Ответственный за персональные данные

Дополнительное соглашение № [номер] к трудовому договору от «[дата]» № [номер]

[полное наименование образовательной организации], в лице руководителя [должность, Ф.И.О.], действующего на основании [устава / доверенности], с одной стороны, и [Ф.И.О. работника], занимающий(ая) должность [должность], с другой стороны, заключили настоящее дополнительное соглашение о нижеследующем:

1. В соответствии со статьёй 60.2 Трудового кодекса Российской Федерации работнику поручается с его письменного согласия (приложение № 1) выполнение дополнительной работы по организации обработки персональных данных в [полное наименование образовательной организации] наряду с работой, определённой трудовым договором, без освобождения от неё. Содержание работы определено пунктом 2 настоящего соглашения и пунктом 2 приказа от «[дата]» № [номер] «О назначении ответственного за организацию обработки персональных данных».

2. Содержание дополнительной работы:

   1. осуществляет внутренний контроль за соблюдением школой и её работниками законодательства о персональных данных, включая требования к их защите (статья 22.1 Федерального закона № 152-ФЗ);
   2. доводит до работников, непосредственно осуществляющих обработку персональных данных, положения законодательства, требования к защите и локальные акты школы, организует их обучение — не реже одного раза в год и при приёме новых работников, допускаемых к обработке; факт обучения фиксируется листом ознакомления (приложение № 2);
   3. принимает и обрабатывает обращения и запросы субъектов персональных данных (работников, обучающихся, их родителей (законных представителей)) — регистрирует их в журнале (приложение № 3) и готовит ответы по форме приложения № 5 в сроки, установленные законодательством; контролирует соблюдение этих сроков;
   4. ведёт журнал учёта передач персональных данных третьим лицам (приложение № 4) при каждом случае предоставления или распространения персональных данных за пределы школы, кроме случаев, когда обязанность передачи установлена непосредственно законом и оформляется собственным документом (например, форма ЕФС-1);
   5. участвует в подготовке и ежегодной актуализации локальных актов школы по вопросам обработки персональных данных: политики в отношении обработки, перечня информационных систем персональных данных, перечня лиц, допущенных к обработке (лист учёта — приложение № 6), форм согласий на обработку;
   6. ведёт учёт информационных систем персональных данных, эксплуатируемых школой, и перечня категорий обрабатываемых в каждой из них персональных данных;
   7. организует и (или) контролирует условия хранения материальных носителей персональных данных способом, исключающим доступ лиц, не допущенных к их обработке;
   8. организует уничтожение персональных данных при достижении целей обработки, истечении срока действия согласия субъекта или получении его отзыва, если иное не предусмотрено законодательством, — с оформлением акта об уничтожении;
   9. оценивает вред, который может быть причинён субъектам персональных данных при нарушении Федерального закона № 152-ФЗ, соотносит его с принимаемыми школой мерами защиты (статья 18.1 Федерального закона № 152-ФЗ);
   10. информирует руководителя школы о выявленных нарушениях законодательства о персональных данных и предлагает меры по их устранению;
   11. при выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных — организует внутреннее расследование (совместно с администратором безопасности информационных систем при его наличии) и составляет акт об инциденте (приложение № 7), готовит уведомление руководителя и, при необходимости, уполномоченного органа по защите прав субъектов персональных данных в случаях и порядке, установленных законодательством;
   12. взаимодействует с уполномоченным органом по защите прав субъектов персональных данных и иными органами по вопросам обработки персональных данных, представляет запрашиваемые документы и сведения по поручению руководителя школы;
   13. готовит для руководителя школы отчёт о состоянии внутреннего контроля за обработкой персональных данных (приложение № 8) с периодичностью, установленной пунктом 7 настоящего соглашения.

3. Объём дополнительной работы — по выбору одного из вариантов: (а) число информационных систем персональных данных, эксплуатируемых школой, — [N]; (б) число субъектов персональных данных, сведения о которых обрабатываются школой (работники и обучающиеся суммарно), — [N]; (в) [N] % нормы рабочего времени по основной должности работника (доля ставки). Дополнительная работа по статье 60.2 Трудового кодекса Российской Федерации выполняется в течение установленной продолжительности рабочего дня; объём измеряется результатом, а не количеством часов сверх нормы.

4. Срок выполнения дополнительной работы — один из вариантов: (а) с «[дата]» на неопределённый срок; (б) с «[дата]» до «[дата]».

5. Размер и порядок оплаты. Доплата — [сумма / процент] (статья 151 Трудового кодекса Российской Федерации), выплачивается ежемесячно на основании представления в бухгалтерию (приложение № 9). За период временной нетрудоспособности и отпуска работника доплата не начисляется; неотложные обязанности (приём обращений субъектов со сроком ответа, приходящимся на период отсутствия) на этот период передаются другому работнику по правилам пункта 12.

6. Измеримые показатели выполнения (по умолчанию; школа вправе установить иные своим решением): (а) доля обращений субъектов персональных данных, на которые ответ дан в срок, установленный законодательством, — не менее 100 процентов; (б) периодичность актуализации перечня информационных систем и перечня допущенных лиц — не реже одного раза в год; (в) срок составления акта об инциденте (приложение № 7) с момента выявления неправомерной передачи данных — не позднее одного рабочего дня.

7. Отчётность. Работник представляет руководителю школы: ежегодно, не позднее 31 января года, следующего за отчётным (срок можно изменить решением школы), — отчёт о состоянии внутреннего контроля (приложение № 8); по каждому обращению субъекта персональных данных — копию журнала (приложение № 3) с отметкой об исполнении; при выявлении инцидента — акт (приложение № 7) и уведомление руководителя не позднее срока, установленного пунктом 6; по запросу руководителя — журнал передач третьим лицам (приложение № 4) и лист учёта допущенных лиц (приложение № 6) за любой указанный период.

8. Взаимодействие с проверяющими. При поступлении запроса, требования о представлении документов либо предписания от уполномоченного органа по защите прав субъектов персональных данных или иного контролирующего органа работник не позднее следующего рабочего дня информирует руководителя школы; готовит проект ответа и запрошенный комплект документов в согласованный срок; не направляет ответ самостоятельно без согласования его содержания с руководителем, если предписание касается вопросов, требующих его решения (изменение локальных актов, привлечение к ответственности, приостановление обработки); хранит копию запроса (предписания) и направленного ответа в деле.

9. Конфиденциальность и работа с персональными данными. Работник получает доступ к персональным данным работников и обучающихся школы в объёме, необходимом для осуществления внутреннего контроля, и обязан не раскрывать третьим лицам и не распространять эти данные без согласия субъекта, если иное не предусмотрено федеральным законом (статья 7 Федерального закона № 152-ФЗ); подписывает обязательство о неразглашении персональных данных (приложение № 1, раздел 2) отдельно от согласия на выполнение дополнительной работы; материалы внутренних расследований, переписку с уполномоченным органом и журналы (приложения № 3, 4, 6) хранит способом, исключающим доступ лиц, не допущенных к их обработке (запираемый шкаф или сейф, ограничение доступа к электронной папке); после прекращения дополнительной работы возвращает все такие материалы школе и прекращает их использование.

10. Права работника и обязанности работодателя по обеспечению дополнительной работы. Работодатель обязан: предоставить доступ к локальным актам школы по вопросам обработки персональных данных, к перечню информационных систем и к местам хранения материальных носителей в объёме, необходимом для внутреннего контроля; организовать обучение работника по вопросам защиты персональных данных не реже одного раза в три года (периодичность можно увеличить решением школы) за счёт средств школы; обеспечить организационными и техническими средствами (запираемый шкаф или сейф для материалов расследований и переписки с уполномоченным органом); выделить время в пределах рабочего дня, соразмерное объёму работы по пункту 3.

11. Ответственность и её пределы. За неисполнение или несвоевременное исполнение обязанностей работник несёт дисциплинарную ответственность в порядке, установленном Трудовым кодексом Российской Федерации, и материальную ответственность за причинённый школе прямой действительный ущерб в пределах своего среднего месячного заработка (статья 241 Трудового кодекса Российской Федерации), за исключением случаев полной материальной ответственности по статье 243 Трудового кодекса Российской Федерации. Административная ответственность за нарушения законодательства о персональных данных (статья 13.11 Кодекса Российской Федерации об административных правонарушениях) может быть возложена на школу как юридическое лицо и, отдельно, на её должностных лиц; назначение работника ответственным по настоящему соглашению само по себе не делает его автоматически субъектом такой ответственности вместо школы — вопрос решается по правилам названного Кодекса и зависит от фактических обстоятельств. Работник не отвечает за нарушения, вызванные решениями, принятыми не им, а руководителем школы или иными должностными лицами (например, решение не внедрять предложенные работником меры защиты), при условии, что он письменно информировал руководителя о выявленном риске (пункт 2, подпункт 10).

[…] Полный текст документа доступен после оплаты.