Защита персональных данных для школы и образовательной организации
Школа обрабатывает персональные данные учеников (несовершеннолетних), их родителей и сотрудников. У данных детей особый режим согласия. Разберём требования 152-ФЗ к образовательной организации.
Знакомые ситуации
- •Обрабатываем данные несовершеннолетних — кто даёт согласие.
- •Работаем в государственных информационных системах образования.
- •Есть данные о здоровье и льготах учеников — это особые категории.
Что нужно по 152-ФЗ
Основания и согласие
Обработка для образовательного процесса часто ведётся не на согласии, а на основании закона и договора об образовании (пункты 2 и 5 части 1 статьи 6). Где нужно согласие, за ребёнка его даёт законный представитель (родитель, опекун); для подростков 14–18 лет учитывается их частичная дееспособность.
Специальные категории
Сведения о здоровье, инвалидности, льготах относятся к специальным категориям (статья 10 152-ФЗ) и требуют повышенного внимания и, как правило, согласия.
Государственные информационные системы
Работа в ГИС образования (электронный журнал, дневник, региональные системы) ведётся по правилам оператора такой системы; для собственных ИСПДн — по приказу ФСТЭК №21.
Уведомление Роскомнадзора и политика
Подать уведомление об обработке ПДн и опубликовать политику обработки, отразив категории субъектов (ученики, родители, работники) и цели.
Публикация данных
Для размещения данных учеников (фото, достижения) в открытом доступе оформляется отдельное согласие на распространение (статья 10.1) от законного представителя.
С чего начать
Нужно ли уведомлять Роскомнадзор →Профиль обработки и типовые объекты преднастроятся под вашу отрасль — можно изменить позже.
С каких документов начать
Каждый собирается под вашу организацию: реквизиты по ИНН, содержание — по ответам о том, что и как вы обрабатываете. Сколько документов входит в комплект, написано на карточке.
Что должно быть в приказе о назначении ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): кого назначают, его функции и как оформить. Структура документа.
Что должно быть в политике обработки персональных данных по части 2 статьи 18.1 152-ФЗ, как её составить под реальные процессы и где опубликовать. Структура документа и частые ошибки.
Какие реквизиты должны быть в согласии на обработку персональных данных по части 4 статьи 9 152-ФЗ, когда оно нужно, а когда основанием служит договор. Структура и требование об отдельном документе.
Какие условия должны быть в поручении на обработку персональных данных (договоре с обработчиком) по части 3 статьи 6 152-ФЗ: перечень данных, цели, конфиденциальность, меры защиты, уведомление об инцидентах.
Какие сведения указывают в уведомлении об обработке персональных данных (статья 22 152-ФЗ), кому обязательно его подавать и как это сделать бесплатно через Портал персональных данных Роскомнадзора (pd.rkn.gov.ru).
Частые вопросы
Кто даёт согласие на обработку персональных данных ученика?
За ребёнка согласие даёт его законный представитель (родитель, опекун); для подростков 14–18 лет дополнительно учитывается их частичная дееспособность. При этом обработка для образовательного процесса часто основана на законе и договоре об образовании, а не на согласии.
Можно ли публиковать фотографии и достижения учеников на сайте школы?
Для размещения данных ученика в открытом доступе нужно отдельное согласие на распространение персональных данных (статья 10.1) от законного представителя; общего согласия на обработку для этого недостаточно.
Подробнее в Базе знаний
Материал носит информационный характер и не заменяет индивидуальную оценку. Требования применяются с учётом целей обработки и особенностей организации.