Персональные данные в вузе: прием, общежитие, электронная среда

Персональные данные в вузе - это не только личные дела студентов. Это списки поступающих на сайте приемной комиссии, электронная информационно-образовательная среда с логинами и оценками, общежитие с иностранными студентами на миграционном учете и личные дела абитуриентов младше 18 лет. Плюс десятки исходящих запросов - от военкомата, социального фонда, будущих работодателей на практике. У вуза нет единого шаблона на все случаи: одни данные обрабатывают по закону без согласия, другие требуют отдельного документа на каждого абитуриента и каждого студента.

Дальше по порядку: что вуз обрабатывает, где чаще всего ошибается приемная комиссия при публикации списков поступающих, как быть с несовершеннолетними абитуриентами, что считать информационной системой персональных данных студентов и куда данные уходят по закону без запроса самого субъекта.

Какие персональные данные обрабатывает вуз

Вуз работает минимум с четырьмя группами субъектов, и у каждой свой объем данных.

Абитуриенты. ФИО, дата и место рождения, паспортные данные или данные свидетельства о рождении для несовершеннолетних, СНИЛС, результаты ЕГЭ или вступительных испытаний, сведения об инвалидности и льготах при их наличии, контакты родителей для несовершеннолетних.

Студенты. Все то же самое плюс номер студенческого билета и зачетной книжки, оценки и результаты промежуточной аттестации, банковские реквизиты для стипендии, сведения о месте жительства в общежитии, а для иностранных студентов - данные миграционного учета.

Сотрудники, включая преподавателей и аспирантов на ставках. Это отдельный массив данных с трудовыми договорами, который вуз ведет как любой работодатель.

Третьи лица. Родители несовершеннолетних абитуриентов, представители работодателей на практике, поручители по студенческому кредиту - в отдельных случаях их данные тоже попадают в документооборот вуза.

Формально вуз - оператор персональных данных по определению 152 ФЗ, и в отношении каждой из этих групп у него свой набор оснований для обработки. Для сотрудников - трудовой договор, для студентов - договор об обучении или бюджетное зачисление, для абитуриентов - подача заявления на поступление. Согласие отдельным документом нужно там, где основания из перечня в законе не покрывают конкретное действие - например, публикацию фото на сайте вуза или передачу данных в стороннюю систему тестирования.

Списки поступающих: как публиковать персональные данные без нарушений

Каждую приемную кампанию вуз обязан публиковать на сайте списки лиц, подавших документы, и списки поступающих по каждому направлению - это требование правил приема, которые обновляются ежегодно, и одновременно это работа с персональными данными на виду у всех.

До 2021 года вузы печатали в списках фамилию, имя и отчество абитуриента целиком. Это создавало проблему: список поступающих публичен, доступен любому человеку в интернете, и по факту работал как открытая база данных с привязкой к результатам экзаменов. С 2021 года подход изменился - вузы стали публиковать списки не по фамилии, а по номеру заявления или индивидуальному коду, который абитуриент получает при подаче документов. ФИО в открытом списке больше не показывают.

Для вуза это значит: если на сайте приемной комиссии до сих пор висят списки поступающих с фамилиями - это устаревшая практика, и ее стоит поправить при первой возможности, не дожидаясь проверки. Технически поправить несложно: заменить колонку ФИО на номер заявления в шаблоне, которым формируется список, и убрать архивные списки прошлых лет с полными фамилиями, если они все еще доступны по прямой ссылке.

Второй момент - олимпиадники и льготники. Их статус - победитель олимпиады, инвалидность, статус ребенка-сироты - сам по себе персональные данные, причем сведения о здоровье относятся к специальной категории. Публиковать в общем списке пометку об инвалидности или статусе сироты рядом с результатами - лишний риск: сама льгота не скрывается, потому что нужна для проверки очередности зачисления, но выводить ее стоит обезличенно, тем же кодом заявления, что и остальные строки.

Абитуриенты и студенты младше 18 лет: чье согласие нужно

Значительная часть поступающих на первый курс - несовершеннолетние: очная кампания идет сразу после школы, абитуриентам чаще всего 17 лет на момент подачи документов. Правило простое: до 14 лет согласие на обработку персональных данных дает родитель или законный представитель полностью, с 14 до 18 лет - сам несовершеннолетний вместе с одним из родителей, потому что закон рассматривает подростка как частично дееспособного, но не полностью самостоятельного субъекта.

На практике для вуза это означает два подписанта в форме согласия, а не одного, если абитуриенту нет 18 лет на момент подачи заявления. Логика похожа на ту, что действует у школ при работе со списками учеников: обязанность запрашивать данные о родителях, дублировать уведомления законным представителям, хранить оба согласия вместе.

Отдельный вопрос - что делать, если абитуриенту исполняется 18 лет в промежутке между подачей документов и зачислением. Формально до дня рождения действует согласие с подписью родителя, после - нужно новое, с подписью самого поступившего. На практике вузы решают проще: берут согласие сразу в двух вариантах или добавляют в форму пункт про случай, когда на дату зачисления абитуриенту еще нет 18 лет. Оба варианта рабочие, универсального рецепта закон не дает.

Подробный разбор, как оформлено такое двойное согласие и какие реквизиты у него обязательны, - в статье о согласии родителей на обработку данных ребенка.

Целевое обучение: данные абитуриента и работодателя-заказчика

Целевой набор - отдельная история для персональных данных. Абитуриент поступает по договору о целевом обучении, который заключают три стороны: сам поступающий или его законный представитель, если он несовершеннолетний, вуз и организация-заказчик - чаще всего будущий работодатель, реже орган власти или госкорпорация. Работодатель получает доступ к части сведений об абитуриенте и студенте: результаты вступительных испытаний, оценки в течение обучения, факт отчисления или академического отпуска - все это нужно заказчику, чтобы отслеживать выполнение договора.

Здесь работает та же логика, что и с практикой: передача данных заказчику целевого обучения обоснована договором, а не отдельным согласием, но только в объеме, который реально нужен для контроля за исполнением обязательств. Передавать работодателю сведения о состоянии здоровья студента или его семейном положении, которые в договоре не упоминались, уже избыточно и выходит за рамки цели обработки.

На практике вузы формируют отдельный отчет для заказчика вручную, выгружая нужные строки из ЭИОС, а не открывают заказчику прямой доступ в систему целиком. Это разумно с точки зрения 152 ФЗ: чем уже канал передачи, тем проще объяснить проверяющему, какие данные и на каком основании ушли третьей стороне, и тем меньше риск, что заказчик увидит то, что ему видеть не нужно.

ЭИОС как информационная система персональных данных студентов

Закон об образовании обязывает вуз иметь электронную информационно-образовательную среду - ЭИОС, через которую студент видит расписание, оценки, учебные материалы и подает заявления в деканат. С точки зрения 152 ФЗ ЭИОС - это информационная система персональных данных: в ней хранятся ФИО, номер студенческого билета, оценки, а нередко и данные о посещаемости, дисциплинарных взысканиях, состоянии здоровья для студентов на индивидуальном учебном плане.

Раз ЭИОС - информационная система персональных данных, на нее распространяются все обычные требования: определить уровень защищенности, назначить ответственного, ограничить доступ по ролям - студент видит только свои оценки, преподаватель только свои группы, деканат весь поток, - вести журнал доступа. Что именно считается информационной системой персональных данных и когда это распространяется на обычный сайт или личный кабинет, разобрано в материале ИСПДн: что это такое и есть ли она у вас - там же приведены признаки, по которым легко проверить статус конкретной системы.

Частая ошибка вузов - считать, что раз ЭИОС куплена у стороннего разработчика (это может быть система дистанционного обучения на готовой платформе или заказное решение), то и ответственность за персональные данные лежит на разработчике. Это не так: вуз остается оператором и отвечает за то, как настроены доступы, какой пароль у администратора и куда уходят резервные копии. Разработчик в этой схеме - обработчик по договору поручения, и договор с ним должен быть оформлен отдельно, с перечнем действий, которые разработчику разрешено выполнять с данными студентов.

К какому уровню защищенности отнести ЭИОС конкретного вуза, зависит от того, обрабатываются ли в ней специальные категории данных - например, сведения о здоровье при обучении по адаптированной программе, - и сколько всего субъектов в базе. Порядок расчета уровня - в статье уровни защищенности персональных данных: как определить свой по ПП-1119.

Общежитие и миграционный учет иностранных студентов

Общежитие - отдельный источник персональных данных, который часто выпадает из поля зрения вуза при построении модели угроз: комендант ведет журнал заселения, список проживающих на этаже, данные о посетителях, а иногда и видеонаблюдение на входе. Все это персональные данные, и режим их обработки должен быть закреплен положением об общежитии или локальным актом, а не устной договоренностью с комендантом. Запись с камеры на входе - тоже персональные данные, и для нее стоит отдельно прописать срок хранения: обычно достаточно нескольких недель, а не бессрочного архива без причины.

Отдельная тема - иностранные студенты. Вуз, поселивший иностранного гражданина в общежитие, автоматически становится принимающей стороной по закону о миграционном учете и обязан в установленный срок уведомить миграционную службу о прибытии. Для этого нужны паспортные данные, основание пребывания, срок обучения - весь этот блок сведений вуз обрабатывает не по своей инициативе, а по прямому требованию миграционного законодательства, и согласие иностранного студента тут не требуется, потому что обязанность закреплена отдельным законом.

Проблема в другом: данные для миграционного учета часто хранятся не в защищенной системе, а в общей папке отдела по работе с иностранными студентами, доступной десяткам сотрудников. Копии паспортов и уведомлений о прибытии - это данные, которые прямо интересуют проверяющих, потому что здесь пересекаются два регулятора сразу - Роскомнадзор по 152 ФЗ и миграционная служба. Практический совет: держать копии документов иностранных студентов в отдельной папке с ограниченным доступом и не пересылать их по обычной почте между отделами - для этого подходит защищенный раздел ЭИОС или файлообменник с разграничением прав.

Личное дело студента и передача данных третьим лицам

Личное дело студента - это не только оценки. Туда попадают данные о смене фамилии, академических отпусках, переводах, дисциплинарных взысканиях, а для студентов очной формы обучения мужского пола - сведения, которые вуз ежегодно передает в военный комиссариат по закону о воинской обязанности. Это тот случай, когда передача идет без согласия студента, потому что основана на прямом требовании закона, а не на договоре с вузом.

Похожая история - взаимодействие с социальным фондом: вуз подает сведения о стипендиатах, о студентах с инвалидностью, о детях-сиротах на полном гособеспечении, потому что это условие начисления соответствующих выплат. Здесь тоже действует основание - исполнение обязанности, возложенной законом, - и отдельное согласие не нужно.

Иначе обстоит дело с практикой и стажировками. Когда вуз передает данные студента будущему работодателю - принимающей организации для практики, - это уже не исполнение прямой законной обязанности вуза, а скорее организация учебного процесса по договору. Практика показывает: безопаснее оформить это разделом в договоре о практике между вузом, студентом и принимающей организацией, где прямо написано, какие данные и с какой целью передаются, а не полагаться на то, что так было заведено раньше. Общий перечень того, что обязан делать вуз как оператор при любой передаче данных третьим лицам, - в материале обязанности оператора персональных данных: полный перечень со сроками.

Отдельно про поручителей студенческого кредита и родителей, которые оплачивают обучение по договору: если счета выставляются на имя третьего лица, а не студента, вуз обрабатывает персональные данные и этого человека тоже, и в договоре на оказание платных образовательных услуг должно быть отдельное поле для его данных с указанием, на каком основании они обрабатываются.

Диссертационные советы: персональные данные соискателей в открытом доступе

Аспирантура и диссертационные советы - еще один участок, где вуз обязан публиковать персональные данные по прямому требованию порядка защиты диссертаций. На сайте вуза заранее должны появиться автореферат, объявление о дате и месте защиты с ФИО соискателя, а после защиты - отзывы официальных оппонентов и ведущей организации, тоже с указанием ФИО и должностей. Это не нарушение: публикация в таком объеме прямо предусмотрена порядком присуждения ученых степеней, то есть у вуза есть законное основание действовать без отдельного согласия соискателя.

Проблема начинается там, где вуз публикует больше, чем требуется - например, домашний адрес или личный телефон соискателя в объявлении о защите вместо контактов ученого секретаря совета, или выкладывает в общий доступ полный текст диссертации с персональными данными третьих лиц, которые упоминаются в тексте как участники исследования, интервьюируемые или пациенты. Второе особенно актуально для медицинских и педагогических диссертаций с эмпирической частью: если в тексте есть узнаваемые истории пациентов или учеников, перед публикацией их нужно обезличить, а не полагаться на то, что диссертация - научный текст и потому под 152 ФЗ не подпадает. Подпадает, как и любой документ с персональными данными, доступный неограниченному кругу лиц.

Вуз и 152 ФЗ: чем режим бюджетного учреждения отличается от частного

Большинство вузов в России - государственные, то есть бюджетные или автономные учреждения, и это накладывает свои особенности поверх обычных требований 152 ФЗ. У бюджетного вуза есть учредитель в лице министерства, обязанность отчитываться перед ним и, как правило, более формализованный документооборот, чем у частного вуза или коммерческого учебного центра. Отличия и совпадения режима бюджетного учреждения и коммерческой организации в части персональных данных подробно разобраны в статье персональные данные в бюджетном учреждении: чем режим отличается от коммерческого - у вуза они действуют почти без изменений, разве что добавляется специфика приемной кампании и общежитий, которой у типового бюджетного учреждения нет.

Частные вузы формально ничем не отличаются от любой коммерческой организации в части 152 ФЗ - для закона нет разницы, платит студент за обучение из своего кармана или учится на бюджетном месте. Разница скорее в объеме: у крупного государственного университета на 20-30 тысяч студентов объем обрабатываемых данных на порядок больше, чем у небольшого частного вуза, и это прямо влияет на то, какой уровень защищенности получится у ЭИОС по итогам расчета - чем больше субъектов в базе, тем выше требования к технической защите.

Типичные нарушения в вузах: где вуз чаще всего получает предписание

Ниже - шесть мест, где вузы чаще всего получают предписание или штраф при проверке. Список собран по практике проверок последних лет, и почти все пункты - это не экзотические нарушения, а последствия обычной невнимательности при настройке сайта или общей папки в отделе.

Где нарушают	В чем ошибка	Что грозит вузу
Списки поступающих на сайте	ФИО в открытом доступе вместо номера заявления	Предписание убрать данные с сайта
ЭИОС	Общий пароль администратора, доступ студентов к чужим оценкам	Штраф за ненадлежащую защиту информационной системы
Общежитие	Журнал заселения и копии паспортов в общей папке без ограничения доступа	Риск утечки, замечания при проверке
Практика и стажировки	Передача данных работодателю без основания в договоре	Претензия студента, штраф за передачу без основания
Приемная комиссия	Согласие абитуриента без подписи родителя при возрасте до 18 лет	Согласие считается недействительным, риск как при его отсутствии
Сайт вуза и соцсети	Фото и цитаты студентов в новостях без согласия	Требование удалить, возможные претензии со стороны студента

С 2025 года цена ошибки выросла: для утечек персональных данных в заметном объеме действуют оборотные штрафы, введенные 420 ФЗ от 30.11.2024 и применяющиеся с 30.05.2025, а для повторных и умышленных случаев - уголовная ответственность по статье 272.1 УК. Для вуза с базой в десятки тысяч студентов и абитуриентов это не абстрактный риск: база такого размера при утечке сразу попадает в категорию, где считают не фиксированную сумму, а долю от выручки или дохода учреждения.

Что делать вузу: порядок действий

Порядок действий, если персональные данные абитуриентов, студентов и общежития в вузе до сих пор не приведены в систему.

• Свести в один документ, какие данные обрабатывает приемная комиссия, деканаты, отдел кадров, общежитие и отдел международных связей - без этой карты непонятно, что вообще защищать.
• Проверить сайт приемной комиссии: списки поступающих должны идти по номеру заявления, а не по фамилии, архивные списки прошлых лет - тоже.
• Обновить форму согласия для абитуриентов и студентов младше 18 лет - с двумя подписантами и понятной формулировкой целей обработки.
• Оформить договор поручения с разработчиком ЭИОС, если она куплена или арендована у стороннего подрядчика, а не разработана силами вуза.
• Определить уровень защищенности ЭИОС и базы общежития заново, если с последнего расчета изменилось число студентов или появились новые категории данных, например сведения о здоровье при инклюзивном обучении.
• Закрыть открытый доступ к папкам с копиями паспортов иностранных студентов и данными для миграционного учета - доступ должен быть у конкретных сотрудников отдела международных связей, а не у всего университета.
• Прописать в договорах о практике, какие данные и с какой целью вуз передает принимающей организации.
• Определить срок хранения архивных личных дел выпускников и записей видеонаблюдения в общежитии, чтобы не копить данные бессрочно без причины.

Ни один из этих пунктов не требует остановки приемной кампании или переделки ЭИОС с нуля - это точечные правки в документах, доступах и формах, которые можно вносить постепенно, начиная с самого заметного риска - публичных списков поступающих. Если нужна помощь с документами или доработкой сайта под эти требования - посмотреть, как это делается, можно на главной странице сайта.