Может ли детский сад выдать характеристику на ребенка в школу без согласия и ведома родителей

Является ли характеристика на ребёнка персональными данными, и кто здесь оператор

Любая информация, относящаяся к определённому или определяемому ребёнку — ФИО, возраст, сведения о поведении, развитии, состоянии здоровья, составе семьи, — это персональные данные.

1. персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
   — п. 1 ст. 3 ФЗ № 152-ФЗ «О персональных данных»

Сам детский сад, который организует учёт таких сведений и определяет цели и состав их обработки, является оператором персональных данных.

1. оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
   — пп. 2, 3 ст. 3 ФЗ № 152-ФЗ «О персональных данных»

Составление и передача характеристики — это обработка персональных данных, а сама выдача документа в школу квалифицируется как предоставление персональных данных, то есть раскрытие их определённому лицу (школе).

1. предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
   — пп. 6 ст. 3 ФЗ № 152-ФЗ «О персональных данных»

Для фактов клиента это означает: сведения, изложенные в характеристике, полностью подпадают под режим ФЗ № 152-ФЗ, а сад выступает оператором, обязанным соблюдать требования этого закона при любой передаче такой информации.

Вывод по вопросу: характеристика на ребёнка — это персональные данные; сад как лицо, ведущее их обработку, является оператором, а выдача характеристики в школу — предоставление персональных данных конкретному третьему лицу со всеми вытекающими обязанностями по ФЗ № 152-ФЗ.

Обязан ли сад хранить конфиденциальность и не раскрывать данные ребёнка школе без согласия

Это центральная норма для ситуации. Оператор (сад) прямо обязан не раскрывать персональные данные третьим лицам без согласия субъекта, если иное не установлено федеральным законом.

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— ст. 7 ФЗ № 152-ФЗ «О персональных данных»

Значит, по общему правилу выдача характеристики в школу без согласия родителя (законного представителя) — это и есть запрещённое раскрытие персональных данных третьему лицу, и обязанность доказать правомерность лежит на саде.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
— ч. 1 ст. 17 ФЗ № 152-ФЗ «О персональных данных»

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— ч. 2 ст. 17 ФЗ № 152-ФЗ «О персональных данных»

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

Вывод по вопросу: сад не вправе раскрывать школе персональные данные ребёнка без согласия законного представителя, если только такая передача не подпадает под прямое исключение федерального закона (см. блок 3). Доказывать законность передачи должен сад, а не родитель.

Есть ли законное основание для передачи данных в школу без согласия родителя

Обработка допускается без согласия, если она необходима для выполнения возложенных на оператора законом функций, полномочий и обязанностей.

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
   — п. 2 ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Это главное основание, на которое может ссылаться сад, если характеристика запрашивается школой в рамках предусмотренного порядка преемственности «детский сад — школа».

1. обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
   — п. 1 ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

При этом обычная (не основанная на норме закона) просьба школы или сложившаяся практика характеристик не является законным основанием без согласия. Обратите внимание: характеристика может содержать оценочные суждения о поведении и развитии ребёнка. Согласие должно быть конкретным и предметным, а родители имеют право на информацию о психолого-педагогических обследованиях и на ознакомление с их результатами.

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
— ч. 1 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

1. получать информацию о всех видах планируемых обследований (психологических, психолого-педагогических) обучающихся, давать согласие на проведение таких обследований или участие в таких обследованиях, отказаться от их проведения или участия в них, получать информацию о результатах проведенных обследований обучающихся;
   — п. 6 ч. 3 ст. 44 ФЗ № 273-ФЗ «Об образовании в РФ»

1. выбирать до завершения получения ребенком основного общего образования с учетом мнения ребенка, а также с учетом рекомендаций психолого-медико-педагогической комиссии (при их наличии) формы получения образования и формы обучения, организации, осуществляющие образовательную деятельность, язык, языки образования, факультативные и элективные учебные предметы, курсы, дисциплины (модули) из перечня, предлагаемого организацией, осуществляющей образовательную деятельность;
   — п. 1 ч. 3 ст. 44 ФЗ № 273-ФЗ «Об образовании в РФ»

Это означает, что если сад передаёт в школу только формальные данные (ФИО, факт обучения, возраст) во исполнение процедуры приёма/преемственности — есть основания для защиты по п. 2 ч. 1 ст. 6. Но если в характеристику включены оценочные, психолого-педагогические суждения, собранные без уведомления родителей, — это выходит за пределы «законных функций» сада и требует согласия. Ключевой факт здесь — содержание характеристики и наличие нормативного порядка преемственности (проверьте локальные акты сада и школы, региональный порядок приёма).

Вывод по вопросу: передача данных в школу без согласия родителя правомерна только при условии, что она прямо предусмотрена законом/нормативным порядком и ограничена его целями (п. 2 ч. 1 ст. 6). Оценочная характеристика «о ребёнке в целом», запрошенная школой, под этот случай не подпадает и требует согласия родителя; обязанность доказать наличие законного основания — на саде (ч. 3 ст. 9).

Правомочия родителей и способы защиты

Родители являются законными представителями ребёнка и защищают его права и интересы в отношениях с любыми организациями без специальных полномочий.

Защита прав и интересов детей возлагается на их родителей. Родители являются законными представителями своих детей и выступают в защиту их прав и интересов в отношениях с любыми физическими и юридическими лицами, в том числе в судах, без специальных полномочий.
— п. 1 ст. 64 СК РФ

Родители (законные представители) несовершеннолетних обучающихся имеют преимущественное право на обучение и воспитание детей перед всеми другими лицами. Они обязаны заложить основы физического, нравственного и интеллектуального развития личности ребенка.
— ч. 1 ст. 44 ФЗ № 273-ФЗ «Об образовании в РФ»

Это значит, что согласие на передачу данных ребёнка даётся именно родителем как законным представителем (для малолетнего ребёнка согласие даёт представитель — см. ч. 1 ст. 9 ФЗ № 152-ФЗ), и родитель вправе требовать от сада прекращения незаконной обработки и уничтожения незаконно переданных данных.

1. запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
   — ч. 3 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

Защита прав и интересов детей возлагается на их родителей. Родители являются законными представителями своих детей и выступают в защиту их прав и интересов в отношениях с любыми физическими и юридическими лицами, в том числе в судах, без специальных полномочий.
— п. 1 ст. 64 СК РФ

Обжаловать действия оператора можно в Роскомнадзор (уполномоченный орган) или в суд; там же можно требовать возмещения убытков и компенсации морального вреда.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
— ч. 1 ст. 17 ФЗ № 152-ФЗ «О персональных данных»

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— ч. 2 ст. 17 ФЗ № 152-ФЗ «О персональных данных»

Вывод по вопросу: родитель как законный представитель вправе требовать от сада прекращения незаконного раскрытия данных, а также обжаловать действия сада в Роскомнадзор и/или в суд с требованием компенсации морального вреда.

Ответственность за передачу данных без согласия

{16}

1. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, - (В редакции Федерального закона от 11.06.2021 № 206-ФЗ) влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц - от ста тысяч до трехсот тысяч рублей; на юридических лиц - от трехсот тысяч до семисот тысяч рублей. (В редакции Федерального закона от 12.12.2023 № 589-ФЗ) 2 1 . Повторное совершение административного правонарушения, предусмотренного частью 2 настоящей статьи, - влечет наложение административного штрафа на граждан в размере от пятнадцати тысяч до тридцати тысяч рублей; на должностных лиц - от трехсот тысяч до пятисот тысяч рублей; на индивидуальных предпринимателей - от пятисот тысяч до одного миллиона рублей; на юридических лиц - от одного миллиона до полутора миллионов рублей.
   — ч. 2 ст. 13.11 КоАП РФ

Это означает, что за обработку персональных данных ребёнка без необходимого письменного согласия (когда законом оно требуется) сад как юридическое лицо и его должностное лицо (например, заведующий) могут быть привлечены к административной ответственности по ч. 2 ст. 13.11 КоАП РФ. При этом наказание юридического лица не освобождает от ответственности виновное должностное лицо.

Вывод по вопросу: если согласие требовалось, но не было получено, сад (юридическое лицо) и ответственное должностное лицо несут административную ответственность по ч. 2 ст. 13.11 КоАП РФ; для её применения родителю достаточно подать жалобу в Роскомнадзор.

Денежные последствия: компенсация морального вреда и сроки обращений

Если нарушены личные неимущественные права (в том числе право на защиту персональных данных), суд может возложить на нарушителя обязанность денежной компенсации морального вреда.

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
— ст. 151 ГК РФ

Специальное основание для этого прямо закреплено в законодательстве о персональных данных — право на компенсацию морального вреда независимо от имущественного ущерба.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— ч. 2 ст. 17 ФЗ № 152-ФЗ «О персональных данных»

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

Обращения в государственные органы рассматриваются в течение 30 дней со дня регистрации.

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения
— ч. 1 ст. 12 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан РФ»

Вывод по вопросу: родитель вправе взыскать в суде компенсацию морального вреда (ст. 151 ГК РФ, ч. 2 ст. 17 ФЗ № 152-ФЗ) даже без имущественного ущерба; обращения в Роскомнадзор и прокуратуру рассматриваются в течение 30 дней.

Доказательства, альтернативная позиция сада и порядок исполнения

Доказательства. Чтобы оспорить передачу, соберите: сам запрос школы (его наличие и содержание), ответ сада или факт выдачи характеристики, письменное требование родителя к саду о предоставлении правовых оснований обработки и содержания переданных данных (в силу ч. 7 ст. 14 ФЗ № 152-ФЗ родитель вправе получить подтверждение факта обработки, правовые основания, цели и перечень данных). При этом обязанность доказать законность обработки возложена именно на сад.

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

То есть в споре сад должен доказать наличие согласия или законного основания; если он этого не сделает — передача считается неправомерной.

Альтернативная (защитная) позиция сада. Сад может ссылаться на то, что передача необходима для выполнения возложенных законом функций (обеспечение преемственности дошкольного и начального общего образования) — это законное основание по п. 2 ч. 1 ст. 6.

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
   — п. 2 ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

Если сад докажет, что запрос школы основан на нормативном порядке и объём данных ограничен его целями, передача может быть признана правомерной — тогда защита сводится к требованию ознакомить родителя с содержанием характеристики и исключить оценочные/психолого-педагогические сведения, собранные без уведомления.

1. получать информацию о всех видах планируемых обследований (психологических, психолого-педагогических) обучающихся, давать согласие на проведение таких обследований или участие в таких обследованиях, отказаться от их проведения или участия в них, получать информацию о результатах проведенных обследований обучающихся;
   — п. 6 ч. 3 ст. 44 ФЗ № 273-ФЗ «Об образовании в РФ»

Порядок исполнения. При подтверждении неправомерной обработки оператор обязан её прекратить и уничтожить данные, о чём уведомить субъекта; родителю следует направить саду письменное требование о прекращении и уничтожении незаконно переданных данных и уведомить об этом школу.

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

1. запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
   — ч. 3 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения
— ч. 1 ст. 12 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан РФ»

Вывод по блоку: на саде лежит обязанность доказать законность передачи (ч. 3 ст. 9 ФЗ № 152-ФЗ). Основная позиция родителя — требование прекратить передачу и уничтожить незаконно переданные данные; защитная позиция сада (п. 2 ч. 1 ст. 6) принимается только при документально подтверждённом нормативном порядке преемственности и ограничении объёма данных целями; обращения в Роскомнадзор/прокуратуру рассматриваются в течение 30 дней, а при неправомерности — санкции по ч. 2 ст. 13.11 КоАП РФ и компенсация морального вреда (ст. 151 ГК РФ).

Порядок оформления и направления требования и жалобы

Уполномоченным органом по защите прав субъектов персональных данных является Роскомнадзор, который обязан рассматривать обращения о соответствии обработки персональных данных требованиям закона и принимать решения по жалобам.

Уполномоченный орган по защите прав субъектов персональных данных рассматривает обращения субъекта персональных данных о соответствии содержания персональных данных и способов их обработки целям их обработки и принимает соответствующее решение.
— ч. 2 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

рассматривать жалобы и обращения граждан или юридических лиц по вопросам, связанным с обработкой персональных данных, а также принимать в пределах своих полномочий решения по результатам рассмотрения указанных жалоб и обращений;
— п. 2 ч. 5 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

Механизм действий родителя выстраивается в три параллельных направления:

1. Требование к саду — письменное заявление с требованием прекратить передачу и уничтожить незаконно переданные данные (обязанность оператора прекратить неправомерную обработку прямо закреплена законом), а также предоставить сведения о правовых основаниях, цели и перечне переданных данных.

Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ «О персональных данных»

Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона, возлагается на оператора.
— ч. 3 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

1. Жалоба в Роскомнадзор — на основании ч. 2 и п. 2 ч. 5 ст. 23 ФЗ № 152-ФЗ; РКН вправе требовать от оператора уничтожения незаконно полученных данных и привлекать виновных к административной ответственности.

1. запрашивать у физических или юридических лиц информацию, необходимую для реализации своих полномочий, и безвозмездно получать такую информацию; 2) осуществлять проверку сведений, содержащихся в уведомлении об обработке персональных данных, или привлекать для осуществления такой проверки иные государственные органы в пределах их полномочий; 3) требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
   — ч. 3 ст. 23 ФЗ № 152-ФЗ «О персональных данных»

1. Жалоба в прокуратуру и к учредителю сада — для проверки законности действий должностных лиц и инициирования привлечения к ответственности; обращение рассматривается в течение 30 дней со дня регистрации.

Письменное обращение, поступившее в государственный орган, орган местного самоуправления или должностному лицу в соответствии с их компетенцией, рассматривается в течение 30 дней со дня регистрации письменного обращения
— ч. 1 ст. 12 ФЗ № 59-ФЗ «О порядке рассмотрения обращений граждан РФ»

Альтернативная позиция. Если сад представит нормативное основание (порядок преемственности) и докажет, что передача ограничена его целями, передача в этой части может быть правомерной — тогда требование родителя сводится к ознакомлению с содержанием характеристики и исключению оценочных, психолого-педагогических сведений, собранных без уведомления.

1. обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
   — п. 2 ч. 1 ст. 6 ФЗ № 152-ФЗ «О персональных данных»

1. получать информацию о всех видах планируемых обследований (психологических, психолого-педагогических) обучающихся, давать согласие на проведение таких обследований или участие в таких обследованиях, отказаться от их проведения или участия в них, получать информацию о результатах проведенных обследований обучающихся;
   — п. 6 ч. 3 ст. 44 ФЗ № 273-ФЗ «Об образовании в РФ»

Вывод по блоку: порядок действий родителя — письменное требование к саду (прекратить и уничтожить), жалоба в Роскомнадзор (п. 2 ч. 5 ст. 23 ФЗ № 152-ФЗ) и/или прокуратуру/учредителю (срок рассмотрения 30 дней); при доказанном садом нормативном порядке преемственности — требовать ознакомления и сужения объёма данных. Подсудность спора о компенсации морального вреда — районный суд по месту жительства истца.