В современных высших учебных заведениях (вузах) происходит обработка огромного объёма персональных данных (ПДн) – от заявлений абитуриентов до результатов научных исследований. Правильная организация этой обработки обязана соответствовать российскому законодательству, внутренним нормативным актам вуза и международным требованиям по защите информации.

Что считается персональными данными?

Согласно ФЗ № 152‑ФЗ «О персональных данных» персональными данными являются любые сведения, позволяющие установить личность физического лица. К ним относятся:

• ФИО, дата и место рождения;
• Контактные данные (телефон, e‑mail, адрес проживания);
• Документы, удостоверяющие личность (паспорт, студенческий билет);
• Учебные показатели (успеваемость, аттестации, дипломные работы);
• Медицинские сведения, сведения о семейном положении и т.д.

Законодательная база, регулирующая обработку ПДн в вузе

Федеральные законы

1. ФЗ 152‑ФЗ «О персональных данных» – основной нормативный акт, определяющий понятия, принципы и порядок обработки ПДн.
2. Конституция РФ (ст. 23) – право граждан на неприкосновенность частной жизни.
3. ФЗ «Об образовании в РФ» – устанавливает обязательность ведения учебных дел.

Подзаконные акты

• Постановление Правительства РФ от № 1119 – уточняет требования к защите ПДн.
• Приказы и положения конкретных вузов (например, приказ САНК‑Университета от № 3580/1, Положение о защите ПДн обучающихся).
• Нормативные документы НИУ ВШЭ (пункт 1.4‑1.5) – регламентируют правовые, организационные и технические меры.

Цели и правовые основания обработки персональных данных студентов

Обработка ПДн в вузе может осуществляться только при наличии одного из следующих правовых оснований (п. 3.1 Положения о защите ПДн):

• Согласие субъекта ПДн – добровольное согласие студента или его законного представителя.
• Необходимость выполнения контрактных обязательств (зачисление, ведение личного дела, выдача диплома).
• Выполнение законных требований (отчётность перед госорганами, проверка аккредитации).
• Осуществление кадровой деятельности и содействие трудоустройству выпускников.
• Защита жизненно важных интересов субъекта (например, медицинская помощь).

Важно: При зачислении и ведении личного дела согласие не требуется, если обработка необходима для исполнения обязательств, вытекающих из договора об образовании (п. «когда согласие не требуется»).

Этапы обработки персональных данных в вузе

Ответственность за нарушение законодательства о ПДн

В случае нарушения требований ФЗ 152‑ФЗ к обработке ПДн вузы могут понести:

• Административную ответственность (штрафы до 6 млн руб. для юридических лиц, до 300 тыс. руб. для должностных лиц).
• Уголовную (в случае незаконного доступа, утечки конфиденциальных данных).
• Гражданскую – компенсацию морального вреда пострадавшему субъекту.

Организационные и технические меры защиты ПДн в вузе

Организационные меры

• Разработка и утверждение внутренних положений (например, Положение об обработке и защите ПДн обучающихся).
• Назначение ответственного за обработку ПДн (Data Protection Officer) – контролирует соответствие процессам.
• Регулярное обучение персонала (библиотекари, администраторы, преподаватели) законодательству и методам защиты.
• Ведение реестра операций обработки ПДн – фиксирует цели, категории данных, сроки хранения.

Технические меры

• Шифрование персональных данных при передаче и хранении.
• Контроль доступа (ролевые модели, двухфакторная аутентификация).
• Регулярное резервное копирование и проверка целостности бэкапов.
• Системы мониторинга и журналирования действий пользователей.
• Обезличивание данных при подготовке статистических отчетов.

Практика обучения персонала библиотеки вузов

Библиотека часто является первым пунктом контакта студента с информационной системой вуза. Поэтому обучение библиотекарей имеет особое значение.

1. Законодательные основы – разбор статей 6‑9 ФЗ 152‑ФЗ, требований к согласию и правам субъектов.
2. Внутренние регламенты – знакомство с Положением о защите ПДн, инструкциями по работе с электронными каталогами.
3. Техники безопасной работы – правила создания паролей, работа с конфиденциальными справочниками, удаление устаревших записей.
4. Сценарные тренинги – моделирование утечки данных, реагирование на запросы субъектов о доступе к их данным.
5. Контроль знаний – тестирование, аттестация, периодический аудит.

Права студентов – как их реализовать в практике

• Право на информацию – предоставить сведения о том, какие данные собираются и с какой целью.
• Право доступа – возможность получить копию своих данных (запрос в деканат или в службу ИТ).
• Право на исправление – требовать корректировку неверных сведений.
• Право на удаление (право быть забытым) – при отсутствии правовых оснований для дальнейшего хранения.
• Право на ограничение обработки – в случае спора о законности обработки.

Примеры типовых документов

• Форма согласия на обработку ПДн (для несовершеннолетних – согласие родителей).
• Регламент доступа к системе электронных учебных журналов.
• Отчет о проведённом аудите защиты ПДн (годовой).
• Инструкция по удалению/анонимизации данных после окончания обучения.

Обеспечение правовой соответствия при работе с персональными данными студентов – фундаментальная задача любого вуза. Она включает:

1. Точное определение правовых оснований и целей обработки.
2. Создание и поддержание внутренних нормативных актов, соответствующих ФЗ 152‑ФЗ и другим законам.
3. Внедрение комплексных организационных и технических мер защиты.
4. Регулярное обучение и аттестацию персонала, включая сотрудников библиотек.
5. Гарантирование прав субъектов (доступ, исправление, удаление) в удобной и прозрачной форме;

Только при соблюдении всех перечисленных требований вуз сможет эффективно использовать персональные данные студентов, обеспечивая при этом их безопасность и соблюдая интересы государства, учебного заведения и самих обучающихся.

Дата актуализации: . Информация основана на действующем законодательстве РФ и внутренних нормативных актах вуза (приказ от № 3580/1, положения НИУ ВШЭ и др.).