Организационные меры
Резервное копирование и хранение данных должно осуществлять на периодической основе:
для обрабатываемых персональных данных – не реже раза в неделю;
для технологической информации – не реже раза в месяц;
эталонные копии программного обеспечения (операционные системы, штатное и специальное программное обеспечение, программные средства защиты), с которых осуществляется их установка на элементы системы – не реже раза в месяц, и каждый раз при внесении изменений в эталонные копии (выход новых версий).
Данные о проведение процедуры резервного копирования, должны отражаться в специально созданном журнале учета.
Носители, на которые произведено резервное копирование, должны быть пронумерованы: номером носителя, датой проведения резервного копирования.
Носители должны храниться в несгораемом шкафу в помещении, оборудованном системой пожаротушения.
Носители должны храниться не менее года, для возможности восстановления данных.
4 Список терминов и сокращений
ИНСТРУКЦИЯ ПО ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ БЕЗ ИСПОЛЬЗОВАНИЯ СРЕДСТВ АВТОМАТИЗАЦИИ
Общие положения
Настоящая Инструкция разработана в соответствии с «Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденным постановлением Правительства РФ от 15.09.2008 № 687, является дополнением к «Положению об обработке персональных данных в ____________________________________________________________________________»
(наименование образовательного учреждения)
и определяет правила работы с персональными данными и их материальными носителями без использования средств автоматизации.
Обработка персональных данных, полученных от работника, содержащихся в государственной информационной системе «ИСУОД» (далее - ГИС) либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
Документ, содержащий персональные данные - материальный носитель с зафиксированной на нем в любой форме информацией, содержащей персональные данные работников (или граждан в договорах с физическими лицами) в виде текста, фотографии и (или) их сочетания.
С учетом большого объема (массовости) документов, содержащих персональные данные, и строго регламентированного порядка их хранения пометка конфиденциальности на них не ставится.
С настоящей инструкцией должны быть ознакомлены под подпись работники, допускаемые к обработке персональных данных без использования средств автоматизации. Листы ознакомления хранятся у ответственного за систему защиты информации в информационной системе персональных данных.
Порядок обработки персональных данных
Персональные данные должны обособляться от иной информации путем фиксации их на отдельных материальных носителях, в специальных разделах или на полях форм (бланков).
При фиксации персональных данных на материальных носителях не допускается фиксации на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных - использовать отдельный материальный носитель для каждой из категорий.
Работники, осуществляющие обработку персональных данных, информируются непосредственным начальником (руководителем) о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.
Типовые формы документов должны быть составлены таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных.
Хранение документов, содержащих персональные данные, осуществляется в металлических шкафах или сейфах.
Уничтожение документов, содержащих персональные данные, осуществляется способом, не позволяющим в дальнейшем ознакомиться с персональными данными.
Обязанности сотрудника, допущенного к обработке персональных данных
При работе с документами, содержащими персональные данные, сотрудник обязан исключить возможность ознакомления, просмотра этих документов лицами, не допущенными к работе с ними (в том числе другими работниками своего структурного подразделения).
При выносе документов, содержащих персональные данные, за пределы территории ___________________________________________________________________
(наименование образовательного учреждения)
(далее - ОУ) по служебной необходимости сотрудник должен принять все возможные меры, исключающие утрату (утерю, хищение) таких документов.
При утрате (утере, хищении) документов, содержащих персональные данные, работник обязан немедленно доложить о таком факте своему непосредственному начальнику (руководителю). Непосредственный начальник (руководитель) должен сообщить заместителю директора, курирующему вопросы защиты информации о факте утраты (утере, хищении) документов, содержащих персональные данные. По каждому такому факту назначается служебное расследование.
Сотрудникам, допущенным к обработке персональных данных, запрещается:
1. Сообщать сведения, являющиеся персональными данными, лицам, не имеющим права доступа к этим сведениям.
2. Делать неучтенные копии документов, содержащих персональные данные.
3. Оставлять документы, содержащие персональные данные, на рабочих столах без присмотра.
4. Покидать помещение, не поместив документы с персональными данными в закрываемые сейфы, шкафы.
5. Выносить документы, содержащие персональные данные, из помещений ОУ без служебной необходимости.
5. Ответственность
Ответственность за неисполнение или ненадлежащее выполнение требований настоящей Инструкции возлагается на работников и руководителей подразделений.
Контроль за выполнением положений настоящей Инструкции возлагается на ответственного за систему защиты информации (СЗИ) ГИС в ОУ.
За нарушение правил обработки персональных данных, их неправомерное разглашение или распространение, виновные лица несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующим законодательством.
В случае если в результате действий работника был причинен подлежащий возмещению работодателем ущерб третьим лицам, работник несет перед работодателем материальную ответственность в соответствии с главой 39 Трудового кодекса РФ.
В случае разглашения персональных данных, ставших известными работнику в связи с исполнением им трудовых обязанностей, в том числе разглашения персональных данных другого работника, трудовой договор с работником может быть расторгнут работодателем (подпункт «в» пункта 6 статьи 81 Трудового кодекса РФ).
Лист ознакомления
с Инструкцией
по обработке персональных данных в
_________________________________________________,
(наименование образовательного учреждения)
осуществляемой без использования средств автоматизации
№ п/п
|
Фамилия, имя, отчество работника
|
Дата ознакомления с Инструкцией
|
Подпись работника
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
