Пермские школы массово нарушают ФЗ «О персональных данных»

Что происходит?

Большинство родителей учеников пермских школ получило уведомление от руководства школ о запуске Федеральной межведомственной системы АИС «Контингент» и о сборе персональных данных о детях и родителях с отсылкой на постановления Правительства РФ. В нескольких школах добавлена отсылка на постановление Правительства Пермского края от 18 ноября 2015 года №3382-рп.

Родителей «убедительно просят» предоставить СНИЛСы на себя и ребенка, а также сканы паспортов обоих родителей в электронном или бумажном виде через классных руководителей или в канцелярию учебного заведения.

Что смущает?

Постановление Правительства РФ о концепции создания единой межведомственной системы 2125-р от 25 октября 2014 года в целом объясняет смысл происходящего. Очевидно, что был и соответствующий госконтракт на ее создание.

Но на официальном сайте Правительства ПК за указанную дату постановления №3382-рп мы не нашли, кроме этого, нумерация документов за эту дату содержит только номера с 995 по 1000.

Упоминания о системе крайне скудные, официального сайта системы с названием АИС «Контингент» или «Контингет обучающихся» на домене gov.ru найти не удалось, зато оно есть на систему «Контингент-Регион» на сайте Dnevnik.ru, принадлежащем одноименному ООО «Дневник.ру», учредителем которого является кипрский оффшор «И.Ар.Эйч. Эду Революшн Холдингз Лтд». Директором компании является Гавриил Леви и расположено оно в Санкт-Петербурге.

В регионах, например в Томске, систему со схожим названием «Контингент-Регион» внедряет государственный телеком-оператор «Ростелеком», об этом же говорят многочисленные объявленные в регионах закупки по внедрению системы, а в Москве под нее создан поддомен на официальном сайте Правительства Москвы contingent.mos.ru.

Кто занимается внедрением системы в Пермском крае, мы выясняем и сообщим дополнительно.

Почему это нарушение?

Персональные данные может собирать, обрабатывать и хранить только получивший соответствующее согласование Роскомнадзора «оператор». Непосредственно школы и их персонал, которому почему-то поручено собрать СНИЛСы и паспорта родителей, получая эти данные из рук родителей без получения соответствующего «согласия на обработку персональных данных», явно нарушают статью 152-ФЗ о защите персональных данных. За это нарушение на учреждение может быть наложен административный штраф.

Кроме этого, закон гласит, что Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в частности, «наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона» и «наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу».

Как было бы правильно?

Получить согласие на обработку персональных данных и провести формальные процедуры по поручению обработки данных на местах.

Зарегистрироваться в системе, получить свой логин и внести свои персональные данные непосредственно на сайте АИС по защищенному протоколу в состоянии каждый родитель. Если государство не доверяет идентификацию личности непосредственному родителю, есть уже существующий способ проверки через определенного оператора — так, например, работает регистрация на сайте «Госуслуги», где человеку для подтверждения профиля нужно предъявить себя и паспорт в офисе оператора. Однако такой вариант, по мнению некоторых экспертов отрасли, нежизнеспособен по организационным причинам — добровольно и без дополнительных мотивирующих мероприятий зарегистрируется в системе далеко не 100% даже сознательных родителей.