Необходимо ли Академии запрашивать согласие на обработку персональных данных на каждого слушателя, чтобы провести им обучение?

Добрый день! Договор на образовательные услуги между Академией и юридическим лицом. В договоре слушатели — работники юридического лица. Необходимо ли Академии запрашивать согласие на обработку персональных данных на каждого слушателя, чтобы провести им обучение? Сведения на слушателя это ФИО и сведения об образовании.

Здравствуйте!

Коротко: Да, согласие каждого слушателя нужно. Слушатель не является стороной договора между Академией и работодателем, поэтому основание «обработка необходима для исполнения договора» (п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных») здесь не работает.

Ниже приведён подробный разбор: почему договор с работодателем не заменяет согласия, какие данные Академия вправе запрашивать, как оформить согласие, в каких случаях оно не требуется и чем грозит его отсутствие после ужесточения ответственности.

Нужно ли согласие слушателя, если договор заключён с его работодателем?

Нужно. Любая работа с фамилией, именем, отчеством и сведениями об образовании конкретного человека — это обработка персональных данных (ст. 3 ФЗ о персональных данных), а Академия, которая сама определяет состав данных и цели их использования, выступает по отношению к слушателям самостоятельным оператором. Значит, у неё должно быть собственное правовое основание из ч. 1 ст. 6 Закона о персональных данных, а не ссылка на чужой договор.

Основание «обработка необходима для исполнения договора, стороной которого является субъект персональных данных» (п. 5 ч. 1 ст. 6 ФЗ о персональных данных) в описанной ситуации неприменимо: договор на образовательные услуги подписан Академией и юридическим лицом, а слушатель в нём — не сторона и, как правило, не выгодоприобретатель и не поручитель. Он лишь исполняет распоряжение работодателя пройти обучение. Поэтому по общему правилу остаётся первое основание из этого перечня — согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 ФЗ о персональных данных).

Со стороны работодателя действует ещё одно самостоятельное требование: работодатель не вправе сообщать персональные данные работника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, прямо предусмотренных Трудовым кодексом или иными федеральными законами (ст. 88 ТК РФ). Направление работника на обучение по решению работодателя (ст. 196 ТК РФ) в число таких исключений не входит — то есть согласие требуется и для передачи данных, и для их последующей обработки Академией.

Отдельно обратите внимание на ч. 5 ст. 18 ФЗ о персональных данных: если оператор получил данные не от самого человека, он обязан до начала обработки предоставить субъекту информацию о себе, цели и правовом основании обработки, предполагаемых пользователях данных, правах субъекта и источнике их получения. Академия получает списки слушателей от работодателя, значит, эта обязанность лежит именно на ней.

Какие данные слушателей Академия вправе получать и обрабатывать?

Только те, без которых обучение и выдача документа об обучении объективно невозможны. Действует принцип соответствия объёма данных заявленным целям обработки: избыточные по отношению к целям данные обрабатывать нельзя (ч. 5 ст. 5 ФЗ о персональных данных). Указанный в вопросе набор — ФИО и сведения об образовании — этому принципу отвечает: без подтверждения имеющегося уровня образования нельзя зачислить человека на программу дополнительного профессионального образования (ст. 76 Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»).

• ФИО и сведения об имеющемся образовании — обычные персональные данные, обрабатываются на общем основании из ч. 1 ст. 6 ФЗ о персональных данных.
• Данные о состоянии здоровья, национальности, религиозных убеждениях — специальная категория (ст. 10 ФЗ о персональных данных), для обучения не нужны и запрашиваться не должны.
• Фотография слушателя, используемая для установления личности, при определённых способах обработки может быть отнесена к биометрическим данным (ст. 11 ФЗ о персональных данных) — это отдельное согласие в письменной форме.
• Данные, которые Академия хочет разместить в открытом доступе (списки групп, доска почёта, публикация результатов на сайте), требуют самостоятельного согласия на распространение (ст. 10.1 ФЗ о персональных данных).

Срок обработки тоже ограничен целью: по её достижении данные подлежат уничтожению — по общему правилу в течение тридцати дней с даты достижения цели обработки, если иной срок не установлен договором или законом (ч. 4 ст. 21 ФЗ о персональных данных). Практически это означает, что бессрочно хранить анкеты слушателей «на всякий случай» нельзя, а срок хранения нужно заранее описать в политике обработки персональных данных, которую оператор обязан опубликовать или иным образом обеспечить к ней неограниченный доступ (ч. 2 ст. 18.1 ФЗ о персональных данных).

Как оформить согласие слушателя на обработку персональных данных?

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а обязанность доказать, что оно получено, лежит на операторе (ч. 1 и ч. 6 ст. 9 ФЗ о персональных данных). Признак «предметное» появился в законе с изменениями 2022 года: одно общее согласие «на всё» больше не годится — под каждую цель нужны свои основания, а согласие на обработку и согласие на распространение оформляются раздельно.

Поскольку данные передаются работодателем третьему лицу, безопаснее использовать письменную форму. Письменное согласие включает обязательный набор сведений (ч. 4 ст. 9 ФЗ о персональных данных):

• фамилия, имя, отчество, адрес субъекта, реквизиты документа, удостоверяющего личность;
• наименование и адрес оператора, получающего согласие, — то есть Академии (а при получении согласия работодателем — сведения и о нём, и о лице, которому поручена обработка);
• цель обработки — проведение обучения по конкретной программе и выдача документа об обучении;
• перечень персональных данных: ФИО, сведения об образовании;
• перечень действий с данными и общее описание способов обработки;
• срок действия согласия и порядок его отзыва;
• подпись субъекта персональных данных.

Организовать сбор согласий можно двумя способами. Первый: Академия остаётся самостоятельным оператором и собирает согласия сама — при регистрации слушателей, в том числе через заполнение формы на первом занятии. Второй: работодатель как оператор поручает обработку Академии по договору поручения, но и в этом случае поручение допускается с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, а в договоре должны быть указаны перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите данных (ч. 3 ст. 6 ФЗ о персональных данных). Ответственность перед слушателем в этой конструкции несёт работодатель, а Академия отвечает перед ним.

Практический вывод: удобнее закрепить в договоре с юридическим лицом обязанность заказчика передать Академии подписанные слушателями согласия (или гарантировать, что они получены), но при этом Академии всё равно стоит иметь собственные экземпляры согласий — именно ей придётся доказывать законность обработки при проверке. Сходная логика разбиралась в материале Для заключения договора поставки Торговый дом просит предоставить согласие на обработку персональных данных генерального директора. Как правильно отказаться от предоставления письменного согласия?.

Когда согласие слушателя не требуется?

Согласие — лишь одно из оснований обработки, и в отдельных операциях Академия обходится без него. Ключевой пример: внесение сведений о выданных документах об образовании и (или) о квалификации, документах об обучении в федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» (ст. 98 Федерального закона от 29.12.2012 № 273-ФЗ). Это прямая обязанность организации, осуществляющей образовательную деятельность, то есть основание из п. 2 ч. 1 ст. 6 ФЗ о персональных данных — обработка необходима для выполнения возложенных законодательством на оператора обязанностей. Отдельное согласие на такую передачу не запрашивается, но человека нужно проинформировать об этом.

Опираться на «законные интересы оператора» (п. 7 ч. 1 ст. 6 ФЗ о персональных данных) в этой ситуации рискованно: это основание работает, только если при обработке не нарушаются права и свободы субъекта, и на практике проверяющие требуют развёрнутого обоснования, почему цель нельзя достичь с согласия. Для обычного корпоративного обучения такое обоснование выглядит натянутым.

Что изменилось в законе о персональных данных с 2021 года?

Вопрос задавался несколько лет назад, и с тех пор регулирование заметно ужесточилось. Сам ответ не изменился — согласие по-прежнему обязательно, — но у Академии как оператора появились дополнительные обязанности.

• Федеральным законом от 30.12.2020 № 519-ФЗ введена ст. 10.1 ФЗ о персональных данных — обработка данных, разрешённых субъектом для распространения. Согласие на распространение оформляется отдельно от согласия на обработку, а молчание или бездействие человека согласием не считается.
• Федеральным законом от 14.07.2022 № 266-ФЗ ужесточены требования к содержанию согласия (оно должно быть в том числе предметным), а уведомление Роскомнадзора о намерении осуществлять обработку персональных данных (ст. 22 ФЗ о персональных данных) стало обязательным практически для всех операторов — прежние широкие исключения отменены.
• Тем же законом введена обязанность уведомлять Роскомнадзор об инцидентах: в течение 24 часов — о факте неправомерной или случайной передачи персональных данных, в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 ФЗ о персональных данных).
• С 30 мая 2025 года существенно ужесточена административная ответственность по ст. 13.11 КоАП РФ: размеры штрафов повышены, а за утечки персональных данных введены оборотные штрафы (Федеральный закон от 30.11.2024 № 420-ФЗ).
• В Уголовном кодексе появилась ст. 272.1 УК РФ — ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные.

Для Академии это означает три практических шага помимо сбора согласий: подать (или проверить, что подано) уведомление в Роскомнадзор, опубликовать политику обработки персональных данных и назначить ответственного за организацию обработки (ст. 18.1 ФЗ о персональных данных).

Чем рискует Академия, если согласий нет?

Обработка персональных данных в случаях, не предусмотренных законодательством, и обработка без согласия в письменной форме, когда такое согласие обязательно, образуют самостоятельные составы административных правонарушений по ст. 13.11 КоАП РФ. Дела возбуждает Роскомнадзор — обычно по жалобе самого слушателя или по итогам плановой проверки; помимо штрафа выдаётся предписание об устранении нарушения, вплоть до требования уничтожить незаконно полученные данные.

Параллельно действует гражданско-правовой механизм: субъект персональных данных вправе требовать возмещения убытков и компенсации морального вреда, причинённых нарушением его прав, в судебном порядке (ст. 24 ФЗ о персональных данных). Моральный вред возмещается независимо от возмещения имущественного ущерба и понесённых убытков, а иск можно подать и по месту жительства истца. Практические аспекты таких споров разобраны в материале Верховный Суд РФ разъяснил правила рассмотрения споров о защите персональных данных граждан.

Частые вопросы

Достаточно ли гарантии работодателя в договоре, что согласия он получил?

Такая гарантия полезна как распределение ответственности между сторонами договора, но перед Роскомнадзором она Академию не защищает: обязанность доказать наличие согласия лежит на том операторе, который обрабатывает данные (ч. 6 ст. 9 ФЗ о персональных данных). Поэтому запрашивайте у заказчика копии подписанных согласий либо собирайте их у слушателей сами.

Может ли слушатель отозвать согласие в середине обучения?

Да, согласие отзывается в любой момент (ч. 2 ст. 9 ФЗ о персональных данных). После отзыва оператор обязан прекратить обработку, кроме случаев, когда закон разрешает продолжать её без согласия, — например, для внесения сведений о выданном документе об обучении в реестр. Практически отзыв в середине программы означает невозможность завершить обучение и оформить документ.

Нужно ли согласие, если слушатель сам оплатил обучение?

Если договор на образовательные услуги заключён непосредственно со слушателем, отдельное согласие для самого обучения не требуется: обработка необходима для исполнения договора, стороной которого он является (п. 5 ч. 1 ст. 6 ФЗ о персональных данных). Согласие понадобится только для целей за пределами договора — рассылки рекламы, публикации данных, передачи партнёрам.

Как долго хранить согласия и данные слушателей?

Данные хранятся не дольше, чем этого требует цель обработки; после её достижения они подлежат уничтожению по общему правилу в течение тридцати дней (ч. 7 ст. 5, ч. 4 ст. 21 ФЗ о персональных данных). Исключение — сведения, срок хранения которых установлен законом или архивными правилами, в том числе данные о выданных документах об обучении.

Кто отвечает, если данные слушателей утекут у Академии?

Отвечает оператор, допустивший нарушение. Если Академия — самостоятельный оператор, ответственность её; если она обрабатывает данные по поручению работодателя, перед слушателем отвечает работодатель, а Академия — перед работодателем (ч. 5 ст. 6 ФЗ о персональных данных). Об инциденте нужно уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 ФЗ о персональных данных).

Краткая сводка: согласия слушателей на обработку персональных данных

• Согласие каждого слушателя обязательно: он не сторона договора между Академией и работодателем, поэтому «договорное» основание не применяется (п. 5 ч. 1 ст. 6 ФЗ о персональных данных), остаётся согласие (п. 1 ч. 1 ст. 6 того же закона).
• Работодатель не вправе передать данные работника Академии без его письменного согласия (ст. 88 ТК РФ).
• Объём данных ограничен целью обучения: ФИО и сведения об образовании допустимы, избыточные данные — нет (ч. 5 ст. 5 ФЗ о персональных данных).
• Согласие должно быть конкретным, предметным, информированным и однозначным, а доказывать его наличие обязан оператор (ч. 1 и ч. 6 ст. 9 ФЗ о персональных данных).
• Получив данные не от самого слушателя, Академия обязана до начала обработки проинформировать его об операторе, целях и правовом основании (ч. 5 ст. 18 ФЗ о персональных данных).
• Без согласия допустимо лишь то, что прямо предписано законом, — например, внесение сведений о выданном документе в реестр (ст. 98 Федерального закона от 29.12.2012 № 273-ФЗ).
• За обработку без обязательного согласия отвечают по ст. 13.11 КоАП РФ, штрафы по которой повышены с 30 мая 2025 года; слушатель дополнительно вправе взыскать убытки и компенсацию морального вреда (ст. 24 ФЗ о персональных данных).

Таким образом, Академии необходимо получить согласие на обработку персональных данных от каждого слушателя: договор с юридическим лицом такое согласие не заменяет. Оптимальный порядок — закрепить в договоре с заказчиком обязанность передать подписанные согласия работников, продублировать их сбор при регистрации слушателей, проинформировать людей об операторе и целях обработки, а также проверить, поданы ли уведомление в Роскомнадзор и опубликована ли политика обработки персональных данных.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Абонентское юридическое сопровождение
• Адвокат для бизнеса
• Обязательно ли согласие покупателя на обработку персональных данных при заключении с ним договора розничной купли-продажи?