Обробка персональних даних дітей у школах: чи обов'язкова письмова згода батьків

Служба освітньої омбудсменки надала роз'яснення щодо правомірності обробки персональних даних у закладах освіти. Пояснення покликане допомогти керівникам/цям шкіл та батькам зрозуміти:

• які дані є персональними;
• на яких підставах вони обробляються;
• чи обов'язково вимагати від батьків письмової згоди на обробку персональних даних;
• що робити закладам освіти, якщо батьки не надають або відкликають таку згоду? 

Персональні дані — це будь-які відомості, які дають змогу ідентифікувати фізичну особу (наприклад, ПІБ, паспортні дані, ідентифікаційний номер). Обробка цих даних у закладах освіти базується не лише на згоді батьків, а й на інших законних підставах, визначених статтею 11 Закону України «Про захист персональних даних».

Підставами для обробки персональних даних є:

• 1) згода суб’єкта персональних даних на обробку його персональних даних;
• 2) дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
• 3) укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних;
• 4) захист життєво важливих інтересів суб’єкта персональних даних;
• 5) необхідність виконання обов’язку володільця персональних даних, який передбачений законом;
• 6) необхідність захисту законних інтересів володільця персональних даних або третьої особи, якій передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод суб’єкта персональних даних у зв’язку з обробкою його даних переважають такі інтереси.

Основними підставами для обробки персональних даних у закладах освіти є:

• дозвіл, наданий законодавством («Про захист персональних даних», «Про освіту» та ін.) – заклад освіти має повноваження обробляти дані для здійснення освітньої діяльності;
• виконання (батьками) обов’язку, передбаченого освітнім законодавством – обробка даних необхідна для забезпечення права дитини на освіту, що є обов'язковим згідно з Конституцією України.

Це означає, що заклади освіти можуть обробляти дані без окремої згоди батьків, якщо це необ хідно для освітнього процесу. Натомість обов'язок батьків — забезпечити дітям повну загальну середню освіту.

Наприклад, заява про зарахування дитини до закладу освіти, яку подають батьки, є добровільним наданням персональних даних. Це вважається законною підставою для їх подальшої обробки. Без цих даних школа не зможе забезпечити освітній процес, видати документи про освіту чи забезпечити харчування дитини.

Чимало закладів освіти вимагають від батьків підписання згоди на обробку персональних даних, однак окрема згода батьків не потрібна, якщо йдеться про обробку персональних даних у межах освітнього процесу. Це включає ведення електронних журналів, щоденників та інших освітніх ресурсів, передбачених законом для надання освітніх послуг.

Часто заклади освіти вимагають підписання згоди через недосконалість українського законодавства та його неоднозначні тлумачення у визначеннях обробки персональних даних на підставі згоди та на підставі законодавства. Тож беручи письмові згоди на обробку персональних даних заклади освіти «перестраховуються», щоб не ставити себе під загрозу й не порушувати законодавство. 

За потреби батьки можуть відкликати згоду на обробку персональних даних. Однак це не призводить до припинення обробки персональних даних дітей, якщо обробка здійснюється для здійснення освітньої діяльності (якщо ж батьки відкликають згоду на обробку персональних даних на здійснення іншої, не освітньої діяльності, то вони мають на це повне право).

Заклад освіти зобов’язаний припинити обробку персональних даних дітей та батьків лише тоді, коли батьки чи здобувач/ка освіти відкличе заяву про зарахування до закладу освіти. Відрахування  із закладу освіти або переведення учня / учениці до іншого закладу є підставою для припинення обробки персональних даних.

Заклад освіти має зареєструвати заяву батьків про відкликання або ненадання згоди про обробку персональних даних і надати відповідь, що обробка персональних даних дитини у закладі освіти здійснюється відповідно до пунктів 2, 3 та 5 частини першої статті 11 Закону України «Про захист персональних даних», на підставі законодавства про освіту,  та здійснення повноважень закладу освіти на основі заяви про зарахування батьків/здобувачів та/або укладання договору й надання персональних даних. 

Фото: Canva