О примерных формах документов в сфере защиты персональных данных
Учреждение образования «Могилевский государственный областной институт развития образования» информирует, что Национальным центром защиты персональных данных (далее – Центр) в целях оказания методологической помощи по приведению деятельности учреждений дошкольного и общего среднего образования в соответствие с Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон) разработан пакет примерных документов по реализации обязательных мер по обеспечению защиты персональных данных в этих учреждениях (прилагаются).
В частности, Центром подготовлены:
реестр обработки персональных данных в учреждении дошкольного образования;
реестр обработки персональных данных в учреждении общего среднего образования;
политика в отношении обработки персональных данных в учреждении дошкольного, общего среднего образования;
политика видеонаблюдения для учреждений дошкольного, общего среднего образования;
формы согласия на обработку персональных данных обучающегося, законного представителя обучающегося, работника учреждения образования.
Одновременно полагаем необходимым обратить внимание на следующее.
1. Перечисленные документы являются примерными, и при их использовании учреждениям образования необходимо адаптировать содержащуюся в них информацию применительно к конкретному учреждению с учетом возможных особенностей его деятельности, в том числе в части определения правовых оснований обработки персональных данных, сроков их хранения и с учетом нормативной правовой базы, регулирующей деятельность этих учреждений.
2. В реестры обработки персональных данных не включены процессы обработки персональных данных, связанные с трудовой деятельностью.
Примерные процессы обработки персональных данных, связанные с такой деятельностью, содержатся в реестре обработки персональных данных (примеры), размещенном на официальном сайте Центра в рубрике «Методологические документы» (https://cpd.by/pravovaya-osnova/metodologicheskiye-dokumenty-rekomendatsii/).
3. В соответствии с пунктом 4 статьи 17 Закона оператор обязан обеспечить неограниченный доступ, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику оператора в отношении обработки персональных данных, до начала такой обработки.
Цель издания политики в отношении обработки персональных данных – это обеспечение принципа прозрачности обработки персональных данных, предоставление субъектам персональных данных информации об обработке их персональных данных, чтобы исключить неосведомленность субъекта персональных данных относительно действий с его персональными данными.
В этой связи в разработанные Центром примерные политики в отношении обработки персональных данных включены процессы обработки персональных данных в отношении «внешнего контура» (воспитанники, обучающиеся, их законные представители и т. п.). Данные политики во исполнение пункта 4 статьи 17 Закона должны быть размещены на официальных сайтах учреждений образования. При этом при их опубликовании необходимо обеспечить быстрый поиск субъектами персональных данных необходимой информации (на странице не ниже второго уровня в форме, удобной для прочтения, в том числе с использованием уровнего раскрытия информации применительно к целям обработки персональных данных).
Справочно.
В качестве примера размещения политики в отношении обработки персональных данных на сайте оператора может быть рассмотрено размещение политики в отношении обработки персональных данных на официальном сайте Центра (https://cpd.by/politika-konfidentsialnosti/).
Кроме того, на сайте учреждения образования должны быть размещены:
политика в отношении обработки cookie;
политика видеонаблюдения.
Что касается обработки персональных данных работников учреждения образования, то в целях исключения перегрузки общей политики в отношении обработки персональных данных, размещаемой на сайте учреждения образования, и с учетом процессов обработки персональных данных данной категории субъектов («внутренний контур» организации) целесообразно составлять отдельную политику обработки персональных данных в трудовых отношениях.
При этом необходимость в размещении такого документа в открытом доступе для неограниченного круга лиц отсутствует. В данном случае допустимо опубликовать соответствующий документ на корпоративном портале (при его наличии), а также разместить на информационных стендах в учреждении образования.
4. Перечень целей обработки персональных данных, на которые необходимо получать согласие субъекта персональных данных, отраженный в прилагаемых формах согласия на обработку персональных данных обучающегося, законного представителя обучающегося, работника учреждения образования, не является исчерпывающим.
Учреждениям образования следует дополнительно проанализировать случаи обработки персональных данных, требующие получения согласия субъектов персональных данных, в том числе с учетом процессов обработки, включенных в реестры обработки персональных данных, и, при необходимости, включить их в соответствующую форму согласия.
При этом необходимо руководствоваться в том числе рекомендациями Центра о применении Закона в сфере образования, а в отношении обработки персональных данных работников также Рекомендациями об обработке персональных данных в связи с трудовой (служебной) деятельностью. Данные рекомендации размещены на официальном сайте Центра в рубрике «Методологические документы» (https://cpd.by/pravovaya-osnova/metodologicheskiye-dokumenty-rekomendatsii/).
5. С примерными формами иных документов, необходимых для реализации обязательных мер по обеспечению защиты персональных данных, предусмотренных пунктом 3 статьи 17 Закона, можно ознакомиться на официальном сайте Центра в рубрике «Портфель оператора» (https://cpd.by/pravovaya-osnova/portfel-operatora/).
