Обработка ПДн несовершеннолетних

Закон 152-ФЗ не содержит собственной нормы о возрасте, с которого человек может самостоятельно давать согласие на обработку своих персональных данных, поэтому на практике ориентируются на общие нормы гражданского законодательства о дееспособности.

Оператору, работающему с подростками от 14 до 18 лет, стоит закрепить в форме согласия оба поля — подпись самого несовершеннолетнего и согласие его родителя или иного законного представителя, чтобы не зависеть от спорной трактовки.

Законными представителями ребёнка выступают родители, усыновители, опекуны или попечители — в зависимости от того, в какой правовой связи с ребёнком находится взрослый, дающий согласие. Оператору стоит убедиться, что человек, подписывающий согласие, действительно имеет соответствующий статус.

На практике для родителей подтверждением служит свидетельство о рождении ребёнка, для опекунов — соответствующий акт органа опеки. В образовательных организациях эти документы обычно уже есть в личном деле ребёнка, собранном при зачислении, и повторно их не всегда нужно запрашивать при получении согласия на обработку ПДн.

Если родители ребёнка находятся в разводе или проживают раздельно, согласие вправе дать любой из них — закон не требует согласия обоих родителей одновременно для обработки персональных данных, если иное прямо не предусмотрено ситуацией, например спором между родителями, доведённым до суда.

Образовательные организации обрабатывают значительный объём персональных данных детей: от базовых сведений при зачислении до данных о здоровье, поведении, успеваемости, участии в мероприятиях. Часть этой обработки происходит на основании прямого требования законодательства об образовании и не требует отдельного согласия — например, ведение личного дела учащегося.

Отдельного согласия, как правило, требуют:

• публикация фотографий и видео с участием детей на сайте организации, в социальных сетях, в рекламных и информационных материалах;
• передача данных ребёнка сторонним организациям — например, для участия в олимпиаде или конкурсе, который проводит другое юридическое лицо;
• рассылка родителям информационных и рекламных сообщений о дополнительных платных услугах;
• обработка биометрических персональных данных, если организация использует, например, системы распознавания лиц для контроля прохода в здание.

Форма согласия для образовательной организации должна чётко разделять эти цели — родитель может согласиться на одно и отказаться от другого, а объединение всех целей в одном чекбоксе противоречит требованию конкретности согласия.

Сведения о состоянии здоровья ребёнка, его психологических особенностях, семейном положении родителей нередко относятся к специальным категориям персональных данных, для обработки которых закон устанавливает более строгие требования и, как правило, требует отдельного явного согласия.

Образовательным и медицинским организациям стоит отдельно прописывать в согласии, что именно из сведений о здоровье или особенностях развития ребёнка будет обрабатываться и с какой целью — например, для организации инклюзивного обучения или для оказания первой помощи в экстренной ситуации.

Передача таких данных третьим лицам, включая других родителей класса или группы, без отдельного согласия законного представителя недопустима, даже если цель кажется благой — например, информирование о состоянии здоровья одноклассника.

Право законного представителя отозвать согласие на обработку персональных данных ребёнка в любой момент закреплено той же ч. 2 ст. 9 закона 152-ФЗ, что действует и для взрослых субъектов. После отзыва оператор обязан прекратить обработку в объёме, который держался на этом согласии.

Для образовательной организации отзыв согласия не означает автоматического прекращения всей обработки данных ребёнка — часть сведений обрабатывается на ином основании, например в силу законодательства об образовании, и продолжает обрабатываться независимо от отзыва согласия на конкретную дополнительную цель, скажем на публикацию фото.

Практический совет: форма согласия для родителей должна заранее объяснять, какие данные и на каком основании продолжат обрабатываться после отзыва, а какие будут прекращены. Это снижает число конфликтных обращений и облегчает работу ответственного за обработку ПДн.