Если неправомерно, то это является нарушением законодательства о персональных данных с дальнейшими возможными последствиями

Действия учебного заведения в данном случае регулируются Федеральным законом № 152-ФЗ "О персональных данных". Для анализа ситуации выделим основные положения:

1. Законность обработки персональных данных:

Учебное заведение имеет право обрабатывать персональные данные студентов (абитуриентов) на основании:

Заключения договора об образовании;

Исполнения обязанностей в рамках законодательства (например, ведение учета студентов, подготовка отчетности и т. д.);

Получения согласия субъекта персональных данных на обработку.

Однако распространение персональных данных третьим лицам требует отдельного согласия, которое должно соответствовать требованиям закона.

2. Требования к согласию:

Согласие на обработку персональных данных должно быть:

Информированным, то есть содержать четкую информацию о целях, объеме обработки данных и категориях третьих лиц, которым передаются данные;

Конкретным, с указанием всех целей обработки и возможных третьих лиц;

Добровольным, что предполагает, что отказ от дачи согласия не должен ограничивать права абитуриента или студента.

Если согласие содержит пункт о передаче данных третьим лицам без указания, кому именно передаются данные, то такое согласие не считается информированным и нарушает требования закона.

3. Нарушение и ответственность:

Если учебное заведение собирает согласие с нарушением требований закона, это является нарушением Федерального закона № 152-ФЗ.

Возможные последствия:

Привлечение учебного заведения к административной ответственности по ст. 13.11 КоАП РФ:.

Проверки со стороны Роскомнадзора, инициированные жалобами субъектов данных.

Исковые заявления студентов (абитуриентов) о защите их прав, компенсации морального вреда (гражданско-правовая ответственность).

4. Как учебное заведение может действовать в рамках закона:

Включить в текст согласия полный перечень третьих лиц, которым могут быть переданы данные, и описать цели передачи.

Указать основания, предусмотренные законом, для передачи данных (например, выполнение обязательств перед государственными органами, в рамках госаккредитации и т.д.).

Обеспечить право на отзыв согласия в любой момент.

Таким образом, сбор согласия на передачу персональных данных третьим лицам без указания конкретных лиц неправомерен. Учебное заведение в таком случае нарушает законодательство о персональных данных, что может привести к привлечению к ответственности по ст. 13.11 КоАП РФ.