Обработка персональных данных в учреждениях образования: правовые основания

В мае – июле 2022 г. Национальным центром защиты персональных данных (далее — Центр) было организовано и проведено восемь онлайн-­практикумов «Оборот персональных данных в образовании: порядок обработки и защиты» для учреждений высшего образования и государственных учреждений, подчиненных Министерству образования, комитета по образованию Мингорисполкома, главных управлений по образованию облисполкомов, учреждений образования г. Минска и областей.

Вопросы, поступившие от участников онлайн-­практикумов, свидетельствуют о заинтересованности в организации работы по исполнению требований Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон о защите ПД). Вместе с тем это позволило выявить и ряд проблем, связанных с исполнением Закона о защите ПД в сфере образования.

Основания для обработки ПД

Существует непонимание и проблема выбора правильного правового основания обработки персональных данных в тех или иных процессах в учреждениях образования.

Исходя из анализа поступивших вопросов, касающихся получения согласия субъекта персональных данных, а также проведенного выборочного мониторинга интернет-ресурсов учреждений образования, приходится констатировать, что во многих учреждениях образования ошибочно воспринята идея о согласии как универсальном правовом основании обработки персональных данных.

Так, разработаны, размещены на интернет-ресурсах и, надо полагать, активно используются формы согласия родителя (законного представителя) на обработку персональных данных в целях осуществления обучения и воспитания в интересах личности, общества, государства, обеспечения охраны здоровья и создания благоприятных условий для разностороннего развития личности и информационного обеспечения управления образовательным процессом (варианты: для обеспечения образовательного процесса, участия в мероприятиях в рамках образовательного процесса, составления отчетов и др.).

В отдельных учреждениях образования распространена практика получения согласия работников учреждений образования на обработку персональных данных в целях ведения личного дела, трудовых книжек, заполнения отчетов, заключения трудовых договоров (контрактов), представления данных (отчетов) в ФСЗН и другие организации, перечисления заработной платы, взаимодействия с обучающимися (законными представителями несовершеннолетнего обучающегося), заключения и использования договоров на оказание платных услуг в сфере образования, организации образовательного процесса, организации пропускного режима.

Вместе с тем в соответствии с ч. 1 п. 3 ст. 4 Закона о защите ПД обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных данным Законом и иными законодательными актами.

Обратите внимание
Статьи 6 и 8 Закона о защите ПД предусматривают значительное число случаев, когда для обработки персональных данных получение согласия не требуется.

Наиболее типичными правовыми основаниями обработки персональных данных в учреждениях образования являются:

• оформление трудовых (служебных) отношений, а также процесс трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством (абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона о защите ПД в отношении специальных персональных данных);
• получение персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором (абз. 15 ст. 6 Закона о защите ПД);
• обработка персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа (абз. 16 ст. 6 Закона о защите ПД);
• обработка персональных данных, необходимая для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6, абз. 17 ч. 2 ст. 8 Закона о защите ПД);
• иные основания, предусмотренные ст. 6 Закона о защите ПД (ст. 8 Закона о защите ПД в отношении специальных персональных данных).

Когда согласие субъекта ПД на обработку ПД не требуется

Рассмотрим правовые основания более подробно.

1. В большинстве случаев вопросы, связанные с организацией обучения и деятельностью участников образовательного процесса, урегулированы законодательными и принятыми на их основании иными НПА в сфере образования.

Обработка персональных данных учреждениями образования осуществляется в таких ситуациях без согласия субъектов персональных данных на основании абз. 20 ст. 6 и абз. 17 п. 2 ст. 8 Закона о защите ПД, т. к. обработка является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (законами, декретами и указами Президента Республики Беларусь).

Кодекс об образовании в ряде случаев прямо предусматривает необходимость представления документов, содержащих персональные данные участников образовательного процесса.

ПРИМЕР
Пунктами п. 2 и п. 12 ст. 151 Кодекса об образовании установлены документы, на основании которых осуществляется прием (зачисление) в учреждение образования для получения общего среднего образования, в школу-­интернат для детей-­сирот и детей, оставшихся без попечения родителей.

В других случаях необходимость представления каких-либо документов напрямую в Кодексе об образовании не предусмотрена, однако на учреждения образования возложены определенные обязанности (полномочия), которые не могут быть реализованы без обработки персональных данных.

ПРИМЕР
В соответствии с подп. 1.21 п. 1 ст. 30 Кодекса об образовании обучающиеся имеют право на участие в олимпиадах, конкурсах, турнирах, фестивалях, конференциях, симпозиумах, конгрессах, семинарах и других образовательных мероприятиях, спортивно-­массовой, общественной, научной, научно-­технической, экспериментальной, инновационной деятельности. Таким образом, участие в олимпиадах, конкурсах и т. п. является частью образовательного процесса. В целях реализации образовательных мероприятий учреждение образования обязано обрабатывать персональные данные участников подобных мероприятий, необходимые для их организации и проведения.

Обработка персональных данных, необходимая для выполнения обязанностей (полномочий), предусмотренных законодательными актами, происходит и в случаях, когда законодательный акт содержит отсылочную норму о том, что порядок реализации обязанностей (полномочий) определяется иными актами, например постановлениями Совета Министров Республики Беларусь. Такие полномочия предоставлены рядом статей Кодекса об образовании, согласно которым Правительство или уполномоченный им орган наделяется правом определять порядок и условия реализации отдельных отношений, возникающих в сфере образования.

ПРИМЕР
Порядок приема (зачисления) лиц для освоения содержания образовательной программы среднего образования определен постановлением Министерства образования Республики Беларусь от 20.12.2011 № 283 «Аб зацвярджэннi Палажэння аб установе агульнай сярэдняй адукацыi».
В соответствии с п. 4 ст. 160 Кодекса об образовании результаты текущей и промежуточной аттестации учащихся заносятся в классный журнал и дневник учащегося. Типовые формы классного журнала, дневника учащегося и порядок их ведения определяются Министерством образования.

2. Согласие субъекта персональных данных на обработку персональных данных не требуется и при осуществлении в отношении него административных процедур учреждениями образования в пределах установленного законодательством объема запрашиваемых документов и (или) сведений. Такая обработка осуществляется на основании абз. 21 ст. 6 Закона о защите ПД с учетом п. 2 ст. 20 Закона Республики Беларусь от 28.10.2008 № 433-З «Об основах административных процедур», а в отношении специальных персональных данных — на основании абз. 13 п. 2 ст. 8 За­кона о защите ПД.

ПРИМЕР
Выдача дубликатов документа об образовании:
• свидетельства об общем базовом образовании;
• аттестата об общем среднем образовании.
Выдача справки о том, что гражданин является обучающимся или воспитанником учреждения образования (с указанием иных необходимых сведений, которыми располагает учреждение образования).
Выдача справки о месте работы и занимаемой должности.

3. В соответствии с абз. 15 ст. 6 Закона о защите ПД согласие субъекта персональных данных на обработку персональных данных не требуется при их получении оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором.

ПРИМЕР
Пунктом 1 ст. 55 Кодекса об образовании установлено, что основанием возникновения образовательных отношений в учреждении образования (организации, реализующей образовательные программы послевузовского образования) является договор, а когда заключение договора не требуется — решение руководителя о приеме (зачислении) лица в учреждение образования (организацию, реализующую образовательные программы послевузовского образования). В п. 2 ст. 59 Кодекса об образовании перечислены виды договоров, на основании которых возникают образовательные отношения. Соответственно, например, при подписании договора о подготовке специалиста с высшим образованием получать согласие не требуется.

При этом объем обрабатываемых оператором персональных данных на основании абз. 15 ст. 6 Закона о защите ПД ограничен теми персональными данными, которые требуются для заключения, изменения, расторжения договора, а также его исполнения. Если оператор получает дополнительные персональные данные, то для обработки таких данных необходимо получать согласие.

4. В соответствии с абз. 16 ст. 6 Закона о защите ПД согласие субъекта персональных данных на обработку персональных данных, за исключением специальных персональных данных, порядок обработки которых установлен ст. 8 данного Закона, не требуется при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа.

ПРИМЕР
Согласно п. 4 ст. 2 Кодекса об образовании учреждения образования в вопросах воспитания на основании письменных заявлений обучающихся (законных представителей несовершеннолетних обучающихся) во внеучебное время могут взаимодействовать с зарегистрированными религиозными организациями.
В соответствии с п. 5 ст. 49 Кодекса об образовании отпуска предоставляются обучающимся на основании их письменных заявлений и оформляются приказом руководителя учреждения образования, организации, реализующей образовательные программы научно-ориентированного образования.

Заявление как основание возникновения тех или иных отношений при реализации образовательного процесса предусмотрено и иными статьями Кодекса об образовании.

5. Правовым основанием обработки персональных данных педагогических работников в большинстве случаев являются абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона о защите ПД, устанавливающие, что согласие субъекта персональных данных на обработку персональных данных, в т. ч. специальных персональных данных, не требуется при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством.

Более детально вопросы, касающиеся обработки персональных данных в связи с трудовой деятельностью, изложены в подготовленных Центром Рекомендациях об обработке персональных данных в связи с трудовой (служебной) деятельностью, которые опубликованы на сайте Центра (короткая ссылка — clck.ru/auFnc).

Требования, которым должно соответствовать согласие субъекта ПД

Если правовым основанием обработки персональных данных является согласие субъекта персональных данных (в отношении несовершеннолетнего — его законного представителя), оно должно соответствовать требованиям, предусмотренным ст. 5 Закона о защите ПД.

В соответствии с п. 1 ст. 5 Закона о защите ПД согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.

Чтобы оценить, является ли согласие свободным, следует исходить из того, обладает ли субъект персональных данных реальным выбором, давать или не давать свое согласие, либо его согласие является вынужденным, например, в силу связанности согласия с достижением иной, желаемой для него цели (например, заключением договора, осуществлением трудовой функции, зачислением в I класс средней школы).

В целях обеспечения информированного согласия субъекту персональных данных до начала их обработки должна быть предоставлена информация, предусмотренная п. 5 ст. 5 Закона о защите ПД.

Также Вы можете ознакомиться со следующей формой документов:
Форма согласия на обработку персональных данных, а также пояснения к ней.

Это важно
Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки (п. 5 ст. 4 Закона о защите ПД).

К сожалению, в учреждениях образования встречается избыточная обработка персональных данных, когда учреждения собирают информацию на всякий случай, не задумываясь о реальной необходимости обработки подобной информации.

Для оказания учреждениям образования содействия в надлежащей реализации законодательства о персональных данных Центром подготовлена информация о применении Закона о защите ПД в сфере образования, в которой детально освещены вопросы, связанные с обработкой персональных данных в учреждениях образования, включая правовые основания такой обработки, общие требования к обработке персональных данных, организацию работы по реализации данного Закона.

Указанная информация доступна для скачивания на сайте Центра по короткой ссылке clck.ru/yG6eZ.