Решение по жалба вх. № 4861/ 10.10.2011 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков на открито заседание, проведено на 15.02.2012 г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег.№4861/10.10.2011г., подадена от Г.К.Г. срещу МБАЛ„С.И.Р.” ЕАД-София.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбата отговаря на нормативно установените изисквания, поради което се явява редовна. С решение на КЗЛД, взето на закрито заседание, проведено на 18.01.2012г., жалбата е обявена за допустима, като ответна страна в административното производство е конституирана МБАЛ„С.И.Р.” ЕАД-София.

В КЗЛД е постъпило искане от д-р Г.К.Г., отправено до директора на УМБАЛ „С.И.Р.” с правно основание чл.26 и чл.28а от ЗЗЛД.

Г.К.Г. е поискал от администратора на лични данни да му предостави достъп до личните му данни. Посочено е в искането, че достъпа до личните данни, до които се иска се съдържат на аудио и видео носител и представляват записи от камерите монтирани в операционните зали и периода, в който са събрани данните е февруари 2010г.-октомври 2011г. д-р Г.К.Г. твърди в искането си, че обработването на свързаните с него лични данни е извършено без наличие на изричното му съгласие и желае информацията, която съдържа личните му данни да не бъде обработвана, да не се предоставя на трети лица.

В условията на служебното начало, залегнало в административното производство с писма на Председателя на КЗЛД е изискано от МБАЛ„С.И.Р.” ЕАД-София да представи решението си по повод депозираното искане с правно основание чл.28а от ЗЗЛД.

На 01.10.2011г. е постъпило от Г.К.Г. становище по отношение на писмо изх.№3733/24.10.2011г. на УМБАЛ „С.И.Р.” ЕАД, адресирано до директора на болничното заведение с копие до КЗЛД.

В становището се сочи, че доктор Г.К.Г. е отправил искане за достъп до лични данни, които са събрани посредством камерите монтирани в операционните зали, като е посочено, че достъпа до данните е за периода 02.2010г.-10.2010г. Излага се още информация по отношение на законовите разпоредби, които дават право на физическите лица до достъп до свързаните с тях лични данни, както и реда и начина да се осъществи този достъп. Твърди се, че с отправянето на искане за изразяване на становище от страна на Комисията се извършва преднамерен отказ до достъп до лични данни, който е в противоречие на ЗЗЛД.

Като доказателства към становището на д-р Г.К.Г. са приложени два броя нотариално заверени декларации от К.Д. и С.В.

На 17.11.2011г. е постъпило второ становище от д-р Г.К.Г., този път по отношение на Констативен протокол за извършена проверка №КП-27-248/17.10.2011г. на Изпълнителна агенция „Медицински одит” в частта касаеща видеонаблюдение в операционните зали на Клиниката по неврохирургия.

Д-р Г.К.Г. оспорва направените констатации в констативния протокол и счита същите за необосновани. Твърди се, че констатациите са направени на базата на доказателства и документи, които са представени от заинтересована страна – болницата. Твърди се още, че проверяващият екип от изпълнителната агенция е нарушил принципите на независимост, обективност, добросъвестност, обоснованост и доказаност, които са залегнали вНаредба №14/20.04.2010г. за условията и реда за извършване на проверки на лечебните заведения. Изразява се мнение от страна на д-р Г.К.Г., че Правилата за видеонаблюдение в УМБАЛ „С.И.Р.” ЕАД и другите документи, послужили за направата на констатациите на проверяващия екип от изпълнителната агенция не следва да се приемат за годно доказателствено средство.

Жалбоподателят на база изложеното в становището си, изразява мнение, че следва КЗЛД да назначи извършването на проверка в болничното заведение и да издаде задължително предписание на администратора на лични данни, относно обработването и съхранението на личните данни от този регистър. Изразява се мнение, че на болницата следва да се наложи и административно наказание по реда на чл.42, ал.1 и ал.4 от ЗЗЛД, за това защото е водила регистър „Видеонаблюдение” преди да е получила разрешение от Комисията за това.

Към становището отново се прилагат два броя нотариално заверени декларации от К.Д. и С.В. и извадка от констативния протокол на проверяващия екип от изпълнителната агенция.

На 24.10.2011г. в КЗЛД е постъпило искане от УМБАЛ „С.И.Р.”ЕАД, с което се изисква изразяване на становище на Комисията на основание чл.10, ал.1, т.4 от Закона за защита на личните данни, относно постъпили искания от д-р Р.С.А. с вх.№3699/07.10.2011г. и от д-р Г.К.Г. с вх.№3733/10.10.2011г. за предоставяне на достъп до аудио и видео информация, отнасяща се до тях, записана с камери за видеонаблюдение в операционните зали на болницата.

На свое редовно заседание, проведено на 9.11.2011г., КЗЛД е изразила становище по искането на администратора на лични данни, като е приела, че:

1. Видеозаписите от средствата за наблюдение съдържат "лични данни", тъй като съдържат информация, която по смисъла на чл. 2, ал.1 от Закона за защита на личните данни е способна да разкрие физическата идентичност на лицето, което е записано.

2. На основание чл.26, ал.1 от Закона за защита на личните данни, всяко физическо лице има право на достъп до отнасящите се за него лични данни (вкл. записани чрез камери за видеонаблюдение). При упражняване правото си на достъп по чл.28, ал.1 от ЗЗЛД, физическото лице има право по всяко време да поиска от администратора на лични данни: 1. Потвърждение за това, дали отнасящите се до него данни се обработват, информация за целите на това обработване, за категориите данни и за получателите или категориите получатели, на които данните се разкриват;

2. Съобщение до него в разбираема форма, съдържащо личните му данни, които се обработват, както и всяка налична информация за техния източник; 3. Информация за логиката на всяко автоматизирано обработване на лични данни, отнасящи се до него, поне в случаите на автоматизирани решения по чл.34б.Администраторът на лични данни предоставя цитираната информация безплатно.

3. Достъпът до лични данни на отделно физическо лице по т.2, записани чрез камери за видеонаблюдение, може да бъде предоставенпри техническа възможност за временно заличаване на личните данни на трети лица, които биха могли да бъдат разкрити при осъществяване правото на достъп. В случай, че не е технически възможно да бъдат временно заличени личните данни на трети лица, единственото правно основание за осъществяване на правото на достъп би било наличието на изрично съгласие от всички останали физически лица – предмет на конкретното видеонаблюдение.

4. Съгласието на физическите лица за обработване на техните лични данничрез видеозапис от средства за видеонаблюдение трябва да е дадено предварително преди започване обработването на личните данни (преди стартирането на записа от видоенаблюдението) и да отговоря на следните изисквания съгласно §1, т.13 от Допълнителните разпоредби на ЗЗЛД: да е свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани.

5. На основание чл.28а от Закона за защита на личните данни, физическото лице има право по всяко време да поиска от администратора да: 1. Заличи, коригира или блокира негови лични данни, обработването на които не отговаря на изискванията на този закон; 2. Уведоми третите лица, на които са били разкрити личните му данни, за всяко заличаване, коригиране или блокиране, извършено в съответствие с т.1, с изключение на случаите, когато това е невъзможно или е свързано с прекомерни усилия.Правото на достъп по чл.26 и правата по чл.28а се осъществяват с писмено заявление до администратора на лични данни, като същото се отправя лично от физическото лице или от изрично упълномощено от него лице чрез нотариално заверено пълномощно.

6. Съгласно чл.32, ал.1 от Закона за защита на личните данни, в случаите по чл.28, ал.1 (при упражняване правото на достъп) администраторът на лични данни или изрично оправомощено от него лице разглежда заявлението по чл.29и се произнася в 14-дневен срок от неговото подаване.

За насроченото отрито заседание на КЗЛД за 08.02.2012г., процесуалният представител на жалбоподателят уточнява жалбата, с която е сезирана Комисията. Уточнено е че е насочена срещу отказ на администратора на лични данни да осигури достъп до свързаните с жалбоподателя лични данни. Процесуалният представител изразява становище, че не е налице, нито една от двете хипотези за отказ от достъп до лични данни: че не съществуват личните данни, заснетите видеокадри в посочения период; и че това е забранено със закон.

С оглед установяването на факти и обстоятелства от значение за случая, Комисията е задължила ответната страна да представи допълнителни доказателства, а именно:заверен препис от Вътрешните правила относно видеонаблюдението в болницата, които разписват процедурите по видеозаснемане и съхраняване на обработените данни; също така видеозаписа, на който е д-р Г.К.Г. и писмени доказателства за спазване на вътрешната процедура на тези правила по отношение на конкретния запис. В указаният срок, болницата представя изисканите доказателства.

На откритото заседание на КЗЛД, проведено на 15.02.2012г., страните са редовно и своевременно уведомени по реда на АПК. Жалбоподателят не се явява, представлява се от адв. И.А., ответната страна се представлява от юрисконсулт Й.Б., с пълномощно по преписката.

С оглед предмета на жалбата – обжалване на отказ до лични данни, Комисията оставя искането на процесуалния представител на жалбоподателят за налагане на административно наказания на ответната страна. В разпоредбата на чл.38, ал.2 от ЗЗЛД, законодателят е предвидил две алтернативни възможности, компетентния орган да се произнесе, в случай, че намери за основателна жалбата. Преценката, кой вид от двете наказания, които може да наложи е на КЗЛД се извършва съобразно конкретната жалба, вида на извършеното нарушение, нарушено право и най-благоприятните последици за лицето чиито права са нарушени.

Жалбата е основателна, поради следните съображения:

Г.К.Г. е подал писмено заявление до МБАЛ„С.И.Р.” ЕАД-София за достъп до лични данни, на основание чл.26 от ЗЗЛД. В заявлението е посочено, че исканият достъп е до данни, които се съдържат на видеозаписи /аудио и видео информация/, направени от камери, разположени в операционните зали за периода февруари 2010 до октомври 2011г. В заявлението е уточнено, че господин Г.К.Г. не желае свързаните с него лични данни да се обработват и да бъдат предоставяне на трети лица.

Подаденото заявление отговоря на изискването на чл.30 от ЗЗЛД, въпреки, че жалбоподателят не е уточнил предпочитана форма за предоставяне на изисканата от него информация. С оглед вида на носителя, на който се съдържат личните му данни, този порок в заявлението може да бъде саниран. Заявлението е направено от правоимащо лице до администратор на лични данни.

Видно от събраните по административната преписка доказателства се установи, че болницата е направила отказ до достъп до лични данни. Отказът е обективиран в писмено уведомление с изх.№3733/24.10.2011г. отправено до доктор Г.К.Г. Писменото уведомление е издадено на основание чл.33, ал.1 и ал.2 от ЗЗЛД. В уведомлението се уточнява, че администратора на лични данни е подал искане за изразяване на становище от страна на КЗЛД и след получаването му, ще бъде отговорно на заявлението за достъп. Посочва се още, че за искания период февруари 2010 до октомври 2011г. достъпа не може да бъде осигурен, респективно искането удовлетворено, поради факта, че видеонаблюдението в операционните зали се извършва от 01.08.2011г. и на 26.09.2011г. е преустановено.

Администраторът на лични данни прави отказ до достъп до аудио информация с мотива, че такава не съществува. Уточнено е, че видеозаснемането на камерите в операционните зали се извършва единствено и само визуално без звук. Това твърдение, болничното заведение подкрепя и с констативен протокол от 17.10.2011г. от направената проверка от Изпълнителна агенция „Медицински одит”. Писменото уведомление е връчено лично срещу подпис на жалбоподателят на 24.10.2011г.

Приложено е и второ писмено уведомление до доктор Г.К.Г., в което е обективиран отказ на администратора на лични данни да предостави достъп до видеоинформация с мотив, че липсва техническа възможност за заличаване на личните данни на трети лица, които също са на кадрите. Уточнява се, че за да се получи достъп до исканата информация следва да има съгласието на останалите лица, които са заснети.

Постановен е и отказ за достъп до лични данни, съдържащи се във видеозаписи за периода 01.08.2011г. до 26.09.2011г. с мотив, че записите от камерите се съхраняват в рамките само на 30 дни от заснемането, след което същите автоматично се изтриват. Сочи се, че последният ден, в които е било извършвано видеонаблюдение е 26.09.2011г., от което следва, че на 26.10.2011г. кадрите са автоматично изтрити. Уведомлението е връчено лично срещу подпис на Г.К.Г. на 19.12.2011г.

От събраните доказателства и от изказванията на процесуалния представител на ответната страна в откритото заседание на Комисията се установи, че съгласно вътрешните правила на болницата за извършване на видеонаблюдение в операционните зали в клиниката по неврохирургия е направено копие на запис от операционна зала, в който е заснет и жалбоподателят. Видно от докладна записка на д-р В.Т. /без посочена дата на изготвянето й/, същата е констатирала при видеонаблюдението нарушения от 08.09.2011г. /четвъртък/. Нарушенията се изразяват в несъответствие на началния час на оперативната интервенция с този, отбелязан в отчета за оперативна дейност за всички оперативни зали; несъответствие на броя на операторите във всички операционни зали, с този, отбелязан в отчета за оперативна дейност и необосновано удължен престой на пациента след интубирането му до началото на операцията в 4 зала. Към преписката липсват доказателства, че във връзка с докладната записка на доктор В.Т. и съгласно правилата за извършване на видеонаблюдение има писмено разрешение на директора на болничното заведение за правенето на запис от видеокамерите в операционните зали. Това въпрос обаче не е от компетентността на Комисията.

От изложеното следва, че съществува запис от видеокамерата в операционна зала на клиниката по неврохирургия на УМБАЛ С.И.Р.” ЕАД София, на които е заснет и жалбоподателят, от което следва, че направеният отказ до достъп до лични данни е неоснователен и следва да бъде отменен.

Служебно известен е констативният протокол №КП 27-248/17.10.2011г. на комисия, назначена от ИА „Медицински одит”. В него е установено, че наблюдението се извършва в реално време и качеството на изображението не позволява идентификацията както на работещите в операционните зали, така и на пациентите. Установено е, че изображението на камерите се предопределя от позиционирането на операционната маса, като възможностите са две: към главата на лежащия на масата пациент и странично към долната част на тялото. „В първия случай от предоставените и разгледани от комисията записи се установи, че изображението не позволява детайлизиране на пола, лицето както и части от тялото на пациента”. „От записите проверяващия екип не може да направи идентификация на работещите в операционната зала.” „При втората позиция на камерите предоставените изображения на пациентите могат да се проследят по детайлно като пол, лице и телесни части, но също не позволява идентификация на работещите в операционната зала.” „При разглеждането на предоставените записи може да се установи времетраенето на всички действия и процедури по отношение на пациента, без да може да се определи часът на започването им. „На самият запис няма отбелязана дата и час”.

В констативният протокол, както и от установеното от извършената проверка от проверяваш екип на КЗЛД се установява, че камерите в операционните зали на клиниката по неврохирургия работят от 01.08.2011г.

Жалбоподателят представя като доказателство, опровергаващо констатациите, направени от проверяващите екипи на изпълнителната агенция и на КЗЛД, два броя нотариално заверени декларации. В декларациите се декларира, че за периода 04.2010г. до 08.2010г. в стаята на счетоводството, в която са работили двете лица, от които са декларациите е имало възможност да се наблюдава в реално време случващото се в петте операционни зали и коридорите на операционните на болницата, тъй като в тези помещения били монтирани постоянно работещи видеокамери.

С оглед преценката на тези взаимно противоречащи си доказателства, относно периода, през който са работели камерите в операционните зали следва да се има предвид следното:

Административно-процесуалният кодекс дава възможност административният орган да приема като доказателство писмени декларации, с които се установяват факти и обстоятелства, за които специален закон не предвижда доказване по определен начин или с определени средства. Втората хипотеза, при наличието на която може да се приемат като доказателство писмени декларации е, с която се установяват факти и обстоятелства, за които специален закон, предвижда доказване с официален документ, когато такъв не е издаден на страната в опредения срок за това. Приемането на този вид доказателства от административния орган е правна възможност, а не задължение. На следващо място следва да се отбележи, че факта, от кога работят камерите в операционните зали има съставени два официални документа – констативни протоколи на изпълнителна агенция „Медицински одит” и КЗЛД. Липсват доказателства по административната преписа, че официалните документи са оспорени по надлежния ред, поради което считам, че доказателствената им сила е по-голяма от тази на двата броя нотариално заверени декларации. В представените декларации е декларирано, че при желание на деклараторите са могли да наблюдават в реално време случващото се в операционните зали от компютъра на г-жа А. Д. От изложеното следва да се направи анализ, че на двете деклараторки, дейността по наблюдението на операционните зали не им влиза в трудовите задължения и достъпа до наблюдението е осъществяван посредством разрешението на опосредяващо лице. Достоверността на декларациите трябва да се прецени и с оглед обстоятелството, че двете лица /поне така от текста следва/ не са вече служители на болницата. Не е в кръга на компетентност на КЗЛД да извърши контрол, колко правомерен е бил осигуряваният достъп до компютъра на госпожа А.Д. на трети лица и дали това не представлява нарушение на трудовите задължения.

На основание изложеното, Комисия за защита на личните данни приема, че отказът на МБАЛ„С.И.Р.” ЕАД-София за достъп до личните данни на д-р Г.К.Г., съдържащи се на видеозаписи направени във операционните зали на клиниката по неврохирургия към болницата, обективиран в уведомително писмо №3733/09.12.2011г. е неоснователен и следва да се отмени.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата ечастично основателна, поради което на основание чл. 10 ал. 1, т. 7 от ЗЗЛД и чл.38, ал.2 от Закона за защита на личните данни,

1.Оставя без уважение жалба рег.№ 4861/10.10.2011г., подадена от Г.К.Г. срещу отказ на МБАЛ„С.И.Р.” ЕАД-София да осигури достъп до аудио информация, тъй като такъв вид информация не е събирана и не се съдържа в болницата, поради което искането за достъп в тази му част е неоснователно.

2.Уважава жалба рег.№ 4861/10.10.2011г., подадена от Г.К.Г. и отменя отказ, обективиран в уведомително писмо №3733/09.12.2011г. на МБАЛ„С.И.Р.” ЕАД-София да осигури достъп до лични данни, съдържащи се във видеозаписи направени от видеокамерите в операционните зали на клиниката по неврохирургия за периода 01.08.2011г. до 26.09.2011г.

3.На основание чл.38, ал.2 във връзка с чл.10, ал.1, т.5 от ЗЗЛД издава задължително предписание на МБАЛ„С.И.Р.” ЕАД-София да предостави в 14-дневен срок от съобщаването на настоящето решение достъп до личните данни на жалбоподателя, а именно до всички направени записи от видеокамерите, разположени в операционните зали на клиниката по неврохирургия за периода 01.08.2011г. до 26.09.2011г.

В определеният срок за изпълнение на задължителното предписание, следва да бъде уведомена Комисията за неговото изпълнение, като се представят надлежни доказателства за това.

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София град.