Как детский сад №118 Иркутска выстроил работу с персональными данными детей и родителей

О клиенте

МБДОУ детский сад № 118 Иркутска — муниципальное дошкольное образовательное учреждение, которое обрабатывает персональные данные воспитанников, родителей и сотрудников.

Среди них есть сведения о здоровье детей — данные специальной категории, для работы с которыми законодательство устанавливает дополнительные требования.

Цель проекта

У учреждения не было полного комплекта документов по персональным данным, а руководителю было важно понимать, готов ли детский сад к возможному контролю Роскомнадзора.

Для этого специалисты «Форус» обследовали работу с персональными данными во всём учреждении. Задача — выявить несоответствия требованиям 152-ФЗ, подготовить необходимые документы и определить дальнейшие действия по защите персональных данных.

Как проходила работа

Начали с обследования процессов

Специалисты выяснили, какие данные и для каких целей обрабатываются, какие документы уже используются, что указано в реестре операторов Роскомнадзора и как организован сбор данных через сайт.

Отдельно проверили сайт по шести направлениям: российский хостинг, политика обработки ПДн, уведомление о cookie и метрических программах, сервисы веб-аналитики, согласия в формах и чек-боксы. Нарушений не обнаружили — все проверенные требования уже выполнялись.

Разработали документы с учётом специфики учреждения

Для детского сада недостаточно взять типовой комплект документов и заменить в нём название организации. Нужно учитывать разные категории субъектов: детей, родителей, работников, соискателей, представителей контрагентов и пользователей сайта.

Для каждой категории отличаются цели, основания и состав обрабатываемых данных.

Вместо одного универсального согласия специалисты предусмотрели отдельные формы для конкретных целей: обработки и распространения данных сотрудников, распространения данных родителей и детей, проведения мероприятий, работы с соискателями и передачи данных третьим лицам.

Определили ответственных и правила доступа

Подготовили документы о назначении ответственных, перечнях лиц с доступом к информационным системам и помещениям, правилах обработки ПДн, внутреннем контроле и работе с инцидентами информационной безопасности.

Для сотрудников, непосредственно работающих с персональными данными, предусмотрели инструкции и порядок ознакомления с локальными документами.

Особенность проекта

Защита персональных данных детей

Отдельного внимания потребовала публикация информации о воспитанниках. Обезличенная статистика о количестве детей и фотография конкретного ребёнка — разные ситуации с точки зрения обработки персональных данных.

Для распространения персональных данных ребёнка необходимо согласие его законного представителя. Специалисты учли это при разработке документов для родителей и организации мероприятий.

Работа с бумажными документами

После завершения основной работы руководитель детского сада обратился за дополнительной консультацией: как хранить документы с персональными данными на бумаге и ограничивать доступ к ним.

Специалисты «Форус» разобрали эти вопросы. В подготовленных документах предусмотрели перечень мест хранения материальных носителей с ПДн. Учреждению необходимо указать конкретные места хранения и определить, кто имеет к ним доступ.

Это важно для детского сада, где персональные данные находятся не только в информационных системах, но и в личных делах, заявлениях, согласиях и других бумажных документах.

Результат

За три месяца специалисты «Форус» обследовали обработку персональных данных в детском саду № 118, разработали комплект организационно-распорядительных документов и подготовили дорожную карту дальнейших действий.

В ней определили, какие документы необходимо утвердить, какие согласия собрать, кого из сотрудников ознакомить с новыми правилами и какие сведения актуализировать в реестре операторов Роскомнадзора.

Отдельно предусмотрели:

• техническую защиту — разработку модели угроз, технического задания и проекта системы защиты, внедрение необходимых средств и последующую оценку эффективности принятых мер.
• реагирование на инциденты — порядок уведомления Роскомнадзора об утечке персональных данных в течение 24 часов и представления результатов внутреннего расследования в течение 72 часов.
• поддержание соответствия — периодический внутренний контроль и актуализацию документов при изменении законодательства, целей обработки, состава данных или процессов учреждения.

В результате руководитель получил необходимые документы и порядок дальнейшей работы с персональными данными детей, родителей и сотрудников.

Проверим, как в вашей организации работают с персональными данными

Специалисты «Форус» проведут обследование, выявят несоответствия требованиям 152-ФЗ и помогут снизить риски штрафов со стороны контролирующих органов.

   Проверить соответствие 152-ФЗ