Персональные данные в школе и детском саду: согласие родителей и требования

Школа и детский сад обрабатывают много персональных данных — детей и их родителей: ФИО, адреса, сведения о здоровье, фотографии, успеваемость. Это полноценный оператор по 152-ФЗ, а данные детей требуют особой аккуратности. Разберём, что можно обрабатывать по закону, а где нужно согласие законного представителя.

Образовательная организация — оператор ПДн

Детский сад и школа определяют цели и состав обработки, значит, отвечают за неё как операторы. Особенность: субъект — несовершеннолетний, и за него, как правило, действует законный представитель (родитель, опекун). Поэтому согласия и обращения оформляются через родителей.

Когда согласие не нужно, а когда нужно

Часть обработки идёт без отдельного согласия — на основании закона: зачисление, ведение обучения и отчётности предусмотрены Федеральным законом № 273-ФЗ «Об образовании» и подзаконными актами. А вот всё, что выходит за рамки образовательного процесса, требует согласия законного представителя:

• размещение фотографий и работ детей на сайте, в соцсетях, на стендах;
• передача данных в сторонние сервисы, не относящиеся к образовательному процессу (например, кружки на аутсорсе, фотографы); для государственных и региональных образовательных систем и электронных журналов основанием часто служит закон, а не согласие;
• биометрический проход (вход по лицу) — это ещё и отдельный строгий режим;
• иные цели, не связанные напрямую с обучением.

Данные о здоровье и специальные категории

Сведения о здоровье ребёнка (медкарта, справки, особенности развития) — это специальная категория ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). (статья 10 152-ФЗ) с повышенными требованиями к защите и основаниям обработки. Их обрабатывают в минимально необходимом объёме и хранят с особым контролем доступа.

Что оформить

• Согласия законных представителей — отдельно на размещение фото и работ, на передачу данных в сторонние сервисы; виды согласий — в статье «Согласие на обработку ПДн».
• Политику обработки ПДн и уведомление в Роскомнадзор.
• Меры защиты под уровень защищённости (наличие данных о здоровье обычно повышает требования).

Типичные ошибки

• Фото детей на сайте без согласия. Публикуют фотографии и работы без согласия родителей.
• Биометрический проход без отдельного согласия. Турникеты с распознаванием лиц без письменного согласия и альтернативы — см. биометрию.
• Избыточные анкеты. Собирают у родителей лишние данные сверх необходимого для обучения.

Главное

Школа и детский сад — операторы ПДн, а данные детей обрабатываются через законных представителей. Сам образовательный процесс опирается на закон об образовании и не требует отдельного согласия, но фотографии, сторонние сервисы и биометрия — требуют согласия родителей; данные о здоровье — это специальная категория. ГрамотаИБ помогает подготовить согласия, политику и уведомление под образовательную организацию — попробовать можно в сервисе.