Решение по жалба с рег. № Ж-130/02.04.2015 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 08.07.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-130/02.04.2015г.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Д.С.В., С.П.П., Б.Ш.С., К.А.С., Н.Б.К., А.В.Д., Р.Т.К., М.К.Й., Й.И.М., М.М.Д., Н.Й.А., К.Т.Д., М.Н.Б., Н.Н.П., Т.И.Ч., Т.И.И., Й.Т.П. и З.С.К., същите служители в Основно училище (ОУ) „В.Л.“ с.В., общ. Г.О..

Жалбоподателите твърдят, че връзка със сключен на 20.02.2015г. договор за абонаментно обслужване между училището и „К.П.2000“ ЕООД, без тяхно знание и съгласие личните им данни са предоставени от директора на ОУ „В.Л.“ с.В. на дружеството. Допълват, че са уведомени за сключения договор и след като установили, че дружеството не е вписано като администратор на лични данни подали до директора на училището декларации за отказ от предоставяне на личните им данни на трети лица, които не са уважени.

Към жалбата е приложено копие на договор за абонаментно обслужване №BG03.01.5100.01/20.02.2015г., сключен между ОУ „В.Л.“ с.В. и „К.П.2000“ ЕООД и подадени от жалбоподателите декларации с правно основание чл.4, ал.1, т.2 от ЗЗЛД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от директора на ОУ „В.Л.“ с.В., в качеството му на законен представител на училището, е изискано писмено становище и представяне на относими доказателства.

В отговор г-жа Д. изразява становище за неоснователност на жалбата и моли Комисията да я остави без уважение. Г-жа Д. информира, че между повереното й училище и „К.П.2000“ ЕООД е сключен договор за абонаментно обслужване, същия в сила от 01.03.2015г., по силата на който фирмата изпълнител– „К.П.2000“ ЕООД осъществява дейност по изготвяне на: трудови договори и регистрация в НАП; допълнителни споразумения към трудови договори и регистрация в НАП; заповеди за прекратяване, за платен и неплатен отпуск; разчетно платежни ведомости за заплати; платежни нареждания за размера на дължимите месечни осигуровки и безкасова плащане на заплати на служителите в ОУ „В.Л.“ с.В.. Допълва, че изпълнението на договора започнало на 30.03.2015г., като преди тази дата лични данни на служителите не са предоставяни на дружеството. Г-жа Д. оспорва твърденията на жалбоподателите, че без тяхно знание и съгласие личните им данни са предоставени на дружеството и допълва, че липсва законова забрани упоменатите в договора действия за бъдат извършвани от трето физическо или юридическо лице, работещо извън повереното й училище. Г-жа Д. твърди, че личните данни на служителите в ОУ „В.Л.“ с.В. се събират, съхраняват и обработват законосъобразно в изпълнение на разпоредбите на ЗЗЛД.

Към становището е приложено копие на удостоверение за администратор на лични данни, екранна разпечатка от Електронния регистър на администраторите на лични данни и приемо-предавателен протокол от 30.03.2015г.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег.№Ж-130/02.04.2015г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателите, естеството на искането, дата и подписи, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физически лица с правен интерес. Същата има за предмет обработване, в хипотезата на предоставяне, на личните данни на жалбоподателите, в качеството им на служители на ОУ „В.Л.“ с.В., на трето лице– „К.П.2000“ ЕООД. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. В конкретния случай жалбата е насочена срещу ОУ „В.Л.“ с.В., общ. Г.О., представлявано от директора на училището, което безспорно притежава качеството на администратор на лични данни.

В конкретния случай личните данни на жалбоподателите са обработени от ОУ „В.Л.“ с.В., общ. Г.О. в качеството му на администратор на лични данни чрез действия по предоставянето им на „К.П.2000“ ЕООД и обработени от последното в качеството му на обработващ личните данни от името и за сметка на администратора на лични данни. Отношенията между страните са уредени съобразно разпоредбата на чл.24, ал.4 от ЗЗЛД, а именно с договор сключен на 20.02.2015г.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че ОУ „В.Л.“ с.В. е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД, подало е заявление за регистрация и е регистрирано като администратор на лични данни с идент. №157883, със заявен регистър „Персонал“. „К.П.2000“ ЕООД също е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД и е регистрирано като администратор на лични данни с идент. №415095 със заявен регистър „Контрагенти“.

На проведено на 10.06.2015г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в производството са конституирани: жалбоподатели- Д.С.В., С.П.П., Б.Ш.С., К.А.С., Н.Б.К., А.В.Д., Р.Т.К., М.К.Й., Й.И.М., М.М.Д., Н.Й.А., К.Т.Д., М.Н.Б., Н.Н.П., Т.И.Ч., Т.И.И., Й.Т.П. и З.С.К., ответна страна– ОУ „В.Л.“ с.В. и заинтересована страна– „К.П.2000“ ЕООД. С оглед изясняване на случая от правна и фактическа страна от „К.П.2000“ ЕООД е изискано писмено становище и доказателства по случая, но такова не е ангажирано.

На проведено на 08.07.2015г. заседание на Комисията, жалбата е разгледана по същество.

Страните– редовно уведомени, не се явяват, не се представляват.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения, Комисията приема, че разгледана по същество жалба №Ж-130/02.04.2015г. е частично основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно разпоредбите на ЗЗЛД личните данни следва да се обработват при наличие на поне едно от посочените в чл.4, ал.1 от ЗЗЛД условия за допустимост на обработването, при спазване на принципите посочени в чл.2, ал.2 от ЗЗЛД. Личните данни следва да се обработват законосъобразно и добросъвестно (чл. 2, ал.2, т.1 от ЗЗЛД) и да бъдат съотносими, свързани с и ненадхвърлящи целите, за които се обработват (чл. 2, ал.2, т.3 от ЗЗЛД).

Законодателят допуска администраторът на лични данни да обработва личните данни на физическите лица сам или чрез възлагане на обработващ личните данни (чл. 24, ал.1 от ЗЗЛД), като отношенията между администраторът и обработващия следва да се уредят с нормативен акт, писмен договор или друг акт, в който се определя обема на задълженията, възложени от администратора на обработващия лични данни (чл. 24, ал.4 от ЗЗЛД).

В конкретния случай страните не спорят, че жалбоподателите са в трудови правоотношения с ОУ „В.Л.“ с.В.. Видно от представените доказателства и в частност от съдържанието на приемо-предавателен протокол от 30.03.2015г. в училището и в частност в личните досиета на работещите в училището жалбоподатели се съдържат копие на трудов договор, последно допълнително споразумение, удостоверение за банкова сметка и лична карта, а по отношение на г-жа Костадинова и г-жа Андреева се съдържа и копие на решение на ТЕЛК.

Видно от събраните доказателства копие на съдържащите се в личните досиета на жалбоподателите документи, ведно с копие на ведомости за заплати за месец януари и февруари 2015г., фишове за заплати за месец януари и февруари 2015г., справка аванс-заплата за месец март 2015г. и справки за членски внос са предоставени от директора на училището на „К.П.2000“ ЕООД.

Отношенията между дружествата– ОУ „В.Л.“ с.В.– Възложител и „К.П.2000“ ЕООД– Изпълнител, са уредени съобразно разпоредбите на чл.24, ал.4 от ЗЗЛД, а именно с договор за абонаментно обслужване №BG03.01.5100.01/20.02.2015г. с предмет на договора, извършване от Изпълнителя на следните услуги: „изготвяне на трудови договори и регистрация в НАП; изготвяне на допълнителни споразумения към трудови договори и регистрация в НАП; изготвяне на заповеди за прекратяване и регистрация в НАП; изготвяне на заповеди за платен отпуск, неплатен отпуск; изготвяне на удостоверения за трудов стаж; изготвяне на длъжностни характеристики на персонала; изготвяне на Правилник за вътрешния трудов ред; изготвяне на вътрешни правила за оформяне на работната заплата; посредничество със службата по трудова медицина; сътрудничество при проверки от Изпълнителна агенция Главна инспекция по труда; изготвяне на документи за пенсиониране– УП-1; изготвяне на образци за осигурителен стаж– УП-3, УП -2; оформяне на трудови книжки“ (чл. 1 от договора за абонаментно обслужване). За изпълнение на дейността си по чл.1 от договора Изпълнителят има право да получава документите и информацията, необходими за извършване на услугите по договора (чл. 2, т.1 от договора), като Изпълнителят се задължава да съхранява документацията на Възложителя, която се намира при него и при поискване да му предостави достъп до нея (чл. 2, т.4 от договора).

С оглед съдържанието на договора за абонаментно обслужване личните данни на жалбоподателите, съдържащи се в документите в служебните им досиета, са обработени от ОУ „В.Л.“ с.В., общ. Г.О., представлявано от директора на училището, в качеството му на администратор на лични данни чрез действия по предоставянето им на „К.П.2000“ ЕООД и обработени от последното в качеството му на обработващ личните данни от името и за сметка на администратора на лични данни.

Разпоредбата на чл.24, ал.1 от ЗЗЛД допуска обработването на лични данни на физическите лица чрез предоставянето им от администратора на обработващ личните данни. В тази връзка следва да се отбележи, че предоставянето на лични данни на жалбоподателите от ОУ „В.Л.“ с.В. на „К.П.2000“ ЕООД е допустимо, но обема на предоставени лични данни следва да е съотносим с целите за които същите ще бъдат обработвани и да ненадхвърля тези цели. В тази връзка се налага извода, че предоставянето на копие от личните карти на жалбоподателите на „К.П.2000“ ЕООД е незаконосъобразно.

В конкретния случай предвид разпоредбите на Кодекса на труда и Наредба №4 за документите, които са необходими за сключване и изпълнение на трудов договор, съхранението на копие от документ за самоличност– лична карта, в трудовите досиета на жалбоподателите и предоставяне на копие от същия на трето лице- „К.П.2000“ ЕООД във връзка с трудовите правоотношения между училището и жалбоподателите– от една страна и договорните отношения между ОУ „В.Л.“ с.В. и „К.П.2000“ ЕООД– от друга е незаконосъобразно и непропорционално на целите за които се обработват личните данни.

В съответствие с обема данни, съдържащ се в личната карта на лицето, законодателят е преценил, че за целите на сключването и изпълнението на трудовия договор е необходимо и достатъчно представянето пред работодателя на личен паспорт или друг документ за самоличност, който се връща веднага, след идентифицирането на работника(чл. 1, т.1 от Наредба №4 документите, които са необходими за сключване и изпълнение на трудов договор). Следователно съхранението на копие от лична карта в трудовото досие на лицата и предоставянето му от администратора на трето лице е в нарушение на чл.2, ал.2, т.1 и т.3 от ЗЗЛД, същото е незаконосъобразно, несъотносимо и надхвърля целите, за които се обработват личните данни на лицето във връзка с трудовите правоотношения между страните.

Във връзка с горното следва да се отбележи, че практиката на КЗЛД по отношение на копирането на лична карта на работника при сключване на трудов договор и съхраняването на ксерокопие в трудовото досие на лицето, е константна и е в насока за незаконосъобразност и непропорционалност на обработването на лични данни.

В рамките на оперативната самостоятелност на Комисията и с оглед констатираното нарушение и предвид факта, че същото е първо за администратора на лични данни, Комисията счита за целесъобразно да издаде задължително предписание на администратора на лични данни– ОУ „В.Л.“ с.В. да унищожи съдържащите се в трудовите досиета на жалбоподателите ксерокопия на документи за самоличност– лични карти.

С оглед обстоятелството, че копие от личните карти на жалбоподателите са предоставени от администратора на „К.П.2000“ ЕООД, следователно такива се съхраняват в дружеството, Комисията издава на „К.П.2000“ ЕООД задължително предписание за унищожаване на предоставените му от ОУ „В.Л.“ с.В. ксерокопия на лични карти на жалбоподателите.

Водима от горното, на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-130/02.04.2015г. за основателна, в частта й касаеща обработване от страна на ОУ „В.Л.“ с.В. на личните данни на жалбоподателите, чрез действия по съхранение на ксерокопие на личните карти на жалбоподателите в трудовите им досиета и предоставяне на ксерокопие от личните карти на жалбоподателите на „К.П.2000“ ЕООД, в нарушение на чл.2, ал.2, т.1 и т.3 от ЗЗЛД.

2. Обявява жалбата за неоснователна в останалата й част.

3. На основание чл.38, ал.2 от ЗЗЛД издава на ОУ „В.Л.“ с.В., с БУЛСТАТ ***, в качеството му на администратор на лични данни, задължително предписание да унищожи съдържащите се в трудовите досиета на жалбоподателите ксерокопие на документ за самоличност– лична карта на лицата.

4. На основание чл.38, ал.2 от ЗЗЛД издава на „К.П.2000“ ЕООД, в качеството му на администратор на лични данни, задължително предписание да унищожи предоставените му от ОУ „В.Л.“ с.В. ксерокопие на лични карти на жалбоподателите.

5. Определя срок за изпълнение на задължителните предписания– един месец от получаване на решението и задължава администраторите на лични данни да уведомят и да представят пред Комисията доказателства за изпълнението им.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- София- град.