Персональные данные обучающихся в образовательной организации, основания для их обработки, защиты и хранения

574

Дата актуализации: 

01.11.2021

Обучаясь в учебном заведении, каждый слушатель должен быть уверен в том, что передаваемые им персональные данные (ФИО, адрес или паспортные данные) надежно защищены от взлома или передачи третьим лицам. Получая персональные сведения от обучающихся, образовательная организация становится оператором персональных данных. Официальная регистрация образовательного учреждения в Роскомнадзоре в качестве оператора персональных данных свидетельствует о соблюдении организацией требований законодательства и повышает уровень доверия со стороны слушателей, однако, не все организации, оказывающие образовательные услуги, имеют такую регистрацию, что ставит под угрозу безопасность персональных данных обучаемых.

Персональными данными (далее — ПД), в соответствии со ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ № 152), является «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)».

Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уничтожение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, является их обработкой (ст. 3 ФЗ № 152).

При этом оператором персональных данных в данном случае будет образовательная организация, самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку персональных данных, а также определяющая цели такой обработки, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД.

Необходимо иметь в виду, что оператором персональных данных лицо признается в силу самого факта осуществления деятельности по обработке ПД, вне зависимости от наличия/отсутствия регистрации в качестве такового. Между тем до начала обработки ПД оператор обязан уведомить уполномоченный орган по защите прав субъектов ПД о своем намерении осуществлять обработку ПД (ч. 1 ст. 22 ФЗ № 152). Таким уполномоченным органом является Роскомнадзор по соответствующему субъекту РФ.

К персональным данным слушателей образовательного учреждения может относится различное количество их видов, например:

- сведения, содержащиеся в паспорте или ином документе, удостоверяющем личность;

- сведения, содержащиеся в свидетельстве о рождении, о заключении/расторжении брака;

- сведения об успеваемости;

- данные о месте работы и должности;

- биометрические данные, например фото;

- иные сведения, необходимые образовательной организации для исполнения договора.

Обработка персональных данных слушателя может осуществляться либо с согласия самого субъекта, либо в отсутствие такового, но только в случаях, которые прямо указаны в пп. 2-11 ч. 1 ст. 6 ФЗ № 152.

Приведем перечень таких случаев:

• обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;

• обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;

• обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;

• обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;

• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

• обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;

• обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

• осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

Обязать слушателя дать согласие на обработку персональных данных нельзя, т.к. такое согласие дается только по собственной воле и должно быть конкретным, информированным и сознательным (ч. 1 ст. 9 ФЗ № 152).

Таким образом, образовательная организация должна либо получить согласие слушателя на обработку его персональных данных, либо производить обработку таких данных только в целях и в пределах, которые подпадают под исключения ФЗ № 152.