В образовательном учреждении (ОУ), помимо обучающихся и работников, есть участники мероприятий (конкурсов), организатором которых является ОУ. Это дети и педагоги-кураторы, чьи персональные данные ОУ обрабатывает, распространяет неограниченному кругу лиц, передает третьим лицам (например, в департамент образования). Эти дети не являются обучающимися, а педагоги не связаны с ОУ ни трудовыми отношениями, ни по договору ГПХ. ОУ подает объявление о мероприятии, а потенциальные участники направляют ОУ заявки по утвержденной форме. Нужно ли получать от них согласие на обработку персональных данных? Если в ОУ есть локальные акты о персональных данных работников, обучающихся и родителей (законных представителей), нужно ли организации издать локальный акт об обработке персональных данных этих участников мероприятий? Это должен быть отдельный документ или раздел в имеющемся положении?

1. По общему правилу обработка персональных данных может осуществляться с согласия субъекта персональных данных или его представителя (п. 1 ч. 1 ст. 6, ч. 6 ст. 9 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных", далее - Закон N 152-ФЗ), а в отсутствие такого согласия - только в случаях, предусмотренных пп. 2-11 ч. 1 ст. 6 Закона N 152-ФЗ. Приведенные нормы корреспондируются и с положениями ст. 7 Закона N 152-ФЗ, в силу которой операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Исходя из приведенных норм, образовательная организация в процессе осуществления своей уставной деятельности вправе обрабатывать персональные данные физических лиц без их согласия, если это необходимо для достижения целей, предусмотренных действующим законодательством, для выполнения возложенных законодательством РФ на такую организацию функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Закона N 152-ФЗ); если такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем (п. 5 ч. 1 ст. 6 Закона N 152-ФЗ); для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 Закона N 152-ФЗ); для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Закона N 152-ФЗ).
При этом обработка персональных данных должна осуществляться не дольше, чем этого требуют цели такой обработки (чч. 2, 4 ст. 5 Закона N 152-ФЗ); содержание и объем обрабатываемых сведений должны соответствовать заявленным целям обработки, и они не должны быть избыточными по отношению к заявленным целям их обработки (ч. 5 ст. 5 Закона N 152-ФЗ).
Проведение творческих мероприятий (конкурсов, фестивалей, концертов, мастер-классов, смотров, театрализованных представлений и др.) предполагает обработку персональных данных участников. Полагаем, что правовым основанием обработки в данном случае будет являться п. 5 ч. 1 ст. 6 Закона N 152-ФЗ, поскольку данные отношения укладываются в конструкцию гражданско-правовых, как в случае заключения договора об оказании образовательных услуг, так и в рамках приглашения к участию в творческом мероприятии (оферта) и принятием этого приглашения участником (акцепт) посредством подачи заявки в соответствии с утвержденным и опубликованным образовательной организацией регламентом его проведения. То есть отдельного письменного согласия, на наш взгляд, от участника получать не требуется. Достаточно предусмотреть соответствующий пункт в самой заявке, правилах проведения мероприятия. Отдельные суды отмечают, что внутренняя воля при передаче персональных данных оператору в целях обработки может выражаться не только в прямой (непосредственной) форме, но и в форме конклюдентных действий, когда субъект, намеревающийся передать свои персональные данные, совершает требующиеся от него действия без предварительного уведомления оператора о своем решении (смотрите решение Сысертского райсуда Свердловской области от 14 мая 2012 г. по делу N 2-526/2012).
Кроме того, как следует из положений п. 2 ч. 1 ст. 18.1 Закона N 152-ФЗ, порядок обработки персональных данных участников творческих мероприятий должен быть регламентирован оператором в локальном акте (это может быть раздел уже имеющегося положения или отдельный документ). Также оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. А если сбор персональных данных осуществляется с использованием информационно-телекоммуникационных сетей, то политика в отношении обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных должны быть опубликованы в соответствующей информационно-телекоммуникационной сети (ч. 2 ст. 18.1 Закона N 152-ФЗ).
Таким образом, образовательная организация вправе обрабатывать персональные данные как своих воспитанников, так и сторонних участников творческих мероприятий без согласия на это самих субъектов или их законных представителей, соблюдая при этом основные принципы обработки персональных данных (ст. 5 Закона N 152-ФЗ), режим конфиденциальности (ст. 7 Закона N 152-ФЗ) и иные требования Закона N 152-ФЗ. При необходимости передачи персонифицированной информации об участниках мероприятий в распоряжение третьих лиц (например, в департамент образования), если это не связано непосредственно с исполнением сторонами своих обязательств, образовательной организации надлежит заручиться письменным согласием гражданина или его законного представителя, содержание которого должно соответствовать ч. 4 ст. 9 Закона N 152-ФЗ.
2. Что касается размещения в открытом доступе фото-, видеозаписей проводимых мероприятий отметим следующее.
Гражданское законодательство относит право на изображение к числу личных неимущественных прав граждан, а само изображение - к числу неимущественных благ (глава 8 ГК РФ). Право на охрану изображения гражданина сформулировано в ст. 152.1 ГК РФ, в силу которой обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии, а также видеозаписи или произведения изобразительного искусства, в которых он изображен) допускаются только с согласия этого гражданина.
Понятие "обнародование" раскрыто в п. 43 постановления Пленума Верховного Суда РФ от 23.06.2015 N 25 "О применении судами некоторых положений раздела I части первой Гражданского кодекса Российской Федерации" (далее - Постановление Пленума), где указано, что под обнародованием изображения гражданина по аналогии с положениями ст. 1268 ГК РФ необходимо понимать осуществление действия, которое впервые делает данное изображение доступным для всеобщего сведения путем его опубликования, публичного показа либо любым другим способом, включая размещение его в сети Интернет.
Согласие гражданина не требуется в случаях, когда использование изображения осуществляется в государственных, общественных или иных публичных интересах; изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования; гражданин позировал за плату.
Обнародование изображения гражданина без соблюдения требований ст. 152.1 ГК РФ наделяет его правом требовать удаления изображения и запрещения дальнейшего его распространения (п. 3 ст. 152.1 ГК РФ), а также компенсации морального вреда, поскольку подобными действиями нарушается его право на неприкосновенность частной жизни, что является нарушением его нематериальных благ (ст. 151 ГК РФ). В этой связи смотрите, например, апелляционное определение СК по гражданским делам Белгородского областного суда от 28 января 2020 г. по делу N 33-478/2020.
В п. 46 постановления Пленума разъяснено, что согласие на обнародование и использование изображения гражданина представляет собой сделку (ст. 153 ГК РФ). Форма согласия определяется общими правилами ГК РФ о форме сделки, которая может быть совершена в письменной или устной форме, а также путем совершения конклюдентных действий (ст. 158 ГК РФ), если иное не установлено законом. С учетом положений ст. 56 ГПК РФ факт обнародования и использования изображения определенным лицом подлежит доказыванию лицом, запечатленным на таком изображении. Обязанность доказывания правомерности обнародования и использования изображения гражданина возлагается на лицо, его осуществившее (п. 48 Постановления Пленума).
Следовательно, если объектом фото-, видеоизображения будет являться конкретное физическое лицо вместе с дополнительной информацией о нем, позволяющей однозначно его идентифицировать, то для размещения такой информации в открытом доступе необходимо отдельное письменное согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения*(1), требования к которому утверждены приказом Роскомнадзора от 24 февраля 2021 г. N 18.

Рекомендуем также ознакомиться с материалом:
- письмо Министерства цифрового развития, связи и массовых коммуникаций РФ от 28 августа 2020 г. N ЛБ-С-074-24059 "О методических рекомендациях".

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Амирова Лариса

Ответ прошел контроль качества

14 февраля 2022 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг. 

-------------------------------------------------------------------------
*(1) Смотрите материал: Энциклопедия решений. Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения.