окументы по защите персональных данных:

перечень для учреждений дошкольного образования

Учреждение дошкольного образования, являясь самостоятельным оператором, осуществляющим обработку персональных данных, обязано выполнять предписания Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон). Рассмотрим более подробно, какая документация должна быть в учреждении дошкольного образования в соответствии с Законом.

Закон не содержит исчерпывающего перечня мер, принятие которых будет свидетельствовать о соблюдении оператором обязанности по обеспечению защиты персональных данных. В Законе реализован риск-ориентированный подход, поэтому в зависимости от сферы деятельности оператора, объема обрабатываемых персональных данных, способов обработки, категорий персональных данных, потенциальных рисков, связанных с обработкой персональных данных, иных обстоятельств оператор (уполномоченное лицо) самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей по обеспечению защиты персональных данных. При этом в ст. 17 Закона прописан комплекс мер по обеспечению защиты персональных данных, которые каждый оператор (уполномоченное лицо) обязан принимать в своей организации.

***

Таким образом, обработка персональных данных в сфере дошкольного образования может осуществляться на различных правовых основаниях, при этом согласие субъекта персональных данных в большинстве случаев не требуется.

Вместе с тем даже наличие и правильный выбор правовых оснований обработки персональных данных не исключают возможных нарушений Закона. Обращаем внимание, что в соответствии с п. 5 ст. 4 Закона обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. К сожалению, приходится констатировать, что в учреждениях образования встречается избыточная обработка персональных данных, когда учреждения собирают информацию на всякий случай, не задумываясь о реальной необходимости обработки подобной информации.

Для оказания учреждениям образования содействия в надлежащей реализации законодательства о персональных данных Центром подготовлена информация о применении Закона в сфере образования, в которой детально освещены вопросы, связанные с обработкой персональных данных в учреждениях образования, включая правовые основания такой обработки, общие требования к обработке персональных данных, организацию работы по реализации Закона. Указанная информация доступна для скачивания на сайте Центра (короткая ссылка — clck.ru/yG6eZ).

Источник: журнал РУКОВОДИТЕЛЬ учреждения дошкольного образования

Автор:

Швед Надежда

Субъект персональных данных — физическое лицо, персональные данные которого обрабатываются оператором.

Основные права субъекта закреплены в ст. 10‒13 и 15 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон).

Право на отзыв согласия

Отзыв согласия — одно из прав субъекта, означающее прекращение права оператора обрабатывать персональные данные, если у него нет иных правовых оснований для обработки. Иными словами, отзыв согласия возможен только в том случае, если обработка персональных данных осуществлялась на основании согласия.

Право на получение информации, касающейся обработки персональных данных, и изменение персональных данных

Это одно из ключевых прав субъекта персональных данных. Оно означает, по сути, право субъекта на доступ к информации об обработке его персональных данных конкретным оператором в объеме, определенном законодателем и указанном в п. 1 ст. 11 Закона. При этом в п. 3 ст. 11 Закона установлены случаи, когда информация, касающаяся обработки персональных данных субъекта, не предоставляется.

Учреждение образования обязано предоставить субъекту в доступной форме информацию, касающуюся обработки персональных данных, либо уведомить его о причинах отказа в ее предоставлении.

Субъект вправе требовать от оператора внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными. Указанное право вытекает из принципа достоверности обработки персональных данных.

Право на получение информации о предоставлении своих персональных данных третьим лицам

Предоставление такой информации субъекту направлено на реализацию принципа прозрачности обработки персональных данных.

Данное право может быть реализовано один раз в календарный год, предоставление соответствующей информации осуществляется бесплатно.

Учреждение образования обязано в 15‑дневный срок после получения заявления субъекта предоставить ему информацию о том, какие персональные данные этого субъекта и кому предоставлялись в течение года, предшествовавшего дате подачи заявления, либо уведомить субъекта о причинах отказа в ее предоставлении. При этом указанию подлежат конкретные персональные данные, а также конкретные организации, которым такие данные предоставлялись.

Для реализации субъектом данного права учреждению образования необходимо обес­печить учет фактов передачи персональных данных третьим лицам.

Информация о предоставлении персональных данных третьим лицам может не предоставляться в случаях, предусмотренных п. 3 ст. 11 и п. 2 ст. 12 Закона.

Право требовать прекращения обработки персональных данных и (или) их удаления

Данное право может быть реализовано в отношении персональных данных, если:

• они были незаконно получены;
• истек установленный срок их хранения;
• отсутствуют правовые основания для их обработки;
• отдельные персональные данные не являются необходимыми для заявленной цели обработки.

Учреждение образования при отсутствии оснований для обработки персональных данных обязано в 15‑дневный срок после получения заявления субъекта обеспечить прекращение обработки персональных данных и их удаление уполномоченным лицом и уведомить об этом субъекта.

При отсутствии технической возможности удаления персональных данных учреждение образования обязано принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта в тот же срок.

Пунктом 3 ст. 13 Закона установлено право оператора отказать субъекту в удовлетворении требований о прекращении обработки его персональных данных и (или) их удалении при наличии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами. Например, если персональные данные субъекта необходимы оператору для выполнения требований о хранении документов, предусмотренных Законом Республики Беларусь от 25.11.2011 № 323-З «Об архивном деле и делопроизводстве в Республике Беларусь» и принятым в его развитие постановлением Министерства юстиции Республики Беларусь от 24.05.2012 № 140 «О перечне типовых документов Нацио­нального архивного фонда Республики Беларусь», то оператор не может прекратить обработку персональных данных и (или) удалить их по требованию субъекта, поскольку есть правовое основание для их обработки.

Указанное право субъекта может быть реализовано в порядке, предусмотренном ст. 14 Закона, по его заявлению. Корреспондирующей обязанностью оператора является рассмотрение заявления в 15‑дневный срок (пятидневный — для реализации права субъекта на получение информации, касающейся обработки персональных данных) и реализация указанного в нем права. В случае, если реализовать данное право не представляется возможным, оператор в этот же срок уведомляет субъекта об этом.

Право на обжалование действия (бездействия) и решения оператора в уполномоченный орган

Правом подачи жалобы обладает субъект, чьи права были нарушены учреждением образования. Органом по защите прав субъектов, уполномоченным на рассмотрение жалоб, является Национальный центр защиты персональных данных.

Право на возмещение морального вреда, причиненного вследствие нарушения прав субъекта

Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом убытков.

Компенсация морального вреда осуществляется в соответствии с гражданским и гражданским процессуальным законодательством.

Учреждение образования, являясь самостоятельным оператором, обязано выполнять предписания Закона. Остановимся более подробно на тех документах, касающихся защиты персональных данных, которые должны быть разработаны в учреждении образования.

1. Приказ о назначении лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных*.

Наряду с назначением ответственного лица необходимо разработать порядок осуществления внутреннего контроля за обработкой персональных данных, включающий периодичность и формат контрольных мероприятий, их оформление и порядок принятия решений по результатам таких мероприятий.

*    С рекомендациями о назначении структурного подразделения или лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных, можно ознакомиться на сайте НЦЗПД.

2. Политика учреждения образования в отношении обработки персональных данных.

Цель издания данного документа заключается в информировании субъектов персональных данных об обработке персональных данных в учреждении.

Следует отметить, что это может быть один общий документ, определяющий политику учреждения образования в отношении обработки персональных данных, или несколько документов, определяющих порядок обработки персональных данных в определенных сферах или в связи с определенными процессами (например, в рамках обработки персональных данных на сайте, обработки персональных данных работников в процессе трудовой (служебной) деятельности и т. п.).

Это важно
Политика должна содержать общие положения, разъясняющие субъекту персональных данных, как и для каких целей персональные данные собираются, используются или иным образом обрабатываются, а также какие права имеются у субъекта в контексте этой обработки и каков механизм их реализации.

При написании политики важно обеспечить соотношение информации о целях, правовых основаниях обработки и круге обрабатываемых персональных данных, что позволит субъекту персональных данных уяснить, какие его персональные данные и для каких именно целей обрабатываются. В противном случае политика будет носить формальный характер и не иметь для субъекта практической пользы, поскольку не будет обеспечена реализация принципа прозрачности обработки персональных данных.

Это важно
Как показали проверки, проводимые НЦЗПД, многие забывают отразить в политике все процессы, в ходе которых обрабатываются персональные данные (например, забывают о видеонаблюдении в здании), а также не обеспечивают соотношение целей обработки, правовых оснований, категорий субъектов персональных данных, чьи данные подвергаются обработке, и перечня обрабатываемых персональных данных.

При подготовке политики многие операторы просто дублируют положения Закона, что также не отвечает принципу прозрачности обработки персональных данных, либо используют первую попавшуюся в Интернете политику без ее адаптации к собственным процессам, либо включают в политику положения, изложенные с учетом подходов российского законодательства.

Отмечается также несогласованность положений политики, а иногда даже прямое противоречие их друг другу. При формулировании целей обработки персональных данных в политике зачастую указывают слишком общие либо неконкретные цели обработки (например, обеспечение соблюдения законодательства, осуществление деятельности в соответствии с уставом). При определении сроков обработки персональных данных сроки либо вовсе не указываются, либо указываются неконкретные сроки («не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен законодательством», «согласие действует до момента отзыва этого согласия либо до момента, установленного законодательством»).

Это важно
В некоторых случаях в политике не указывается механизм реализации прав субъектов персональных данных, в т. ч. не указывается лицо, ответственное за осуществление внутреннего контроля, либо на субъектов персональных данных возлагаются обязанности, не предусмотренные Законом, что нарушает их права и законные интересы, создает для них сложности и непонимание механизма реализации своих прав.

Рекомендуется писать политику простым и понятным языком, избегая сложных оборотов и специфической профессиональной лексики.

Обращаем внимание, что рекомендации по составлению документа, определяющего политику оператора (уполномоченного лица) в отношении обработки персональных данных, размещены в открытом доступе.

Необходимо помнить и о том, что учреждение образования обязано обеспечить неограниченный доступ к политике, в т. ч. с использованием Интернета, с учетом круга субъектов персональных данных, на которых она распространяется.

Это важно
Политика оператора в отношении «внешнего контура» (законных представителей несовершеннолетних, граждан, направляющих обращения, и т. п.) размещается на сайте оператора. При отсутствии у учреждения образования сайта обеспечение неограниченного доступа к политике осуществляется посредством ее размещения на информационных стендах или иными способами.

Политику учреждения образования в отношении обработки персональных данных работников (при ее наличии) нет необходимости размещать в открытом доступе для неограниченного круга лиц. В этом случае допустимо опубликовать соответствующий документ на корпоративном портале (при его наличии), а также разместить на информационных стендах.

3. Документ, определяющий порядок доступа к персональным данным, в т. ч. обрабатываемым в информационном ресурсе (системе).

В законодательстве нет требований относительно того, что должен включать данный порядок. Полагаем, это зависит от самого учреждения образования, целей сбора персональных данный и от того, какие персональные данные будут обрабатываться.

Порядок доступа к персональным данным целесообразно закрепить в одном документе, но отдельные его положения могут быть детализированы в иных документах, в т. ч. положениях об информационных ресурсах (системах), о видеонаблюдении и др.

При разработке порядка доступа к персональным данным в нем следует отразить различия в предоставлении такого доступа к документам в информационных ресурсах и к документам в бумажном виде. Например, доступ к персональным данным, обрабатываемым в информационном ресурсе (системе), может быть ограничен посредством настроек программного обеспечения (установление разграничения доступа, паролей). А доступ к персональным данным, содержащимся в документах в бумажном виде, можно ограничить посредством организации мест для их хранения.

Отсутствие такого порядка может привести к тому, что доступ к персональным данным будут иметь работники, должностные обязанности которых не связаны с обработкой персональных данных (например, обслуживающий персонал), или иные лица (обучающиеся, родители, посетители учреждения образования).

В любом случае данный документ может включать следующую информацию:

• перечень работников, непосредственно осуществляющих обработку персональных данных, в соответствии с целями их обработки и категориями персональных данных;
• порядок доступа в помещения, где обрабатываются персональные данные, к электронным базам персональных данных, порядок выдачи логинов и паролей, перечень должностей учреждения образования, которым может быть дан доступ, а также цели выдачи такого доступа (например, при организации оплаты питания);
• порядок прекращения доступа работников к обработке персональных данных и т. п.

4. Перечень информационных ресурсов (систем), содержащих персональные данные, собственником (владельцем) которых является учреждение образования, а также категорий персональных данных, подлежащих включению в данные ресурсы (системы).

Операторы обязаны устанавливать и поддерживать в актуальном состоянии перечень информационных ресурсов (систем), содержащих персональные данные, собственниками (владельцами) которых они являются (подп. 3.5 п. 3 Указа Президента Республики Беларусь от 28.10.2021 № 422 «О мерах по совершенствованию защиты персональных данных»).

К данным ресурсам (системам) следует относить, например, такие распространенные в учреждениях образования ресурсы (системы), как корпоративная электронная почта, программное обеспечение для ведения бухгалтерского учета и отчетности, кадрового учета, сайты учреждений, автоматизированные системы контроля и управления доступом, системы видеонаблюдения, системы электронного документооборота и т. п.

5. Перечень уполномоченных лиц (если для обработки персональных данных в учреждении образования привлекаются такие лица).

Данный перечень может быть установлен как в виде отдельного документа, так и в документах, определяющих политику оператора в отношении обработки персональных данных, реестре обработки персональных данных.

При этом учреждение образования при заключении договора с уполномоченным лицом должно руководствоваться ст. 7 Закона.

6. Формы согласия субъекта персональных данных.

Учреждение образования должно разработать и утвердить формы согласия субъекта персональных данных для обработки персональных данных, осуществляемой на основании согласия. Важно учитывать, что для разных целей обработки формы согласия могут отличаться (по кругу обрабатываемых персональных данных, сроку хранения, кругу уполномоченных лиц и т. п.).

С примерной формой согласия можно ознакомиться на сайте НЦЗПД.

7. Документ, устанавливающий порядок удаления (уничтожения) персональных данных.

Данный документ может быть оформлен как отдельный локальный правовой акт либо включен в локальный акт, определяющий порядок функционирования информационной системы (ресурса), политику информационной безопасности.

8. Документ, определяющий порядок учета предоставления персональных данных третьим лицам.

Целесообразно вести учет предоставления персональных данных третьим лицам (например, в журнале). При отсутствии такого учета будет затруднительно в полной мере выполнять обязанности оператора (например, реализовывать право субъекта персональных данных, предусмотренное ст. 12 Закона, на получение информации о предоставлении персональных данных третьим лицам).

ПОЛИТИКА В ОБЛАСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ПОЛИТИКА 

ГУО "Детский сад № 82 г.Минска"

в отношении обработки персональных данных

  ГЛАВА 1

ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) подготовлена во исполнение требований Закона Республики Беларусь от 7 мая 2021 г. № 99-3 «О защите персональных данных» (далее – Закон о защите персональных данных), определяет порядок обработки персональных данных государственным учреждением образования «Детский сад № 82 г.Минска» (далее – Оператор, Детский сад №82 г.Минска) и меры по обеспечению защиты и безопасности персональных данных, принимаемые Оператором.
2. Политика действует в отношении всех процессов обработки персональных данных, которые Детский сад № 82 г.Минска получает о субъектах персональных данных от работников, их обрабатывающих.
3. Целью настоящей Политики является обеспечение надлежащей защиты персональных данных от несанкционированного доступа и разглашения, соблюдение прав и свобод гражданина при обработке его персональных данных, в том числе обеспечение защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
4. Передавая Оператору персональные данные, субъект персональных данных подтверждает своё согласие на обработку соответствующей информации на условиях, изложенных в настоящей Политике.
5. В настоящей Политике используются следующие основные термины:

- обработка персональных данных – любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;

- оператор – государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель, самостоятельно или совместно с иными указанными лицами организующие и (или) осуществляющие обработку персональных данных;

- персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;

- предоставление персональных данных – действия, направленные на ознакомление с персональными данными определенных лица или круга лиц;

- распространение персональных данных – действия, направленные на ознакомление с персональными данными неопределенного круга лиц;

- субъект персональных данных – физическое лицо, в отношении которого осуществляется обработка персональных данных: обучающиеся и их законные представители, работники Детского сада №82 г.Минска, кандидаты на трудоустройств;

- трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства.

ГЛАВА 2

ОСНОВНЫЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6. Обработка персональных данных осуществляется на основе следующих принципов:

- согласия субъекта персональных данных (одного из законных представителей лица, не достигшего возраста шестнадцати лет), за исключением случаев, установленных законодательством. Согласие субъекта персональных данных оформляется в письменной форме в момент его зачисления в состав воспитанников Детского сада № 82 г.Минска, трудоустройства или заключения договорных отношений с Детским садом № 82 г.Минска. Субъект персональных данных дает согласие на обработку персональных данных на неопределенный срок, если иное не предусмотрено законодательством;

- достижения конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки;

- точности, достаточности и актуальности по отношению к заявленным целям обработки;

- прозрачности характера целей сбора информации субъекта персональных данных;

- защиты персональных данных в период их сбора и хранения.

7. Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.

ГЛАВА 3

ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

8. Целями обработки Оператором персональных данных являются:

- заключение с субъектами персональных данных любых видов договоров и их последующее исполнение;

- анализ работы Детского сада № 82 г.Минска, в том числе посредством проведения опросов и иных исследований;

- формирование справочных и аналитических материалов для самоконтроля и информационного обеспечения деятельности Детского сада № 82 г.Минска;

- организация мероприятий и обеспечение участия в них субъектов персональных данных;

- использование персональных данных в целях информирования субъектов персональных данных по вопросам деятельности Детского сада № 82 г.Минска ;

- обеспечение пропускного режима, безопасности, сохранения материальных ценностей и предотвращение правонарушений в Детском саде № 82 г.Минска;

- ведение кадровой работы и организация учета работников Детского сада № 82 г.Минска;

- ведение электронных баз данных ИАС1-ДУ;

- осуществление административных процедур;

- ведение индивидуального (персонифицированного) учета застрахованных лиц;

- ведение воинского учета;

- ведение бухгалтерского и налогового учета;

- начисление и перечисление заработной платы, назначение и выплата пособий;

- обработка персональных данных в целях назначения пенсий;

- осуществление хозяйственной деятельности;

- заполнение и передача в государственные органы и иные уполномоченные организации требуемых форм отчетности;

- выполнение иных обязанностей (полномочий), предусмотренных законодательными актами.

ГЛАВА 4

КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПЕРЕЧЕНЬ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОБРАБАТЫВАЕМЫХ ОПЕРАТОРОМ

9. Оператор может обрабатывать персональные данные следующих субъектов персональных данных:

- работники Детского сада № 82 г.Минска, бывшие работники Детского сада № 82 г.Минска, кандидаты на трудоустройство, их супруги и близкие родственники;

- обучающиеся, в том числе бывшие, детского сада № 82 г.Минска, их законные представители, в том числе лица, которым «Детский сад № 82 г.Минска» предоставляют платные услуги в сфере образования по договорам;

- иные лица, предоставившие персональные данные детскому саду № 82 г.Минска посредством оформления договоров, заполнения анкет, опросников, иным путем.

1. К персональным данным работников, обрабатываемым «Детским садом № 82 г.Минска», относятся:

- фамилия, собственное имя, отчество;

- пол;

- число, месяц, год рождения;

- идентификационный номер;

- паспортные данные;

- место рождения;

- фотопортрет;

- медицинские документы о состоянии здоровья;

данные:

- о гражданстве (подданстве);

- о регистрации по месту жительства и (или) месту пребывания;

- о смерти или объявлении физического лица умершим, признании безвестно отсутствующим, недееспособным, ограниченно дееспособным;

- о родителях, опекунах, попечителях, семейном положении, супруге, ребенке (детях) физического лица;

- об образовании, ученой степени, ученом звании;

- о дополнительных видах занятости;

- о пенсии, ежемесячной страховой выплате по обязательному страхованию от несчастных случаев на производстве и профессиональных заболеваний;

- об исполнении воинской обязанности;

- об инвалидности;

- о наличии исполнительного производства на исполнении в органах принудительного исполнения;

- о привлечении к уголовной, административной ответственности.

1. К персональным данным обучающихся и их законных представителей, обрабатываемым «Детским садом № 82 г.Минска», относятся:

- фамилия, собственное имя, отчество воспитанника;

- пол;

- дата и место рождения;

- адрес места жительства;

- адрес регистрации;

- номер группы;

- данные свидетельства о рождении;

- сведения о состоянии здоровья;

- данные о приеме;

- дата и причина отчисления воспитанника;

- фамилия, собственное имя, отчество родителя (законного представителя);

- статус семьи;

- адрес регистрации родителя (законного представителя);

- адрес проживания родителя (законного представителя);

- место работы, учёбы родителя (законного представителя);

- телефон родителя (законного представителя);

- паспортные данные;

- номер лицевого счета родительской оплаты;

- данные о получаемых компенсациях;

- личная подпись представителя.

2. Специальные персональные данные (персональные данные, касающиеся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные) Оператор обрабатывает только при условии согласия субъекта персональных данных либо без согласия субъекта персональных данных при оформлении трудовых отношений, а также в процессе трудовой деятельности, в иных случаях, предусмотренных законодательством.

ГЛАВА 5

ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

3. Оператор имеет право:

- получать от субъекта персональных данных достоверные информацию и (или) документы, содержащие персональные данные;

- запрашивать у субъекта персональных данных информацию об актуальности и достоверности предоставленных персональных данных;

- в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о защите персональных данных;

- в случае необходимости для достижения целей обработки персональных данных передавать их третьим лицам с соблюдением требований законодательства;

-самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о защите персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о защите персональных данных;

- обрабатывать персональные данные следующими способами:

- с использованием средств автоматизации;

- без использования средств автоматизации (списки, журналы и другое);

- с одновременным использованием обоих вышеуказанных способов.

4. Оператор обязан:

- разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;

- получать согласие субъекта персональных данных на обработку персональных данных, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;

- обеспечивать защиту персональных данных в процессе их обработки;

- предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом о защите персональных данных и иными законодательными актами;

- вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;

- прекращать обработку персональных данных, а также осуществлять их удаление или блокирование при отсутствии оснований для обработки персональных данных;

- исполнять требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;

- выполнять иные обязанности, предусмотренные Законом о защите персональных данных и иными законодательными актами.

ГЛАВА 6

ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

5. Субъект персональных данных имеет право:

- получать информацию, касающуюся обработки его персональных данных;

- получать от Оператора информацию о предоставлении своих персональных данных третьим лицам на условиях, определенных Законом о защите персональных данных;

- отзывать согласие на обработку персональных данных посредством подачи Оператору заявления в письменной форме;

- обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных;

требовать от Оператора:

- изменения его персональных данных в случае, если персональные данные являются неполными или устаревшими;

- прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом о защите персональных данных и иными законодательными актами;

- осуществления иных прав, предусмотренных законодательством Республики Беларусь.

6. Субъект персональных данных обязан:

- предоставлять Оператору достоверные данные о себе;

- сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.

Лица, передавшие Оператору недостоверные сведения о себе либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Республики Беларусь.

ГЛАВА 7

ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

7. Работники - Детского сада № 82 г.Минска получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Законом.
8. Трансграничная передача персональных данных ГУО «Детский сад № 82 г.Минска» не осуществляется.
9. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается посредством реализации правовых, организационных и технических мер, необходимых для выполнения в полном объеме требований законодательства в области защиты персональных данных.
10. Настоящая Политика вступает в силу со дня ее утверждения.
11. Оператор имеет право изменять настоящую Политику в одностороннем порядке без предварительного согласования и последующего уведомления субъекта персональных данных.
12. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящей Политике, регулируются законодательством.
13. В целях обеспечения защиты персональных данных, соблюдения положений настоящей Политики, а также законодательства в области защиты персональных данных в Детском саду № 82 г.Минска назначается лицо, ответственное за осуществление контроля обработки персональных данных.

 

еобходимо ли получать согласие законных представителей воспитанников при размещении их фото и видео на сайте учреждения дошкольного образования?

---

Не нужно, если основной объект на снимке — не изображение ребенка, а проводимое мероприятие.

В настоящее время в республике принимаются меры по внесению изменений в НПА в целях регулирования вопроса о размещении фотографий и видеозаписей на сайтах организаций.

До внесения соответствующих изменений в акты законодательства государственным учреждениям образования следует руководствоваться Положением о порядке функционирования интернет-­сайтов государственных органов и организаций (утв. постановлением Совета Министров Республики Беларусь от 29.04.2010 № 645 (далее — Положение № 645)).

На основании подп. 7.7 п. 7 Положения № 645 размещение по решению руководителя государственного учреждения образования на сайте, в соцсетях фотографий и видеозаписей с изображением участников мероприятия (в т. ч. несовершеннолетних) без получения их согласия в рамках новостного контента, освещения спортивных, культурных, образовательных мероприятий не рассматривается как нарушение Закона Республики Беларусь от 07.05.2022 № 99-З «О защите персональных данных».

Изображение ребенка при этом не должно быть основным объектом на снимке, фотография должна отражать именно проводимое мероприятие.

В случае, если акцент делается на изображении ребенка, то для размещения таких фотографий или видеоизображения необходимо получать согласие законного представителя воспитанника.

Согласно п. 1 ст. 130 Кодекса об образовании учреждения образования могут осуществлять приносящую доходы деятельность в соответствии с актами законодательства.

В соответствии с п. 1 ст. 59 Кодекса об образовании для оказания услуг в сфере образования при реализации образовательных программ на платной основе заключается договор, например, на проведение дополнительных занятий по отдельному предмету (предметам), на иные платные услуги и др. При этом одной из сторон договора выступает учреждение образования. На педагогических работников в таких случаях возлагается обязанность осуществления указанных видов деятельности, исходя из педагогической нагрузки.

Таким образом, заключение договоров на оказание платных услуг в сфере образования, а также их исполнение может рассматриваться в качестве трудовой функции работника, поскольку указанные договоры направлены на получение доходов от оказания образовательных и иных услуг учреждением образования.

В отдельных случаях учреждение образования для оказания подобных платных услуг может привлекать педагогических работников по договору подряда. Сторонами таких договоров выступают учреждение образования и педагог, а предметом договоров является оказание образовательных услуг. В подобных случаях получение согласия педагога также не требуется, поскольку правовым основанием обработки является абз. 15 ст. 6 Закона (получение персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором).

Во многих формах согласия встречается следующая цель обработки: для обеспечения образовательного процесса (вариант — в целях осуществления обучения и воспитания).

Между тем согласие субъекта персональных данных на обработку персональных данных не требуется в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6, абз. 17 п. 2 ст. 8 Закона).

В подп. 1.21 п. 1 ст. 1 Кодекса об образовании образовательный процесс определен как обучение и воспитание, организованные учреждением образования, организацией, реализующей образовательные программы научно-­ориентированного образования, иной организацией, индивидуальным предпринимателем, осуществляющими образовательную деятельность, в целях освоения обучающимися содержания образовательных программ.

Кодекс об образовании в ряде случаев прямо предусматривает представление документов, содержащих персональные данные участников образовательного процесса, в целях его обеспечения или налагает на учреждения образования определенные обязанности, связанные с обработкой персональных данных.

---

Пример

В ст. 140 Кодекса об образовании установлены общие требования к приему лиц для получения дошкольного образования и перечислены документы, на основании которых осуществляется прием лица в учреждение дошкольного образования.

---

В других случаях необходимость представления каких-либо документов напрямую в Кодексе об образовании не предусмотрена, однако на учреждения образования возложены определенные обязанности (полномочия), которые не могут быть реализованы без обработки персональных данных.

---

Пример

В соответствии с подп. 1.21 п. 1 ст. 30 Кодекса об образовании обучающиеся имеют право на участие в олимпиадах, конкурсах, турнирах, фестивалях, конференциях, симпозиумах, конгрессах, семинарах и других образовательных мероприятиях, спортивно-­массовой, общественной, научной, научно-­технической, экспериментальной, инновационной деятельности. Таким образом, участие в данных мероприятиях является частью образовательного процесса. Для организации и проведения образовательных мероприятий учреждение образования обязано обрабатывать персональные данные их участников.

---

Как обработка персональных данных, которая является необходимой для выполнения таких обязанностей (полномочий), рассматриваются и случаи, когда законодательный акт содержит отсылочную норму об определении порядка реализации обязанностей (полномочий) в иных НПА, например постановлениях Совета Министров. Такие обязанности (полномочия) предоставлены рядом статей Кодекса об образовании, согласно которым Правительство или Министерство образования наделяются правом определять порядок и условия реализации отдельных отношений, возникающих в сфере образования.

В отдельных случаях учреждения образования предлагали подписать согласие на обработку персональных данных несовершеннолетнего в целях физического воспитания. Однако получать согласие в данном случае также не требуется.

В соответствии с подп. 5.6 п. 5 ст. 17 Кодекса об образовании к числу основных требований к воспитанию относятся воспитание физической культуры, физическое совершенствование.

Согласно абз. 7 ст. 83 Кодекса об образовании организация безопасности проведения занятий физической культурой и спортом с обучающимися осуществляется в соответствии с Правилами безопасности проведения занятий физической культурой и спортом (утв. постановлением Министерства спорта и туризма Республики Беларусь от 31.08.2018 № 60).

Таким образом, в большинстве случаев вопросы, связанные с организацией обучения, обеспечением образовательного и воспитательного процессов и деятельностью его участников урегулированы в Кодексе об образовании и принятых на его основании НПА. Поэтому обработка персональных данных в таких случаях будет осуществляться на основании абз. 20 ст. 6 либо абз. 17 п. 2 ст. 8 Закона, и согласие субъекта персональных данных (его законных представителей) не требуется.

Под пропускным режимом понимается порядок, обеспечиваемый совокупностью мероприятий и правил, исключающих возможность бесконтрольного входа (выхода) лиц, въезда (выезда) транспортных средств, вноса (выноса), ввоза (вывоза) имущества на охраняемые объекты (с охраняемых объектов), устанавливаемый в целях защиты охраняемых объектов от противоправных посягательств (абз. 10 ст. 1 Закона Республики Беларусь от 08.11.2006 № 175-З «Об охранной деятельности в Рес­публике Беларусь»).

Что касается видеонаблюдения, то согласно подп. 5.2 п. 5 Указа Президента Республики Беларусь от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка» облисполкомы и Минский горисполком по представлению республиканских органов государственного управления, являющихся пользователями системы видеонаблюдения, Департамента финансовых расследований Комитета государственного контроля, Службы безопасности Президента и Оперативно-­аналитического центра при Президенте утверждают перечни объектов, подлежащих обязательному оборудованию средствами системы видеонаблюдения с учетом критериев, утверждаемых Советом Министров. В числе таких объектов значатся и учреждения образования.

Таким образом, пропускная система и видеонаблюдение рассматриваются в качестве мероприятий, направленных на исключение бесконтрольного входа (выхода) на охраняемый объект. Обработка персональных данных в таких случаях осуществляется на основании абз. 20 ст. 6 Закона.

При этом обрабатываемые работниками охраны персональные данные не должны быть избыточными по отношению к цели их обработки.

В связи с этим использование интеллектуальных систем распознавания лиц, иных подобных систем контроля и управления доступом не соответствует требованиям Закона, поскольку цель обработки — осуществление пропускного режима — может быть достигнута иными способами, в т. ч. путем использования карточной системы, наличия вахтера и т. п.

В соответствии с абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона согласие субъекта персональных данных на обработку персональных данных, в т. ч. специальных персональных данных, не требуется при оформлении трудовых (служебных) отношений, а также в процессе трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством.

Однако несмотря на наличие данного правового основания, некоторые учреждения образования все же предлагали работникам подписать согласие на обработку персональных данных в различных целях.

В процессе трудовой (служебной) деятельности необходимость обработки персональных данных возникает регулярно. В одних случаях обработка персональных данных прямо предусматривается в актах законодательства, равно как и перечень обрабатываемых персональных данных либо формы (образцы) документов.

---

Пример

Постановлением Министерства труда и социальной защиты Республики Беларусь от 16.06.2014 № 40 «О трудовых книжках» установлены образец трудовой книжки и форма книги учета движения трудовых книжек и вкладышей к ним. Инструкцией о порядке формирования, ведения и хранения личных дел работников (утв. постановлением Комитета по архивам и делопроизводству при Совете Министров Республики Беларусь от 26.03.2004 № 2) установлены формы личного листка по учету кадров, дополнения к личному листку по учету кад­ров, журнала (книги) учета личных дел, контрольной карточки.

---

В иных случаях у нанимателя остается определенная степень усмотрения в части круга обрабатываемых сведений.

Справочно: в соответствии со ст. 80 ТК наниматель при выплате заработной платы ежемесячно обязан выдавать каждому работнику расчетный листок с указанием в нем составных частей заработной платы, причитающейся ему за соответствующий период, размеров удержаний из заработной платы, а также общей суммы заработной платы, подлежащей к выплате. Форма расчетного листка утверждается нанимателем.

Не требуется согласие на обработку персональных данных и в тех случаях, когда обработка персональных данных и их перечень прямо не называются в акте законодательства, но на нанимателя возлагаются определенные обязанности, требующие использования персональных данных.

---

Пример

Трудовой кодекс возлагает на нанимателя обязанность выдавать заработную плату в сроки и размерах, установленных законодательством, коллективным договором, соглашением или трудовым договором. Соответственно, работник должен открыть в банке счет и представить эту информацию нанимателю для последующего зачисления заработной платы.

---

Предоставление персональных данных работников третьим лицам, т. е. действие, направленное на ознакомление с персональными данными определенных лица или круга лиц, также является обработкой персональных данных и должно осуществляться с соблюдением установленных Законом требований, в т. ч. при наличии соответствующего правового основания.

---

Пример

Налоговым кодексом Республики Беларусь установлена обязанность налоговых агентов представлять по требованию налоговых органов документы и (или) информацию, необходимые для осуществления контроля за правильностью исчисления, удержания и перечисления в бюджет соответствующих налогов, сборов (пошлин) (подп. 3.3 п. 3 ст. 23 Налогового кодекса).

Статьей 10 Закона Республики Беларусь от 06.01.1999 № 230-З «Об индивидуальном (персонифицированном) учете в системе государственного социального страхования» установлена обязанность плательщиков взносов на государственное социальное страхование представлять в установленном порядке в органы, осуществляющие персонифицированный учет, достоверные сведения, необходимые для ведения персонифицированного учета.

---

Соответственно, если предоставление персональных данных работника в процессе его трудовой деятельности обусловлено требованиями законодательства, то оно осуществляется на основании абз. 8 ст. 6 и абз. 3 п. 2 ст. 8 Закона.

При осуществлении образовательного процесса предполагается взаимодействие обучающегося и педагогических работников. Более того, Кодексом об образовании предусмотрены различные формы такого взаимодействия. Оно охватывается трудовой функцией педагогического работника, поэтому получать согласие на обработку персональных данных для реализации данной цели не требуется.

В должностные инструкции работников, трудовая функция которых связана с обработкой персональных данных (включая работников кадровых, бухгалтерских служб, работников, ответственных за функционирование информационного ресурса (системы)), педагогических работников необходимо внести положения, касающиеся соблюдения установленного законодательством о персональных данных и локальными правовыми актами порядка обработки персональных данных.

Конкретный перечень таких обязанностей определяется в каждом конкретном случае исходя из специфики деятельности работника. Примерный перечень таких обязанностей можно найти на сайте НЦЗПД.

В должностных инструкциях остальных работников, обрабатывающих персональные данные, может быть предусмотрена их обязанность «соблюдать установленный законодательством о защите персональных данных и локальными правовыми актами порядок обработки персональных данных».

Согласие законного представителя на обработку персональных данных

Я, _______________________________________________________________________,                                            (ФИО полностью)

проживающий по адресу________________________________________________

                                                                (адрес места жительства)

являясь на основании____________________________________________________,

(свидетельство о рождении, документ об установлении отцовства, решение об опеке и т.д.)

родителем (законным представителем)______________________________________

                               (ФИО ребенка, дата рождения полностью)

воспитанника _________________ группы ГУО «Детский сад № 82 г.Минска» настоящим подтверждаю свое согласие оператору персональных данных – ГУО «Детский сад № 82 г.Минска», расположенное по адресу г.Минск, ул. Фроликова, д. 23А на обработку персональных данных моего ребенка в целях осуществления обучения и воспитания в интересах личности, общества и государства, обеспечения охраны здоровья и создания благоприятных условий для разностороннего развития личности и информационного обеспечения  управления образовательным процессом:

-сведения, содержащиеся в документах, удостоверяющих личность: фамилия, имя, отчество, пол, дата рождения, серия и номер свидетельства о рождении (паспорта), когда и кем выдан, место рождения, гражданство, адрес регистрации и проживания, номер телефона;

-сведения о родителях (лицах их заменяющих): фамилия, имя, отчество, место работы, должность, телефон, адрес регистрации и проживания;

-сведения о семье: социальный статус, количество детей, полнота семьи;

-информация медицинского характера: рост, вес, сведения о прививках, группа здоровья физкультурная группа;

-иные документы (документы для получения единовременного социального пособия, документы для обеспечения льготами, использования фото- и видеоматериалов для размещения на интернет-ресурсе ГУО «Детский сад № 82 г.Минска»).

Обработка персональных данных моего ребенка включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, а также передачу в управление по образованию администрации Ленинского района г.Минска, обезличивание, блокирование, удаление и уничтожение.

Способ обработки персональных данных: неавтоматизированный (ручной), автоматизированный.

Настоящее согласие действует до момента отзыва, если иное не предусмотрено законодательством Республики Беларусь.

Я оставляю за собой право отозвать свое согласие посредством составления соответствующего письменного документа. В случае получения моего письменного заявления об отзыве настоящего согласия на обработку персональных данных Оператор обязан прекратить их обработку в 15-дневный срок.

 

_____________                      ___________                       _______________________

         дата                                                  подпись                                                   расшифровка

Если правовым основанием обработки персональных данных является согласие субъекта персональных данных (в отношении несовершеннолетнего — его законного представителя), оно должно соответствовать требованиям, предусмотренным ст. 5 Закона.

В соответствии с п. 1 ст. 5 Закона согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.

Чтобы оценить, является ли согласие свободным, следует исходить из того, обладает ли субъект персональных данных реальным выбором, давать или не давать свое согласие, либо его согласие является вынужденным, например, в силу связанности согласия с достижением иной, желаемой для него цели (например, заключением договора, осуществлением трудовой функции, зачислением в учреждение дошкольного образования).

В целях обеспечения информированного согласия субъекту персональных данных до начала обработки должна быть предоставлена информация, предусмотренная п. 5 ст. 5 Закона.

Центром разработана примерная форма согласия на обработку персональных данных. Данная форма доступна на сайте Центра (короткая ссылка — clck.ru/yG2V2).

Согласие субъекта персональных данных не является универсальным или обязательным условием для обработки персональных данных. Обработка персональных данных осуществляется без согласия субъекта персональных данных в случаях, предусмотренных ст. 6 и 8 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон).

При определении правового основания обработки персональных данных в учреждении образования заведующему необходимо внимательно изучить ст. 6 и ч. 2 ст. 8 Закона. И только в том случае, если ни одно из указанных в них оснований не подходит, можно говорить о том, что обработку персональных данных необходимо осуществлять на основании согласия.

Еще одним критерием, позволяющим определиться с выбором правового основания обработки, может являться, в частности, тот факт, что отзыв согласия, если субъект решит воспользоваться своим правом, сам по себе не повлечет прекращения обработки персональных данных. Если такая обработка будет продолжаться, например, в силу требований законодательных актов, необходимости выполнения возложенных на оператора или уполномоченное лицо обязанностей, продолжения исполнения условий договора, следует констатировать, что обработка персональных данных должна осуществляться на ином правовом основании, и согласие субъекта персональных данных не требуется. И только лишь в ситуации, когда обработка персональных данных в тех или иных процессах зависит исключительно от воли субъекта, следует говорить о необходимости получения согласия как правового основания обработки.

Анализ правоприменительной практики и обращений, поступающих в Национальный центр защиты персональных данных, выборочный мониторинг сайтов учреждений образования показали, что в учреждениях образования существуют серьезные проблемы, связанные с выбором правового основания обработки персональных данных для тех или иных целей. Например, согласие родителя (законного представителя) на обработку персональных данных несовершеннолетнего, формы которого разработаны и предлагаются к подписанию учреждениями образования, не соответствует требованиям Закона ни по форме, ни по содержанию.

 В соответствии с п. 1 ст. 5 Закона согласие на обработку персональных данных представляет собой свободное выражение воли субъекта персональных данных. Во многих формах согласия, используемых учреждениями образования, родителю (законному представителю) или обучающемуся не предоставлена возможность по своему усмотрению отказаться от одной или нескольких целей обработки, а также отозвать согласие в отношении одной или нескольких целей обработки, что не согласуется с требованиями ст. 5 Закона.