Предоставление и сбор персональных данных: как не нарушить закон

Предоставление персональных данных

В соответствии с абз. 10 ст. 1 Закона Респуб­лики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон) предоставление персональных данных — действия, направленные на озна­комление с персональными данными определенных лица или круга лиц.

Правовыми основаниями предоставления персональных данных могут быть ст. 6 и 8 Закона, а также согласие субъекта персональных данных.

Обработка персональных данных без согласия

Обработка персональных данных осуществляется без согласия субъекта персональных данных, в частности, когда она является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами. Это предусмотрено абз. 20 ст. 6, а в отношении специальных персональных данных — абз. 17 п. 2 ст. 8 Закона. Данные правовые основания применяются и в том случае, если обязанности (полномочия) закреплены в законодательном акте, а порядок их реализации — в принятом в его развитие НПА.

В запросе на предоставление персональных данных обучающихся (воспитанников) или работников запрашивающая организация должна указать цели обработки персональных данных, их объем и содержание, а также правовые основания обработки.

Если правовым основанием выступает абз. 20 ст. 6 или абз. 17 п. 2 ст. 8 Закона, запрашивающей организации необходимо также указать конкретную норму законодательного акта, которая наделяет ее обязанностью (полномочием), требующей обработки персональных данных или специальных персональных данных.

Это важно
Если правовым основанием обработки персональных данных является согласие субъекта персональных данных, то запрос направляется с приложением копии согласия.

Если запрашивается информация в отношении работника, и предоставление персональных данных работника в процессе его трудовой деятельности обусловлено требованиями законодательства, то оно осуществляется на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона.

В отношении уволенных работников правовыми основаниями для предоставления персональных данных без их согласия третьим лицам в зависимости от ситуации могут, в частности, выступать абз. 11 и 20 ст. 6 Закона.

Пример

В соответствии со ст. 75, 76 и 93 Закона Рес­публики Беларусь от 17.04.1992 № 1596-XII «О пенсионном обеспечении» наниматели обязаны представлять в органы, осуществляющие пенсионное обеспечение, необходимые для назначения пенсий документы, а также сведения о приеме пенсионеров на работу (их увольнении).

Нарушения при предоставлении персональных данных

Оценка правовых оснований предоставления персональных данных обучающихся (воспитанников) и работников должна осуществляться учреждениями образования самостоятельно с учетом информации, содержащейся в запросе.

Как показывает практика, зачастую многие учреждения образования допускают нарушения и Закона, и законодательства об образовании, предоставляя персональные данные по любым поступающим в их адрес запросам без их должного критического осмысления с позиции соблюдения требований законодательства.

Пример

В учреждение образования из районного отдела внутренних дел поступил запрос на предоставление списка обучающихся с указанием фамилии, имени, отчества, года рождения, адреса места жительства, номеров мобильного и домашнего телефонов для проведения проф­ориентационной работы.
В иных запросах, поступающих от органов внутренних дел в учреждения образования, указывались такие цели: для формирования у молодежи чувства патриотизма, высокой гражданской ответственности, обеспечения наращивания деятельности правоохранительных структур по предупреждению, выявлению и пресечению преступлений, укреплению межведомственного взаимодействия по созданию высококвалифицированного кадрового потенциала системы Министерства внутренних дел и др.
Принимая во внимание, что запрашиваемая органом внутренних дел информация содержит персональные данные, предоставление таких сведений должно осуществляться с учетом положений Закона. Вместе с тем по результатам проведенного анализа законодательных актов не установлено наличия в них правовых оснований обработки органами внутренних дел персональных данных для перечисленных целей без согласия субъекта персональных данных.

Нарушения при запросе персональных данных

Учреждения образования также могут направлять соответствующие запросы третьим лицам для получения соответствующей информации, например, о работниках или обучающихся (воспитанниках).

Это требует от учреждения образования корректного определения целей получения информации, тщательного определения объема запрашиваемых сведений, правильного выбора правового основания запроса.

Пример

В организацию здравоохранения от учреждения образования поступил запрос с просьбой предоставить информацию о нахождении на лечении их работника для определения уважительности причины его отсутствия на работе. В качестве правового основания учреждение сослалось на п. 3 ч. 1 ст. 55 ТК, обязывающий нанимателя вести учет фактически отработанного работником времени.
Однако абз. 6 ч. 8 ст. 46 Закона Республики Беларусь от 18.06.1993 № 2435-XII «О здравоохранении» не предусматривает предоставления указанной информации по запросам нанимателей.

Особенно часто запрос информации происходит в рамках проводимого в соответствии с Положением о порядке признания детей находящимися в социально опасном положении (утв. постановлением Совета Министров Республики Беларусь от 15.01.2019 № 22 (далее — Положение, постановление № 22)) социального расследования. В таких случаях учреждениям образования также необходимо тщательно подходить к выбору правового основания и действовать в рамках компетенции.

Так, в п. 12 Положения указано, что при проведении социального расследования в соответствии с законодательством осуществляется сбор информации о ребенке (детях) и его родителях, имеющей значение для принятия решения о признании ребенка (детей) находящимся в социально опасном положении.

При этом использование абз. 20 ст. 6 Закона (в отношении специальных персональных данных — абз. 17 п. 2 ст. 8 Закона) не может являться правовым основанием для запроса любых сведений о материальном положении семьи, наличии задолженности по оплате коммунальных услуг, сведений о любых фактах привлечения к административной ответственности и иной информации, не имеющей отношения к оценке критериев и показателей социально опасного положения. Запрос указанных сведений даже при наличии согласия не соответствует требованиям п. 5 ст. 4 Закона (содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки).

Пример 1

Зачастую в отношении законных представителей несовершеннолетних запрашивается информация о правонарушениях, хранящаяся в едином государственном банке данных о правонарушениях.
Оценка критериев и показателей социально опасного положения, указанных в пп. 2 и 3 приложения к постановлению № 22, свидетельствует о том, что для решения вопроса о признании детей находящимися в социально опасном положении имеет значение не каждый факт привлечения к административной ответственности, а только лишь по отдельным статьям КоАП (ст. 10.1, 10.3, 19.1, ч. 2 ст. 19.3, ст. 19.4, 19.5 и 19.8).
При этом в соответствии с ч. 5 ст. 12.12 КоАП по делам об административных правонарушениях, предусмотренных ст. 10.1, 19.1, ч. 2 ст. 19.3, ст. 19.4, 19.5 и 19.8 КоАП, в отношении лиц, имеющих несовершеннолетних детей, органы, наложившие административное взыскание за совершение указанных правонарушений, не позднее следующего дня после вынесения постановления о наложении административного взыскания информируют об этом орган опеки и попечительства по месту жительства этих лиц для обеспечения контроля за положением детей в семье и своевременного принятия мер по защите их прав и законных интересов.

Пример 2

Учреждение образования в рамках проводимого в соответствии с Положением социального расследования запросило в организации здравоохранения сведения о наличии у законного представителя несовершеннолетнего психического расстройства (заболевания).
Организация здравоохранения правомерно отказала учреждению образования в предоставлении запрашиваемых сведений. Ведь в соответствии с ч. 7 ст. 46 Закона о здравоохранении предоставление информации, составляющей врачебную тайну, без согласия пациента или лиц, указанных в ч. 2 ст. 18 данного Закона, допускается по запросу в письменной форме и (или) в виде электронного документа, оформленного в соответствии с законодательством об электронных документах и электронной цифровой подписи, органам и организациям, перечисленным в абз. 2–11 ч. 8 ст. 46 Закона о здравоохранении, а также в иных случаях, установленных законодательными актами (абз. 12 ч. 7 ст. 46 Закона о здравоохранении).

Выводы

Для предоставления и сбора персональных данных у учреждения образования должны быть надлежащие правовые основания.

Обращаем внимание, что за незаконное предоставление или сбор персональных данных установлена ответственность.

В связи с этим, если у учреждения образования возникли обоснованные сомнения относительно правовых оснований предоставления персональных данных, оно вправе запрашивать дополнительную информацию для выполнения требований, предусмотренных ст. 4 Закона, в частности, уточнения целей и, соответственно, объема информации, необходимой для их достижения.

Обращаем также внимание, что ст. 12 Закона закрепляет право субъекта персональных данных получать от оператора информацию о предоставлении своих персональных данных третьим лицам. Наличие у субъекта такого права предполагает обязанность учреждения образования обеспечить учет фактов передачи персональных данных третьим лицам.