от Петър Бакърджиев – експерт по лични данни в Институт за правни анализи и изследвания
Относно: Запитвания от образователна институция регистрирани в деловодната система на ИПАИ под Вх. № ОБР-2037-1 и 2 /18.02.2018г.[1], изпратени под формата на електронно писмо, със следното съдържание:
1. „…имаме ли право да събираме декларация за етническа принадлежност на родители и ученици…“;
2. „…изпращаме Ви Декларация за информирано съгласие за даване на лични данни….“.
І. ОПИСАНИЕ НА РАЗГЛЕЖДАНИЯ СЛУЧАЙ
На електронната поща на Центъра за обучение и квалификация на ИПАИ на 13.02.2018г. са получени запитвания от ОУ "Свети Княз Борис I" – град Бургас съдържащи два основни въпроса:
– Има ли право образователната институция да събира чувствителна информация за етническата принадлежност на родители и ученици, за което да бъде попълнвана декларация за съгласие?
– Има ли задължение образователната институция при осъществяването на учебно-възпитателния процес и с оглед изпълнението на разпоредбите на Наредба № 8/ 11.08.2016 за информацията и документите за системата на предучилищното и училищното образование, да събира информация на основание попълнена декларация за информирано съгласие от родители за предоставяне на лични данни на самите родители и на учениците?
Във връзка с постъпилите запитвания от ОУ "Свети Княз Борис I" – град Бургас, следва да се отбележи, че Институт за правни анализи изследвания (ИПАИ) няма компетенции по издаването на методически указания свързани с приложението на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), ЗЗЛД и свързаните с тях подзаконови нормативни актове, а предоставя безвъзмездно правни становища по запитвания на образователни институции, с оглед по-доброто и законосъобразно прилагане на разпоредбите на посочените нормативни актове, които становища също нямат общозадължителен характер или обвързваща сила.
С цел законосъобразното прилагане на посоченото по-горе законодателство свързано със защитата на личните данни от ОУ "Свети Княз Борис I" – град Бургас, предоставяме на Вашето внимание настоящото правно становище.
II. АНАЛИЗ НА ПРИЛОЖИМИТЕ ПРОЦЕДУРНИ ПРАВИЛА
В настоящият раздел ще бъдат посочени някои основни положения, свързани с поставените въпроси, компетенциите на образователната институция и нейните задължения при прилагането на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните), ЗЗЛД и свързаните с тях подзаконови нормативни актове:
1). Становището е изготвено въз основа на извършена преценка, обоснована на задълбочен правен и фактически анализ, обхващащ следните документи:
1.1. Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните);
1.2. Закона за защита на личните данни;
1.3. Практиката и становищата на Комисия за защита на личните данни.
2). По отношение на поставения от ОУ "Свети Княз Борис I" – град Бургас първи въпрос за случаите, когато се обработват специални категории – чувствителни лични данни, като например данни за етнически произход следва да се отбележи, че основанията за законосъобразност са изчерпателно изброени в чл. 9, параграф 2 от Регламента.
В тази връзка следва да се има предвид, че в действащата нормативна база не съществува нормативно установено задължение или право за обработването на данни за етнически произход от образователните институции. Това налага извода, че обработването на специални категории чувствителни лични данни, каквито са данните за етнически произход ще бъде законосъобразно, само ако ОУ "Свети Княз Борис I" – град Бургас събира лични данни за етническия произход в изпълнение на свое нормативноопределено задължение, каквото в случая не е налице.
|
Не съществува нормативно установено задължение, респективно право, гарантиращо на образователната институция ОУ "Свети Княз Борис I" – град Бургас, възможността за обработване на специални категории чувствителни лични данни – данни за етнически произход, което означава, че събирането на подобни данни би накърнило непропорционално и недопустимо личната сфера на родителите и учениците. |
3). За да бъде даден отговор на поставеният втори въпрос следва да се разгледат хипотезите, когато не се изисква дадено от физическите лица (родители и/или ученици, и относно тях) съгласие за обработване на лични данни от страна на образователната институция. По принцип когато се обработват лични данни на физическите лица, следва да се има предвид, че обработването на лични данни от администратори на лични данни (независимо дали са в публичната или в частната сфера на дейност), е законосъобразно, когато е налице някое от посочените правни основания в чл. 6, параграф 1 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, GDPR), а именно:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;
д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Посоченото по-горе означава, че съгласието е само едно от основанията за събиране и обработване на лични данни. Независимо от факта, че то е посочено на първо място в Регламента, важно е да се разбира, че всички правни основания са алтернативни и равнопоставени. Посочените по-горе правни основания за обработване на лични данни не са подредени в йерархична или в друга зависимост. Това означава, че наличието на което и да е от тях прави обработването на лични данни законосъобразно, при условие, че са спазени и другите изисквания на регламента. В случаите, когато администратор на лични данни прави преценка дали да обработва личните данни на базата на съгласие, той трябва да изследва обстоятелството дали не е налице друго правно основание за тяхното обработване, като например законово задължение или договор, както и какви биха били последиците за съответната дейност при оттегляне на съгласието от лицето.
|
Именно законовото задължение на образователната институция при осъществяването на учебно-възпитателния процес и с оглед изпълнението на своите функции, произтичащи от разпоредбите на Наредба № 8/ 11.08.2016 за информацията и документите за системата на предучилищното и училищното образование, създава задължението и съответно правото да събира информация без да има необходимост от попълването на декларация за информирано съгласие от родители за предоставянето на лични данни на самите родители и на учениците. |
Посоченият извод е единствено възможният, тъй като от ОУ "Свети Княз Борис I" – град Бургас безспорно действа като администратор на лични данни (от публичната сфера на обществения живот), който е задължен да събира определен обем лични данни в изпълнение на свои задължения по силата на закон, в случая Закона за предучилищното и училищното образование и Наредба № 8/ 11.08.2016 за информацията и документите за системата на предучилищното и училищното образование. В посочената хипотеза законодателят не е оставил действията на свободата на преценката на администратора или на субекта на данните, в резултат на което се налага логичният извод, че евентуалното съгласие на лицето няма да е свободно дадено, съответно няма да е валидно. Това правило се отнася с особена сила за публичните администратори на лични данни, както и за секторите, в които е налице детайлна законова регламентация, като например образование, здравеопазване, данъчна система, банкова и застрахователна дейност, комунални услуги и др.
4). Личните данни в посочения случай на втората част от второто запитване се събират от ОУ "Свети Княз Борис I" – град Бургас във връзка с предоставянето на административни услуги, включително и с цел осигуряване на гарнирания достъп до услугите предоставяни от системата на образованието. В тези случаи правното основание за събиране и обработване на лични данни е изпълнение на задача от обществен интерес и на упражняване на официални правомощия по закон, а в този случай изискването за събиране на доброволно съгласие от лицата (чрез декларация) е напълно ненужно и неадекватно.
III. ОТГОВОР НА ПОСТАВЕНИТЕ ВЪПРОСИ И ЗАКЛЮЧЕНИЕ
1. Отговор на първия поставен въпрос – не съществува законово задължение или право на ОУ "Свети Княз Борис I" – град Бургас при осъществяване на учебно-възпитателния процес да обработва специални категории чувствителни лични данни – данни за етнически произход, което означава, че събирането на подобни данни би накърнило непропорционално и недопустимо личната сфера на родителите и учениците, поради което не е позволено.
2. Отговор на втория поставен въпрос – законовото задължение на ОУ "Свети Княз Борис I" – град Бургас при осъществяване на учебно-възпитателния процес и с оглед изпълнението на функциите на образователната институция, произтичащи от разпоредбите на Наредба № 8/ 11.08.2016 за информацията и документите за системата на предучилищното и училищното образование, създава задължението и съответно правото на ОУ "Свети Княз Борис I" – град Бургас да събира лични данни без да има необходимост от попълване на декларация за информирано съгласие от родители за предоставянето на лични данни на самите родители и на учениците.
Забележка: Изчерпателността и коректността на отговорите, съдържащи се в настоящото становище, са изцяло обвързани от обема и достоверността на предоставената информация, коректността на изложението, пълното отразяване на фактическата обстановка и относимите въпроси от съществено значение.
Настоящото правно становище е изготвено от Петър Бакърджиев – експерт по лични данни в Институт за правни анализи и изследвания и се предоставя безвъзмездно в отговор на постъпило запитване по електронен път, като неговото съдържание е изцяло съобразено с действащата нормативна уредба и съдебна практика.
Становището е публично достъпно и оповестено на сайта на ИАПИ, находящ се на интернет адрес – www.ipai-bg.eu.
З. А. ПРЕДСЕДАТЕЛ НА ЦЕНТЪРА ЗА
ОБУЧЕНИЕ И КВАЛИФИКАЦИЯ:
Ясен Ганчев