Пример чрезмерной бюрократической и административной нагрузки на ВУЗы - исключительно п...
Пример чрезмерной бюрократической и административной нагрузки на ВУЗы - исключительно по инициативе Минобрнауки. Из уст Минцифры. В некоторых своих нормативно-правовых актах Минобрнауки требует от ВУЗов получать согласия на обработку персональных данных. От абитуриентов, от студентов, от участников олимпиад школьников... Эта нормативка Минобра всем известна. Напомним, что согласие является одним из двенадцати оснований обработки персональных данных и используется тогда, когда иных оснований обрабатывать ПДн у оператора нет (основания из ст.10, 11 152-фз в расчет не берем). У ВУЗов самыми "ходовыми" основаниями обработки ПДн являются "закон" и "договор" - п.2,5 ч.1 ст.6 152-фз. Согласие не нужно. Но ВУЗы все равно собирают согласие - из-за нормативки Минобра. И, вот, Минцифры сообщило, что органы власти своей подзаконной нормативкой могут навязывать оператору основание обработки персональных данных - из тех оснований, которые предусмотрены ч.1 ст.6 152-фз. Что и сделало Минобрнауки, "отменив" для ВУЗов "законное" и "договорное" основание, и установив использование только согласия. Согласие - самое "неудобное" основание. В отличие от других оснований - ФЗ "О персональных данных" предъявляет к нему дополнительные требования, в т.ч. к содержанию, к форме, к количеству, порядку оформления/получения. Некоторые из этих требований таковы, что получить согласия в электронном виде (вспоминаем про "цифровую трансформацию") практически невозможно (в т.ч. через сайт ВУЗа, Суперсервис, сервисы ЭИОС ВУЗа). Дополнительная административная (и бумагомарательная) нагрузка на работников ВУЗа - очевидна. Можно было бы подумать, что Министерство действует в интересах субъектов ПДн - абитуриентов, студентов, школьников. Если же разобраться, то требование про обязательность согласия - работает ровно против них. Дело в том, что цели обработки определяет сам оператор (ВУЗ в данном случае) - п.2 ст.3, п.2 ч.1 ст.18.1 152-фз: указывает их в своей Политике, в уведомлении для Роскомнадзора. Если основание обработки - "закон" или "договор" (п.2,5 ч.1 ст.6 152-фз), то оператор связан нормой права и предметом договора и ограничен ими при формулировании цели. Если же основание обработки - согласие, то (и тут "Остапа понесло") оператор (ВУЗ) вообще ничем ограничен лишь формальными требованиями к согласию (ч.1 ст.9 152-фз), и может формулировать цели обработки, определять объем собираемых ПДн и использовать их - в том числе под свои интересы и удобства. Тем более, что Минобрнауки ни в одном своем акте не указало, под какие конкретно цели требуется брать согласие, и какой объем ПДн под эти цели допустимо собирать. ✔️Итак, ВУЗам надо пользоваться возможностями, раз уж случилась эта административная нагрузка... 📌 Кстати, по смыслу европейского GDPR (к сведению Минобра) - предполагается, что согласие не дано добровольно, если имеется существенный дисбаланс переговорных возможностей между оператором и субъектом (а между ВУЗом и школьником/абитуриентом/родителем этот дисбаланс очевиден), либо если согласие получено при наличии иного основания, например, договора (п.(43) преамбулы Регламента). Что касается олимпиад школьников, то - не дал согласие под ВУЗовские (а не олимпиадные) цели и объем ПДн, не участвуешь в олимпиаде. Отозвал согласие "по дороге" - вылетел с этапа. А Рособрнадзор у ВУЗов проверит, было ли согласие))) 📌 И, кстати, еще. Обработка ПДн на основании согласия в случаях, если федеральным законом не предусмотрена обязанность получения такого согласия, отнесена к повышенной категории риска (группа тяжести "А") - по Порядку проведения мероприятий контроля за обработкой персональных данных, утв. постановлением Правительства от 29.06.2021 №1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных". Но это уже совсем проблема индейцев ВУЗов, а не Минобрнауки...