Обработка персональных данных

В соответствии с п. 3 ст. 3 Закона о персональных данных обработка персональных данных - это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Таким образом, законодательством перечень действий по обработке персональных данных не ограничен и не исключает возможности обработки персональных любыми способами.

Обработка персональных данных должна соответствовать определенным целям, а обработка персональных данных, несовместимая с целями сбора персональных данных, не допускается.

Основополагающими началами обработки персональных данных являются заложенные в Законе о персональных данных принципы обработки персональных данных:

1. обработка персональных данных на законной и справедливой основе;

2. ограничение обработки персональных данных достижением конкретных, заранее определенных и законных целей;

3. недопустимость обработки персональных данных, несовместимой с целями сбора персональных данных;

4. обработка персональных данных, которые отвечают целям их обработки;

5. соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки;

6. исключение обработки персональных данных, являющихся избыточными по отношению к заявленным целям их обработки и др.

Выделяют несколько способов обработки персональных данных:

1. автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

2. неавтоматизированная обработка персональных данных - обработка персональных данных, осуществляемая при непосредственном участии человека;

3. смешанная обработка персональных данных.

Критерии обработки персональных данных без использования средств автоматизации установлены Постановлением Правительства РФ от 15.09.2008 N 687, утвердившим Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации.

Статьей 16 Закона о персональных данных установлены права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных, в частности запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением следующих случаев: при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных. В частности, примерами могут стать следующие ситуации:

1. по результатам автоматизированной обработки данных выявлено, что у работника недостаточный уровень квалификации, то на этом основании уволить его как несоответствующего занимаемой должности нельзя;

2. по результатам автоматизированной обработки данных выявлено, что работник не зашел на территорию организации, то на этом основании привлечь его к ответственности нельзя.

Данное положение нашло также отражение в статье 86 Трудового кодекса Российской Федерации, согласно которой при принятии решений, затрагивающих интересы работника, работодатель не имеет права основываться на персональных данных работника, полученных исключительно в результате их автоматизированной обработки или электронного получения.

Оператор непосредственно определяет порядок получения согласия субъекта персональных данных для обработки его персональных данных.

Письменная форма согласия должна включать в себя цель обработки персональных данных, а согласие субъекта персональных данных на обработку его персональных данных может включать в себя только одну цель обработки персональных данных. Указанная норма является императивной и не подлежит расширенному толкованию. При обработке персональных данных субъекта в случаях, требующих составления письменной формы согласия в соответствии с ч. 4 ст. 9 Закона о персональных данных, указанное согласие составляется отдельно для каждой из целей обработки персональных данных.

Согласно пункту 2 статьи 9 Закона о персональных данных согласие на обработку персональных данных может быть отозвано субъектом персональных данных.

В то же время, необходимо отметить, что требования по обработке персональных данных не распространяются на отношения, возникающие:

1. при обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;

2. организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;

3. обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Также положениями 2 - 11 части 1 Закона о персональных данных предусмотрены 10 случаев, при наступлении которых обработка персональных данных допускается без согласия субъекта персональных данных:

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

2. обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

3. обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);

4. обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

5. обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

6. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

7. обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным законом "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

8. обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;

9. обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в статье 15 настоящего Федерального закона, при условии обязательного обезличивания персональных данных;

10. осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;

11. осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

Таким образом, согласно п. 2 ч. 1 ст. 6 Закона о персональных данных если организация осуществляет деятельность в целях реализации федерального законодательства, то согласие на обработку персональных данных обучающихся не требуется, в частности образовательные организации, осуществляя в качестве оператора персональных данных обработку персональных данных обучающихся в целях организации образовательного процесса и представляя информацию о текущей успеваемости учащегося, осуществляя ведение электронного дневника и электронного журнала успеваемости, оказывает государственную услугу в соответствии с п. 8 приложения N 1 Распоряжения Правительства Российской Федерации от 17 декабря 2009 г. N 1993-р, не обязаны получать согласия обучающихся и их законных представителей.

При этом, следует обратить внимание, что в случае, если ранее организация получила согласие на обработку персональных данных в рамках оказания государственной услуги, то уничтожение данного согласия не требуется, а в случае, если законные представители несовершеннолетнего отозвали ранее данное согласие на обработку персональных данных в рамках оказания данной государственной услуги, то организация может продолжить обработку персональных данных в случаях, предусмотренных законодательством в сфере образования.

Иные персональные данные обучающегося, не связанные с образовательным процессом, общеобразовательная организация может получить только с письменного согласия одного из родителей (законного представителя), в том числе к таким данным относятся документы, содержащие сведения, необходимые для предоставления обучающемуся гарантий и компенсаций, установленных действующим законодательством, например, документы о составе семьи и ее социально-экономическом положении.

В случае, когда для предоставления государственной или муниципальной услуги необходима обработка персональных данных лица, не являющегося заявителем, и если в соответствии с федеральным законом обработка таких персональных данных может осуществляться с согласия указанного лица, при обращении за получением государственной или муниципальной услуги заявитель дополнительно представляет документы, подтверждающие получение согласия указанного лица или его законного представителя на обработку персональных данных указанного лица (ч. 3 ст. 7 Закона о персональных данных). Необходимо отметить, что в этом случае основание, допускающее обработку персональных данных без соответствующего согласия в рамках оказания государственных и муниципальных услуг, распространяется на субъекта персональных данных, которым, помимо заявителя, может быть и иное лицо.

При зачислении несовершеннолетнего лица в общеобразовательную организацию согласно действующему законодательству необходимо осуществлять обработку персональных данных родителей (законных представителей) ребенка, в частности согласно Приказу Минобрнауки России от 22.01.2014 N 32 в целях зачисления ребенка в общеобразовательную организацию родитель должен предоставить свои персональные данные в объеме фамилия, имя, отчество (при наличии), адрес места жительства и контактные телефон, а согласно п. 13 данного приказа в целях зачисления несовершеннолетнего в общеобразовательную организацию родители (законные представители) ребенка фиксируют своей подписью согласие на обработку своих персональных данных, а также персональных данных несовершеннолетнего. Таким образом, в указанном случае правовым основанием обработки персональных данных родителей будет являться согласие на обработку персональных данных, что предусмотрено п. 1 ч. 1 ст. 6 Закона о персональных данных.

В то же время, многие образовательные организации предоставляют услуги дополнительного образования, для чего между образовательной организацией и родителем (законным представителем) заключается договор, в котором согласно приказу Минобрнауки России от 25 октября 2013 г. N 1185 указываются паспортные данные родителя (законного представителя). В указанном случае правовым основанием обработки персональных данных будет являться п. 5 4. 1 ст. 6 Закона о персональных данных, в соответствии с которым получение отдельного согласия на обработку персональных данных в рамках договорных отношений не требуется.

Также, в образовательной организации могут проводиться разного рода исследования, направленные в частности, на выявление уровня удовлетворенности родителей образовательным процессом, в ходе которого родителю необходимо будет указать фамилию, инициалы и номер класса, в котором учится ребенок. В данном случае, правовым основанием обработки персональных данных также является согласие на обработку его персональных данных, получаемое в соответствии с п. 1 ч. 1 ст. 6 Закона о персональных данных.

В то же время, согласно части 3 статьи 9 Закона о персональных данных обязанность представить доказательства того, что согласие на обработку его персональных данных получено, возлагается на оператора.

Отдельно необходимо выделить особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных. Государственные и муниципальные органы могут создавать в пределах своих полномочий, установленных в соответствии с федеральными законами, государственные или муниципальные информационные системы персональных данных, а особенности учета персональных данных в них могут быть установлены федеральными законами. В сфере образования в соответствии с частью 9 и 10 статьи 98, пункта 2 части 15 статьи 107 Федерального закона от 29 декабря 2012 г. N 273-ФЗ "Об образовании в Российской Федерации" и постановления Правительства Российской Федерации от 26 августа 2013 г. N 729 реализуется федеральная информационная система "Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении".