Редакция от 1 янв 2016

Как организовать работу с персональными данными в школе

А.В. Шилина

Персональные данные – информация, располагая которой можно причинить вред, в том числе материальный. Для того чтобы защитить права каждого субъекта персональных данных, на уровне законодательства принят специальный Закон от 27 июля 2006 г. № 152-ФЗ. Чтобы соответствовать требованиям законодателя, в школе необходимо принять ряд организационных, а в некоторых случаях и технических мер.

Внимание: за нарушения в основном привлекают к административной ответственности

За нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных установлена административная ответственность (ст. 13.11 КоАП РФ).

Какую информацию относят к персональным данным

К персональным данным относят любую информацию, по которой можно понять, о ком идет речь. Например, Ф. И. О., паспортные данные, место жительства, место регистрации и т. д. По сути к персональным данным можно отнести любую совокупность информации о человеке. Однако не всякая совокупность позволяет определить конкретное физическое лицо. В связи с этим существует понятие обезличивания. Так, если речь идет о «директоре школы» либо «жителе села N», этих сведений недостаточно, чтобы понять, к кому они относятся.

Внимание: иногда об обезличивании говорить нельзя из-за определенной совокупности информации

Так, если написать на сайте о «директоре школы, который является жителем села N», когда село N находится вне пределов транспортной доступности от иных населенных пунктов и имеет только одну школу, уже можно говорить о том, что лицо определяемо, а информация отнесена к персональным данным. В таких случаях избегайте раскрытия информации в такой совокупности.

Чьи персональные данные используют в школе

В школе обрабатывают персональные данные:

• учащихся (воспитанников – при наличии интерната);
• педагогических и других работников;
• родителей (законных представителей);
• физических лиц, выполняющих работы по договорам подряда, оказывающих услуги.

Школа получает персональные данные учащихся, которые содержатся в документах, предъявляемых при приеме:

• фамилия, имя, отчество (последнее – при наличии);
• дата и место рождения;
• адрес места жительства.

Кроме того, персональные данные о ребенке содержатся в (ст. 23 Закона № 143-ФЗ), в свидетельстве о регистрации ребенка по месту жительства или по месту пребывания на закрепленной территории (или документе, содержащем такие сведения), в рекомендации психолого-медико-педагогической комиссии.

Внимание: в медицинском заключении и различных медицинских справках, например в справке-допуске после перенесенного заболевания (п. 11.3 СанПиН 2.4.2.2821-10), могут содержаться специальные категории персональных данных – сведения о здоровье (ч. 1 ст. 10 Закона от 27 июля 2006 г. № 152-ФЗ), к которым относится в том числе диагноз.

В таком случае включите в перечень данных, на обработку которых берете согласие, в письменную форму согласия диагноз, длительность заболевания и т. п. Такую информацию обрабатывают в обязательном порядке, если у школы есть медицинская лицензия.

Пример регионального регулирования. В некоторых формах справок, чтобы не передавались данные о здоровье, указывают не сам диагноз, а его шифр

Форма медицинского заключения, которая содержит шифр диагноза, а не сам диагноз, есть в рекомендациях по организации образовательного процесса в государственных образовательных учреждениях Москвы для лиц с ограниченными возможностями здоровья, утвержденная приказом Департамента здравоохранения г. Москвы от 1 апреля 2013 г. № 297.

Информация об учащемся, которую также можно отнести к персональным данным, накапливается в процессе воспитания и обучения. Например, в характеристиках по результатам оказанной психолого-педагогической помощи, справках, которые составляют по результатам учебно-методической деятельности.

Совет: включите в согласие цели обработки, которые актуальны для школы.

Пример формулировки цели обработки в письменной форме согласия: «в целях оказания образовательной услуги, индивидуального учета результатов освоения образовательных программ, психолого-педагогической помощи».

Персональные данные учителей и других работников вне зависимости от должности содержатся:

• в перечне документов, предъявляемых при приеме на работу;
• личной карточке;
• личном деле.

Все данные о работнике получают у самого работника (ст. 86 ТК РФ) или только с его письменного согласия.

Персональные данные родителей собирают при приеме учащегося в школу. Родитель в заявлении указывает:

• свою фамилию, имя, отчество;
• адрес места жительства;
• контактные телефоны.

Также данные о родителях содержатся в других документах, предъявляемых при приеме, и в договоре.

Внимание: избегайте обработки дополнительных данных о родителях и иных родственниках. Любое анкетирование проводите анонимно.

У лиц, которые выполняют для школы работы или услуги, требуйте только те данные, которые нужны для оформления договора.

Надо ли получать согласие

Согласие на обработку персональных данных по трудовому договору с работником и любым другим договорам получать не нужно (п. 5 ч. 1 ст. 6 Закона от 27 июля 2006 г. № 152-ФЗ).

Без согласия можно обрабатывать любые статистические или обезличенные данные (п. 9 ч. 1 ст. 6 Закона от 27 июля 2006 г. № 152-ФЗ).

Минобрнауки России указывает на то, что согласие на обработку персональных данных детей и родителей при приеме брать необходимо (п. 13 Порядка приема).

Совет: берите согласие в письменной форме отдельно и сразу на тот объем данных, который вам понадобится в дальнейшем

Это надо делать в случае, если школа публикует фотографии на официальном сайте, принимает медицинские заключения и справки, составляет персонифицированные справки по результатам учебно-методической работы и систематизирует такую информацию.

Ситуация: нужно ли брать согласие, если на сайте размещают фото с мероприятий школы

Нет, при условии, что это фото с общими планами.

Размещение фотографии на сайте не требует оформления согласия, если отсутствует портретная съемка, человек не является основным объектом изображения (ст. 152.1 ГК РФ).

Ситуация: можно ли размещать информацию об учителях (кроме фотографии) на сайте без их согласия

Да, можно (ч. 2 ст. 29 Закона от 29 декабря 2012 г. № 273-ФЗ, п. 2, 11 ч. 1 ст. 6 Закона от 27 июля 2006 г. № 152-ФЗ).

Конкретный перечень раскрываемых данных о педсоставе содержится в пункте 3 Правил размещения на официальном сайте образовательной организации в информационно-телекоммуникационной сети «Интернет» и обновления информации об образовательной организации, утвержденных постановлением Правительства РФ от 10 июля 2013 г. № 582:

• фамилия, имя, отчество (при наличии) работника;
• занимаемая должность (должности);
• преподаваемые дисциплины;
• ученая степень (при наличии);
• ученое звание (при наличии);
• наименование направления подготовки и (или) специальности;
• данные о повышении квалификации и (или) профессиональной переподготовке (при наличии);
• общий стаж работы;
• стаж работы по специальности.

Ситуация: нужно ли получать согласие на размещение отсканированных копий грамот и дипломов учеников на официальном сайте школы?

Да, по общему правилу нужно (ч. 1 ст. 6 Закона от 27 июля 2006 г. № 152-ФЗ).

Отсканированная копия грамоты содержит Ф. И. О., класс, название мероприятия. На практике существует мнение, что информация о достижениях не может быть ограничена к распространению обладателем, но это не так. Каждый субъект вправе не раскрывать о себе любую информацию. Школа может публиковать в таком случае только обезличенные данные.

Кто и в какой форме дает согласие

Согласие на обработку данных дает сам субъект – физическое лицо (ч. 1 ст. 9 Закона от 27 июля 2006 г. № 152-ФЗ).

Согласие на обработку данных несовершеннолетнего в силу его недееспособности дает один из родителей (ч. 6 ст. 9 Закона от 27 июля 2006 г. № 152-ФЗ).

Внимание: дееспособность обучающихся (воспитанников) определяют на основании статей 26–28 Гражданского кодекса РФ.

Согласие необходимо брать в письменной форме, чтобы можно было доказать, что оно получено.

Что делать, если согласие отзывают

Если субъект отозвал согласие на обработку персональных данных, то по общему правилу обработку надо прекратить и данные удалить. Например, если родитель потребовал удалить фото с сайта школы, то удалите.

Совет: если вы согласие оформили в письменной форме, то отзыв оформите также в письменной форме.

Продолжить обработку персональных данных, несмотря на имеющийся отзыв, можно, если:

• есть решение суда, акт судебного пристава-исполнителя;
• данные обрабатываются в целях предоставления государственной (муниципальной) услуги, например, продолжать обрабатывать данные можно государственной (муниципальной) школе в объеме, необходимом для оказания такой услуги;
• данные представлены по договору, например, по договору по оказанию образовательной услуги;
• есть основания срочного медицинского вмешательства (если получение согласия невозможно из-за физического состояния);
• данные подлежат обязательному раскрытию в силу закона.

Внимание: в суде обязанность доказывания факта, что у вас были основания для продолжения обработки при отзыве согласия, будет лежать на вас (ч. 3 ст. 9 Закона от 27 июля 2006 г. № 152-ФЗ).

Обрабатывает ли школа биометрию

Необходимости обработки биометрических данных у школы нет. Такие данные всегда обрабатывают с согласия субъекта персональных данных. Поэтому при создании любых автоматизированных информационных систем, например систем контроля и управления доступом, всегда рассматривайте вопрос о снижении рисков и об исключении обработки биометрии. Так, современные системы не обрабатывают биометрию, а используют другие данные для идентификации.

Не являются обработкой биометрических данных случаи обработки:

• информации с видеокамер, которые не позволяют полностью идентифицировать запечатленного на них человека;
• данных отсканированного документа;
• данных ксерокопированных документов;
• любых фотографий;
• почерка.

Соответствующее разъяснение дает Роскомнадзор в письме от 2 сентября 2013 г.

Внимание: без согласия биометрию обрабатывают государственные информационные системы

Такие системы создают:

• в связи с осуществлением правосудия и исполнением судебных актов;
• в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством России, законодательством Российской Федерации о порядке выезда из России и въезда в Россию, о гражданстве Российской Федерации (ч. 1 ст. 11 Закона от 27 июля 2006 г. № 152-ФЗ).

Как организовать обработку в соответствии с законодательством

Организация работы с персональными данными требует выполнения ряда мероприятий. Их цель – оптимизировать работу с персональными данными и исключить возможные нарушения.

Все меры, принимаемые в результате такой работы, можно разделить на организационные и технические (ст. 19 Закона от 27 июля 2006 г. № 152-ФЗ).

Ситуация: как хранить классные журналы, чтобы обеспечить выполнение требований Закона от 27 июля 2006 г. № 152-ФЗ

Храните классные журналы в запираемом шкафу, например, в учительской. Доступ к классным журналам должны иметь только те педагоги, которые работают с данными классами. Такие требования установлены пунктом 13 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15 сентября 2008 г. № 687. В ряде школ журналы хранят на пункте охраны при входе и выдают под подпись.

Что могут потребовать родители, работники и иные субъекты в отношении своих персональных данных

Все субъекты персональных данных могут:

• обратиться с запросом о том, какие их данные обрабатывает школа (ст. 14 Закона от 27 июля 2006 г. № 152-ФЗ);
• попросить уточнить данные о себе или ребенке;
• обратиться с жалобой в ГИТ, Роскомнадзор, суд, прокуратуру о нарушении права (ст. 17 Закона от 27 июля 2006 г. № 152-ФЗ).

Ситуация: как правильно знакомить родителя с оценками ребенка в бумажном журнале

Выносите оценки ребенка на отдельный листок по каждому предмету и отдавайте такой листок родителю. Если родителю нужно больше информации, например, знать о теме урока, домашнем задании, проводите беседу и рассказывайте о том, за какую тему и какую оценку получил ученик.

Это следует из требований пункта 7 Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства РФ от 15 сентября 2008 г. № 687.

Необходимо ли школе подавать уведомление в Роскомнадзор

По общему правилу школы не подают уведомления, если:

• обрабатывают данные работников;
• обрабатывают данные в рамках договора, стороной которого является субъект персональных данных (например, родитель как законный представитель). При этом данные не должны никому передаваться;
• данные берутся в целях пропуска на территорию образовательной организации;
• данные включают в себя только фамилию, имя, отчество;
• данные обрабатывают в государственных или муниципальных информационных системах персональных данных. Если есть другие автоматизированные информационные системы, то нужно анализировать цели их использования;
• обрабатывают данные без использования средств автоматизации, то есть только в рамках бумажного документооборота.

Внимание: не является автоматизированной обработкой то, что данные обрабатывают на компьютере, например, заполняя файлы форм документов.

Если данные извлекли из автоматизированной системы, но при этом уточнили либо распространили вручную, это неавтоматизированная обработка.

Каковы сроки хранения персональных данных

Храните персональные данные не дольше, чем этого требуют цели (ч. 7 ст. 5 Закона от 27 июля 2006 г. № 152-ФЗ). После достижения целей данные уничтожьте либо обезличьте, как только перестала существовать цель обработки персональных данных (например, уволился работник, учащийся закончил школу, отчислен и т. п.).

Если сроки хранения установлены законодательством либо возможность такая предусмотрена договором, то данные хранят в течение установленного срока. Так, статьей 230 Трудового кодекса РФ установлены сроки хранения актов о несчастном случае на производстве и материалов расследований, статьей 23 Налогового кодекса РФ – сроки хранения документов, необходимых для исчисления и уплаты налогов, документов, подтверждающих полученные доходы и расходы.

Чтобы определить, какие данные надо хранить, а какие нет, ознакомьтесь с перечнем документов в номенклатуре дел. Именно этот документ в школе ориентирует на сроки хранения, которые установлены законодательством.

Кто может прийти с проверкой

Проверить, как организована работа с персональными данными, могут следующие лица.

1.Инспектор ГИТ. Он проверяет соблюдение требований трудового законодательства (гл. 14 ТК РФ).

2.Сотрудник Роскомнадзора – уполномоченного органа по контролю и надзору за соответствием обработки персональных данных требованиям законодательства. Он проверяет соблюдение требований Закона от 27 июля 2006 г. № 152-ФЗ.

3.Сотрудник прокуратуры.

По результатам проверки к ответственности может быть привлечено и должностное лицо, и образовательная организация.

© Материал из Справочной системы «Образование»
vip.1obraz.ru
Дата копирования: 21.08.2017