Образовательные организации и персональные данные

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Именно так указано в Федеральном законе от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных). Проще говоря, это могут быть любые сведения, на основании которых можно однозначно выделить (определить) человека (субъекта персональных данных) из группы лиц.

В соответствии с Закон о персональных данных к такой информации относится: фамилия, имя, отчество; год, месяц, дата и место рождения; адрес; семейное, социальное и имущественное положение; образование; профессия; доходы; иные сведения, относящиеся к субъекту персональных данных.

Например, фамилия, имя и отчество сами по себе не являются персональными данными. А вот, если к Ф.И.О. добавится адрес регистрации или номер телефона, или дата рождения (иные личные данные), то такие данные уже становятся персональными.

Таким образом, персональными данными можно считать только те данные, которые в своей совокупности позволяют точно определить человека, которому они принадлежат.

Под обработкой персональных данных в Законе о персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оказание образовательных услуг всегда предполагает работу образовательной организации с персональными данными обучающихся (Ф.И.О., дата рождения, СНИЛС, гражданство, данные об образовании и квалификации, место работы и должность и т.д.).

Согласно требованиям Закона о персональных данных, оператором персональных данных является любое юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами осуществляет обработку персональных данных граждан.

При организации учебного процесса образовательная организация осуществляет обработку персональных данных учителей, учеников, их родителей и, таким образом, является оператором персональных данных.

Для законности процесса сбора, обработки и распространения персональных данных необходимо получить согласие на это самого человека или его законных представителей, если речь идет о несовершеннолетних.

Однако, статьи 5-6 Закона о персональных данных разрешают образовательным организациям обрабатывать данные учеников и родителей без их письменного согласия. Но есть важный нюанс: образовательная организация может обрабатывать персональные данные учеников и их родителей только для целей организации учебного процесса.

Например, чтобы заполнять электронный журнал, формировать статистику, следить за здоровьем обучающихся, нужна личная информация – образовательная организация будут ею пользоваться даже без согласия обучающихся/родителей.

Образовательная организация может учить обучающихся даже без подписанного согласия на обработку персональных данных. Сведения об учениках и родителях у образовательной организации должны быть изначально, поскольку в образовательное учреждение не зачислят, если не предоставить минимум документов и не заполнить договор. Если заказчик образовательных услуг отказался передавать образовательной организации документы, то в зачислении откажут.

Однако экскурсии, поездки нельзя организовать, если обучающийся/родители не согласились передавать данные образовательной организации.

Общее правило обработки персональных данных - на каждую цель своё согласие. Письмо Минкомсвязи от 28.08.2020 № ЛБ-С-074-24059 содержит рекомендации относительно работы с персональными данными в образовательном учреждении.

Оператор персональных данных ДО НАЧАЛА обработки таких данных должен направить соответствующее уведомление об этом в уполномоченный орган и включиться в реестр операторов персональных данных (ч. 1 ст. 22 Закона о персональных данных).

Уведомление об обработке персональных данных необходимо направлять в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) по месту регистрации оператора персональных данных.

В связи с чем любая организация, которая осуществляет образовательную деятельность, должна в обязательном порядке состоять в реестре Роскомнадзора в качестве оператора персональных данных!