Принуждение к установке приложения с доступом к личным данным в колледже

Просьба колледжа установить приложение «УСПЕХ» и предоставить ему широкие разрешения — это серьезный сигнал о возможном нарушении ваших прав на защиту персональных данных. Разберемся, насколько это законно и что можно предпринять.

Анализ ситуации и применимые нормы

Ваше беспокойство абсолютно обоснованно. Сбор таких данных, как геолокация и список контактов, является вторжением в вашу частную жизнь и должен регулироваться строгими правилами. С точки зрения закона, колледж, который обязывает вас установить приложение и передать данные, выступает в роли «оператора» обработки ваших персональных данных.

1. Распространяется ли на это Федеральный закон «О персональных данных»?

Да, безусловно. Федеральный закон № 152-ФЗ регулирует обработку любой информации, относящейся к вам как к конкретному человеку.

«1. Настоящим Федеральным законом регулируются отношения, связанные с обработкой персональных данных... осуществляемой... юридическими лицами... с использованием средств автоматизации...» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 1)

Приложение «Успех» на вашем смартфоне — это как раз средство автоматизированной обработки данных. Следовательно, все требования 152-ФЗ обязательны для колледжа.

2. Законно ли требование дать доступ к контактам, местоположению и камере?

С большой вероятностью, незаконно, по нескольким причинам.

Во-первых, нарушается принцип избыточности данных. Содержание и объем собираемых данных должны строго соответствовать конкретным, заранее заявленным целям. Доступ к вашим контактам, постоянному местоположению и камере никак не может быть необходим для учебного процесса, который обычно требует только идентификации студента и фиксации результатов.

«5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 5)

Запрашивать доступ ко всей телефонной книге для учёбы — это явно избыточное требование.

Во-вторых, нарушается принцип добровольности и свободы согласия. Согласие на обработку данных должно быть вашим свободным решением. Если вас ставят перед выбором «или даешь доступ, или не сдашь сессию/не пройдешь курс», это не считается свободным согласием. Более того, сам факт предоставления образовательной услуги не может быть обусловлен передачей избыточных данных.

Закон об образовании прямо указывает, что для таких целей должны использоваться государственные информационные системы.

«3.1. При реализации... образовательных программ среднего профессионального образования с применением электронного обучения... организация... должна использовать государственные информационные системы...» (Источник: Федеральный закон от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации", Статья 16)

Если приложение «Успех» не является частью такой государственной информационной системы, его навязывание вдвойне сомнительно.

3. Административная ответственность за подобные нарушения

За понуждение к передаче персональных данных и их неправомерную обработку предусмотрена серьезная ответственность.

С одной стороны, колледж как образовательная организация может быть привлечен за нарушение прав обучающихся:

«2. Нарушение или незаконное ограничение предусмотренных законодательством об образовании прав и свобод обучающихся... влечет наложение административного штрафа на должностных лиц в размере от десяти тысяч до тридцати тысяч рублей; на юридических лиц - от пятидесяти тысяч до ста тысяч рублей.» (Источник: КоАП РФ, Статья 5.57)

С другой стороны, за нарушение непосредственно законодательства о персональных данных штрафы значительно выше. Например, за обработку данных без надлежащего письменного согласия в случаях, когда оно обязательно:

«2. Обработка персональных данных без согласия в письменной форме субъекта персональных данных... влечет наложение административного штрафа... на юридических лиц - от трехсот тысяч до семисот тысяч рублей.» (Источник: КоАП РФ, Статья 13.11)

Самый вероятный состав правонарушения — это обработка персональных данных в случаях, не предусмотренных законом, или несовместимая с целями сбора.

«1. Обработка персональных данных в случаях, не предусмотренных законодательством... либо обработка персональных данных, несовместимая с целями сбора... влечет наложение административного штрафа... на юридических лиц - от ста пятидесяти тысяч до трехсот тысяч рублей.» (Источник: КоАП РФ, Статья 13.11)

Выводы и рекомендации

Требования администрации вашего колледжа с высокой долей вероятности незаконны, так как нарушают базовые принципы обработки персональных данных, включая запрет на избыточность и принцип свободного, а не принудительного согласия.

Вот что вы можете сделать прямо сейчас.

1. Запросите официальные разъяснения. Потребуйте у администрации колледжа письменный документ (например, положение или приказ), в котором четко указано:

   • На каком правовом основании и с какой конкретной законодательной целью требуется установка именно этого приложения?
   • Является ли приложение «Успех» частью государственной информационной системы, как того требует ст. 16 ФЗ «Об образовании»?
   • Для каких конкретно целей учебного процесса необходим доступ к вашей геолокации, контактам и камере? Попросите обосновать отсутствие избыточности этих требований.
   • Где можно ознакомиться с формой добровольного информированного согласия на обработку этих данных, оформленного отдельно, как того требует ст. 9 ФЗ «О персональных данных»?

2. Подайте обращение в комиссию по урегулированию споров колледжа. Это ваш первый внутренний инструмент защиты.

   «1. В целях защиты своих прав обучающиеся... вправе:... 2) обращаться в комиссию по урегулированию споров между участниками образовательных отношений...» (Источник: Федеральный закон от 29.12.2012 N 273-ФЗ "Об образовании в Российской Федерации", Статья 45)

3. Направьте жалобу в контролирующие органы. Это можно делать параллельно или вместо внутреннего разбирательства.

   • Роскомнадзор (Уполномоченный орган по защите прав субъектов персональных данных). Это ваш главный защитник в вопросах обработки данных. Подать жалобу можно через их официальный сайт. Они обязаны провести проверку по вашему заявлению и вправе привлечь виновных к административной ответственности по ст. 13.11 КоАП РФ.

     «Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона... субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных...» (Источник: Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Статья 17)

   • Прокуратура. Обратитесь с жалобой на нарушение прав в сфере образования и персональных данных. Прокуратура проведет проверку и в случае выявления нарушений может внести представление об их устранении.

Если самостоятельные действия не принесут результата или ситуация покажется вам особенно сложной, стоит обратиться к адвокату, специализирующемуся на защите персональных данных. Он поможет грамотно составить заявления и представит ваши интересы.