Об отзыве согласия на обработку персональных данных

Об отзыве согласия на обработку персональных данных

Письмо Министерства юстиции Украины от 26.04.2013 г. № 5543-0-33-13/6.1

В ответ на <…> письмо <…> об отзыве согласия на обработку персональных данных сообщаем следующее.

Пунктом 11 части второй статьи 8 Закона Украины «О защите персональных данных» (далее — Закон) предусмотрено право субъекта персональных данных отзывать согласие на обработку персональных данных.

Ввиду того, что в соответствии со статьей 11 Закона согласие является только одним из оснований обработки персональных данных, отзыв согласия возможен лишь в случае обработки персональных данных в соответствии с пунктом 1 части первой статьи 11 Закона.

Согласно статье 2 Закона согласием на обработку персональных данных является добровольное волеизъявление физического лица (при условии его осведомленности) относительно предоставления разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки, выраженное в письменной форме или в форме, позволяющей сделать вывод о его предоставлении, а владельцем персональных данных является физическое или юридическое лицо, которому законом или с согласия субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки персональных данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом. Таким образом отзыв согласия на обработку персональных данных должен быть адресован лишь владельцу персональных данных.

Также необходимо отметить, что предоставление согласия на обработку персональных данных по своей правовой природе является сделкой в смысле статьи 202 Гражданского кодекса Украины. В то же время статьей 214 Гражданского кодекса Украины установлено, что отказ от сделки совершается в той же форме, в которой была совершена сделка.

Отзыв согласия возможен только в отношении будущей обработки персональных данных, но не тех данных, которые уже были обработаны. Решения и процессы, осуществленные в ходе обработки персональных данных, не могут быть аннулированы.

Однако у владельца персональных данных после получения отзыва согласия субъекта персональных данных больше не существует правовых оснований для хранения персональных данных, если сроки хранения таких данных не определены законодательством (статья 15 Закона).

Учитывая вышеизложенное, правоотношения по отзыву согласия на обработку персональных данных являются полностью урегулированными в законодательстве Украины и, следовательно, нет необходимости в разработке нового нормативно-правового акта в этой сфере, более того даже отсутствуют и правовые основания для его разработки.

Отдельно обращаем <…> внимание, что статьей 58 Конституции Украины определено, что законы и другие нормативно-правовые акты не имеют обратного действия во времени.

Заместитель Министра — руководитель аппарата А. Седов

коментарий редакции

Можно ли отозвать согласие на обработку персональных данных? Ознакомьтесь с мнением Минюста

Минюст изложил свое видение порядка отзыва согласия на обработку персональных данных. Это очень актуально, ведь он законодательно не урегулирован. Давайте же рассмотрим выводы данного письма.

Когда допускается отзыв? Чиновники напомнили, что субъект персональных данных (или, другими словами, физлицо, чьи персональные данные обрабатываются) вправе отозвать согласие на обработку своих персональных данных. Это право предоставлено ему п. 11 ч. 2 ст. 8 Закона Украины «О защите персональных данных» от 01.06.2010 г. № 2297-VI (далее — Закон № 2297). Напомним, что данный пункт появился в Законе № 2297 лишь в преддверии 2013 года (с данными изменениями вы могли ознакомиться в газете «Налоги и бухгалтерский учет», 2013, № 1-2, с. 7). При этом, до того, как это произошло, многие субъекты хозяйствования фиксировали в своих документах, что полученные ими согласия на обработку персональных данных являются безотзывными. К сожалению, эта практика встречается и сейчас. В связи с этим сообщаем: подобные действия являются незаконными. Даже если зафиксировать в форме согласия, что оно является безотзывным, таковым оно не станет. Данное условие будет недействительным (по причине его противоречия закону). А отозвать согласие физлицо сможет непосредственно на основании п. 11 ч. 2 ст. 8 Закона № 2297.

Но заметьте: сделать это получится не всегда. Минюст справедливо указал, что такой отзыв допускается только в том случае, если персональные данные обрабатывались на основании согласия соответствующего субъекта (п. 1 ч. 1 ст. 11 Закона № 2297). В остальных случаях отозвать согласие на обработку персональных данных не получится: к примеру, если они обрабатываются на основании закона или при совершении сделки.

Данный вывод порождает вопрос: как быть, если согласие на обработку персональных данных не требовалось, но все-таки было получено для подстраховки? К примеру, в рамках трудовых отношений. Напомним, что в Госслужбе по вопросам защиты персональных данных (далее — ГСЗПД) согласны с тем, что в этом случае получать согласие не нужно*. Как установлено п. 2 ч. 1 ст. 11 Закона № 2297, такие персональные данные обрабатываются на основании закона — в частности, Кодекса законов о труде Украины.

Но если вы еще не забыли: в прошлом позиция чиновников по этому вопросу была противоположной. По этой причине, если перед обработкой персональных данных работников вы все же заручались их согласием, то по идее они также вправе его отозвать. Правда, никаких правовых последствий для вас это не повлечет. Во-первых, подобные действия не приведут к запрету обработки соответствующих персональных данных — ведь, как мы уже говорили, разрешение на такую обработку предоставлено законом (п. 2 ч. 1 ст. 11 Закона № 2297). Во-вторых, не придется подавать и заявление на перерегистрацию соответствующих баз, так как в настоящее время базы персональных данных работников вообще не регистрируются (ч. 2 ст. 9 Закона № 2297).

Кому адресовать отказ? В письме указано, что его нужно адресовать владельцу персональных данных (а не их распорядителю). В целом, это логично — ведь именно ему в свое время предоставлялось и согласие. Распорядитель же обрабатывает эти данные исключительно от имени владельца — причем в объеме, ограниченном договором.

Кроме того, заметьте: если согласие на обработку персональных данных было предоставлено филиалу, представительству или структурному подразделению юрлица, то отказ, судя по всему, придется также адресовать юрлицу. Это связано с тем, что указанные подразделения в понимании ст. 2 Закона № 2297 не являются владельцами персональных данных. Но напомним, что, по мнению Минюста, они могут выступать распорядителями (см. разъяснение от 21.12.2011 г.).

В какой форме совершать отзыв? Признаемся, подход чиновников в данной части нас удивил. По их мнению, предоставление согласия на обработку персональных данных является сделкой (ч. 1 ст. 202 Гражданского кодекса Украины, далее — ГКУ). Поэтому отказ от нее (в данном случае отзыв согласия на обработку персональных данных) должен совершаться в той же форме, в какой была совершена такая сделка (ч. 3 ст. 214 ГКУ).

По нашему мнению, этот подход не совсем верен. Дело в том, что ставить знак «равно» между согласием на обработку персональных данных и сделкой ошибочно. Ведь, вспомним: сделкой является действие лица, направленное на приобретение, изменение или прекращение гражданских прав и обязанностей. В свою очередь, в рассматриваемом случае этого не происходит*.

Более логично руководствоваться следующим подходом. Никто не будет спорить с тем, что правовая природа согласия и отзыва идентична (разве что направлены они в противоположные стороны). При этом напомним, что согласие может быть предоставлено как в письменной форме, так и в любой другой форме, позволяющей сделать вывод о его предоставлении (ст. 2 Закона № 2297). В связи с этим считаем: поскольку какие-либо другие требования отсутствуют, при отзыве стоит ориентироваться на это же правило. Причем независимо от того, в какой форме предоставлялось согласие.

Отзыв действует на будущее. Здесь все логично. Минюст указал, что отзыв согласия возможен лишь в отношении будущей обработки персональных данных. В свою очередь, на данные, которые были уже обработаны, такой отзыв не распространяется. Так что решения и процессы, которые уже осуществлены при обработке персональных данных, не могут быть аннулированы.

Судьба персональных данных после отзыва. Чиновники сообщили, что после отзыва согласия основания на обработку персональных данных исчезают. От себя же добавим: данная информация должна быть уничтожена. Свидетельством чему служит п. 1 ч. 2 ст. 15 Закона № 2297. Причем обратите внимание на несколько нюансов.

Во-первых, уничтожать персональные данные нужно таким образом, чтобы исключить возможность их дальнейшего восстановления.

Во-вторых, уничтожать подобные сведения придется не всегда. Если законодательство устанавливает более длительный срок их хранения, то ориентироваться нужно в первую очередь на него. Судя по выводам Минюста, даже в том случае, если персональные данные обрабатывались на основании согласия.

В качестве итога к данному комментарию напомним: с 1 января в законодательстве о защите персональных данных «заработают» масштабные изменения. В частности, на смену ГСЗПД придет уполномоченный ВРУ по правам человека, а процедура регистрации баз персональных данных будет заменена уведомлением (читайте об этом в газете «Налоги и бухгалтерский учет», 2013, № 62, с. 17). В то же время в основаниях для обработки персональных данных существенных перемен не предвидится. Это же касается получения согласия на обработку и его отзыва.

Виталий Смердов