Как поступить с сайтом для колледжа?

Сам сайт с удобным расписанием — хорошая идея. Но учёт посещаемости и профили студентов — уже отдельная обработка персональных данных, которую нельзя легализовать одной политикой конфиденциальности или галочкой «мне больше 14 лет». Неофициальное одобрение преподавателей также не означает, что колледж поручил вам такую обработку.

Наиболее безопасный вариант — отделить публичное расписание от персонального учёта и оформить участие колледжа официально.

1. Кто будет отвечать за персональные данные

По статье 3 Федерального закона № 152-ФЗ «О персональных данных» оператор — тот, кто определяет цели обработки, состав данных и действия с ними. Оператором может быть и обычное физическое лицо.

Возможны два сценария:

- Вы самостоятельно запускаете сервис, решаете, какие данные собирать и кому показывать. Тогда, скорее всего, оператором будете вы. Обязанности по защите данных, уведомлениям и законности обработки лежат на вас.
- Колледж официально организует сервис, определяет цели и правила, а вы обеспечиваете его работу. Тогда колледж может выступать оператором, а вы — обрабатывать данные по его поручению. Такое поручение необходимо оформить по части 3 статьи 6 № 152-ФЗ: определить данные, операции, цели, конфиденциальность, требования к защите и другие обязательные условия.

Для официального учёта посещаемости второй вариант значительно надёжнее. Но нельзя просто написать в политике, что оператор — колледж: это должно соответствовать реальным отношениям и документам.

2. Можно ли получать согласие от студентов старше 14 лет

В № 152-ФЗ нет универсального правила «с 14 лет можно самостоятельно согласиться на любую обработку персональных данных». При этом закон не устанавливает и безусловную обязанность получать согласие родителей на каждую обработку данных любого несовершеннолетнего.

Значение имеют возраст, характер сервиса, цель обработки и наличие других правовых оснований. При оценке самостоятельного участия несовершеннолетнего также учитываются правила о дееспособности — статьи 26 и 28 ГК РФ.

Поэтому:

- галочка «мне больше 14 лет» подтверждает только заявленный возраст, но не является согласием на обработку данных;
- отдельное согласие самого студента 14–17 лет нельзя автоматически считать достаточным для всего описанного вами функционала;
- если колледж обрабатывает данные в рамках своих законных образовательных обязанностей, основанием может быть не согласие, а закон. Но это основание не распространяется автоматически на ваш независимый Telegram-сервис.

Для самостоятельного сервиса с ФИО, профилями и посещаемостью несовершеннолетних разумный осторожный вариант — согласие законного представителя либо отказ от такого функционала до официального оформления проекта с колледжем. Это не утверждение, что родительское согласие обязательно во всех случаях, а рекомендация для вашей ситуации, где правовое основание пока не определено.

Ограничение персонального модуля пользователями 18+ снижает риск, но не устраняет остальные обязанности оператора. Кроме того, Telegram может передать боту идентификатор и другие сведения ещё до проверки возраста — это нужно учитывать технически.

3. Почему одной политики недостаточно

Политика объясняет, как устроена обработка, но сама по себе не даёт права её проводить.

Нужны:

- правовое основание для каждой цели обработки;
- понятные правила доступа и защиты;
- согласие там, где вы опираетесь именно на него;
- выполнение обязанностей перед Роскомнадзором.

По действующей статье 9 № 152-ФЗ согласие должно оформляться отдельно от иных сведений и документов, которые подтверждает или подписывает пользователь. Поэтому формулировка «входя в бот, вы принимаете политику и соглашаетесь на всё» — ненадёжная конструкция.

Если согласие электронное, должна быть возможность доказать, кто, когда и на какую редакцию согласился. Предоставление своего согласия старостой не даёт ему права вводить в сервис сведения обо всех одногруппниках: для обработки их данных также необходимо основание.

4. Что важно изменить в описанной схеме

Минимизировать данные. По статье 5 № 152-ФЗ нельзя собирать избыточные сведения. Для уведомлений обычно достаточно Telegram ID; фотография, username и полное ФИО могут вообще не требоваться. Фото профиля не становится биометрическими данными автоматически — это зависит от использования для установления личности, статья 11 № 152-ФЗ.

Разделить доступ. Просмотр сведений заранее определёнными участниками закрытой группы обычно является предоставлением данных определённому кругу лиц, а не распространением неопределённому кругу. Но законное основание всё равно нужно. Для открытой публикации может потребоваться отдельное согласие по статье 10.1 № 152-ФЗ. Участников группы и старост необходимо проверять: одной ссылки-приглашения недостаточно.

Не считать российскую базу решением всех вопросов. Требования локализации установлены частью 5 статьи 18 № 152-ФЗ. Нужно проверить весь путь данных, включая первоначальный сбор, Mini App, внешние скрипты, резервные копии и журналы.

Использование Telegram требует отдельной оценки: какие сведения получает иностранная инфраструктура и кому вы их передаёте. При трансграничной передаче применяются требования статьи 12 № 152-ФЗ, включая предварительное отдельное уведомление Роскомнадзора. Простое предупреждение пользователя «данные передаются за рубеж» этого не заменяет. Для официального сервиса колледжа дополнительно нужно проверить ограничения на использование иностранных мессенджеров с учётом статуса учреждения.

Уточнить удаление. Обещание удалить данные по просьбе полезно, но не заменяет правила статьи 21 № 152-ФЗ. Нужно предусмотреть отзыв согласия, прекращение обработки, сроки удаления и работу с резервными копиями. Отзыв согласия не всегда означает удаление абсолютно всех данных, если для части обработки сохраняется другое законное основание.

Срок хранения IP-логов 14 дней сам по себе не выглядит запрещённым, но должен быть обоснован задачами безопасности. IP-адреса и связанные с ними журналы также могут относиться к персональным данным.

5. Как действовать сейчас

1. Запустите отдельно расписание без профилей студентов и посещаемости. Если в PDF есть ФИО преподавателей или иные персональные данные, согласуйте их повторное размещение с колледжем: доступность исходного файла не означает неограниченного права на дальнейшую обработку.
2. До оформления не загружайте списки групп и посещаемость несовершеннолетних.
3. Получите официальное решение уполномоченного руководителя колледжа: кто оператор, для чего нужен сервис, кто имеет доступ, на каком основании обрабатываются данные.
4. По возможности вынесите персональный учёт в защищённый веб-сервис, а Telegram используйте только для нейтральных уведомлений без ФИО, посещаемости и иных персональных сведений.
5. Оформите документы и процедуры: политику, необходимые согласия, поручение обработки, правила доступа, удаления и реагирования на утечки.
6. До начала обработки проверьте необходимость уведомления Роскомнадзора по статье 22 № 152-ФЗ. Для автоматизированного сервиса такого рода оно, как правило, требуется. При необходимости отдельно оформляется уведомление о трансграничной передаче.

За нарушения возможна ответственность по статье 13.11 КоАП РФ; небольшой масштаб проекта и бесплатность сервиса сами по себе от неё не освобождают.

Итог: запрещать несовершеннолетним даже просмотр обезличенного расписания необходимости нет. Но разрешать им персональный модуль только по отметке «старше 14 лет» я бы не рекомендовал. Сначала определите оператора и правовое основание; если колледж не готов официально участвовать, оставьте расписание публичным, а персональный учёт несовершеннолетних пока не запускайте.

Для точной оценки документов и схемы передачи данных стоит обратиться к юристу.