Новые консультации в системе ГАРАНТ Консалтинг

В соответствии со ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) персональными данными является любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). Любые действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, признаются их обработкой (п. 3 ч. 1 ст. 3 Закона N 152-ФЗ).
Оператором персональных данных, как следует из п. 2 ч. 1 ст. 3 Закона N 152-ФЗ, являются государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. При этом лицо признается оператором персональных данных вне зависимости от какой-либо регистрации, наличия или отсутствия специальных разрешений и т.п., а в силу самого факта осуществления им деятельности по обработке персональных данных.
Таким образом, образовательная организация в силу закона является оператором персональных данных и должна соблюдать требования законодательства о персональных данных.
По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных*(1) (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ), а в отсутствие такого согласия - только в случаях, предусмотренных п.п. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Приведенные нормы корреспондируются и с положениями ст. 7 Закона N 152-ФЗ, в силу которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Исходя из приведенных норм, образовательная организация в целях оказания образовательных услуг вправе обрабатывать персональные данные обучающихся без их согласия для выполнения возложенных законодательством РФ на образовательную организацию функций, полномочий и обязанностей в рамках существования образовательных правоотношений (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ); если такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ); обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона N 152-ФЗ); в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Закона N 152-ФЗ, при условии обязательного обезличивания персональных данных (п. 9 ч. 1 ст. 6 Закона N 152-ФЗ).
Следовательно, если персональные данные обучающегося обрабатываются в соответствии с законодательством об образовании, то согласие студента на это не требуется. Однако для передачи персональных данных сторонней организации (третьему лицу) необходимо письменное согласие субъекта персональных данных или его представителя.
Подчеркнем, что принудить обучающегося или его представителя к даче согласия на обработку персональных данных нельзя, поскольку волеизъявление должно быть свободным, конкретным, информированным и сознательным (ч. 1 ст. 9 Закона N 152-ФЗ). То есть это право субъекта персональных данных (его представителя), но не обязанность. Поэтому в отсутствие согласия образовательная организация может обрабатывать персональные данные только в тех целях и в тех пределах, которые подпадают под исключения, т.к. в противном случае оператор может быть привлечен к административной ответственности по ч. 2 ст. 13.11 КоАП РФ. К примеру, в отношении школьников Федеральная служба по надзору в сфере образования и науки в письме от 17.03.2015 N 02-91 разъяснила, что для обучающихся, отказавшихся дать согласие на обработку персональных данных, государственная итоговая аттестация по образовательным программам среднего общего образования может быть организована без внесения их персональных данных в информационные системы (смотрите также письмо Федеральной службы по надзору в сфере образования и науки от 15.03.2017 N 10-134).

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

11 сентября 2019 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. 

-------------------------------------------------------------------------
*(1) В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает его законный представитель (ч. 6 ст. 9 Закона N 152-ФЗ). При этом недееспособными считаются лица, которые признаны таковыми судом в том случае, когда они вследствие психического расстройства не могут понимать значение своих действий или руководить ими (п. 1 ст. 29 ГК РФ). Однако несовершеннолетние граждане недееспособными не являются. Они в силу своего возраста обладают частичной дееспособностью, объем которой с возрастом расширяется. В частности, несовершеннолетние в возрасте от 14 до 18 лет могут самостоятельно совершать сделки, поименованные в п. 2 ст. 26 ГК РФ, а также иные сделки, но при последующем письменном одобрении их родителями, усыновителями или попечителем (п. 1 ст. 26 ГК РФ). С учетом приведенных норм полагаем, несовершеннолетний в таком возрасте может дать согласие на обработку его персональных данных самостоятельно. По крайней мере, Закон N 152-ФЗ соответствующего запрета не содержит. И уж коли несовершеннолетнему в этом возрасте дозволено самостоятельно заключать, например, трудовой договор, то очевидно, что и согласие на обработку персональных данных при необходимости давать он будет сам, а не его родитель.