Решение по жалба с рег. № ППН-01-481/21.06.2018 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Цанко Цолов, Цветелин Софрониев и Мария Матева, на редовно заседание, проведено на 07.11.2018г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по основателност жалба с рег. №ППН-01-481/21.06.2018г., подадена от В.С. и Б.С. срещу Община П. и пощенски оператор (П.О.).

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

По повод депозирана от жалбоподателите жалба в Община П., на 03.05.2018г. установили, че личните им данни са предоставени от администрацията на общината на П.О. От П.О. твърдят, че са оставили закрепени на входната дворна врата пощенските пратки, които освен три имена и адрес съдържат документи с информация за техни имоти, свързани с депозираната жалба.

Г-н Б.С. и г-жа В.С. декларират, че не са се подписвали и получавали пратките и не са давали съгласие личните им данни да бъдат обработвани и предоставяни на трети лица. Считат, че присъствието на личните им данни в тези документи и предоставянето им на трети лица представлява нарушение на правата, предоставени им от Закона за защита на личните данни.

Към жалбата е приложено копие на Постановление за отказ от образуване на досъдебно производство.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, лицата, срещу които е насочена жалбата, са уведомени на основание чл.26 от АПК за образуваното административно производство с писма изх. №ППН-01-481/2018#1/20.07.2018г. до Община П. и изх. №ППН-01-481/2018#2/20.07.2018г. до П.О. Предоставена е възможност за изразяване на становище с относими доказателства.

В Комисията е постъпило становище от Община П. с рег. №ППН-01-481#3/30.07.2018г. за неоснователност на жалбата.

От Община П. информират, че при извършена проверка по случая се установило, че пощенските пратки с адресат Б.С. и В.С. са изпратени от общинската администрация до посочените лица чрез лицензиран П.О. като препоръчани пощенски пратки с обратни разписки, всяка опакована и запечатана в бял непрозрачен плик, надписан с името и адреса на получателя. Считат, че не е налице незаконосъобразно обработване, тъй като е налице основание и цел за същото по Регламент 2016/679.

Към становището е приложено копие на ежедневен опис на кореспондентски пратки на Община П. от 25.04.2018г.

От П.О. изразяват становище с рег. №ППН-01-481#5/03.08.2018г. за неоснователност на жалбата.

Управителят информира, че цитираните от жалбоподателите пощенски пратки са заявени за разнос от подателя Община П. и са доставени на адреса на получателите. Посочените пратки са от кръга на универсалната пощенска услуга и се доставят в изпълнение на нормативно установено по силата на Закона за пощенските услуги задължение. За да бъде осъществена пощенската услуга, е необходимо върху всяка пратка да бъде посочено като минимално съдържание данните за подател и получател, както и адреса на подателя и получателя. В противен случай би било невъзможно предоставянето на тази услуга.

Към становището няма приложения.

Във връзка с представеното към жалбата Постановление за отказ от образуване на досъдебно производство №1211/2018г. по описа на Районна прокуратура гр. П., от прокуратурата са изискани писмените сведения, събрани по преписката.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Разглежданата жалба съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация, а именно: налице са данни за жалбоподателите, естество на искането, дата и подпис, с оглед на което жалбата е редовна.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 от ЗЗЛД от физически лица с правен интерес. Същата има за предмет твърдение за неправомерно обработване на лични данни на жалбоподателите и е насочена срещу администратори на лични данни. С жалбата е сезиран компетентен да се произнесе орган– Комисия за защита на личните данни, която разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД и Регламент 2016/679.

На проведено на 10.10.2018г. заседание на Комисията жалбата е обявена за процесуално допустима и като страни в административното производство са конституирани: жалбоподатели– В.С. и Б.С., а като ответна страна– Община П. и П.О. С оглед изясняване на случая от фактическа страна, от Община П. е изискано съдържанието на описаните в жалбата пратки. Страните са редовно уведомени за насроченото за 07.11.2018г. заседание на Комисията за разглеждане на жалбата по същество.

На проведеното открито заседание жалбоподателите не се явяват, не се представляват.

Ответната страна– за Община П. и П.О. се явяват процесуални представители, които оспорват жалбата като неоснователна. От Община П. представят копие на пратките, както и договор за пощенски услуги с П.О.

При така установената фактическа обстановка Комисията разгледа жалбата по същество, като я приема за частично основателна въз основа на следните изводи:

При разглеждане на жалбата следва да се отчете, че обработването е еднократно действие, извършено и приключило преди да започне прилагането на Регламент (ЕС) 2016/679 от 25.05.2018г.

Регламент 2016/679 и Законът за защита на личните данни уреждат правилата по отношение защитата на физическите лица във връзка с обработването на личните им данни. Целта е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

Съгласно легалната дефиниция, дадена в чл.2, ал.1 от ЗЗЛД, лични данни са всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. По смисъла на посочената разпоредба съдържащите се документите към пратките три имена, адрес и единни граждански номера имат качеството лични данни за жалбоподатели, тъй като чрез тях г-н Б.С. и г-жа В.С. могат да бъдат безспорно индивидуализирани.

Условията, при наличието на които е допустимо обработването на лични данни на физическите лица, са определени в чл.4 от ЗЗЛД. Обработването следва да се извършва при наличието на поне едно от алтернативно посочените условия, което е предпоставка за законосъобразност на обработването. За да е налице законосъобразно обработване на лични данни, същото следва да се извършва при стриктното спазване на принципите за тяхното обработване, визирани в чл.2, ал.2 ЗЗЛД.

При предоставяне на пратките на куриера, Община П. е обработила личните данни на жалбоподателите на основание по чл.4, ал.1, т.6 от ЗЗЛД– обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора, а именно– изготвяне на констативен акт по Закона за устройство на територията и изпращането му до лицата, които могат да се запознаят с него и да подадат възражение. В съответствие с чл.142, ал.1 АПК– идентично условие за допустимост на обработването е предвидено в чл.6, пар. 1, буква „д” от Регламент 2016/679.

Видно от представения ежедневен опис на кореспондентски пратки от дата 25.04.2018г., пратките до жалбоподателите са заявени от Общината като препоръчана поща с известие за доставяне. Препоръчаната поща с известие за доставяне се връчва лично на адресата или на член от домакинството му, поради което Комисията приема, че администраторът е предприел необходимите технически и организационни мерки за защита на данните.

П.О. е обработило личните данни на основание чл.4, ал.1, т.1 ЗЗЛД– за изпълнение на нормативно установените задължения, посочени в Закона за пощенските услуги. В съответствие с чл.142, ал.1 АПК, идентично условие за допустимост на обработването е предвидено в чл.6, пар. 1, буква „в” от Регламент 2016/679.

Както беше посочено, пратките са заявени от Община П. като препоръчани, но вместо това са доставени като непрепоръчана поща поради допусната техническа грешка от обслужващия куриер, за което свидетелстват събраните по прокурорската преписка сведения.

Препоръчаната пратка представлява вид на защита на личните данни, тъй като се доставя срещу подпис лично на лицето или на член на домакинството му. Съгласно чл.1, ал.1 от Договора за пощенски услуги, сключен между Общината и куриера, пощенският оператор е приел да предоставя пощенските услуги на потребителя (Община П.) с допълнителни услуги– „препоръка” и „обявена стойност”, което в случая не е спазено от страна на П.О.

По този начин администраторът на лични данни не е предприел необходимите технически и организационни мерки по чл.23, ал.1 от ЗЗЛД, за да защити данните от случайно или незаконно унищожаване, от случайна загуба, от неправомерен достъп, изменение или разпространяване, както и от други незаконни форми на обработване. Съобразявайки чл.142, ал.1 от АПК, задължението на администратора да предприема необходимите технически и организационни мерки е предвидено и в чл.24 от Регламент 2016/679, поради което не е отпаднала отговорността при нарушаване на тези изисквания.

При така констатираното нарушение жалбата следва да бъде уважена по отношение на П.О. Комисията разполага с оперативна самостоятелност, като преценява кое от своите корективни правомощия по чл.58, пар. 2 от Регламент 2016/679 да реализира. Преценката се основава на съображенията за целенасоченост, целесъобразност и ефективност на решението, като следва да се постанови акт, който в най-пълна степен да защитава обществения интерес. Правомощията по чл.58, пар. 2, без тази по буква „и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят извършването на нарушение или ако извършването е започнало– да го преустанови, като по този начин се обективира изисканото от закона поведение. Административното наказание „глоба” или „имуществена санкция” по чл.58 пар. 2, буква „и” има санкционен характер. Относно прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента следва да се има предвид естеството, тежестта и последиците от нарушението, като се оценят всички факти по случая. Оценката за това, какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай ще трябва да отразява целта, преследвана с избраната корективна мярка, т.е. възстановяване на спазването на правилата, санкциониране на неправомерно поведение или и двете (каквато възможност е предвидена в чл.58, пар. 2, буква „и”).

В конкретния случай Комисията отчита, че администраторът П.О. не е запознат със съдържанието на пратките, тъй като същите са запечатани в бял непрозрачен плик. Единствените видими лични данни са три имена и адрес, които са нормативно установения минимален обем от данни, който следва да се посочи за адресата при изпращане на пратка, която е универсална пощенска услуга. Освен това, в производството не се установи по безспорен начин, че пратките са получени от трето лице, различно от адресатите– жалбоподателите В.С. и Б.С.

С оглед изложеното, като най-целесъобразна корективна мярка в случая Комисията намира тази по чл.58, пар. 2, буква „б” от Регламента– официално предупреждение до администратора.

Г-н Софрониев, член на КЗЛД, гласува с особено мнение в частта, с която жалбата е обявена за основателна по отношение на П.О. Особеното мнение е приложено към решението и е неразделна част от него.

Комисията за защита на личните данни, като взе предвид фактите и обстоятелствата, изнесени в настоящето административно производство, и на основание чл.38, ал.2 от ЗЗЛД и чл.58, параграф 2 от Регламент 2016/679,

1. Оставя без уважение като неоснователна жалба рег. №ППН-01-481/21.06.2018г., подадена от В.С. и Б.С. в частта срещу Община П.;

2. Обявява за основателна жалба рег. №ППН-01-481/21.06.2018г., подадена от В.С. и Б.С. в частта срещу пощенски оператор. На основание чл.58, параграф 2, буква „б” от Регламент (ЕС) 2016/679 издава официално предупреждение на администратора пощенски оператор за нарушаване на чл.24 от Регламент (ЕС) 2016/679.

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София– град.

Жалбата е неоснователна по отношение и на двамата администратори на лични данни.

За да постанови решение в обратния смисъл, КЗЛД приема, че жалбата е частично основателна по отношение на П.О.

Считам, че П.О. е обработило личните данни на основание чл.4, ал.1, т.1 ЗЗЛД- за изпълнение на нормативно установените задължения, посочени в Закона за пощенските услуги. Идентично условие за допустимост на обработването е предвидено и в чл.6, пap.1, буква„в“ от Регламент2016/679. Пратките са доставени на адреса като непрепоръчана услуга, вместо заявената от Община П. препоръчана, която обаче също е редовен начин за изпращане и доставяне на пратки съгласно Закона за пощенските услуги. В административното производство не се установи по безспорен начин, че пратките са придобити от трето лице, а не от самите жалбоподатели, поради което жалбата в тази част остава недоказана.

Макар и да е налице допусната техническа грешка от страна на куриера /пратката е доставена като непрепоръчана вместо заявената от Община П. препоръчана пратка/, това обстоятелство засяга отношенията между двамата администратори, но то не е довело до неправомерно разкриване на личните данни на жалбоподателите пред трети лица.

Във връзка с изложеното считам, че жалбата е недоказана не само по отношение на Община П., но и по отношение на П.О. в качеството им на администратори на лични данни.