Что проверяли

Персональные данные — зона, где ошибка в формулировке оборачивается не замечанием, а нарушением: у школы здесь и уровни защищённости, и сроки уведомления Роскомнадзора при утечке, и согласия родителей, и уничтожение данных по достижении цели.

22 августа комплект прошёл сплошную проверку: 33 документа — 28 шаблонов, четыре журнала и сводный чек-лист. Каждый прочитан целиком, каждое категоричное утверждение о норме сверено с текстом закона или сканом приказа. Не «похоже на правду», а дословно.

Главное, что исправлено

Документ Что было Что стало
Положение о видеонаблюдении «Специальной отраслевой нормы срока хранения записей для школы не найдено — решение оператора» Норма есть: пункт 30 требований к антитеррористической защищённости (постановление Правительства № 1006) требует архивирования и хранения данных в течение одного месяца. Она адресована именно школам, отнесённым к третьей и выше категории опасности, — тем самым, для которых видеонаблюдение обязательно
Приказ о комиссии по уничтожению «Решение комиссии из менее чем трёх человек формально ничтожно» Комиссия законом не требуется вовсе. Приказ Роскомнадзора № 179 говорит о «лиц (лица), уничтоживших… их (его) подпись» — уничтожение вправе оформить и один работник. Прежняя формулировка могла привести к тому, что школа не оформила бы уничтожение вообще, испугавшись несуществующего требования
Приказ о назначении ответственного Постановление № 1119 подано как основание назначить ответственного за организацию обработки Постановление требует другого: ответственного за обеспечение безопасности данных в информационной системе, и только начиная с 3-го уровня защищённости. Для большинства школ, работающих на 4-м уровне, такой обязанности нет
Акт определения уровня защищённости Ни таблицы соответствия уровней, ни требований к ним — покупателя отсылали к тексту постановления и к платному специалисту Добавлены таблица условий по пунктам 11 и 12 постановления № 1119 и перечень требований к 3-му и 4-му уровням по пунктам 13 и 14. Школа определяет свой уровень сама, по документу
Порядок разработки модели угроз Срок «не реже одного раза в 3 года» подан как срок пересмотра модели Это периодичность контроля за выполнением требований (пункт 17 постановления № 1119), а не пересмотра модели. Собственного федерального срока для модели угроз нет — теперь так и написано, а трёхлетняя периодичность названа решением школы
Матрица доступа работников Круг лиц с доступом ограничивался частью 5 статьи 5 закона Эта норма — об объёме самих обрабатываемых данных, а не о том, кому их показывать. Доступ ограничивают подпункт «в» пункта 13 постановления № 1119 и пункт 13 постановления № 687 — последнее касается бумажных массивов, о которых документ раньше не говорил вовсе
Реестр согласий По одному и тому же согласию реестр указывал «видеоизображение запрещено» В самой форме согласия родитель разрешил фотографию и видео и запретил аудиозапись. Реестр приведён в соответствие: сверяясь с ним перед публикацией — как предписывает сам реестр, — школа теперь не нарушит волю родителя
Согласие на распространение Пункт 11 части 1 статьи 6 подан как общее основание раскрытия Пункт покрывает только те данные, публикацию которых федеральный закон прямо предписывает, а не «раскрытие по любой причине»

Кроме перечисленного: ссылки в матрице правовых оснований и порядке доступа переведены на проверенные нормы; из текстов убраны служебные обозначения нашего комплекта; согласованы образцы между документами — одно лицо больше не занимает двух должностей, один инцидент не описывается разными участниками; пересчитаны даты в примерах.

Сроки действия правовой основы

  • приказы Роскомнадзора № 178 и № 179 — до 1 марта 2029 года;
  • постановление Правительства № 687 — до 1 сентября 2030 года.

Даты указаны в самих документах комплекта: когда срок будет подходить, вы увидите это в правовом основании, а не узнаете от проверяющего.

Нужно ли доплачивать

Нет. Обновление бесплатное для всех, кто получил комплект ранее, — просто скачайте архив заново в личном кабинете. Состав комплекта не изменился: документы те же самые, исправлены их формулировки и правовые основания.