Керівники закладів освіти та педагоги нерідко стикаються з ситуаціями, коли батьки відкликають згоду на обробку персональних даних або відмовляються надавати її при зарахуванні дитини до закладу освіти.
Освітній омбудсмен Сергій Горбачов у співпраці з Українською Гельсінською спілкою з прав людини опублікував роз’яснення щодо такої ситуації та надав інформацію:
- які дані є персональними;
- які є правові підстави обробки персональних даних закладом освіти;
- чи є заява про зарахування до закладу освіти підставою для обробки персональних даних;
- яка ціль обробки персональних даних у закладі освіти в межах встановленої мети;
- чи потрібно закладу освіти брати згоду на обробку персональних даних у батьків;
- як діяти закладу освіти, коли батьки відкликають або не надають згоду на обробку персональних даних.
Загалом в офісі омбудсмена України планують випустити три роз’яснювальні дописи на цю тему. Публікуємо текст першого з них майже в незмінному вигляді.
Які дані належать до персональних
Персональні дані – це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована (абзац 10 статті 2 Закону України “Про захист персональних даних”).
Персональні дані підлягають обробці у визначеному законодавством порядку. Не існує виключного переліку персональних даних, адже це різного роду інформація, за якою можна ідентифікувати особу, передусім це її ПІБ, паспортні дані та ідентифікаційний номер.
Обробку персональних даних слід здійснювати в такий спосіб, щоб забезпечити захист основоположних прав і свобод людини, зокрема, невтручання в право на приватність (особисте та сімейне життя) у зв’язку з обробкою персональних даних.
Правові підстави обробки закладом освіти персональних даних
Згідно зі статтею 11 Закону України “Про захист персональних даних”, підставами для обробки персональних даних є:
- згода суб’єкта персональних даних;
- дозвіл, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
- укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта й захист життєво важливих інтересів суб’єкта персональних даних;
- необхідність виконання обов’язку володільця персональних даних, який передбачений законом;
- необхідність захисту законних інтересів володільця персональних даних або третьої особи, якій передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод суб’єкта персональних даних у зв’язку з обробкою його даних переважають такі інтереси.
У закладах освіти підставами для обробки персональних даних є:
- дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
- необхідність виконання обов’язку володільця персональних даних, який передбачений законом.
У статті 1 Закону України “Про освіту” визначено, що освітня послуга – комплекс визначених законодавством, освітньою програмою та/або договором дій суб’єкта освітньої діяльності, що мають визначену вартість та спрямовані на досягнення здобувачем освіти очікуваних результатів навчання. Заклади освіти надають освітні послуги, а здобувачі їх отримують, представниками неповнолітніх осіб є батьки.
Для зарахування до закладу освіти батьки або здобувачі освіти подають заяву, певні документи та/або укладають певний договір. Також підставою для обробки персональних даних у закладі освіти є дозвіл, який надають батьки для здійснення повноважень закладу освіти шляхом подання заяви про зарахування та надання персональних даних. З цього виникає інша підстава виконання обов’язку володільця персональних даних, який передбачений законами у сфері освіти.
Служба освітнього омбудсмена звернулася з листом до Уповноваженого Верховної Ради з прав людини за роз’ясненнями щодо дій керівників закладів середньої освіти у разі відмови від надання батьками згоди на обробку персональних даних дитини при її зарахуванні до закладу освіти.
У роз’ясненнях, наданих у відповідь на цей лист, Уповноважений звертає увагу, що, відповідно до частини п’ятої та шостої статті 6 Закону України “Про захист персональних даних”, обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу, які є конфіденційною інформацією, без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
Як зазначає Уповноважений, вичерпний перелік підстав для обробки персональних даних визначений статтею 11 Закону. Причому згода суб’єкта персональних даних є лише однією з шести правових підстав для обробки персональних даних, передбачених статтею 11 Закону України “Про захист персональних даних”. За наявності підстав, визначених пунктами 2-6 частини першої статті 11 Закону, обробка персональних даних здійснюється без згоди суб’єкта персональних даних.
Адже без обробки персональних даних здобувачів освіти та працівників заклад освіти не може повноцінно здійснювати освітню діяльність. Під час обробки персональних даних ЗО та його працівники повинні дотримуватися положень Закону України “Про захист персональних даних”.
Якщо персональні дані обробляють на підставах здійснення повноважень і закону, то згода на обробку не потрібна.
Варто зауважити, якщо обробка персональних даних здійснюється на підставі письмової згоди, яку особа надає добровільно, це означає, що особа самостійно вирішує, кому і з якою метою надавати згоду на обробку персональних даних, без ризиків настання для неї негативних наслідків. І в будь-який момент особа може відкликати цю згоду.
Заява про зарахування до закладу освіти та/або укладення договору – законна підстава для обробки персональних даних закладом освіти
У статті 9 Закону України “Про повну загальну середню освіту” зазначено, що порядок зарахування, відрахування та переведення учнів до державних і комунальних закладів освіти для здобуття повної загальної середньої освіти затверджується центральним органом виконавчої влади у сфері освіти і науки.
У Порядку зарахування, відрахування та переведення учнів до державних та комунальних закладів освіти визначено, що для зарахування та здобуття повної загальної середньої освіти батьки або законні представники дитини чи повнолітній здобувач освіти має подати заяву та певний перелік документів. А заклади освіти (їх філії) обробляють надані їм персональні дані відповідно до Закону України “Про захист персональних даних”. За повноту і достовірність усієї інформації та всіх документів, що подаються до закладу освіти, відповідає особа, яка їх подає (розділ 1 пункт 13 Порядку), тобто батьки чи законні представники дитини або повнолітній учень.
У статті 14 Закону України “Про дошкільну освіту” зазначено, що порядок зарахування, відрахування та переведення вихованців до державних та комунальних закладів освіти для здобуття дошкільної освіти визначається Положенням про заклад дошкільної освіти. А порядок зарахування, відрахування та переведення вихованців до приватних і корпоративних закладів освіти для здобуття дошкільної освіти визначає засновник (засновники).
Згідно з Положенням про заклад дошкільної освіти, для зарахування дитини до закладу дошкільної освіти батьки мають надати заяву та документи за переліком. Такі вимоги містять й інші нормативно-правові документи у сфері освіти.
Аналогічно, на підставі заяви про зарахування, надання персональних даних та/або укладення договору, здійснюють обробку персональних даних в інших сферах освіти: позашкільній, професійній (професійно-технічній), передвищій та вищій освіті.
Тобто з моменту надання батьками чи здобувачами освіти заяви до закладу освіти та/або укладення договору, які містять персональні дані (зокрема – прізвище, ім’я, по батькові та дата народження) вже починається їх обробка.
Подача заяви та документів для зарахування до закладу освіти – це добровільне надання персональних даних для їх обробки. Заклад освіти не може самостійно отримати персональні дані дітей та почати їх обробку. Ці дані надають батьки. Добровільність можна схарактеризувати лише в контексті вибору батьками закладу освіти, до якого зараховують дитину.
Варто зауважити, що здобуття повної загальної середньої освіти в Україні є обов’язковим згідно зі ст. 53 Конституції України, що покладає на батьків (інших законних представників) відповідальність за її здобуття дітьми та передбачає здійснення контролю з боку держави.
Ненадання батьками (іншими законними представниками) визначеного переліку документів, що містить персональні дані дитини, унеможливить зарахування до закладу освіти та здобуття дитиною повної загальної середньої освіти. І це вже є підставою для притягнення батьків до адміністративної відповідальності, відповідно до статті 184 Кодексу України про адміністративні правопорушення, або позбавлення їх батьківських прав, відповідно до статті 164 Сімейного кодексу України. Тобто персональні дані дитини в обов’язковому порядку повинні бути оброблені певним закладом освіти.
Обробка персональних даних у закладах освіти має здійснюватися у межах встановленої мети – освітньої діяльності
Обов’язком батьків (інших законних представників) є забезпечення здобуття дитиною повної загальної середньої освіти, що вимагає обробки персональних даних дитини закладом освіти.
Важливо, щоб обробка персональних даних здійснювалася в межах встановленої мети, яка обмежується реалізацією освітньої діяльності. Не можна допускати ситуацій збору персональних даних, які не є необхідними для здійснення освітньої діяльності.
Порушення встановленого порядку обробки персональних даних можуть виникати, якщо заклад освіти буде здійснювати обробку персональних даних або вимагати від батьків надання персональних даних, які не потрібні для визначеної мети, або для передачі іншим особам, установам і організаціям, зокрема приватним, що не передбачено законодавством. Наприклад, ще недавно поширеною була практика отримання від батьків інформації про їхнє місце роботи, що абсолютно не узгоджується з метою обробки даних для цілей здобуття освіти. Аналогічним порушенням є збір даних про національність дітей і батьків.
Якщо мета обробки персональних даних змінюється і виходить за межі дотримання прав дитини на здобуття освіти, згода батьків чи здобувача є обов’язковою.
Батьки мають право, згідно з вимогами ст. 8 Закону України “Про захист персональних даних”, на отримання інформації щодо обробки своїх персональних даних, пред’являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних та їх зміни тощо.
Чи потрібно закладу освіти брати згоду на оброблення персональних даних у батьків чи здобувачів освіти
Практично всі заклади освіти вимагають від батьків підписання згоди на обробку персональних даних. Це зумовлено недосконалістю чинного законодавства України, що спричиняє неоднозначні тлумачення, і відсутністю чіткого розуміння між відмінностями обробки персональних даних на підставі згоди та на підставі законодавства й здійснення його повноважень.
Заклади освіти вважають, що безпечніше отримати згоду на обробку персональних даних, ніж потенційно ставити себе під загрозу порушити законодавство у сфері захисту персональних даних. Такий підхід закладів освіти пояснюється відсутністю чітких рекомендацій щодо практичного застосування законодавства про захист персональних даних закладами освіти.
Тому, як роз’яснює Уповноважений, не потрібна окрема згода батьків здобувачів освіти на обробку персональних даних, які використовуються в освітньому процесі в освітніх ресурсах, ведення яких передбачено законодавством про освіту для надання освітніх послуг.
Дії закладу освіти, якщо батьки відкликають згоду на обробку персональних даних або відмовляються її надавати при зарахуванні до закладу
Батьки відповідальні за здобуття дитиною повної загальної середньої освіти. Зарахування до закладу освіти неможливе без обробки персональних даних. Умовами зарахування є подача батьками або законними представниками визначених законодавством заяви та документів за переліком, що вже означає початок їх обробки. Фактично, коли вони їх подають, заклад освіти починає обробляти дані на підставі закону.
Якщо батьки не нададуть закладу освіти персональні дані дитини, він не лише не зможе зарахувати дитину, але й не матиме можливості забезпечити право дитини на здобуття освіти. Адже дитина в закладі освіти має бути ідентифікована, щоб здійснювати освітній процес, надавати допомогу у здобутті освіти, оцінювати, забезпечувати харчування, у разі необхідності – зв’язатися з батьками, видати документ про освіту тощо.
Обробка закладами освіти персональних даних здійснюється на підставі чинного законодавства у сфері освіти: Законів України “Про освіту”, “Про повну загальну середню освіту” та наказів Міністерства освіти і науки України відповідно до конкретно визначеної мети.
Подача заяви батьками про відкликання згоди на обробку персональних даних не призводить до припинення обробки персональних даних дітей, якщо обробка здійснюється для реалізації освітньої діяльності.
Якщо ж батьки відкликають згоду на обробку персональних даних на здійснення іншої, не освітньої діяльності, то вони мають на це повне право.
Заклад освіти зобов’язаний припинити обробку персональних даних дітей та батьків лише тоді, коли батьки чи здобувач освіти відкличе заяву про зарахування до закладу освіти. Відрахування із закладу освіти або переведення учня до іншого закладу є підставою для припинення обробки персональних даних.
Заклад освіти має зареєструвати заяву батьків про відкликання або ненадання згоди про обробку персональних даних і надати відповідь, що обробка персональних даних дитини в закладі освіти здійснюється відповідно до пунктів 2, 3 та 5 частини першої статті 11 Закону України “Про захист персональних даних”, на підставі законодавства про освіту, і здійснення повноважень закладу освіти на основі заяви про зарахування батьків/здобувачів та/або укладання договору й надання персональних даних. Без обробки персональних даних заклад освіти позбавлений можливості забезпечити конституційне право дитини на здобуття повної загальної середньої освіти, дитина не зможе мати доступ до освіти, отримати документ про здобуття освіти, а заклад освіти – здійснювати свої повноваження.
Внесення персональних даних дітей до різних електронних систем, реєстрів, електронних журналів й щоденників, зокрема державних та приватних, має свої особливості. Ці особливості будуть описані й роз’яснені в наступних дописах Служби освітнього омбудсмена.