Законность бота для студентов, собирающего логины и пароли от электронного журнала: риски и требования

Законно ли создание и использование такого бота

Вы являетесь оператором персональных данных в смысле закона: вы самостоятельно определяете цели обработки, состав данных и действия с ними.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
   — п. 2 ст. 3 ФЗ № 152-ФЗ

Логин, пароль, ФИО и группа — это персональные данные, так как позволяют прямо идентифицировать конкретного студента (а пароль и логин, привязываясь к конкретному лицу, тоже являются сведениями, относящимися к определённому лицу). Их сбор, запись на сервере, хранение и использование — это «обработка персональных данных» (п. 3 ст. 3 ФЗ № 152-ФЗ).

В текущем виде создание и использование бота незаконно. Причин несколько, и они складываются:

1. Нет надлежащего согласия. Текст предупреждения, который показывает бот, не является согласием, соответствующим закону.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
— ч. 1 ст. 9 ФЗ № 152-ФЗ

Конкретность и информированность требуют, чтобы пользователю до дачи согласия были раскрыты: кто именно оператор (ФИО, контакты), какие именно данные, в каких целях, какие действия с ними совершаются, срок обработки и порядок отзыва согласия. Ваш текст об этом умалчивает и сводится к общей оговорке «данные будут использоваться только в рамках работы бота».

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ № 152-ФЗ

Бремя доказывания факта получения согласия лежит на операторе — а у вас фиксация согласия (команда /login) не образует верифицируемого доказательства.

1. Сбор пароля избыточен по отношению к целям. Обработка должна ограничиваться достижением конкретных целей, а избыточные данные обрабатываться не должны.

1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки
   — ч. 5, 7 ст. 5 ФЗ № 152-ФЗ

Хранение пароля в открытом виде в базе для целей «забора данных из журнала» — это сбор сведений, без которых задачу бота можно решить иными способами (токен доступа, сессия, официальный API), то есть избыточная обработка, нарушающая принцип минимизации.

1. Пароль от чужой информационной системы (журнала колледжа) — отдельный объект риска. Хранение учётных данных третьего лица без согласования с владельцем системы создаёт риск квалификации как неправомерного доступа к охраняемой законом компьютерной информации.

1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции Федерального закона от 30.11.2024 № 421-ФЗ) наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок до одного года
   — ч. 1 ст. 272 УК РФ

1. Отсутствие опубликованной политики (ч. 2 ст. 18.1 ФЗ № 152-ФЗ) и отсутствие уведомления Роскомнадзора (ч. 1 ст. 22 ФЗ № 152-ФЗ) — самостоятельные нарушения, какими бы ни были цели обработки.

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
   — ч. 2 ст. 18.1 ФЗ № 152-ФЗ

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

Вывод по вопросу 1: создание и использование бота в текущей конфигурации незаконно. Сам по себе «студенческий» статус, цель «в образовательных целях» и оговорка «не является представителем колледжа» не отменяют того, что вы — оператор ПДн, обрабатывающий данные без надлежащего правового основания, без политики, без уведомления РКН и с хранением паролей в открытом виде.

Уголовные риски

Ключевой состав введён Федеральным законом от 30.11.2024 № 421-ФЗ и действует с 11.12.2024 — ст. 272.1 УК РФ «Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные…», созданный специально под ситуации «собрали базу ПДн нелегально».

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
   — ч. 1 ст. 272.1 УК РФ

К вашей ситуации состав применим напрямую: бот собирает и хранит компьютерную информацию (запись в базе на сервере), содержащую персональные данные студентов, а сама информация получена путём неправомерного доступа к средствам обработки (вы не согласовывали доступ с колледжем) либо иным незаконным путём (использование чужих учётных данных без правового основания). Ввод логина/пароля студента в ваш бот не легализует автоматизированный вход от его имени, если это не разрешено владельцем системы.

Важно: часть 2 этой статьи резко повышает ответственность, если среди студентов есть несовершеннолетние (а в колледже обучаются лица 15–17 лет).

1. Те же деяния, совершенные в отношении компьютерной информации, содержащей персональные данные несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные, - наказываются штрафом в размере до семисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.
   — ч. 2 ст. 272.1 УК РФ

Оговорка «для личных и семейных нужд» в вашем случае не спасает: бот обслуживает неопределённый круг студентов колледжа, а не вас лично.

Примечания. 1. Действие настоящей статьи не распространяется на случаи обработки персональных данных физическими лицами исключительно для личных и семейных нужд. 2. Под трансграничным перемещением носителей информации, содержащих указанную в настоящей статье компьютерную информацию, в настоящей статье понимается совершение действий по ввозу на территорию Российской Федерации и (или) вывозу с территории Российской Федерации машиночитаемого носителя информации (в том числе магнитного и электронного), на который осуществлены запись и хранение такой информации. (Дополнение статьей - Федеральный закон от 30.11.2024 № 421-ФЗ)
— примечание 1 к ст. 272.1 УК РФ, п. 6

Если доступ к журналу повлёк копирование информации (что и делает бот — «забирает данные»), применима также ст. 272 УК РФ, однако с 30.11.2024 она из этой сферы «вытеснена» специальной нормой: неправомерный доступ к компьютерной информации с персональными данными квалифицируется по ст. 272.1 УК РФ (в обеих статьях есть оговорка «за исключением случаев, предусмотренных статьей 272.1»).

1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции Федерального закона от 30.11.2024 № 421-ФЗ) наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок до одного года
   — ч. 1 ст. 272 УК РФ

Статья 137 УК РФ («нарушение неприкосновенности частной жизни») применима, только если собираемые сведения составляют личную или семейную тайну и при отсутствии законного согласия. Оценки, данные об успеваемости и даже ФИО сами по себе личной тайной, как правило, не признаются, но сочетание идентификаторов с сведениями из закрытой системы при наличии инцидента утечки может усилить квалификацию.

1. Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет.
   — ч. 1 ст. 137 УК РФ

Вывод по вопросу 2 (уголовная часть): основной состав — ч. 1, а при наличии несовершеннолетних пользователей — ч. 2 ст. 272.1 УК РФ, наказание до 4–5 лет лишения свободы. Риск реализуется, если данные получены и хранятся без законного основания — а оно у вас отсутствует. Прекращение деятельности бота сейчас не снимает ответственности за уже собранную базу.

Административные риски

Статья 13.11 КоАП РФ в редакции от 30.11.2024 предусматривает несколько самостоятельных составов, которые у вас реализованы одновременно (за каждый — отдельный штраф, для гражданина/физлица суммы приведены по первой графе):

1. Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния, - (В редакции федеральных законов от 11.06.2021 № 206-ФЗ, от 30.11.2024 № 420-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от пятидесяти тысяч до ста тысяч рублей; на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.
   — ч. 1 ст. 13.11 КоАП РФ

Обработка ПДн без законного основания (нет надлежащего согласия) — до 15 000 руб. (ч. 1); повторно — до 30 000 руб. (ч. 1.1).

1. Невыполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по опубликованию или обеспечению иным образом неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, или сведениям о реализуемых требованиях к защите персональных данных - влечет наложение административного штрафа на граждан в размере от одной тысячи пятисот до трех тысяч рублей; на должностных лиц - от шести тысяч до двенадцати тысяч рублей; на индивидуальных предпринимателей - от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от тридцати тысяч до шестидесяти тысяч рублей.
   — ч. 3 ст. 13.11 КоАП РФ

Отсутствие опубликованной политики — до 3 000 руб. (ч. 3).

1. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных - влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от ста тысяч до трехсот тысяч рублей.
   — ч. 10 ст. 13.11 КоАП РФ

Отсутствие уведомления РКН о намерении обрабатывать ПДн — до 10 000 руб. (ч. 10, новый состав).

1. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, - влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц - от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц - от одного миллиона до трех миллионов рублей.
   — ч. 11 ст. 13.11 КоАП РФ

Если произойдёт утечка (неправомерный доступ к ПДн) и вы не уведомите РКН — до 100 000 руб. (ч. 11).

1. Действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей персональные данные от одной тысячи до десяти тысяч субъектов персональных данных и (или) от десяти тысяч до ста тысяч идентификаторов, если эти действия (бездействие) не содержат признаков уголовно наказуемого деяния, - влекут наложение административного штрафа на граждан в размере от ста тысяч до двухсот тысяч рублей; на должностных лиц - от двухсот тысяч до четырехсот тысяч рублей; на юридических лиц - от трех миллионов до пяти миллионов рублей.
   — ч. 12 ст. 13.11 КоАП РФ

Если утечка затронет от 1 000 до 10 000 субъектов — до 200 000 руб. (ч. 12); при большем масштабе суммы растут до 400 000 руб. и выше.

Кроме того, ст. 13.14 КоАП РФ — самостоятельный риск, связанный с доступом вашего знакомого к базе: разглашение информации с ограниченным доступом лицом, получившим такой доступ в связи с исполнением обязанностей.

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 и статьей 17.13 настоящего Кодекса, - (В редакции федеральных законов от 09.04.2007 № 45-ФЗ, от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей ; на должностных лиц - от сорока тысяч до пятидесяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от ста тысяч до двухсот тысяч рублей .
— ст. 13.14 КоАП РФ

Разделённый с посторонним лицом доступ к серверу без поручения обработки и без обязательства о конфиденциальности — это дополнительное направление административной ответственности, если произойдёт раскрытие данных.

Вывод по вопросу 2 (административная часть): на текущий момент вы уже находитесь в состоянии длящегося нарушения по нескольким составам ст. 13.11 КоАП РФ (обработка без основания, нет политики, нет уведомления РКН). Даже без единой утечки это совокупность штрафов; при утечке суммы вырастают на порядок, и присоединяется ст. 13.14 КоАП РФ.

Гражданско-правовые риски (деньги, ущерб, моральный вред)

Независимо от административной и уголовной ответственности, у студентов как субъектов ПДн и у колледжа есть гражданско-правовые требования.

Со стороны студентов — на основании нарушения законодательства о ПДн и неправомерной обработки их сведений возможно взыскание компенсации морального вреда в соответствии со ст. 151 ГК РФ (нарушение неимущественных прав — права на неприкосновенность частной жизни, на защиту персональных данных), а также возмещение убытков по общим правилам ст. 15 ГК РФ, если доступ к их учётным данным или утечка причинили реальный имущественный вред (например, утрата доступа к журналу, порча учётной записи, последующие противоправные действия третьих лиц с их данными).

Специальная норма, закрепляющая приоритет интересов субъекта, — обязанность оператора соблюдать конфиденциальность и не допускать избыточной обработки:

1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. 6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных. 7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки
   — ч. 5, 7 ст. 5 ФЗ № 152-ФЗ

Нарушение принципов (избыточность, неопределённость целей, хранение дольше необходимого) — самостоятельное основание для требования о прекращении обработки, уничтожении данных и компенсации вреда.

Со стороны колледжа — вуз является владельцем информационной системы журнала. Автоматизированный доступ к ней с использованием учётных данных студентов без согласования с вузом нарушает установленный порядок использования системы. Колледж вправе требовать пресечения действий, нарушающих его права (ст. 12 ГК РФ) и возмещения убытков, причинённых вмешательством в работу системы, а также инициировать дисциплинарные меры в отношении студента-разработчика (если вы учащийся этого же колледжа).

Вывод по вопросу 2 (гражданская часть): помимо публично-правовых санкций вы несёте риск частных исков о компенсации морального вреда и убытков как от студентов, так и от колледжа. Хранение паролей в открытом виде и доступ постороннего к серверу существенно повышают вероятность и размер этих требований.

Что изменить в политике и предупреждениях

Чтобы снизить риски, предупреждение и политику нужно привести в соответствие с требованиями ст. 9, 18.1 и 22 ФЗ № 152-ФЗ.

1. Опубликовать Политику обработки ПДн. Поскольку сбор идёт через информационно-телекоммуникационную сеть, политика обязана быть доступна неограниченному кругу лиц по месту сбора.

1. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети , в том числе на страницах принадлежащего оператору сайта в информационно-телекоммуникационной сети "Интернет", с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.
   — ч. 2 ст. 18.1 ФЗ № 152-ФЗ

В политике должны быть определены и зафиксированы: категории и перечень ПДн по каждой цели, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения данных при достижении целей (ч. 1 ст. 18.1 ФЗ № 152-ФЗ).

2. Переделать согласие. Текущий текст «Мы собираем и храним ваши логин и пароль…» не является конкретным, предметным и информированным согласием. Минимально согласие (в электронной поддающейся фиксации форме) должно отдельно, до ввода /login, раскрывать:

• ФИО и контакты оператора (ваши реквизиты);
• точный перечень собираемых данных (логин, пароль, ФИО, группа — и любые иные, включая оценки, если журнал их отдаёт);
• конкретную цель каждой категории данных;
• перечень действий с данными (сбор, хранение, использование, автоматизированный вход от имени пользователя);
• срок действия согласия и способ его отзыва;
• подтверждение, что отказ от согласия не лишает пользователя доступа к журналу напрямую.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных.
— ч. 1 ст. 9 ФЗ № 152-ФЗ

Фиксация факта согласия должна быть доказуемой (журнал с отметкой времени, ID пользователя и текстом, с которым он согласился), поскольку бремя доказывания лежит на вас.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ № 152-ФЗ

3. Минимизировать данные — убрать хранение паролей. Сбор пароля избыточен и его хранение в открытом виде — грубое нарушение. Правильное решение: не хранить логин/пароль вообще; работать через сессионный токен или официальный API колледжа, либо хранить только обезличенные/хэшированные маркеры, непригодные для повторного входа. Это прямо снимает главный состав ст. 272.1 УК РФ и избыточность по ст. 5 152-ФЗ.

4. Убрать или скорректировать статусную оговорку. Фраза «не является официальным представителем колледжа» полезна, но не снимает риск введения в заблуждение. Если бот позиционируется «для студентов колледжа», стоит либо получить письменное согласование с вузом (тогда меняется правовой режим — появляется законное основание по поручению/соглашению), либо явно дистанцироваться от наименования и символики колледжа.

5. Уведомить Роскомнадзор до начала (продолжения) обработки — с указанием целей, категорий данных и мер защиты.

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
   — ч. 1 ст. 22 ФЗ № 152-ФЗ

Вывод по вопросу 3: политику нужно опубликовать, согласие — перестроить по составу обязательных элементов (конкретность, предметность, фиксируемость, отзыв), а хранение паролей — исключить технологически (перейти на токен/API). Уведомление РКН — обязательно.

Меры безопасности для защиты собранных данных

Требования к защите ПДн установлены ст. 19 ФЗ № 152-ФЗ, а их детализация — Постановлением Правительства РФ от 01.11.2012 № 1119 (уровни защищённости) и Приказом ФСТЭК России от 18.02.2013 № 21 (состав и содержание организационных и технических мер).

1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
   — ч. 1 ст. 19 ФЗ № 152-ФЗ

Конкретный перечень мер, прямо следующий из закона:

1. обнаружением фактов несанкционированного доступа к персональным данным и принятием мер , в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них ; (В редакции Федерального закона от 30.12.2020 № 515-ФЗ ) 7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; 8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных
   — п. 6, 8 ч. 2 ст. 19 ФЗ № 152-ФЗ

Применительно к вашему боту минимально необходимые меры:

1. Шифрование/хэширование — пароли и иные аутентификационные данные не хранить в открытом виде; при невозможности отказа от их обработки — хранить только хэш с солью, а лучше не хранить вовсе (токен/API).
2. Контроль доступа — доступ к базе только у вас; убрать доступ постороннего лица либо оформить его письменным поручением с обязательством конфиденциальности (ч. 3 ст. 6, ст. 19 152-ФЗ), иначе возникает риск ст. 13.14 КоАП РФ.
3. Логирование — регистрация и учёт всех действий с ПДн в ИСПДн (п. 8 ч. 2 ст. 19 152-ФЗ).
4. Определение угроз и уровня защищённости — по ПП № 1119 определить актуальные угрозы и требуемый уровень защищённости; для паролей и логинов это, как правило, не ниже уровня, требующего средств защиты, прошедших оценку соответствия.
5. Средства защиты информации — применение прошедших оценку соответствия СЗИ (п. 3 ч. 2 ст. 19 152-ФЗ), включая средства уничтожения информации.
6. Реагирование на инциденты — процедуры обнаружения несанкционированного доступа, а при утечке — уведомление РКН; за невыполнение установлена отдельная ответственность.

1. Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, - влечет наложение административного штрафа на граждан в размере от пятидесяти тысяч до ста тысяч рублей; на должностных лиц - от четырехсот тысяч до восьмисот тысяч рублей; на юридических лиц - от одного миллиона до трех миллионов рублей.
   — ч. 11 ст. 13.11 КоАП РФ

1. Локализация базы — запись, хранение и извлечение ПДн граждан РФ должны вестись с использованием баз данных, находящихся на территории РФ; если арендованный сервер за рубежом — это отдельное нарушение.

(c8 КоАП РФ — ч. 8 ст. 13.11 предусматривает штраф от 30 000 руб. для граждан за нарушение требования о локализации.)

Вывод по вопросу 4: минимум — исключить хранение паролей в открытом виде (перейти на токен/API), ограничить доступ одним лицом, включить логирование, определить уровень защищённости по ПП № 1119 и применить СЗИ по приказу ФСТЭК № 21, разместить базу на сервере в РФ и выстроить процедуру уведомления РКН об инцидентах.

Развилки, меняющие вывод: возраст пользователей и согласование с колледжем

Ответ существенно зависит от двух неустановленных фактов.

Ветка А — среди пользователей есть несовершеннолетние (до 18 лет). Для студентов 15–17 лет согласие на обработку ПДн в части, выходящей за рамки личной/бытовой обработки, не может быть получено от них самих в полном объёме — требуется согласие или учет интересов законных представителей. Практическое следствие: обработка ПДн несовершеннолетних без надлежащего основания переводит квалификацию с ч. 1 на ч. 2 ст. 272.1 УК РФ (до 5 лет) и повышает штрафы.

1. Те же деяния, совершенные в отношении компьютерной информации, содержащей персональные данные несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные, - наказываются штрафом в размере до семисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.
   — ч. 2 ст. 272.1 УК РФ

Если вы не знаете возраст пользователей (а бот его не проверяет) — это самостоятельный риск: вы не в состоянии доказать, что обрабатываете данные только совершеннолетних.

Ветка Б — согласование с колледжем есть. Если вы получите от вуза письменное разрешение/договор на интеграцию (поручение обработки, доступ к API), правовая картина меняется принципиально: доступ к журналу перестаёт быть неправомерным, и состав ст. 272.1 УК РФ (ключевой признак — «полученной путём неправомерного доступа… либо иным незаконным путём») отпадает, остаются только требования 152-ФЗ (согласие, политика, уведомление РКН, защита).

1. Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.
   — ч. 1 ст. 272.1 УК РФ

Ветка В — сервер за рубежом. Если арендованный сервер физически вне РФ, добавляется нарушение требования локализации (ч. 5 ст. 18 ФЗ № 152-ФЗ соблюдается только при размещении баз на территории РФ) и, при вывозе/ввозе носителей, квалифицирующий признак ч. 4 ст. 272.1 УК РФ (трансграничная передача — до 8 лет лишения свободы).

Вывод по вопросу с развилками: точный перечень рисков и меры зависят от того, есть ли в базе данные несовершеннолетних, согласована ли интеграция с колледжем и где расположен сервер. Во всех неуточнённых случаях следует исходить из наиболее строгого варианта: данные несовершеннолетних есть, согласования нет, сервер может быть за пределами РФ.