Решение по жалба с рег. № Ж-376/ 26.09.2013 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев и Веселин Целков, в открито заседание, проведено на 05.02.2014г. (Протокол №2), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разглежда по същество жалба с рег.№Ж-376/26.09.2013г. от М.С.И. срещу О.С.

Административното производство пред Комисията за защита на личните данни образувано на основание чл.38 от Закона за защита на личните данни.

Комисията за защита на личните данни е сезирана с жалба, в която жалбоподателката сочи за злоупотреба с личните ѝ данни, изразяваща се в предоставянето им на трети лица без знанието и съгласието ѝ. Г-жа М.С.И. твърди, че на 27.06.2013г. кметският наместник на с. И.– И.К. е предоставила нейните лични данни, както и на други жители на селото, на частна болница, находяса се в гр. С. За тези действия е узнала при посещение при своя личен лекар. Жалбоподателката счита, че е извършено нарушение, тъй като кметският наместник притежава личните данни като служебно лице и не следва да ги разгласява. М.С.И. заявява, че не е давала съгласие личните ѝ данни да бъдат предоставяни на трети лица. Счита, че е нарушено и правото ѝ за свободен избор на личен лекар. Моли Комисията с оглед правомощията си да предприеме съответните действия по случая.

Към жалбата не са приложени доказателства.

Жалбата, подадена от М.С.И. срещу кметския наместник на с. И. е съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията е сезирана от физическо лице, при наличието на правен интерес, подадена е в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Жалбоподателката сочи за извършена злоупотреба с лични данни от страна на кметския наместник на с. И.. Съгласно чл.44, ал.1, т.3 и чл.46а, ал.1 от Закона за местното самоуправление и местната администрация (ЗМСМА), кметският наместник е орган на изпълнителната власт в населеното място, който се назначава и освобождава от кмета на общината. И.К. е назаначена на длъжност кметски наместник на с. И. с Трудов договор №38/28.10.2011г., сключен с и.д.кмет на О.С., чийто срок е удължен с Допълнително споразумение №239 от 07.12.2011г. По смисъла на чл.14 от Закона за местното самоуправление и местната администрация О.С. е юридическо лице. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежава общината. При извършена служебна проверка е установено, че на О.С. е издадено Удостоверение №1111 и е вписана в регистъра на администраторите на лични данни и на водените от тях регистри към КЗЛД.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, КЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание, проведено на 11.12.2013г. (Протокол №43), Комисията обявява жалбата за допустима и я насрочва за разглеждане по същество на 22.01.2014г. Конституира като страни в административното производство жалбоподателката М.С.И., ответна страна– О.С. в качеството ѝ на администратор на лични данни и заинтересовани страни– кметски наместник И.К. и „Г.П.П.М.П.– С.” ООД. Комисията приема решение в 7-дневен срок да се изиска становище от кметския наместник И.К.

В изпълнение на приетото решение, с писмо с вх.№С-763/27.12.2013г., И.К. депозира становище, в което посочва, че в края на м. юни 2013г. е предоставила на ГППМП– С. ООД имена и ЕГН на жители от с. И., сред които и на жалбоподателката, с цел запазване на д-р П. като техен личен лекар. Твърди, че от години жителите на селото са обслужвани от доктор П. от „Г.П.П.М.П.– С.” ООД, тъй като здравната служба в селото е закрита през 2012г. Кметският наместник И.К. посочва, че е следвало е да закупи необходимите документи, да ги предаде на жителите за попълването и подписването им, след което да ги предаде на ГППМП– С. ООД, но „сама е подписала декларациите за избор на личен лекар с цел– да запази здравната служба в селото”.

В заседание, проведено на 15.01.2014г. (Протокол №1), Комисията с решение пренасрочва разглеждането на жалбата по същество за 05.02.2014г.

С писмо с изх.№П-6603/11.10.2013г. на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс (АПК), О.С., представлявана от К.М. в качеството му на кмет на общината, е уведомена за откритото административно производство и на основание чл.36 от АПК е изискано становище, както и относими към жалбата доказателства.

С писмо с вх.№П-6853/24.10.2013г. от О.С. е депозирано становище, в което се посочва, че по случая е извършена проверка. При проверката е установено, че И.К. е предоставила личните данни– имена, ЕГН и адресна регистрация на г-жа М.С.И. на медицинско заведение без знанието и съгласието на лицето. Посочва се, че водена от желанието си да подобри медицинското осигуряване на населението от с. И., кметският наместник И.К. е предоставила информация относно броя на жителите и евентуалния брой пациенти на длъжностно лице от МБАЛ „Х.Д.”– гр. С. За предприетите действия г-жа И.К. не е информирала общинската администрация, не е поискала мнение или консултация с длъжностни лица от администрацията.

В отговор на писмо с изх.№П-7860/13.12.2013г. на Председателя на КЗЛД, с писмо с вх.№П-8060/20.12.2013г. от О.С. уточняват, че преди провеждане на среща с медицинското заведение И.К. не е информирала общинската администрация, нито е поискала консултация с длъжностни лица или юристи. Към писмото са приложени заверени копия на Трудов договор №38/28.10.2011г. и допълнително споразумение към него №239/07.12.2011г., удостоверяващи назначаването на г-жа И.К. за кметски наместник на с. И.

С оглед изясняване на факти и обстоятелства по случая, с писмо с изх.№П-7161/11.11.2013г. на Председателя на КЗЛД, от МБАЛ „Х.Д.”– гр. С. е изискано становище. С писмо с вх.№П-7398/21.11.2013г. „Г.П.П.М.П. – С.”ООД („ГППМП-С.” ООД) уведомяват Комисията, че в рамките на нормативно определения период за избор на личен лекар г-жа И.К. е посетила болничното заведение, като е предала списък, съдържащ трите имена и ЕГН на лица. Заявила е, че е упълномощена от група жители на с. И. да ги впише в пациентската листа на„ГППМП– С.” ООД. Посочва се, че от „ГППМП– С.” ООД са изготвени регистрационните форми за постоянен избор на общопрактикуващ лекар и са предоставени на Иванка Кортезов за полагане на подписи от пациентите. След като попълнените и подписани регистрационни форми са върнати, същите са предадени в РЗОК– С. и пациентите са включени в пациентската листа на „ГППМП– С.” ООД.

С писмо с изх.№П-7727/06.12.2013г. на Председателя на КЗЛД, от „ГППМП– С.” ООД допълнително са изискани заверени копия на регистрационните форми за избор на личен лекар на жителите на с. И. В отговор, с писмо с вх.№П-8038/19.12.2013г. от „ГППМП– С.” ООД са депозирани копия на 5 бр. попълнени регистрационните форми, в т.ч. и на г-жа М.С.И.

За откритото заседание на КЗЛД, проведено на 05.02.2014г. (Протокол №2), страните -редовно уведомени, не се явяват, не изпращат процесуални представители.

Преценката относно основателността на жалбата следва да се обвърже с наличие на неправомерно обработване на личните данни на жалбоподателката от администратор на лични данни.

Обработването на лични данни от страна на администратора на лични данни, съгласно чл.2, ал.2, т.1 от ЗЗЛД, следва да бъде законосъобразно и добросъвестно. Съгласно чл.2, ал.2, т.3 от Закона личните данни следва да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват.

Съгласно чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни. Целта на Закона е да гарантира неприкосновеността на личността и личния живот на физическите лица чрез осигуряване на защита при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

Жалбата е насочена срещу злоупотреба с личните данни, изразяваща се в попълването, подписването и подаването на регистрационна форма за избор на общопрактикуващ лекар от кметски наместник без знанието и съгласието на жалбоподателката. По смисъла на §1, т.1 от ДР на ЗЗЛД “разпространяване” на лични данни представлява обработване на лични данни.

Нормата на чл.24, ал.1 от ЗЗЛД допуска възможността администраторът на лични данни да обработва данните чрез възлагане на обработващ данните. В конкретния случай кметският наместник И.К. по отношение на О.С. има качеството обработващи лични данни по смисъла на § 1, т.3 от ДР на ЗЗЛД. Съществуването на посоченото взаимоотношение води до задължение на администратора на лични данни, възлагайки обработване на лични данни да докаже, че отношенията му с обработващия лични данни са уредени с нормативен акт, писмен договор или с друг акт на администратора, в който се определя обемът на задълженията, възложени от администратора на лични данни. Видно от Трудов договор №38/28.10.2011г. и Допълнително споразумение към него №239/07.12.2011г., удостоверяващи назначаването на г-жа И.К. за кметски наместник на с. И., О.С. възлага обработването лични данни на кметския наместник, свързани с упражняването на правомощията му.

Като администратор на лични данни, по смисъла на чл.3 от ЗЗЛД, О.С. в лицето на кметския наместник И.К. има задължение да обработва лични данни само в случаите, когато това е допустимо при наличие на поне една от изброените в чл.4, ал.1 в съответствие с чл.2, ал.2 от Закона за защита на личните данни предпоставка. С оглед функциите, които упражнява в това си качество, закметския наместник на с. И. е налице условие за допустимост за обработване, по смисъла на §1 от ДР на ЗЗЛД,на личните данни на жалбоподателката.

Съгласно изискванията на чл.23, ал.1 от ЗЗЛД, администраторът на лични данни предприема необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.

В конкретния случай, администраторът на лични данни не е изпълнил това свое задължение, като е попълнил и предоставил на трети лица регистрационната форма за избор на личен лекар на името на жалбоподателката без знанието и съгласието ѝ. С тези действия администраторът на лични данни е нарушил императивна законова разпоредба, съдържаща се в чл.23, ал.1 от Закона за защита на личните данни, като не е предприел необходимите технически и организационни мерки, за да защити личните данни на М.С.И. от неправомерното им разпространяване.

Въпреки предоставената правна възможност, администраторът на лични данни не доказа обстоятелството, че обработва личните данни на жалбоподателката законосъобразно и добросъвестно. В хода на административното производство не представи доказателства за наличие на съответни организационни мерки, за да се предотврати неправомерното разпространяване на личните ѝ данни.

Съгласно чл.81, ал.3 от Закона за здравето, условията и редът за осъществяване правото надостъп до медицинска помощ се определят с наредба на Министерския съвет. В чл.4, ал.1 от Наредба за осъществяване правото на достъп до медицинска помощ, приета с ПМС №119 от 22.05.2006г. изрично е указано, че здравноосигурените лица имат право свободно да избират лекар и лечебно заведение за първична медицинска извънболнична помощ на територията на цялата страна, сключило договор с НЗОК. По смисъла на § 1, т.13 от Закона за здравното осигуряване, „осигурено лице” е физическо лице, осигурено при условията и по реда на този закон. Съгласно процедурата, разписана в чл.6 от цитираната наредба, правото на избор на лекар се извършва лично от здравноосигуреното лице, като за целта се закупува и попълва регистрационна форма, която се представя на избраното лечебно заведение за вписването ѝ в регистъра на здравноосигурените лица.

При анализ на събраните в хода на административното производство доказателства по безспорен начин е установено, че личните данни на М.С.И. са използвани без нейно знание и съгласие от кметския наместник за избор на личен лекар на лицето. Този извод се потвърждава и от О.С. в становище с вх.№П-6853/24.10.2013г., в което се сочат резултатите от извършената проверка по случая. Установено е, че И.К. е предоставила на медицинското заведение личните данни (ЕГН и адресна регистрация) на жалбоподателката без да получи съгласието ѝ.

Видно от съдържанието на становище с вх.№П-7398/21.11.2013г. от ГППМП– С. ООД потвърждават факта, че не всяко лице лично, а г-жа И.К., изпълняваща длъжността кметски наместник, е предала списък, съдържащ имена и ЕГН на група жители от селото, за да бъдат вписани в пациентската листа на медицинското заведение, като за целта е предоставила предварително попълнени и подписани регистрационни форми за избор на общопрактикуващ лекар.

В допълнение следва да се посочи, че в обясненията си, депозирани с писмо с вх.№С-763/27.12.2013г., г-жа И.К. не отрича, че е подписала регистрационните форми на няколко лица от селото, вкл. и на М.С.И.. За останалите 4 лица се посочва, че post faktum е получила съгласието им относно избора на личен лекар, но не е получила съгласието на жалбоподателката.

Твърденията, че личните данни са използвани добросъвестно с цел подобряване здравното обслужване на населението не се кредитират, тъй като „добросъвестността” като критерий законодателят не въздига за преценка във връзка с чл.23 от ЗЗЛД. Посочената категория се преценява при изследване на гражданскоправни взаимоотношения, не и с оглед задълженията, които Законът за защита на личните данни вменява на администраторите на лични данни.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, изискващ наличието на установени действителни факти от значение по случая, имайки предвид представените писмени доказателства и становища, Комисията приема, че разгледана по същество жалбата е основателна.

При определяне размера на налаганото с настоящото решение административно наказание, Комисията се съобрази с характера и степента на нарушението и обществените отношения, които засяга. От събраните към административната преписка доказателства Комисията за защита на личните данни установи, че настоящото наказание за нарушение на ЗЗЛД е първо за О.С.; взе предвид обстоятелството, че в случая са нарушени правата на повече от едно физическо лице; отчете и факта, че администраторът на лични данни не е предприел мерки за предотвратяване на неблагоприятните последици от извършеното неправомерно обработване на лични данни.

Водима от горното и на основание чл.38, ал.2 във връзка с чл.10, ал.1, т.7 и чл.42, ал.9 от Закона за защита на личните данни, Комисията за защита на личните данни

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр. София – 1431, бул. “Акад. Иван Гешов” №15 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, Булстат 130961721

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.