Организационно-распорядительная документация по информационной безопасности в дошкольных образовательных учреждениях
Организационно-распорядительная документация по информационной безопасности в дошкольных образовательных учреждениях
Множество указаний, распоряжений и рекомендаций приходит в ДОУ по организации мероприятий и разработке документов в отношении соблюдения порядка обработки ПДн, однако мало кто понимает, что организовать и провести такие мероприятия без помощи квалифицированного специалиста НЕВОЗМОЖНО.
Компания SafetyORG еще со дня образования, настойчиво предлагала свои услуги в этом направлении, но к нам никто не прислушивался или не было возможности воспользоваться нашими услугами. На сегодняшний день, с внедрением Государственной информационной системы "Единое цифровое пространство" и присоединения к ним Муниципальных организаций, многие начинают задумываться о внедрении Информационной безопасности (далее - ИнфоБез) в организацию.
Мы не будем здесь и сейчас рассказывать как все началось и с какими сложностями придется столкнуться Муниципалитету при внедрении Инфобеза, как отсутствие коммуникации, профессиональной подготовки и децентрализация приводят к тому, что руководитель ДОУ или СОШ остается один в решении вопроса и берет на себя все бремя ответственности, и прочее, и прочее... Этому мы посвятим отдельную статью, когда полностью запустим проект в боевую работу.
Так же мы не будем никого поучать и объяснять, что для разработки ОРД по ИБ нужно не только иметь необходимое образование и опыт, но и необходимо понимать специфику работы вашей организации и все ее внутренние процессы.
Мы бы даже не стали рассчитывать на то, что аутсорсинговая организация по разработке таких пакетов документов, сможет разработать полный комплект ОРД с учетом специфики работы организации. Как показывает практика, такие организации формируют стандартный пакет, а вот дорабатывать его придется уже вашему администратору ИБ. Но, во всяком случае, это уже что-то, с чего можно было бы начать движение к порядку в ИнфоБезе.
Мы не будем выкладывать полный пакет проекта, внедряемого в МБДОУ города Екатеринбурга, ориентированный на все используемые учреждением информационные ресурсы, а не только на ГИС ЕЦП, как сегодня делают все ДОУ и СОШ, хоть нас просили поделиться разработанным пакетом разные регионы Свердловской области за "плюсик к карме". Но... Дамы и господа, "плюсики к карме" не принимают к оплате товаров в магазинах, а распространение готовой продукции даром - это путь к банкротству.
Все-таки мы приняли решение поделиться частью наработанного материала и своим опытом.
Чем мы руководствовались:
В первую очередь, нас заинтересовал пакет документов оператора ГИС СО ЕЦП для проведения аттестации рабочих мест. Мы поняли, что пакет соответствует требованиям нормативных документов по информационной безопасности к конкретной информационной системе, но не учитывает всей специфики работы ДОУ и ее внутренних процессов.
Изучая инфраструктуру, информационные ресурсы, сферу деятельности ДОУ, техническое и материальное обеспечение, квалификацию кадров, организацию сетевого взаимодействия, документооборот организации, мы пришли к выводу, что Инфобез никогда не вводился с этих организациях, в широком смысле понимания этого процесса, и ввести его чрезвычайно сложно, но возможно, при условии грамотного подхода. Конечно это потребует финансовых затрат и большого количества времени.
Читая раздел, обращайте внимание на ссылки. Ими мы отсылаем к другим разделам нашего сайта, для более подробного описания и комментарием, т.к. они заслуживают отдельного внимания и уточнения. Чаще всего мы будем обращаться к разделу "Персональные данные"
ПРИМЕЧАНИЕ:
Помните, что каждый разрабатываемый вами документ, должен вводиться Приказом по учреждению. Таких приказов может быть ровно столько же, сколько и разработанных документов, но есть смысл и объединять некоторые из них в один приказ. Здесь вас и нас ни кто не ограничивает.
И еще... Что бы не бегать постоянно к делопроизводителю, регистрировать документы и вести дело по ИнфоБезу, если вам позволяет структура организации, выведите весь документооборот по ИнфоБезу в отдельное делопроизводство! Опыт компании SafetyORG показывает, что это удобно и эффективно!
И так, начнем...
Первый документ, который необходимо издать в ДОУ, да и в любом учреждении - это ПРИКАЗ "Об ответственном за организацию обработки персональных данных".
Возникает вопрос: "Кого назначить?". Организационная структура ДОУ достаточна небольшая, и, преимущественно, сотрудники здесь не обладают соответствующими навыками и компетенциями в области информационной безопасности. Такие учреждения можно отнести к микропредприятиям.
Практика и разъяснения регуляторов в таких случаях говорят нам, что при малом штате сотрудников ответственным за организацию обработки ПДн, руководитель учреждения имеет право назначить приказом себя.
В первую очередь обратимся к руководящим документам. Их очень много, но на первом этапе обратимся к одному из основных - ФЗ №152 от 27 июля 2006 г.
Что он нам повествует?
Статья 22.1. Лица, ответственные за организацию обработки персональных данных в организациях
(введена Федеральным законом от 25.07.2011 N 261-ФЗ)
1. Оператор, являющийся юридическим лицом, назначает лицо, ответственное за организацию обработки персональных данных.
2. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно от исполнительного органа организации, являющейся оператором, и подотчетно ему.
3. Оператор обязан предоставлять лицу, ответственному за организацию обработки персональных данных, сведения, указанные в части 3 статьи 22 настоящего Федерального закона.
4. Лицо, ответственное за организацию обработки персональных данных, в частности, обязано:
1) осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
2) доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
3) организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
(т.е. в случае возложения (назначения приказом) на себя ответственности за организацию, он же и оператор, получается, что он сам от себя получает указания, сам их выполняет и сам же перед собой отчитывается, за исключением регуляторов. Это удобно при ответственном подходе руководителя к этому процессу.) Подробно о регуляторах мы написали здесь https://safetyorg.ru/regulators
Назначение руководителя ДОУ ответственным за организацию обработки ПДн не только будет соответствовать рекомендациям регуляторов, удовлетворять потребности организации, компенсировать нехватку квалифицированного персонала, но и удовлетворять требованиям ФЗ.
- Если оператор начал собирать ПДн, но не сообщил об этом в Роскомнадзор или отправил уведомление позже, ему придётся заплатить штраф (ч. 1 ст. 22 152‑ФЗ).
- Данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка.
- Оператор обрабатывает данные вручную без использования средств автоматизации.
- Данные обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности.
Скорее всего такое уведомление уже подано на организацию, т.к. работаем уже не первый день, месяц и год. Вам стоит проверить эти данные. Актуальны ли они, хотя и здесь вы вряд ли сразу сможете определить их актуальность, если только... ответственным за организацию обработки ПДн назначен человек, который уже не работает в организации! В этом случае данные, однозначно, не актуальны и потребуется их уточнение.
В ином случае, мы рекомендуем сначала разработать пакет ОРД, а уже потом подавать корректирующее уведомление, т.к. в процессе вы 100% найдете какие-либо категории данных, которые не указаны в первичном уведомлении!
Как проверить актуальность уведомления по НИИ: https://pd.rkn.gov.ru/operators-registry/operators-list/
Как подать уведомление мы рассмотрели в отдельной статье: https://safetyorg.ru/personal_data_2
Последний пункт в названии документа - кандидат (соискатель). Зачастую, никто не указывает эту категорию субъектов ПДн, а ведь любая организация производит обработку такой информации, а кто-то еще и хранит эти данные у себя в базах. Не будем о них забывать, ведь регуляторы стали обращать на это особое внимание.
Положение об обработке персональных данных — это локальный нормативный акт оператора персональных данных, в котором содержится подробное описание порядка обработки данных и мер по их защите.
Некоторые пункты, которые рекомендуется включить в положение:
- Общие положения. Наименование оператора, его адрес, основные термины и определения, цель разработки положения, законодательная основа обработки персональных данных.
- Принципы обработки персональных данных. Перечисление и описание принципов, изложенных в ст. 5 Федерального закона от 27.07.2006 №152-ФЗ.
- Цели обработки персональных данных. Указание целей, для которых осуществляется обработка персональных данных (например, заключение и исполнение договоров, обработка обращений граждан, ведение клиентской базы и т.д.).
- Категории обрабатываемых персональных данных. Перечень категорий персональных данных, которые оператор обрабатывает (фамилия, имя, отчество, паспортные данные, адрес электронной почты, номер телефона и т.д.).
- Субъекты персональных данных. Перечисление категорий субъектов, чьи персональные данные обрабатываются (например, работники, пользователи сайта, клиенты, партнёры, кандидаты на вакансии и т.д.).
- Порядок и условия обработки персональных данных. Способы обработки персональных данных (с использованием или без использования средств автоматизации), срок обработки персональных данных, условия прекращения обработки персональных данных и т.д..
- Права субъектов персональных данных. Описание прав субъектов, предусмотренных ст. 14–17 Закона №152-ФЗ: право на получение информации, на уточнение, блокирование или уничтожение персональных данных, право на отзыв согласия, право на обжалование действий или бездействия оператора.
Скорее всего действующее Положение вашей организации устарело, т.к. было введено еще на той стадии, когда в кругах ИнфоБеза только начиналось обсуждение биометрии, к чему относить фото и видео съемку, а про использование искусственного интеллекта вообще речи небыло. Так что вам предстоит либо доработать действующее Положение, либо переиздать.
Вот некоторые ситуации, когда необходимо вносить изменения в положение:
- изменение действующего законодательства в сфере защиты персональных данных;
- введение новых технологий или информационных систем для их обработки;
- изменение организационной структуры или бизнес-процессов компании, затрагивающих сбор или использование данных;
- результаты внутренних или внешних аудитов безопасности, выявившие несоответствия положения реальным процессам или нормам;
- предписания контролирующих органов, судебные решения или изменения в перечне обрабатываемых категорий данных.
В связи с актуализацией Положения об обработке и защите персональных данных работников, детей, родителей (законных представителей) и кандидатов (соискателей) в МБДОУ - детский сад № ХХХ (указать лучше полное наименование организации) и с целью организации обработки персональных данных субъектов персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 г. № 152-ФЗ "О персональных данных"
ПРИКАЗЫВАЮ:
- Утвердить Положение об обработке и защите персональных данных работников, детей, родителей (законных представителей) и кандидатов (соискателей) в МБДОУ - детский сад № ХХХ согласно Приложения № 1 к данному Приказу.
- Признать утратившим силу приказ от 30.12.2015 № 113 "Об утверждении положения об обработке персональных данных работников, детей и родителей (законных представителей)"
Заметьте, что изменилось даже исходя из названия приказа:
- Новый приказ будет уже не только об обработке ПДн, но и о защите.
- Мы учли обработку ПДн соискателей.
https://vk.com/safetyorg
Наши контакты:
Юр. адрес: 620036, г.Екатеринбург, ул. Соболева, д.21 корп.6, оф./кв. 282;
Факт. адрес: 620036, г.Екатеринбург, ул. Соболева, д.21 корп.6, оф./кв. 282;
Пн-Чт: 9:00 - 17:00; Пт: 9:00-16:00; Сб-Вс: выходной
тел: +7 (912) 699-12-84
тел: +7 (912) 618-99-58
WhatsApp: +7 (912) 655-92-87
MAX: +7 (912) 655-92-87
E-mail: snetnt@gmail.com
