ПОЛИТИКА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
I. ОБЩИ ПОЛОЖЕНИЯ
1. Настоящата Политика определя правилата и реда, по които учебното заведение,наричано по-долу „училището” събира, обработва, съхранява и защитава личните данни на учениците, техните родители/настойници, служителите и трети лица.
2. 36. СУ „М. Горки“ обработва лични данни в пълно съответствие с Общия регламент за защита на данните (Регламент (ЕС) 2016/679 – GDPR) и Закона за защита на личните данни (ЗЗЛД) на Република България.
3. Данни за Администратора:
- Наименование: 36. СУ „М. Горки“
- Адрес: гр. София, район „Красно село“, ул. „Пирински проход“ 35
- Булстат/ЕИК: 000667976
- Директор: Луиза Накова
4. Данни за Длъжностното лице по защита на данните (ДЛЗД):
- Име: адв. Елена Иванова Златева
- Контакти:
- Телефон: 0882030565
II. .КАТЕГОРИИ ЛИЦА И ВИДОВЕ ДАННИ, КОИТО СЕ ОБРАБОТВАТ В УЧИЛИЩЕТО
5. 36. СУ „М. Горки“ като администратор на лични данни, обработва само законно събрани лични данни, необходими за конкретни, точно определени и законни цели – обучение, възпитание и социализация на учениците, нормативно установени в чл. 3 на ЗПУО и чл. 9 на Наредба № 8/11.08.2016 г. на МОН за информацията и документите за системата на предучилищното и училищно образование, здравна и медицинска информация, информация за СОП, информация за присъствие и отсъствия на учениците, фото и видеоматериали (в т.ч. снимки за документи), данни за контакт на родител/ настойник.
6. 36. СУ „М. Горки“ обработва лични данни свързани с трудовите правоотношения на работещите в същото и такива, данни свързани с гражданскоправни отношения, лични данни на кандидати за работа. Обработваните категории лични данни касаят физическата и социалната, семейната и икономическата идентичност на лицата, съдебна информация, както данни за тяхното здравословно състояние.
7. Законово задължение:По-голямата част от данните се обработват за изпълнение на законовите задължения на училището, съгласно Закона за предучилищното и училищното образование (ЗПУО) и всички подзаконови нормативни актове в системата на образованието.
8. Договорно основание: За целите на възникналите трудови правоотношения (трудови договори и допълнителни споразумения към тях) с педагогическия и непедагогическия персонал, както и граждански договори с външни за институцията лица..
9. Легитимен интерес: Осигуряване на сигурност чрез система за видеонаблюдение, за което има поставени указателни табели, съдържащи изискуемата информация, както и контрол на достъпа в сградата на Училището. Видеонаблюдението е изградено с оглед опазване живота и здравето на учениците и персонала, във връзка с учебния процес, в т.ч. при изпълнение на Наредба № 11/01/09.2016 г. за оценяване на резултатите от обучението на учениците.
10. Изрично съгласие: За дейности извън задължителната учебна подготовка – публикуване на снимки на сайта/фейсбук страницата на училището, участие в извънкласни проекти, тържества и състезания, екскурзии, олимпиади и др. такива.
11. Обработването на данните се извършва за конкретните и точно определени от закона цели, като данните се обработват законосъобразно и добросъвестно и не могат да се обработват допълнително по начин, несъвместим с тези цели.
12. Като образователна институция ние имаме законово задължение да съхраняваме училищната документация за нормативно определените срокове. Учебното заведение има задължение да издава документи касаещи образователния процес. Тези документи имат задължителни атрибути и по закон съдържат по-голям набор от лични данни като: ЕГН, дата и място на раждане, постоянен адрес, снимка и др.
13. Имаме законовото задължение да обработваме лични данни при кандидатстване и получаване на стипендии съгласно относимата нормативна уредба.
14. Данните като адрес, телефонен номер и електронната поща, са необходими за комуникацията на училището със семейството на ученика. Училището има задължение да осигурява сигурността и безопасността на неговата територия, което включва и заснемането на изображения чрез системата за видеонаблюдение. При необходимост учебното заведение е задължено да сподели тази информация с правоохранителните органи.
III. ОБРАБОТВАНЕ НА ЛИЧНИТЕ ДАННИ
15. Според чл. 6 от Регламента, обработването е законосъобразно само ако и доколкото е приложимо поне едно от следните условия:
15.1. субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
15.2. обработването е необходимо за изпълнение на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключване на договор;
15.3.обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
15.4.обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;
15.5.обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
15.6. обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално, когато субектът на данните е дете.
IV. КАК СПАЗВАМЕ ПРИНЦИПА НА ПОВЕРИТЕЛНОСТ
16. Принципът на поверителност е основен стълб в защитата на информацията, личните данни и професионалната етика. Неговото спазване изисква комбинация от технически мерки, ясни правила и отговорно поведение. Намерението да споделяме данни, свързани с физически лица, на организация извън нашата, трябва да бъде ясно определено в уведомленията. Данните ще бъдат споделяни с външни лица при обстоятелства, при които това е законно изискване за предоставяне на такава информация. Всяко предложено изменение на обработката на данните на физическите лица трябва да бъде предварително съобщено на тях.
17. Основните начини, по които ще се спазва този принцип, са разделени в три ключови категории, а именно:
17.1. организационни и правни мерки;
17.2. технически мерки за защита;
17.3. ежедневни професионални практики.
18. При никакви обстоятелства училището няма да разкрива информация или данни, които:
18.1. биха причинили вреда на детето;
18.2. биха посочвали, че детето е или е било обект на злоупотреба или има риск от това, освен когато разкриването не би било в най-добрия интерес на детето;
18.3.биха позволили друго лице да бъде идентифицирано, освен ако лицето е служител на училището или лицето не е дало съгласие, или е разумно в обстоятелствата да се разкрие информацията без съгласието. Изключението от разкриването не се прилага, ако информацията може да бъде редактирана така, че името или идентификационните данни на лицето да бъдат премахнати.
19. Това правило описва принципа за защита на правата на трети лица при упражняване на правото на достъп до данни, съгласно чл.15 от Общ регламент за зашита на данните, конкретно в контекста на училищната среда.
V. ЗАДЪЛЖЕНИЯ НА АДМИНИСТРАТОРА НА ЛИЧНИ ДАННИ
20. Като администратор на лични данни, училището, представлявано от неговия директор носи пълна правна отговорност за законосъобразното обработване на информацията. Според ОРЗД и българското законодателство нашите основни задължения са разделени в няколко ключови направления, а именно:
20.1.законосъобразност и прозрачност-налице е ясно правно основание за всяко обработване, като най-често това е законово задължение по ЗПУО или при наличие на обществен интерес. Използването на „съгласие“ се прилага само за извънкласни дейности, снимки, събития или екскурзии;
20.2.ограничение на целите-данните се събират само за конкретни училищни цели и не могат да се използват за нищо друго;
20.3.минимизиране на данните – изискваме само това, което е строго необходимо;
20.4. ограничение на съхранението-Данните се съхраняват в училището, в съответствие със сроковете в Наредба № 8/11.08.2016г.;
21. Организационни и технически задължения:
21.1. определяне на ДЛЗД;
21.2. поддържане на регистър на дейностите;
21.3. информиране на лицата;
22.Защита на данните и реакция при инциденти:
22.1. сигурност и контрол на достъпа;
22.2.договори с обработващи данни;
22.3. уведомяване при пробива;
23.Оценка на риска и управление на искания:
23.1.извършване на ОВЗД;
23.2. удовлетворяване правата на субектите.
24. Като Администратор на лични данни имаме задължение да защитаваме личните данни чрез подходящи мерки за сигурност;
25. Да уведомяваме органите за нарушения на сигурността на личните данни;
26. Да документираме обработването на личните данни;
27. Да водим подробни записи за дейностите по обработка на данните и получаване на съгласие.
VI. СЪХРАНЕНИЕ НА ЛИЧНИТЕ ДАННИ
28. Личните данни се съхраняват за различни периоди от време, но само толкова дълго, колкото е необходимо за постигане на целите, за които са събрани. Сроковете за съхранение на архиви с лични данни са определени със Закона за държавния архив, Закона за счетоводството, както и относимата нормативна уредба в системата на образованието. След изтичане на този срок личните данни се унищожават по определения ред.
29. Най-дългият срок за съхранение на лични данни е свързан със законовото ни задължение да издаваме дубликати на свидетелства за основно образование и/или дипломи за средно образование, както и законово задължение за съхранение на трудовите досиета на педагогическия и непедагогическия персонал. Данните се съхраняват в училищния архив при строги правила и ограничен достъп се използват само при заявление за издаване на дубликат или копие от документ, находящ се в трудовото досие.
VII. НА КОГО СЕ ПРЕДОСТАВЯТ ЛИЧНИТЕ ДАННИ
30. Персоналните данни на учениците няма да бъдат разкривани на трети лица без съгласието на родителя на ученика, освен ако това е задължително по закон или е в най-добрия интерес на същия.
31. Училището има законово задължение да предоставя личните данни на:
31.1. РУО и МОН;
31.2. за изпълнение на дейности на НОИ, НАП, ДАЗД, Агенция за социално подпомагане и органи на местното самоуправление;
31.3. разкриване на лични данни, когато това е предвидено в закон, както и по искане на съда или на разследващи органи (органите на полицията, следствието, прокуратурата), а също и когато бъдат поискани от други държавни органи, когато е разрешено от закона.
VIII. ПРАВА НА ЛИЦАТА СУБЕКТ НА ЛИЧНИТЕ ДАННИ
32. Информираност (във връзка с обработването на личните му данни от администратора);
33. Достъп до собствените си лични данни;
34. Коригиране (ако данните са неточни);
35. Изтриване на личните данни (право „да бъдеш забравен“);
36. Ограничаване на обработването от страна на администратора;
37. Преносимост на личните данни между отделните администратори;
38. Възражение спрямо обработването на негови лични данни;
39. Субектът на данни има право и да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, включващо профилиране, което поражда правни последствия за субекта на данните или по подобен начин го засяга в значителна степен;
40. Право на защита по съдебен или административен ред, в случай, че правата на субекта на данни са били нарушени.
IX. ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
41. Работещите в Училището служители полагат необходимата грижа за да защитят поверените ни лични данни, като прилагаме строги процедури и мерки за сигурност, за да предотвратим неупълномощен достъп. Данните, които събираме, се съхраняват на хартиен носител и в електронен вариант.
42. Хартиените носители са с ограничен достъп, изрично и персонално разрешен от администратора за определени служебни лица и се съхраняват в помещения и на места, които са под режим на заключване и оборудвани със сигнално-охранителна техника.
43.Личните данни на електронни носители се съхраняват и трансферират само криптирани.
X. СВЕЖДАНЕ ДО ЗНАНИЕ И АНГАЖИРАНЕ ОТОВОРНОСТТА НА СЛУЖИТЕЛИТЕ.
44. Нарушаването на поверителността на личните данни е и нарушение на законодателството за защита на данните и може да доведе до съдебни искове срещу учебното заведение. Това налага работещите в институцията да спазват относимата нормативна уредба касаеща защитата на личните данните.
45. Всички служители следва да бъдат запознати с настоящата политика, както и с други правила и инструкции, регламентиращи защитата на личните данни и налични в учебното заведение.
46. Служителите подписват Декларация за поверителност.
47. При допуснато и доказано нарушение на сигурността, учебното заведение ще предприеме действия в съответствие с нормативната уредба.
Данни за контакт с длъжностното лице по защита на личните данни:
По всички въпроси, свързани с обработването на Вашите лични данни и с упражняването на права, можете да се обърнете към определеното от Училището длъжностно лице по защита на личните данни – адв. Елена Златева, на някой от посочените данни за контакт публикувани на сайта на 36. СУ „М. Горки“.