Журнал регистрации согласий на обработку персональных данных образец в доу

Обновлено: 07.07.2024

Документы, которые должны быть у оператора

Стоит отметить, что конкретного перечня и количества документов законодательство не устанавливает. Единственное требование — чтобы документов было достаточно и они были необходимы. В предыдущей статье мы говорили об

В этом материале мы остановимся на документах, которые посвящены общим вопросам и документам, регламентирующим действия сотрудников, работающих с персональными данными.

Учредительные документы оператора . Это устав и учредительный договор. Для некоторых организаций необходимы оба документа, для других – достаточно одно из них.

Выписка из ЕГРЮЛ . Документ, предоставляемый компанией, должен быть актуален на момент проверки.

Копия уведомления об обработке ПДн . Документ должен быть составлен согласно методическим рекомендациям .

Согласие на обработку ПДн . В документе должны быть указаны данные человека, чьи данные обрабатываются: ФИО, паспортные данные. Согласие должно быть подписано.

Правила обработки персональных данных . Это один из главных локальных актов оператора. В нем прописываются цели собора персональных данных, категории субъектов персданных, порядок их обработки, сроки хранения, правила уничтожения.

Последствия отказа предоставить персональные данные . Документ необходим компаниям для объяснения, какие юридические последствия может нести отказ в предоставлении персданных.

Соглашение о неразглашении информации, содержащей ПДн . Здесь прописываются обязанности работка оператора, который имеет доступ к персональным данным.

Перечень форм, содержащих персональные данные . В документе закрепляются формы, содержащие ПДн, которые использует оператор.

Правила рассмотрения запросов субъектов персональных данных. Здесь прописывается порядок регистрации пользователя на сайте и сроки рассмотрения его запросов.

Правила осуществления внутреннего контроля . В документе прописывается, какими средствами необходимо защищать персональные данные при обработке, чем обоснованы требования и как реализуются.

Приказ об утверждении перечня персональных данных . В этом документе указывается перечень ПДн, которые обрабатывает оператор, и сроки, по истечению которых данные необходимо удалить.

Инструкция пользователя при возникновении нештатной ситуации . Этот документ описывает возможные аварийные ситуации, которые могут произойти с информационной системой, а также меры и средства, которые будут предприниматься для непрерывной работы ИСПДн в аварийных ситуациях.

Приказ об утверждении перечня ИСПДн . Здесь указывается назначение системы, которая составляет главную цель обработки ПДн (порядок расчета зарплаты, автоматизация учета кадров). В приказе также указываются категории персданных и их объем в соответствии с постановлением правительства РФ №1119 .

Инструкция по организации антивирусной защиты в ИСПДн . Документ разрабатывается для защиты персональных данных от несанкционированного копирования, изменения или уничтожения вирусами или другими вредоносными программами.

Инструкция пользователя ИСПДн . В документе прописывается порядок, которому должен следовать специалист, работающий с персональными данными, по соблюдению конфиденциальности информации.

Инструкция по учету лиц, допущенных к работе с персональными данными в ИСПДн . В документе прописан порядок учета сотрудников, которые работают с ПДн, правила открытия и закрытия доступа к данным.

Инструкция по проведению инструктажа, допущенных к работе в ИСПДн . В инструкции необходимо указывать порядок проведения инструктажа для сотрудников, отвечающих за работу с персональными данными.

Журнал учета прав доступа к ИСПДн . В журнале ведется учет сотрудников, которые работают с персональными данными, их должности, права, которыми они обладают, и время, в течение которого у них имеется доступ к ПДн.

Акт определения уровня защищенности персональных данных . Документ составляется для каждой информационной системы персональных данных. В структуру документа входит обрабатываемые в ИСПДн данные, их объем, типы угроз информационной системы, уровень защищенности ПДн.

Приказ о наделении сотрудника полномочиями работы с ПДн . Документ должен включать перечень должностных обязанностей и быть подписан генеральным директором.

Приказ о назначении ответственного за безопасность ПДн . В документе прописываются инструкции, согласно которым должен действовать ответственный. Он выполняет функцию администратора, который следит за безопасностью при обработке персданных.

Приказ о допуске к обработке персональных данных . В приказе прописываются должности работников, в служебные обязанности которых входит доступ к ПДн. Обучение этих сотрудников проводит ответственный за организацию обработки персданных.

Инструкция ответственного за обеспечение безопасности ПДн . В инструкции прописаны функции, права, обязанности и ответственность сотрудника, отвечающего за безопасность ПДн. Приказ о назначении подписывает руководитель.

Журнал учета прохождения первичного инструктажа работниками . в журнале фиксируются данные сотрудников, работающих с ПДн, которые прошли первичный инструктаж.

Журнал учета выдачи и передачи персональных данных — документ, который позволит работодателю доказать выполнение обязательств по обеспечению сохранности полученных от сотрудников сведений. Он необязателен, но крайне полезен для лиц, имеющих допуск к личной информации персонала.

Персональные данные (ПД) физических лиц относятся к охраняемой законом информации. Работодатель, являющийся оператором по обработке конфиденциальных сведений, обязан соблюдать ряд мер для их защиты. Для этого предусмотрено наличие таких обязательных документов, как положение о защите личных данных, согласие на их обработку, передачу и получение от третьих лиц, обязательство о неразглашении. Помимо обязательных, есть и необязательные бумаги, которые упрощают работу в этой сфере, например журнал по передаче персональных данных, в котором фиксируют все обращения за личной информацией сотрудников.

Для чего вести учет персданных

Главная цель — фиксировать все операции по передаче персональных сведений третьим лицам и тем самым обеспечивать сохранность информации. Целесообразность ведения журнала учета выдачи персональных данных работников организациям и государственным органам определяется спецификой, размерами и структурой организации: чем больше численность штата, тем шире перечень лиц, которым требуется доступ к конфиденциальным сведениям для выполнения служебных обязанностей. Например, при возникновении спорных ситуаций штатный юрист вправе запросить в отделе персонала трудовой договор с тем или иным работником. При принятии решения о кадровых перестановках или продвижении работника по службе личное дело работника запрашивает руководитель подразделения. Нередко кадровые документы, содержащие конфиденциальную информацию, требуются профсоюзным организациям для проверки выполнения условий коллективного договора.

Статья 88 ТК РФ запрещает передавать ПД сотрудников без их согласия третьим лицам. По этой причине рекомендуем вести отдельный журнал учета ознакомления сотрудников с порядком обработки персональных данных и специальную книгу полученных от работников согласий на обработку и передачу ПД. Эти документы защитят организацию в суде от обвинений в несоблюдении требований по информированию персонала.

Форма документа

Обязанность ведения журнала по защите персональных данных не предусмотрена на законодательном уровне, потому не существует четких требований к его оформлению. Но есть рекомендации, которых следует придерживаться, чтобы предотвратить утечку информации.

Так, в книгу учета передачи данных рекомендуется включить следующие графы:

Ф. И. О. и должность лица или наименование органа, запрашивающего личные данные;
цель выдачи;
дата выдачи;
дата возврата;
перечень запрашиваемых документов.

Если работодатель принимает решение о необходимости фиксации движения личных данных, то форма книги утверждается приказом и становится для организации одним из обязательных документов по защите конфиденциальной информации. Обязательно издается распоряжение о назначении лица, ответственного за заполнение ведомости.

Эксперты КонсультантПлюс разобрали примеры типовых ошибок в работе с персональными данными за 2020–2021 годы. Используйте эти инструкции бесплатно.

Порядок ведения, хранения и уничтожения журнала

Так как журнал не является обязательным документом, работодатель самостоятельно определяет порядок работы с ним. Целесообразно разработать внутренний регламент, в котором указано место его хранения, содержится инструкция по ведению, иные моменты.

В организациях личная информация персонала часто хранится как на бумажных носителях, так и в электронном виде. Рекомендуем дополнительно завести журнал учета машинных носителей персональных данных и перечень помещений, где такие носители размещены, чтобы при проверках не возникло подозрений в нежелании обеспечить полную защиту ПД сотрудников.

Каким бы ни был срок хранения журнала, его уничтожение должно сопровождаться составлением соответствующего акта. Его форму тоже следует утвердить.

В соответствии с ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ) обработка персональных данных (далее – ПД) осуществляется с согласия субъекта ПД на обработку его данных.

Получение персональных данных осуществляется в соответствии с нормативными правовыми актами РФ в области трудовых отношений и образования, нормативными и распорядительными документами Минобрнауки России, Положением, локальными актами ДОУ в случае согласия субъектов на обработку их персональных данных.

ДОУ обрабатывает и защищает сведения о работниках, детях и их родителях (законных представителях) на правовом основании.

Основной задачей ДОУ в области защиты персональных данных является обеспечение в соответствии с законодательством РФ обработки персональных данных работников, обучающихся и их родителей (законных представителей) ДОУ, а также персональных данных, содержащихся в документах, полученных из других организаций, обращениях граждан и иных субъектов персональных данных.

Правовое основание обработки персональных данных:

Правовое основание защиты персональных данных:

Цель обработки персональных данных: выполнение работ, оказание услуг в целях обеспечения реализации предусмотренных законодательством Российской Федерации полномочий Администрации муниципального района Мелеузовский район Республики Башкортостан в сфере образования в связи с реализацией права граждан на образование, обеспечением государственных гарантий и свобод человека в сфере образования и созданием условий для реализации права граждан на образование; осуществление образовательной деятельности.

Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение, уничтожение персональных данных.

Ваше согласие будет храниться только в ДОУ, распространяться только на ДОУ. Любой другой оператор персональных данных должен будет получать от Вас разрешение на обработку ваших персональных данных. Мы ответственно относимся к Вашим персональным данным и персональным данным Вашего ребенка. В любой момент согласие на обработку данных может быть отозвано субъектом ПД. В соответствии с ч.2 ст.9 Закона № 152-ФЗ в случае отзыва субъектом ПД согласия на обработку ПД. Оператор ДОУ вправе продолжить обработку данных без согласия субъекта ПД при наличии оснований, указанных в пп. 2–11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11 Закона № 152-ФЗ. Таким образом, согласие субъекта на размещение ПД обязательно, при этом объем таких данных не важен (имя, фамилия без фото; имя, фамилия и грамота, диплом). При наличии согласий размещение информации будет правомерным. Данное согласие защищает ваши данные, которые вы уже предоставили нам при поступлении ребенка ДОУ.

С нормативно-правовыми и локальными актами и формами согласия можно ознакомиться на нашем сайте и/или в заведующего ДОУ .

Согласия на обработку персональных данных ребенка и родителя (законного представителя), работника можно получить у заведующего ДОУ.

Любой оператор, осуществляющий сбор персональных данных пользователей через сайт, обязан опубликовать на своем сайте Политику конфиденциальности.

Данный документ направлен на повышение прозрачности процессов обработки персональных данных и обычно включает в себя следующие разделы: общие положения, основания и условия обработки персональных данных, права пользователей при обработке их персональных данных, цели обработки персональных данных, виды обрабатываемых данных, информацию о передаче персональных данных третьим лицам, сведения об обеспечении безопасности персональных данных, а также информацию об операторе и обратную связь.

4. Согласие на обработку персональных данных, разрешенных субъектом для распространения (новое требование)

Как еще может называться данный документ:

Согласие на распространение персональных данных

Согласие на распространение персональных данных оператор должен оформлять отдельно от иных согласий субъекта на обработку его персональных данных. Перед оформлением такого согласия оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой из категории, указанной в этом согласии. То есть оператор предоставляет субъекту список - какие именно его персональные данные будут обрабатываться (например, при приеме на работу будут обрабатываться паспортные данные, Ф.И.О., адрес и т.д.). Из списка субъект должен выбрать те данные, которые можно распространять.

Если из согласия на обработку упомянутых данных не следует, что лицо согласилось с их распространением, оператор обрабатывает данные без права распространения. Молчание или бездействие лица не считается согласием на обработку указанных данных. Требования к содержанию такого согласия устанавливает Роскомнадзор (ч. 9 ст. 9, ст. 23 ФЗ-152.

Как еще может называться данный документ:

Согласие на обработку персональных данных
Согласие пользователя

Персональные данные пользователей любого сайта могут собираться и обрабатываться исключительно с их согласия. Согласие пользователя должно быть конкретным, информированным и сознательным, что влияет на структуру документа и способ его размещения.

Информированное согласие пользователя обычно включает в себя: сведения об операторе, цели обработки персональных данных, виды обрабатываемых данных, кому персональные данные могут передаваться. Текст информированного согласия размещается под формами сбора персональных данных на сайте вместе со ссылкой на Политику конфиденциальности.

Как еще может называться данный документ:

Положение об обработке и защите персональных данных является одним из основных локальных актов оператора и определяет для каждой цели обработки таких данных содержание обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований.

Зачем нужен документ:

Документ предназначен для предоставления субъекту персональных данных разъяснений юридических последствий его отказа предоставить персональные данные. В частности, обработка персональных данных необходима работодателю для заключения трудового договора.

Зачем нужен документ:

Данный документ устанавливает ряд обязанностей для работника оператора, имеющего доступ к персональным данным, в частности, обязанность по соблюдению режима конфиденциальности персональных данных.

Зачем нужен документ:

Данный документ закрепляет перечень типовых форм, используемых оператором, которые содержат персональные данные.

Как еще может называться данный документ:

Правила рассмотрения запросов субъектов персональных данных или их представителей

Правила рассмотрения запросов субъектов персональных данных определяют порядок учета (регистрации) и рассмотрения запросов субъектов персональных данных или их уполномоченных представителей.

Зачем нужен документ:

Правила осуществления внутреннего контроля устанавливают регламент проверки соответствия обработки персональных данных требованиям к защите персональных данных, установленных законодательством о персональных данных и принятыми в соответствии с ним локальными актами оператора.

Как еще может называться данный документ:

Модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных

- Постановление Правительства РФ от 01.10.2012 г. №1119
- Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 14.02.2008 г.);
- Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утв. ФСТЭК от 15.02.2008 г.)

Как еще может называться данный документ:

Поручение обработки персональных данных
Договор на обработку персональных данных
Договор обработки персональных данных
Дополнительное соглашение на поручение обработки персональных данных

От оператора персональных данных необходимо отличать лицо, которое осуществляет обработку по поручению такого оператора (обработчик). Обработчиками обычно выступают организации оказывающие услуги на аутсорсинге, например, провайдеры облачных сервисов или аутсорсинг-бухгалтерия.

С такими лицами должен быть заключен договор поручения. В таком договоре должен содержаться перечень операций с персональными данными, которые будут совершаться обработчиком, цели обработки, обязанность соблюдать конфиденциальность персональных данных.

Зачем нужен документ:

На ответственного за обеспечение безопасности персональных данных возлагаются функции администратора безопасности при обработке персональных данных оператором. Ответственный за обеспечение безопасности персональных данных действует в соответствии с утверждённой инструкцией.

Зачем нужен документ:

Данным приказом утверждаются места хранения документов, форм и иных материальных носителей, содержащих персональные данные. Ответственный за организацию обработки персональных данных проверяет сохранность материальных носителей и следит за поддержанием актуальности утверждённых мест хранения.

Зачем нужен документ:

Данным приказом утверждается перечень данных, обрабатываемых в информационных системах персональных данных оператора. В приказе перечисляются персональные данные, которые хранятся и обрабатываются оператором, а также устанавливается срок, по истечению которого те или иные данные из перечня подлежат удалению.

Зачем нужен документ:

Данным приказом утверждается список должностей работников, доступ которых к персональным данным необходим для выполнения их служебных обязанностей. Ответственный за организацию обработки персональных данных проводит обучение назначенных данным приказом работников.

Как еще может называться данный документ:

Перечень информационных систем персональных данных

В Приказе об утверждении перечня информационных систем персональных данных (ИСПДн) указывается назначение системы, составляющей основную цель обработки персональных данных. Например, автоматизация процессов кадрового учета, процессов расчета заработной платы. Также в документе указываются категории и объем персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 №1119.

Как еще может называться данный документ:

Приказ об определении границ контролируемой зоны и требований к ее безопасности

Данным приказом устанавливаются границы контролируемой зоны информационных систем персональных данных. В периметре установленных границ ответственные за организацию обработки и за безопасность персональных данных осуществляют контроль за обработкой персональных данных и обеспечивают их безопасность.

Читайте также: