Теми статей
Обрати теми

Щодо відкликання згоди на обробку персональних даних

Редакція ПБО
Лист від 26.04.2013 р. № 5543-0-33-13/6.1

Щодо відкликання згоди на обробку персональних даних

Лист Міністерства юстиції України від 26.04.2013 р. № 5543-0-33-13/6.1

 

У відповідь на <...> лист <...> щодо відкликання згоди на обробку персональних даних повідомляємо таке.

Пунктом 11 частини другої статті 8 Закону України «Про захист персональних даних» (далі — Закон) передбачено право суб’єкта персональних даних відкликати згоду на обробку персональних даних.

Зважаючи на те, що відповідно до статті 11 Закону згода є лише однією з підстав обробки персональних даних, відкликання згоди можливе лише у випадку обробки персональних даних відповідно до пункту 1 частини першої статті 11 Закону.

Відповідно до статті 2 Закону згодою на обробку персональних даних є добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про її надання, а володільцем персональних даних є фізична або юридична особа, якій законом або за згодою суб’єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом. Відтак відкликання згоди на обробку персональних даних має бути адресовано лише володільцю персональних даних.

Також необхідно зазначити, що надання згоди на обробку персональних даних за своєю правовою природою є правочином у сенсі статті 202 Цивільного кодексу України. В той же час статтею 214 Цивільного кодексу України встановлено, що відмова від правочину вчиняється у такій самій формі, в якій було вчинено правочин.

Відкликання згоди можливе лише стосовно майбутньої обробки персональних даних, але не тих даних, які вже були оброблені. Рішення та процеси, які були здійснені під час обробки персональних даних, не можуть бути анульованими.

Проте у володільця персональних даних після отримання відкликання згоди суб’єкта персональних даних більше не існує правових підстав для зберігання персональних даних, якщо строки зберігання таких даних не визначені законодавством (стаття 15 Закону).

З огляду на вищевикладене, правовідносини щодо відкликання згоди на обробку персональних даних є повністю врегульованими у законодавстві України, і відтак немає необхідності у розробці нового нормативно-правового акта у цій сфері, більше того навіть відсутні і правові підстави для його розробки.

Окремо звертаємо <...> увагу, що статтею 58 Конституції України визначено, що закони та інші нормативно-правові акти не мають зворотної дії в часі.

 

Заступник Міністра — керівник апарату А. Сєдов

коментар редакції


img 1

Чи можна відкликати згоду на обробку персональних даних? Ознайомтеся з думкою Мін’юсту

 

Мін’юст виклав своє бачення порядку відкликання згоди на обробку персональних даних. Це дуже актуально, адже його законодавчо не врегульовано. Давайте розглянемо висновки цього листа.

Коли допускається відкликання? Чиновники нагадали, що суб’єкт персональних даних (або, інакше кажучи, фізособа, чиї персональні дані обробляються) має право відкликати згоду на обробку своїх персональних даних. Це право надане йому п. 11 ч. 2 ст. 8 Закону України «Про захист персональних даних» від 01.06.2010 р. № 2297-VI (далі — Закон № 2297). Нагадаємо, що цей пункт з’явився в Законі № 2297 лише напередодні 2013 року (з цими змінами ви могли ознайомитися в газеті «Податки та бухгалтерський облік», 2013, № 1-2, с. 7). При цьому до того, як це відбулося, чимало суб’єктів господарювання фіксували у своїх документах, що отримані ними згоди на обробку персональних даних є безвідкличними. На жаль, ця практика трапляється і зараз. У зв’язку з цим повідомляємо: подібні дії є незаконними. Навіть якщо зафіксувати у формі згоди, що вона є безвідкличною, такою вона не стане. Ця умова буде недійсною (внаслідок її суперечності закону). А відкликати згоду фізособа зможе безпосередньо на підставі п. 11 ч. 2 ст. 8 Закону № 2297.

Утім, зверніть увагу: зробити це вдасться не завжди. Мін’юст справедливо зазначив, що таке відкликання допускається тільки у випадку, якщо персональні дані оброблялися на підставі згоди відповідного суб’єкта (п. 1 ч. 1 ст. 11 Закону № 2297). В інших випадках відкликати згоду на обробку персональних даних не вийде: наприклад, якщо вони оброб­ляються на підставі закону або при вчиненні правочину.

Цей висновок викликає запитання: як бути, якщо згода на обробку персональних даних не була потрібна, але все-таки була отримана для підстраховки? Наприклад, у межах трудових відносин. Нагадаємо, що в Держслужбі з питань захисту персональних даних (далі — ДСЗПД) згодні з тим, що в цьому випадку отримувати згоду не потрібно*. Як установлено п. 2 ч. 1 ст. 11 Закону № 2297, такі персональні дані обробляються на підставі закону — зокрема, Кодексу законів про працю України.

* Прочитати про це можна на офіційному сайті ДСЗПД за такою адресою: http://zpd.gov.ua/dszpd/uk/publish/article/52224;jsessionid=30131F3DD52220FA28B3C8CFF6806C43.

Але якщо ви ще не забули, у минулому позиція чиновників з цього питання була протилежною. Із цієї причини, якщо перед обробкою персональних даних працівників ви все ж заручалися їх згодою, то взагалі-то вони також мають право її відкликати. Щоправда, жодних правових наслідків для вас це не матиме. По-перше, подібні дії не спричинять заборону обробки відповідних персональних даних — адже, як ми вже говорили, дозвіл на таку обробку надано законом (п. 2 ч. 1 ст. 11 Закону № 2297). По-друге, не доведеться подавати й заяву на перереєстрацію відповідних баз, оскільки на сьогодні бази персональних даних працівників взагалі не реєструються (ч. 2 ст. 9 Закону № 2297).

Кому адресувати відмову? У листі зазначено, що її потрібно адресувати власнику персональних даних (а не їх розпоряднику). У цілому, це логічно — адже саме йому свого часу надавалася згода. Розпорядник же обробляє ці дані виключно від імені власника — причому в обсязі, обмеженому договором.

Крім того, зверніть увагу: якщо згода на обробку персональних даних була надана філії, представництву або структурному підрозділу юрособи, то відмову, судячи з усього, доведеться також адресувати юрособі. Це пов’язано з тим, що зазначені підрозділи в розумінні ст. 2 Закону № 2297 не є власниками персональних даних. Але нагадаємо, що, на думку Мін’юсту, вони можуть бути розпорядниками (див. роз’яснення від 21.12.2011 р.).

У якій формі здійснювати відкликання? Зізнаємося, підхід чиновників у цій частині нас здивував. На їх думку, надання згоди на обробку персональних даних є правочином (ч. 1 ст. 202 Цивільного кодексу України, далі — ЦКУ). Тому відмова від нього (у цьому випадку — відкликання згоди на обробку персональних даних) має здійснюватися в тій самій формі, в якій було вчинено такий правочин (ч. 3 ст. 214 ЦКУ).

На нашу думку, цей підхід не зовсім правильний. Річ у тім, що ставити знак «дорівнює» між згодою на обробку персональних даних та правочином є помилкою. Адже, пригадаємо: правочином є дія особи, спрямована на набуття, зміну або припинення цивільних прав та обов’язків. У свою чергу, у випадку, що розглядається, цього не відбувається*.

* Звісно, при наданні згоди на обробку персональних даних зачіпаються особисті немайнові права фізособи. Проте зверніть увагу: при цьому не йдеться про їх набуття, зміну або припинення.

Логічніше керуватися таким підходом. Ніхто не заперечуватиме те, що правова природа згоди та відкликання ідентична (хіба що спрямовані вони у протилежні боки). При цьому нагадаємо, що згода може бути надана як у письмовій формі, так і в будь-якій іншій формі, що дозволяє зробити висновок про її надання (ст. 2 Закону № 2297). У зв’язку з цим вважаємо: оскільки будь-які інші вимоги відсутні, при відкликанні варто орієнтуватися на це саме правило. Причому незалежно від того, в якій формі надавалася згода.

Відкликання діє на майбутнє. Тут все логічно. Мін’юст зазначив, що відкликання згоди можливе лише щодо майбутньої обробки персональних даних. У свою чергу, на дані, які були вже оброблені, таке відкликання не поширюється. Отже, рішення та процеси, які вже здійснені при обробці персональних даних, не можуть бути анульовані.

Доля персональних даних після відкликання. Чиновники повідомили, що після відкликання згоди підстави на обробку персональних даних зникають. Від себе додамо: ця інформація має бути знищена. Підтвердженням цього є п. 1 ч. 2 ст. 15 Закону № 2297. Причому зверніть увагу на декілька нюансів.

По-перше, знищувати персональні дані потрібно так, щоб унеможливити їх подальше відновлення.

По-друге, знищувати подібні відомості доведеться не завжди. Якщо законодавство встановлює більш тривалий строк їх зберігання, то орієнтуватися потрібно насамперед на нього. Судячи з висновків Мін’юсту, навіть у випадку, якщо персональні дані оброблялися на підставі згоди.

Підсумовуючи цей коментар, нагадаємо: з 1 січня в законодавстві про захист персональних даних «запрацюють» масштабні зміни. Зокрема, на зміну ДСЗПД прийде уповноважений ВРУ з прав людини, а процедура реєстрації баз персональних даних буде замінена повідомленням (читайте про це в газеті «Податки та бухгалтерський облік», 2013, № 62, с. 17). Водночас у підставах для обробки персональних даних істотних змін не передбачається. Це стосується й отримання згоди на обробку та її відкликання.

 

Віталій Смердов

App
Завантажуйте наш мобільний додаток Factor

© Factor.Media, 1995 -
Всі права захищені

Використання матеріалів без узгодження з редакцією заборонено

Ознайомитись з договором-офертою

Приєднуйтесь
Адреса
м. Харків, 61002, вул. Сумська, 106а
Ми приймаємо
ic-privat ic-visa ic-visa

Ми використовуємо cookie-файли, щоб зробити сайт максимально зручним для вас та аналізувати використання наших продуктів та послуг, щоб збільшити якість рекламних та маркетингових активностей. Дізнатися більше про те, як ми використовуємо ці файли можна тут.

Дякуємо, що читаєте нас Увійдіть і читайте далі