Обработка персональных данных в образовательной организации

Обработка персональных данных в образовательной организации

Среди персональных данных можно выделить следующие категории персональных данных. Во-первых, персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных):

1. фамилия, имя, отчество;

2. год, месяц, дата рождения;

3. место рождения;

4. адрес; 5. телефон;

6. семейное положение;

7. социальное положение;

8. имущественное положение;

9. образование;

10. профессия;

11. занимаемая должность;

12. стаж работы;

13. доходы.

К персональным данным несовершеннолетнего обучающегося можно отнести сведения, содержащиеся в свидетельстве о рождении, паспорте или ином документе, удостоверяющем личность, и информацию, содержащуюся в личном деле и классном журнале.

Во-вторых, специальные категории персональных данных, которые включают следующие персональные данные:

1. расовая или национальная принадлежность;

2. политические взгляды;

3. религиозные или философские убеждения;

4. состояние здоровья;

5. состояние интимной жизни.

Обработка специальных категорий персональных данных допускается только в специально предусмотренных ч. 2 ст. 10 Закона о персональных данных случаях: 1. субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; 2. персональные данные сделаны общедоступными субъектом персональных данных; 3. обработка персональных данных необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии; 4. обработка персональных данных осуществляется в соответствии с Федеральным законом от 25 января 2002 года N 8-ФЗ "О Всероссийской переписи населения"; 5. обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации; 6. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно; 7. обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну; 8. обработка персональных данных членов (участников) общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с 5 законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; 9. обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, а равно и в связи с осуществлением правосудия; 10. обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, об исполнительном производстве, уголовно-исполнительным законодательством Российской Федерации; 11. обработка полученных в установленных законодательством Российской Федерации случаях персональных данных осуществляется органами прокуратуры в связи с осуществлением ими прокурорского надзора; 12. обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством; 13. обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации, государственными органами, муниципальными органами или организациями в целях устройства детей, оставшихся без попечения родителей, на воспитание в семьи граждан; 14. обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о гражданстве Российской Федерации.

В-третьих, биометрические персональные данные – это сведения, характеризующие физиологические и биологические особенности человека, на основе которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных. Биометрические персональные данные будут являться таковыми при наличии условий: 1. они признаны таковыми в силу положений нормативных правовых актов; 2. они характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность; 3. они используются оператором для установления личности субъекта персональных данных. К биометрическим персональным данным относятся физиологические параметры (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и др.) и иные 6 физиологические или биологические характеристики человека, в том числе его изображения (фотография и видеозапись), в частности фотографические изображения обучающихся, сотрудников и посетителей организации, поскольку они характеризуют физиологические и биологические особенности человека. Отпечатки пальцев человека являются биометрическими персональными данными (дактилоскопической информацией), обработка которых осуществляется только в случаях установленных Федеральным законом от 25.07.1998 № 128-ФЗ «О государственной дактилоскопической регистрации в Российской Федерации», которым четко определены виды и порядок проведения дактилоскопической регистрации. Обработка указанных данных в иных случаях, действующим законодательством не предусмотрена. В Российской Федерации проведение государственной дактилоскопической регистрации, а также использование дактилоскопической информации осуществляются в целях идентификации личности человека. Проведение государственной дактилоскопической регистрации возможно в случаях: 1. розыска пропавших без вести граждан Российской Федерации, иностранных граждан и лиц без гражданства; 2. установления личности человека по отпечаткам пальцев (ладоней) рук неопознанного трупа; 3. установления личности граждан Российской Федерации, иностранных граждан и лиц без гражданства, не способных по состоянию здоровья или возрасту сообщить данные о своей личности либо не имеющих документов, удостоверяющих личность; 4. подтверждения личности граждан Российской Федерации, иностранных граждан и лиц без гражданства; 5. предупреждения, раскрытия и расследования преступлений, а также предупреждения и выявления административных правонарушений. Таким образом, дактилоскопическая регистрации посетителей для осуществления однократного и(или) многократного пропуска на территорию не подпадает под действие Закона о персональных данных и в таком случае обработка биометрических персональных данных осуществляется без наличия оснований, предусмотренных законодательством Российской Федерации. Биометрические персональные данные могут обрабатываться оператором только при согласии в письменной форме субъекта персональных данных, за исключением случаев, установленных в ч. 2 ст. 11 Закона о персональных данных, в частности согласно указанной норме обработка биометрических персональных данных может осуществляться без согласия субъекта персональных данных в связи с реализацией международных договоров Российской Федерации о реадмиссии, в связи с осуществлением правосудия и исполнением судебных актов, в связи с проведением обязательной государственной дактилоскопической регистрации, а также в случаях, предусмотренных законодательством Российской Федерации об обороне, о безопасности, о 7 противодействии терроризму, о транспортной безопасности, о противодействии коррупции, об оперативно-разыскной деятельности, о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию и о гражданстве Российской Федерации. Не относятся к биометрическим персональным данным: 1. данные, полученные при сканировании паспорта оператором персональных данных для подтверждения осуществления определенных действий конкретным лицом (например, заключение договора на оказание услуг, в том числе банковских, медицинских и т.п.), т.е. без проведения процедур идентификации (установления личности); 2. данные, полученные при осуществлении ксерокопирования документа, удостоверяющего личность; 3. фотографическое изображение, содержащееся в личном деле работника; 4. подпись лица, наличие которой в различных договорных отношениях является обязательным требованием, и почерк, в том числе анализируемый уполномоченными органами в рамках почерковедческой экспертизы; 5. рентгеновские или флюорографические снимки, характеризующие физиологические и биологические особенности человека и находящиеся в истории болезни (медицинской карте) пациента (не имеет значения, бумажной или электронной), поскольку они не используются оператором (медицинским учреждением) для установления личности пациента; 6. материалы видеосъемки в публичных местах и на охраняемой территории. В-четвертых, общедоступные персональные данные - это сведения, доступные неограниченному кругу лиц, информация из открытых справочников, к которой доступ имеет любой желающий, в частности из таких общедоступных источников персональных данных как справочники и адресные книги. Субъектом персональных данных является физическое лицо, в том числе граждане Российской Федерации, которое принимает решение о предоставлении своих персональных данных операторам персональных свободно, своей волей и в своем интересе. Согласно части 1 статьи 6 Закона о персональных данных одним из правовых оснований обработки персональных данных является наличие согласия субъекта персональных данных на обработку его персональных данных. Каждый субъект персональных данных самостоятельно принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. 8 Согласие на обработку персональных данных может быть дано если иное не установлено федеральным законом в любой позволяющей подтвердить факт его получения форме, в том числе в письменной форме, с использованием электронной цифровой подписи, акцептирования публичной оферты, получения на мобильный телефон и (или) электронную почту уникальной последовательности символов и иными способами и формами. Вместе с тем, в случаях, когда Законом о персональных данных предусмотрена обработка персональных данных только с согласия в письменной форме субъекта персональных данных, то равнозначным признается только согласие в форме электронного документа, подписанного с электронной подписью. Источником получения персональных данных может быть как непосредственно субъект персональных данных (иное лицо, действующее от имени или по поручению субъекта персональных данных на законных основаниях), так и лицо, не имеющее правовых оснований для раскрытия конфиденциальной информации о субъекте персональных данных, а также общедоступные источники. Закон о персональных данных предусматривает возможность дачи согласия в случае недееспособности субъекта персональных данных законным представителем субъекта персональных данных, в том числе законными представителями несовершеннолетнего являются его родители, а законным представителем лица, лишенного дееспособности, выступает его опекун. В тоже время, для предоставления согласия на обработку персональных данных ребенка в письменной форме, достаточно подписи одного из родителей в соответствии с п. 1 ст. 61 Семейного кодекса Российской Федерации. Документами, подтверждающими законность представительства, могут являться свидетельство о рождении, акт о назначении опекуном, а в случае добровольного представительства надлежащим образом оформленная доверенность в простой письменной форме. Необходимо отметить, что при лишении права представительства право дачи согласия от имени недееспособности субъекта персональных данных утрачивается, в частности родитель (законный представитель), лишенный или ограниченный в родительских правах на основании вступившего в законную силу постановления суда, не имеет права дачи согласия дачи согласия на обработку персональных данных от имени ребенка. Однако, в настоящее время в законодательстве Российской Федерации при обработке биометрических персональных данных несовершеннолетних необходимо руководствоваться частями 1 и 2 статьи 11 Закона о персональных данных, согласно которым обработка биометрических персональных данных несовершеннолетних в силу их недееспособности, в том числе с согласия в письменной форме законного представителя субъекта персональных данных на обработку его биометрических персональных данных, не допускается, за исключением случаев, предусмотренных ч. 2 ст. 11 Закона о персональных данных. 9 Обработка персональных данных В соответствии с п. 3 ст. 3 Закона о персональных данных обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Таким образом, законодательством перечень действий по обработке персональных данных не ограничен и не исключает возможности обработки персональных любыми способами. Обработка персональных данных должна соответствовать определенным целям, а обработка персональных данных, несовместимая с целями сбора персональных данных, не допускается. Основополагающими началами обработки персональных данных являются заложенные в Законе о персональных данных принципы обработки персональных данных: 1. обработка персональных данных на законной и справедливой основе; 2. ограничение обработки персональных данных достижением конкретных, заранее определенных и законных целей; 3. недопустимость обработки персональных данных, несовместимой с целями сбора персональных данных; 4. обработка персональных данных, которые отвечают целям их обработки; 5. соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки; 6. исключение обработки персональных данных, являющихся избыточными по отношению к заявленным целям их обработки и др. Выделяют несколько способов обработки персональных данных: 1. автоматизированная обработка персональных данных − обработка персональных данных с помощью средств вычислительной техники; 2. неавтоматизированная обработка персональных данных – обработка персональных данных, осуществляемая при непосредственном участии человека; 3. смешенная обработка персональных данных. Критерии обработки персональных данных без использования средств автоматизации установлены Постановлением Правительства РФ от 15.09.2008 N 687, утвердившим Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации. 10 Статьей 16 Закона о персональных данных установлены права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных, в частности запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением следующих случаев: при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных. В частности, примерами могут стать следующие ситуации: 1. по результатам автоматизированной обработки данных выявлено, что у работника недостаточный уровень квалификации, то на этом основании уволить его как несоответствующего занимаемой должности нельзя; 2. по результатам автоматизированной обработки данных выявлено, что работник не зашел на территорию организации, то на этом основании привлечь его к ответственности нельзя. Данное положение нашло также отражение в статье 86 Трудового кодекса Российской Федерации, согласно которой при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения. Оператор непосредственно определяет порядок получения согласия субъекта персональных данных для обработки его персональных данных. Письменная форма согласия должна включать в себя цель обработки персональных данных, а согласие субъекта персональных данных на обработку его персональных данных может включать в себя только одну цель обработки персональных данных. Указанная норма является императивной и не подлежит расширенному толкованию. При обработке персональных данных субъекта в случаях, требующих составления письменной формы согласия в соответствии с ч. 4 ст. 9 Закона о персональных данных, указанное согласие составляется отдельно для каждой из целей обработки персональных данных. Согласно пункту 2 статьи 9 Закона о персональных данных согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В тоже время, необходимо отметить, что требования по обработке персональных данных не распространяются на отношения, возникающие: 1. при обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных; 11 2. организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации; 3. обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну. Также положениями 2-11 части 1 Закона о персональных данных предусмотрены 10 случаев, при наступлении которых обработка персональных данных допускается без согласия субъекта персональных данных: 1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 2. обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах; 3. обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта); 4. обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг; 5. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем; 12 6. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно; 7. обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных; 8. обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных; 9. обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных; 10. осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе; 11. осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом. Таким образом, согласно п. 2 ч. 1 ст. 6 Закона о персональных данных если организация осуществляет деятельность в целях реализации федерального законодательства, то согласие на обработку персональных данных обучающихся не требуется, в частности образовательные организации, осуществляя в качестве оператора персональных данных обработку персональных данных обучающихся в целях организации образовательного процесса и представляя информацию о текущей успеваемости учащегося, осуществляя ведение электронного дневника и электронного журнала успеваемости, оказывает государственную услугу в соответствии с п. 8 приложения № 1 Распоряжения Правительства Российской Федерации от 17 декабря 2009 г. № 1993-р., не обязаны получать согласия обучающихся и их законных представителей. При этом, следует обратить внимание, что в случае, если ранее организация получила согласие на обработку персональных данных в рамках оказания государственной услуги, то уничтожение данного согласия не требуется, а в случае, если законные представители несовершеннолетнего отозвали ранее данное согласие на обработку персональных данных в рамках 13 оказания данной государственной услуги, то организация может продолжить обработку персональных данных в случаях, предусмотренных законодательством в сфере образования. Иные персональные данные обучающегося, не связанные с образовательным процессом, общеобразовательная организация может получить только с письменного согласия одного из родителей (законного представителя), в том числе к таким данным относятся документы, содержащие сведения, необходимые для предоставления обучающемуся гарантий и компенсаций, установленных действующим законодательством, например, документы о составе семьи и ее социально-экономическом положении. В случае, когда для предоставления государственной или муниципальной услуги необходима обработка персональных данных лица, не являющегося заявителем, и если в соответствии с федеральным законом обработка таких персональных данных может осуществляться с согласия указанного лица, при обращении за получением государственной или муниципальной услуги заявитель дополнительно представляет документы, подтверждающие получение согласия указанного лица или его законного представителя на обработку персональных данных указанного лица (ч. 3 ст. 7 Закона о персональных данных). Необходимо отметить, что в этом случае основание, допускающее обработку персональных данных без соответствующего согласия в рамках оказания государственных и муниципальных услуг, распространяется на субъекта персональных данных, которым, помимо заявителя, может быть и иное лицо. При зачислении несовершеннолетнего лица в общеобразовательную организацию согласно действующему законодательству необходимо осуществлять обработку персональных данных родителей (законных представителей) ребенка, в частности согласно Приказу Минобрнауки России от 22.01.2014 № 32 в целях зачисления ребенка в общеобразовательную организацию родитель должен предоставить свои персональные данные в объеме фамилия, имя, отчество (при наличии), адрес места жительства и контактные телефон, а согласно п. 13 данного приказа в целях зачисления несовершеннолетнего в общеобразовательную организацию родители (законные представители) ребенка фиксируют своей подписью согласие на обработку своих персональных данных, а также персональных данных несовершеннолетнего. Таким образом, в указанном случае правовым основанием обработки персональных данных родителей будет являться согласие на обработку персональных данных, что предусмотрено п. 1 ч. 1 ст. 6 Закона о персональных данных. В тоже время, многие образовательные организации предоставляют услуги дополнительного образования, для чего между образовательной организацией и родителем (законным представителем) заключается договор, в котором согласно приказу Минобрнауки России от 25 октября 2013 г. № 1185 указываются паспортные данные родителя (законного представителя). В указанном случае правовым основанием обработки персональных данных будет являться п. 5 4. 1 ст. 6 Закона о персональных данных, в соответствии с которым получение отдельного согласия на обработку персональных данных в рамках договорных отношений не требуется. 14 Также, в образовательной организации могут проводиться разного рода исследования, направленные в частности, на выявление уровня удовлетворенности родителей образовательным процессом, в ходе которого родителю необходимо будет указать фамилию, инициалы и номер класса, в котором учится ребенок. В данном случае, правовым основанием обработки персональных данных также является согласие на обработку его персональных данных, получаемое в соответствии с п. 1 ч. 1 ст. 6 Закона о персональных данных. В тоже время, согласно части 3 статьи 9 Закона о персональных данных обязанность представить доказательства того, что согласие на обработку его персональных данных получено, возлагается на оператора. Отдельно необходимо выделить особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных. Государственные и муниципальные органы могут создавать в пределах своих полномочий, установленных в соответствии с федеральными законами, государственные или муниципальные информационные системы персональных данных, а особенности учета персональных данных в них могут быть установлены федеральными законами. В сфере образования в соответствии с частью 9 и 10 статьи 98, пункта 2 части 15 статьи 107 Федерального закона от 29 декабря 2012 г. № 273-ФЗ «Об образовании в Российской Федерации» и постановления Правительства Российской Федерации от 26 августа 2013 г. № 729 реализуется федеральная информационная система «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении».

Адрес публикации: https://www.prodlenka.org/metodicheskie-razrabotki/430254-metodicheskie-rekomendacii