до частини другої статті 12 Закону суб’єкт персональних даних має бути повідомлений про володільця персональних даних, склад та зміст зібраних персональних даних, свої права, визначені Законом, мету збору персональних даних та осіб, яким передаються його персональні дані, - в момент збору персональних даних, якщо персональні дані збираються у суб’єкта персональних даних.

7.2. Персональні дані мають бути точними, достовірними та оновлюватися в міру потреби, визначеної метою їх обробки. Про зміну персональних даних, що підлягають обробці, працівники та здобувачі освіти повідомляють заклад у п’ятиденний строк з наданням відповідних документів або їх копії.

7.3. У разі виявлення факту обробки відомостей про працівника, які не відповідають дійсності, такі відомості мають бути виправленні або знищенні.

8. Зберігання та знищення персональних даних

8.1. Зберігання персональних даних передбачає дії щодо забезпечення їх цілісності та відповідного режиму доступу до них.

8.2. Персональні дані працівників та здобувачів освіти закладу обробляються у формі, що допускає ідентифікацію фізичної особи, якої вони стосуються, та зберігаються у строк не більше, ніж це необхідно відповідно до їх законного призначення та мети їх обробки, якщо інше не передбачено законодавством у сфері архівної справи та діловодства.

8.3. Персональні дані працівників та здобувачів освіти видаляються або знищуються в порядку, встановленому відповідно до вимог законодавства. Відбір для знищення документів з персональними даними, терміни зберігання яких закінчилися, провадиться експертною комісією закладу, склад якої визначається наказом директора закладу.

8.4. Персональні дані, зібрані з порушенням вимог Закону, підлягають знищенню у встановленому законодавством порядку.

8.5. Знищення персональних даних проводиться у спосіб, що виключає подальшу можливість поновлення таких персональних даних.

9. Використання персональних даних

9.1. Використання персональних даних – будь-які дії закладу, як володільця персональних даних з їх обробки, захисту, надання часткового або повного права обробки персональних даних іншим суб’єктам відносин, пов’язаних із персональними даними.

9.2. Доступ до персональних даних працівників та здобувачів освіти мають директор, заступник директора з навчальної-виховної роботи, заступник директора з виховної роботи, секретар, педагогічні працівники, медичні працівники, головний бухгалтер, бухгалтер відповідно до посадових обов’язків, в обсязі, необхідному для їх виконання.

9.3. Працівники закладу, які працюють з персональними даними, а також члени комісії із соціального страхування та члени експортної комісії, дають письмове зобов’язання про нерозголошення персональних даних, які їм було довірено або які стали відомі у зв’язку з виконанням посадових чи службових обов’язків, за формою, наведеною у додатку 1.

9.4. Право на доступ до персональних даних та їх обробку надається працівникам закладу після підписання зобов’язання про нерозголошення персональних даних.

9.5. Зобов’язання про нерозголошення персональних даних реєструються у Журналі реєстрації зобов’язань про нерозголошення персональних даних (додаток 2). Нумерація у журналі ведеться наростаючим підсумком, починаючи з № 1.

9.6.За Журналом реєстрації зобов’язань про нерозголошення персональних даних працівників та здобувачів освіти ведеться облік фактів надання та позбавлення працівників права доступу до персональних даних та їх обробки.

9.7.Датою надання права доступу до персональних даних та їх обробки вважається дата підписання зобов’язання.

9.8. Датою позбавлення права доступу до персональних даних та їх обробки вважається дата звільнення працівника або дата переведення на посаду, виконання обов’язків за якою не пов’язано з обробкою персональних даних.

9.9. Після реєстрації зобов’язання формуються в окрему справу «Зобов’язання працівників районної державної адміністрації щодо нерозголошення персональних даних». Цю справу та Журнал реєстрації зобов’язань про нерозголошення персональних даних включають до номенклатури справ закладу.

9.10. Працівникам закладу, які працюють з персональними даними, забороняється залишати документи з персональними даними на робочих столах без нагляду.

10. Облік порушень режиму захисту персональних даних

10.1.Про факти порушень режиму захисту персональних даних негайно повідомляється Відповідальна особа.

10.2.Факти порушень режиму захисту персональних даних фіксуються актами, що складає Відповідальна особа.

10.3. За необхідності за фактами порушень режиму захисту персональних даних директором закладу призначається службове розслідування.

10.4.За результатами службового розслідування на працівників, винних у порушеннях, можуть бути накладені дисциплінарні стягнення.

11.Передання персональних даних третім особам та надання третім особам доступу до персональних даних

11.1. Поширення персональних даних передбачає дії щодо передачі відомостей про працівника, здобувача освіти за його згодою.

11.2. Поширення персональних даних без згоди працівника, здобувача освіти або уповноваженим особам дозволяється у випадках, визначених законом, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини.

11.3. Сторона, якій передаються персональні дані, повинна попередньо вжити заходів щодо забезпечення вимог Закону.

11.4. Для реалізації карткового зарплатного проекту працівник укладає відповідний договір з банківською установою. Заклад, як володілець персональних даних не здійснює передачу персональних даних працівників банківській установі.

11.5. Порядок доступу третіх осіб до персональних даних працівників, здобувачів освіти визначається відповідно до вимог закону.

11.6. Суб’єкт відносин, пов’язаних з персональними даними, подає запит щодо доступу (далі-запит) до персональних даних закладу, як володільцю персональних даних.

У запиті мають бути зазначені:

11.6.1. Прізвище, ім’я та по батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує фізичну особу, яка подає запит (для фізичної особи – заявника).

11.6.2. Найменування, місцезнаходження юридичної особи, яка подає запит, посада, прізвище, ім’я та по батькові особи, яка засвідчує запит; підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи – заявника).

11.6.3. Прізвище, ім’я та по батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, стосовно якої робиться запит.

11.6.4. Відомості про базу персональних даних, стосовно якої подається запит, чи відомості про володільця чи розпорядника персональних даних.

11.6.5. Перелік персональних даних, що запитуються.

11.6.6. Мета та/або правові підстави для запиту.

11.7. У разі отримання запиту від третіх осіб на доступ до персональних даних працівника, здобувача освіти такий доступ надається за його згодою або згідно зі статтею 16 Закону.

11.8. Відповідальна особа визначає запит на предмет його задоволення (у т.ч. щодо наявності відомостей, вказаних у п. 11.6 цього Положення) упродовж 10 робочих днів з дня надходження запиту (відповідно до ч.5 ст.16 Закону).

Упродовж цього строку заклад має довести до відома особи, яка подала запит, що його буде задоволено або відповідні персональні дані не підлягають наданню, із зазначенням підстави, визначеної у відповідному нормативно - правовому акті.

Запит задовольняється протягом 30 календарних днів з дня його надходження, якщо інше не передбачено законом.

11.9. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов’язання щодо забезпечення виконання вимог Закону або неспроможна їх забезпечити. Підтвердження зобов’язання щодо забезпечення виконання вимог Закону оформляється у вигляді розписки.

11.10. Забороняється повідомлення персональних даних третім особам (у т.ч. банкам, кредитним спілкам, колекторським організаціям, посольствам, консульствам та ін.) по телефону або електронною поштою.

У разі, якщо працівнику відомо, що певна установа (банк, кредитна спілка, посольство тощо) може звертатися до закладу з метою отримання чи підтвердження інформації, що належить до персональних даних, працівнику рекомендовано звернутися заздалегідь до закладу з проханням видати довідку, яка містить інформацію, що може запитуватися, для надання її за потреб установі-запитувачу.

11.11. Працівник, здобувач освіти має право на одержання будь-яких відомостей про себе, що обробляються закладом, без зазначення мети запиту.

12. Захист персональних даних при їх обробці

12.1. Захист персональних даних працівників та здобувачів освіти в Автоматизованій системі. Право доступу до Автоматизованої системи надається працівникам закладу, в посадових інструкціях яких передбачено функції з обробки даних в Автоматизованій системі та які надали письмове зобов’язання щодо нерозголошення персональних даних.

12.2. Захист персональних даних у формі картотек.

12.2.1.Керівники структурних підрозділів закладу, в яких здійснюється обробка персональних даних, забезпечують захист персональних даних на паперових носіях від несанкціонованого доступу.

12.2.2. До роботи з персональними даними на паперових носіях допускаються лише працівники, у посадових інструкціях яких передбачено відповідні функції та які надали письмове зобов’язання щодо нерозголошення персональних даних.

12.2.3. Двері у приміщення, де зберігаються паперові носії, що містять персональні дані, обладнуються замками.

12.2.4.Паперові носії з персональними даними зберігаються у шафах і сейфах, що надійно зачиняються (з урахуванням вимог нормативно-правових актів, що регламентують ведення відповідних картотек).

Смолінський ліцей №2

Смолінської селищної ради Кіровоградської області

Відповідно до статті 10 Закону України «Про захист персональних даних» від 01.06.2010 № 2297-VI зобов’язуюсь не розголошувати в будь-який спосіб персональні дані, які мені довірено або які стали відомі у зв’язку з виконанням професійних чи службових або трудових обов’язків, крім випадків, передбачених законом.

Це зобов’язання залишається чинним після припинення мною діяльності, пов’язаної з обробкою персональних даних у Смолінському ліцеї №2 Смолінської селищної ради Кіровоградської області, крім випадків, установлених законом.

Мене проінформовано про відповідальність за порушення законодавства про захист персональних даних.

____________________

                          (підпис)

ЖУРНАЛ

реєстрації зобов’язань про нерозголошення персональних даних