Forward from: Зоя Макаровская
Коллеги, поскольку очень много вопросов идут по обработке персональных данных, в том числе по выгрузке данных на платформу Работа в России, где требуется загрузка персональных данных студентов. Подобный вопрос фигурирует и в чате Вузы_Рособрнадзор: "В вузе есть согласие студента на обработку переданных без согласия на передачу данных (список из 19 пунктов) платформе РвР. Минтруд не видит проблемы в том, что вуз без согласия студентов выгрузит эти данные на платформу. Насколько это допустимо с позиции Контроля и надзора за соблюдением законодательства". Я специально интересовалась данным вопросом, делюсь тем, что наработала.
Статья 9 Закона «О персональных данных» (ФЗ-152) устанавливает, что обработка персональных данных требует согласия субъекта персональных данных. Причём с 1 сентября 2025 года согласие должно оформляться как отдельный документ, его нельзя «замаскировать» под об обучении или другие документы. Это означает, что практика получения согласия стала более строгой!
При этом исключение толкуются очень узко. Статья 6 ФЗ-152 перечисляет ряд ситуаций, когда согласие не требуется (например, когда обработка необходима для исполнения закона, защиты жизни и здоровья и т. д.). Однако судебная и правоприменительная практика демонстрирует, что эти исключения должны толковаться строго в узких рамках. Например, «необходимость исполнения закона» требует, чтобы соответствующий федеральный закон прямо устанавливал цель обработки, объём данных и круг субъектов, а не просто расплывчато ссылался на некую «государственную функцию». Утверждение о том, что «просто потому, что это образовательная организация и согласие не требуется автоматически», не имеет правовых оснований.
«Согласие» на уровне ведомства не равно «согласию» субъекта персональных данных. Даже если требование исходит от государственного органа, в отсутствие прямого и явного «законодательного мандата» образовательная организация не имеет права в одностороннем порядке обрабатывать или передавать персональные данные студентов. Если ведомство считает, что имеет право на получение данных, оно должно предоставить конкретные нормативные правовые акты (федеральные законы, постановления Правительства) в качестве основания, а не просто «заявлять» о наличии такого права.
Обратите внимание, что бремя доказывания лежит на запрашивающей стороне. Если Минтруда утверждает, что «можно без согласия», оно должно доказать, что обработка данных попадает под конкретное исключение, предусмотренное статьёй 6 152-ФЗ. В противном случае образовательное учреждение, передавшее данные в нарушение закона, может столкнуться с административными штрафами (с 2025 года штраф для юридических лиц составляет от 300 000 до 700 000 рублей).
НО ГЛАВНОЕ! ОБРАТИТЕ ВНИМАНИЕ!
Инструкция для образовательных организаций на платформе «Работа в России» прямо содержит требование: при добавлении студента необходимо установить галочку, подтверждающую, что образовательная организация имеет письменное согласие студента на передачу и обработку его персональных данных в ЕЦП «Работа в России».
То есть сам оператор платформы (Роструд) закладывает согласие как обязательное условие для загрузки данных. Это создаёт для образовательной организации презумпцию: если вы загружаете данные, вы подтверждаете наличие согласия. Если согласия на передачу именно в «Работа в России» нет, а вы галочку поставили — это фактически недостоверное подтверждение, которое может быть выявлено при проверке.
Если случиться проверка Роскомнадзора (РКН) при проверке (по жалобе студента или в рамках профилактического визита) РКН будет проверять фактическое наличие согласия на передачу . Если выяснится, что:
1. В согласии студента (19 пунктов) нет явного указания на передачу данных в ЕЦП «Работа в России»;
2. Вы загрузили данные, поставив галочку на платформе;
