Родитель требует удалить персональные данные ребенка из электронного журнала и запретить эвакуацию - что говорит закон?

См.

Родитель воспитанника детского сада написал заявление-отзыв, в котором он "запрещает и отзывает навсегда обработку своих персональных данных и персональных данных своих детей, а также их хранение, систематизацию, накопление, изменение, использование...". Каким образом будет осуществляться обработка персональных данных в данном случае?

19 марта 2020

Рассмотрев вопрос, мы пришли к следующему выводу:

В рамках существования договорного обязательства обработка персональных данных воспитанника может осуществляться без согласия его законного представителя в том объеме, в котором это необходимо для исполнения принятых на себя обязательств.

Обоснование вывода:

В соответствии со ст. 3 Федеральным законом от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее Закон N 152-ФЗ) под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). По сути, это всевозможные сведения, с помощью которых можно определить (идентифицировать) субъекта персональных данных. Таким образом, информация о детях, их родителях (законных представителях), по которой их можно персонифицировать, является персональными данными этих субъектов.

Оператором персональных данных, как следует из п. 2 ч. 1 ст. 3 Закона N 152-ФЗ, являются государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. При этом лицо признается оператором персональных данных вне зависимости от какой-либо регистрации, наличия или отсутствия специальных разрешений и т.п., а в силу самого факта осуществления им деятельности по обработке персональных данных.

Таким образом, дошкольная образовательная организация в силу закона является оператором персональных данных и должна соблюдать требования законодательства о персональных данных. На него, как на оператора, возлагаются обязанности принимать меры, необходимые и достаточные для обеспечения выполнения предписаний, предусмотренных Законом N 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами* (1) (ст. 18.1 Закона N 152-ФЗ).

По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных или его представителя (п. 1 ч. 1 ст. 6, ч. 6 ст. 9 Закона N 152-ФЗ), а в отсутствие такого согласия - только в случаях, предусмотренных п.п. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Приведенные нормы корреспондируются и с положениями ст. 7 Закона N 152-ФЗ, в силу которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Исходя из приведенных норм, дошкольная образовательная организация в целях оказания услуг вправе обрабатывать персональные данные воспитанников без согласия их законных представителей для выполнения возложенных законодательством РФ на такую организацию функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ); если такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ); для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона N 152-ФЗ); для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Закона N 152-ФЗ).

Таким образом, в рамках заключения и исполнения договора дошкольная образовательная организация вправе обрабатывать персональные данные воспитанников без согласия на это их законных представителей, соблюдая при этом основные принципы обработки персональных данных (ст. 5 Закона N 152-ФЗ) и режим конфиденциальности (ст. 7 Закона N 152-ФЗ). Соответственно, отзыв родителем согласия на обработку персональных данных своего ребенка не препятствует оператору при наличии законных оснований продолжить такую обработку (ч. 2 ст. 9, ч. 5 ст. 21 Закона N 152-ФЗ).

Ответ подготовил:

Эксперт службы Правового консалтинга ГАРАНТ

Амирова Лариса

Ответ прошел контроль качества

27 февраля 2020 г.