Политика в отношении обработки персональных данных

1. Цели обработки персональных данных. Например, организация образовательной деятельности, регулирование трудовых отношений с работниками, реализация гражданско-правовых договоров, обеспечение безопасности, коммуникация с субъектами данных, выполнение функций учреждения (анализ деятельности, аудит, улучшение качества услуг и т. д.). 

2. Правовые основания обработки. К ним относятся Устав организации, нормативные правовые акты (Трудовой кодекс РФ, Гражданский кодекс РФ и др.), договоры с физическими лицами, заявления (согласия, доверенности) обучающихся и родителей (законных представителей) несовершеннолетних обучающихся. 

3. Категории субъектов персональных данных. Это могут быть работники (в том числе бывшие), кандидаты на замещение вакантных должностей, родственники работников, обучающиеся, родители (законные представители) обучающихся, физические лица по гражданско-правовым договорам, посетители учреждения и др.. 

4. Категории обрабатываемых персональных данных. Например, фамилия, имя, отчество, дата рождения, адрес места жительства, СНИЛС, ИНН, данные документа, удостоверяющего личность, реквизиты банковских карт, сведения об образовании и др.. Специальные категории персональных данных обрабатываются только на основании и согласно требованиям федеральных законов. sc14.edusarov.ru +1

5. Действия с персональными данными. К ним относятся сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение данных. 

6. Способы обработки. Например, смешанная обработка, с передачей по внутренней сети юридического лица, с передачей по сети Интернет. 

7. Меры по обеспечению безопасности персональных данных. Учреждение принимает правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. Это может включать издание локальных нормативных актов, назначение ответственного за обработку данных, определение списка лиц, допущенных к обработке, ознакомление работников с положениями законодательства о персональных данных. 

8. Права субъектов персональных данных. Субъекты вправе получать информацию о обработке своих данных (кроме случаев, когда доступ ограничен федеральными законами), требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не необходимы для заявленной цели обработки, дополнять данные оценочного характера заявлением с собственной точкой зрения, обжаловать действия или бездействие учреждения в уполномоченном органе по защите прав субъектов персональных данных или в судебном порядке. 

9. Передача персональных данных третьим лицам. Учреждение может передавать данные только с согласия субъекта или в случаях, предусмотренных законодательством. 

10. Актуализация, исправление, удаление и уничтожение данных. В политике могут быть прописаны процедуры обновления данных, а также порядок их уничтожения по достижении целей обработки или при утрате необходимости в этих целях (если иное не предусмотрено федеральным законом). 

Политика должна соответствовать требованиям законодательства и внутренним регламентам учреждения. Рекомендуется регулярно обновлять документ с учётом изменений в нормативных актах.

Для получения образца политики или консультации по её разработке можно обратиться к юристу или специалисту по защите персональных данных.