Персональные данные в школе: что это и кого касается
Персональные данные в школе - это не только оценки в электронном дневнике. Это фамилия и имя ребенка, дата рождения, адрес регистрации, телефоны и почта родителей, сведения о состоянии здоровья, если ребенок учится дома по медицинским показаниям или у него ограниченные возможности здоровья, фотографии с линейки и выпускного, результаты олимпиад и договоры с родителями об оказании платных образовательных услуг. Все это подпадает под тот же закон о персональных данных, что применяется к банкам, интернет-магазинам и медицинским клиникам, и школа не получает никаких скидок на размер учреждения или на то, что она бюджетная.
Касается это каждой школы: муниципальной, частной, коррекционной, а также детских центров дополнительного образования, музыкальных и спортивных школ, репетиторских курсов при учебных заведениях. Директор, завуч, классный руководитель, секретарь приемной комиссии, сотрудник бухгалтерии - все они на практике работают с персональными данными учеников и родителей, даже если никогда не формулировали это в таких терминах и считают, что закон касается только крупных компаний с большими базами клиентов.
Игнорирование этих правил заканчивается не только штрафами Роскомнадзора, хотя они реальны: суммы за нарушение порядка обработки персональных данных или за отсутствие обязательных документов начинаются от нескольких десятков тысяч рублей для юридических лиц и заметно растут при повторном нарушении в течение года. Есть и другой риск, менее формальный, но не менее болезненный для репутации школы: жалобы родителей. Список класса с домашними адресами в открытом доступе, фото ребенка с диагнозом в родительском чате, случайно разошедшийся файл с телефонами всей параллели - именно такие истории чаще становятся поводом для обращения в Роскомнадзор или прокуратуру, чем плановая проверка по графику.
В этой статье разбираем, кто в школе формально отвечает за персональные данные, какие согласия нужны от родителей и в каких случаях, что можно публиковать на сайте и в официальных соцсетях школы, а что нельзя ни при каких условиях, и на что обратить внимание при работе с электронным дневником и сторонними сервисами для уроков.
Школа как оператор персональных данных: обязанности перед РКН
С точки зрения закона школа - это оператор персональных данных: организация, которая определяет, зачем и как обрабатываются данные учеников, родителей и сотрудников. Не имеет значения, муниципальная это школа, частная гимназия или автономная некоммерческая организация дополнительного образования - статус оператора возникает у любого учреждения, которое ведет личные дела учеников, хранит договоры с родителями или использует электронный журнал и систему пропускного режима.
Как и любой оператор, школа обязана подать уведомление об обработке персональных данных в Роскомнадзор, если ее деятельность не подпадает под немногочисленные исключения из этой обязанности. Обработка данных исключительно в рамках трудовых отношений с собственными сотрудниками, без иной обработки, под уведомление не подпадает - но у школы почти всегда есть обработка данных учеников и их родителей, а она под это исключение уже не попадает. Проверить, стоит ли школа в реестре операторов, можно на официальном сайте Роскомнадзора по ИНН учреждения. Если уведомления нет, а обрабатывать данные учеников школа обязана по определению своей деятельности, это первое, с чего начинается разговор с проверяющими. Порядок подачи такого уведомления и что в нем указывать разобраны в отдельном материале - пошаговая инструкция по уведомлению РКН.
Помимо уведомления, школе как оператору нужен комплект внутренних документов: положение об обработке персональных данных, приказ о назначении ответственного за эту работу, перечень информационных систем, где обрабатываются данные (электронный журнал, бухгалтерская программа, система контроля доступа на входе), журнал учета обращений субъектов персональных данных. Какие документы обязательны для организации любого профиля и как их оформить, подробно разобрано в материале про локальные акты оператора персональных данных. У школы в этом списке есть одна особенность: ответственным за организацию обработки часто назначают завуча или секретаря без профильной юридической подготовки, и на практике это тот человек, который первым отвечает и на запрос родителя, и на запрос Роскомнадзора, поэтому его стоит хотя бы кратко проинструктировать, а не просто вписать в приказ.
Согласие родителей на обработку персональных данных ребенка: когда оно нужно
Ребенок до совершеннолетия не может самостоятельно распоряжаться своими персональными данными в полном объеме - за него это делают родители или другие законные представители: усыновители, опекуны, попечители. Именно поэтому при зачислении в школу родители подписывают не один документ, а обычно несколько отдельных согласий, и разница между ними на практике часто теряется даже у секретарей, которые их собирают.
Первое - общее согласие на обработку персональных данных для целей образовательного процесса: сбор данных для личного дела, ведение электронного журнала, оформление медицинской карты, взаимодействие с органами опеки при необходимости, организация питания и подвоза. Это согласие покрывает внутреннюю работу школы и само по себе не дает права публиковать данные ребенка где-либо за пределами учреждения.
Второе - согласие на распространение персональных данных, если школа планирует публиковать фото, видео или иные сведения о ребенке для неограниченного круга лиц: на сайте, в официальных группах в соцсетях, на стендах у входа в здание. Это отдельное согласие прямо предусмотрено законом и должно содержать перечень данных, цель их использования и категории лиц, которым они станут доступны. Без такого согласия любая публикация фото с линейки в открытой группе школы формально является нарушением, даже если ни один родитель устно не возражал.
Третье - отдельное согласие на обработку специальных категорий персональных данных, если оно требуется: сведения о состоянии здоровья, инвалидности, иногда о вероисповедании в контексте религиозных праздников или организации питания. Такие данные требуют письменной формы согласия и особого режима хранения - у медицинского работника школы или в личном деле с ограниченным доступом, а не в общей папке классного руководителя, доступной всем учителям. О том, что изменилось в правилах для таких согласий в последние годы, подробно написано в статье согласие на обработку специальных категорий персональных данных.
Отдельный случай - дополнительное образование и онлайн-сервисы для учебы вне основной школьной программы: кружки при школе, репетиторские платформы, дистанционные курсы для подготовки к экзаменам. Там действуют те же принципы, но есть свои нюансы объема данных и способа получения согласия в электронном виде, которые разобраны в статье про образовательные платформы и согласия от несовершеннолетних.
Таблица ниже - краткая шпаргалка для секретаря приемной комиссии или завуча: какое согласие нужно и на что именно оно распространяется.
| Вид согласия | Для чего нужно | Кто подписывает | Особенность формы |
|---|---|---|---|
| Согласие на обработку персональных данных для образовательного процесса | Личное дело, электронный журнал, медицинская карта, организационные вопросы | Родитель или законный представитель | Простая письменная форма при зачислении |
| Согласие на распространение персональных данных | Публикация фото, видео, фамилии и имени на сайте, в соцсетях, на стендах школы | Родитель или законный представитель, либо сам ученик от 18 лет | Отдельный документ с перечнем данных и целей |
| Согласие на обработку специальных категорий данных | Сведения о здоровье, инвалидности, вероисповедании | Родитель или законный представитель | Отдельная письменная форма, доступ ограничен |
| Согласие для дополнительного образования и сторонних сервисов | Кружки, репетиторские платформы, региональные системы допобразования | Родитель или законный представитель, отдельно от школьного | Зависит от сервиса, часто электронная форма |
Персональные данные учеников: что можно требовать, а что избыточно
Главное правило обработки персональных данных - собирать не больше, чем нужно для конкретной цели. Школа вправе запрашивать данные, необходимые для зачисления и организации учебного процесса: фамилию, имя и отчество, дату рождения, СНИЛС, адрес регистрации, реквизиты свидетельства о рождении или паспорта, контакты родителей, сведения о состоянии здоровья в объеме, нужном для медицинской карты и допуска к занятиям физкультурой.
Избыточным будет требовать данные про запас, без обоснованной цели: например, полные паспортные данные обоих родителей при заявлении о посещении кружка, если это не связано с оформлением платного договора, или сведения о доходах семьи вне процедуры оформления льготного питания. Такие данные накапливаются в личных делах годами, никто их потом не удаляет, а при утечке или проверке школа не может внятно объяснить, зачем они вообще были собраны.
Отдельная тема - данные, которые школа получает не от родителей напрямую, а от третьих лиц: органов опеки, комиссии по делам несовершеннолетних, медицинских учреждений, полиции. Здесь важно, чтобы такая передача была законной с обеих сторон и подтверждалась официальным запросом или межведомственным соглашением, а не устной просьбой по телефону, даже если звонивший представился сотрудником нужного ведомства.
Хранить личные дела учеников нужно ограниченный срок, а не бессрочно про запас: после выпуска или перевода в другую школу документы передаются либо архивируются по установленным правилам, а не остаются годами в шкафу учительской в открытом доступе для всех, кто туда заходит.
Что можно публиковать на сайте школы: фото с линейки, списки классов, олимпиадники
Публикации на сайте и в соцсетях школы - самая частая точка нарушений, потому что делает их обычно не юрист, а завуч по воспитательной работе или ответственный за сайт, и делает быстро, к празднику или сразу после мероприятия, без паузы на проверку документов.
Фотографии с линейки 1 сентября, выпускного, спортивных праздников - это персональные данные, если на них можно узнать конкретного ребенка. Публиковать такие фото для всех посетителей сайта можно только при наличии согласия на распространение от родителей, а для ученика старше 18 лет - от него самого. На практике удобно собирать такое согласие один раз в начале учебного года общим списком на все плановые мероприятия, а не каждый раз отдельно перед конкретным праздником, но оно все равно должно быть оформлено письменно и с конкретным перечнем целей, а не общей фразой про фотографии.
Списки класса с фамилиями и именами, а тем более с адресами и телефонами, в открытом доступе на сайте - прямое нарушение. Даже список только с именами и фамилиями лучше выкладывать без дополнительных данных и с пониманием, что это тоже требует правового основания, а домашние адреса и телефоны родителей на сайт школы не попадают никогда, ни при каких обстоятельствах.
Олимпиадники и победители конкурсов - отдельный случай: школа заинтересована показывать достижения учеников, и родители обычно относятся к такой публикации благосклонно. Тем не менее формально публикация фамилии, имени и класса победителя тоже требует согласия на распространение, просто получить его в этой ситуации обычно проще - родители сами гордятся результатом и охотно подписывают документ. Разумная практика - включить такую ситуацию в общее согласие, которое собирается в начале года, и не полагаться на мысль, что раз ребенок победил в олимпиаде, отдельное разрешение уже не требуется.
Ниже - сводная таблица типичных публикаций на сайте школы и того, что нужно для каждой из них.
| Что публикуют | Нужно ли согласие на распространение | Что делать на практике |
|---|---|---|
| Фото с линейки или праздника с узнаваемыми детьми | Да | Собрать согласие заранее, публиковать только тех детей, по кому оно получено |
| Список класса с фамилиями и именами без иных данных | Да, формально | Ограничить круг доступа: закрытая группа для класса, а не открытый сайт |
| Домашний адрес и телефон ребенка или родителей | Публиковать нельзя ни при каком согласии | Не размещать нигде на сайте и в соцсетях школы |
| Имена и достижения победителей олимпиад и конкурсов | Да | Включить эту ситуацию в общее согласие, которое собирают в начале года |
| Обезличенная статистика: число медалистов, средний балл по школе | Нет, это не персональные данные | Публиковать без ограничений |
Общее правило для любой из этих публикаций - на сайте школы должна быть размещена политика обработки персональных данных со ссылкой рядом с формой обратной связи и разделом новостей, а не спрятанная в подвале сайта одной строкой мелким шрифтом. В этом документе для школы важна своя специфика: перечень образовательных сервисов, куда передаются данные учеников, и понятный канал, куда родителю обращаться с вопросом по обработке персональных данных ребенка.
Электронный дневник и сторонние сервисы: где риски
Электронный дневник как информационная система
Электронный дневник - это информационная система, через которую проходит внушительный объем персональных данных учеников: оценки, посещаемость, комментарии учителей, иногда сведения о здоровье в разделе про допуск к занятиям. Обычно это региональная система, которую администрирует орган управления образованием субъекта, либо коммерческий сервис, с которым у школы заключен договор.
С точки зрения закона школа в этом случае остается оператором персональных данных, а разработчик дневника - лицом, которому поручена обработка. Это означает, что школа отвечает за то, что происходит с данными учеников, даже если технически ими управляет подрядчик: при утечке из дневника разбираться Роскомнадзор будет прежде всего со школой, а не только с разработчиком платформы. Отсюда практический вывод: договор или соглашение с оператором дневника, где прописана ответственность сторон за сохранность данных, должен быть у школы на руках, а не существовать только в виде устной договоренности с региональным министерством.
Сторонние сервисы для уроков и общения с родителями
Отдельная головная боль - сервисы для дистанционных уроков и общения с родителями, которые школы часто подключают без согласования с кем-либо: чаты в мессенджерах для класса, зарубежные видеоплатформы для онлайн-занятий, облачные диски для хранения и проверки домашних заданий. Часть таких сервисов хранит данные на серверах за пределами России, а значит, для персональных данных российских учеников это создает риск нарушения требований о локализации данных. Разбор того, какие зарубежные сервисы можно использовать без риска, а какие создают юридические проблемы, есть в статье зарубежные сервисы и обработка персональных данных в РФ.
Практический совет для завуча по информатизации или системного администратора школы: прежде чем официально порекомендовать классам какой-либо сервис, будь то дневник, чат или платформа для видеоуроков, стоит проверить два момента - где физически хранятся данные и есть ли с этим сервисом договор, в котором прописана ответственность за обработку персональных данных учеников. Если сервис подключили сами учителя, без ведома администрации и без какого-либо согласования, это не снимает ответственности со школы как с оператора: перед родителями и перед Роскомнадзором отвечает учреждение, а не отдельный учитель, действовавший по собственной инициативе.
Типичные нарушения в обработке персональных данных в школе
Часть нарушений повторяется от школы к школе почти без изменений, потому что возникают они не из злого умысла, а из привычки делать так, как делали годами, до того как за это начали спрашивать всерьез.
- Списки класса с домашними адресами и телефонами родителей на общедоступном сайте или в группе, доступ в которую формально ограничен, а на деле открыт для всех желающих.
- Фото и видео с мероприятий в открытых пабликах школы без согласия на распространение, особенно с детьми, которых можно узнать по контексту публикации, например по подписи вида класс коррекции или инклюзивная группа.
- Пароли от электронного дневника, которые классный руководитель пересылает всем родителям одним общим сообщением, включая логины и пароли других семей.
- Сбор избыточных данных при записи в кружки и секции: копии паспортов обоих родителей, СНИЛС, справки, которые фактически не нужны для конкретной услуги.
- Отсутствие письменного согласия на обработку сведений о здоровье, хотя фактически школа их обрабатывает - в медицинской карте, при допуске к физкультуре, при инклюзивном сопровождении ребенка.
- Отсутствие договора или соглашения с разработчиком электронного дневника либо стороннего сервиса, где прописана ответственность сторон за персональные данные учеников.
- Личные дела выпускников, которые годами лежат в кабинете завуча без установленного срока хранения и без какого-либо контроля доступа к ним.
Каждое из этих нарушений по отдельности редко приводит к серьезному штрафу само по себе, но именно они первыми бросаются в глаза при проверке или после жалобы родителя, и именно с них Роскомнадзор обычно начинает запрос документов у школы.
Как привести персональные данные в школе в порядок
Начинать стоит не с сайта и не с электронного дневника, а с ревизии: какие данные школа фактически собирает, где они хранятся, кто из сотрудников имеет к ним доступ и есть ли под каждый вид обработки согласие или иное законное основание. На основе этой ревизии проще понять, каких документов не хватает - положения об обработке, отдельных согласий на распространение, договора с разработчиком дневника - и в каком порядке их оформлять, чтобы не хвататься за все сразу.
- Проверить школу в реестре операторов персональных данных и при необходимости подать или обновить уведомление.
- Собрать и привести в порядок комплект внутренних документов: положение об обработке, приказ об ответственном, перечень информационных систем.
- Проверить формы согласий у родителей - отдельно общее согласие, отдельно на распространение, отдельно на специальные категории данных при необходимости.
- Убрать из открытого доступа на сайте и в соцсетях списки классов с лишними данными и фото без подтвержденного согласия.
- Разместить на сайте политику обработки персональных данных и проверить договоры с разработчиками дневника и сторонних сервисов.
Отдельно раз в год стоит напоминать классным руководителям и секретарям базовые правила: не пересылать данные одних родителей другим одним общим сообщением, не публиковать фото без согласия, не хранить личные дела дольше положенного срока. Это не требует юридического образования, но требует, чтобы кто-то в школе отвечал за это регулярно, а не разово перед приходом проверяющих.
Если разбираться со всем этим самостоятельно некогда или непонятно, с чего начать, аудит сайта и документов школы, приведение согласий и политики обработки персональных данных в соответствие с текущими требованиями закона - обычная практическая задача, с которой работает 152fzpro.ru: от проверки того, что уже есть и что упущено, до готовых шаблонов документов под конкретное учреждение.
