В эпоху цифровой трансформации образования университеты и колледжи собирают, обрабатывают и хранят огромные массивы персональных сведений: от паспортных данных и номеров СНИЛС до чувствительной медицинской информации. Утрата или утечка этих данных способна нанести серьёзный вред правам и свободам студентов. Ниже разберёмся, какие обязательства возлагаются на учебные заведения, какие санкции применяются за нарушения и как минимизировать риски.
Правовая база
Федеральный закон «О персональных данных» № 152-ФЗ
- Оператором признаётся любое образовательное учреждение, самостоятельно или совместно с другими лицами организующее обработку персональных данных.
- Обязанность информировать субъекта (студента) о целях, способах и сроках обработки (ст. 18).
- Требование технической и организационной защиты (ст. 19).
- Обязанность уведомлять Роскомнадзор о любой утечке в течение 24 ч (ст. 152-ФЗ + Постановление № 687).
Гражданский кодекс РФ
Статья 1102: при утечке данных из-за небрежности учебного заведения студент вправе требовать возмещения материального и морального вреда. Судебная практика по делам о «утрате документов» ссылается на ст. 1064 ГК РФ: вред подлежит полному возмещению.
КоАП РФ
- Ч. 1 ст. 13.14: нарушение порядка хранения документов — штраф до 20 000 ₽ для должностных лиц.
- Ч. 2 ст. 13.14: те же действия, повлекшие утечку — штраф до 50 000 ₽, дисквалификация до 1 года.
Закон «Об образовании» № 273-ФЗ
Ст. 35: обязанность образовательной организации обеспечивать безопасность участников образовательных отношений. Это включает и информационную безопасность.
Кто именно несёт ответственность?
| Уровень | Лицо | Возможные санкции |
|---|---|---|
| Организация | Университет, колледж как юр. лицо | Административный штраф, гражданский иск, убытки, репутационные потери |
| Должностное лицо | Ректор, проректор по ИТ, руководитель структурного подразделения | Штраф, дисквалификация, дисциплинарное взыскание |
| Исполнитель | Системный администратор, секретарь приёмной комиссии | Дисциплинарное взыскание, уголовная ответственность по ст. 137 УК РФ (если есть корысть) |
Типичные сценарии утраты данных
- Кража ноутбука или флешки с базой студентов.
- Взлом защищённости личного кабинета студента на портале университета через SQL-инъекцию.
- Ошибка администратора: случайная публикация списка абитуриентов в открытом доступе.
- «Слив» со стороны подрядчика (например, аутсорсинговой компании, обслуживающей ИТ-инфраструктуру).
- Физическая утрата бумажных заявлений вследствие пожара или наводнения.
Доказательная база при судебных разбирательствах
Чтобы взыскать ущерб, студент должен показать:
- Факт наличия у учебного заведения его персональных данных (копия зачётной книжки, договора об обучении).
- Факт утечки/утраты (публикация в интернете, официальное письмо Роскомнадзора).
- Причинно-следственную связь между действиями вуза и причинённым вредом (письма мошенников, списание денег с карты, причина — «социнженерия» на основе утекших данных).
Как минимизировать риски: практические рекомендации
Организационные меры
- Утвердить локальные акты: «Положение о защите персональных данных обучающихся», «Политика конфиденциальности».
- Назначить ответственного за защиту ПДн (аналог DPO в GDPR).
- Проводить ежегодные аудиты безопасности и аттестацию ИС ПДн в Роскомнадзоре (при категорировании как К1/К2).
- Заключать соглашения о конфиденциальности с подрядчиками (NDA, DPA).
Технические меры
- Шифрование дисков и каналов связи (TLS 1.3, AES-256).
- Многофакторная аутентификация для всех сотрудников и студентов.
- Резервное копирование «3-2-1»: 3 копии, 2 разных носителя, 1 оффлайн.
- Контроль доступа по модели RBAC/ABAC, ежеквартальные ревизии прав.
- Анонимизация при статистической обработке (псевдонимизация, хэширование).
Процедуры реагирования на инцидент
План действий «24 часа»:
- 00:00–01:00, выявление и изоляция инцидента (отключить доступ, сохранить журналы).
- 01:00–03:00 — уведомление внутреннего «Штаба ИБ» и Роскомнадзора.
- 03:00–06:00, уведомление пострадавших студентов по SMS/e-mail.
- 06:00–24:00 — публикация пресс-релиза, открытие «горячей линии», запуск мониторинга кредитных бюро.
Ответственность учебного заведения за утрату личных данных студентов — это не только штрафы и иски, но и угроза доверию со стороны абитуриентов, партнёров и государства. Соблюдение 152-ФЗ, своевременное уведомление органов власти, внедрение системы управления инцидентами и постоянное обучение персонала позволят свести риски к минимуму и сохранить репутацию.
Помните: безопасность персональных данных — это не разовый проект, а непрерывный процесс, включающий людей, процессы и технологии.