Персональные данные студентов: что требует 152-ФЗ от колледжа
Что колледж как оператор персональных данных обязан сделать по 152-ФЗ: ответственный, политика, уведомление Роскомнадзора, согласие, защита, утечки, штрафы.
Содержание8 разделов
Колледж это оператор#
ФИО, дата рождения, телефон, группа, оценки, пропуски, договор и долг по оплате: всё это персональные данные студента. Колледж определяет, зачем и как их обрабатывать, поэтому отвечает за них по Федеральному закону № 152-ФЗ «О персональных данных».
Если данные хранит подрядчик, например облако или разработчик системы, ответственность остаётся у колледжа. Подрядчику обработку поручают договором, и в нём перечисляют данные, действия с ними и требования к защите (часть 3 статьи 6). Подрядчик при этом оператором не становится: он обрабатывает данные по поручению колледжа и отвечает перед ним.
Та же часть 3 статьи 6 говорит, что поручение даётся с согласия субъекта, если федеральный закон не предусматривает иного. Поэтому в согласии, которое колледж берёт у студента, стоит прямо указать, что обработку могут поручить третьему лицу, или назвать его. Как это сформулировать для разных целей обработки, решает юрист колледжа.
Основание обработки и согласие#
Согласие нужно не всегда. По пункту 2 части 1 статьи 6 данные можно обрабатывать без согласия, если это нужно для функций, которые закон возлагает на оператора. Закон «Об образовании» обязывает колледж вести индивидуальный учёт результатов обучения, поэтому оценки и посещаемость в журнале обычно относят к этому основанию.
Для того, что выходит за рамки обязанностей, нужно согласие: например, публикация фото студента на сайте колледжа. Для распространения данных есть отдельные правила в статье 10.1. По части 1 статьи 9 в редакции закона от 24.06.2025 № 156-ФЗ согласие оформляют отдельно от других документов, которые подписывает человек. Вписать его строкой в договор об обучении больше нельзя.
Обязанности оператора#
| Требование | Где в законе | Что сделать колледжу |
|---|---|---|
| Ответственный за обработку ПДн | ст. 18.1 ч. 1 п. 1, ст. 22.1 | Приказ о назначении |
| Политика обработки ПДн и локальные акты | ст. 18.1 ч. 1 п. 2 | Политика, положение об обработке ПДн, перечень данных и сроков хранения |
| Политика в открытом доступе | ст. 18.1 ч. 2 | Опубликовать на сайте колледжа, особенно если данные собираются через сайт |
| Ознакомление сотрудников | ст. 18.1 ч. 1 п. 6 | Ознакомить или обучить тех, кто работает с данными |
| Внутренний контроль и оценка вреда | ст. 18.1 ч. 1 п. 4–5 | Регулярные проверки по своему плану, акт оценки вреда |
| Уведомление Роскомнадзора | ст. 22 ч. 1 | Подать уведомление до начала обработки, обновлять при изменениях |
| Меры защиты | ст. 19 | Модель угроз, уровень защищённости, организационные и технические меры |
| Хранение в России | ст. 18 ч. 5 | Базы с данными студентов только на серверах в России |
| Сообщение об утечке | ст. 21 ч. 3.1 | 24 часа на первое уведомление, 72 часа на итоги расследования |
Защита: что требует правительство и ФСТЭК#
Статья 19 отсылает к двум документам:
- Постановление Правительства РФ от 01.11.2012 № 1119 задаёт уровни защищённости персональных данных в информационных системах. Уровень зависит от типа угроз, категории данных и числа субъектов.
- Приказ ФСТЭК России от 18.02.2013 № 21 перечисляет меры для каждого уровня: управление доступом, регистрация событий, резервное копирование, антивирусная защита и другие.
На практике ИТ колледжа делает модель угроз, определяет уровень защищённости и по приказу ФСТЭК подбирает меры. Часть мер закрывает сама информационная система, часть остаётся на инфраструктуре колледжа: сеть, рабочие места, учётные записи.
Если случилась утечка#
Часть 3.1 статьи 21 даёт оператору два срока с момента, когда инцидент выявлен:
- 24 часа: сообщить в Роскомнадзор, что произошло, предполагаемые причины и вред, принятые меры и контакт ответственного.
- 72 часа: сообщить результаты внутреннего расследования и, если они известны, кто виноват.
Штрафы#
Статью 13.11 КоАП дополнил закон от 30.11.2024 № 420-ФЗ, новые части действуют с 30 мая 2025 года. Для юридических лиц:
- не уведомили Роскомнадзор о начале обработки (ч. 10): от 100 до 300 тысяч рублей;
- не сообщили об утечке (ч. 11): от 1 до 3 миллионов рублей;
- утечка данных от 1 до 10 тысяч человек (ч. 12): от 3 до 5 миллионов рублей, за более крупные утечки суммы выше;
- повторная утечка (ч. 15): от 1 до 3 процентов годовой выручки.
Что может закрыть информационная система колледжа#
Система не делает колледж соответствующим закону автоматически, но снимает часть технических мер. На что смотреть при выборе:
- Размещение: серверы в России, для облака договор поручения на обработку.
- Согласие при первом входе для тех целей, где оно нужно.
- Разграничение прав: каждая роль видит только свои разделы.
- Журнал доступа к ПДн: кто открывал телефон или карточку студента и когда.
- Неизменяемый журнал действий: записи нельзя тихо подменить задним числом.
- Резервные копии каждый день с копией вне площадки.
- Вход сотрудника от имени другого только с причиной и записью в журнал.
Вывод#
Колледж отвечает за данные студентов как оператор независимо от того, где они хранятся. Минимальный набор: ответственный, политика на сайте, уведомление в Роскомнадзор, отдельное согласие там, где оно нужно, модель угроз и меры по уровню защищённости, хранение в России и готовый порядок на случай утечки.
Пара, платформа для колледжей СПО от компании АЛИТ, работает в облаке в России. Оператором данных студентов остаётся колледж, АЛИТ обрабатывает их по его поручению. Как устроены меры защиты, описано на странице «Данные под защитой». Журнал доступа и роли можно посмотреть в демо.
Вопросы и ответы
Нужно ли колледжу уведомлять Роскомнадзор об обработке персональных данных?
Да, если колледж обрабатывает данные с помощью компьютеров. Исключения из части 2 статьи 22 152-ФЗ к обычному колледжу почти никогда не подходят. Неуведомление наказывается по части 10 статьи 13.11 КоАП.
Нужно ли брать у студента согласие на электронный журнал?
Часть обработки колледж ведёт без согласия, потому что её требует закон об образовании (пункт 2 части 1 статьи 6 152-ФЗ). Для остального нужно согласие, и с 1 сентября 2025 года его оформляют отдельно от других документов. Где граница, решает ответственный за ПДн с юристом.
За сколько часов надо сообщить об утечке?
Первое уведомление в Роскомнадзор в течение 24 часов с момента выявления инцидента, результаты внутреннего расследования в течение 72 часов (часть 3.1 статьи 21 152-ФЗ).
Можно ли хранить данные студентов в зарубежном облаке?
Нет. Часть 5 статьи 18 152-ФЗ запрещает запись и хранение персональных данных граждан России в базах за рубежом, кроме узких исключений.
Делает ли информационная система колледж соответствующим 152-ФЗ?
Нет. Система даёт технические меры: права доступа, журналы, резервные копии. Ответственного, политику, уведомление и локальные акты колледж оформляет сам как оператор. С поставщиком облачной системы он заключает договор поручения на обработку.