Захист персональних даних неповнолітніх та згода батьків

Захист персональних даних неповнолітніх в Україні є одним із найбільш чутливих юридичних питань, адже діти через свій вік не завжди здатні усвідомити ризики поширення інформації про себе. Батьки та освітяни часто стикаються з дилемою, де закінчується законний збір відомостей для організації навчання і починається порушення приватності.

Головне правило полягає в тому, що будь-яка обробка інформації про дитину має відбуватися за чітко визначеними процедурами та за згодою батьків. Неконтрольоване поширення оцінок у месенджерах, збір надмірних документів чи публікація фотографій без дозволу є прямими порушеннями прав дитини, які можуть призвести до психологічного дискомфорту або навіть цькування.

Хто дає згоду на обробку персональних даних дитини

Згода батьків на обробку персональних даних є ключовим інструментом контролю за інформацією про дитину. Оскільки неповнолітні особи не мають повної цивільної дієздатності, самостійно розпоряджатися своїми даними вони не можуть. Цей обов’язок повністю покладається на їхніх тата й маму, які покликані законно захистити інтереси дитини в будь-яких правовідносинах.

Згідно з ч. першою ст. 242 Сімейного кодексу України:

«Батьки є законними представниками своїх малолітих та неповнолітніх дітей без спеціальних на те повноважень.»

Це означає, що жодні інші родичі, такі як бабусі, дідусі чи повнолітні брати та сестри, не мають права підписувати офіційні документи чи надавати дозволи замість батьків. Тільки законні представники визначають, де і як будуть використовуватися дані дитини.

Правовий статус батьків як законних представників

При зарахуванні дитини до закладу освіти адміністрація часто пропонує підписати стандартний і досить широкий бланк. Проте батьки мають право знати, що обробка персональних даних дітей регулюється профільним законодавством, яке вимагає чіткості. Згідно з ч. першою ст. 11 Закону України «Про захист персональних даних»:

«Підставами для обробки персональних даних є: згода суб'єкта персональних даних... дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону...»

У нашій практиці часто трапляється ситуація при зарахуванні, коли батьки відмовляються підписувати наданий школою загальний бланк згоди, побоюючись надмірного поширення інформації. Адміністрація закладу іноді погрожує не прийняти документи. Проте закон на боці батьків: сама лише заява про зарахування до школи вже містить у собі достатню правову підставу для обробки обов’язкових даних дитини. Примушувати підписувати додаткові бланки згоди школа не має права.

Коли окрема письмова згода не є обов’язковою

Варто розрізняти обов’язковий облік та додаткові послуги. Якщо обробка даних здійснюється виключно в межах, визначених законом для ведення обов’язкової шкільної документації, такої як класний журнал чи особова справа, окрема письмова згода батьків на обробку персональних даних дитини не потрібна. Держава вже уповноважила заклади освіти виконувати ці функції.

Однак, якщо школа планує використовувати дані дитини поза цими межами, наприклад для реєстрації на приватних навчальних сайтах, передачі інформації фотографам або публікації знімків у мережі, додаткова письмова згода батьків є абсолютно обов’язковою. Більше того, згода на обробку даних не може бути безумовною та безстроковою. У формі згоди обов’язково має бути чітко зазначено мету збору, обсяг даних, термін їхнього зберігання та порядок знищення.

Які персональні дані учнів у школі збирають законно

Заклади освіти мають право збирати лише той обсяг інформації, який дійсно необхідний для забезпечення навчального процесу. Будь-який збір надмірних відомостей порушує конституційні гарантії. Згідно з ч. другою ст. 32 Конституції України:

«Не допускається збирання, зберігання, використання та поширення конфіденційної інформації про особу без її згоди, крім випадків, визначених законом, і лише в інтересах національної безпеки, економічного добробуту та прав людини.»

Ця норма захищає приватне життя кожної родини. Для глибшого розуміння правового статусу конфіденційної інформації про особу та механізмів її захисту варто звернутися до загальних засад цивільного права.

Межі збору інформації та принцип мінімізації

Школа законно збирає такий базовий пакет відомостей про учня: ПІБ, дата народження, адреса проживання, інформація про здоров’я для визначення групи з фізкультури, контакти батьків. Проте вимога надати додаткові документи, які не стосуються навчання, є незаконною.

Наприклад, ми стикалися з ситуацією, коли для участі у звичайному шкільному конкурсі малюнків адміністрація вимагала надати копію ідентифікаційного коду та паспорта дитини. Батьки вважали такий збір надмірним. Після їхнього звернення з вимогою дотримуватися принципу мінімізації даних школа погодилася, що для участі у творчому конкурсі цілком достатньо імені, прізвища та класу дитини.

Безпека електронних щоденників та систем обліку

Сьогодні більшість шкіл переходять на цифрові технології, такі як електронні щоденники та системи типу Єдина школа чи e-Journal. Тут діє важливе правило технічної безпеки: якщо комерційна інформаційна система не має офіційного сертифіката відповідності Комплексної системи захисту інформації (КСЗІ), передача туди персональних даних дитини є незаконною.

Коли одна зі шкіл ухвалила рішення перейти на комерційну платформу електронних щоденників, група батьків відмовилася підписувати згоду на передачу даних комерційній структурі через відсутність сертифікату безпеки. Оскільки використання приватних систем потребує виключно добровільної згоди, школа була змушена забезпечити для цих учнів ведення паперового обліку або запропонувати безкоштовний державний сервіс e-Journal.

Також важливим є лайфхак для батьків при підписанні документів: ви маєте право розділяти згоду. Можна підписати дозвіл на обробку даних для навчання, але викреслити або окремо написати відмову від фото- та відеозйомки чи публікації зображень дитини в інтернеті. Наприклад, коли фото дитини під час уроку було опубліковано на сторінці школи у Facebook без дозволу, батьки, які оберігали місцезнаходження дитини через сімейний конфлікт, вимагали видалити знімок. Школа негайно виконала вимогу, оскільки письмової згоди на публікацію медіаматеріалів не отримувала. Крім того, при переході учня до іншої школи або завершенні навчання батьки мають право подати заяву про знищення необов’язкових персональних даних з архівів закладу.

Правила для вчителів щодо конфіденційності оцінювання учнів

Педагогічні працівники зобов’язані суворо дотримуватися професійної етики та не розголошувати відомості про учнів, які стали їм відомі під час виконання обов’язків. Оцінки учня — це його особисті персональні дані учнів у школі, які не підлягають публічному обговоренню.

Подібно до того, як у судах доводиться виступати задля захисту майнових прав дитини, у повсякденному шкільному житті батькам доводиться відстоювати особисті немайнові права та приватність своїх дітей перед застарілими методами виховання.

Чому оцінки не можна публікувати у загальних чатах

Популярна практика надсилати результати контрольних робіт у батьківські чати Viber чи Telegram є прямим порушенням закону. Оприлюднення оцінок без згоди батьків чи самого учня заборонено.

Типовий випадок: класний керівник опублікував у батьківському чаті фотографію сторінки паперового журналу із результатами семестрової контрольної роботи. Батьки одного з учнів обурилися, що оцінки та прізвище їхньої дитини стали відкритими для всіх. Адміністрація школи визнала це порушенням конфіденційності, провела інструктаж із педагогами, а фото було видалено. Надалі оцінки повідомлялися виключно в індивідуальному порядку.

Публічне обговорення успішності та захист від булінгу

Публічне оголошення оцінок на весь клас або вивішування списків на дошках оголошень неприпустиме. Робота над помилками також не повинна публічно ідентифікувати учня, який припустився помилок, щоб уникнути насмішок чи знущань з боку однокласників. Також адміністрація школи не має права передавати контакти батьків третім особам, наприклад фотографам чи організаторам екскурсій, без попередньої згоди.

Ще більш критичним є захист чутливих даних про здоров’я. Наприклад, коли батьки дитини з інвалідністю подали до школи висновок інклюзивно-ресурсного центру (ІРЦ) для організації індивідуального навчання, вчителька розповіла про деталі діагнозу дитини іншим батькам на зборах. Батьки подали письмову скаргу директору, після чого було проведено службове розслідування щодо розголошення конфіденційної медичної інформації, а вчительці винесено догану.

Медична інформація дитини та її захист в ЕСОЗ

Дані про стан здоров’я дитини належать до особливих категорій персональних даних. Їх обробка суворо обмежена законом. Згідно з ч. першою та другою ст. 7 Закону України «Про захист персональних даних»:

«Забороняється обробка персональних даних про соціологічні, релігійні або світоглядні переконання... а також даних, що стосуються здоров'я...»

Обробка таких даних дозволяється лише у виняткових випадках, зокрема для охорони здоров’я чи за згодою законного представника дитини.

Які медичні довідки має право вимагати школа

Школа не є медичним закладом, тому її доступ до медичної інформації дитини суворо обмежений. Навчальний заклад має право вимагати лише довідку форми № 086-1/о (про результати обов’язкового медичного профілактичного огляду) та карту щеплень. Будь-які інші детальні документи є надмірними.

Наприклад, медична сестра ліцею вимагала надати детальну медичну картку учня з усіма діагнозами для допуску до уроків фізкультури. Батьки не бажали розголошувати інформацію про хронічний гастрит дитини. Школі було надано лише довідку № 086-1/о, де зазначена підготовча група з фізкультури. Вимога надання медкартки форми № 026/о була відкликана закладом як незаконна, оскільки цю форму офіційно скасовано Міністерством охорони здоров’я України.

Конфідеційність медичних відомостей в електронній системі

Сьогодні всі медичні записи дитини вносяться та зберігаються в електронній системі охорони здоров’я (ЕСОЗ). Доступ до відомостей про стан здоров’я, діагнози та медичне обслуговування пацієнта можливий лише за згоди його батьків або законних представників. Винятки становлять лише пряма загроза життю дитини, неможливість отримання згоди у критичний момент або відповідне рішення суду. Батьки можуть використовувати офіційні ресурси, такі як портал Електронна система охорони здоров’я (eHealth), щоб контролювати доступ лікарів до даних дитини.

Вимоги європейського регламенту GDPR щодо неповнолітніх

Європейське законодавство приділяє особливу увагу захисту прав дітей у цифровому просторі, оскільки неповнолітні можуть не повністю усвідомлювати ризики, пов’язані з передачею своїх даних в інтернеті. Головним документом тут є Загальний регламент про захист даних (GDPR), норми якого поширюються і на українців, які користуються європейськими онлайн-сервісами.

Згідно з пунктом 1 статті 8 Регламенту Європейського Парламенту і Ради (ЄС) № 2016/679 (GDPR):

«опрацювання персональних даних дитини є законним, якщо дитина досягла щонайменше 16 років. Якщо дитина не досягла 16 років, таке опрацювання є законним, лише якщо та тією мірою, коли згоду надано чи її надання санкціоновано носієм батьківської відповідальності щодо дитини»

Цей європейський стандарт встановлює чітку межу для надання цифрових послуг неповнолітнім безпосередньо через інтернет.

Особливості захисту дітей у цифровому просторі

Багато сучасних онлайн-платформ для навчання, підготовки до іспитів чи соціальних мереж суворо дотримуються вимог GDPR. Якщо дитина намагається зареєструватися самостійно, система може заблокувати цей процес до отримання згоди батьків.

Прикладом є ситуація, коли підліток 15 років намагався самостійно зареєструватися на освітньому вебресурсі для підготовки до міжнародних іспитів. Платформа заблокувала реєстрацію до надання згоди батьків. Оскільки ресурс підпорядкований вимогам GDPR, батько підлітка підтвердив згоду через надіслане на його електронну пошту посилання, після чого профіль було успішно активовано.

Як європейські стандарти працюють на практиці

Україна активно гармонізує своє законодавство з європейськими стандартами. Хоча в нашому поточному законі вік самостійної згоди чітко не деталізований так, як у GDPR, на практиці заклади та онлайн-сервіси, що орієнтуються на міжнародний ринок, впроваджують саме європейські правила. Це дозволяє забезпечити надійний захист персональних даних дітей від несанкціонованого використання комерційними структурами. Батьки можуть скористатися роз’ясненнями, які публікує Сайт Уповноваженого Верховної Ради України з прав людини, для захисту прав дитини у разі їх порушення.