Решение по жалба с рег. № Ж-24/ 17.01.2014 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венцислав Караджов и членове: Цветелин Софрониев и Веселин Целков на открито заседание, проведено на 11.06.2014г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег.№Ж-24/17.01.2014г., подадена от С.М.К. и Р.К.Ц. срещу И.А.Р.А. /ИАРА/.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

С.М.К. и Р.К.Ц. сезират КЗЛД с жалба, в която твърдят, че на 15.01.2014г. са узнали, че личните им данни са достъпни на официалния сайт на И.А.Р.А. Жалбоподателите твърдят, че публикуването на личните им данни е станало без тяхното съгласие, поради което приемат, че е налице неправомерно обработване на свързаните с тях лични данни от страна на администратор на лични данни. Жалбоподателите искат от Комисията да извърши проверка по случая.

Към жалбата като доказателство е приложена разпечатка от интернет сайта на И.А.Р.А.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства е изискано изразяване на писмено становище с представяне на относими по случая доказателства от И.А.Р.А.

Ответната страна в административното производство на 25.03.2014г. е депозирала писменото си становище по жалбата. Администраторът на лични данни приема, че предмет на жалбата е публикуването в интернет страницата на Изпълнителната агенция на уведомление, изготвено на основание чл.61, ал.3 от АПК. Уведомлението е било публикувано, защото пълномощника на господин С.М.К. е отказал да получи решението на агенцията, постановено по подадена от него молба. Уведомлението е било обявено на 15.01.2014г. на интернет страницата на Изпълнителната агенция, като същото е било защитено с парола и достъпа до него е бил ограничен. В подкрепа на изложеното твърдение агенцията прилага извадка от административната част на интернет страницата. Паролата за достъп до уведомлението е била поставена още в деня на публикуването му и достъп до документите е могъл да има единствено лице, което има паролата. Получаването на паролата става чрез поискване от служител на агенцията. Предоставянето на паролата може да се извърши единствено и само на С.М.К. или на неговия пълномощник. В тази връзка ответната страна приема, че е предприела всички технически и организационни мерки за защита на личните данни, които обработва, поради което не са нарушени правата на жалбоподателите, респективно Закона за защита на личните данни.

И.А.Р.А. оспорва годността на приложените към жалбата доказателства, като излага аргументи, че същите не могат да установят твърдяното неправомерно публикуване на личните данни в интернет, тъй като в тях не се съдържат лични данни. Твърди се, че личните данни на жалбоподателите се съдържат единствено и само в пълномощно, което е представено от тях. Пълномощното е съставено от жалбоподателите, като същите по своя воля са включили в него личните си данни. Ответната страна твърди, че не може да бъде установено по категоричен начин, че представените към жалбата доказателства са били свалени именно от интернет страницата на Изпълнителната агенция, защото върху тях при отпечатването в горния ляв ъгъл автоматично не се е отпечатал интернет адреса, от който са свалени.

Излагат се твърдения, че от съдържанието на жалбата не може да се установи по категоричен начин, в какво се състои твърдяното нарушение на правата им по ЗЗЛД. ИАРА може само да предполага фактическата обстановка на нарушението, поради което приема, че не може ефективно да участва в процеса по разглеждането на жалбата.

Към становището е приложено незаверено копие извадка от интернет страницата на агенцията направено на 20.03.2014г.

При извършена служебна справка в интернет страницата на агенцията на 17.01.2014г. в 15.26.18 часа от страна на Комисията е установено, че свободно е достъпно, без необходимост от въвеждането на парола, писмо на Изпълнителната агенция от 15.01.2014г. отправено до господин С.М.К. и пълномощника му Р.К.Ц. Личните данни на жалбоподателите, които се съдържат в писмото са: три имена; длъжността на С.М.К. и адреса на пълномощника му. От съдържанието на писмото се установява, че адресатите на писмото са подали молба с вх.№Z-16489-1/13.01.2014г. до агенцията с искане за издаване на два броя производствени характеристики. Агенцията уведомява подателите на молбата, че за да бъде молбата им удовлетворена следва да представят документи, които подробно са описани в писмото. Като приложение към писмото е посочено, че се изпраща пълномощно с рег.№079/13.01.2014г. От служебната проверка е установено, че е достъпно без парола съдържанието и на пълномощно дадено от С.М.К. на Р.К.Ц. Видно от съдържанието на пълномощното, упълномощителят дава мандат на пълномощника си да подаде от негово име в деловодството на ИАРА молба за изготвяне на производствена характеристика и да получи от деловодството два броя производствени характеристики. Пълномощното е съставено на 13.01.2014г. видно от поставената върху него собственоръчно дата. Подписът на упълномощителя е нотариално заверен на 13.01.2014г. от Нотариус Й.Л., с рег.№263.

От извършената служебна справка са направени две екранни разпечатки на описаните по-горе два документа, които са приложени като доказателство по административната преписка.

Във връзка с изложените в първоначалното становище на ответната страна твърдения и служебно направените справки, Комисията е изискала с писмо изх.№П-2066/03.04.2014г. на Председателя на КЗЛД ИАРА да представи допълнителни доказателства и информация по случая. С писмото е указано на ответната страна, че приложеното доказателство към първото становище по жалбата, извадка от административната част на интернет страницата на изпълнителната агенция, не е заверено и от него не може да се установи, кой е неговият автор, защото няма подпис на лицето направило извадката и няма достоверна дата. Административният орган е указал разпределението на доказателствената тежест.

И.А.Р.А. в изпълнение на дадените й указания на 23.04.2014г. е депозирала в деловодството на КЗЛД второ писмено становище. В него се твърди, че в агенцията не е постъпила в пълнота административната преписка, поради което тя не може да се произнесе по събраните доказателства. Прави искане за предоставянето на копия от събраните до настоящия момент доказателства. По отношение на представените от Комисията две екранни разпечатки, направени при извършената служебна проверка, агенцията изразява становище, че счита същите за негодни доказателства. Направено е искане да бъде задължен жалбоподателя С.М.К. да представи неоспорими доказателства, от които да е видно, че направените разпечатки са изготвени на посочената в тях дата, а не на друга дата, като е върната датата във вградения календар в Windows 7. Ответната страна също така иска Комисията да задължи господин С.М.К. да представи доказателства, че представените разпечатки представляват годни извадки от интернет страницата на ИАРА.

Сочи се, че административните актове са качени на интернет страницата на ИАРА на основание чл.61, ал.3 от АПК, като няма изготвени нарочни вътрешни правила, регламентиращи публикуването. Твърди се, че на среща осъществена с пълномощника на господин С.М.К., като не се конкретизира точната й дата, паролата за достъп му е показана.

Към становището се прилагат отново незаверени копия на констативен протокол №Z-678/16.01.2014г. на ИАРА, който пресъздава съдържанието на писмо изх.№9400-249/15.01.2014г. на агенцията до жалбоподателите, като и описание на фактологията на събитията след това. С протокола се удостоверява, че след отказа на пълномощника на господин С.М.К. да разпише документите, на 15.01.2014г. на официалния електронен адрес на агенцията в раздел Уведомления, със заглавие „Уведомление за производствена характеристика” е публикувано писмо с изх.№9400-249/15.01.2014г. Приложени са и два боря разпечатки от страницата на агенцията, от които не е видно датата на изготвянето им, нито авторът им. Следва да се посочи, че върху приложените доказателства е положен нечии подпис, от което не може да се установи по безспорен начин, дали той следва да удостовери заверката на приложените копия.

Разгледана по същество жалбата е основателна поради следните съображения:

По административната преписка безспорно е установено, че на официалната интернет страницата на ИАРА към 17.01.2014г. в 15.26.18 часа свободно и неограничено са достъпни личните данни на жалбоподателите в обем: три имена; единен граждански номер; номер на лична карта; дата на издаването й; органът, който е издал; адрес и подпис. Достъпна информация за жалбоподателите е и номера на постъпилата молба в ИАРК; длъжността, която заема господин С.М.К. в агенцията и предмета на образуваното производство– издаване на два броя производствени характеристики. Посочената информация за жалбоподателите се съдържа в два документа, публикувани на интернет страницата на агенцията, а именно: писмо с №9400-249/15.01.2014г. на ИАРА и нотариално заверено пълномощно от 13.01.2014г. на нотариус Й.Л. Публикуваното писмо на агенцията, съдържа и информация, която сама по себе си не представлява лични данни– заемана длъжност, номер на подадена молба и предмета на производството, което се развива пред агенцията, но обвързана с трите имена и единият граждански номер на физическото лице дава възможност за идентифицирането му по безспорен начин. Информацията е достъпна до неограничен кръг от лица и не е защитена, както твърди ответната страна в административното производство с парола.

Съгласно легалното определение на понятието „лични данни”, дадено в чл.2, ал.1 от ЗЗЛД е всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци.

Публикуваната на официалната страница на администратора на лични данни информация за жалбоподателите, представлява лични данни по смисъла на закона.

От доказателствата по административната преписка се установява, че С.М.К. е упълномощил Р.К.Ц. да го представлява пред ИАРА, като депозира от негово име в деловодството на агенцията молба за изготвяне на производствена характеристика, както и да получи след изготвянето им– два броя производствени характеристики. Пълномощникът на господин С.М.К. е входирал в агенцията, молба рег.№Z-16489-1/ 13.01.2014 г, съгласно пълномощията му. От изложеното следва, че жалбоподателите са предоставили свързаните с тях лични данни на администратора на лични данни за точно конкретна цел– изготвяне и получаване на производствени характеристики. Личните данни са предоставени на администратор на лични данни доброволно, при наличие на съгласие за обработването им. Жалбоподателите не са давали съгласието си обаче, личните им данни да са достъпни, освен от администратора на лични данни и от неограничен кръг от лица, които не са оторизирани да имат този достъп.

Следва да се отбележи, че от доказателствата е установено, че С.М.К. е служител в агенцията и заема длъжността– главен секретар. Наличието на трудови правоотношения между физическото лице и администратора на лични данни е условие за допустимото обработване на данните, но това не е предпоставка те да бъдат предоставяни на други лица, което се явява непропорционално и несъотносимо спрямо целта, за която са събрани и се обработват.

Личните данни на жалбоподателите са обработени от администратор на лични данни, допълнително, в нарушение на принципа за пропорционалност на данните, изразяващо се в разпространяването им чрез публикуването в интернет страницата на дирекцията.

Не може да бъде споделено, изразеното от ответната страна становище, че следствие на отказ от страна на пълномощника на господин С.М.К., да получи отговор по подадената молба е изготвено уведомление, по реда на чл.61, ал.3 от АПК, което е публикувано на интернет страницата.

В чл.61, ал.1 от АПК, законодателят е предвидил, че административния акт, съответно отказа да се издаде административен акт се съобщава в тридневен срок от издаването му на всички заинтересовани лица, включително и на тези, които не са участвали в производството.

Редът за съобщаване на акта може да бъде: устно уведомяване за съдържанието на акта, което се удостоверява с подпис на служителя, който го е извършил; чрез писмено съобщение, което може да бъде изпратено и по електронната поща или факса, ако страната е посочила такива, както и чрез получаването му на мястото, където е заявен, или на посочен точен адрес, в случай че е заявено получаване чрез лицензиран пощенски оператор.

В ал.3 от чл.61 АПК е предвидено, че в случай, че адреса на някое от заинтересованите лица е неизвестен или то не може да бъде намерено на посочения от него адрес се изготвя съобщение, което се поставя на таблото за обявления, в интернет страницата на съответния орган или се оповестява по друг обичаен начин.

При тълкуване на цитираната правна норма следва да се приеме, че разпоредбата на чл.61, ал.3 от АПК се прилага при две хипотези: неизвестен адрес или когато лицето не може да бъде намерено на посочения от него адрес. В конкретния случай, ответната страна твърди в становището си, че е извършила публикацията в интернет страницата си, поради факта, че пълномощника на господин С.М.К. е направил отказ да получи отговора по подадената молба, което не може да се приеме, че е в приложното поле на цитираната правна норма. В подобни на описания от агенцията случай– отказ от получаване на административен акт, административната практика предвижда, този отказ да бъде удостоверен върху документа, които следва да бъде съобщен с подписите поне на двама служители от административния орган. След удостоверяването на отказа по този начин, акта се счита за надлежно съобщен на заинтересованото лице с произтичащите от това последици. В тази насока е и разпоредбата на чл.44, ал.1 от ГПК, която разписва, че при отказ да бъде прието съобщение, този факт се отбелязва на разписката и се удостоверява с подписа на връчителя. Отказа на получателя не засяга редовността на връчването.

Видно от констативен протокол №Z-678/16.01.2014г. на ИАРА, в присъствието на началник отдел ПНОЧР /без да е посочено неговото име/ и И.В.– старши юрисконсулт в отдел ПНОЧР, пълномощника на господин С.М.К. е отказал да приеме писмо с изх.№9400-249/15.01.2014г. В протокола е удостоверено още, че пълномощникът е отказал да „разпише документ, удостоверяващ отказа му да приеме писмо с изх.№9400-249/15.01.2014г. на ИАРА”. Не предприемането на законоустановените действия от служители на агенцията по съобщаване на писмо с изх.№9400-249/ 15.01.2014г., не е предпоставка за позоваване на разпоредбата на чл.61, ал.3 от АПК, респективно за приемане, че личните данни са обработени законосъобразно във връзка с изпълнение на нормативно установено задължение на администратора на лични данни– чл.4, ал.1, т.1 от ЗЗЛД.

На следващо място, разпоредбата на чл.61, ал.3 от АПК е неприложима и за това, защото законодателят изисква от административния орган да изготви съобщение, което да бъде поставено на таблото за обявления и на интернет страницата на съответния орган. В законовата разпоредба не е предвидено да се съобщи чрез публикуване самия акт, който следва да бъде съобщен, а се изисква изготвянето на съобщение. В съобщението, съответния административен орган известява лицето, че по негова молба, заявление или искане е издаден административен акт, като посочва начина, по който може да се узнае съдържанието му. От констативен протокол №Z-678/16.01.2014г. на ИАРА се установява, че ответната страна не е изготвила съобщение, така като изисква правната норма, а „писмо с изх.№9400-249/15.01.2014г. на ИАРА, е качено на 15.01.2014г. на официалния електронен адрес на агенцията”.

Двукратно с писма изх.№№П-2066/03.04.2014г. и П-3176/23.05.2014г. на Председателя на КЗЛД е изискано от ИАРА да представи заверено копие от уведомление по чл.61, ал.3 от АПК, но доказателства в тази насока не са представени. В тази връзка, следва да бъде прието, че съобщение не е било изготвяно, а съобщаването е извършено посредством публикуване на самото писмо.

С публикуването в официалната интернет страница на агенцията на съдържанието на писмо с изх.№9400-249/15.01.2014г. и нотариално заверено пълномощно от 13.01.2014г., Изпълнителна агенция по рибарство и култури е нарушила разпоредбата на чл.61, ал.3 от АПК. Това нарушение влече след себе си липсата на условие за допустимост при обработване на личните данни– нормативно установено задължение. Личните данни на С.М.К. и Р.К.Ц. са обработени в разрез с принципа на пропорционалност и съразмерност при обработването на личните данни, което представлява нарушение на чл.2, ал.2, т.2 и т.3 от ЗЗЛД. Вследствие на неспазването на посочените принципи, администраторът на лични данни неправомерно е разпространил личните данни на жалбоподателите чрез публикуването им в официалния интернет сайт на агенцията и по този начин е осигурил възможност за неправомерен достъп до тях на неограничен кръг от лица.

С разпоредбата на чл.38, ал.2 от ЗЗЛД, законодателят е дал оперативна самостоятелност на компетентния орган, в случай че констатира нарушение на ЗЗЛД. Правните възможности са да: издаде задължително предписание, да определи срок за отстраняване на нарушението или да наложи административно наказание. Дадените правни възможности са алтернативни, а не кумулативни. Във всеки конкретен случай следва да се извърши преценка, коя мярка да бъде наложена на администратора. Първите две възможности са неприложими в конкретния случай, за това, защото вмененото задължение на администраторите на лични данни с разпоредбата на чл.2, ал.2, т.2 и т.3 от ЗЗЛД е законово установено. Недопустимо е Комисията да издаде задължително предписание, с което да задължи администратора да спазва императивните норми на закона или да определи срок, в който да бъде отстранено констатираното нарушение. Следствие на извършеното административно нарушение– неправомерен достъп до личните данни е възможно за жалбоподателите да са настъпили вредоносни последици, които към настоящия момент не са установени. Тази възможност препятства налагането на посочените административни мерки.

Комисията установи, че деянието не е извършено при условията на неизбежна отбрана или крайна необходимост, поради което представлява административно нарушение.

При определяне размера на санкцията, Комисията се съобрази с обстоятелството, че за администратора на лични данни това е първо нарушение, но извършено спрямо две физически лица. След съобщаването за наличие на образувано административно производство пред Комисията, информацията свързана с жалбоподателите е била свалена/недостъпна.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата е основателна, поради което на основание чл.10 ал.1, т.7 от ЗЗЛД и чл.38, ал.2 от Закона за защита на личните данни,

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд– София град.

След влизане в сила на настоящето решение в сила, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр.София, бул.Цветан Лазаров №2 или преведена по банков път:

Банка БНБ ЦУ

IBAN BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, Булстат 130961721.