Правовые основания обработки персональных данных в учреждениях дошкольного образования

Сложности при реализации Закона

Исходя из анализа поступающих в Национальный центр защиты персональных данных (далее — Центр) вопросов, касающихся обработки персональных данных в учреждениях дошкольного образования, можно сделать вывод о наличии определенных сложностей с реализацией на практике положений Закона Респуб­лики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон).

Во многих учреждениях дошкольного образования ошибочно воспринята идея о согласии как универсальном правовом основании обработки персональных данных. Так, родителям, оформляющим ребенка в детский сад, в некоторых учреждениях предлагается подписать форму согласия родителя (законного представителя) на обработку персональных данных в целях осуществления обучения и воспитания в интересах личности, общества, государства, обеспечения охраны здоровья и создания благоприятных условий для разностороннего развития личности и информационного обеспечения управления образовательным процессом (варианты: для обеспечения образовательного процесса, участия в мероприятиях в рамках образовательного процесса, составления отчетов и др.).

Кроме того, в отдельных учреждениях образования получила распространение практика получения согласия работников на обработку персональных данных в целях ведения личного дела, трудовых книжек, заполнения отчетов, заключения трудовых договоров (контрактов), представления данных (отчетов) в ФСЗН и другие органы и организации, перечисления заработной платы, взаимодействия с обучающимися (законными представителями несовершеннолетних обучающихся), заключения и исполнения договоров на оказание платных услуг в сфере образования, организации образовательного процесса, пропускного режима.

Названные факты, к сожалению, свидетельствуют о недостаточном понимании и, соответственно, неправильном применении норм Закона.

Обработка персональных данных без получения согласия

В соответствии с ч. 1 п. 3 ст. 4 Закона обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных Законом и иными законодательными актами. При этом Закон (ст. 6 и 8) предусматривает значительное число случаев, когда для обработки персональных данных получение согласия не требуется.

В частности, анализ деятельности в сфере образования показал, что наиболее типичными правовыми основаниями обработки персональных данных в учреждениях образования являются следующие:

• оформление трудовых (служебных) отношений, а также трудовая (служебная) деятельность субъекта персональных данных в случаях, предусмотренных законодательством (абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 (в отношении специальных персональных данных) Закона);
• получение персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором (абз. 15 ст. 6 Закона);
• обработка персональных данных необходима для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6 и абз. 17 ч. 2 ст. 8 Закона);
• иные основания, предусмотренные ст. 6 и 8 (в отношении специальных персональных данных) Закона.

Обработка персональных данных в процессе образовательной деятельности

В большинстве случаев вопросы, связанные с организацией обучения и деятельностью участников образовательного процесса, урегулированы в законодательных и принятых на их основании иных НПА сферы образования.

Соответственно, обработка персональных данных учреждениями образования осуществляется в таких ситуациях без согласия субъектов персональных данных на основании абз. 20 ст. 6 и абз. 17 п. 2 ст. 8 Закона как обработка персональных данных, необходимая для выполнения обязанностей (полномочий), предусмотренных законодательными актами (законами, декретами и указами Президента Республики Беларусь).

Так, Кодекс об образовании в ряде случаев прямо предусматривает необходимость представления документов, содержащих персональные данные участников образовательного процесса.

ПРИМЕР
Статьей 140 Кодекса об образовании установлены общие требования к приему (зачислению) лиц для получения дошкольного образования. В соответствии с п. 1 названной статьи прием (зачисление) лица для получения дошкольного образования осуществляется на основании:
• заявления законного представителя этого лица;
• медицинской справки о состоянии здоровья;
• направления, выданного местным исполнительным и распорядительным органом по месту нахождения учреждения образования, для получения дошкольного образования в государственных учреждениях образования, частных учреждениях образования, реализующих образовательную программу дошкольного образования, финансирование части расходов которых осуществляется за счет средств местных бюджетов;
• заключения врачебно-­консультационной комиссии для получения дошкольного образования на дому, в санаторных детских садах, санаторных группах учреждений образования, иных организаций, у индивидуальных предпринимателей, осуществляющих образовательную деятельность, реализующих образовательную программу дошкольного образования;
• заключения государственного центра коррекционно-­развивающего обучения и реабилитации для лиц с особенностями психофизического развития.

В других случаях необходимость представления каких-либо документов напрямую в Кодексе об образовании не предусмотрена, однако на учреждения образования возложены определенные обязанности (полномочия), которые не могут быть реализованы без обработки персональных данных.

ПРИМЕР
В соответствии с подп. 1.21 п. 1 ст. 30 Кодекса об образовании обучающиеся имеют право на участие в олимпиадах, конкурсах, турнирах, фестивалях, конференциях, симпозиумах, конгрессах, семинарах и других образовательных мероприятиях, спортивно-­массовой, общественной, научной, научно-­технической, экспериментальной, инновационной деятельности. Таким образом, участие в олимпиадах, конкурсах и т. п. является частью образовательного процесса. В целях реализации образовательных мероприятий учреждение образования обязано обрабатывать персональные данные участников подобных мероприятий, необходимые для их организации и проведения.

Как случаи обработки персональных данных, необходимой для выполнения обязанностей (полномочий), следует рассматривать и случаи, когда законодательный акт содержит отсылочную норму об определении порядка реализации обязанностей (полномочий) в иных актах, например постановлениях Совета Министров Республики Беларусь. Такие обязанности (полномочия) предоставлены рядом статей Кодекса об образовании, согласно которым Правительство или уполномоченный им орган наделяется правом определять порядок и условия реализации отдельных отношений, возникающих в сфере образования.

ПРИМЕР
Пунктом 2 ст. 140 Кодекса об образовании предусмотрено, что прием (зачисление) лиц для получения дошкольного образования в части, не урегулированной Кодексом, осуществляется в соответствии с Положением об учреждении дошкольного образования (утв. постановлением Министерства образования Республики Беларусь от 04.08.2022 № 230).
В соответствии с п. 1 ст. 141 Кодекса об образовании перечень медицинских показаний для получения дошкольного образования на дому определяется Министерством здравоохранения.

Обработка персональных данных при осуществлении административных процедур

Согласие субъекта персональных данных на обработку персональных данных не требуется при осуществлении учреждениями образования в отношении него административных процедур в пределах установленного законодательством объема запрашиваемых документов и (или) сведений. Такая обработка осуществляется на основании абз. 21 ст. 6 Закона с учетом п. 2 ст. 20 Закона Республики Беларусь от 28.10.2008 № 433-З «Об основах административных процедур», а в отношении специальных персональных данных — на основании абз. 13 п. 2 ст. 8 Закона.

ПРИМЕР
Не требуется получение согласия на обработку персональных данных, в частности, при выдаче справки о том, что гражданин является обучающимся или воспитанником учреждения образования (с указанием иных необходимых сведений, которыми располагает учреждение образования), справки о месте работы и занимаемой должности и т. д.

Обработка персональных данных в рамках договорных отношений

В соответствии с абз. 15 ст. 6 Закона согласие субъекта персональных данных на обработку персональных данных не требуется при их получении оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором.

ПРИМЕР
Пунктом 1 ст. 55 Кодекса об образовании установлено, что основанием возникновения образовательных отношений в учреждении образования (организации, реализующей образовательные программы послевузовского образования) является договор, а когда заключение договора не требуется — решение его руководителя о приеме (зачислении) лица в учреждение образования (организацию, реализующую образовательные программы послевузовского образования). В подп. 2.7 п. 2 ст. 59 Кодекса об образовании, например, указан договор об оказании услуг при реализации образовательных программ на платной основе. Соответственно, при подписании данного договора, например, с законным представителем несовершеннолетнего получать согласие не требуется.

При этом объем обрабатываемых оператором персональных данных на основании абз. 15 ст. 6 Закона ограничен теми персональными данными, которые требуются для заключения, изменения, расторжения договора, а также его исполнения. Если оператор получает дополнительные персональные данные на иные цели, то для обработки таких данных необходимо получать согласие.

Обработка персональных данных в процессе трудовой деятельности

Правовым основанием обработки персональных данных педагогических работников в большинстве случаев являются абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона, устанавливающие, что согласие субъекта персональных данных на обработку персональных данных, в т. ч. специальных персональных данных, не требуется при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством.

Более детально вопросы, касающиеся обработки персональных данных в связи с трудовой деятельностью, изложены в подготовленных Центром Рекомендациях об обработке персональных данных в связи с трудовой (служебной) деятельностью, которые опубликованы на сайте Центра (короткая ссылка — clck.ru/auFnc).

Требования к оформлению согласия

Если правовым основанием обработки персональных данных является согласие субъекта персональных данных (в отношении несовершеннолетнего — его законного представителя), оно должно соответствовать требованиям, предусмотренным ст. 5 Закона.

В соответствии с п. 1 ст. 5 Закона согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.

Чтобы оценить, является ли согласие свободным, следует исходить из того, обладает ли субъект персональных данных реальным выбором, давать или не давать свое согласие, либо его согласие является вынужденным, например, в силу связанности согласия с достижением иной, желаемой для него цели (например, заключением договора, осуществлением трудовой функции, зачислением в учреждение дошкольного образования).

В целях обеспечения информированного согласия субъекту персональных данных до начала обработки должна быть предоставлена информация, предусмотренная п. 5 ст. 5 Закона.

Центром разработана примерная форма согласия на обработку персональных данных. Данная форма доступна на сайте Центра (короткая ссылка — clck.ru/yG2V2).

***

Таким образом, обработка персональных данных в сфере дошкольного образования может осуществляться на различных правовых основаниях, при этом согласие субъекта персональных данных в большинстве случаев не требуется.

Вместе с тем даже наличие и правильный выбор правовых оснований обработки персональных данных не исключают возможных нарушений Закона. Обращаем внимание, что в соответствии с п. 5 ст. 4 Закона обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. К сожалению, приходится констатировать, что в учреждениях образования встречается избыточная обработка персональных данных, когда учреждения собирают информацию на всякий случай, не задумываясь о реальной необходимости обработки подобной информации.

Для оказания учреждениям образования содействия в надлежащей реализации законодательства о персональных данных Центром подготовлена информация о применении Закона в сфере образования, в которой детально освещены вопросы, связанные с обработкой персональных данных в учреждениях образования, включая правовые основания такой обработки, общие требования к обработке персональных данных, организацию работы по реализации Закона. Указанная информация доступна для скачивания на сайте Центра (короткая ссылка — clck.ru/yG6eZ).