Краткий ответ
Ваша ситуация отличается?Опишите её своими словами — Нейроадвокат ответит за 5 минут
Опишите ситуацию своими словами — ответ за 5 минут checklist Рекомендуемые действия
- 1Подайте уведомление в Роскомнадзор по месту вашей регистрации до начала обработки данных учеников.
- 2Получите от каждого ученика (или его законного представителя) письменное согласие на обработку персональных данных.descriptionСогласие на обработку персональных данных
- 3Укажите в согласии конкретные цели: проведение тестирования, оценка знаний, передача данных платформе.
- 4Запросите у платформы политику обработки персональных данных и приказ о назначении ответственного за обработку.
- 5Проверьте пользовательское соглашение платформы с адвокатом для разграничения вашей ответственности.
folder_open Документы и доказательства
- check_circleУведомление о начале обработки персональных данных, поданное вами в Роскомнадзор до начала работы.
- check_circleПолитика обработки персональных данных онлайн-платформы, запрошенная у сервиса.
- check_circleПользовательское соглашение с платформой для проверки разграничения ответственности сторон.
scheduleСроки и риски
- check_circleНе полагайтесь на статус оператора платформы — вы также признаётесь оператором из-за доступа к результатам.
- check_circleПривлеките адвоката для проверки пользовательского соглашения на разграничение ответственности.
blockЧего не делать
- check_circleНе начинайте обработку данных учеников до подачи уведомления в Роскомнадзор.
- check_circleНе полагайтесь на статус оператора платформы в договоре — ваша обязанность по уведомлению самостоятельна.
- check_circleНе собирайте и не загружайте на платформу имена и email учеников без их письменного согласия.
- check_circleНе используйте результаты тестов для целей, не указанных в согласии на обработку данных.
- check_circleНе передавайте платформе данные учеников, не проверив её политику обработки персональных данных.
- check_circleНе игнорируйте запросы учеников на удаление или уточнение их данных — вы обязаны их исполнить.
Развёрнутый ответ Нейроадвоката
В рассматриваемой ситуации репетитор планирует использовать внешнюю российскую онлайн-платформу для создания и отправки тестов ученикам. При этом платформа будет обрабатывать персональные данные учеников, такие как имя и адрес электронной почты. Репетитор, в свою очередь, будет иметь доступ к результатам тестирования, что означает, что он сможет ознакомиться с информацией, связанной с конкретными учениками.
Юридически значимым является определение статуса репетитора в отношении персональных данных учеников. Согласно российскому законодательству, оператором персональных данных признается лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку таких данных, а также определяет цели и содержание обработки. В данном случае договор с платформой уже закрепляет за ней статус оператора, что указывает на то, что именно платформа принимает решения о целях и способах обработки данных (например, как хранить ФИО и email, как обеспечивать защиту информации).
Однако репетитор, получая доступ к результатам тестов, которые содержат персональные данные учеников (например, оценка, привязанная к имени), также фактически имеет возможность ознакомления с такими данными. Вопрос в том, достаточно ли этого для признания репетитора оператором. Ключевым критерием здесь является то, кто определяет цель обработки данных. Если репетитор использует платформу исключительно как инструмент, не вмешиваясь в процессы сбора и хранения данных (не создает базы данных, не устанавливает правила их обработки), а лишь пользуется готовым функционалом, его роль может быть сведена к пользователю сервиса, а не к самостоятельному оператору.
Тем не менее, необходимо учесть, что репетитор, задавая параметры теста (кто из учеников должен его пройти) и просматривая результаты, де-факто определяет, какие данные будут обрабатываться (кого из учеников добавить в систему) и для какой цели (проверка знаний). Это может быть расценено как участие в определении содержания обработки, что потенциально порождает обязанности оператора. Соответственно, ситуация требует тщательного анализа: является ли репетитор обычным пользователем, чьи действия не выходят за рамки условий использования платформы, или же его действия можно квалифицировать как самостоятельную обработку персональных данных.
Подача уведомления в Роскомнадзор является обязанностью оператора. Если репетитор не будет признан оператором, такое уведомление подавать не требуется. Если же его действия будут подпадать под определение оператора, то возникает необходимость в уведомлении. Таким образом, центральным вопросом является правовая квалификация действий репетитора в контексте обработки персональных данных.
Центральным вопросом в данной ситуации является правовой статус репетитора применительно к обработке персональных данных учеников (имя, email, а также результаты тестов). Для его разрешения необходимо последовательно применить нормы, регламентирующие понятие персональных данных, обязанности оператора и порядок уведомления уполномоченного органа.
Прежде всего, следует установить, относятся ли сведения, с которыми будет работать репетитор, к персональным данным. Согласно ст. 3 Федерального закона «О персональных данных», под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Имя ученика и его адрес электронной почты однозначно идентифицируют конкретного субъекта, а результаты тестов, привязанные к таким данным, также позволяют определить лицо. Следовательно, эти сведения являются персональными данными, и их обработка подчиняется требованиям Закона № 152-ФЗ.
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 3
Далее необходимо определить, кто в данной схеме выступает оператором, то есть лицом, самостоятельно или совместно организующим и осуществляющим обработку персональных данных. В предоставленном контексте отсутствует определение оператора, но по общему смыслу Закона № 152-ФЗ оператором признаётся лицо, которое определяет цели обработки и принимает решения о её средствах. В договоре с платформой прямо указано, что платформа является оператором. Однако репетитор также получает доступ к результатам тестов, что само по себе является формой обработки (ознакомление, использование). Более того, именно репетитор определяет цель обработки — проведение учебного тестирования — и принимает решение о том, кому из учеников направлять задания. Платформа лишь предоставляет технический инструментарий, но не определяет, какие тесты создавать и для каких учеников. Таким образом, репетитор может быть признан лицом, совместно с платформой осуществляющим обработку персональных данных, а в ряде случаев — самостоятельным оператором, если он не передаёт платформе полномочия определять цели.
Поскольку в предоставленном контексте нет прямого определения оператора, для точной квалификации следует обратиться к полному тексту ст. 3 Закона № 152-ФЗ, где даётся исчерпывающее понятие. Исходя из общей логики закона, репетитор, имея доступ к персональным данным учеников и используя их в своей педагогической деятельности, должен рассматриваться как оператор (или, как минимум, как лицо, осуществляющее обработку с ведома оператора, что также влечёт определённые обязанности).
Переходя к обязанности уведомления, ст. 22 Закона № 152-ФЗ устанавливает, что оператор до начала обработки персональных данных обязан уведомить уполномоченный орган (Роскомнадзор) о своём намерении, за исключением случаев, прямо перечисленных в части 2 этой статьи. Единственное исключение, сохранившее силу на момент анализа (п. 7 ч. 2 ст. 22), касается обработки персональных данных, включённых в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка. Данное исключение явно не применимо к деятельности репетитора.
Статья 22. Уведомление об обработке персональных данных
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
- Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
- включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22 (в ред. от 14.07.2022 № 266-ФЗ)
Ни одно из иных исключений, которые могли бы быть применимы (например, обработка в рамках трудовых отношений, обработка субъектами, не являющимися операторами, и т.п.), в приведённом контексте не содержится, поскольку соответствующие пункты части 2 ст. 22 утратили силу. Таким образом, общее правило об обязательном уведомлении не имеет изъятий для рассматриваемой ситуации. Если репетитор признаётся оператором (или сооператором), он обязан до начала работы с учениками направить уведомление в Роскомнадзор. Сама по себе передача функций по технической обработке платформе, которая также является оператором, не освобождает репетитора от этой обязанности, если он самостоятельно определяет цели и использует данные. Напротив, наличие нескольких операторов, обрабатывающих одни и те же данные, может потребовать уведомления от каждого из них в части своей обработки.
Уполномоченным органом, принимающим такое уведомление, согласно ст. 23 Закона № 152-ФЗ, является федеральный орган исполнительной власти, осуществляющий контроль и надзор за соответствием обработки персональных данных требованиям законодательства, — то есть Роскомнадзор. Таким образом, подавать уведомление необходимо именно в этот орган.
Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
- Уполномоченным органом по защите прав субъектов персональных данных является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 23 (в ред. от 14.07.2022 № 266-ФЗ)
В совокупности норм следует вывод: репетитор, который будет создавать тесты на платформе и получать доступ к результатам, содержащим персональные данные учеников (имя, email), вероятнее всего, признаётся оператором персональных данных (или, как минимум, лицом, осуществляющим обработку с ведома оператора). В отсутствие применимых исключений, предусмотренных ч. 2 ст. 22, он обязан до начала обработки направить уведомление в Роскомнадзор. Тот факт, что платформа также является оператором, не снимает этой обязанности с репетитора, если он самостоятельно определяет цели и использует данные учеников. Рекомендуется подать уведомление заблаговременно, чтобы избежать риска привлечения к ответственности за нарушение правил обработки персональных данных (ст. 24 Закона № 152-ФЗ).
Закон не связывает статус оператора исключительно с формальным указанием в договоре. Репетитор, самостоятельно определяя цель обработки данных учеников (проведение тестирования, оценка знаний) и принимая решение о круге лиц, чьи данные будут загружены в систему, действует как лицо, организующее обработку, и признаётся оператором персональных данных наряду с платформой. Поскольку ни одно из исключений, предусмотренных ч. 2 ст. 22 Федерального закона «О персональных данных», к вашей деятельности не применимо, вы обязаны самостоятельно подать уведомление в Роскомнадзор до начала фактической обработки данных учеников. Тот факт, что платформа технически собирает email и хранит результаты, а в договоре названа оператором, не снимает с вас установленной законом обязанности по уведомлению.
Рекомендуемые действия
- До начала учебного года и до загрузки каких-либо сведений об учениках на платформу подайте уведомление о начале обработки персональных данных в территориальный орган Роскомнадзора по вашему месту регистрации (лично или через портал Госуслуг).
- Получите от учеников (или их законных представителей) письменное согласие на обработку персональных данных, в котором перечислите конкретные действия (сбор, запись, передача платформе, оценка результатов) и ресурсы, которые вы используете.
- Не полагайтесь на утверждение платформы об исключительном статусе оператора: ваш доступ к результатам и определение целей тестирования требуют от вас выполнения обязанностей оператора независимо от содержания договора с сервисом.
- Запросите у платформы актуальную политику обработки персональных данных и приказ о назначении ответственного за организацию обработки ПДн — эти документы подтвердят, что вторая сторона также соблюдает требования закона, и помогут минимизировать риски.
- Привлеките адвоката для проверки пользовательского соглашения с платформой на предмет разграничения вашей ответственности и готовности сервиса к исполнению запросов субъектов данных (например, на удаление или уточнение сведений).