Персональные данные несовершеннолетних

Персональные данные несовершеннолетних — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу, не достигшему возраста 18 лет. В силу особой уязвимости детей и их ограниченной дееспособности, обработка их персональных данных регулируется более строгими нормами, чем обработка данных взрослых, и направлена на защиту их прав, свобод и законных интересов, в частности права на неприкосновенность частной жизни.

Правовое регулирование в Российской Федерации

Основным нормативным актом, регулирующим обработку персональных данных в России, является Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». В отношении несовершеннолетних он устанавливает ряд специальных требований.

Согласие на обработку

Ключевое отличие — порядок получения согласия на обработку персональных данных. Согласно статье 9 Закона № 152-ФЗ, согласие на обработку персональных данных несовершеннолетнего должно быть получено от его законного представителя (родителя, усыновителя, опекуна или попечителя). Исключение составляют случаи, когда несовершеннолетний приобретает полную дееспособность до достижения 18 лет (например, при вступлении в брак или эмансипации). В таких случаях он может давать согласие самостоятельно.

Сам несовершеннолетний может дать согласие на обработку своих персональных данных только с 14 лет (с письменного согласия законного представителя). До 14 лет согласие даёт исключительно законный представитель. Форма согласия должна быть конкретной, информированной и сознательной, содержать перечень данных, цель обработки, наименование оператора и срок действия согласия.

Категории персональных данных

Особое внимание закон уделяет специальным категориям персональных данных (раса, национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь). Обработка таких данных несовершеннолетних допускается только в строго определённых случаях, например, в целях охраны здоровья (с согласия законного представителя) или в соответствии с трудовым законодательством (при трудоустройстве с 14 лет). Биометрические персональные данные (физиологические и биологические характеристики человека) несовершеннолетних также обрабатываются с согласия законного представителя, за исключением случаев, установленных федеральными законами.

Обязанности оператора

Оператор, обрабатывающий персональные данные несовершеннолетних, обязан:

Обеспечить их конфиденциальность и безопасность.
Не раскрывать данные третьим лицам без согласия законного представителя.
Уничтожить данные по достижении целей обработки или при отзыве согласия.
Уведомить Роскомнадзор о намерении обрабатывать персональные данные (за исключением случаев, когда обработка осуществляется в соответствии с трудовым законодательством или для однократного пропуска на территорию).

Международные стандарты

На международном уровне защита персональных данных детей регулируется рядом документов, в частности:

Конвенция ООН о правах ребенка (1989) — статья 16 гарантирует ребёнку защиту от произвольного или незаконного вмешательства в его личную жизнь.
Общий регламент по защите данных (GDPR) Европейского союза (2016) — устанавливает особые правила для обработки данных детей, в том числе требование получения согласия от родителей для детей младше 16 лет (государства-члены могут снизить этот порог до 13 лет). GDPR также обязывает операторов предоставлять информацию о обработке данных в понятной для детей форме.
Закон США о защите конфиденциальности детей в интернете (COPPA, 1998) — регулирует сбор персональных данных детей младше 13 лет интернет-сервисами, требуя получения родительского согласия.

Риски и угрозы

Обработка персональных данных несовершеннолетних сопряжена с повышенными рисками:

Кибербуллинг и травля — раскрытие личной информации может привести к преследованию в интернете.
Кража личности — данные детей могут быть использованы для оформления кредитов, регистрации фирм или совершения других мошеннических действий.
Нецелевое использование — данные могут быть проданы рекламодателям или использованы для манипуляции поведением ребёнка.
Утечка данных — слабая защита баз данных образовательных, медицинских и развлекательных сервисов делает их уязвимыми для взлома.

Примеры обработки

Образовательные учреждения

Школы, детские сады и вузы обрабатывают персональные данные несовершеннолетних (фамилия, имя, отчество, дата рождения, адрес, сведения об успеваемости, состоянии здоровья) в рамках уставной деятельности. Согласие на обработку обычно даётся при зачислении. Оператор обязан обеспечить защиту этих данных и не разглашать их без необходимости.

Медицинские организации

Медицинские учреждения обрабатывают данные о здоровье несовершеннолетних (диагнозы, результаты анализов, истории болезни) с согласия законного представителя. Исключение составляют случаи, когда обработка необходима для спасения жизни ребёнка или при угрозе распространения инфекционных заболеваний.

Интернет-сервисы и социальные сети

Сайты, приложения и онлайн-игры, собирающие данные детей (например, при регистрации), обязаны получать согласие родителей для пользователей младше 14 лет (в России). На практике многие сервисы устанавливают возрастной ценз 13–16 лет, чтобы избежать дополнительных требований. В России социальные сети и мессенджеры обязаны идентифицировать пользователей и блокировать доступ несовершеннолетним к запрещённому контенту.

Ответственность за нарушения

Нарушение правил обработки персональных данных несовершеннолетних влечёт за собой административную, гражданско-правовую и уголовную ответственность. В России:

Административная ответственность (ст. 13.11 КоАП РФ) — штрафы для должностных лиц до 20 000 рублей, для юридических лиц — до 100 000 рублей. За повторное нарушение — до 500 000 рублей.
Гражданско-правовая ответственность — возмещение морального вреда и убытков, причинённых незаконной обработкой.
Уголовная ответственность (ст. 137 УК РФ) — за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную тайну, в том числе в отношении несовершеннолетних, — штраф до 200 000 рублей или лишение свободы до 2 лет.