Распространение персональных данных университетом
Имею ли я право подать иск в суд или прокуратору на университет по поводу того, что мои дальние родственники позвонили в университет и университет им сообщил, что я там больше не учусь. Является ли это персональными данными и работает ли в этом случае закон о неразглашении о персональных данных? (ответ на вопрос по состоянию на 31.07.2026*)
Да. Сведения о том, что вы учились / не учитесь в конкретном университете, а также что вы отчислены с 2025 года, являются персональными данными, потому что относятся к конкретному идентифицированному человеку. Сообщение этих сведений вашим дальним родственникам по телефону – это предоставление персональных данных третьим лицам. Если вы не давали университету согласие сообщать такие сведения этим родственникам, они не были вашими законными представителями и у них не было доверенности или иного законного основания, то действия университета могут быть нарушением Закона Республики Беларусь «О защите персональных данных».
Обращаться можно: сначала – в университет как к оператору персональных данных, затем – в милицию, а при наличии морального вреда – в суд.
Обоснование:
Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» определяет персональные данные как любую информацию, относящуюся к идентифицированному физическому лицу или лицу, которое может быть идентифицировано. Закон также прямо относит к обработке персональных данных такие действия, как использование, предоставление и распространение данных; «предоставление» – это ознакомление с персональными данными определенного лица или круга лиц. Информация «такой-то человек с 2025 года не учится в университете, потому что отчислен» позволяет понять ваш образовательный статус и факт прекращения образовательных отношений. Это не просто общая справочная информация об университете, а сведения именно о вас. Персональные данные защищаются законом.
Общее правило такое: обработка персональных данных осуществляется с согласия субъекта персональных данных, кроме случаев, прямо предусмотренных законом. Закон перечисляет случаи, когда согласие не требуется: например, для административного или уголовного процесса, правосудия, контроля, исполнения обязанностей, предусмотренных законодательными актами, защиты жизни и здоровья, и т.п. Обычный звонок дальних родственников в университет в этот перечень сам по себе не попадает. Родственные отношения, даже близкие, не дают автоматического права получать сведения о взрослом дееспособном студенте или бывшем студенте. Для дальних родственников тем более нужно законное основание: ваше согласие, доверенность, статус законного представителя или прямое требование закона.
Исключения возможны, если, например:
- вы письменно или электронно разрешили университету сообщать этим лицам сведения о вашем обучении;
- родственник действовал по доверенности;
- вы несовершеннолетняя и речь идет о законном представителе, а не просто родственнике;
- сведения уже были законно размещены в открытом доступе;
- запрос поступал не от родственников, а от госоргана в рамках полномочий.
Если ничего из этого не было, позиция в вашу пользу достаточно сильная.
Оператор персональных данных обязан обеспечивать защиту персональных данных от несанкционированного или случайного доступа, предоставления, распространения и иных неправомерных действий. Закон также требует установить порядок доступа к персональным данным и ознакомить работников, которые их обрабатывают, с правилами защиты. Университет в такой ситуации является оператором персональных данных, потому что именно он организует и осуществляет обработку данных студентов и бывших студентов. Если сведения сообщил работник университета, вопрос будет не только к конкретному работнику, но и к университету как оператору.
Куда и с чем можно обращаться:
1. Письменное заявление в университет
Лучше начать с официального заявления на имя ректора или руководителя университета, а также ответственному за внутренний контроль за обработкой персональных данных, если такой контакт указан в политике университета.
В заявлении стоит потребовать:
Провести внутреннюю проверку по факту сообщения третьим лицам сведений о вашем обучении и отчислении.
Сообщить, предоставлялись ли ваши персональные данные третьим лицам за последний год: кому, когда, какие именно данные, на каком правовом основании. Такое право прямо предусмотрено статьей 12 Закона: оператор обязан в 15-дневный срок предоставить информацию о том, какие персональные данные и кому предоставлялись в течение года, предшествующего заявлению, либо объяснить отказ.
Сообщить правовые основания и цели обработки ваших данных. По статье 11 Закона субъект персональных данных вправе получить информацию об обработке своих данных, включая подтверждение факта обработки, сами данные, источник их получения, правовые основания и цели обработки; оператор обычно обязан ответить в течение пяти рабочих дней.
Прекратить предоставление сведений о вас третьим лицам без вашего согласия или законного основания.
Принять меры к недопущению повторения: инструктаж работников, ограничение телефонного раскрытия данных, проверка порядка идентификации лиц, которые запрашивают информацию.
2. Административная ответственность
Статья 23.7 КоАП Республики Беларусь предусматривает ответственность за нарушение законодательства о защите персональных данных. В частности, умышленные незаконные сбор, обработка, хранение или предоставление персональных данных либо нарушение прав субъекта влекут штраф; если деяние совершено лицом, которому данные известны в связи с профессиональной или служебной деятельностью, повышенный штраф.
Для вашей ситуации наиболее близко именно незаконное предоставление персональных данных, потому что сведения были сообщены конкретным лицам – родственникам. «Распространение» обычно относится к ознакомлению неопределенного круга лиц, например публикации в интернете.
Для старта проверки нужно подавать заявление в милицию. Пока именно милиция указана в качестве органа, который должен проводить проверку по факту подобных нарушений.
3. Суд и моральный вред
Если из-за раскрытия сведений вам причинены нравственные страдания, репутационный вред, семейный конфликт, давление со стороны родственников и т.п., можно рассматривать иск о компенсации морального вреда. Закон № 99-З прямо предусматривает, что моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, подлежит возмещению независимо от возмещения имущественного вреда и убытков.
Практически для суда важно будет доказать:
сам факт раскрытия данных университетом;
что раскрытие было без согласия и без законного основания;
связь между раскрытием и вашими негативными последствиями;
характер морального вреда.
Судебный путь имеет смысл после того, как вы получите ответ университета или результат проверки милиции с подтверждением нарушения: это усилит доказательную базу. Но стоит быть готовым к тому, что даже если Вы выиграете дело – сумма компенсации морального вреда будет незначительной (в пределах 200 рублей).
Риски:
1) Главная сложность – доказать сам факт раскрытия. Если разговор был телефонный, университет может заявить, что такой информации не предоставлял или что работник не установлен. Поэтому важно собрать максимум доказательств: дату и время звонка, номер, подразделение, ФИО работника, если известно, содержание разговора, подтверждение от родственников.
2) Возможное наличие вашего согласия. Иногда при поступлении студент подписывает много документов, включая согласие на обработку персональных данных. Но даже если вы подписывали общее согласие, университет должен показать, что оно действительно охватывало передачу сведений о вашем обучении и отчислении конкретным родственникам. Обязанность доказывания получения согласия возлагается на оператора.
3) Если информация уже была законно опубликована. Но факт отчисления обычно не публикуется как общедоступная информация.
*В случае изменения законодательства ответ на этот вопрос может устареть. Перед принятием юридически значимых решений рекомендуем проконсультироваться у юристов LegalHub