До освітнього омбудсмена надходять запитання від керівників закладів освіти та педагогів щодо їхніх дій у разі:
• відкликання батьками згоди на обробку персональних даних у закладі освіти;
• відмови надавати згоду при зарахуванні до закладу освіти.
У співпраці з Українською Гельсінською спілкою з прав людини публікуємо роз’яснення по кожному конкретному випадку та інформуємо, про те:
• які дані є персональними;
• які правові підстави обробки персональних даних закладом освіти;
• чи є заява про зарахування до закладу освіти підставою для обробки персональних даних
• яка ціль обробки персональних даних у закладі освіти у межах встановленої мети;
• чи потрібно закладу освіти брати згоду на обробку персональних даних у батьків;
• як діяти закладу освіти, коли батьки відкликають або не надають згоду на обробку персональних даних у закладі освіти.
Ми підготували та оприлюднимо три дописи на цю тему, де будуть докладні роз’яснення. Це – перший з цих трьох дописів.
У завершальному дописі цієї інформаційної кампанії ми надамо орієнтовні тексти відповідей закладу освіти на запити батьків щодо різних ситуації з обробкою персональних даних.
Внесення персональних даних дітей до різних електронних систем, реєстрів, електронних журналів й щоденників, зокрема державних та приватних, має свої особливості. Ці особливості ми опишемо та надамо роз’яснення у наших наступних дописах:
• роз’яснення щодо дій закладу освіти при наданні заяви про відкликання або відмові надавати згоду на обробку персональних даних в електронних інформаційних системах і реєстрах;
• роз’яснення про дії закладу освіти при наданні заяви про відкликання або відмові надавати згоду на обробку персональних даних при переході закладу освіти на електронні журнали й щоденники.
ЯКІ ДАНІ НАЛЕЖАТЬ ДО ПЕРСОНАЛЬНИХ
Персональні дані – це відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована (абзац 10 стаття 2 Закону України “Про захист персональних даних”).
Персональні дані підлягають обробці у визначеному законодавством порядку. Не існує виключного переліку персональних даних, адже це різного роду інформація, за якою можна ідентифікувати особу, передусім її ПІБ, паспортні дані та РНОКПП (Реєстраційний номер облікової картки платника податків – ідентифікаційний номер).
Обробка персональних даних повинна здійснюватися в такий спосіб, щоб забезпечити захист основоположних прав і свобод людини, зокрема невтручання в право на приватність (особисте та сімейне життя) у зв’язку з обробкою персональних даних.
ПРАВОВІ ПІДСТАВИ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ ЗАКЛАДОМ ОСВІТИ
Згідно зі статтею 11 Закону України “Про захист персональних даних”, підставами для обробки персональних даних є:
1) згода суб’єкта персональних даних на обробку його персональних даних;
2) дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
3) укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних;
4) захист життєво важливих інтересів суб’єкта персональних даних;
5) необхідність виконання обов’язку володільця персональних даних, який передбачений законом;
6) необхідність захисту законних інтересів володільця персональних даних або третьої особи, якій передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод суб’єкта персональних даних у зв’язку з обробкою його даних переважають такі інтереси.
У закладах освіти підставами для обробки персональних даних є:
• дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
• необхідність виконання обов’язку володільця персональних даних, який передбачений законом.
У статті 1 Закону України “Про освіту” визначено, що освітня послуга – комплекс визначених законодавством, освітньою програмою та/або договором дій суб’єкта освітньої діяльності, що мають визначену вартість та спрямовані на досягнення здобувачем освіти очікуваних результатів навчання. Заклади освіти надають освітні послуги, а здобувачі їх отримують, представниками неповнолітніх осіб є батьки.
Оскільки для отримання освітньої послуги необхідно зарахувати дитину до закладу освіти. Для зарахування до закладу освіти батьки або здобувачі освіти подають заяву, певні документи та/або укладають певний договір. Зарахування до закладу освіти здійснюється на основі відповідної заяви та документів і наданих персональних даних. Також підставою для обробки персональних даних у закладі освіти є дозвіл, який надають батьки для здійснення повноважень закладу освіти шляхом подання заяви про зарахування та надання персональних даних. З цього виникає інша підстава виконання обов’язку володільця персональних даних, який передбачений законами у сфері освіти.
Служба освітнього омбудсмена звернулася з листом до Уповноваженого Верховної Ради з прав людини за роз’ясненнями щодо дій керівників закладів середньої освіти у разі відмови від надання батьками згоди на обробку персональних даних дитини при її зарахуванні до закладу освіти.
У роз’ясненнях, наданих у відповідь на наш лист, Уповноважений звертає увагу, що, відповідно до частини п’ятої та шостої статті 6 Закону України «Про захист персональних даних», обробка персональних даних здійснюється для конкретних і законних цілей, визначених за згодою суб’єкта персональних даних, або у випадках, передбачених законами України, у порядку, встановленому законодавством. Не допускається обробка даних про фізичну особу, які є конфіденційною інформацією, без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.
Як зазначає Уповноважений, вичерпний перелік підстав для обробки персональних даних визначений статтею 11 Закону. Причому згода суб’єкта персональних даних є лише однією з шести правових підстав для обробки персональних даних, передбачених статтею 11 Закону України «Про захист персональних даних». За наявності підстав, визначених пунктами 2-6 частини першої статті 11 Закону, обробка персональних даних здійснюється без згоди суб’єкта персональних даних.
Адже без обробки персональних даних здобувачів освіти та працівників заклад освіти не може повноцінно здійснювати освітню діяльність. Під час обробки персональних даних заклад освіти та його працівники повинні дотримуватися положень Закону України “Про захист персональних даних”.
Якщо персональні дані обробляються на підставах – здійснення повноважень та закону, то згода на обробку не потрібна.
Варто зауважити, якщо обробка персональних даних здійснюється на підставі письмової згоди, яку особа надає добровільно. Це означає, що особа самостійно вирішує, кому і з якою метою надавати згоду на обробку персональних даних, без ризиків настання для неї негативних наслідків. І в будь-який момент особа може відкликати цю згоду.
ЗАЯВА ПРО ЗАРАХУВАННЯ ДО ЗАКЛАДУ ОСВІТИ ТА/АБО УКЛАДЕННЯ ДОГОВОРУ – ЗАКОННА ПІДСТАВА ДЛЯ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ ЗАКЛАДОМ ОСВІТИ
У статті 9 Закону України “Про повну загальну середню освіту” зазначається, що порядок зарахування, відрахування та переведення учнів до державних і комунальних закладів освіти для здобуття повної загальної середньої освіти затверджується центральним органом виконавчої влади у сфері освіти і науки.
У Порядку зарахування, відрахування та переведення учнів до державних та комунальних закладів освіти визначено, що для зарахування та здобуття повної загальної середньої освіти батьки або законні представники дитини чи повнолітній здобувач освіти має подати заяву та певний перелік документів. А заклади освіти (їх філії) обробляють надані їм персональні дані відповідно до Закону України «Про захист персональних даних». За повноту і достовірність усієї інформації та всіх документів, що подаються до закладу освіти, відповідає особа, яка їх подає (розділ 1 пункт 13 Порядку), тобто батьки чи законні представники дитини або повнолітній учень.
У статті 14 Закону України “Про дошкільну освіту” зазначається, що порядок зарахування, відрахування та переведення вихованців до державних та комунальних закладів освіти для здобуття дошкільної освіти визначається Положенням про заклад дошкільної освіти. А порядок зарахування, відрахування та переведення вихованців до приватних і корпоративних закладів освіти для здобуття дошкільної освіти визначається засновником (засновниками).
Відповідно до Положення про заклад дошкільної освіти, для зарахування дитини до закладу дошкільної освіти батьки мають надати заяву та перелік документів. Подібні вимоги містять й інші нормативно-правові документи у сфері освіти.
Аналогічно, на підставі заяви про зарахування, надання персональних даних та/або укладення договору, здійснюється обробка персональних даних в інших сферах освіти: позашкільній, професійній (професійно-технічній), передвищій та вищій освіті.
Тобто, фактично, з моменту надання батьками чи здобувачами освіти заяви до закладу освіти та/або укладення договору, які містять персональні дані (зокрема – прізвище, ім’я, по батькові та дата народження) вже починається їх обробка.
Подача заяви та документів для зарахування до закладу освіти – це добровільне надання персональних даних для їх обробки. Заклад освіти не може самостійно отримати персональні дані дітей та почати їх обробку. Ці дані надають батьки. Добровільність можна схарактеризувати лише в контексті вибору закладу освіти батьками, до якого зараховується дитина.
Варто зауважити, що здобуття повної загальної середньої освіти в Україні є обов’язковим згідно зі ст. 53 Конституції України, що покладає на батьків (інших законних представників) відповідальність за її здобуття дітьми та передбачає здійснення контролю з боку держави.
Не надання батьками (іншими законними представниками) визначеного переліку документів, що містить персональні дані дитини, унеможливить зарахування до закладу освіти та здобуття дитиною повної загальної середньої освіти. І це вже є підставою для притягнення батьків до адміністративної відповідальності, відповідно до статті 184 Кодексу України про адміністративні правопорушення або позбавлення їх батьківських прав, відповідно до статті 164 Сімейного кодексу України. Тобто персональні дані дитини в обов’язковому порядку повинні оброблятися певним закладом освіти.
ОБРОБКА ПЕРСОНАЛЬНИХ ДАНИХ У ЗАКЛАДІ ОСВІТИ МАЄ ЗДІЙСНЮВАТИСЯ У МЕЖАХ ВСТАНОВЛЕНОЇ МЕТИ – ЗДІЙСНЕННЯ ОСВІТНЬОЇ ДІЯЛЬНОСТІ
Обов’язком батьків (інших законних представників) є забезпечення здобуття дитиною повної загальної середньої освіти, що вимагає обробки персональних даних дитини закладом освіти.
Важливо, щоб обробка персональних даних здійснювалася у межах встановленої мети, яка обмежується здійсненням освітньої діяльності, й не допускати ситуацій збору персональних даних, які не є необхідними для здійснення освітньої діяльності.
Порушення встановленого порядку обробки персональних даних можуть виникати, якщо заклад освіти буде здійснювати обробку персональних даних або вимагати від батьків надання персональних даних, які не потрібні для визначеної мети, або для передачі іншим особам, установам та організаціям, зокрема приватним, що не передбачено законодавством. Наприклад, певний час назад поширеною була практика отримання від батьків інформації про їхнє місце роботи, що абсолютно не узгоджується із метою обробки для цілей здобуття освіти. Або збір даних про національність дітей та батьків.
Якщо мета обробки персональних даних змінюється і виходить за межі дотримання прав дитини на здобуття освіти, згода батьків чи здобувача є обов’язковою.
Батьки мають право, згідно з вимогами ст. 8 Закону України “Про захист персональних даних”, на отримання інформації щодо обробки своїх персональних даних, пред’являти вмотивовану вимогу із запереченням проти обробки своїх персональних даних та їх зміни тощо.
У наступних дописах ми надамо роз’яснення щодо дій закладу освіти при відкликанні або відмові надавати згоду на обробку персональних даних в електронних інформаційних системах і реєстрах, які належать державі та приватним особам. Адже тут є велика відмінність.
Також готуємо роз’яснення про дії закладу освіти при відкликанні або відмові надавати згоду на обробку персональних даних при переході закладу освіти на електронні журнали й щоденники.
ЧИ ПОТРІБНО ЗАКЛАДУ ОСВІТИ БРАТИ ЗГОДУ НА ОБРОБКУ ПЕРСОНАЛЬНИХ ДАНИХ У БАТЬКІВ ЧИ ЗДОБУВАЧІВ ОСВІТИ?
Практично усі заклади освіти вимагають від батьків підписання згоди на обробку персональних даних. Це зумовлено недосконалістю чинного законодавства України, що спричиняє неоднозначні тлумачення, та відсутністю чіткого розуміння між відмінностями обробки персональних даних на підставі згоди та на підставі законодавства й здійснення його повноважень.
Але заклади освіти вважають, що безпечніше отримати згоду на обробку персональних даних, ніж потенційно ставити себе під загрозу порушити законодавство у сфері захисту персональних даних. Такий підхід закладів освіти пояснюється відсутністю чітких рекомендацій щодо практичного застосування законодавства про захист персональних даних закладами освіти.
Тому, як роз’яснює Уповноважений, не потрібна окрема згода батьків здобувачів освіти на обробку персональних даних, які використовуються в освітньому процесі в освітніх ресурсах, ведення яких передбачено законодавством про освіту для надання освітніх послуг.
Докладно про це читайте у наступному дописі.
ДІЇ ЗАКЛАДУ ОСВІТИ, ЯКЩО БАТЬКИ ВІДКЛИКАЮТЬ ЗГОДУ НА ОБРОБКУ ПЕРСОНАЛЬНИХ ДАНИХ АБО ВІДМОВЛЯЮТЬСЯ ЇЇ НАДАВАТИ ПРИ ЗАРАХУВАННІ ДО ЗАКЛАДУ
Найважливіше – батьки несуть відповідальність за здобуття дитиною повної загальної середньої освіти. Зарахування до закладу освіти неможливе без обробки персональних даних. Умовами зарахування є подача батьками або законними представниками визначених законодавством заяви та переліку документів, що вже означає початок їх обробки. Фактично, коли вони їх подають – заклад освіти починає обробляти дані на підставі закону.
Якщо батьки не нададуть закладу освіти персональні дані дитини – заклад освіти не лише не зможе зарахувати дитину, але й не матиме можливості забезпечити право дитини на здобуття освіти. Адже дитина у закладі освіти має бути ідентифікована, щоб здійснювати освітній процес, надавати допомогу у здобутті освіти, оцінювати, забезпечувати харчування, у разі необхідності – зв’язатися з батьками, видати документ про освіту тощо.
Обробка закладами освіти персональних даних здійснюється на підставі чинного законодавства у сфері освіти – Законів України “Про освіту”, “Про повну загальну середню освіту” та наказів Міністерства освіти і науки України відповідно до конкретно визначеної мети.
Подача заяви батьками про відкликання згоди на обробку персональних даних не призводить до припинення обробки персональних даних дітей, якщо обробка здійснюється для здійснення освітньої діяльності.
Якщо ж батьки відкликають згоду на обробку персональних даних на здійснення іншої, не освітньої діяльності, то вони мають на це повне право.
Заклад освіти зобов’язаний припинити обробку персональних даних дітей та батьків лише тоді, коли батьки чи здобувач освіти відкличе заяву про зарахування до закладу освіти. Відрахування із закладу освіти або переведення учня до іншого закладу є підставою для припинення обробки персональних даних.
Заклад освіти має зареєструвати заяву батьків про відкликання або ненадання згоди про обробку персональних даних і надати відповідь, що обробка персональних даних дитини у закладі освіти здійснюється відповідно до пунктів 2, 3 та 5 частини першої статті 11 Закону України «Про захист персональних даних», на підставі законодавства про освіту, та здійснення повноважень закладу освіти на основі заяви про зарахування батьків/здобувачів та/або укладання договору й надання персональних даних. Без обробки закладом освіти персональних даних заклад освіти позбавлений можливості забезпечити конституційне право дитини на здобуття повної загальної середньої освіти, дитина не зможе мати доступ до освіти, отримати документ про здобуття освіти, а заклад освіти здійснювати свої повноваження.
