Ответ нейросети:
Добрый день!
Вы можете быть не оператором персональных данных, а исполнителем, который обрабатывает их по поручению оператора. Но просто записать в договоре, что оператор — староста, недостаточно: статус и ответственность определяются тем, кто фактически организует обработку и устанавливает её цели.
1. Кто будет оператором в вашей ситуации
По статье 3 Федерального закона № 152-ФЗ «О персональных данных» оператором может быть и организация, и физическое лицо. Это тот, кто определяет цели обработки, состав персональных данных и действия с ними.
ФИО студентов вместе с отметками о посещаемости — персональные данные. Их внесение в бота, хранение, просмотр и передача являются обработкой, даже если доступ есть только у старосты.
Возможны три сценария:
-
Колледж организует учёт посещаемости, определяет, какие сведения собирать и кому их показывать. Тогда оператором обычно должен выступать колледж, а староста — действовать в пределах предоставленных ему полномочий. Вы можете быть исполнителем по поручению колледжа.
-
Староста самостоятельно организует отдельный учёт, не по заданию колледжа. Теоретически оператором может быть староста. Но тогда он должен иметь законное основание для обработки данных каждого студента и выполнять обязанности оператора. Его статус старосты сам по себе таких полномочий не даёт.
-
Вы самостоятельно запускаете сервис и определяете, для чего и как используются сведения студентов. Тогда вы также можете оказаться оператором, независимо от формулировок договора.
Сам факт, что список загружает староста, не делает его оператором и не освобождает вас от ответственности.
2. Как правильно оформить вашу роль
Нужен не просто «договор поручения» по названию, а
поручение на обработку персональных данных по части 3 статьи 6 Закона № 152-ФЗ. Оно может быть отдельным документом или разделом договора разработки и сопровождения.
В нём необходимо определить, в частности:
- перечень персональных данных;
- цели обработки и допустимые действия с данными;
- обязанность соблюдать конфиденциальность;
- требования к защите данных и соблюдению установленных законом требований;
- обязанность предоставлять оператору документы, подтверждающие соблюдение этих требований;
- порядок уведомления оператора об инцидентах с персональными данными.
Практически также нужно закрепить права доступа, используемые серверы и сервисы, сроки хранения, порядок удаления и запрет использования данных для ваших собственных целей.
По части 4 статьи 6 Закона № 152-ФЗ
перед студентами за действия исполнителя отвечает оператор, а исполнитель отвечает перед оператором. Однако это не означает полного иммунитета исполнителя: за собственные нарушения возможна ответственность, в том числе по статье 13.11 КоАП РФ.
Если вы только создаёте программу, не имеете доступа к реальным данным и не участвуете в их обработке, ваша роль может ограничиваться разработкой. Но поддержка с доступом к базе, журналам или резервным копиям уже требует отдельного правового оформления.
3. Почему договор со старостой — ненадёжное решение
Староста не вправе дать согласие за остальных студентов. Подписанный им договор также не создаёт законного основания для обработки их данных.
Для официального учёта посещаемости колледж может обрабатывать необходимые сведения на основании закона, без согласия, если обработка действительно нужна для выполнения его законных функций.
Но это не означает, что колледж автоматически вправе передать данные внешнему разработчику и разместить их в Telegram. Основание для поручения внешнему исполнителю нужно оценивать отдельно: часть 3 статьи 6 предусматривает согласие субъекта, если иное не установлено федеральным законом.
Если основанием выбрано согласие, нужно учитывать возраст студентов и полномочия законных представителей. Для несовершеннолетних нельзя автоматически считать достаточным любое согласие, полученное через бота.
4. Отдельный риск — Telegram
Согласие студентов само по себе не решает вопросы инфраструктуры.
При сборе данных граждан РФ необходимо соблюдать требования локализации по части 5 статьи 18 Закона № 152-ФЗ. Если сведения первоначально поступают в инфраструктуру иностранного сервиса, это создаёт существенный риск нарушения. Наличие дополнительной базы в России не обязательно устраняет его.
Кроме того, необходимо оценить трансграничную передачу по статье 12 Закона № 152-ФЗ: при её наличии действует отдельный порядок уведомления Роскомнадзора. Для государственного или муниципального колледжа также нужно проверить применимые ограничения на использование иностранных мессенджеров.
Практически безопаснее хранить списки и посещаемость в системе на российской инфраструктуре, а Telegram использовать лишь для уведомлений без персональных данных. Замена ФИО на номера не всегда помогает: если по номеру можно определить студента, сведения остаются персональными данными.
Не стоит включать в учёт диагнозы и подробные медицинские причины отсутствия: сведения о здоровье относятся к специальным категориям данных, для которых действуют дополнительные ограничения по статье 10.
5. Что рекомендую сделать
1.
До загрузки реальных списков согласовать систему с администрацией колледжа, а не только со старостой.
2. Если это официальный учёт — оформить колледж оператором, а вас исполнителем по надлежащему поручению.
3. Определить законные основания обработки и передачи данных вам, круг пользователей и полномочия старосты.
4. Проверить инфраструктуру, локализацию, необходимость трансграничной передачи и уведомления Роскомнадзора. Обязанность уведомления об обработке по статье 22 обычно лежит на операторе; исполнитель не становится оператором только из-за выполнения поручения.
5. До урегулирования этих вопросов тестировать систему на вымышленных данных.
И ещё: если ФИО преподавателей будут доступны неопределённому кругу лиц, обычное согласие на обработку не всегда достаточно — следует учитывать статью 10.1 о данных, разрешённых для распространения, либо предусмотренное законом основание публикации.
Итог: законно ограничить вашу роль разработкой и обработкой по поручению можно. Переложить ответственность на старосту одной договорной формулировкой — нельзя. Для официального учёта наиболее обоснованная схема: колледж — оператор, староста — уполномоченный пользователь, вы — исполнитель.
Для точной оценки договора и схемы работы стоит обратиться к юристу.
