УТВЕРЖДЕНО
приказом директора [полное наименование образовательной организации]
от «[дата]» № [номер]
СВЕДЕНИЯ О ПРОЦЕДУРЕ ПРИНЯТИЯ
Самостоятельное основание для учёта мнения представительного органа работников: [реквизиты коллективного договора, соглашения или иного основания либо «не установлено»].
Мотивированное мнение выборного органа первичной профсоюзной организации: [учтено, протокол от «[дата]» № [номер] / не запрашивалось ввиду отсутствия самостоятельного основания].
ПОРЯДОК действий при выявлении инцидента, связанного с персональными данными [полное наименование образовательной организации]
1. Общие положения
1.1. Настоящий Порядок определяет действия работников [название ОО] при выявлении инцидента, связанного с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, повлёкшей нарушение прав субъектов персональных данных. 1.2. Инцидентом признаётся в том числе: утрата материального носителя (флеш-накопитель, папка, журнал); направление документа с персональными данными не тому адресату; размещение сведений в открытом доступе без законного основания; доступ к информационной системе под чужой учётной записью; хищение техники, содержащей персональные данные; иные события, повлёкшие или способные повлечь нарушение прав субъектов персональных данных. 1.2а. Сроки уведомления, установленные разделами 3 и 4 настоящего Порядка, исчисляются с момента выявления инцидента — независимо от того, кем он выявлен: самим Оператором, уполномоченным органом по защите прав субъектов персональных данных либо иным заинтересованным лицом (в том числе при внешнем сообщении). Момент внутреннего доклада директору начало срока не переносит. 1.3. Ответственный за организацию обработки персональных данных — [должность, Ф. И. О. ответственного], телефон [номер], резервный контакт (замещает ответственного при его недоступности, включая полномочия на подписание и направление уведомлений) — [должность, Ф. И. О. резервного контакта], телефон [номер].
2. Действия работника, обнаружившего инцидент
2.1. Немедленно, независимо от времени суток, сообщить ответственному за организацию обработки персональных данных по телефону [номер]; при недоступности — директору по телефону [номер]. 2.2. По возможности прекратить дальнейшее распространение сведений (отозвать письмо, закрыть доступ, изъять носитель), не удаляя при этом следы события: журналы, переписку, снимки экрана. 2.3. В течение трёх часов с момента обнаружения оформить служебную записку с описанием обстоятельств: что произошло, когда обнаружено, какие сведения затронуты, кто мог получить доступ.
3. Действия в первые 24 часа
3.1. Ответственный за организацию обработки персональных данных: 1) фиксирует дату и время выявления инцидента (пункт 1.2а) в журнале учёта инцидентов, связанных с персональными данными; 2) оценивает, какие категории субъектов и какие данные затронуты, предполагаемое число записей; 3) заполняет и направляет уведомление уполномоченному органу по защите прав субъектов персональных данных через специализированный раздел на его официальном сайте (личный кабинет оператора персональных данных) либо, при отсутствии доступа к нему, на бумажном носителе по почтовому адресу этого органа, — в течение 24 часов с момента выявления инцидента, сохраняя подтверждение направления (номер уведомления, почтовую квитанцию); 4) докладывает директору. 3.2. В уведомлении указываются: реквизиты Оператора (наименование, ИНН, адрес, адрес электронной почты); дата и время выявления инцидента; характеристика затронутых персональных данных и предполагаемое число субъектов; предполагаемые причины инцидента; предполагаемый вред правам субъектов персональных данных; принятые меры по устранению последствий; сведения о лице, уполномоченном на взаимодействие по вопросам инцидента (как правило — ответственный за организацию обработки персональных данных либо его резервный контакт по пункту 1.3, с указанием контактов). 3.3. Директор принимает решение о мерах по ограничению последствий: блокирование доступа, смена паролей, изъятие носителей, обращение в правоохранительные органы (при признаках преступления). 3.4. Если уполномоченный орган запрашивает дополнительные сведения к ранее направленному уведомлению, ответственный за организацию обработки персональных данных обеспечивает ответ в течение трёх рабочих дней с момента получения запроса, а на требование о представлении сведений о результатах расследования, если они ещё не поступили, — в течение одного рабочего дня; данные сроки не заменяют и не продлевают срок направления уведомления за 72 часа по разделу 4 настоящего Порядка. 3.5. Если инцидент связан с компьютерной атакой или иным компьютерным инцидентом в информационной системе Оператора (в том числе обслуживаемой внешним ИТ-подрядчиком), ответственный за организацию обработки персональных данных дополнительно определяет применимую категорию Оператора по приказу ФСБ России от 13.02.2023 № 77: при организованном взаимодействии с Национальным координационным центром по компьютерным инцидентам (НКЦКИ) — направляет информацию по установленным для этого канала; в остальных случаях — использует те же специализированные уведомления уполномоченного органа по защите прав субъектов персональных данных, что и по пункту 3.1. На запрос НКЦКИ о результатах проверки Оператор отвечает в течение 24 часов с момента его получения. Наличие договора с внешним ИТ-подрядчиком не переносит на него обязанность Оператора направить уведомление в установленный срок; отдельное дублирующее письмо в ФСБ России настоящим Порядком не предусматривается и не требуется, если категория Оператора не предполагает такого канала.
4. Внутреннее расследование и уведомление в 72 часа
4.1. Приказом директора создаётся комиссия по расследованию инцидента в составе не менее трёх работников. 4.2. Комиссия устанавливает: причины инцидента; перечень затронутых персональных данных и субъектов; лиц, действия которых стали причиной инцидента; достаточность принятых мер. 4.3. Результаты оформляются актом внутреннего расследования (приложение № 1), в том числе если по итогам расследования факт неправомерной или случайной передачи персональных данных не подтвердился (сообщение поступило от внешнего лица, принадлежность базы данных Оператору не установлена либо распространение относится к ранее уже сообщённому инциденту).
[…] Полный текст документа доступен после оплаты.