Размещение на сайте образовательной организации в сети "Интернет" персональных данных бывших работников и выпускников

Образовательная организация планирует разместить на своем официальном сайте в сети Интернет сведения о бывших работниках и выпускниках (Ф.И.О., фотографии, некоторые личные сведения).
Необходимо ли получить соответствующее согласие на обработку (распространение) персональных данных? Как быть, если некоторых работников (выпускников) уже нет в живых?

Отношения, связанные с обработкой персональных данных, регулируются Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ), в силу которого под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а любое действие (операция) с такой информацией или их совокупность, включая, сбор, запись, использование, распространение и др., является обработкой персональных данных (пп. 1, 3 ст. 3 Закона N 152-ФЗ).

Фамилия, имя, отчество (при наличии), фотография, а также иные относящиеся к гражданину (бывшему работнику, выпускнику) сведения, позволяющие его идентифицировать, являются персональными данными, в отношении которых действует режим конфиденциальности (ст. 7 Закона N 152-ФЗ, указ Президента РФ от 06.03.1997 N 188).

Право на охрану изображения гражданина также обеспечивается и ст. 152.1 ГК РФ, в силу которой обнародование и дальнейшее использование изображения гражданина (в том числе его фотографии) допускаются только с согласия этого гражданина.

Под обнародованием изображения гражданина, как указал Пленум Верховного Суда РФ, необходимо понимать осуществление действия, которое впервые делает данное изображение доступным для всеобщего сведения путем его опубликования, публичного показа либо любым другим способом, включая размещение его в сети Интернет.

За исключением случаев, предусмотренных подп. 1-3 п. 1 ст. 152.1 ГК РФ, обнародование изображения гражданина, в том числе размещение его самим гражданином в сети Интернет, и общедоступность такого изображения сами по себе не дают иным лицам права на свободное использование такого изображения без получения согласия изображенного лица (п. 43 постановления Пленума Верховного Суда РФ от 23.06.2015 N 25).

Согласие гражданина не требуется в случаях, когда использование изображения осуществляется в государственных, общественных или иных публичных интересах; изображение гражданина получено при съемке, которая проводится в местах, открытых для свободного посещения, или на публичных мероприятиях (собраниях, съездах, конференциях, концертах, представлениях, спортивных соревнованиях и подобных мероприятиях), за исключением случаев, когда такое изображение является основным объектом использования; гражданин позировал за плату.

Поэтому если, к примеру, на фотографиях запечатлены фрагменты общественных мероприятий (спортивных, культурных, научных и т.п.) образовательной организации, где изображения работников и студентов (бывших студентов) не являются основным объектом фотосъемки, то такие фотографии могут размещаться в отсутствие волеизъявления граждан.

Сопровождение же размещенной на сайте образовательной организации персональной информации о бывшем работнике или выпускнике его личной фотографией указанным критериям не отвечает, соответственно, допускается только при наличии соответствующего согласия.

Распространение фотографии в сети Интернет без соблюдения требований ст. 152.1 ГК РФ предоставляет гражданину право требовать удаления изображения и запрещения дальнейшего его распространения (п. 3 ст. 152.1 ГК РФ), а также компенсации морального вреда, поскольку подобными действиями нарушается право на неприкосновенность частной жизни (ст. 151 ГК РФ). Обязанность доказывания правомерности обнародования и использования изображения гражданина возлагается на лицо, его осуществившее (п. 48 постановления Пленума Верховного Суда РФ от 23.06.2015 N 25).

Обработка персональных данных в силу положений Закона N 152-ФЗ также допускается либо с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ), либо в прямо предусмотренных пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 указанного Закона случаях, что обусловлено положениями ч. 2 ст. 9 Закона N 152-ФЗ, устанавливающими право оператора продолжить обработку персональных данных и после отзыва субъектом соответствующего согласия на обработку персональных данных.

Ни Федеральный закон от 29.12.2012. N 273-ФЗ "Об образовании в Российской Федерации" (далее - Закон N 273-ФЗ), ни соответствующие Правила, утвержденные постановлением Правительства РФ от 20.10.2021 N 1802 (далее - Правила), не относят сведения о бывших работниках и выпускниках образовательной организации к перечню информации, подлежащей обязательному размещению на официальном сайте образовательной организации в сети Интернет.

Такая обязанность установлена только в отношении информации о руководителе образовательной организации, его заместителях, руководителях филиалов образовательной организации (при их наличии), включая их фамилию, имя, отчество (при наличии), а также персональном составе педагогических работников с указанием: фамилии, имени, отчества (при наличии) педагогического работника; занимаемой должности (должностей); уровня (уровней) профессионального образования с указанием наименования направления подготовки и (или) специальности, в том числе научной, и квалификации; ученой степени и ученого звания (при наличии) и др. (подп. "ж", "з" п. 1 ч. 2 ст. 29 Закона N 273-ФЗ, пп 10-11 Правил).

Поскольку размещение персональных данных бывших работников и выпускников на сайте образовательной организации в сети Интернет законодательством не предусмотрено, такая обработка может осуществляться только при наличии соответствующего согласия.

Размещение персональных данных на сайте образовательной организации в сети Интернет является распространением персональных данных, поскольку они в таком случае становятся доступны неограниченному кругу лиц (п. 5 ст. 3 Закона N 152-ФЗ).

Статьей 10.1 Закона N 152-ФЗ установлены особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения, под которыми понимаются персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи соответствующего согласия на обработку в установленном порядке (п. 1.1 ст. 3 Закона N 152-ФЗ).

Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий на обработку персональных данных. Оператор в силу прямого указания Закона N 152-ФЗ не только обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, но и опубликовать соответствующую информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц (чч. 1, 10 ст. 10.1 Закона N 152-ФЗ).

Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утверждены приказом Роскомнадзора от 24.02.2021 N 18 (далее Требования), предусматривающим конкретный перечень информации, которая подлежит включению в такое согласие*(1).

Необходимо также учитывать и положения ст. 10.1 Закона N 152-ФЗ, согласно которым в случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку (смотрите апелляционное определение СК по гражданским делам Нижегородского областного суда от 27.04.2022 по делу N 33-3914/2022, апелляционное определение СК по гражданским делам Калужского областного суда от 10.03.2022 по делу N 33-691/2022, решение Кунцевского районного суда г. Москвы от 06.09.2022 по делу N 02-3176/2022, решение Перовского районного суда г. Москвы от 27.06.2022 по делу N 02-3093/2022; решение Никулинского районного суда г. Москвы по делу N 02-3383/2022).

При размещении персональных данных бывших работников и выпускников на сайте образовательной организации в сети Интернет, полученных со сторонних ресурсов (например социальных сетей), такая обязанность будет лежать именно на образовательной организации, поскольку молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения (ч. 8 ст. 10.1 Закона N 152-ФЗ).

Размещение на сайте образовательной организации в сети Интернет персональных данных бывших работников и выпускников, таким образом, допускается при наличии их согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, соответствующего Требованиям.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. При этом согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем. В случае смерти субъекта персональных данных согласие на обработку его персональных данных с учетом положений ч. 7 ст. 9 Закона N 152-ФЗ дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни (смотрите кассационное определение СК по административным делам Первого кассационного суда общей юрисдикции от 05.02.2024 по делу N 8а-42563/2023[88а-5496/2024-(88а-42986/2023)], кассационное определение СК по административным делам Седьмого кассационного суда общей юрисдикции от 21.11.2023 по делу N 8а-20894/2023[88а-21256/2023], апелляционное определение СК по административным делам Челябинского областного суда от 19.12.2023 по делу N 11а-15742/2023, апелляционное определение СК по административным делам Новосибирского областного суда от 31.10.2023 по делу N 33а-10554/2023, апелляционное определение СК по административным делам Свердловского областного суда от 03.08.2023 по делу N 33а-11950/2023).

Как указал в своем определении от 30.05.2024 N 1176-О Конституционный Суд РФ, приведенное регулирование направлено на внесение определенности в правоотношения, связанные с обработкой персональных данных, в случае смерти субъекта персональных данных и на защиту прав и законных интересов субъекта персональных данных и его наследников, что предполагает ограничение круга лиц, правомочных давать согласие на обработку персональных данных в случае смерти субъекта персональных данных, только его наследниками, имея в виду, что призвание к наследованию осуществляется с учетом очередности, предусмотренной ст. 1142-1145 и 1148 ГК РФ, и наследники каждой последующей очереди наследуют, если нет наследников предшествующих очередей (п. 1 ст. 1141 ГК РФ).

В случае смерти бывших работников и выпускников, в отношении которых имеется намерение размещения персональной информации на сайте образовательной организации, правовым условием обработки может являться соответствующее согласие наследника такого лица.

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Беликова Татьяна

Контроль качества ответа:
Рецензент службы Правового консалтинга ГАРАНТ
Амирова Лариса

27 июня 2024 г.

Материал подготовлен на основе индивидуальной письменной консультации, оказанной в рамках услуги Правовой консалтинг.

-------------------------------------------------------------------------

*(1) Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, предоставляемое оператору - юридическому лицу, должно содержать: фамилия, имя, отчество (при наличии) субъекта персональных данных; контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных); сведения об операторе-организации - наименование, адрес, указанный в ЕГРЮЛ, ИНН, ОГРН; сведения об информационных ресурсах оператора (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных; цель (цели) обработки персональных данных; категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных; категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (по желанию субъекта персональных данных); условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (по желанию субъекта персональных данных); срок действия согласия.