Данные методические рекомендации приготовлены для того, чтобы разъяснить правовое основание обработки персональных данных операторам, которым предстоит осуществлять ее. Здесь содержатся сведения, необходимые при проведении такой обработки, информация обо всех изменениях в представленных ранее положениях. Рекомендации не только дают правовое основание обработки персональных данных, но и поясняют, почему должны быть прекращены эти действия.
Федеральный закон
С марта 2009 года существует Положение по постановлению Правительства РФ, касающееся Федеральной службы по надзору в сфере массовых коммуникаций, информационных технологий и связи, где в первом пункте Роскомнадзор получает полномочия и правовое основание обработки персональных данных для защиты прав субъектов.
В статье 23 (часть 5, пункт 3) 152-ФЗ, где говорится о персональных данных, уполномоченный орган, занимающийся защитой прав субъектов, по обязанности ведет реестр операторов. Он получает правовое основание обработки персональных данных. Реестр включает в себя внесение сведений об операторе согласно поданному уведомлению. Далее вносятся изменения в сведения, содержащиеся в реестре об операторе согласно полученному информационному письму. Вносятся сведения о прекращении обработки персональных данных, правовое основание - это поступившее заявление. Оно же дает право на получение выписки из реестра.
Ведение реестра
Информацию в полном объеме, касающуюся формы ведения реестра, содержит портал персональных данных и официальный сайт Роскомнадзора. Там же можно найти рекомендованную форму уведомления о намерениях осуществления на правовом основании обработки персональных данных. Образец включен в иллюстрации к статье. Там же находится и информационное письмо (уведомление, касающееся внесения изменений в реестр относительно сведений об операторе).
Кроме этого, среди приложений есть еще две рекомендованные формы:
- Заявление относительно прекращения со стороны оператора обработки персональных данных с правовым основанием, образец которого можно скачать и распечатать.
- Заявление на получение выписки, точно так же - в рекомендованной форме.
Сведения
Сведения об операторе, которые содержатся в реестре, общедоступны. Однако чтобы воспринять содержащуюся в реестре информацию, нужно более подробно коснуться понятийной системы. Иначе не каждому будет понятно, что писать. Правовое основание обработки персональных данных содержит достаточное количество вопросов. Во-первых, кто такой оператор? Это государственные или муниципальные органы, физическое или юридическое лицо, которое осуществляет на правовом основании обработку персональных данных в организации. Эти же органы или лицо должно определить цель и содержание такой обработки.
Во-вторых, что подразумевается под понятием правового основания обработки персональных данных? Руководствуясь образцом, можно довольно легко определить, что это любая операция или их совокупность, которая совершается при помощи средств автоматизации работы с персональными данными или без таковых. Данные можно собрать, записать, систематизировать, накопить, хранить, уточнять, обновлять, изменять, извлекать, использовать, передавать, распространять, предоставлять, создать к ним доступ, обезличить, блокировать, удалять, уничтожать. Вот этим и занимается оператор при заполнении реестра. Это очень общие сведения правового основания обработки персональных данных.
В школе и детском саду
В последние годы достаточно часто случаются конфликты сотрудников детских садов и школ с родителями, поскольку последние не согласны с тем или иным вариантом обработки персональных данных в школе. Правовое основание для этого связано с законом, о котором было сказано выше - 152-ФЗ. Чаще всего родители просто не в курсе того, о чем там говорится. Сотрудники не могут найти с ними общий язык, потому что говорят все о разных вещах. Здесь нужно знать пять важнейших аспектов для предотвращения всяческих недоразумений.
Во-первых, школы или ДОУ всегда являются операторами, которым дано правовое основание обработки персональных данных в ДОУ или школе. Именно операторы отвечают за безопасность всех данных. Проблемы здесь весьма запутанные, и обычные родители, не соприкасающиеся с обработкой данных, в ней просто не разбираются, но угрозы и претензии, поступающие от них в сторону дошкольных или школьных образовательных учреждений, практически всегда далеки от адеквата.
Принципы закона
Образовательные учреждения любого уровня всегда должны обрабатывать данные родителей, учеников и преподавателей (воспитателей). Прежде всего это делается для продуктивной коммуникации. Закон гласит, что любая информация, которая связана с конкретным человеком, обрабатывается в соответствии с поставленными целями. И это важнейший из критериев законности такой обработки. Оператор же и отвечает за их сохранность. Общедоступные данные защиты не требуют, поскольку субъект дал разрешение на их публикацию в открытых источниках. И если это разрешение отозвано, закон требует общедоступные данные защищать.
Школьную информацию в тайне сохранить не получится. Например, ДОУ и любая школа публикует на официальных сайтах имена, отчества, фамилии, квалификационные показатели, а также данные о работе, которая ведется. Бывают данные обезличенные, которые не позволяют без дополнительного информатора определить субъекта, к которому они относятся. Их защитить гораздо проще. Для данных, содержащих любую медицинскую информацию (в законе перечислены виды информации помимо медицинских данных), защита осуществляется наиболее жестко.
Гражданский кодекс
Помимо 152-ФЗ, правила обработки данных устанавливает и Гражданский кодекс. Например, родителей под подпись знакомят с основными принципами прямо при приеме ребенка в детский сад или школу и берут письменное согласие о том, что они разрешают публикацию видео- и фотоизображений ребенка, если это будет необходимо при отражении разнообразных событий образовательного процесса. Отсутствие такого согласия тем не менее не лишает учреждение правовой основы для обработки личных данных. Хотя именно такая ситуация и приносит оператору наибольшие неприятные хлопоты.
В законе есть исключения, когда согласие не требуется вообще, и это может не касаться образовательных учреждений. Например, организуется поездка с детьми. Покупаются билеты по спискам участников. Если образовательные цели преследуются, правовое основание уже присутствует. Нужен только приказ руководства, выполненный в формулировках 152-ФЗ. Если образовательные цели не преследуются, нужно брать письменное согласие родителей или искать решение в рамках других законов. Причем отозвать согласие на обработку личных данных субъект может совершенно в любой момент, Гражданский кодекс подтверждает это, хотя обязательно последуют какие-либо административные последствия.
Примеры
Как иллюстрацию неважности письменного согласия можно рассматривать письмо от 4 марта 2015 года №03-155 Министерства образования и науки, где есть прямой ответ на вопрос о передаче личных данных в информационную систему сдачи ЕГЭ или ОГЭ из школы, где обучается ребенок. Родитель может отказаться, хотя никакого письменного согласия в данном случае и не требовалось. Однако ребенок к сдаче экзаменов допущен не будет.
Один из видов обработки данных - передача их третьим лицам, что является как раз требуемой законом защитой, которая содержит целый ряд специфических мероприятий. Федеральный закон предусматривает такие случаи конкретно. Например, если поступает угроза здоровью или жизни людей. Относительно публикации информации в электронных классных журналах существуют ответы на проблемные вопросы в письме АК-3358/08 от 21 октября 2014 года Минобрнауки РФ.
Другие организации
Любые другие учреждения и организации, являющиеся операторами по сбору, обработке и хранению данных, так же точно выполняют общие требования, определенные законодательством РФ, в том числе и статьей 86 Трудового кодекса. Правовое основание обработки персональных данных сельхозпредприятия, промышленного объекта, в принципе, любого образования состоит только в соблюдении существующих законов и других нормативных актов.
Целью такой обработки может служить содействие в трудоустройстве, в профессиональном росте и обучении, в обеспечении безопасности личной и корпоративной, в контроле за качеством и количеством продукта деятельности и во многом еще. Все персональные данные после того, как были получены, проходят обработку и передаются на хранение на бумажных или электронных носителях (с помощью информационных систем).
Согласие и условия
Для того чтобы начать обработку, работодатель должен попросить письменное согласие у своего работника. Форма этого документа как образец присутствует здесь в иллюстрациях. Передача личных данных производится при различных условиях. Без письменного согласия работника данные третьей стороне не передаются, кроме случаев угрозы здоровью и жизни, а также прочих, установленных законодательством. Тем более нельзя использовать данные работника в целях коммерческих, если такового согласия работник не дал.
Лица, получающие информацию личного характера, обязаны соблюдать полную конфиденциальность. Доступ к личной информации разрешается только тем работникам, которые имеют правовое основание для сбора, хранения и обработки данных. Информация о состоянии здоровья сотрудника запрашивается только в тех объемах, которые необходимы для выполнения трудовой деятельности. В каждом своем действии оператор обязан руководствоваться правилами, установленными ТК РФ.
Хранение и защита
Каждое предприятие, в том числе и сельскохозяйственного направления, оформляет, формирует, ведет и хранит содержащую персональные данные информацию. И всегда эта работа выполняется теми, кто имеет на то правовое основание, зафиксированное в должностных инструкциях. Ответственный за такую деятельность назначается генеральным директором. Допуск к информации посторонние не имеют, список допущенных к этой деятельности лиц также утверждается руководством предприятия и визируется подписью генерального директора.
Постоянное право доступа к личным данным имеют генеральный директор, администрация в лице начальника и сотрудников, отвечающих за работу с персоналом, инспектор по кадрам, инженер, отвечающий за организацию и нормирование труда в структурных подразделениях. На некоторых предприятиях в любой момент может запросить любую персональную информацию главный бухгалтер, если необходимо подготовить определенные документы. Всегда имеет доступ к конфиденциальной информации ответственный за безопасность и его сотрудники в рамках полномочий. Этот список варьируется в зависимости от правил врутреннего распорядка предприятия.
Передача данных
Передавать данные можно сугубо по письменному запросу государственных властных органов: в правоохранительные органы, налоговые инспекции, суды, органы безопасности, МЧС, в миграционную службу, военкоматы, органы социалного страхования, статистики, в пенсионные фонды и тому подобные.
Однако без письменного сгласия работника и этого делать нельзя ни по факсу, ни по телефону, ни по электронной почте, ни на каких носителях. Исключения содержатся в законодательстве РФ.
