Решение по жалба с вх. № Ж – 62/06.11.2007 г.

Комисията за защита на личните данни в състав: Венета Шопова, Валентин Енев, Мария Матева и Веселин Целков на открито заседание, проведено на 09.07.2008 г. /Протокол № 24/, разгледа по същество жалба, рег. № Ж – 62/06.11.2007 г. от Г.К. срещу “М.К.&К.Б.”ЕООД.

ЖалбоподателятГ.К. сезира КЗЛД с жалба, рег. № Ж – 62/ 06.11.2007 г., в която твърди, че във връзка с издаване нова клиентска карта “М.”, отправил запитване до М., съгласно чл. 28, ал. 1 от Закона за защита на личните данни /ЗЗЛД/, с което поискал да му обяснят какви точно негови лични данни обработват, както и целта за събиране на снимка и подписи. Получил отговор /в който няма посочена дата/ от Ръководител Отдел “Връзки с клиенти”- г-жа Х. В отговора не се съдържала информация, относно съхраняване на снимката на клиента. С жалбата си г-н К. моли комисията да забрани на М. да събира снимки и подписи на клиентите си както и да наложи съответни санкции по Глава VІІІ от ЗЗЛД и за своите действия да уведоми жалбоподателя.

Към жалбата се прилагат писмени доказателства – копия от клиентските карти на веригата М. в А., Ф. и Г. /принтирани от Интернет сайтове/, видно от които на тях липсват снимки на клиентите им; Заявление на жалбоподателя до “М.К.&К.Б.”ЕООД; отговора на дружеството до него и рекламен материал за новите клиентски карти със снимки на клиентите.

С решение на КЗЛД от 14.11.2007 г. /Протокол № 30/ жалбата е обявена за допустима и възложена проверка на администратора на лични данни “М.К.&К.”ЕООД,в срок до 30.11.2007 г.заизясняване на обстоятелствата по жалбата, цел и пропорционалност на събирането на лични данни, вътрешните актове, постановяващи тези действия, техническите и организационни мерки за осигуряване на защитата на личните данни на клиентите на “М.”.Решено е също, да се изпрати писмо до жалбоподателя, с което да се изиска от него да представи писмени доказателства за правоотношенията му с “М.”, като клиент.

При проверката по жалбата, в изпълнение на Заповед № РД – 295/20.11.2007 г., извършена на 20.11.2007 г. – Констативен акт, вх. № към Ж – 62/29.11.2007 г. се съдържа констатация относно Процедурата по издаване на новите пластмасови клиентски карти, която “не включва съхраняване на снимките на физическите лица, а всяка следваща снимка изтрива предишната”. Установено е също, че Регистърът на хартиен носител “събира оригинали на подписаните формуляри за издаване на клиентска карта”, които се съхраняват в картонени класьори, подредени на метални рафтове.Констатацията относно регистъра е, че за него в електронната база е разработена специална софтуерна програма. За юридическите лица и за техните представители се събират двете имена и ЕГН само в определени случаи, когато липсва данъчен номер. Данните се съхраняват за неопределен срок, но в случай че клиентът не е осъществил покупки в срок от 2 години, данните се изтриват. Личните данни се унищожават и по желание на клиента, изразено писмено. На проверяващия екип не са представени Инструкция за мерките за защита на личните данни по чл. 23, ал. 4 от ЗЗЛД и Писмени условия за обработване на личните данни във вид на фотографско изображение на клиентите на дружеството.

Жалбоподателят изпраща в КЗЛД допълнение към жалбата си, вх. № към Ж – 62/22.11.2007 г., с приложение на копия от старата му клиентска карта /без снимка/, Формуляр за издаване на клиентска карта и “Търговските изисквания” на “М.К.&К.” ЕООД .

На заседание на КЗЛД на 10.12.2007 г. /Протокол № 33/ е взето решение да се извърши последваща проверка с участието на IT специалист,

като целта е установяване и съхранение от страна на М. на снимки и подписи на клиенти в електронна база данни, както и съхраняване на клиентски карти при прекратяване на договорните отношения.

На заседание на КЗЛД на 28.05.2008 г. /Протокол № 18/ във връзка с Доклад на директора на дирекция “Контролна дейност” е прието решение, че “не е необходимо извършване на повторна проверка, с оглед обстоятелството, че фактът на заснемане на лицата вече е констатиран с констативен акт на Комисията по друг сигнал”.

На 30.05.2008 г. в КЗЛД е постъпило Предложение от г-н Г.К. да бъде наложена временна мярка относно спиране “събирането на снимки при издаването на карти от “М.К.&К.” ЕООД”.

Жалбата е насрочена за разглеждане по същество на открито заседание на комисията на 09.07.2008 г. Жалбоподателят се явява лично. От “М.К.&К.Б.” ЕООД не изпращат представител.

В хода на заседанието се изяснява, че поради отказ на жалбоподателя, не му е направена снимка и на това основание няма издадена нова М. карта. На въпрос, дали има право да пазарува в М. със старата си карта, жалбоподателят отговаря, че не е опитвал и не знае.

К. заявява, че изцяло поддържа жалбата си.

Комисията приема жалбата за неоснователна.

Съгласно чл. 10, ал. 1, т. 7 от Закона за защита на личните данни /ЗЗЛД/ комисията разглежда жалби срещу актове и действия на администраторите, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по закона.

В конкретния случай, “М.К.&К.” ЕООД е администратор на лични данни, по смисъла на чл. 3 от ЗЗЛД.

В правомощията на Комисията е задължението да осигурява законосъобразното обработване на личните данни на физическите лица от страна на администраторите на лични данни, достъпа на лицата до техните лични данни, както и да осъществява контрол по спазването на закона.

Приложното поле на ЗЗЛД се обуславя от наличието на определени законови предпоставки.Законът осигурява защита на лицата по отношение и във връзка с обработването на техните лични данни, а това е всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Условие за прилагане на ЗЗЛД и реализиране на контролните правомощия на комисията в изпълнение на закона, е изискването за безспорно установяване на факта на обработване на лични данни на физическите лица.По смисъла на §1, т. 1 от Допълнителните разпоредби /ДР/ на ЗЗЛД “обработване на лични данни” е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.ЗЗЛДобвързва обработването и с условието, обработваните лични данни да съставляват или да са предназначени да съставляват част от регистър. В този смисъл е и легалната дефиниция за “регистър на лични данни” в §1, т. 2 от ДР на ЗЗЛД.

В конкретния случай по жалбата, администраторът “М.К.&К.” ЕООД е осъществил обработване на личните данни на жалбоподателя при първоначално издаване на неговата М. карта, когато съгласно “Търговските изисквания на “М.К.&К.” ЕООД” не е имало условие за прилагане на снимка на клиента. След въвеждане на Процедурата по издаване на новите пластмасови клиентски карти, Г.К. е отказал да бъде сниман, поради което не му е издадена нова клиентска карта. В този смисъл, по отношение на жалбоподателя, не е извършено нарушение на ЗЗЛД от страна на “М.К.&К.” ЕООД, като администратор на лични данни, тъй като едно от условията за допустимост на обработването, съгласно чл. 4, ал. 1, т. 2 от ЗЗЛД е “физическото лице, за което се отнасят данните да е дало изрично своето съгласие”, а в случая поради липса на такова не е извършено обработване на личните данни на Г.К.

Видно от Констативен акт, вх. № към Ж – 62/29.11.2007 г. и приложенията към него, на проверяващия екип, извършил проверка на “М.К.&К.Б.” ЕООД по жалбата, не са представени Инструкция за мерките за защита на личните данни по чл. 23, ал. 4 от ЗЗЛД, а това е задължение на администратора съгласно цитираната разпоредба.

Водима от горното, Комисията

РЕШИ:

1. Оставя без уважение жалба, рег. № Ж – 62/06.11.2007 г. от Г. К. срещу “М.К.&К.Б.” ЕООД.

2. На основание чл. 10, ал. 1, т. 5 от Закона за защита на личните данни издава задължително предписание на администратора на лични данни “М.К.&К.Б.” ЕООД да представи в КЗЛД в 14-дневен срок от получаване на настоящото решение Инструкция за мерките за защита на личните данни по чл. 23, ал. 4 от ЗЗЛД.

Решението на Комисията може да се обжалва пред Върховния административен съд в 14-дневен срок от получаването му.