Применение Закона от 07.05.2021 № 99-З «О защите персональных данных» в сфере образования

Материал подготовлен с использованием правовых актов по состоянию на 13 сентября 2022 г.

Комментируются разъяснения Национального центра защиты персональных данных от 24.08.2022, касающиеся применения Закона от 07.05.2021 № 99-З «О защите персональных данных» в сфере образования.

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Кодекс об административных правонарушениях (далее – КоАП)

● Трудовой кодекс (далее – ТК)

● Указ Президента от 25.10.2007 № 534 «О мерах по совершенствованию охранной деятельности» (далее – Указ № 534)

● Декрет Президента от 15.12.2014 № 5 «Об усилении требований к руководящим кадрам и работникам организаций» (далее – Декрет № 5)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Закон от 17.07.2018 № 130-З «О нормативных правовых актах» (далее – Закон № 130-З)

● Закон от 08.11.2006 № 175-З «Об охранной деятельности в Республике Беларусь» (далее – Закон № 175-З)

● Положение о Национальном центре защиты персональных данных, утв. Указом Президента от 28.10.2021 № 422 (далее – Положение № 422)

● Положение о порядке функционирования интернет-сайтов государственных органов и организаций, утв. постановлением Совета Министров от 29.04.2010 № 645 (далее – Положение № 645)

● Разъяснение Национального центра защиты персональных данных от 24.08.2022 «Информация о применении Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» в сфере образования» (далее – Разъяснение)

● Рекомендации Национального центра защиты персональных данных от 09.06.2022 «Рекомендации об обработке персональных данных в связи с трудовой (служебной) деятельностью» (далее – Рекомендации)

Согласно ст. 69 Закона № 130-З выделяется:

1) официальное толкование НПА;

2) письменные разъяснения НПА.

Официальное толкование осуществляется путем принятия (издания) соответствующего НПА в случае обнаружения неясностей и различий в содержании и понимании НПА, а также противоречий в практике его применения, если не требуется внесение в НПА (его структурные элементы) соответствующих изменений.

Письменные разъяснения применения НПА подготавливают при необходимости нормотворческие органы (должностные лица), реализующие госполитику, осуществляющие правовое регулирование и управление в определенной отрасли (сфере деятельности) или к компетенции которых отнесено решение соответствующих вопросов, либо другие уполномоченные госорганы (организации).

Дача письменных разъяснений НПА указанными госорганами (организациями) по обращениям граждан и юрлиц осуществляется в порядке, предусмотренном законодательством об обращениях граждан и юрлиц.

Согласно п. 1 Положения № 422 Национальный центр защиты персональных данных (далее – НЦЗПД) является уполномоченным органом по защите прав субъектов персональных данных.

В п. 7 Положения № 422 закреплено, что НЦЗПД в т.ч. дает разъяснения по вопросам применения законодательства о персональных данных, проводит иную разъяснительную работу о законодательстве о персональных данных.

На сайте НЦЗПД документ называется Разъяснением, при этом в самом документе указано, что это «Информация о применении Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» в сфере образования». Полагаем, что речь идет о рекомендациях в значении п. 2 ст. 69 Закона № 130-З.

В Разъяснении НЦЗПД фактически обратил внимание на то, что перечень персональных данных значительно шире.

Определение персональных данных приведено в ст. 1 Закона № 99-З. В практическом смысле правильное определение персональных данных позволяет надлежащим образом провести аудит потоков обработки персональных данных, составить реестр обработки персональных данных, определить документы, содержащие персональные данные, принять меры по допуску к персональным данным, которые обрабатываются в организации, и т.п.

Иными словами, правильное понимание того, что является персональными данными, является исключительно важным при работе с ними, в т.ч. для предупреждения возможности привлечения к ответственности за нарушение законодательства о защите персональных данных.

В подп. 1.1 п. 1 Разъяснения указано, что можно выделить 2 вида информации, которая может признаваться персональными данными:

● информация, относящаяся к идентифицированному лицу;

● информация, относящая к лицу, которое может быть идентифицировано.

Идентифицированным является лицо, личность которого уже известна, которое однозначно выделено среди иных лиц (на него можно конкретно указать, установить контакт с данным лицом и т.п.).

Как правило, информация, относящаяся к идентифицированному лицу, – это указание фамилии, имени, отчества лица в совокупности с другими данными, которые однозначно выделяют его среди иных лиц. В качестве примера в Разъяснении приведен следующий набор данных: Ковалев Михаил Михайлович, учащийся 10 «В» класса, проживающий по адресу: г. Минск, ул. Уручская, 11-45.

Физлицом, которое может быть идентифицировано, согласно абз. 17 ст. 1 Закона № 99-З признается лицо, которое может быть прямо или косвенно определено, в частности, через фамилию, собственное имя, отчество (если таковое имеется), дату рождения, идентификационный номер либо через один или несколько признаков, характерных для его физической, психологической, умственной, экономической, культурной или социальной идентичности.

В указанном случае НЦЗПД выделяет 2 случая:

1) когда физлицо, которое может быть прямо определено, – это лицо, личность которого можно установить на основании имеющейся информации без использования дополнительных сведений;

Пример 1.

Директор ГУО «Гимназия № 3 г. Минска»; заведующий кафедрой аналитической экономики и эконометрики Белорусского государственного университета; начальник отдела кадров, председатель общего собрания участников и т.п.

2) когда физлицо, которое может быть косвенно определено, – это лицо, личность которого нельзя установить на основании имеющейся информации, но это можно сделать путем объединения такой информации с иными располагаемыми сведениями или сведениями, которые могут быть получены из других источников.

Пример 2.

Напрямую неизвестно, кто был победителем областной олимпиады по математике 2019 года, но это лицо можно идентифицировать, получив дополнительную информацию в учреждении образования (управлении образования, у организаторов олимпиады). Также это может быть лучший работник (продавец, водитель и т.п.) 2022 года и т.п.

Запрос согласия в случаях, когда для этого нет правового основания, – это нарушение законодательства о защите персональных данных.

Одним из примечательных моментов в Разъяснении является позиция НЦЗПД по отношению к получению согласия «на всякий случай» и иным подобным ситуациям.

Так, если обработка персональных данных может осуществляться на одном из оснований, перечисленных в ст. 6 и (или) п. 2 ст. 8 Закона № 99-З, получать согласие субъекта персональных данных на обработку его персональных данных (независимо от цели обработки) не требуется, и такое согласие рассматривается как избыточная обработка персональных данных и является нарушением Закона № 99-З, что влечет административную и иную ответственность согласно ст. 19 Закона № 99-З и иным законодательным актам (подп. 2.1 п. 2 Разъяснения).

Иными словами, согласие не является универсальным или обязательным условием для обработки персональных данных.

Административная ответственность в указанном случае наступает по ч. 2 ст. 23.7 КоАП за умышленный незаконный сбор, обработку, хранение или предоставление персональных данных физлица либо нарушение его прав, связанных с обработкой персональных данных, совершенных лицом, которому персональные данные известны в связи с его профессиональной или служебной деятельностью. Санкция ч. 2 ст. 23.7 КАП предусматривает наложение штрафа в размере от 4 до 100 БВ.

Полагаем, что указание на ст. 19 Закона № 99-З в подп. 2.1 п. 2 Разъяснения также означает право пострадавшего физлица на возмещение морального вреда. В частности, согласно п. 2 ст. 19 Закона № 99-З моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, установленных Законом № 99-З, подлежит возмещению. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

Размещение фото- и видеоизображений на сайте.

На практике возникает много вопросов по поводу размещения фото- и видеоизображений в новостной строке на сайтах. По сути есть определенная коллизия между Законом № 99-З и иными НПА. Учитывая это, НЦЗПД указал следующее: что касается размещения на сайте учреждения образования фото- и видеоизображений, в т.ч. несовершеннолетних лиц, то в настоящее время в республике принимаются меры по внесению изменений в НПА в целях регулирования вопроса о размещении фотографий и видеозаписей на интернет-сайтах организаций (подп. 2.6 п. 2 Разъяснения).

Однако до внесения соответствующих изменений в акты законодательства государственным учреждениям образования следует руководствоваться Положением № 645.

В этой связи размещение на основании подп. 7.7 п. 7 Положения № 645 по решению руководителя государственного учреждения образования на интернет-сайте, в соцсетях фотографий и видеозаписей с изображением участников мероприятия (в т.ч. несовершеннолетних) без получения их согласия в рамках новостного контента, освещение спортивных, культурных, образовательных мероприятий не рассматривается как нарушение Закона № 99-З. При этом независимо от правовых оснований обработки персональных данных необходимо соблюдать требования, предусмотренные ст. 4 Закона № 99-З, в т.ч. о соразмерности обработки персональных данных заявленным целям их обработки, об исключении избыточности обработки персональных данных.

Полагаем, что указанное разъяснение актуально в целом для всех госорганизаций, на которые распространяется Положение № 645.

В Разъяснении приводится один из случаев, когда учреждениям образования нужно получать согласие.

Обработка персональных данных в мессенджерах. В подп. 2.7 п. 2 Разъяснения НЦЗПД указал, что относительно размещения информации, содержащей персональные данные, в создаваемых обучающимися, их родителями группах в мессенджерах необходимо учитывать, что данные отношения, несмотря на наличие обработки с использованием средств автоматизации, не являются предметом регулирования Закона № 99-З. Такая обработка персональных данных осуществляется указанными лицами в процессе исключительно личного использования и не связана с их профессиональной или предпринимательской деятельностью (абз. 2 п. 2 ст. 2 Закона № 99-З).

Полагаем, что указанное разъяснение следовало бы детализировать, поскольку в этой сфере существует множество нюансов:

1) участвуют ли в такой обработке педагогические работники. Как правило, в рассматриваемых группах в мессенджерах активно участвует педагогический работник (учитель начальных классов, классный руководитель и т.п.). В связи с этим говорить о том, что обработка персональных данных осуществляется исключительно в личных или бытовых целях, затруднительно;

2) если нет участия педагогического или иного работника учреждения образования в такой обработке персональных данных, то это не означает, что не применяется Закон № 99-З и административная ответственность за его нарушение. Иными словами, если нет участия учреждения образования, то оно не выступает в качестве оператора или иного участника обработки персональных данных. Но это не освобождает от ответственности участников такой обработки.

Судебная практика.

Гражданин со своего мобильного устройства разместил в мессенджере в общей группе жильцов товарищества собственников (далее – ТС) копию постановления об освобождении от административной ответственности по ч. 1 ст. 10.10 КоАП (нарушение законодательства об обращениях граждан и юрлиц), вынесенного администрацией Октябрьского района г. Гродно в отношении председателя ТС.

Председатель ТС с соответствующим заявлением обратилась в УВД администрации Октябрьского района г. Гродно, в котором просила принять меры к гражданину, который разместил в общей группе ТС в мессенджере постановление об административном правонарушении по ч. 1 ст. 10.10 КоАП в отношении нее, в котором содержатся ее личные данные, без ее согласия.

Решением суда Октябрьского района г. Гродно гражданин на основании ч. 3 ст. 23.7 КоАП был подвергнут штрафу в размере 5 БВ.

Гражданин не согласился с постановлением суда Октябрьского района г. Гродно и обжаловал его в Гродненский областной суд. В своей жалобе он указал, что его действия в силу ст. 2 Закона № 99-З не образуют состава административного правонарушения, а выводы судьи о его виновности основаны на неверной оценке исследованных доказательств. Гражданин просил отменить постановление, прекратить дело об административном правонарушении.

Жалоба гражданина не была удовлетворена. Областной суд указал, что согласно ст. 2 Закона № 99-З действие Закона № 99-З не распространяется на отношения, касающиеся случаев обработки персональных данных физлицами в процессе исключительно личного, семейного, домашнего и иного подобного их использования, не связанного с профессиональной или предпринимательской деятельностью. Доводы жалобы гражданина о том, что его действия не образуют состава административного правонарушения в соответствии со ст. 2 Закона № 99-З, основаны на его неверном толковании и отвергаются как необоснованные (постановление Гродненского областного суда от 22.03.2022 по делу № 75АП221/Жн).

Предоставление персональных данных на запросы. Вопросы соблюдения конфиденциальности и обеспечения правомерного предоставления сведений, содержащих персональные данные, на практике вызывают многочисленные вопросы, т.к. Закон № 99-З новый и многие правоприменители сталкиваются со сложностями при ответе на запросы по предоставлению таких сведений.

В Разъяснении НЦЗПД высказывает официальную позицию по указанному вопросу. Так, в случае направления запроса о предоставлении персональных данных запрашивающий орган (организация) должен указать правовые основания для запроса, цель обработки, содержание и объем запрашиваемых персональных данных. При этом если правовым основанием для обработки персональных данных является согласие субъекта персональных данных, то запрос направляется с приложением копии согласия (подп. 2.9 п. 2 Разъяснения).

Наличие правового основания не снимает с учреждений образования, предоставляющих персональные данные, обязанностей по соблюдению требований ст. 4 Закона № 99-З, в т.ч. по исключению чрезмерной обработки (предоставления) персональных данных и по информированию субъекта персональных данных о том, какие персональные данные и кому предоставлялись.

Учреждение образования, предоставляющее информацию, при наличии сомнений может запрашивать дополнительную информацию на предмет соблюдения положений ст. 4 Закона № 99-З, в частности, уточнения целей и, соответственно, объема информации, необходимой для их достижения.

Видеонаблюдение в качестве одной из мер пропускного режима. В Рекомендации указано, что в отдельных случаях видеонаблюдение используется:

1) в силу прямого требования законодательных актов. Например, использование системы видеонаблюдения предусмотрено в случае отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности. Порядок ее использования и виды соответствующих объектов определены Указом Президента от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка». Постановлением Совета Министров от 30.12.2013 № 1164 установлены критерии отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности;

2) для выполнения обязанностей (полномочий), вытекающих из законодательных актов. К числу таких обязанностей (полномочий) могут быть, в частности, отнесены:

● обеспечение реализации нанимателем возложенных на него ТК обязанностей, в т.ч. вытекающих из п. 2 ч. 1 ст. 55 ТК в части обеспечения производственно-технологической, исполнительской и трудовой дисциплины;

● обеспечение охраны физлиц (в т.ч. работников), имущества нанимателя от противоправных посягательств в соответствии с Законом № 175-З, Указом № 534.

При этом контроль за деятельностью и поведением работников не может выступать в качестве единственной цели использования видеонаблюдения, но может являться следствием реализации нанимателем своих обязанностей (полномочий), вытекающих из законодательных актов;

3) с согласия субъектов персональных данных. Учитывая, что при использовании системы видеонаблюдения осуществляется сбор и фиксация широкого спектра информации (видеонаблюдение, независимо от цели, затрагивает всех лиц, попадающих в объектив видеокамеры, осуществляется в постоянном режиме, позволяющем выявлять поведенческие признаки субъектов персональных данных, их психологическое состояние и т.п.), обработка персональных данных при видеонаблюдении может осуществляться нанимателем только при условии, что иными способами, предусматривающими меньшее вмешательство в частную жизнь работников и их персональные данные, нельзя достичь цели, закрепленной в законодательстве. Например, учет явки работников на работу и ухода с нее может быть организован с использованием карточки без использования специально для этих целей системы видеонаблюдения.

Кроме того, при выборе способа обработки персональных данных работников для достижения соответствующих целей следует учитывать положения п. 2 ст. 4 Закона № 99-З о необходимости справедливого соотношения интересов всех заинтересованных лиц при обработке персональных данных.

По сути, положения Рекомендаций повторены в Разъяснении, но с определенными уточнениями. Так, к числу таких обязанностей (полномочий) может быть отнесено обеспечение охраны физлиц, имущества учреждения образования от противоправных посягательств в соответствии с Законом № 175-З, Указом № 534. В указанном случае пропускной режим и видеонаблюдение рассматриваются в качестве мероприятий, направленных на исключение бесконтрольного входа (выхода) на охраняемый объект (подп. 2.10 п. 2 Разъяснения).

В приведенных случаях обработка персональных данных в учреждениях образования осуществляется на основании абз. 20 ст. 6 Закона № 99-З.

При этом в целях обеспечения принципа прозрачности обработки персональных данных (п. 6 ст. 4 Закона № 99-З) субъекты персональных данных должны быть проинформированы о видеонаблюдении с помощью специальных информационных знаков (табличек), размещенных на территории, где оно ведется.

Не допускается использование видеонаблюдения для наблюдения за местами, предназначенными для личных нужд граждан (туалеты, комнаты отдыха, раздевалки и т.п.).

Видеозаписи не могут быть использованы в личных и иных целях, не связанных с профессиональной деятельностью, и не подлежат изменению, использованию, распространению и предоставлению, кроме случаев, предусмотренных законодательными актами.