Что изменилось

Состав не менялся. Доплачивать не нужно — скачайте архив заново.

  • Штраф за непредставление уведомления об обработке персональных данных. Часть 10 статьи 13.11 КоАП РФ даёт штраф от 100 до 300 тысяч рублей для юридического лица и от 30 до 50 тысяч для должностного лица — но примечания 2 и 3 выводят некоммерческую организацию (а школа — именно такая) из понятия «юридическое лицо» для этого состава. К школе применяется санкция для должностного лица.
  • Сроки хранения документов об обработке персональных данных. Положения и инструкции об обработке персональных данных хранятся по статье 440 Перечня Росархива от 20.12.2019 № 236: постоянно по месту утверждения, три года — в других организациях, а не один год по общей статье 8.
  • Сроки хранения документов о кандидатах на работу. Документы соискателей, не принятых на работу, хранятся год по статье 438 Перечня № 236, а не уничтожаются через 30 дней; при зачислении в кадровый резерв — пять лет по статье 439.
  • Согласия работников и родителей. Формы предусматривают варианты подписания в зависимости от того, кто фактически даёт согласие — представитель, оба родителя или сам обучающийся, действующий самостоятельно; добавлены полные сведения о представляемом лице независимо от того, кто ставит подпись (часть 4 статьи 9 № 152-ФЗ).
  • Отзыв согласия и прекращение распространения данных. Согласие на распространение данных прекращается с момента поступления требования, публичный доступ к размещённым материалам — незамедлительно; передача данных получателям прекращается не позднее трёх рабочих дней (части 12–14 статьи 10.1 № 152-ФЗ).
  • Разграничение доступа к персональным данным. При выявлении, что данные стали излишними для сотрудника, доступ ограничивается незамедлительно, а не только оформляется в пятидневный срок; обязанности администратора безопасности информационных систем без такой должности оформляются по совмещению с согласием работника и доплатой (статья 60.2 ТК РФ).
  • Уведомление об инцидентах и утечках. Сроки уведомления Роскомнадзора — 24 и 72 часа — исчисляются с момента выявления инцидента, а не доклада директору.

Уже подписанные документы переделывать не нужно. Если приказ о назначении ответственного за безопасность систем оформлен без согласия работника и доплаты за совмещение — оформите соглашение по статье 60.2 ТК РФ.