На думку Мін’юсту, викладену у листі від 26.04.2013 р. №5543-0-33-13/6.1, питання відкликання згоди на обробку персональних даних є повністю врегульованими у законодавстві України. Крім того, зазначено, що:
1) надання згоди на обробку персональних даних за своєю правовою природою є правочином. Відмова від правочину вчиняється у такій самій формі, в якій його було вчинено;
2) відкликання згоди можливе лише щодо майбутньої обробки персональних даних, але не тих даних, які вже були оброблені;
3) володілець після приймання заяви про відкликання вже не має підстав зберігати персональні дані.
Загалом позиція Мін’юсту зрозуміла, проте:
― по-перше, слід визначитися зі змістом документа про відкликання згоди та підставами для цього;
― по-друге, якщо це правочин, то чи може володілець не прийняти таку відмову та/або обґрунтовано відмовити?
― по-третє, якщо йдеться про обробку персональних даних, скажімо, підприємством торгівлі чи громадського харчування, які випустили персональні картки, що дають право на знижки, бонуси та інші пільги, то що робити з такими картками та персональними даними їхніх отримувачів?
Погоджуємося з позицією Мін’юсту щодо заяви про відкликання згоди — це справді підпадає під визначення правочину. Проте вимоги Закону про персональні дані не пов’язують можливість подання такої заяви виключно з волевиявленням фізособи. На нашу думку, для цього мають бути певні порушення вимог закону, які, своєю чергою, призвели до порушення прав фізособи як суб’єкта персональних даних. Вже не кажучи про те, що згода (дозвіл на обробку персональних даних) ― це лише одна з підстав для обробки персональних даних (ст. 11 Закону про персональні дані), але не єдина.
Якщо брати до уваги позицію Мін’юсту в частині відкликання згоди лише щодо майбутньої обробки персональних даних, то не можна не звернути увагу на можливу проблему з персональними картками, що видаються підприємствами торгівлі чи громадського харчування, які дають право на знижки, бонуси та інші пільги. Адже якщо тримач такої персональної картки виявить бажання відкликати свою згоду, то, на нашу думку, таке підприємство чи ресторан мають право зі свого боку повідомити таку особу про те, що обробка даних припиняється з моменту отримання відкликання згоди (або з іншої дати, визначеної у Порядку (положенні) про обробку даних на такому підприємстві). І оскільки після цього володілець вже не має права зберігати персональні дані та обробляти їх, таку персональну картку слід повернути підприємству.
При цьому така особа позбавляється всіх можливих пільг чи бонусів, які надавала така картка.
Тому, на нашу думку, володільцям баз персональних даних, які практикують використання знижок, бонусів на підставі персональних карток, доведеться самостійно вирішувати такі питання. Наприклад, повідомити фізособу про наслідки відкликання згоди на обробку їхніх персональних даних (або відмову прийняти таке відкликання у разі неповернення картки тощо). І, можливо, лише після отримання підтвердження фізособи про відкликання згоди прийняти заяву та припинити зберігання персональних даних у своїх базах.
З огляду на наведений приклад, однозначно погодитися з позицією Мін’юсту щодо повністю врегульованого питання відкликання згоди на обробку персональних даних ми не можемо.
