Нормативная база гимназии
В процессе подготовки к соблюдению требований законодательства РФ о персональных данных (ПДн) были разработаны локальные нормативные акты, которые размещены на сайте гимназии, и проведена компания по сбору согласий на обработку ПДн у сотрудников и родителей обучающихся.
В целях минимизации издержек была принята модель с ориентацией на получение согласий на условиях общедоступности, т.е. с правом размещения ПДн в общедоступных источниках и передачи их третьим лицам. Согласие на общедоступность позволяет передавать ПДн третьим лицам на основании любого способа выражения согласия субъектом, а не только письменно, как предусмотрено законодательством для конфиденциальных данных.
«Положение о порядке обработки персональных данных в ГОУ Гимназии №45» в отношении общедоступных данных накладывает на сотрудников гимназии практически такие же ограничения, как в случае конфиденциальных ПДн.
Для организации правильной работы с ПДн в дальнейшем необходимо внести коррективы в делопроизводство и должностные обязанности лиц, работающих с ПДн, в частности:
оформить и обеспечить регулярное ведение в отношении конфиденциальных ПДн журналов: обращений субъектов ПДн, передачи ПДн третьим лицам
включить в должностные инструкции указания о неразглашении ПДн или оформить дополнительные расписки (согласия) о неразглашении ПДн в отношении лиц, ответственных за их хранение и коррективы
включить в должностные инструкции или регламенты делопроизводства аспекты о ПДн, связанные с соблюдением законодательства РФ и локального «Положения ...», своевременного и правильного оформления согласий на обработку данных, оформления письменных подтверждений о знании принятых в гимназии нормативных документов
Аттестация ИСПДн и смежные проблемы
В связи с внесением поправок в №152-ФЗ необходимость аттестации ИСПДн откладывается на 1 год. Это позволяет в течение 2010 года решить вопросы с подготовкой и аттестацией тех технических средств, которые не могут классифицироваться как К4.
Считаю необходимым обратиться в Департамент образования г.Москвы с ходатайством предусмотреть в течение 2010 года меры по аттестации ИСПДн, в частности, для ведения бухучета и кадров.
Электронный журнал РУЖЭЛЬ переключен на новую базу данных, которая позволяет продолжить работу с соблюдением всех требований закона без необходимости аттестации. Если нет согласия родителей на размещение в базе данных всех трех необходимых для РУЖЭЛЬ ПДн (ФИО, даты рождения, адреса почты), достаточно не заполнять поля «Дата рождения», «Почта». Есть возможность более жесткого обезличивания - вместо ФИО указать код «Личного дела».
Чтобы не зависеть от сдачи согласий на общедоступность ПДн, необходимо к 2011 году аттестовать ИСПДн бухгалтерии, кадровой службы и учета обучающихся. Чтобы упростить требования к защите ИСПДн и снизить стоимость аттестации, нужно провести реструктуризацию ИТ-ресурсов гимназии и выделить их в отдельную локальную сеть, не имеющую соединения с остальной локальной сетью гимназии, имеющей доступ в Интернет.
Для аттестации ИСПДн необходимо размещать их в защищенных местах, поэтому в течение 2010 года необходимо предусмотреть перенос компьютеров с ИСПДн в помещение бухгалтерии и обеспечить защищенный доступ к ним из канцелярии, т.е. использование мобильных компьютеров с ИСПДн исключается.
Для обеспечения возможности сотрудникам бухгалтерии, кадровой службы и учебной части работать в сети Интернет и с ИСПДн необходимо предусмотреть дополнительные компьютеры, т.к. одновременное подключение одного компьютера к разным ресурсам усложняет требования к защите ПДн.
Несоблюдение требований законодательства по работе с ПДн может повлечь дополнительные издержки при аттестации ИСПДн.
Уведомление уполномоченных организаций
152-ФЗ предусматривает необходимость регистрации гимназии как оператора данных - это влечет плановые проверки защиты данных в гимназии уполномоченными организациями.
В ряде случаев регистрация не является обязательной, в частности, если ведется обработка ПДн
«без применения средств автоматизации»
Если опираться на определение ПП РФ №687, гимназия не применяет средств автоматизации в отношении ПДн. Следует уточнить эту норму в Департаменте образования или с юристами.
если ПДн являются общедоступными или обезличенными
Поскольку большинство родителей обучающихся сдали согласия на условиях общедоступности, а ведение остальных в ИСПДн обезличенно, можно считать условие выполненным.
если действуют договорные отношения
Таким образом, в отношении сотрудников уведомление не требуется.
Обработка ПДн сотрудников и обучающихся
Большинство сотрудников гимназии сдали согласие на обработку данных как общедоступных. Текст согласия включает пункт, подтверждающий знание нормативной базы гимназии о ПДн. В связи с принятием поправок в 152-ФЗ в течение 2010 года соответствие ИСПДн требованиям не проверяется, поэтому согласия актуальны только для режимов обработки ПДн. Предлагаю поручить кадровой службе уточнить список сдавших согласия, чтобы получить с несдавших письменное подтверждение о знании правил обработки ПДн.
Большинство родителей гимназии сдали согласие на обработку данных как общедоступных. Это позволяет упростить согласование передачи ПДн третьим лицам, например, при организации поездок, проведении олимпиад, сдаче тестовых испытаний и др..
В отношении родителей, несдавших согласия, возникает юридическая коллизия: в 152-ФЗ не предусмотрена ситуация отсутствия согласия, хотя факт сдачи документов при приеме в гимназию позволяет подразумевать наличие такого согласия. Поскольку закон требует наличия письменного согласия, наиболее близкая норма касается отзыва согласия - статья 21, п.5, - которая предусматривает «блокирование данных».
Некоторое количество родителей не сдали согласие или сдали на условиях конфиденциальности. Подготовлены и размещены на сайте уведомления об изменении режима обмена информацией с ними на основании требований 152-ФЗ.
В системе дополнительного образования гимназии условие согласия на общедоступность внесено в текст договора. Таким образом, в отношении дополнительного образования никаких дополнительных организационных мер не требуется.
М. Э. Кушнир
25.12.2009