Порядок доступа работников к персональным данным

УТВЕРЖДЕНО
приказом директора [полное наименование образовательной организации]
от «[дата]» № [номер]

Самостоятельное основание для учёта мнения представительного органа работников: [реквизиты коллективного договора, соглашения или иного основания либо «не установлено»].

Мотивированное мнение выборного органа первичной профсоюзной организации: [учтено, протокол от «[дата]» № [номер] / не запрашивалось ввиду отсутствия самостоятельного основания].

ПОРЯДОК доступа работников к персональным данным [полное наименование образовательной организации]

1.1. Настоящий Порядок устанавливает правила предоставления, изменения и прекращения доступа работников [полное наименование образовательной организации] (далее — Оператор) к персональным данным, обрабатываемым Оператором, в том числе с использованием информационных систем. 1.2. Доступ к персональным данным предоставляется работнику только в объёме, необходимом для исполнения его должностных (трудовых) обязанностей (принцип минимально необходимого доступа). 1.3. Настоящий Порядок не заменяет приказ об утверждении списка работников, допущенных к обработке персональных данных: Порядок описывает правила и роли, приказ поимённо (по фамилии, имени и отчеству каждого работника) фиксирует, кто именно, к каким категориям данных и с какой даты включён в список на основании этих правил. Список, матрица доступа и фактически предоставленные права (учётные записи, доступ к материальным носителям) ведутся так, чтобы объём доступа каждого работника был прослеживаем до конкретного лица. 1.4. Порядок не регулирует доступ родителей (законных представителей) к персональным данным своего ребёнка в электронном журнале или дневнике: настоящий документ устанавливает внутренний доступ работников Оператора.

2.1. Ответственный за организацию обработки персональных данных определяет соответствие запрашиваемого доступа должностным обязанностям работника и вносит предложения о включении работника в список допущенных к обработке персональных данных либо об исключении из него. 2.2. Техническое предоставление, изменение и прекращение доступа работников к информационным системам на основании утверждённого списка допущенных лиц выполняет администратор безопасности информационных систем персональных данных (при наличии этой должности) либо, если отдельная должность не введена, работник, на которого эта функция возложена в установленном порядке — по совмещению должностей с согласия работника и доплатой (статья 60.2 Трудового кодекса Российской Федерации) либо на основании гражданско-правового договора с указанием конкретных полномочий; совмещение оформляется с учётом фактической компетентности и возможности исполнять эту функцию. 2.3. Директор утверждает список допущенных к обработке персональных данных лиц отдельным приказом (Приказ об утверждении списка работников, допущенных к обработке персональных данных) на основании настоящего Порядка.

3.1. Доступ к персональным данным предоставляется работнику на основании: приёма на должность, для исполнения обязанностей по которой необходим доступ к определённым категориям персональных данных; либо письменной заявки непосредственного руководителя работника с обоснованием необходимости доступа (приложение № 3). Основанием для доступа к материальным носителям персональных данных (бумажные личные дела, журналы) служит то же решение; исполнителя фактической выдачи носителей, ключей от мест хранения и их возврата определяет ответственный за организацию обработки персональных данных. 3.2. Ответственный за организацию обработки персональных данных рассматривает заявку в срок пять рабочих дней, определяет конкретный объём доступа (данные, системы, носители, операции), цель и срок, готовит предложение о включении работника в список допущенных лиц и передаёт директору для утверждения приказом. При временном замещении отсутствующего работника доступ предоставляется на определённый срок и прекращается автоматически по его истечении либо контролируется отдельной отметкой в приложении № 3. 3.3. Доступ предоставляется после решения уполномоченного лица (пункт 3.2), ознакомления работника с настоящим Порядком, соответствующими положениями об обработке персональных данных (документы «Положение об обработке персональных данных работников» и «Положение об обработке персональных данных обучающихся и их родителей (законных представителей)»), применимыми требованиями к защите персональных данных и подписания обязательства о неразглашении персональных данных (приложение № 1).

4. Порядок изменения и прекращения доступа

4.1. При изменении должностных обязанностей работника, влекущем сокращение необходимого объёма доступа, доступ к данным, ставшим излишними, ограничивается незамедлительно; документальное оформление нового объёма допуска ответственный за организацию обработки персональных данных готовит в срок пять рабочих дней с момента соответствующего кадрового решения. Если изменение обязанностей расширяет необходимый объём доступа, новый доступ предоставляется только после оформления в установленном настоящим Порядком порядке. 4.2. При увольнении работника либо переводе на должность, не предусматривающую доступ к персональным данным, доступ к информационным системам и материальным носителям прекращается не позднее дня прекращения трудовых отношений либо перевода. Результат фиксируется отметкой по приложению № 4. 4.3. Школа самостоятельно определяет периодичность проверки соответствия фактического доступа работников утверждённому списку допущенных лиц и должностным обязанностям; настоящий Порядок устанавливает периодичность не реже одного раза в год как собственную организационную меру. Проверку проводит ответственный за организацию обработки персональных данных; результат оформляется актом по приложению № 5.

Это фрагмент образца. Полный текст в редактируемом файле Word, вместе с руководством по адаптации и заполненным примером, входит в комплект «Персональные данные в школе». Разборы и статьи по этой теме открыты бесплатно.