Згода на обробку персональних даних

Часто в державних органах відвідувачам надають для підпису згоду на обробку персональних даних. Також питання про надання згоди можна побачити в різних анкетах чи в інтернет-сайтах. Отже, про згоду на обробку персональних даних всі чули, але не всі знають що це, як вона виглядає і які наслідки має. Тож спробуємо розібратися в цих питаннях.

Що це?

Законодавець наводить визначення «згоди на обробку персональних даних» в Законі України «Про захист персональних даних». Відповідно до нього, згода суб’єкта персональних даних – добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди.

Таким чином, фізична особа має добровільно надати дозвіл на обробку її персональних даних, що передбачає також і право відмовитися від надання такої згоди. При цьому особа має право знати мету такої обробки.

Де шукати мету?

Мета обробки персональних даних має бути сформульована в законах, інших нормативно-правових актах, положеннях, установчих чи інших документах, які регулюють діяльність володільця персональних даних, та відповідати законодавству про захист персональних даних (ч. 1 ст. 6 Закону України «Про захист персональних даних»).

Склад та зміст персональних даних мають бути відповідними, адекватними та ненадмірними стосовно визначеної мети їх обробки.

Це означає, що володілець персональних даних не може збирати будь-які персональні дані стосовно особи за власним роздумом. Ця інформація може стосуватися лише напрямку діяльності володільця і відповідати зазначеній меті.

Більш того, суб’єкт персональних даних має право знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження або місце проживання (перебування) володільця чи розпорядника персональних даних або дати відповідне доручення щодо отримання цієї інформації уповноваженим ним особам

Яку інформацію забороняється обробляти?

Забороняється обробка персональних даних про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних спілках, засудження до кримінального покарання, а також даних, що стосуються здоров’я, статевого життя, біометричних або генетичних даних.

Проте ця заборона не застосовується, якщо обробка персональних даних:

1) здійснюється за умови надання суб’єктом персональних даних однозначної згоди на обробку таких даних;

2) необхідна для здійснення прав та виконання обов’язків володільця у сфері трудових правовідносин відповідно до закону із забезпеченням відповідного захисту;

3) необхідна для захисту життєво важливих інтересів суб’єкта персональних даних або іншої особи у разі недієздатності або обмеження цивільної дієздатності суб’єкта персональних даних;

4) здійснюється із забезпеченням відповідного захисту релігійною організацією, громадською організацією світоглядної спрямованості, політичною партією або професійною спілкою, що створені відповідно до закону, за умови, що обробка стосується виключно персональних даних членів цих об’єднань або осіб, які підтримують постійні контакти з ними у зв’язку з характером їх діяльності, та персональні дані не передаються третій особі без згоди суб’єктів персональних даних;

5) необхідна для обґрунтування, задоволення або захисту правової вимоги;

6) необхідна в цілях охорони здоров’я, встановлення медичного діагнозу, для забезпечення піклування чи лікування або надання медичних послуг, функціонування електронної системи охорони здоров’я за умови, що такі дані обробляються медичним працівником або іншою особою закладу охорони здоров’я чи фізичною особою – підприємцем, яка одержала ліцензію на провадження господарської діяльності з медичної практики, та її працівниками, на яких покладено обов’язки щодо забезпечення захисту персональних даних та на яких поширюється дія законодавства про лікарську таємницю, працівниками центрального органу виконавчої влади, що реалізує державну політику у сфері державних фінансових гарантій медичного обслуговування населення, на яких покладено обов’язки щодо забезпечення захисту персональних даних;

7) стосується вироків суду, виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом та здійснюється державним органом в межах його повноважень, визначених законом;

8) стосується даних, які були явно оприлюднені суб’єктом персональних даних.

Коли можна вважати, що особа надає згоду з дотриманням вимоги щодо її інформованості?

Як радить Уповноважений Верховної Ради України з прав людини, в Роз’ясненні від 08.01.2014 року, для того, щоб зробити свідомий вибір – давати чи не давати згоду на обробку персональних даних – особа до надання згоди повинна мати відповіді на такі питання:

– Хто оброблятиме її персональні дані? (назва володільця персональних даних, його адреса, контактні телефони тощо)

– З якою метою оброблятимуться персональні дані? (Мета має бути сформульована чітко та зрозуміло)

– Які персональні дані будуть оброблятися? (Конкретний вичерпний перелік персональних даних особи, який планується обробляти)

– Які дії з персональними даними передбачатиме їх обробка? (збір, зберігання, передача, оприлюднення, знеособлення тощо)

– Хто є розпорядником персональних даних? Які права і повноваження розпорядника щодо обробки персональних даних?

– Кому можуть бути передані персональні дані? З якою метою? На яких підставах?

– Скільки часу персональні дані будуть зберігатися у володільця?

– На яких умовах особа може відкликати згоду на обробку персональних даних та які наслідки такої дії?

Які можливі наслідки відмови особи від надання згоди?

Особа може відмовитися надавати згоду на обробку персональних даних.  Проте на даний час законодавством недостатньо врегульовано питання щодо наслідків відмови особи від надання такої згоди.

Окрему увагу цьому питанню приділила Велика Палата Верховного Суду в зразковій справі № 806/3265/17 від 19.09.2018 року за позовом до Коростенського районного сектору ДМС України у Житомирській області, Управління ДМС у Житомирській області про визнання дій неправомірними та зобов`язання видати паспорт у формі паспортної книжечки.

В зазначеній справі позивачка звернулась до Києво-Святошинського районного відділу Центрального міжрегіонального управління ДМС у м. Києві та Київській області з приводу видачі її неповнолітній дитині паспорта громадянина України виключно у формі паспортної книжечки, однак отримала лист-відмову, який мотивований тим, що з 01.11.2016 року запроваджено оформлення, обмін паспорта громадянина України із застосуванням ЄДДР з безконтактним електронним носієм, також зазначено, що у зв`язку із забезпеченням матеріально-технічними ресурсами, необхідними для оформлення і видачі паспорта з безконтактним електронним носієм, з 01.11.2016 припиняється видача паспорта громадянина України у вигляді книжечки.  Позивач вважала, що відмова відповідача в оформленні паспорту-книжечки є протиправною, оскільки діючи в інтересах своєї дитини та й сама дитина відмовлялися надавати згоду на обробку своїх персональних даних засобами реєстру, передбаченого ЗУ «Про Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус» і вказана відмова абсолютно жодним чином не зачіпає національної безпеку, економічного добробуту країни.

Розглядаючи зазначену справу Велика Палата Верховного Суду звернула увагу, що законодавством не врегульовано питання щодо наслідків відмови особи від обробки її персональних даних, тобто фактично відсутня будь-яка альтернатива такого вибору, що в свою чергу обумовлює неякість закону та порушення конституційних прав такої особи.

Велика Палата Верховного Суду вважала за доцільне зазначити, що реалізація державних функцій має здійснюватися без примушення людини до надання згоди на обробку персональних даних, їх обробка повинна здійснюватись, як і раніше, в межах і на підставі тих законів і нормативно-правових актів України, на підставі яких виникають правовідносини між громадянином та державою. При цьому, згадані технології не повинні бути безальтернативними і примусовими. Особи, які відмовилися від обробки їх персональних даних, повинні мати альтернативу – використання традиційних методів ідентифікації особи.

В результаті, Велика Палата Верховного Суду дійшла висновку, що позбавлення особи можливості отримання паспорта у традиційній формі – у вигляді книжечки, і спричинені цим побоювання окремої суспільної групи, що отримання паспорта у вигляді ID-картки може спричинити шкоду приватному життю, становить втручання держави, яке не було необхідним у демократичному суспільстві, і воно є непропорційним цілям, які мали б бути досягнуті без покладення на особу такого особистого надмірного тягаря.

В той же час в інших випадках відмова в наданні згоди на обробку персональних даних може призвести до позбавлення особи певної соціальної пільги, допомоги та інш. І суди в таких кейсах стають не на сторону суб’єкта персональних даних.

Так в іншій адміністративній справі позивач посилався на те, що у лютому 2020р. звернувся до Управління соціального захисту населення Виконавчого комітету Фортечної районної ради із заявою про нарахування йому субсидії та у зв`язку з відсутністю довідки про доходи, яка видається податковим органом та письмової згоди на обробку персональних даних, відповідач йому відмовив у надані субсидії, тому позивач просив суд зобов`язати службу соціального захисту населення розглянути його заяву щодо нарахування субсидії з лютого 2020р. не потребуючи з нього довідки про доходи і його письмової згоди на обробку його персональних даних.

Рішенням Кіровоградського окружного адміністративного суду від 30.03.2020р. у справі №340/570/20 в задоволенні позовної заяви було відмовлено.

При розгляді апеляційної скарги Третій апеляційний адміністративний суд звернув увагу на те, що Постановою Кабінету Міністрів України №848 від 21.10.1995р. затверджено Положення про порядок призначення житлових субсидій. Абзацом 4 п. 46 Положення, передбачено, що заява і декларація вважаються такими, що не подані, у разі, коли: відсутня згода на обробку персональних даних про членів домогосподарства та членів сім`ї осіб із складу домогосподарства, доходи яких враховуються під час призначення субсидії, даних про доходи та майно.

З матеріалів справи вбачається, що саме відсутність згоди на обробку персональних даних стало підставою для відмови позивачу у призначенні субсидії, тобто суб`єкт владних повноважень відмовляючи позивачу у призначенні субсидії, діяв у межах та спосіб визначений законодавством. При цьому позивачем не було надано ні суду першої інстанції, ні суду апеляційної інстанції доказів звернення позивача з заявою про призначення субсидії із зазначенням в ній обґрунтування не обробляти персональну інформацію.

Таким чином, суб’єкт персональних даних перш ніж надавати згоду на обробку свої персональних даних має право знати кому він надає згоду і з якою метою будуть оброблятися ці дані. Проте найбільш складні питання наслідків відмови особи від надання згоди на обробку. На даний час існує потреба в детальному врегулюванні ситуацій, коли особа має право відмовитися від надання згоди на обробку персональних даних. Крім того, має бути детально зазначено до яких наслідків може призвести неаргументованої відмова та критерії визнання відмови неаргументованою.

Автор: Ольга Семенюк, юристка та правозахисниця.

Матеріал підготовлено за підтримки Європейського Союзу та Міжнародного Фонду «Відродження» в рамках спільної ініціативи «EU4USociety». Матеріал відображає позицію авторів і не обов’язково відображає позицію Міжнародного фонду «Відродження» та Європейського Союзу».