Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
Основным нормативным документом, определяющим порядок работы с персональными данными в информационных системах и компьютерных сетях является Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Согласно ст.3 этого закона «персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».
Категории персональных данных Согласно 152 ФЗ все персональные данные подразделяются на три категории:
Общие персональные данные: фамилия, имя отчество, дата и место рождения, паспортные данные (номера, даты и места выдачи документов, удостоверяющих личность, в т.ч. СНИЛС), домашний адрес, номера телефонов, сведения об образовании. В настоящее время очень многие сервисы привязаны к номеру мобильного телефона, поэтому он тоже относится к персональным данным.
Биометрические данные: информация о физиологических и биологических особенностях человека. Статья 11 152 ФЗ определяет их «Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность». Строго говоря, к биометрическим данным относится информация о росте и весе учащихся, но скорее всего, обработка этой информации обычным педагогическим работником не осуществляется. К биометрическим данным также относятся фотографические изображения, по которым можно определить биометрические параметры конкретного человека. Это фотоснимки лиц анфас, соответствующие по информативности фотографиям на документах, удостоверяющих личность.
Специальные категории персональных данных: информация о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Персональные данные специальных категорий не должны обрабатываться в информационных системах, кроме специально определяемых законом случаев.
Обработка персональных данных
Согласно ст.3 152 ФЗ обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.Тем самым любое действие с персональными данными является их обработкой и регулируется законом.
Одним из видов обработки данных является распространение персональных данных. Его регулирует статья 10.1 Закона «О персональных данных». Она введена Федеральным законом от 30.12.2020 N 519-ФЗ. Основное требование этой статьи — это то, что «Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения».
Так как учащиеся общеобразовательных организаций в подавляющем большинстве являются несовершеннолетними, согласие на обработку их персональных данных дается их родителями (законными представителями). Это согласие оформляется при зачислении учащегося в образовательную организацию и устанавливает конкретные ограничения этой обработки, в частности ограничения на распространение персональных данных. Педагоги общеобразовательных организаций должны хорошо представлять то, какие разрешения на обработку данных оформляются при приеме детей на обучение, равно как и понимать, что эти разрешения в любой момент могут быть отозваны, что потребует немедленное прекращение обработки персональных данных.
Обработка персональных данных обучающихся в образовательной организации
В общеобразовательной организации при осуществлении образовательной деятельности повседневно обрабатываются персональные данные обучающихся, относящиеся к различным категориям данных. Эти персональные данные включают:
• Общие персональные данные обучающихся, в т.ч. паспортные данные и данные о месте проживания, доступные широкому кругу работников общеобразовательной организации.
• Данные об успеваемости, текущих и итоговых оценках, прохождении учебного плана.
• Фотографии обучающихся, позволяющие установить их личность (относятся к биометрическим данным).
• Данные о здоровье (медицинская карта, карта прививок) — относятся к специальной категории персональных данных, должны обрабатываться отдельно лицом, имеющим допуск к медицинской документации (врачом, медсестрой, медрегистратором).
• В определенных случаях родители (законные представители) обучающегося представляют в образовательную организацию документы, содержащие сведения, необходимые для предоставления учащемуся гарантий и компенсаций, установленных действующим законодательством: документы о составе семьи; документы о состоянии здоровья; документы, подтверждающие право на дополнительные гарантии и компенсации по определенным основаниям, предусмотренным законодательством. Все эти документы должны быть категорированы в соответствии с 152 ФЗ и доступ к ним должен быть ограничен конкретным перечнем сотрудников образовательной организации.
Обязанности работников в отношении персональных данных учащихся
Работники, имеющие доступ к персональным данным учащегося, обязаны:
1. Не сообщать персональные данные обучающегося третьей стороне без письменного согласия одного из родителей (законного представителя), кроме случаев, когда в соответствии с федеральными законами такого согласия не требуется.
2. Использовать персональные данные обучающегося, полученные только от него лично или с письменного согласия одного из родителей (законного представителя).
3. Обеспечить защиту персональных данных обучающегося от их неправомерного использования или утраты, в порядке, установленном законодательством Российской Федерации.
4. Ознакомить родителя или законного представителя с их правами и обязанностями в области защиты персональных данных, под роспись.
5. Соблюдать требование конфиденциальности персональных данных учащегося.
6. Исключать или исправлять по письменному требованию одного из родителей (законного представителя) обучающегося его недостоверные или неполные персональные данные, а также данные, обработанные с нарушением требований законодательства.
7. Ограничивать персональные данные учащегося при передаче уполномоченным работникам правоохранительных органов или работникам органов управления образованием только той информацией, которая необходима для выполнения указанными лицами их функций.
8. Обеспечить совершеннолетнему обучающемуся или одному из родителей (законному представителю) несовершеннолетнего учащегося свободный доступ к персональным данным обучающегося, включая право на получение копий любой записи, содержащей персональные данные.
9. Предоставить по требованию одного из родителей (законного представителя) учащегося полную информацию о его персональных данных и обработке этих данных в образовательной организации.
Обеспечение контроля доступа к системам обработки персональных данных
Наиболее массовой системой обработки персональных данных в образовательной организации является электронный журнал/дневник. Педагогические работники обязаны предотвращать риски несанкционированного доступа к данным электронного журнала, соблюдая следующие правила:
• Использовать для входа в электронный журнал сильный пароль(не менее 8 символов, включая цифры и клавиатурные знаки) который периодически менять.
• Не использовать в качестве пароля легко подбираемые комбинаторно или с помощью социальной инженерии символы (подряд идущие буквы алфавита, цифры даты рождения и т.п.).
• Не хранить пароль для автозаполнения на общедоступном компьютере (на компьютере в учительской). Пользоваться автозаполнением паролей можно только на личном ноутбуке при условии непрерывного контроля над устройством со стороны владельца.
• На школьных стационарных компьютерах установить систему индивидуальных профилей для каждого пользователя с обязательным блокированием входа (необходимостью повторного ввода пароля) через непродолжительное время отсутствия активности.
• В случае использования для работы с информационной системой общедоступных компьютеров, включать режим «инкогнито», предполагающий уничтожение всех файлов cookie, очистку кэша и выход из всех аккаунтов при закрытии браузера.
• Входить в информационные системы, содержащие персональные данные, только на компьютерах с установленными актуальными антивирусными системами.
• В целях защиты персональных данных от компрометации не допускать заполнение электронного журнала неавторизованными лицами, прежде всего обучающимися.
Соблюдение этих правил, регулярное обновление паролей и антивирусных программ, очистка кэша и истории браузера позволит обеспечить надлежащий барьер несанкционированному доступу к персональным данным и конфиденциальной информации.
