Положение об обработке персональных данных КГБПОУ ХГМК
1. Общие положения
1.1. Положение об обработке и защите персональных данных в краевом государственном бюджетное профессиональное образовательное учреждение «Хабаровский государственный медицинский колледж имени Г.С. Макарова» (далее - Положение и Организация соответственно) разработано на основании ст. ст. 86 - 90 Трудового кодекса Российской Федерации, Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", Федерального закона от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации".
1.2. В соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" под персональными данными (далее - персональные данные) понимается любая информация, относящаяся к определенному или определяемому на основании такой информации субъекту персональных данных, в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация.
1.3. Организация в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" является оператором, осуществляющим обработку персональных данных, а также определяющим цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.4. Лица, уполномоченные на обработку персональных данных, обеспечивают обработку персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", Федерального закона от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации", Трудового кодекса Российской Федерации, других нормативных правовых актов Российской Федерации и несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты этих персональных данных.
Перечень лиц, уполномоченных на обработку персональных данных в Организации, утверждается приказом руководителя Организации.
1.5. В Положении используются термины и определения в соответствии с их значениями, определенными в Федеральном законе от 27.07.2006 N 152-ФЗ "О персональных данных", Федеральном законе от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации".
1.6. Положение вступает в силу с момента его утверждения руководителем Организации и действует до его отмены или до введения нового Положения. Внесение изменений в Положение производится приказом руководителя Организации.
2. Категории субъектов персональных данных
2.1. К субъектам, персональные данные которых обрабатываются в Организации в соответствии с Положением, относятся:
2.1.1) кандидаты для приема в обучающиеся;
2.1.2) обучающиеся;
2.1.3) законные представители несовершеннолетних обучающихся;
2.1.4) выпускники;
2.1.5) законные представители несовершеннолетних выпускников;
2.1.6) кандидаты для приема на работу;
2.1.7) работники;
2.1.8) бывшие работники;
2.1.9) члены семей работников - в случаях, когда согласно законодательству сведения о них предоставляются работником;
2.1.10) иные лица, персональные данные которых Организация обязана обрабатывать в соответствии с законодательством.
3. Цели обработки персональных данных, категории (перечни)
обрабатываемых персональных данных
3.1. Персональные данные субъектов, перечисленных в пп. 2.1.1 - 2.1.5, обрабатываются с целью применения и исполнения законодательства об образовании в рамках образовательной деятельности Организации, реализации образовательных программ.
3.2. В соответствии с целью, указанной в п. 3.1 Положения, в Организации обрабатываются следующие персональные данные:
- фамилия, имя, отчество (при наличии);
- пол;
- дата (число, месяц, год) и место рождения;
- сведения о гражданстве;
- реквизиты записи акта о рождении или свидетельства о рождении (для отдельных категорий субъектов);
- вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
- страховой номер индивидуального лицевого счета (СНИЛС);
- идентификационный номер налогоплательщика (ИНН);
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номер контактного телефона, адрес электронной почты и (или) сведения о других способах связи;
- реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
- сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
- сведения об образовании и (или) квалификации или наличии специальных знаний (в том числе наименование образовательной и (или) иной организации, год окончания, уровень образования, квалификация, реквизиты документа об образовании, обучении);
- информация о владении иностранными языками;
- сведения об отношении к воинской обязанности, о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его);
- фотографическое изображение;
- сведения о состоянии здоровья;
- реквизиты документов, подтверждающих установление опеки или попечительства (при наличии);
- иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки, предусмотренной п. 3.1 Положения.
3.3. Персональные данные субъектов, перечисленных в пп. 2.1.6 - 2.1.9, обрабатываются с целью применения и исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ними отношений, в том числе: при содействии в трудоустройстве, ведении кадрового и бухгалтерского учета, содействии работникам в получении образования, оформлении награждений и поощрений, предоставлении со стороны Организации установленных законодательством условий труда, гарантий и компенсаций, заполнении и передаче в уполномоченные органы требуемых форм отчетности, обеспечении личной безопасности работников и сохранности имущества, осуществлении контроля за количеством и качеством выполняемой работы.
3.4. В соответствии с целью, указанной в п. 3.3 Положения, в Организации обрабатываются следующие персональные данные:
- фамилия, имя, отчество (при наличии);
- пол;
- дата (число, месяц, год) и место рождения;
- сведения о гражданстве;
- вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
- страховой номер индивидуального лицевого счета (СНИЛС);
- идентификационный номер налогоплательщика (ИНН);
- адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
- номер контактного телефона, адрес электронной почты и (или) сведения о других способах связи;
- реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
- сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
- сведения об образовании и (или) квалификации или наличии специальных знаний (в том числе наименование образовательной и (или) иной организации, год окончания, уровень образования, квалификация, реквизиты документа об образовании, обучении);
- информация о владении иностранными языками;
- сведения об отношении к воинской обязанности, о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его);
- сведения о трудовой деятельности, а также информация о предыдущих местах работы, периодах и стаже работы;
- сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ (для иностранных граждан, пребывающих в Российской Федерации);
- сведения, содержащиеся в разрешении на временное проживание, разрешении на временное проживание в целях получения образования (для иностранных граждан, временно проживающих в Российской Федерации), виде на жительство (для иностранных граждан, постоянно проживающих в Российской Федерации);
- номера расчетного счета, банковской карты;
- фотографическое изображение;
- сведения о состоянии здоровья (для отдельных категорий работников);
- сведения о наличии (отсутствии) судимости и (или) факта уголовного преследования либо о прекращении уголовного преследования по реабилитирующим основаниям (для отдельных категорий работников);
- иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки, предусмотренной п. 3.3 Положения;
- иные персональные данные, которые работник пожелал сообщить о себе и обработка которых соответствует цели обработки, предусмотренной п. 3.3 Положения.
3.5. Организацией не допускается обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных ч. 2 и 2.1 ст. 10 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
3.6. Содержание и объем обрабатываемых персональных данных должны соответствовать целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к целям их обработки.
4. Порядок и условия обработки персональных данных
4.1. Организация до начала обработки персональных данных обязана уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных".
4.2. Обработка персональных данных в Организации осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных". Обработка персональных данных в Организации выполняется следующими способами:
- неавтоматизированная обработка персональных данных;
- автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
- смешанная обработка персональных данных.
4.3. Организация вправе обрабатывать персональные данные только с письменного согласия субъектов персональных данных, за исключением случаев, предусмотренных законодательством о персональных данных.
4.4. Письменное согласие субъекта персональных данных на обработку его персональных данных должно включать в себя:
- фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- наименование и адрес Организации как оператора, получающего согласие субъекта персональных данных;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
- перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Организацией способов обработки персональных данных;
- срок, в течение которого действует согласие, а также способ его отзыва;
- подпись субъекта персональных данных.
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью.
4.5. Согласие субъекта персональных данных не требуется в том числе в следующих случаях:
- персональные данные являются общедоступными;
- обработка персональных данных осуществляется для статистических или иных исследовательских целей, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", при условии обязательного обезличивания персональных данных;
- обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение его согласия невозможно.
4.6. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных и должно соответствовать Требованиям к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утвержденным Приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24.02.2021 N 18.
4.7. В процессе обработки персональных данных Организацией осуществляются следующие действия, в том числе с использованием средств автоматизации, - сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение персональных данных.
4.8. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных в Организации осуществляются путем получения оригиналов документов либо их копий, копирования оригиналов документов, внесения сведений в соответствующие формы на бумажных и электронных носителях, создания документов, содержащих персональные данные, на бумажных и электронных носителях, внесения персональных данных в информационные системы персональных данных.
5. Сроки обработки и хранения персональных данных
5.1. В случае достижения цели обработки персональных данных Организация прекращает обработку персональных данных, за исключением случаев, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных". Уничтожение персональных данных в этом случае производится в срок, установленный п. 6.5 Положения.
5.2. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Организация прекращает их обработку, если в соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" их обработка допускается только с согласия. Уничтожение персональных данных в этом случае производится в случаях и порядке, предусмотренном п. 6.7 Положения.
5.3. В случае обращения субъекта персональных данных к Организации с требованием о прекращении обработки персональных данных Организация в срок, не превышающий 10 (десяти) рабочих дней с даты получения соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных п. п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных". Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Организацией в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
5.4. В случае выявления неправомерной обработки персональных данных Организация в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных.
5.5. Организация обеспечивает безопасное хранение персональных данных.
Хранение, систематизация, учет персональных данных и использование содержащих персональные данные документов организуется в форме обособленного архива Организации. Такой архив ведется в электронном виде и на бумажных носителях.
5.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
5.7. Персональные данные на бумажных носителях и в электронном виде хранятся в Организации в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в Российской Федерации.
6. Порядок блокирования и уничтожения персональных данных
6.1. Организация блокирует персональные данные в порядке и на условиях, предусмотренных законодательством о персональных данных.
6.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются, если иное не предусмотрено федеральным законом.
6.3. Незаконно полученные персональные данные или персональные данные, которые не являются необходимыми для цели обработки, уничтожаются в течение 7 (семи) рабочих дней со дня представления субъектом персональных данных подтверждающих сведений.
6.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 (десяти) рабочих дней с даты выявления факта неправомерной обработки.
6.5. Персональные данные уничтожаются в течение 30 (тридцати) дней с даты достижения цели обработки. Иное может быть предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, другим соглашением между ним и Организацией либо если Организация не вправе обрабатывать персональные данные без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
6.6. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 (тридцати) дней.
6.7. Персональные данные уничтожаются (если их сохранение не требуется для целей обработки персональных данных) в течение 30 дней с даты поступления отзыва субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иное соглашение между ним и Организацией. Кроме того, персональные данные уничтожаются в указанный срок, если Организация не вправе обрабатывать их без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
6.8. Отбор документов, жестких дисков, флеш-накопителей и иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Организации, обрабатывающие персональные данные.
6.9. Уничтожение персональных данных осуществляет комиссия, созданная приказом руководителя Организации. Комиссия составляет список с указанием материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
6.10. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
6.11. Комиссия подтверждает уничтожение персональных данных:
- актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
- актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных (далее - акт и выгрузка из журнала соответственно) - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.
Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.
Формы акта и выгрузки из журнала утверждаются приказом руководителя Организации. Они должны соответствовать Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179.
6.12. Акты и выгрузки из журнала должны храниться в течение трех лет с момента уничтожения персональных данных.
7. Защита персональных данных
7.1. Организация принимает меры, необходимые и достаточные для обеспечения защиты персональных данных субъектов персональных данных. Организация не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
7.2. Приказом руководителя Организации назначается ответственный за организацию обработки персональных данных.
7.3. С целью защиты персональных данных в Организации принимаются следующие локальные нормативные акты:
Перечень лиц, уполномоченных на обработку персональных данных;
Порядок защиты персональных данных при их обработке в информационных системах персональных данных;
Порядок проведения внутренних расследований, проверок;
Форма согласия на обработку персональных данных, форма согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения;
Формы акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных;
иные локальные нормативные акты, принятые в соответствии с требованиями законодательства о персональных данных.
7.4. Материальные носители персональных данных хранятся в шкафах, запирающихся на ключ. Помещения Организации, в которых они размещаются, оборудуются запирающими устройствами. Выдача ключей от шкафов и помещений осуществляется под подпись.
7.5. Доступ к персональным данным, содержащимся в информационных системах Организации, осуществляется по индивидуальным паролям.
7.6. В должностные инструкции работников Организации, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.
7.7. В Организации проводится внутренний контроль за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства о персональных данных, локальных нормативных актов и соответствием указанных актов требованиям законодательства о персональных данных.
7.7.1. Внутренний контроль осуществляет ответственный за организацию обработки персональных данных в форме плановых и внеплановых внутренних проверок. План внутренних проверок утверждается ежегодно приказом руководителя Организации.
7.7.2. Внутренние внеплановые проверки осуществляются на основании информации о нарушении в Организации законодательства о персональных данных.
7.8. В целях обеспечения защиты своих персональных данных работники Организации и иные субъекты персональных данных имеют право:
- на полную информацию о своих персональных данных и обработке этих данных;
- свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные субъекта персональных данных, за исключением случаев, предусмотренных федеральным законом;
- определение своих представителей для защиты своих персональных данных;
- доступ к медицинской документации, отражающей состояние их здоровья, с помощью медицинского работника по их выбору;
- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Трудового кодекса Российской Федерации или Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" и Федерального закона от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации". При отказе Организации исключить или исправить персональные данные субъект персональных данных имеет право заявить в письменной форме о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера субъект персональных данных имеет право дополнить заявлением, выражающим его собственную точку зрения;
- требование об извещении Организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта персональных данных, обо всех произведенных в них исключениях, исправлениях или дополнениях;
- обжалование в суд любых неправомерных действий или бездействия Организации при обработке и защите их персональных данных.
8. Ответственность за нарушение норм, регулирующих
обработку и защиту персональных данных
8.1. Лица, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующим законодательством.
8.2. Работники Организации, допустившие разглашение персональных данных субъекта персональных данных, могут быть уволены по инициативе работодателя по пп. "в" п. 6 ч. 1 ст. 81 Трудового кодекса Российской Федерации. Увольнение не исключает иных форм ответственности, предусмотренной действующим законодательством.
8.3. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
Согласие на обработку персональных данных