О применении Закона Республики Беларусь
от 7 мая 2021 г. № 99-З
”О защите персональных данных“
Национальный центр защиты персональных данных (далее – Центр) рассмотрел обращение о проблемных вопросах применения учреждениями образования законодательства о персональных данных. Ответы на ряд из них содержатся в информации о применении Закона Республики Беларусь от 7 мая 2021 г. № 99-З ”О защите персональных данных“ в сфере образования, направленной письмом от 24 августа 2022 г. № 05/196. В дополнение сообщаем следующее.
1.1. Об обработке персональных данных на основании согласия.
Согласие субъекта персональных данных представляет собой самостоятельное правовое основание обработки персональных данных, подтверждающее добровольное решение гражданина предоставить их для определенных целей.
Обработка персональных данных осуществляется без согласия субъекта персональных данных в случаях, предусмотренных статьями 6 и 8 Закона Республики Беларусь от 7 мая 2021 г. № 99-З ”О защите персональных данных“ (далее – Закон). Получение согласия в этих ситуациях является избыточной обработкой персональных данных и влечет административную ответственность по статье 23.7 КоАП.
Так, например, о невозможности обработки персональных данных на основании согласия может свидетельствовать, в частности, то, что его отзыв сам по себе не влечет прекращения обработки персональных данных.
Сам по себе факт получения согласия не делает обработку персональных данных законной, если не соблюдаются определенные Законом критерии его получения.
Оно должно быть свободным, однозначным, информированным. Только при соблюдении этих критериев в совокупности согласие на обработку персональных данных признается действительным.
Согласие является свободным, когда субъект самостоятельно, руководствуясь собственным внутренним убеждением, выражает свою волю в отношении обработки персональных данных. Данное требование означает недопустимость понуждения субъекта к даче такого согласия под угрозой наступления для него неблагоприятных последствий.
При оценке, является ли согласие свободным, следует исходить из того, обладает ли субъект персональных данных реальным выбором давать свое согласие либо его согласие является вынужденным.
Пример.
Несоблюдение свободного характера согласия имеет место, например, при получении согласия работника на обработку персональных данных в процессе трудовой деятельности, для целей обучения, воспитания, при включении согласия в качестве обязательного условия в договор, получении единого согласия на достижение не связанных между собой целей, в случае невозможности отзыва согласия без ухудшения положения субъекта персональных данных, а также когда обработка конкретных персональных данных является обязательным условием получения определенной услуги.
В случае объективной потребности в получении согласия на достижение нескольких, не связанных между собой целей, оператору следует обращаться к субъекту персональных данных за получением отдельного согласия на каждую из таких целей (принцип ”одна цель – одно согласие“). При этом субъект персональных данных вправе давать свое согласие исключительно на те цели, которые посчитает нужными.
С целью реализации требований к свободному согласию оператору (учреждению образования) необходимо предоставить субъекту персональных данных право выбора конкретных целей обработки персональных данных, с которыми он согласен или не согласен, а также указать категории персональных данных, обрабатываемые применительно к каждой из этих целей.
Таким образом, субъект персональных данных должен иметь возможность согласиться или не согласиться как с одной, так и с несколькими целями обработки. Цели обработки персональных данных в таких случаях разделяются на соответствующие ”чек-боксы“, в которых субъект персональных данных может выразить свое согласие путем проставления отметки (галочки).
Согласие является однозначным, когда дается путем совершения четкого намеренного действия.
Пример.
Не соответствуют критерию однозначности получение согласияпутем молчания или бездействия субъекта персональных данных: например, ”продолжая пользоваться сайтом, Вы даете согласие на обработку персональных данных“.
Согласие должно быть также информированным.Его даче должно предшествовать предоставление субъекту всей необходимой и достоверной информации о целях обработки, об обрабатываемых данных, учреждении образования и иных лицах, которые будут осуществлять обработку, сроке обработки и другой необходимой информации. Не допускается использование обобщающих целей: ”обеспечение исполнение законодательства Республики Беларусь“, ”осуществление уставной деятельности“, ”осуществление взаимодействия с законными представителями несовершеннолетних“ и др.
Предоставляемая учреждением образования информация должна позволять субъекту получить ответы на вопросы: кто, зачем, какие данные, каким образом и в течение какого срока будет обрабатывать.
Таким образом, чтобы согласие было информированным, учреждению образования необходимо до получения согласия соблюсти обязанность по предоставлению субъекту персональных данных информации, содержащейся в пункте 5 статьи 5 Закона, простым и ясным языком разъяснить этому субъекту его права, связанные с обработкой персональных данных, механизм их реализации, а также последствия дачи согласия или отказа в даче такого согласия.
Данная информация должна быть предоставлена в той же форме, что и форма получения согласия.
Анализ правоприменительной практики, обращений, поступающих в Центр, выборочный мониторинг сайтов учреждений образования показал наличие серьезных проблем, связанных с выбором правового основания для обработки персональных данных для тех или иных целей. При этом анализ форм согласия, например, родителя (законного представителя) на обработку персональных данных несовершеннолетнего, предлагаемых к подписанию рядом учреждений образования, отражает несоответствие его требованиям Закона ни по форме, ни по содержанию.
Указанные нарушения в отношении собираемых согласий можно подразделить на две группы. Первая – когда для обработки персональных данных имеются обязанности (полномочия), установленные законодательным актом. В таком случае получение согласия влечет избыточную обработку персональных данных.
Пример.
Во многих формах согласия встречались следующие цели обработки: для обеспечения образовательного процесса (вариант – в целях осуществления обучения и воспитания), в целях физического воспитания, ведения классных журналов и дневников учащегося, участие в олимпиадах, конкурсах, турнирах, фестивалях, конференциях, симпозиумах, конгрессах, семинарах и других образовательных мероприятиях, спортивно-массовой, общественной, научной, научно-технической, экспериментальной, инновационной деятельности и ряд иных целей, для которых персональные данные должны обрабатываться на правовых основаниях, установленных статьей 6 или пунктом 2 статьи 8 Закона.
В этой связи отмечаем, что получать согласие при организации вступительной кампании, при зачислении в учреждения образования (например, при поступлении 1 класс средней школы (статья 151 Кодекса об образовании Республики Беларусь (далее – Кодекс)), при поступлении в ВУЗ (статья 208 Кодекса) и т.п.) не требуется. Обработка персональных данных осуществляется в таких случаях на основании абзаца двадцатого статьи 6 Закона.
Вторая группа – когда берется общее (единое) согласие на различные цели, при этом не обеспечивается свободный и информированный характер согласия. В итоге – соответствующая обработка персональных данных нарушает требования Закона.
Отмечаем, что форма согласия на обработку персональных данных разработана Центром и доступна для применения по адресу: https://cpd.by/forma-soglasija-na-obrabotku-personalnyh-dannyh-razrabotana-centrom/. Предлагается применять ее в качестве основы и дорабатывать с учетом специфики образовательной деятельности.
1.2. О хранении согласий.
Согласно пункту 7 статьи 5 Закона обязанность доказывания получения согласия субъекта персональных данных возлагается на оператора.
Поэтому получение согласия следует организовать таким образом, чтобы учреждение образования в любой момент могло подтвердить данный факт. Механизм подтверждения получения согласия субъекта персональных данных определяется учреждением образования самостоятельно.
При этом в случае получения согласия субъекта персональных данных в письменной форме или форме электронного документа учреждению образования следует вести учет полученных согласий. Не обязательно хранить все полученные согласия централизованно, в одном месте. Например, хранение согласий соответствующим подразделением, ответственным за реализацию конкретных процессов или функций, не является нарушением Закона.
Постановлением Министерства юстиции Республики Беларусь от 11 января 2023 г. № 1 внесены изменения в постановление Министерства юстиции Республики Беларусь от 24 мая 2012 г. № 140 ”О перечне типовых документов“. Так, глава 2 перечня типовых документов, образующихся в процессе деятельности государственных органов, иных организаций и индивидуальных предпринимателей, дополнена положением о том, что согласия субъектов персональных данных на обработку их персональных данных хранятся 1 год после окончания срока, на который дается согласие.
1.3. О предоставлении персональных данных третьим лицам.
Согласно пункту 3 статьи 4 Закона обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных в статьях 6 и 8 Закона.
В частности, обработка персональных данных осуществляется без согласия субъекта персональных данных, когда она является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абзац двадцатый статьи 6, в отношении специальных персональных данных – абзац семнадцатый пункта 2 статьи 8 Закона). Данное правовое основание применяется и в том случае, если обязанности (полномочия) закреплены в законодательном акте, а порядок их реализации – в принятом в его развитие нормативном правовом акте.
Цели обработки персональных данных, объем и содержание запрашиваемых персональных данных, а также правовые основания на обработку персональных данных учащихся (со ссылкой на структурный элемент нормативного правового акта) должны быть указаны в запросе на получение соответствующих сведений.
При отсутствии правовых оснований, предусмотренных статьей 6 и пунктом 2 статьи 8 Закона (не указание их в запросе), персональные данные не могут быть предоставлены без согласия на обработку персональных данных учащихся или их законных представителей. Ответственность за предоставление сведений об учащихся несет учреждение образования.
Пример.
Ввиду поступающих от учреждений образования обращений Центром проводился анализ законодательных актов на предмет наличия правовых норм, уполномочивающих заинтересованные органы на обработку (предоставление персональных данных учреждениями образования) персональных данных (сведения о фамилии, имени, отчестве, дате рождения, контактном телефоне и т.д.) учащихся, студентов и выпускников без их согласия для целей формирования кадрового состава этих органов, по результатам которого соответствующие правовые нормы не найдены.
Следовательно, в отсутствие правового основания указанные цели могут быть достигнуты упомянутыми органами путем проведения в учреждениях образования встреч со школьниками, студентами и иных мероприятий, направленных на доведение информации до заинтересованных лиц, ознакомление их с работой этих органов, в рамках которых они самостоятельно могут предоставить свои персональные данные в случае заинтересованности поступления на работу (службу) в соответствующие органы.
Поскольку учреждение образования несет ответственность за несоблюдение требований Закона, в случае, если у него возникли обоснованные сомнения относительно правовых оснований предоставления персональных данных, оно вправе запрашивать дополнительную информацию для выполнения требований, предусмотренных статьей 4 Закона, в частности, уточнения целей и, соответственно, объема информации, необходимой для их достижения.
1.4.Об обработке персональных данных при организации учета детей в целях получения ими общего среднего, специального образования.
Порядок учета детей в целях получения ими общего среднего, специального образования на уровне общего среднего образования, а также механизм взаимодействия учреждений общего среднего образования с иными организациями в процессе осуществления такого учета (далее – учет детей) регламентирован Инструкцией о порядке учета детей в целях получения ими общего среднего, специального образования, утвержденной постановлением Министерства образования Республики Беларусь от 24 августа 2022 г. № 285 ”О порядке учета детей в целях получения ими общего среднего, специального образования“ (далее – Инструкция), в рамках реализации полномочий, предоставленных абзацем семнадцатым статьи 101 Кодекса.
Инструкцией определен порядок взаимодействия местных исполнительных и распорядительных органов, управлений (отделов) образования, учреждений образования и организаций, осуществляющих учет, расчет и начисление платы за жилищно-коммунальные услуги и платы за пользование жилым помещением по вопросу предоставления информации о детях в возрасте до 18 лет, зарегистрированных по месту жительства либо по месту пребывания на территории микрорайона (далее – информация о детях).
Так, в частности, пунктом 7 Инструкции на организации, осуществляющие учет, расчет и начисление платы за жилищно-коммунальные услуги и платы за пользование жилым помещением, возлагается обязанность представлять информацию о детях (фамилия, собственное имя, отчество (если таковое имеется), дата рождения, адрес регистрации) в соответствующие учреждения общего среднего образования до 15 января и до 15 августа ежегодно по месту расположения тех учреждений общего среднего образования, за которыми закреплены микрорайоны.
Сельский (поселковый) исполнительный комитет в течение учебного года сообщает соответствующим учреждениям общего среднего образования о детях, прибывших в населенные пункты, расположенные на подведомственных им территориях.
Пунктами 8–9 Инструкции определены полномочия учреждений образования по проверке факта получения образования детьми, проживающими на территории определенных микрорайонов, по уведомлению иных учреждений общего среднего образования о детях, которые получают образование в данном учреждении общего среднего образования, но проживающих на территории других микрорайонов, по предоставлению в управления (отделы) образования уточненных списков детей, проживающих на территории микрорайона.
Пунктом 10 Инструкции закреплены полномочия управлений (отделов) образования по осуществлению учета детей и взаимодействия по данному вопросу с другими субъектами.
В этой связи обработка персональных данных несовершеннолетних в виде передачи персональных данных детей, подлежащих учету, осуществляется без согласия законных представителей субъектов персональных данных на основании абзаца двадцатого статьи 6 Закона.
1.5. Об обработке персональных данных при оказании психологической помощи обучающимся.
Статьей 83 Кодекса предусмотрено, что одним из основных требований к организации образовательного процесса является обеспечение социально-педагогической поддержки обучающихся и оказания им психологической помощи.
Порядок такой поддержки и оказания помощи определен Положением о социально-педагогической и психологической службе учреждения образования (иной организации, индивидуального предпринимателя, которым в соответствии с законодательством предоставлено право осуществлять образовательную деятельность), утвержденным постановлением Министерства образования Республики Беларусь от 25 июля 2011 г. № 116 (далее – Положение).
Согласно пункту 13 Положения социально-педагогическая и психологическая служба учреждения образования оказывает социально-педагогическую помощь несовершеннолетним обучающимся с согласия и во взаимодействии с родителями или другими законными представителями обучающихся, с учетом мнения самого несовершеннолетнего. При этом согласие, указанное в пункте 13 Положения, не является согласием на обработку персональных данных в соответствии с Законом.
Положением также предусмотрено, что оказание психологической помощи участникам образовательного процесса осуществляется в порядке, установленном Законом Республики Беларусь от 1 июля 2010 г. № 153-З ”Об оказании психологической помощи“ (далее – Закон об оказании психологической помощи).
Согласно статье 18 Закона об оказании психологической помощи психологическая помощь гражданину оказывается с его согласия, а несовершеннолетним в возрасте до четырнадцати лет – также с согласия одного из законных представителей, за исключением случаев, предусмотренных частью второй этой статьи.
Так, при оказании психологической помощи несовершеннолетним в возрасте до четырнадцати лет согласие законных представителей не требуется:
при установлении фактов жестокого обращения, физического, психического, сексуального насилия в отношении несовершеннолетнего;
в случае признания несовершеннолетнего находящимся в социально опасном положении, в том числе нуждающимся в государственной защите;
при оказании психологической помощи в виде психологического просвещения и психологической профилактики в учреждениях образования и организациях здравоохранения;
в случае принудительного оказания медицинской помощи несовершеннолетним, страдающим психическими и поведенческими расстройствами, в государственных учреждениях здравоохранения;
несовершеннолетним, оказавшимся в чрезвычайной ситуации природного и техногенного характера;
несовершеннолетним, находящимся в специальных лечебно-воспитательных учреждениях, специальных учебно-воспитательных учреждениях;
при обращении несовершеннолетнего за оказанием психологической помощи анонимно (часть вторая статьи 18 Закона об оказании психологической помощи).
Таким образом, при наличии согласия на осуществление социально-педагогической поддержки обучающихся и оказание психологической помощи, а также в случаях, предусмотренных частью второй статьи 18 Закона об оказании психологической помощи или иными законодательными актами и принятыми в их развитие другими нормативными правовыми актами, учреждение образование может осуществлять обработку персональных данных на основании абзаца двадцатого статьи 6 и абзаца семнадцатого пункта 2 статьи 8 Закона.
1.6. Об обработке персональных данных при ведении электронных дневников и журналов.
Пунктом 4 статьи 160 Кодекса предусмотрено ведение классных журналов и дневников учащегося. Их типовые формы и порядок ведения определяются Министерством образования.
Так, постановлением Министерства образования от 17 августа 2022 г. № 267 ”О типовых формах дневника учащегося“ установлены типовые формы дневника учащегося III–IV классов и V–XI классов на русском и белорусском языках.
В соответствии с постановлением Министерства образования Республики Беларусь от 27 декабря 2017 г. № 164 ”Об установлении перечня документов, обязательных для ведения отдельными педагогическими работниками, и исключения практики привлечения педагогических работников к выполнению работ, не относящихся к выполнению их трудовых функций“ дневники учащихся и классные журналы включены в перечень документов, обязательных для ведения учителями.
Учреждение образования обязано вести классные журналы, вносить в них сведения, в том числе персональные данные, в соответствии с установленной формой журналов.
При этом оператор (учреждение образования) может выбирать: осуществлять такую обработку в бумажном виде или с использованием средств автоматизации (типичным примером является информационный ресурс schools.by).
Таким образом, обработка персональных данных учреждениями образования для целей ведения электронного дневника и журнала осуществляется без согласия субъекта персональных данных (его законных представителей) на основании абзаца двадцатого статьи 6 Закона в целях реализации обязанностей (полномочий), предусмотренных законодательными актами.
Справочно.
Согласно информации, полученной от Министерства образования, порядок регистрации учреждения образования и пользователей на платформе schools.by (далее, если не определено иное, – Система) осуществляется следующим образом:
директор учреждения образования заполняет форму заявки, размещенную на странице https://schools.by/request, администратор Системы рассматривает ее и осуществляет подключение с дальнейшим уведомлением на адрес электронной почты, указанный в заявке. Письмо содержит пригласительный код руководителя, с помощью которого он проходит регистрацию в Системе;
директором учреждения образования назначается ответственное лицо (далее – Модератор). Модератор получает расширенные права доступа и осуществляет внесение персональных данных сотрудников, учеников и их родителей (далее – Пользователи) в Систему. После внесения данных Система автоматически генерирует пригласительный код, а Модератор осуществляет передачу пригласительного кода Пользователю доступным ему способом;
Пользователь использует пригласительный код и создает собственный логин и пароль, с помощью которых осуществляет вход в Систему.
По итогам прохождения подготовки к внедрению Системы между учреждением образования и ООО ”Образовательные системы“ заключается договор о предоставлении информационных услуг на базе информационного ресурса schools.by.
Таким образом, учреждение образования осуществляет сбор и внесение персональных данных Пользователей и является в целях Закона оператором, а ООО ”Образовательные системы“ осуществляет обработку персональных данных Пользователей и является уполномоченным лицом.
При этом за действия уполномоченного лица несет ответственность в полном объеме оператор, который передал персональные данные этому лицу.
В отношении осуществления взаимодействия с информационным ресурсом и реализации прав законных представителей учащихся отмечаем следующее.
Размещенное на информационном ресурсе (https://schools.by/terms) пользовательское соглашение, представляющее собой публичную оферту в соответствии со статьей 396 Гражданского кодекса Республики Беларусь (далее – ГК), содержит условия предоставления пользователям доступа к этому информационному ресурсу, в том числе в части использования их персональных данных.
Кроме того, на информационном ресурсе schools.by размещен договор возмездного оказания информационных услуг (далее – договор), который является публичным (https://schools.by/offer).
Заключение договора производится путем присоединения физического лица (далее – Заказчик) к данному договору, т.е. посредством принятия (акцепта) Заказчиком условий договора в целом, без каких-либо условий, изъятий и оговорок. При этом в роли Заказчика в данной ситуации выступают родители, которые являются Пользователями информационного ресурса schools.by.
Подпунктом 5.1.1 пункта 5 договора установлено, что оплачиваемыми услугами являются все услуги, включенные в Расширенный сервис (пакет) информационного ресурса schools.by. Услуги Базового сервиса (пакета) информационного ресурса schools.by предоставляются Заказчику безвозмездно.
Таким образом, правовым основанием обработки персональных данных при регистрации законного представителя учащегося на информационном ресурсе schools.by и при предоставлении платного доступа к Расширенному сервису выступает абзац пятнадцатый статьи 6 Закона. Согласие на обработку персональных данных для указанных целей получать не требуется.
При этом ООО ”Образовательные системы“ (информационный ресурс schools.by) при реализации Расширенного пакета услуг осуществляет обработку персональных данных Пользователей самостоятельно и является в этих ситуациях оператором.
1.7.Об обработке персональных данных для целей изготовления и выдачи билета учащегося.
В соответствии с частью первой пункта 2 статьи 29 Кодекса обучающимся на период освоения ими содержания образовательных программ могут выдаваться, а в случаях, предусмотренных Кодексом, выдаются документы, подтверждающие статус обучающегося (билетучащегося, студенческий билет, иной документ). При этом документ, подтверждающий статус обучающегося, может быть многофункциональным.
Частью второй пункта 2 статьи 29 Кодекса установлено, что решение о выдаче обучающимся документов, подтверждающих статус обучающегося, в случаях, когда выдача таких документов не является обязательной в соответствии с Кодексом, принимается руководителем учреждения образования.
В силу предоставленных законодательным актом полномочий или при принятии решения о внедрении в учреждении образования билета учащегося, учреждение образования организует процесс обработки персональных данных в целях его оформления. В этой связи обработка персональных данных осуществляется без согласия субъекта персональных данных (его законных представителей) на основании абзаца двадцатого статьи 6 Закона. При этом учреждение образования выступает оператором и обязано при осуществлении процедуры выдачи ученического билета руководствоваться требованиями Закона.
Справочно.
В г. Минске реализуется проект о внедрении в учреждении образования билета учащегося ”Ученический билет“ в электронной форме.
Эмитентом ученического билета выступает ОАО ”Белинвестбанк“. Правовым основанием взаимодействия учреждений образования и ОАО ”Белинвестбанк“ является Соглашение о внедрении билета учащегося с платежным инструментом ”Ученический билет“ в учреждениях общего среднего образования от 15 июля 2022 г., заключенное между Банком и Комитетом по образованию Мингорисполкома.
ОАО ”Белинвестбанк“ в отношениях по изготовлению ученического билета выступает в качестве уполномоченного лица. При этом, так как получение оператором согласия на обработку персональных данных не требуется, поскольку обработка осуществляется на основании абзаца двадцатого статьи 6 Закона, то, соответственно, не требуется получение согласия на привлечение к обработке персональных данных уполномоченного лица.
Таким образом, обработка персональных данных для целей изготовления ученического билета как документа, подтверждающего статус обучающегося, осуществляется без согласия субъекта персональных данных на основании абзаца двадцатого статьи 6 Закона.
Вместе с тем, учреждения образования должны обеспечить прозрачность обработки персональных данных для указанных целей путем отражения соответствующей информации в Политике оператора. В частности, в ней следует указать, какие персональные данные обрабатываются и кому передаются.
Что касается подключения к ученическому билету иных функций, то в зависимости от целей их осуществления и объема обрабатываемых в связи с этим персональных данных, правовым основанием обработки персональных данных может выступать:
согласие субъекта персональных данных, полученное в соответствии с требованиями пункта 1 статьи 5 Закона (о критериях согласия подробнее см. пункт 1 настоящего письма), когда подключение соответствующих услуг осуществляется учреждением образования;
если подключение дополнительных функций осуществляется учащимся или его законными представителями самостоятельно, вопрос наличия правового основания в связи с этим должен определяться в каждом конкретном случае оператором, предлагающим соответствующие услуги.
Оказание любого давления на субъекта персональных данных в связи с получением его согласия не допускается, является нарушением Закона и может привести к признанию обработки персональных данных незаконной. В случае отказа субъекта подписать согласие на обработку персональных данных для целей подключения дополнительных функций к ученическому билету (сервисы ”Оплати“, ”Умный буфет“ и др.), персональные данные не должны передаваться учреждениями образования операторам указанных сервисов.
1.8.Об обработке персональных данных при организации питания учащихся.
В соответствии с подпунктом 1.2 пункта 1 статьи 38 Кодекса обеспечение питанием является мерой социальной защиты обучающихся. В силу требований подпункта 4.10 пункта 4 статьи 19 и статьи 40 Кодекса учреждения образования обязаны обеспечиватьсоздание необходимых условий для организациипитания.
Питание обучающихся обеспечивается юридическими лицами и индивидуальными предпринимателями, осуществляющими общественное питание на территории Республики Беларусь (далее – субъекты общественного питания), либо учреждениями образования, иными организациями, индивидуальными предпринимателями, которым в соответствии с актами законодательства предоставлено право осуществлять образовательную деятельность, в объектах общественного питания (столовые, столовые-раздаточные, буфеты, кафе), размещаемых, как правило, в учреждениях образования.
Поскольку подходы в организации школьного питания на практике различаются, важно четко определять роль каждого участника данного процесса, обрабатывающего в связи с этим персональные данные, и правовые основания для обработки персональных данных.
Рассмотрим вопросы обработки персональных данных при организации питания учащихся на примере г. Минска.
Государственное предприятие ”Комбинат школьного питания города Минска“ (далее – КШП) обеспечивает организацию питания обучающихся в школах и гимназиях г. Минска.
Передача персональных данных учащихся из учреждения образования в КШП производится на основании договоров КШП с учреждениями образования. Также в рамках указанных договоров передаются ФИО и номера телефонов учителей (администраторов) школ для доступа к личным кабинетам с целью управления процессами учета питания.
Процесс организации, обеспечения, учета и контроля питания учащихся в учреждениях образования г. Минска автоматизирован с применением информационного и платежного сервиса по автоматизированному учету и расчетам за платное питание в учреждениях общего среднего образования СООО ”АЙ ПЭЙ“ и ООО ”Инфокард“.
Обработка полученных КШП персональных данных осуществляется в информационной системе СООО ”АЙ ПЭЙ“ либо информационной системе ООО ”Инфокард“ на основании договоров КШП с указанными организациями на предоставление права использования программного обеспечения.
Проведенный анализ законодательства применительно к рассматриваемой ситуации позволяет сделать следующие выводы.
Поскольку учреждения образования и КШП преследуют единую цель обеспечениясоздания необходимых условий для организациипитания, используют общую информационную систему для обработки персональных данных, совместно организуют и (или) осуществляют обработку персональных данных, в этой связи при организации питания учащихся учреждения образования и КШП являются сооператорами.
Таким образом, правовым основанием обработки персональных данных для учреждений образования и КШП является абзац двадцатый статьи 6 Закона, а для взаимодействия с законными представителями учащихся у КШП дополнительно применяется абзац пятнадцатый статьи 6 Закона.
СООО ”АЙ ПЭЙ“ и ООО ”Инфокард“ осуществляют обработку персональных данных учащихся и законных представителей в интересах учреждений образования и КШП и в рассматриваемых отношениях являются уполномоченными лицами. Поскольку обработка персональных данных осуществляется на правовом основании, предусмотренном Законом, то, соответственно, не требуется получение согласия на привлечение к обработке персональных данных уполномоченного лица.
Вместе с тем согласно статьям 4 и 16 Закона оператор обязан информировать субъектов персональных данных о порядке обработки персональных данных, в т. ч. об иных сооператорах и уполномоченных лицах. Информация об этом должна быть отражена в политике в отношении обработки персональных данных.
Пунктами 3, 4, 6 и 7 Положения об организации питания обучающихся, получающих общее среднее, специальное образование на уровне общего среднего образования, утвержденного постановлением Совета Министров Республики Беларусь от 14 октября 2019 г. № 694 ”Об организации питания обучающихся“, определены категории обучающихся, которые обеспечиваются бесплатным питанием за счет средств республиканского и (или) местных бюджетов. Для получения бесплатного питания отдельными категориями обучающихся необходимо подтвердить их статус.
В этой связи в пунктах 9 и 12 Положения определены документы, которые необходимо предоставить в учреждение образования, чтобы реализовать это право. Обработка персональных данных в этой связи осуществляется учреждением образования без согласия субъекта персональных данных или его законного представителя на основании абзаца двадцатого статьи 6 или абзаца семнадцатого пункта 2 статьи 8 Закона.
В таких случаях КШП получает заявки только на количество порций и не обрабатывает персональные данные учащихся и их законных представителей.
1.9.Об обработке персональных данных при организации и проведении учреждениями образования социального расследования.
В соответствии с частью пятой статьи 116 Кодекса Республики Беларусь о браке и семье порядок, сроки проведения обследования условий жизни и воспитания ребенка, порядок признания детей находящимися в социально опасном положении, критерии и показатели социально опасного положения, форма плана защиты прав и законных интересов ребенка устанавливаются Правительством.
Абзацем пятым пункта 4 Положения о порядке признания детей находящимися в социально опасном положении, утвержденного постановлением Совета Министров Республики Беларусь от 15 января 2019 г. № 22 (далее – постановление № 22), учреждения образования отнесены к органам, которые в пределах своей компетенции участвуют в выявлении детей, находящихся в социально опасном положении, в организации и проведении социального расследования, в принятии решения о признании ребенка (детей) находящимся в социально опасном положении, в реализации мероприятий по устранению причин и условий, повлекших создание неблагоприятной для детей обстановки.
При этом абзацем вторым пункта 6 Положения о порядке признания детей находящимися в социально опасном положении установлено, что учреждения образования при осуществлении своей деятельности в соответствии с возложенными на них задачами и в пределах своей компетенции выявляют неблагоприятную для детей обстановку при организации учета детей, подлежащих обучению на уровне общего среднего образования, анализе участия родителей в образовательном процессе, при осуществлении контроля за условиями содержания, воспитания и образования детей в семьях, в которые возвращены дети после помещения на государственное обеспечение, в том числе после восстановления родителей в родительских правах, при анализе обращений граждан.
При выявлении неблагоприятной для детей обстановки государственные органы, государственные и иные организации в силу требования пункта 7 Положения о порядке признания детей находящимися в социально опасном положении незамедлительно информируют об этом отдел образования по месту нахождения детей.
Отдел образования не позднее одного рабочего дня, следующего за днем поступления информации о неблагоприятной для детей обстановке, направляет ее в учреждение образования, в котором обучается (воспитывается) ребенок (дети), или в социально-педагогический центр по месту проживания (нахождения) ребенка (детей) – в отношении ребенка (детей) в возрасте до 3 лет либо ребенка (детей), который не зачислен в учреждение образования или не проживает с семьей в связи с получением образования.
Порядок проведения социального расследования и полномочия учреждения образования регламентированы главой 4 Положения о порядке признания детей находящимися в социально опасном положении. При этом в пункте 12 названного Положения указано, что при проведении социального расследования в соответствии с законодательством осуществляется сбор информации о ребенке (детях) и его родителях, имеющей значение для принятия решения о признании ребенка (детей) находящимися в социально опасном положении.
При проведении социального расследования условий жизни и воспитания ребенка (детей) комиссией учреждения образования составляется акт обследования условий жизни и воспитания ребенка (детей).
При этом форма акта обследования Положением о порядке признания детей находящимися в социально опасном положении не предусмотрена.
В абзаце втором пункта 11 рассматриваемого Положения определены основные сведения, которые обязательно должны быть отражены в данном акте. К таким сведениям относятся: сведения о ребенке (детях); сведения о родителях ребенка; сведения о иных гражданах, проживающих совместно с семьей и участвующих в воспитании ребенка (детей); сведения о наличии либо отсутствии критериев и показателей социально опасного положения.
Акт – это основной документ, подтверждающий положение ребенка в семье и содержащий персональные данные не только ребенка, но и членов семьи, а также совместно проживающих с ребенком иных лиц. Это требует от комиссии соблюдения требований Закона при составлении такого акта, в частности, недопущения нарушения запрета избыточностиобрабатываемых данных.
Анализ Положения о порядке признания детей находящимися в социально опасном положении свидетельствует о разграничении компетенции государственных органов и иных организаций при проведении социального расследования. Так, пунктом 6 анализируемого Положения разграничивается компетенция государственных органов, государственных и иных организаций при выявлении детей, находящихся в социально опасном положении, в пункте 22 – компетенция указанных органов при реализации мероприятий, обязательных для исполнения государственными органами.
В Методических рекомендациях по межведомственному взаимодействию государственных органов, государственных и иных организаций при выявлении неблагоприятной для детей обстановки, проведения социального расследования, организации работы с семьями, где дети признаны находящимися в социально опасном положении, утвержденных заместителем Министра образования от 24 ноября 2006 г. № 18 (далее – Методические рекомендации), также закреплено разграничение полномочий государственных органов и организаций при проведении социального расследования, в том числе обязанность указанных органов направлять соответствующую информацию (при ее наличии) в отделы образования.
Полагаем необходимым обратить внимание, что Методические рекомендации не являются законодательным актом или принятым в его развитие иным нормативным правовым актом, соответственно, не могут выступать в качестве правового основания при направлении запросов в различные государственные органы и организации.
Анализ обращений граждан и юридических лиц, поступающих в Центр, а также выборочный мониторинг информации и форм документов, содержащихся на сайтах отдельных учреждений образования в рубриках, посвященных проведению социального расследования, позволяет констатировать распространенную практику обработки учреждениями образования избыточной информации о гражданах, не вытекающей из критериев и показателей социально опасного положения, установленных постановлением № 22.
Так, например, зачастую запрашивается в отношении законных представителей несовершеннолетних информация о правонарушениях, хранящихся в едином государственном банке данных о правонарушениях.
Вместе с тем оценка критериев и показателей социально опасного положения, указанных в пунктах 2 и 3 приложения, утвержденного постановлением № 22, свидетельствует о том, что для решения вопроса о признании детей находящимися в социально опасном положении имеет значение не каждый факт привлечения к административной ответственности, а только лишь по отдельным статьям КоАП (статьи 10.1, 10.3, 19.1, часть 2 статьи 19.3, статьи 19.4, 19.5 и 19.8).
При этом в соответствии с частью 5 статьи 12.12 КоАП по делам об административных правонарушениях, предусмотренных статьями 10.1, 19.1, частью 2 статьи 19.3, статьями 19.4, 19.5 и 19.8 КоАП, в отношении лиц, имеющих несовершеннолетних детей, органы, наложившие административное взыскание за совершение указанных правонарушений, не позднее следующего дня после вынесения постановления о наложении административного взыскания информируют об этом орган опеки и попечительства по месту жительства этих лиц для обеспечения контроля за положением детей в семье и своевременного принятия мер по защите их прав и законных интересов.
Таким образом, предоставлять информацию о фактах привлечения к административной ответственности законных представителей несовершеннолетнего по конкретным статьям КоАП является обязанностью соответствующих органов.
В этой связи учреждения образования уполномочены реализовывать только те права, которые предоставлены законодательным актом и принятым в его развитие постановлением № 22.
Пример.
Учреждения образования активно направляют запросы о предоставлении сведений о назначении пенсий, пособий по уходу за инвалидом I группы, государственных пособий семьям, воспитывающим детей, государственной адресной социальной помощи, пособий по безработице и иных выплат в органы по труду, занятости и социальной защите.
Оценка критериев и показателей социально опасного положения, указанных в приложении, утвержденном постановлением № 22, не свидетельствует о четкой зависимости уровня дохода родителя (законного представителя) несовершеннолетнего с удовлетворением основных жизненных потребностей ребенка. В этой связи направление подобных запросов во всех случаях проведения социального расследования без оценки конкретной ситуации может свидетельствовать о формальном подходе к оценке социально опасного положения семьи, становится фактором, провоцирующим ненадлежащее поведение органа, проводящего социальное расследование, в том случае, когда нечетко определены границы или отсутствуют критерии применения конкретной нормы.
Таким образом, использование абзаца двадцатого статьи 6 Закона, а в отношении специальных персональных данных – абзаца семнадцатого пункта 2 статьи 8 Закона не может являться правовым основанием для запроса любых сведений о материальном положении семьи, наличии задолженности по оплате коммунальных услуг, сведений о любых фактах привлечения к административной ответственности и иной информации, не имеющей отношения для оценки критериев и показателей социально опасного положения. Запрос указанных сведений даже при наличии согласия не соответствует требованиям пункта 5 статьи 4 Закона.
1.10. Об обработке персональных данных при распределении выпускников.
Пунктом 1 статьи 72 Кодекса определено, что распределение – это процедура определения места работы выпускника, осуществляемая государственным учреждением образования или в случаях, установленных Правительством Республики Беларусь, государственным органом, в целях поддержки выпускников, удовлетворения потребностей отраслей экономики и социальной сферы в специалистах, рабочих, служащих.
В соответствии с пунктом 3 статьи 36 Кодекса предоставление выпускникам места работы путем распределения, трудоустройства в счет брони, направления на работу, а также гарантий и компенсаций в связи с распределением, трудоустройством в счет брони, направлением на работу является формой поддержки выпускников.
Статьей 72 Кодекса определен общий порядок осуществления распределения выпускников. Он конкретизирован в Положении о порядке распределения, перераспределения, направления на работу, перенаправления на работу, предоставления места работы выпускникам, получившим научно-ориентированное, высшее, среднее специальное или профессионально-техническое образование, утвержденном постановлением Совета Министров Республики Беларусь от 31 августа 2022 г. № 572 ”О вопросах реализации образовательных программ“.
Таким образом, обработка персональных данных учреждениями образования для целей распределения осуществляется без согласия субъекта персональных данных на основании абзаца двадцатого статьи 6 Закона в целях реализации обязанностей (полномочий), предусмотренных законодательными актами.
1.11. О трансграничной передаче персональных данных.
Ее суть заключается в том, что такие данные с сервера, размещенного на территории Беларуси, становятся доступными на серверах, расположенных на территории другого государства, где осуществляется хранение или иная обработка этих данных.
Примерами трансграничной передачи могут быть следующие ситуации:
направление учреждением образования персональных данных учащихся, работников в организации, расположенные в другой стране;
хранение файлов, содержащих персональные данные, на Google Диск, Яндекс Диск;
использование Viber и иных мессенджеров для передачи персональных данных;
передача персональных данных при зарубежных командировках;
использование информационных систем, размещенных на серверах в иностранных государствах.
Порядок трансграничной передачи персональных данных зависит от того, в какую страну передаются персональные данные:
на территории которой обеспечивается надлежащий уровень защиты прав субъектов персональных данных;
на территории которой не обеспечивается надлежащий уровень защиты прав субъектов персональных данных.
Круг стран, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определен приказом директора Центра от 15 ноября 2021 г. № 14 ”О трансграничной передаче персональных данных“. Это, например, Российская Федерация, Казахстан, Армения, Кыргызстан, Молдова, страны ЕС.
Передача персональных данных на территорию таких государств осуществляется с соблюдением общих положений об обработке персональных данных (статьи 4, 6 и 8 Закона) без ограничений и необходимости получения каких-либо дополнительных разрешений.
В иные государства (например, США), по общему правилу, передача персональных данных запрещается, за исключением ситуаций, предусмотренных в статье 9 Закона. Например, она допускается в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами, дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты; персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором, и др.
Учитывая, что основанием для возникновения образовательных отношений в учреждении образования, иной организации, реализующей образовательные программы научно-ориентированного образования, является договор, то при его наличии передача данных должна вытекать из предмета договора, например, когда заключен договор о подготовке специалиста с высшим образованием на платной основе и в рамках реализации такого договора учреждение образования передает данные студента в учреждение образования, находящееся за рубежом. В этой ситуации дополнительного указания (закрепления) в договоре на возможность трансграничной передачи персональных данных не требуется.
2. Обращаем внимание, что по результатам выборочного мониторинга сайтов учреждений образования, проведенного Центром, установлено неисполнение учреждениями образования требований статьи 17 Закона. В частности, на сайтах учреждений образования отсутствуют документы, определяющие политику в отношении обработки персональных данных, что вызывает беспокойство и непонимание законных представителей о том, каким образом и для каких целей обрабатываются персональные данные в учреждениях образования. Поэтому для реализации своих прав как субъектов персональных данных законные представители обращаются не в учреждение образования, а в Центр.
Центр готов оказать содействие в подготовке указанных документов в рабочем порядке. Контактное лицо: Швед Надежда Александровна, заместитель начальника управления методологии защиты персональных данных (рабочий телефон: 367 06 52).
3. Просим довести информацию, изложенную в настоящем письме, учреждениям образования для использования в работе.
Директор А.А.Гаев
05 Швед 367 06 52
раскрыть » / « свернуть