Согласие субъекта персональных данных (далее — ПД) не является универсальным или обязательным условием для обработки ПД.
Анализ правоприменительной практики, обращений, поступающих в Национальный центр защиты персональных данных, выборочный мониторинг сайтов учреждений образования показал, что в учреждениях существуют серьезные проблемы, связанные с выбором правового основания обработки ПД для тех или иных целей.
Руководителю учреждения образования при определении правового основания обработки ПД в учреждении необходимо внимательно изучить ст. 6 и ч. 2 ст. 8Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон). И только в том случае, если ни одно из указанных в них оснований не подходит, можно говорить о том, что необходимо осуществлять обработку ПД на основании согласия.
Между тем согласие родителя (законного представителя) на обработку ПД несовершеннолетнего, формы которого разработаны и предлагаются к подписанию учреждениями образования, не соответствует требованиям Закона ни по форме, ни по содержанию.
Согласно п. 1 ст. 5 Закона согласие на обработку ПД представляет собой свободное выражение воли субъекта ПД.
Во многих формах согласия, используемых учреждениями образования, родителю (законному представителю) или обучающемуся не предоставлена возможность по своему усмотрению отказаться от одной или нескольких целей обработки, а также отозвать согласие в отношении одной или нескольких целей обработки, что не согласуется с требованиями ст. 5 Закона.
Во многих формах согласия встречается следующая цель обработки: для обеспечения образовательного процесса (вариант — в целях осуществления обучения и воспитания). В отдельных случаях учреждения образования предлагали подписать согласие на обработку ПД несовершеннолетнего в целях физического воспитания.
Однако согласие субъекта ПД на их обработку не требуется в случаях, когда это является необходимым для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6, абз. 17 п. 2 ст. 8 Закона).
В подп. 1.21 п. 1 ст. 1 Кодекса об образовании образовательный процесс определен как обучение и воспитание, организованные учреждением образования, организацией, реализующей образовательные программы научно-ориентированного образования, иной организацией, индивидуальным предпринимателем, осуществляющими образовательную деятельность, в целях освоения обучающимися содержания образовательных программ.
Кодекс об образовании в ряде случаев прямо предусматривает представление документов, содержащих ПД участников образовательного процесса, в целях его обеспечения или налагает на учреждения образования определенные обязанности, связанные с обработкой ПД.
В других случаях необходимость представления каких-либо документов напрямую в Кодексе об образовании не предусмотрена, однако на учреждения образования возложены определенные обязанности (полномочия), которые не могут быть реализованы без обработки ПД.
Пример
В соответствии с подп. 1.21 п. 1 ст. 30 Кодекса об образовании обучающиеся имеют право на участие в олимпиадах, конкурсах, турнирах, фестивалях, конференциях, симпозиумах, конгрессах, семинарах и других образовательных мероприятиях, спортивно-массовой, общественной, научной, научно-технической, экспериментальной, инновационной деятельности. Таким образом, участие в данных мероприятиях является частью образовательного процесса. Для организации и проведения образовательных мероприятий учреждение образования обязано обрабатывать ПД их участников.
Как обработка ПД, которая является необходимой для выполнения таких обязанностей (полномочий), рассматриваются и случаи, когда законодательный акт содержит отсылочную норму об определении порядка реализации обязанностей (полномочий) в иных НПА, например постановлениях Совета Министров. Такие обязанности (полномочия) предоставлены рядом статей Кодекса об образовании, согласно которым Правительство или Министерство образования наделяется правом определять порядок и условия реализации отдельных отношений, возникающих в сфере образования.
Пример
Пунктом 4 ст. 160 Кодекса об образовании предусмотрено ведение классных журналов и дневников учащегося. Типовые формы классного журнала, дневника учащегося и порядок их ведения определяются Министерством образования.
Поэтому для обработки ПД, содержащихся в указанных документах, согласие субъекта ПД (его законных представителей) не требуется (обработка будет осуществляться на основании абз. 20 ст. 6 Закона).
В качестве примера можно привести и организацию физического воспитания в школе.
В соответствии с подп. 5.6 п. 5 ст. 17 Кодекса об образовании к числу основных требований к воспитанию относятся воспитание физической культуры, физическое совершенствование.
Согласно абз. 7 ст. 83 Кодекса об образовании организация безопасности проведения занятий физической культурой и спортом с обучающимися осуществляется в соответствии с Правилами безопасности проведения занятий физической культурой и спортом (утв. постановлением Министерства спорта и туризма Республики Беларусь от 31.08.2018 № 60).
Таким образом, в большинстве случаев вопросы, связанные с организацией обучения, обеспечением образовательного и воспитательного процессов и деятельностью его участников урегулированы в Кодексе об образовании и принятых на его основании НПА.
Поэтому обработка ПД в таких случаях будет осуществляться на основании абз. 20 ст. 6 либо абз. 17 п. 2 ст. 8 Закона, и согласие субъекта ПД (его законных представителей) не требуется.
Сказанное касается и цели участия учащихся в общественных организациях, поскольку в данной ситуации невозможно оценить, о каких именно организациях идет речь, подпадает ли их деятельность под требования законодательства об образовании (например, ст. 109 Кодекса об образовании) или в отношении общественных организаций установлено самостоятельное правовое регулирование.
Как правило, общественные организации (БРСМ, пионерские и иные организации) являются самостоятельными операторами и осуществляют обработку ПД субъекта ПД для собственных (уставных) целей. Соответственно, они должны сами определять правовые основания обработки ПД своих членов, исходя из своих уставных целей и задач и, если требуется, самостоятельно получать от них согласие на обработку ПД. Учреждение образования в таком случае не имеет отношения к обработке ПД, осуществляемой общественными организациями.
В процессе трудовой (служебной) деятельности необходимость обработки ПД возникает регулярно. Во многих случаях обработка ПД прямо предусматривается в актах законодательства, равно как и перечень обрабатываемых ПД либо формы (образцы) документов.
В соответствии с абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона согласие субъекта ПД на обработку ПД, в т. ч. специальных ПД, не требуется при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта ПД в случаях, предусмотренных законодательством.
Однако несмотря на наличие данного правового основания, некоторые учреждения образования все же предлагали работникам подписать согласие на обработку ПД в различных целях.
Вместе с тем ТК в отдельных случаях прямо указывает перечень документов, которые подлежат обработке нанимателем.
Пример
Статьей 26 ТК установлен перечень документов, которые наниматель обязан потребовать, а гражданин должен предъявить нанимателю при заключении трудового договора.
Кроме указанных в данной статье к таким документам относятся и другие документы о подтверждении иных обстоятельств, имеющих отношение к работе, если их предъявление предусмотрено законодательными актами.
Так, в соответствии с подп. 2.5 п. 2 ст. 21 Кодекса об образовании педагогическую деятельность не могут осуществлять лица, имеющие медицинские противопоказания к осуществлению педагогической деятельности. В связи с этим подп. 1.7 п. 1 ст. 53 Кодекса об образовании установлена обязанность педагогических работников проходить предварительный (при поступлении на работу) и периодические (в течение трудовой деятельности) обязательные медицинские осмотры.
Не требуется согласие на обработку ПД и в тех случаях, когда их обработка и их перечень прямо не называются в акте законодательства, но на нанимателя возлагаются определенные обязанности, требующие использования ПД.
Пример
Трудовой кодекс Республики Беларусь возлагает на нанимателя обязанность выдавать заработную плату в сроки и размерах, установленных законодательством, коллективным договором, соглашением или трудовым договором. Соответственно, работник должен открыть в банке счет и представить эту информацию нанимателю для последующего зачисления заработной платы.
Предоставление ПД работников третьим лицам, т. е. действие, направленное на ознакомление с ПД определенных лица или круга лиц, также является обработкой ПД и должно осуществляться с соблюдением установленных Законом требований, в т. ч. при наличии соответствующего правового основания.
Пример
Налоговым кодексом Республики Беларусь установлена обязанность налоговых агентов представлять по требованию налоговых органов документы и (или) информацию, необходимые для осуществления контроля за правильностью исчисления, удержания и перечисления в бюджет соответствующих налогов, сборов (пошлин) (подп. 3.3 п. 3 ст. 23).
Статьей 10 Закона Республики Беларусь от 06.01.1999 № 230-З «Об индивидуальном (персонифицированном) учете в системе государственного социального страхования» установлена обязанность плательщиков взносов на государственное социальное страхование представлять в установленном порядке в органы, осуществляющие персонифицированный учет, достоверные сведения, необходимые для ведения персонифицированного учета.
Соответственно, если предоставление ПД работника в процессе его трудовой деятельности обусловлено требованиями законодательства, то оно осуществляется на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона.
В учреждения образования периодически поступают запросы из различных государственных органов и организаций (управления и отделы образования, правоохранительные органы и др.) о предоставлении ПД учащихся, их законных представителей или работников учреждения образования. При этом в запросе на получение соответствующих сведений должны быть указаны цели обработки, объем и содержание запрашиваемых ПД, а также правовые основания обработки ПД (со ссылкой на структурный элемент НПА).
Таким образом, если у управлений (отделов) образования, правоохранительных органов и других субъектов, направляющих запросы о предоставлении ПД учащихся, родителей, преподавателей, имеются правовые основания их получения, предусмотренные ст. 6 и п. 2 ст. 8 Закона, то учреждение образования вправе их предоставить без согласия субъекта ПД.
При отсутствии правовых оснований, предусмотренных ст. 6 и п. 2 ст. 8 Закона, ПД не могут быть предоставлены без согласия субъекта ПД.
В отдельных случаях учреждения образования получали согласие педагогического работника на обработку его ПД для осуществления взаимодействия с обучающимися, законными представителями. Однако такое взаимодействие предполагается при осуществлении образовательного процесса. Более того, Кодексом об образовании предусмотрены различные формы такого взаимодействия. Оно охватывается трудовой функцией педагогического работника, поэтому получать согласие на обработку ПД для реализации данной цели не требуется.
Согласно п. 1 ст. 130 Кодекса об образовании учреждения образования могут осуществлять приносящую доходы деятельность в соответствии с актами законодательства.
В соответствии с п. 1 ст. 59 Кодекса об образовании для оказания услуг в сфере образования при реализации образовательных программ на платной основе заключается договор, например, на проведение дополнительных занятий по отдельному предмету (предметам), на иные платные услуги и др. При этом одной из сторон договора выступает учреждение образования. На педагогических работников в таких случаях возлагается обязанность осуществления указанных видов деятельности, исходя из педагогической нагрузки.
Согласие родителей (законный представителей) или самих несовершеннолетних в таком случае не требуется (абз. 15 ст. 6 Закона).
Таким образом, процесс заключения договоров на оказание платных услуг в сфере образования, а также их исполнение могут рассматриваться в качестве трудовой функции работника, поскольку указанные договоры направлены на получение доходов от оказания образовательных и иных услуг учреждением образования.
В отдельных случаях учреждение образования для оказания подобных платных услуг может привлекать педагогов по договору подряда. Сторонами таких договоров выступают учреждение образования и педагог, а предметом договоров является оказание образовательных услуг.
В подобных случаях получение согласия педагога также не требуется, поскольку правовым основанием обработки является абз. 15 ст. 6 Закона (получение ПД оператором на основании договора, заключенного (заключаемого) с субъектом ПД, в целях совершения действий, установленных этим договором).
Под пропускным режимом понимается порядок, обеспечиваемый совокупностью мероприятий и правил, исключающих возможность бесконтрольного входа (выхода) лиц, въезда (выезда) транспортных средств, вноса (выноса), ввоза (вывоза) имущества на охраняемые объекты (с охраняемых объектов), устанавливаемый в целях защиты охраняемых объектов от противоправных посягательств (абз. 10 ст. 1 Закона Республики Беларусь от 08.11.2006 № 175-З «Об охранной деятельности в Республике Беларусь»).
Что касается видеонаблюдения, то согласно подп. 5.2 п. 5 Указа Президента Республики Беларусь от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка» облисполкомы и Минский горисполком по представлению республиканских органов государственного управления, являющихся пользователями системы видеонаблюдения, Департамента финансовых расследований Комитета государственного контроля, Службы безопасности Президента и Оперативно-аналитического центра при Президенте утверждают перечни объектов, подлежащих обязательному оборудованию средствами системы видеонаблюдения с учетом критериев, утверждаемых Советом Министров. В числе таких объектов значатся и учреждения образования.
Таким образом, пропускная система и видеонаблюдение рассматриваются в качестве мероприятий, направленных на исключение бесконтрольного входа (выхода) на охраняемый объект. Обработка ПД в таких случаях осуществляется на основании абз. 20 ст. 6 Закона.
Обратите внимание
Обрабатываемые работниками охраны ПД не должны быть избыточными по отношению к цели их обработки.
В связи с этим, например, использование интеллектуальных систем распознавания лиц, иных подобных систем контроля и управления доступом не соответствует требованиям Закона. Применение таких систем для целей контроля посещений учреждений образования сопровождается обработкой биометрических ПД, которые в соответствии с абз. 12 ст. 1 Закона являются специальными ПД. При этом обрабатываются биометрические ПД особо уязвимой категории — несовершеннолетних.
Применение этих систем требует выбора надлежащего правового основания обработки ПД. Избрание в качестве такого основания согласия предполагает наличие веского обоснования в части сочетания его свободного характера и реализации прав отказавшихся.
Использование согласия субъекта ПД как правового основания обработки ПД не всегда отвечает требованиям, предусмотренным п. 1 ст. 5 Закона, поскольку возникает вопрос о том, соответствует ли полученное согласие критерию свободного согласия.
Кроме того, если часть работников или обучающихся не выразит согласия на обработку своих биометрических ПД, такой категории необходимо обеспечить иные условия доступа в учреждение образования.
Таким образом, поскольку цель обработки — осуществление пропускного режима — может быть достигнута иными способами, в т. ч. путем использования карточной системы, наличия вахтера и т. п., при применении интеллектуальных систем распознавания лиц и иных подобных систем контроля и управления доступом усматривается несоответствие цели их применения Закону.
Исходя из проведенного анализа форм согласия на обработку ПД, используемых учреждениями образования, в частности, целей такой обработки, можно констатировать, что учреждения образования не всегда верно выбирают правовое основание для обработки ПД.
Обработка может осуществляться на различных правовых основаниях, при этом согласие субъекта ПД в большинстве случаев не требуется.
Это важно
Обработка ПД осуществляется без согласия субъекта ПД в случаях, предусмотренных ст. 6 и 8 Закона.
