Комментарий к разъяснительному письму Комитета по образованию Правительства Санкт-Петербурга по вопросу необходимости согласия на обработку персональных данных в сфере образования

СМ письмо комитета

Таким образом, по мнению Комитета по образованию, вся деятельность образовательной организации, связанная с обработкой персональных данных обучающихся, производится в электронной форме, независимо от согласия родителей (законных представителей) и избранной ими формы оказания госуслуг, таких как зачисление в образовательную организацию и ведение учета успеваемости.

Это мнение Комитет по образованию обосновал ссылкой на положения п. 4 ч. 1 ст. 6 Федерального закона от 27.06.2006 № 152 - ФЗ «О персональных данных» (далее - Закона о персональных данных), указав на то, что при обработке персональных данных обучающихся согласие не требуется, поскольку обработка персональных данных необходима для исполнения полномочий исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг.

Почему мы не согласны с этим мнением?

1) В случае передачи персональных данных обучающихся для обработки автоматизированным способом согласие родителей (законных представителей) обязательно требуется, а принуждение законом не предусмотрено.

Следует иметь ввиду, что при ссылке на п.4 ч.1 ст. 6 Закона о персональных данных не учтено то, что указанная норма применяется и трактуется в отношении конкретной цели ОПД, то есть ее применение строго ограничено одной целью обработки персональных данных: например, нотариус устанавливает личность наследника; суд рассматривает дело, установив личности сторон и тп. Если бы правоотношения ограничивались только ОПД внутри школы, то мы бы могли согласится с этим доводом, но ОПД в сфере образования подлежат комплексной обработке внутри системы образования, которая представляет собой взаимосвязанную и разветвленную систему государственных органов исполнительной власти, органов местного самоуправления, государственных организаций.

Таким образом, фактически оператором ПД в данных правоотношениях выступает совокупность систем и сервисов с разветвленными целями и доступом широкого круга лиц к персональным данным обучающихся.

2) Законом запрещено объединение электронных баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой

Положениями статьи 5 Федерального закона от 27 июля 2006 №152-ФЗ предусмотрен запрет на объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой. 

При этом обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

Обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

Между тем, автоматизированная система ГИС КАИС КРО объединяет несколько автоматизированных систем, которые содержат личные сведения об обучающихся, сведения об успеваемости, о состоянии здоровья, о семье – это разные виды персональных данных, которые собирают с разными целями.

3) Законом не предусмотрено принуждение к получению госуслуг в электронной форме.

В обоснование возможности ведения учета успеваемости исключительно в электронной форме, в письме Комитета по образованию содержится ссылка на положения распоряжения Правительства Российской Федерации от 25 апреля 2011 г. № 729-р, которым предусмотрено предоставление госуслуг в сфере образования в электронном виде.

Однако несмотря на то, что положениями распоряжения Правительства Российской Федерации от 25 апреля 2011 г. № 729-р (и прочих подобных нормативных актов) регулируется именно электронная форма госуслуги по ведению учета успеваемости и некоторые другие услуги в сфере образования, данная электронная форма не установлена в качестве единственной для осуществления услуг по ведению учета успеваемости и прочих услуг в сфере образования.

Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» не содержит обязательного требования о ведении учета успеваемости (и др. услуг) в электронном виде (электронного журнала и электронного дневника), исходя из буквального толкования положений об учете успеваемости.

Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации» не содержит обязательного требования о ведении учета успеваемости в электронном виде (электронного журнала и электронного дневника), исходя из буквального толкования положений об учете успеваемости.

Так, пункт 10 части статьи 28 ФЗ «Об образовании в РФ» прямо предусматривает, что обязанностью образовательной организации является осуществление текущего контроля успеваемости и промежуточной аттестации обучающихся, установление их форм, периодичности и порядка проведения.

Закон при этом не обязывает вести учет успеваемости исключительно в электронной форме.

Таким образом, если в отношении ребенка заявлено о ведении дневника в бумажном виде, то учитель осуществляет учет успеваемости в избранном родителями виде, а не в избранном образовательной организацией.

Указанная позиция также выражена в официальных ответах Департамента цифровой трансформации и больших данных Министерства просвещения РФ и Минпросвещения РФ, на которые мы неоднократно ссылались.

4) Законом о Персональных данных предусмотрено согласие субъекта ПД, если в результате ОПД автоматизированным способом наступят юридически значимые последствия (ст.16 Закона о персональных данных).

Согласно положениям ст. 16 Закона о персональных данных все юридически значимые решения принимаются с непосредственным участием субъекта ПД, их содержание прозрачно и они требуют подтверждения его волеизъявлением. Несмотря на то, что указанное положение закона не содержит абсолютного запрета на использование инструментов автоматизированной обработки ПД для целей принятия юридически значимых решений в отношении субъекта, однако предъявляет ряд условий к ним, указанных в ч. 2 - 4 данной статьи:

а) наличие письменного согласия субъекта. Поскольку принятие юридически значимого решения на основании автоматизированной обработки персональных данных является частным случаем обработки таких данных, то в данном случае речь идет именно о согласии субъекта на определенный вид обработки его данных, в связи с чем к нему применимы нормы ст. 9 Закона о персональных данных;

б) дополнительные информационные обязанности оператора, выражающиеся в его обязанности предоставить субъекту разъяснения относительно порядка принятия такого решения и возможных юридических последствий такого решения;

в) оператор должен также предоставить субъекту возможность заявить возражение в отношении решения, принятого по результатам такой обработки. Такое возражение должно быть рассмотрено оператором в течение 30 календарных дней с момента его поступления Процедуру и порядок предъявления такого возражения оператор устанавливает самостоятельно;

г) оператор должен разъяснить субъекту порядок защиты своих прав и законных интересов. Закон не конкретизирует - о каких именно правах и законных интересах, но исходя из буквального толкования, можно сделать вывод о том, что речь идет о тех правах, которые касаются именно принятия юридически значимых решений по результатам исключительно автоматизированной обработки персональных данных.

5) Иные особенности и ограничения, связанные с ОПД в соответствии с Законом о персональных данных.

Помимо вышеуказанных особенностей ОПД, следует иметь ввиду, что согласие на обработку персональных данных, разрешенных субъектом ПД для распространения, оформляется отдельно от иных согласий такого субъекта на обработку его персональных данных (ч. 1 ст. 10.1 Закона о персональных данных), в связи с чем распространение персональных данных обучающихся без согласия родителей даже внутри системы образования не представляется возможным с законной точки зрения.

Настоящим федеральным законом также запрещен избыточный сбор персональных данных, запрещено получение данных, никак не связанных с целью обработки персональных данных.

Таким образом, на наш взгляд, недопустимо говорить о наличии у оператора ПД в системе образования полной свободы в части обработки ПД относительно мнения или волеизъявления родителей. Да, действительно, родители не могут полностью запретить ОПД, это невозможно и нецелесообразно с точки зрения как закона, так и здравого смысла, но это не означает отсутствие у родителей правовых возможностей для регулирования правоотношений в части ОПД в системе образования, если эти возможности используются для обеспечения защиты ПД, прав и законных интересов ребенка.