Решение по жалба с рег. № Ж-797/30.06.2014 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на открито заседание, проведено на 10.09.2014г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег.Ж-797/30.06.2014г., подадена от Д.Х.Д. срещу вестник „Д.”.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

Д.Х.Д. сезира КЗЛД с жалба, в която твърди, че в електронното издание на вестник „Д.” в рубриката „Зелен” на 23.06.2014г. е публикувана статия със заглавие „М.Р.: Държавата явно позволява на новия шеф на парк „Б.” преразходи”. Към статията са публикувани два файла с докладни и сканирани документи, сред които има такива, които съдържат личните й данни. Госпожа Д.Х.Д. е предоставила личните си данни на парка „Б.” по повод участието й в конкурс за заемане на длъжността „главен счетоводител”. Достъпните към статията документи, съдържащи личните данни на жалбоподателката са: заявление за участие в конкурс с вх.№342/28.03.2014г., Приложение №1 към чл.2, ал.1 от Наредбата за документите за заемане на държавна служба, заповед №1/30.04.2014г. за назначаване, свидетелство за съдимост, както и сключените с парка, граждански договори с №№УУП-88/04.03.2014г. по проект „Изпълнение на дейности за устройство и управление на ПП „Б.” и договор от 04.03.2014г.

Госпожа Д.Х.Д. категорично заявява, че публикуването на личните й данни в електронното издание на вестник „Д.” е извършено без нейното знание и изрично съгласие. Изказват се предположения, че публикуваната информация и достъпността й от неограничен кръг от лица може да доведе до необратими преки или косвени последици в сферата на личния живот.

В жалбата се сочи като извършител на твърдяното нарушение М.Р. Лицето е било директор на парка и по повод и при изпълнение служебните му задължения неправомерно е използвала личните данни на госпожа Д.Х.Д., като ги е предоставила на електронното издание на вестник „Д.”. Обработването на личните данни е извършено в нарушение на принципа на пропорционалност и съотносимост с целта, за която се обработват личните данни.

Към жалбата като доказателства са приложени незаверени копия от документи, с които госпожа Д.Х.Д. е участвала в конкурс за заемане на държавна служба и два договора, които е сключила с природен парк „Б.”.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства е изискано изразяване на писмено становище с представяне на относимите по случая доказателства от Дирекция на природен парк „Б.” и „И.” АД, дружеството, което администрира електронното издание на вестник „Д.”.

В писменото становище на Дирекция на природен парк „Б.” се застъпва тезата за основателност на жалбата. Сочи се, че настоящият директор на парка е бил сезиран от госпожа Д.Х.Д. за описания в жалбата случай с докладна с вх.№849/25.06.2014г. Директорът на парка от своя страна направил проверка в сайта на електронното издание на вестник „Д.” и установил, че на 23.06.2014г. са публикувани сканирани служебни документи, съдържащи личните данни на жалбоподателката. За извършените констатации от проверката, директорът уведомил писмено висшестоящия орган– Изпълнителна агенция по горите гр. София. Излагат се твърдения, че госпожа М.Р. е имала възможност да се снабди с документите, съдържащи личните данни на жалбоподателката, пренебрегвайки създадените правила за достъп и боравене с информация до 09.06.2014г., до която дата е изпълнявала длъжността директор на природния парк. Твърди се още, че при освобождаването на госпожа Р. от длъжност, тя е изнесла ксерокопия на множество документи, факт, който лично бил потвърден от нея в многобройните й медийни изяви.

В становището на Дирекция на природен парк „Б.” се прави искане, М.Р. да бъде конституирана като заинтересована страна, поради което се представя и адрес за кореспонденция с лицето. Изразява се становище за основателност на жалбата и се иска от Комисията да наложи съответното наказание на бившия директор на парка М.Р.

Към становището не се прилагат доказателства.

„И.” АД, дружеството, което администрира електронното издание на вестник „Д.”, изразява писменото си становище по жалбата. Потвърждава изнесената информация в жалбата и становището на Дирекция на природен парк „Б.”, като заявява, че всички документи, които са били публикувани към статията, са били предоставени на електронен носител от госпожа М.Р.- бивш директор на парка.

Дружеството уведомява Комисията, че в първия работен ден след получаване на писмо от Комисията, с което се изисква изразяване на писмено становище по жалбата и представяне на относими по случая доказателства, документите, съдържащи личните данни на госпожа Д.Х.Д. са свалени от сайта на вестника.

Към писменото становище е приложено като доказателство инструкция за технически и организационни мерки и средства за защита на личните данни, обработвани от „И.” АД.

На 04.07.2014г. е извършено служебно събиране на доказателства, а именно екранни разпечатки на публикацията в електронното издание на вестник „Д.” и приложените към нея документи, в които се съдържат личните данни на Д.Х.Д.

Съгласно направеното от Дирекция на природен парк „Б.” доказателствено искане за конституиране на М.Р. като заинтересована страна в административното производство и съгласно разпоредбата на чл.36, ал.2 от Административно-процесуалния кодекс е изискано писмено становище от госпожа Р.

На редовно заседание на КЗЛД, проведено на 06.08.2014г. жалбата на госпожа Д.Х.Д. е обявена за допустима, конституирани са страните в административното производство и е изискано от заинтересованата страна Изпълнителна агенция по горите да представи писменото си становище по жалбата и относими доказателства.

На 12.08.2014г. в деловодството на Комисията е постъпило писмено становище от М.Р. Изразява се становище за неоснователност на жалбата, като в подкрепа на твърдението се цитират правни норми от ЗЗЛД. За госпожа Р. не е ясно кои лични данни на жалбоподателката са били обработени в нарушение на закона, в какво се изразява твърдяното нарушение, както и какви последици от това действие са настъпили за лицето. Госпожа Р. приема, че обработването на личните данни чрез публикуването към статията във вестник „Д.” е извършено при наличието на правно основание за това, а именно: използването на данните единствено и само за целите на журналистическата дейност. Със становището се оспорват твърденията, изложени от ответната страна парк „Б.”, за извършено административно нарушение по ЗЗЛД от страна на госпожа Р.

Към становището не се прилагат доказателства.

Заинтересованата страна Изпълнителна агенция по горите не е представила становище по жалбата.

Разгледана по същество жалбата се явява основателна, поради следните съображения:

От събраните по административната преписка доказателства се установи по безспорен начин, че М.Р. е предоставила на електронен носител документи на вестник „Д.”, в които се съдържат личните данни на жалбоподателката. Предоставените документи са свързани с участие на госпожа Д.Х.Д. в конкурс за заемане на длъжността „главен счетоводител” в парк „Б.”. Жалбоподателката установила, че в електронното издание на вестник „Д.” в рубриката „Зелен” на 23.06.2014г. е публикувана статия със заглавие „М.Р.: Държавата явно позволява на новия шеф на парк „Б.” преразходи”. Достъпните към статията документи, съдържащи личните й данни са: заявление за участие в конкурс с вх.№342/28.03.2014г., Приложение №1 към чл.2, ал.1 от Наредбата за документите за заемане на държавна служба, заповед №1/30.04.2014г. за назначаване, свидетелство за съдимост, както и сключените с парка, граждански договори с №№УУП-88/04.03.2014г. по проект „Изпълнение на дейности за устройство и управление на ПП „Б.” и договор от 04.03.2014г.

Ответната страна парк „Б.” потвърждава в писменото си становище, че има извършено административно нарушение по ЗЗЛД от страна на бившия директор на парка, изразяващо се в неправомерното обработване на личните данни на госпожа Д.Х.Д. чрез разпространяването им на трето лице– електронното издание на вестник „Д.”, което от своя страна чрез публикуването им е осигурило неправомерен достъп до данните на неограничен кръг от лица.

Съгласно даденото от законодателя легално определение на понятието „лични данни” в чл.3 от ЗЗЛД, това е всяко физическо или юридическо лице, орган на държавна власт или местно самоуправление, който сам или съвместно с друго лице определя целите и средствата за обработване на личните данни или целите и средствата са определени със закон. В закона е въведена и фигурата на „обработващ лични данни”, като определението на това понятие е дадено в §1, т.3 от ДР на ЗЗЛД. Обработващия лични данни е физическо или юридическо лице, държавен орган или орган на местно самоуправление, който обработва личните данни от името на администратора на лични данни.

В конкретния случай, с който е сезирана КЗЛД по жалбата на госпожа Д.Х.Д., администратор на лични данни е Дирекция на природен парк „Б.”. Директорът на дирекцията, независимо дали е бивш или настоящ има качеството на обработващ лични данни. Приложението на ЗЗЛД по отношение на обработването на личните данни, освен че изисква винаги да е налице администратор на лични данни, чиято административно-наказателна отговорност се ангажира, в случай на установено административно нарушение, изисква, личните данни да бъдат обработвани с автоматични или неавтоматични средства и данните да съставляват или да са предназначени да съставляват част от регистър. Регистър „Персонал”, в който са включени и личните данни на жалбоподателката е заявен от Дирекция на природен парк „Б.”, а не от директора на дирекцията.

С разпоредбата на чл.3, ал.4 от ЗЗЛД е разписано, че администраторът на лични данни е вменено задължението да осигури спазването на изискванията на чл.2, ал.2 от ЗЗЛД, а не на обработващия лични данни.

В тази връзка следва да се приеме, че администратор на лични данни е Дирекция на природен парк „Б.”, чиято административно-наказателна отговорност следва да бъде ангажирана за установеното административно нарушение.

За администратора на лични данни Дирекция на природен парк „Б.” са налице три от условията за допустимост при обработване на личните данни на Д.Х.Д. Първото условие е наличието на договорни или пред договорни отношения между физическото лице, за което се отнасят личните данни и администратора на лични данни. Не е спорно, че госпожа Д.Х.Д. е кандидатствала за заемане на длъжност „главен счетоводител” към парк „Б.”. Също така жалбоподателката е сключила и граждански договори с администратора на лични данни. Второто условие за допустимост при обработването на личните данни на госпожа Д.Х.Д. е изричното й съгласие личните й данни да бъдат обработвани от администратора на лични данни. Законодателят не е определил форма, чрез която да бъде изразявано това съгласие, поради което следва да се приеме, че то може да бъде дадено под всякаква форма, дори и чрез конклудентни действия. Не е спорно по административната преписка, че жалбоподателката е предоставила сама, доброволно и чрез този си акт е изразила изричното си съгласие свързаните с нея лични данни да бъдат обработвани от парк „Б.” за точно конкретни и ясни цели. Целите, за които има съгласие на физическото лице са: кандидатстването за вакантна длъжност при администратора на лични данни и в последствие заемането й чрез сключване на договор и изпълнение на предметите на сключените между страните граждански договори. Следва да се отбележи обаче, че съгласие на жалбоподателката за обработване на личните й данни за други, различни от споменатите цели, няма, поради което не е налице това условие за допустимост при обработването чрез разпространяването на личните данни на трето лице, различно от администратора на лични данни и осигуряването от това трето лице на неправомерен достъп до тях на неограничен кръг от лица.

Третото условие за допустимост за администратора на лични данни парк „Б.” е нормативно установеното задължение, в качеството й на орган на изпълнителната власт при сключване на служебни, трудови или граждански договори да събира определен обем от лични данни, необходим да бъде безспорно индивидуализирано лицето, с което сключва договор.

За да може да се приеме, че даден вид обработване на личните данни е законосъобразно, освен наличието поне на едно от условията визирани в чл.4 от ЗЗЛД, законодателят изисква обработването да се основава и на принципите, които са залегнали в чл.2, ал.2 от ЗЗЛД. Законовите принципи са: законосъобразност, добросъвестност, данните да се събират за точно конкретни цели и обработването да не надхвърля целите, за които са събрани данните, съразмерност и пропорционалност.

Личните данни на Д.Х.Д. са събрани от парк „Б.” за точно определени, конкретни цели-участие в конкурс са заемане на длъжност „главен счетоводител” и сключването на два граждански договора. Обработването на личните данни чрез предоставянето им на трето лице, независимо, че и то има качеството на администратор на лични данни на собствено основание, е несъразмерно с целта, за която са събрани данните. Несъразмерно и непропорционално е обработването на данните чрез осигуряването на достъп до тях на неограничен кръг от лица.

Не е спорно между страните, че документите, съдържащи личните данни на жалбоподателката, които са били публикувани в електронното издание на вестник „Д.” са били предоставени на електронен носител от госпожа М.Р.- бивш директор на парк „Б.”. Действията по разкриване чрез предаване, предоставяне и разпространяване на лични данни е обработване, съгласно определението на това понятие дадено в разпоредбата на §1, т.1 от ДР на ЗЗЛД. За този вид обработване чрез разкриване чрез предаване, предоставяне и разпространяване за администратора на лични данни липсва и условие за допустимост при обработването.

На основание изложеното следва да се приеме, че администраторът на лични данни – Дирекция на природен парк „Б.” е извършил административно нарушение на чл.2, ал.2, т.1, т.2 и т.3 от ЗЗЛД във връзка с чл.4 от ЗЗЛД. Неправомерно е обработил личните данни на госпожа Д.Х.Д., като ги е предоставил на друго лице, без за този вид обработване за администратора на лични данни да е било налице условие за допустимост, както и обработването на личните данни е било извършено в разрез с принципите на законосъобразност, добросъвестност, пропорционалност и съизмеримост.

От изложената по случая фактическа обстановка се установи, че личните данни на жалбоподателката са обработвани, освен от парк „Б.”, и от „И.” АД. Не е спорно, че дружеството администрира електронното издание на вестник „Д.”. То е обработило личните данни, като е публикувало в електронното издание на вестника документи, в които се съдържат личните данни на госпожа Д.Х.Д. Публикуваните документи са удостоверявали изложените факти в статия със заглавие „М.Р.: Държавата явно позволява на новия шеф на парк „Б.” преразходи”. Действието по публикуване на личните данни представлява обработване на лични данни.

Съгласно разпоредбата на чл.4, ал.2 от ЗЗЛД обработването на лични данни извършвано само и единствено за целите на журналистическата дейност е допустимо и законосъобразно. В случая, Комисията следва да извърши преценка и да намери разумния баланс между правата на физическото лице, чиито лични данни са разпространени до неограничен кръг от лица и правото на обществото да бъде информирано чрез медиите за случващото се в политическия, социалния, културния живот в страната.

Правото на информираност на обществото е конституционно гарантирано право. Целта на ЗЗЛД е да гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните. Намирането на разумния баланс между тези два права, които в конкретния случай са в колизия, е да се направи анализ на съдържанието на статията във вестник „Д.” и да се прецени дали анонимизирането на личните данни на госпожа Д.Х.Д., съдържащи се в публикуваните документи би нарушило конституционното правно на информираност на обществото.

Публикацията информира, че Изпълнителната агенция по горите е извършила проверка на Дирекцията на природен парк „Б.”, като е установила някои пропуски и е дала препоръки за отстраняването им. Извършената проверка е за периода от 31.01.2014г. до 08.05.2014г., през който период длъжността директор временно е била заемана от А.А. В статията се изнася информация и по отношение на възникналото недоволство в обществото и регионалните структури на определени политически партии за назначаването на господин А.А. на длъжността директор на дирекцията. В публикацията се съдържа и изказване на бившия директор на дирекцията М.Р., която коментира извършени от новия директор нарушения, които не са били установени от Изпълнителната агенция по горите, като се цитират конкретни факти. Засяга се въпроса за извършените по-големи разходи, сключването на договори с изпълнители, които нямат необходимото образование, компетентност и опит. Дава се за пример, като едно от извършените нарушения, назначаването на главен счетоводител, който е изпълнявал длъжността финансов контрольор и липсата му на опит в тази сфера, както и нарушения при провеждане на конкурса за заема на длъжността.

В подкрепа на изложените твърдения в статията е публикувана докладна записка от М.Р. до изпълнителния директор на агенция по горите. В нея подробно се излагат факти за твърдени нарушения, извършени от господин А.А. и по-конкретно- за назначаване на госпожа Д.Х.Д. на длъжността „главен счетоводител”. В докладната се съдържат трите имена на жалбоподателката, номерата на сключените от нея граждански договори с парка, номера на подаденото от нея заявление за участие в конкурса и заповедта, с която е назначена на длъжността. Изложената в докладната записка на госпожа Р. информация подробно описва твърдените от нея нарушения без по категоричен начин да разкрива идентичността на жалбоподателката.

Практиката на КЗЛД при приложението на закона е, че трите имена сами по себе си не представляват лични данни. Цитираните номера на договори, заявление и заповед, без до тях да има достъп, също няма как да индивидуализират лицето по безспорен начин. В тази връзка следва да се приеме, че за подкрепа на изложените в статията твърдения е било необходимо да бъде публикувана докладната записка на госпожа Р., но не и гражданските договори, които е сключила госпожа Д.Х.Д. с парк „Б.”. Това е така, защото в публикуваните договори са вписани, освен трите имена на жалбоподателката и единният й граждански номер, номера на личната й карта, датата на издаването й и издателя и постоянния й адрес. Обемът на информацията е достатъчен физическото лице да бъде еднозначно и безспорно индивидуализирано. Жалбоподателката може да бъде безспорно индивидуализирана и със съдържащата се информация в заявлението й за участие в конкурс за длъжността „главен счетоводител”. В него подробно са описани придобитите й образователни квалификации, които тя притежава, кога, къде и какъв вид документ е получила, удостоверяващ тези й умения и професионален опит. Сред публикуваните документи е свидетелство за съдимост на госпожа Д.Х.Д., издадено от Районен съд Г., което съдържа информация, както по отношение на самата нея, така и по отношение на нейните родители, които нямат нищо общо с журналистическата статия.

Публикуването в цялост, без заличаване на личните данни в двата граждански договора, заявлението за участие в конкурс за длъжност „главен счетоводител” с рег.№342/2014г., заявление за назначаване на длъжността „главен счетоводител”, Заповед №1/30.04.2014г. за назначаване на длъжност „главен счетоводител” и свидетелство за съдимост с рег.№1647/09.05.2014г., издадено от Районен съд Г. се явява прекомерно по отношение на обработването на личните данни за целите на журналистическата дейност. Администраторът на лични данни е следвало или да не публикува посочените документи, или да заличи личните данни, които дават възможност физическото лице, за което се отнасят да бъде безспорно индивидуализирано. Заличаването на личните данни от посочените документи по никакъв начин няма да накърни правото на информираност на обществото, защото насочеността на статията е за твърдени нарушения, извършени от господин А.А., в качеството му на изпълняващ временно длъжността директор на парк „Б.”. От статията и от подробната докладна записка на М.Р., всеки читател може да придобие необходимата му информация и да си създаде мнение по случая, с което се гарантира правото му на информираност. Информацията в по-голям обем за жалбоподателката, а именно единен граждански номер, номер на лична карта, дата на издаването й, издател, постоянен адрес, телефон, професионален опит, придобити квалификации, съдебно минало и роднински връзки се явява прекомерна и неотносима към съдържанието на статията. Публикацията разследва твърдени нарушения на господин А.А., а не на госпожа Д.Х.Д. Следва да се посочи, че дори и компетентните органи да установят наличие на извършени нарушения при провеждане на конкурса за „главен счетоводител”, то нарушението ще е извършено от директора на парка, а не от жалбоподателката.

На основание изложеното, Комисията приема, че разумния баланс при колизията между правото на госпожа Д.Х.Д. от една страна и правото на обществото от друга, е бил предприемането на технически и организационни мерки от страна на „И.” АД, гарантиращи защита на личните данни от неправомерен достъп до тях чрез заличаването им в обем, съотносим и пропорционален на съдържанието на статията. Непредприемането на действия в тази насока представляват нарушение на разпоредбата на чл.23, ал.1 от ЗЗЛД.

С разпоредбата на чл.38, ал.2 от ЗЗЛД, законодателят е дал оперативна самостоятелност на компетентния орган, в случай че констатира нарушение на ЗЗЛД. Правните възможности са да: издаде задължително предписание, да определи срок за отстраняване на нарушението или да наложи административно наказание. Дадените правни възможности са алтернативни, а не кумулативни. Във всеки конкретен случай следва да се извърши преценка, коя мярка да бъде наложена на администратора. Първите две възможности са неприложими в конкретния случай, за това защото вмененото задължение на администраторите на лични данни с разпоредбите на чл.2, ал.2, т.1, т.2 и т.3 от ЗЗЛД във връзка с чл.4 и чл.23, ал.1 от ЗЗЛД е законово установено и ще е в разрез със закона, Комисията да издава задължителни предписания, с които да задължава администраторите да изпълнят законовите си задължения или да определя срок, в който да бъде отстранено констатираното нарушение.

Комисията установи, че деянията не са извършени при условията на неизбежна отбрана или крайна необходимост, поради което представляват административни нарушения.

Размерът на наложените с настоящето решение наказания за извършени административни нарушения е опреден малко над законоустановения минимум, с оглед утежняващите обстоятелства, подробно описани в решението.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата е основателна, поради което на основание чл.10 ал.1, т.7 от ЗЗЛД и чл.38, ал.2 във връзка с чл.42, ал.3 от Закона за защита на личните данни,

1. Обявява жалба рег.Ж-797/30.06.2014г., подадена от Д.Х.Д. срещу вестник „Д.” за основателна.

2.Налага на Дирекция на природен парк „Б.”, БУЛСТАТ: ****, със седалище: гр. Г. ***, представлявано директора А.А. административно наказание– имуществена санкция в размер 12 /дванадесет/ хиляди за извършено административно нарушение на чл.2, ал.2, т.1, т.2 и т.3 във връзка с чл.4 от ЗЗЛД. Извършеното нарушение се състои в това, че администраторът на лични данни без наличието на условие за допустимост при обработването на личните данни и при нарушаване на принципите, на които следва да се основава обработването, е предоставил без правно основание на електронното издание на вестник „Д.”, администрирано от „И.” АД личните данни на Д.Х.Д.

3. Налага на „И.” АД, ЕИК: ****, със седалище и адрес на управление: гр. София ****, представлявано от Г.П. административно наказание– имуществена санкция в размер 1500 /хиляда и петстотин/лв. за извършено административно нарушение на чл.23, ал.1 от ЗЗЛД. Извършеното нарушение се състои в това, че администраторът на лични данни не е предприел всички необходими технически и организационни мерки за защита на личните данни на Д.Х.Д., а именно да заличи по-големия обем от данни, който надхвърля целите на журналистическата дейност, с което е осигурил неправомерен достъп до тях на неограничен кръг от лица.

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд– София град.

След влизане в сила на настоящето решение в сила, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр.София, бул.„Цветан Лазаров” №2 или преведена по банков път: БанкаБНБ– ЦУ
IBAN:BG18BNBG96613000158601 BICBNBGBGSD- Комисия за защита на личните данни, Булстат130961721.