Обзор разъяснений о применении Закона о защите персональных данных в сфере образования

Владимир Самосейко
юрист

07.10.2022

По итогам цикла онлайн-практикумов «Оборот персональных данных в образовании: порядок обработки и защиты» (далее - Информация для образовательных организаций) НЦЗПД подготовил разъяснения о применении Закона от 07.05.2021 № 99-З «О защите персональных данных» в сфере образования. Автор обратил внимание на интересные и важные для любых организаций моменты.

В разделах пособия читайте:

Перечень персональных данных

Персональные данные - это данные, которые позволяют идентифицировать физическое лицо.

Можно выделить два вида информации, которая признается персональными данными:

1) информация, относящаяся к идентифицированному лицу;

2) информация, относящаяся к лицу, которое может быть идентифицировано.

Идентифицированным является лицо, личность которого уже известна, которое однозначно выделено среди иных лиц (на него можно конкретно указать, установить контакт и т. п.).

Как правило, информация, относящаяся к идентифицированному лицу, - это указание его фамилии, собственного имени, отчества (если таковое имеется) в совокупности с другими данными, которые однозначно выделяют его среди иных лиц.

Пример 1 Ковалев Михаил Михайлович, учащийся 10 «В» класса, гимназии № 1, проживающий по адресу: г. Минск, ул. Уручская, 11-45.

Физическое лицо, которое может быть идентифицировано, - лицо, которое может быть прямо или косвенно определено, в частности, через фамилию, собственное имя, отчество (если таковое имеется), дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности (абз.17 ст.1 Закона № 99-З).

В данном случае НЦЗПД выделяет два случая:

1) лицо, личность которого можно установить на основании имеющейся информации без использования дополнительных сведений.

Пример 2 Директор государственного учреждения образования «Гимназия № 3 г. Минска»; заведующий кафедрой аналитической экономики и эконометрики Белорусского государственного университета, начальник отдела кадров, председатель общего собрания участников и т. п.;

2) лицо, которое может быть косвенно определено, личность лица нельзя установить на основании имеющейся информации, но это можно сделать путем объединения такой информации с иными имеющимися сведениями или сведениями, которые могут быть получены из других источников.

Пример 3 Кто был победителем областной олимпиады по математике 2019 года? Это лицо можно идентифицировать, получив дополнительную информацию в учреждении образования (управлении образования, у организаторов олимпиады).

В качестве иных примеров можно привести, в частности, следующие: лучший работник (продавец, водитель и т. п.) года и др.

Запрос согласия, когда для этого нет правового основания, - нарушение законодательства

Одним из примечательных моментов в разъяснениях НЦЗПД - его позиция к получению согласия «про запас».

Так, если обработка персональных данных может осуществляться по одному из оснований, перечисленных в ст.6 и (или) п.2 ст.8 Закона № 99-З, получать согласие субъекта персональных данных на обработку его персональных данных (независимо от цели обработки) не требуется. Такое согласие рассматривается как избыточная обработка персональных данных и является нарушением Закона № 99-З, что влечет административную и иную ответственность согласно ст.19 Закона № 99-З и иным законодательным актам.

Иными словами, согласие не универсальное или обязательное условие для обработки персональных данных.

Административная ответственность наступает по ч.2 ст.23.7 КоАП за умышленные незаконный сбор, обработку, хранение или предоставление персональных данных физического лица либо нарушение его прав, связанных с обработкой персональных данных, совершенные лицом, которому персональные данные известны в связи с его профессиональной или служебной деятельностью (штраф в размере от 4 до 100 БВ).

Полагаем, можно привлекать к дисциплинарной ответственности вплоть до увольнения по п.10 ч.1 ст.47 ТК (нарушение работником порядка сбора, систематизации, хранения, изменения, использования, обезличивания, блокирования, распространения, предоставления, удаления персональных данных).

Указание на ст.19 Закона № 99-З также означает, полагаем, право пострадавшего физлица на возмещение морального вреда. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, установленных Законом № 99-З, подлежит возмещению. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков (п.2 ст.19 Закона № 99-З).

Размещение фото- и видеоизображений на сайте

На практике достаточно много вопросов по поводу размещения фото- и видеоизображений в новостной строке на сайтах. По сути, есть определенная коллизия между Законом № 99-З и иными НПА. Понимая это, НЦЗПД указал, что для размещения на сайте учреждения образования фото- и видеоизображений, в том числе несовершеннолетних лиц, в настоящее время в республике принимаются меры по внесению изменений в НПА для регулирования вопроса о размещении фотографий и видеозаписей на сайтах организаций.

Справочно До внесения соответствующих изменений в акты законодательства государственным учреждениям образования следует руководствоваться Положением о порядке функционирования интернет-сайтов государственных органов и организаций, утв. постановлением Совмина от 29.04.2010 № 645.

В этой связи размещение на основании подп.7.7 п.7 Положения № 645 по решению руководителя государственного учреждения образования на сайте, в соцсетях фотографий и видеозаписей с изображением участников мероприятия (в том числе несовершеннолетних) без получения их согласия в рамках новостного контента, освещение спортивных, культурных, образовательных мероприятий не рассматривается как нарушение Закона № 99-З.

При этом, как разъясняет НЦЗПД, независимо от правовых оснований обработки персональных данных необходимо соблюдать требования, предусмотренные ст.4 Закона № 99-З, в том числе о соразмерности обработки персональных данных заявленным целям их обработки, об исключении избыточности обработки персональных данных (п.2).

Полагаем, что указанное разъяснение актуально в целом для всех государственных организаций (то есть на кого распространяется Положение № 645).

Обработка персональных данных в мессенджерах (Вайбер и др.)

Относительно размещения информации, содержащей персональные данные, в создаваемых обучающимися, их родителями группах в мессенджерах необходимо учитывать, по мнению НЦЗПД, что данные отношения, несмотря на наличие обработки с использованием средств автоматизации, не являются предметом регулирования Закона № 99-З. Такая обработка персональных данных осуществляется указанными лицами в процессе исключительно личного использования и не связана с их профессиональной или предпринимательской деятельностью (абз.2 п.2 ст.2 Закона № 99-З).

По мнению автора, этот вопрос следовало бы осветить более детально.

1. Участвуют ли в такой обработке педагогические работники? Как правило, в соответствующих группах в Вайбере и подобных мессенджерах активно участвует педагогический работник (учитель начальных классов, классный руководитель и т. п.). В такой ситуации, полагаем, говорить о том, что персональные данные обрабатываются исключительно в личных или бытовых целях, затруднительно.

2. Если нет участия педагогического или иного работника учреждения образования в такой обработке персональных данных, это еще не означает, что не применяется Закон № 99-З, а главное - административная ответственность за его нарушение. То есть если нет участия учреждения образования, то оно не выступает в качестве оператора или иного участника обработки персональных данных. Но это не освобождает от ответственности участников такой обработки.

За 2022 год суды привлекли десятки лиц к административной ответственности по ч.3 ст.23.7 КоАП, когда обработка персональных данных не была связана с их профессиональной или предпринимательской деятельностью.

Дополнительно по теме • Некоммерческое использование персональных данных само по себе не означает, что Закон о защите персональных данных не применяется.

Как работать с запросами

По мнению НЦЗПД, в случае направления запроса о предоставлении персональных данных запрашивающий орган (организация) должен указать правовые основания для запроса, цель обработки, содержание и объем запрашиваемых персональных данных. При этом если правовым основанием для обработки персональных данных является согласие субъекта персональных данных, то запрос направляется с приложением копии согласия.

Далее НЦЗПД указывает, что наличие правового основания не снимает с учреждений образования, предоставляющих персональные данные, обязанности по соблюдению требований ст.4 Закона № 99-З, в том числе по исключению чрезмерной обработки (предоставления) персональных данных и по информированию субъекта персональных данных о том, какие персональные данные и кому предоставлялись (п.2).

Учреждение образования, предоставляющее информацию, при наличии сомнений может запрашивать дополнительную информацию на предмет соблюдения положений ч.1 п.4 ст.4 Закона № 99-З, в частности уточнять цели и, соответственно, объем информации, необходимой для их достижения.

В целом, полагаем, приведенные разъяснения актуальны не только для учреждений образования, а для всех организаций в целом.

Видеонаблюдение как часть пропускного режима

Как указывает НЦЗПД, в отдельных случаях видеонаблюдение используется:

1) в силу прямого требования законодательных актов.

Пример 4 Использование системы видеонаблюдения предусмотрено в случае отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности.

Порядок ее использования и виды соответствующих объектов определены Указом от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка». Постановлением Совмина от 30.12.2013 № 1164 установлены критерии отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности;

2) видеонаблюдение напрямую не предусмотрено законодательными актами, но необходимо для выполнения обязанностей (полномочий), вытекающих из законодательных актов.

К числу таких обязанностей (полномочий) могут быть, в частности, отнесены:

• обеспечение реализации нанимателем возложенных на него ТК обязанностей, в том числе в части обеспечения производственно-технологической, исполнительской и трудовой дисциплины (п.2 ч.1 ст.55 ТК);

• обеспечение охраны физических лиц (в том числе работников), имущества нанимателя от противоправных посягательств (абз.2 ст.1 Закона от 08.11.2006 № 175-З «Об охранной деятельности в Республике Беларусь», подп.2.5 п.2 Указа от 25.10.2007 № 534 «О мерах по совершенствованию охранной деятельности»).

При этом контроль за деятельностью и поведением работников не может выступать в качестве единственной цели использования видеонаблюдения;

3) с согласия субъектов персональных данных.

Поскольку при использовании системы видеонаблюдения осуществляется сбор и фиксация широкого спектра информации (видеонаблюдение независимо от цели затрагивает всех лиц, попадающих в объектив видеокамеры, осуществляется в постоянном режиме, позволяющем выявлять поведенческие признаки субъектов персональных данных, их психологическое состояние и т. п.), обработка персональных данных при видеонаблюдении может осуществляться нанимателем только при условии, что иными способами, предусматривающими меньшее вмешательство в частную жизнь работников, нельзя достичь цели, закрепленной в законодательстве.

Пример 5 Учет явки работников на работу и ухода с нее может быть организован с использованием карточки без использования специально для этих целей системы видеонаблюдения.

Кроме того, при выборе способа обработки персональных данных работников для достижения соответствующих целей следует учитывать положения п.2 ст.4 Закона № 99-З о необходимости справедливого соотношения интересов всех заинтересованных лиц при обработке персональных данных.

По сути, указанные разъяснения повторены в Информации для образовательных организаций, но с определенными уточнениями.

Так, для обеспечения охраны физических лиц, имущества учреждения образования от противоправных посягательств в соответствии с абз.2 ст.1 Закона № 175-З, подп.2.5 п.2 Указа № 534 пропускной режим и видеонаблюдение рассматриваются в качестве мероприятий, направленных на исключение бесконтрольного входа (выхода) на охраняемый объект.

Значит, обработка персональных данных в учреждениях образования осуществляется на основании абз.20 ст.6 Закона № 99-З.

При этом для обеспечения принципа прозрачности обработки персональных данных (п.6 ст.4 Закона № 99-З) субъекты персональных данных должны быть проинформированы о видеонаблюдении с помощью специальных информационных знаков (табличек), размещенных на территории, где оно ведется.

Не допускается использование видеонаблюдения для наблюдения за местами, предназначенными для личных нужд граждан (туалеты, комнаты отдыха, раздевалки и т. п.).

Видеозаписи не могут быть использованы в личных и иных целях, не связанных с профессиональной деятельностью, и не подлежат изменению, использованию, распространению и предоставлению, кроме случаев, предусмотренных законодательными актами.

Обратите внимание! Обработка фотографий посетителей учреждений образования для видеораспознавания лиц (уникальной идентификации) в системе пропускного режима при организации пропускной системы не допускается, так как не соответствует требованиям, предусмотренным п.3 ст.4 Закона № 99-З.

Дополнительно по теме • Всё по одной теме. Персональные данные в кадровой службе. • Как поступить учреждению образования, если родители (законные представители) ребенка не дают согласия на обработку его персональных данных или считают излишними те данные, согласие на обработку которых у них просят?