Затверджено

Наказ №42-О від 19.01.2021р.

Диреткор ЗДО №35

А.Крутікова

Положення

про порядок обробки та захисту персональних даних

у КЗ Дошкільному навчальному закладі (ясла-садок) № 35 "Світлячок" комбінованого типу

1. Загальні положення

1.1. Це Положення про порядок обробки та захисту персональних даних у ЗДО №35 (надалі – Положення) розроблено з метою забезпечення захисту персональних даних, включених до баз персональних даних ЗДО №35 під час здійснення будь-яких дій або сукупності дій в інформаційній (автоматизованій) системі та/або в картотеках персональних   даних,   які   пов’язані   із   збиранням,   реєстрацією,   накопиченням, зберіганням,  адаптуванням,  зміною,  поновленням,  використанням   і  поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу.

1.2.  Положення  визначає  загальні  вимоги  до  обробки  персональних  даних,   підстави виникнення   права   на   використання   персональних   даних,   порядок   доступу   до персональних даних, а також відповідальність за порушення вимог, встановлених цим Положенням.

1.3.  Це Положення розроблено відповідно до Закону України «Про захист персональних даних», постанови Кабінету Міністрів України «Про затвердження Положення про Державний реєстр баз персональних даних та порядок його ведення».

1.4.  Дія цього Положення поширюється на працівників, які працюють на умовах, визначених трудовим договором (контрактом), а також на осіб, які працюють на умовах цивільно-правових договорів, та які взяли на себе обов’язок не допускати розголошення у будь-який спосіб персональних даних, які їм було довірено або які   стали відомі у зв’язку з виконанням професійних, службових чи трудових обов’язків.

2. Поняття персональних даних, принципи та цілі їх обробки

2.1. Персональні дані – це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

Первинними джерелами відомостей про фізичну особу є:

• видані на її ім’я документи;
• підписані нею документи;
• відомості, які особа надає про себе.

2.2.  До персональних даних належать:

2.2.1.   за природою відомостей:

• об’єктивні відомості про фізичну особу (біометричні дані, стан банківського рахунку тощо);
• суб’єктивні відомості про фізичну особу (автобіографія, характеристика, матеріали атестації, опис особистих якостей фізичної особи, особова справа тощо);

2.2.2.   за джерелами відомостей:

•   відомості, що містяться в первинних та інших джерелах про фізичну особу;

2.2.3.   за способами обробки відомостей:

• відомості в алфавітно-цифровому форматі;
• відомості в графічному форматі;
• відомості в фото- та кіно-, аудіо- та відеоформатах тощо;

2.4. за формою обробки відомостей:

• відомості на паперових носіях;
• відомості на електронних носіях;
• відомості на магнітних носіях.

2.2.5    за вимогами до обробки відомостей:

• відомості, щодо яких застосовуються загальні вимоги обробки відповідно до Закону;
• відомості, щодо яких згідно законодавства застосовуються особливі вимоги обробки (про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також відомості, що стосуються здоров’я чи статевого життя тощо);

2.2.6    за зв’язком з фізичною особою:

• відомості, що стосуються фізичної особи безпосередньо (що містяться у особовій справі працівника);
• відомості, що стосуються фізичної особи опосередковано (що містяться у реєстраційному записі про право власності на об’єкт нерухомого майна, у записі відеоспостереження у громадських місцях, у записі про технічне обслуговування автомобіля тощо).

2.3.  Відомості про фізичну особу є персональними даними у разі якщо фізичну особу, якої вони стосуються, можна ідентифікувати безпосередньо або опосередковано.

2.4.  Персональні дані, незалежно від природи, джерел отримання, змісту, способів та форми обробки відомостей, застосування загальних чи особливих вимог обробки, а також незалежно від ступеню зв’язку з фізичною особою, обробляються відповідно до встановлених законодавством України принципів обробки персональних даних.

Принципами обробки персональних даних є:

1)  принцип законності: – персональні дані повинні оброблятись лише на законних підставах;

2)  принцип сумісності: – персональні дані повинні отримуватись із конкретними законними цілями та оброблятися відповідно до них;

3) принцип адекватності і ненадлишковості: – персональні дані повинні бути адекватними та ненадлишковими, відповідати цілям обробки;

4) принцип точності: – персональні дані повинні бути точними та актуальними;

5) принцип строковості зберігання: – персональні дані не повинні зберігатися довше, ніж це необхідно;

6) принцип дотримання прав фізичної особи: – персональні данні повинні оброблятись з дотриманням прав суб’єкта персональних даних, включаючи право на доступ до даних;

7) принцип захищеності: – персональні дані повинні оброблятись з дотриманням вимог щодо захисту даних;

8) принцип транскордонної захищеності: – персональні дані не повинні передаватись іноземним суб’єктам відносин, пов’язаних із персональними даними, без належного захисту.

2.5.  Загальними підставами виникнення права на обробку персональних даних є:

• згода суб’єкта персональних даних на обробку його персональних даних. Суб’єкт персональних даних має право при наданні згоди внести застереження стосовно обмеження права на обробку своїх персональних даних;
• без згоди суб’єкта персональних даних у наступних випадках:
• необхідність захисту життєво важливих інтересів суб’єкта персональних даних до часу, коли отримання згоди на обробку персональних даних від суб’єкта персональних даних стане можливим.

2.6.  Формами надання згоди суб’єкта персональних даних є:

а) документ на паперовому носії з реквізитами, що дає змогу ідентифікувати цей документ та фізичну особу. Добровільне волевиявлення суб’єкта персональних даних засвідчується його підписом.

2.7.  Згода суб’єкта персональних даних на обробку його персональних даних повторно не надається, якщо заклад продовжує обробляти персональні дані суб’єкта відповідно до правовідносин на основі вільного волевиявлення фізичної особи, які виникли до набрання чинності Законом України «Про захист персональних даних».

2.8.  Забороняється обробка персональних даних про расове або етнічне походження, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, а також даних, що стосуються здоров’я чи статевого життя. Положення цієї норми не застосовується  у випадку , якщо обробка персональних даних:

• здійснюється за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних;
• необхідна для здійснення прав та виконання обов’язків у сфері трудових відносин відповідно до Закону.

2.9.  Цілі обробки персональних даних повинні відповідати цілям діяльності   закладу та/або передбачені законодавством України.

2.10.  Обробка ЗДО №35 персональних даних здійснюється з метою реалізації:

• трудових відносин;
• адміністративно-правових, податкових відносин та відносин у сфері бухгалтерського обліку;
• реєстрації вихованців до дошкільного закладу;
• відносин у сфері медичного обслуговування вихованців;
• інших відносин, що вимагають обробки персональних даних.

3. Організація обробки персональних даних

3.1. Після формування баз персональних даних призначається відповідальна особа, яка організовує     роботу,  пов’язану  із  захистом  персональних  даних  при їх обробці в конкретній базі персональних даних (надалі – відповідальна особа). Впровадження системи управління персональними даними включає в себе:

1) визначення переліку баз персональних даних ( надалі – БПД), які обробляються ЗДО №35 відповідно до Закону з урахуванням мети обробки персональних даних, сформульованих відповідно до вимог законодавства: місцезнаходження БПД, структури інформаційної системи тощо;

Переліки БПД, які обробляються, формуються відповідальною особою та затверджуються директором.

1. присвоєння кожній БПД найменування та затвердження цілей її обробки;
2. впровадження процедур, спрямованих на забезпечення дотримання принципів обробки персональних даних;
3. надання часткового або повного права обробки персональних даних іншим суб’єктам відносин, пов’язаних із персональними даними, що здійснюється за згодою суб’єкта персональних даних та/чи відповідно до Закону;
4. забезпечення захисту персональних даних у БПД від незаконної обробки, а також від незаконного доступу до них, відповідно до Закону;
5. оформлення та подання до Державної служби України з питань захисту персональних даних (надалі – ДСЗПД) заяв про реєстрацію БПД. Заява оформлюється щодо кожної бази даних, яка перебуває у володінні закладу. Заява про реєстрацію новоствореної БПД подається відповідальною особою у десятиденний строк з моменту першого внесення до такої бази відомостей, що становлять персональні дані.
6. Заява про реєстрацію та/або Заява про зміни (далі, якщо інше не вказано – Заява/Заяви) подається ДСЗПД, за вибором заявника, якщо інше не передбачено законодавством, в один із таких способів:

• надсилається поштою;
• засобами електронного зв’язку в електронній формі з дотриманням вимог Закону України «Про електронні документи та електронний документообіг».

Контактні дані для подання Заяви:

• наручно або поштою: вул. С.Сєнчева 16-а, м.Кропивницький, 25014
• заява в електронному вигляді, заповнена з дотриманням вимог Закону України «Про електронні документи та електронний документообіг», надсилається на адресу електронної скриньки (е-mаіl) ДСЗПД.

3.2.  Заява на  паперовому  носії  заповнюється  машинописним  текстом   або   власноручно друкованими літерами з використанням чорнил синього або чорного кольору. У заяві на паперовому носії кожний окремий аркуш заяви повинен бути скріплений підписом керівника та печаткою закладу.

Відповідальна  особа  зобов’язана  повідомляти  ДСЗПД  про  кожну  зміну  відомостей , необхідних для реєстрації відповідної бази, не пізніше як протягом десяти робочих днів з дня настання такої зміни.

3.3.   З метою належної обробки персональних даних Відповідальна особа забезпечує:

1) відповідальність за дотримання законодавства України у сфері захисту персональних даних;

2) захист персональних даних у БПД від незаконної обробки, а також від незаконного доступу до них;

3) здійснення періодичної та поточної оцінки ефективності обробки персональних даних у БПД;

4) обов’язкову реєстрацію усіх БПД, якими володіє заклад , в Державному реєстрі баз персональних даних.

3.4. Відповідальна особа зобов’язана вносити зміни до персональних даних на підставі вмотивованої письмової вимоги суб’єкта персональних даних. Дозволяється внесення змін до персональних даних за зверненням інших суб’єктів відносин, пов’язаних із персональними даними, якщо на це є згода суб’єкта персональних даних , чи відповідна зміна здійснюється за рішенням суду, що набрало законної сили.

3.5. Зміна персональних даних, які не відповідають дійсності, проводиться невідкладно з моменту встановлення невідповідності.

3.6. Персональні дані в БПД підлягають знищенню у разі:

1) закінчення строку зберігання даних, визначеного згодою суб’єкта персональних даних на обробку цих даних або Законом;

2) припинення правовідносин між суб’єктом персональних даних та володільцем чи розпорядником бази, якщо інше не передбачено законом;

3) набрання законної сили рішенням суду щодо вилучення даних про фізичну особу з БПД.

4. Права суб’єкта персональних даних

4.1.  Суб’єктом персональних даних є фізична особа, стосовно якої здійснюється обробка її персональних даних.

4.2. Особисті немайнові права на персональні дані є невід’ємними і непорушними.

4.3. Суб’єкт персональних даних має право:

• знати про місцезнаходження бази персональних даних, яка містить його персональні дані, її призначення та найменування, місцезнаходження володільця чи розпорядника цієї бази або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам, крім випадків, встановлених Законом;

• протягом десяти робочих днів з дня включення його персональних даних до БПД отримати повідомлення про свої права, визначені Законом, мету збору даних та осіб, яким передаються його персональні дані, виключно в письмовій формі. Таке повідомлення оформлюється та надається суб’єкту персональних даних відповідальною особою у письмовій формі. Повідомлення не здійснюється, якщо персональні дані збираються із загальнодоступних джерел.
• отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються його персональні дані, що містяться у відповідній базі персональних даних;
• на доступ до своїх персональних даних, що містяться у відповідній базі персональних даних;
• отримувати не пізніш як за тридцять календарних днів з дня надходження запиту, крім випадків, передбачених Законом, відповідь про те, чи зберігаються його персональні дані у відповідній базі персональних даних, а також отримувати зміст його персональних даних, які зберігаються;
• пред’являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних, якщо ці дані обробляються незаконно чи є недостовірними;
• на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження у зв’язку з умисним приховуванням, ненаданням чи несвоєчасним їх наданням, а також на захист від надання відомостей, що є недостовірними чи ганьблять честь, гідність та ділову репутацію фізичної особи;
• застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.

5. Умови допуску працівників до БПД

5.1. Кожен працівник має право на використання персональних даних третіх осіб лише в межах професійних, службових або трудових обов’язків та за умови надання ним зобов’язання (гарантії) не допускати розголошення у будь-який спосіб персональних даних, які йому було довірено або які стали відомі у зв’язку з виконанням професійних, службових або трудових обов’язків.

5.2.  Працівники зобов’язані:

5.2.1.  Не розголошувати персональні дані третім особам, що стали їм відомі у зв’язку із здійсненням професійних, службових або трудових обов’язків, за винятком випадків, коли:

– є письмова згода суб’єкта персональних даних на таке розголошення;

– діюче законодавство України дозволяє здійснити певні дії, пов’язані з таким розголошенням .

5.2.2.  Виконувати вимоги наказів, інструкцій та положень по забезпеченню збереження БПД, дотримуватись встановленого порядку: виконання робіт, зберігання документів, які містять персональні дані; доступу,   роботи   з   персональними   комп’ютерами   та   іншою   електронною технікою.

• Не використовувати персональні дані при здійсненні інших видів діяльності, а також в процесі роботи для іншого підприємства, установи, організації.
• Негайно ставити до відома відповідних посадових осіб про необхідність надати відповідь чи вже надані відповіді на запити посадових осіб компетентних органів (податкової інспекції, прокуратури, міліції тощо), що були зроблені ними при виконанні службових обов’язків, що стосуються персональних даних.
• Негайно повідомляти свого безпосереднього керівника про втрату чи нестачу носіїв інформації, що містять персональні дані, посвідчень, ключів від приміщень, сховищ, сейфів, та про інші факти, які можуть призвести до розголошення персональних даних, а також про причини та умови витоку інформації.

5.2.5.  Не створювати умов для витоку персональних даних та докладати зусиль до припинення такого витоку, якщо стало відомо, що витік має місце або для нього складаються умови.

5.2.6.  У випадку виявлення намагань сторонніх осіб отримати від працівника персональні дані, крім його особистих, негайно сповістити про це свого безпосереднього керівника.

5.2.7.  У випадку звільнення працівника:

• передати усі носії персональних даних своєму безпосередньому керівнику;
• не розголошувати персональні дані третіх осіб та не використовувати їх для себе, не передавати іншим особам.

5.3. Порядок допуску працівників до БПД.

• Працівник, який в силу своїх службових обов’язків має доступ до персональних даних, а також працівник, якому буди довірені персональні дані інших осіб для виконання певного завдання, зобов’язаний з моменту прийому на роботу або на першу вимогу ознайомитись з цим Положенням та надати зобов’язання по нерозголошенню персональних даних інших осіб. Допуск до персональних даних здійснюється лише після того, як працівник дав зобов’язання про нерозголошення персональних даних, за винятком випадків, передбачених цим Положенням.
• Зобов’язання про нерозголошення персональних даних інших осіб оформлюється у письмовій формі за підписом працівника. Таке зобов’язання оформлюється у одному примірнику, який зберігається в особовій справі працівника.

5.4.  Порядок припинення допуску працівників до БПД .

5.4.1.  Допуск працівника до БПД може бути припинений у таких випадках:

• розірвання трудового договору (контракту) незалежно від причин розірвання;
• одноразового порушення працівником взятих на себе зобов’язань по нерозголошенню та захисту персональних даних;
• в інших випадках, передбачених законодавством.

5.4.2.  Припинення доступу до БПД здійснюється наказом по дошкільному закладу-школі № 10, з яким працівник ознайомлюється під підпис.

5.5.  Відповідальність за розголошення персональних даних інших осіб.

5.5.1.  За порушення зобов’язань по нерозголошенню персональних даних працівник несе відповідальність, передбачену чинним законодавством.

6. Порядок доступу до персональних даних третіх осіб

6.1. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб’єкта персональних даних, наданої на обробку цих даних або відповідно до вимог Закону.

6.2. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов’язання щодо забезпечення виконання вимог Закону України «Про захист персональних даних» або неспроможна їх забезпечити.

6.3. Суб’єкт відносин, пов’язаних з персональними даними, подає запит на ім’я керівника  щодо доступу до персональних даних (надалі – Запит).

У запиті зазначаються:

1) прізвище, ім’я та по-батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує фізичну особу, яка подає запит (для фізичної особи – заявника);

2) найменування, місцезнаходження юридичної особи, яка подає запит, посада, прізвище, ім’я та по-батькові особи, яка засвідчує запит; підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи – заявника);

3) прізвище, ім’я та по-батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, стосовно якої робиться запит;

4) відомості про базу персональних даних, стосовно якої подається запит, чи відомості про володільця чи розпорядника цієї бази;

5) перелік персональних даних, що запитуються;

6) мета запиту.

6.5. Строк вивчення запиту на предмет його задоволення не може перевищувати десяти робочих днів з дня його надходження. Протягом цього строку відповідальна особа доводить до відома особи, яка подає запит, чи запит буде задоволено, чи відповідні персональні дані не підлягають наданню, із зазначенням підстави, визначеної у відповідному нормативно-правовому акті.

Запит задовольняється протягом тридцяти календарних днів з дня його надходження, якщо інше не передбачено Законом.

• Суб’єкт персональних даних має право на одержання будь-яких відомостей про себе у будь-якого суб’єкта відносин, пов’язаних з персональними даними, без зазначення мети запиту, крім випадків, установлених Законом.
• Відстрочення або відмова у доступі до персональних даних.

6.7.1.  Відстрочення доступу суб’єкта персональних даних до своїх персональних даних не допускається.

6.7.2.  Відстрочення доступу до персональних даних третіх осіб допускається у разі, якщо необхідні дані не можуть бути надані протягом тридцяти календарних днів з дня надходження запиту. При цьому загальний термін вирішення питань, порушених у запиті, не може перевищувати сорока п’яти календарних днів.

6.7.3.  Повідомлення про відстрочення доводиться до відома третьої особи, яка подала запит, у письмовій формі з роз’ясненням порядку оскарження такого рішення.

6.7.4.  У повідомленні про відстрочення зазначаються:

• прізвище, ім’я та по-батькові посадової особи;
• дата відправлення повідомлення;
• причина відстрочення;
• строк, протягом якого буде задоволено запит.

6.7.5.  Відмова у доступі до персональних даних допускається, якщо доступ до них заборонено згідно із Законом.

У повідомленні про відмову зазначаються:

• прізвище, ім’я, по-батькові посадової особи, яка відмовляє у доступі;
• дата відправлення повідомлення;
• причина відмови.

6.7.6.  Рішення про відстрочення або відмову у доступі до персональних даних може бути оскаржено до ДСЗПД, інших органів державної влади та органів місцевого самоврядування, до повноважень яких належить здійснення захисту персональних даних, або до суду.

6.7.7.  Якщо запит зроблено суб’єктом персональних даних щодо даних про себе, обов’язок доведення в суді законності відмови у доступі покладається на володільця бази персональних даних, до якого подано запит.

6.8.  Про передачу персональних даних третій особі відповідальна особа протягом десяти робочих днів повідомляє суб’єкта персональних даних, якщо цього вимагають умови його згоди або інше не передбачено Законом. Повідомлення не здійснюються у разі:

1) передачі персональних даних за запитами при виконанні завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;

2) виконання органами державної влади та органами місцевого самоврядування своїх повноважень, передбачених Законом;

3) здійснення обробки персональних даних в історичних, статистичних чи наукових цілях.

6.9. Про зміну чи знищення персональних даних або обмеження доступу до них відповідальна особа протягом десяти робочих днів повідомляє суб’єкта персональних даних, а також суб’єктів відносин, пов’язаних із персональними даними, яким ці дані було передано.

Директор ЗДО №35                      А.Крутікова