Становище на КЗЛД по въпроси, касаещи осигуряване на достъп до личните данни на учениците за целите на проект „система за кариерно ориентиране на учениците“

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на заседание, проведено на 30.10.2013г., разгледа преписка с вх.№П-6839/23.10.2013г.,заявена от Е.К.– Директор на дирекция „Образователни програми и образователно съдържание“ в МОН и ръководител на проект „Система за кариерно ориентиране в училищното образование“.

В искането си госпожа Е.К. посочва, че Министерството на образованието и науката (МОН), в качеството му на конкретен бенефициент чрез дирекция „Образователни програми и образователно съдържание“ със Заповед РД 09-132/31.01.2012год. на министъра на образованието, младежта и науката изпълнява проект BG051PO001-4.3.02 „Система за кариерно ориентиране в училищното образование“. Проектът се осъществява с финансовата подкрепа на Оперативна програма „Развитие на човешките ресурси“, съфинансирана от Европейския социален фонд на Европейския съюз.

Госпожа Е.К. информира КЗЛД, че в изпълнение на проекта, към Регионалните инспекторати по образование на МОН са създадени 28 центъра за кариерно ориентиране (ЦКО), ситуирани във всички областни градове на страната. Една от задачите на наетите 150 кариерни консултанти в ЦКО е да реализират програма за кариерно ориентиране на учениците от I до XII клас. Съгласно изискванията на Оперативна програма „Развитие на човешките ресурси“ отчитането на участието на учениците в посочената програма става с отразяване на трите имена на ученика и неговото ЕГН.

Съгласно предоставената информация в процеса на тази дейност възникват трудности при изпълнението на проекта, произтичащи от липсата на разрешен достъп на ръководителите на центровете за кариерно ориентиране до личните данни на учениците, които са назначени със заповед на министъра на образованието и науката.

По повод изложеното, госпожа Е.К. се обръща към КЗЛД за становище относно възможностите за регистрация на ръководителите на ЦКО като администратори на лични данни на учениците с цел да не бъде препятствано изпълнението на дейностите по проекта в съответствие с изискванията на Оперативна програма „Развитие на човешките ресурси“. Включените лични данни на учениците в документацията на проекта ще се съхраняват в ЦКО и ще послужат при одит на проекта от Договарящия и Управляващия орган.

Исканата регистрация е за периода до приключване на проекта– 31.10.2014 год.

С писмо, получено по електронен път, рег.№6886/28.10.2013год. впоследствие къмискането са приложени следните документи:

1. Заповед №РД– 09-870/29.06.2012год. на министъра на образованието, младежта и науката.

2. Присъствен списък– Център за кариерно ориентиране в училищното образование Приложение №6.А-1.

3. Присъствен списък– Център за кариерно ориентиране в училищното образование Приложение №6.А-2.

Съгласно чл.3, ал.1 от Устройствения правилник на министерството на образованието и науката, министърът на образованието и науката е централен едноличен орган на изпълнителната власт за провеждане на държавната политика в областта на образованието и науката. Разпоредбата на чл.35 от Закона за народната просвета разписва, че министърът на образованието и науката упражнява контрол върху дейността на всички видове детски градини, училища, обслужващи звена и степени на образование.

Регионалните инспекторати по образованието са териториални администрации към министъра на образованието и науката за управление и контрол на системата на народната просвета. Те са юридически лица. Устройството, функциите и общините, на чиято територия те осъществяват дейността си, се определят с правилник на министъра на образованието и науката. Съгласно разпоредбата на чл.35, ал.5 от Закона за народната просвета, началниците на регионалните инспекторати по образованието са държавни служители, които се назначават въз основа на конкурс и се освобождават от министъра на образованието и науката. Министърът на образованието и науката назначава въз основа на конкурс и освобождава от длъжност и експертите-държавни служители в регионалните инспекторати по образованието.

Съгласно чл.6, ал.2 от Правилника за устройството и дейността на регионалните инспекторати по образованието, длъжностното разписание и поименното разписание на длъжностите на регионалния инспекторат по образованието се утвърждаватот министъра на образованието и науката.

Видно от посочената по-горе правна уредба, министърът на образованието и науката упражнява йерархичен административен контрол по отношение дейността и функционирането на регионалните инспекторати по образованието, независимо от наличието на юридическа самостоятелност на същите, което е от съществено значение в конкретния казус.

Законът за защита на личните данни (ЗЗЛД) урежда защитата на правата на физическите лица при обработването на личните им данни. Целта на ЗЗЛД е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

По смисъла на чл.3 от ЗЗЛД администратор на лични данни е физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който сам или съвместно с друго лице определя целите и средствата за обработване на данните, както и който обработва лични данни, видът на които, целите и средствата за обработване се определят със закон. Министерството на образованието и науката, с БУЛСТАТ 000695114 и адрес: гр. София, бул. „Княз Дондуков” №2 А – е администратор на лични данни по смисъла на чл.3, ал.1 от ЗЗЛД.Вписан е в регистъра на администраторите на лични данни и водените от тях регистри с лични данни, поддържани от КЗЛД под идентификационен номер27488. При служебна справка в регистъра на администраторите на лични данни и на водените от тях регистри се установява, че всеки регионален инспекторат по образованието е вписан като самостоятелен администратор със собствен идентификационен номер.

В параграф първи от Допълнителните разпоредби на ЗЗЛД се съдържа законовото определение на понятието „обработване на лични данни”, а именно: „Обработване на лични данни” е всяко действие или съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

В настоящия случай, запитването касае възможността за обработване на лични данни от наетите кариерни консултанти в ЦКО. За целите на проекта и със Заповед на Министъра на образованието и науката №РД–09-870/29.06.2012год. са разкрити съответните щатни бройки в двадесет и осемте центрове за кариерно ориентиране към Регионалните инспекторати по образование на МОН до приключване на проект BG051PO001-4.3.02 „Система за кариерно ориентиране в училищното образование“. От гледна точка на ЗЗЛД. Въпросните лицавлизат с състава на съответния Регионален инспекторат по образованието и имат качеството на обработващи лични данни по смисъла на чл.24, ал.1 от ЗЗЛД (Администраторът може да обработва данните сам или чрез възлагане на обработващ данните) и като такива обработват данни от името на съответния Регионален инспекторат по образованието, респ. Министерството на образованието.

Съгласно чл.24, ал.4 от ЗЗЛД отношенията между администратора и обработващия се уреждат с административен акт, писмен договор или друг акт на администратора, в който се определя обемът на задълженията, възложени от администратора на обработващия данните. Въпреки че в конкретния случай Министерството на образованието, младежта и науката и регионалните инспекторати по образованието са самостоятелни администратори на лични данни по смисъла на ЗЗЛД, в случая следва да се отчита общият административен контрол, който осъществява министърът като централен едноличен орган на власт и на който се подчиняват регионалните инспекторати.

По отношение на назначените във връзка с проекта лица следва да се прилагат разпоредбите на чл.7 от Наредба№1 от 30.01.2013год. за минималното ниво, на технически и организационни мерки и допустимия вид защита на личните данни, съгласно който персоналната защита на личните данни представлява система от организационните мерки спрямо физическите лица, които обработват данните по указание на администратора. Лицата, обработващи данните следва да вземат мерки за персонална защита. Изискванията на персонална защита предполагат достъп до лични данни да бъде предоставян само на лица, чиито служебни задължения или конкретно възложена задача налагат такъв достъп, при спазване на принципа „Необходимост да знае”. Актовете, с които отделните служители са назначени на длъжността „кариерен консултант“, както и съответната длъжностна характеристика, би следвало да съдържат конкретни задачи, във връзка с изпълнение на проекта.За изпълнението на тези задачи в хода на проектните дейности, кариерните консултанти следва да имат достъп до определена информация, вкл. такава, съставляващи лични данни, то в случая е налице принципът „необходимост да се знае“. Особено внимание трябва да се обърне на чл.7, ал.5 от Наредба №1, като за целта консултантите следва да подпишат декларация за неразгласяване на лични данни, до които са получили достъп при и по повод изпълнение на задълженията си. Важно при уреждане на взаимоотношенията между администратор и обработващ личните данни е разпоредбата на чл.24, ал.5 от ЗЗЛД, която урежда отговорността за вреди, причинени на трети лица при обработване на лични данни. За действията или бездействията на обработващия данни, администраторът отговаря солидарно с него.

Във връзка с обработването на лични данни, следва да се има предвид, също така, че всеки администратор на лични данни е длъжен да обработва личните данни законосъобразно, при спазване разпоредбите на ЗЗЛД. От друга страна, правомерното обработване на лични данни е необходимо да се извършва в съответствие със заложените в чл.2, ал.2 от ЗЗЛД принципи на законосъобразност, целесъобразност и пропорционалност на данните.

Разпоредбите на чл.4, ал.1 от ЗЗЛД въвеждат случаите, в които е допустимо обработването на лични данни, а именно когато е налице поне едно от алтернативно изброените условия, като чл.4, ал.1, т.1 предвижда, че обработването на лични данни на физически лица е допустимо в случай, че е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни.

Проектът се осъществява с финансовата подкрепа на Оперативна програма „Развитие на човешките ресурси“, съфинансиран от Европейския социален фонд на Европейския съюз. Приложение №6.А-1 (Индикатор за изпълнение) е именно ПРИСЪСТВЕН СПИСЪК, задължителен реквизит на който е вписването на три имена и ЕГН на участника. Формулярът е утвърден от Европейския социален фонд и е част от необходимата документация във връзка с изпълнението на проект BG051PO001-4.3.02 „Система за кариерно ориентиране в училищното образование“. Към ПРИСЪСТВЕНИЯ СПИСЪК има приложени Указания за попълване на присъствения списък– Приложение №6.А-1 (Индикатор за изпълнение) и Приложение №6.А-2 (Индикатор за резултат). Съгласно І от Общите указания, т.5. , за да бъде вписан даден ученик в присъствения списък, той трябва да има попълнена анкетна карта, заявление за участие в проекта и съгласие на родител, отразено ЕГН и автентичен подпис в присъствения списък. т.6 разпорежда, че участниците, навършили 18 години, попълват заявление за участие в проекта, като не се изисква подпис за съгласие от родител. В изпълнение на сключения договор с управляващия орган на оперативна програма „Управление на човешките ресурси“, бенефициентът, в случая МОН следва стриктно да спазва и попълва утвърдените формуляри за отчитане дейностите по проекта. Изпълнението на проекта подлежи на контрол по Закона за вътрешен одит в публичния сектор и Наредба №Н-2 от 24 март 2009г. на министъра на финансите за реда и начина на осъществяване, координиран е и хармонизиране на специфичните одитни дейности по фондове и програми на Европейския съюз.

Обработването на лични данни във връзка сизпълнението на проект BG051PO001-4.3.02 „Система за кариерно ориентиране в училищното образование“ е в пряка връзка и в изпълнение на изискването за строго отчитане на дейностите по проекта. Съгласно утвърдената проектна документация участието на учениците става с отразяване на трите имена на ученика и неговото ЕГН, като именно тази информация в своята съвкупносте доказателство, подлежащо на проверка, за предоставените услуги за кариерно развитие.

Администраторът на лични данни МОН, респ. Регионалните инспекторати по образованието и кариерните консултанти в качеството им на обработващи лични данни,обработват личните данни на учениците, обхванати от проекта , на нормативно основание по смисъла на чл.4, ал.1, т.1 от ЗЗЛД– а именно съществуващите нормативни изисквания зафинансова отговорност и отчетност при разходване средствата, предоставени по ОП “Управление на човешките ресурси“.

С оглед на гореизложеното и на основание чл.10, ал.1, т 4 от ЗЗЛД Комисията за защита на лични данни изразява следното

На основание чл.4, ал.1, т.1от Закона за защита на личните данни, във връзка с изискванията на Закона за вътрешен одит в публичния сектор и Наредба №Н-2 от 24 март 2009г. на министъра на финансите за реда и начина на осъществяване, координиране и хармонизиране на специфичните одитни дейности по фондове и програми на Европейския съюз, кариерните консултанти, назначени по проект BG051PO001-4.3.02 „Система за кариерно ориентиране в училищното образование“ могат да обработват лични данни и да имат достъп до такива данни на учениците, обхванати от проекта, в качеството си на обработващи лични данни за срока на изпълнение на техните служебни задължения по проекта.

Не е необходима отделна регистрация на Центровете за кариерно ориентиране като администратори на лични данни, тъй като те са част от структурата на съответните регионални инспекторати по образованието, които имат качеството на администратори.

При необходимост, МОН и регионалните инспекторати по образованието следва да актуализират информацията относно обработвани лични данни в регистъра по чл.10, ал.1, т.2 от ЗЗЛД.