Решение по жалби с рег. № ППН-01-30/10.01.2019 г. и № ППН-01-43/15.01.2019 г.,

Комисията за защита на личните данни (КЗЛД) в състав:Венцислав Караджов и членове: Цанко Цолов и Цветелин Софрониев на заседание проведено на 03.07.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, §1, буква„е“ от Регламент(ЕС) 2016/679, разгледа по същество жалба рег. №ППН-01-30/10.01.2019г. и жалба рег. №ППН-01-43/15.01.2019г., подадени от А.П.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба ППН-01-30/10.01.2019г., подадена от А.П. с твърдения за неправомерно публикуване на личните муданни– снимка, три имена и единен граждански номер на сайта ***** в статия от 08.01.2019г. със заглавие „**********“. В подкрепа на твърденията си и с писмо ППН-01-30#2/15.01.2019г. г-н А.П. прилага разпечатка на процесната публикация.

Жалба е подадена по електронен път от имейл ***** и не е електронно подписана. В хода на производството и с писмо ППН-01-30#3/07.03.2019г. жалбата е потвърдена.

За случая г-н А.П. е подал в Комисията и жалба ППН-01-43/15.01.2019г.срещу юридическо лице с нестопанска цел (ЮЛ с нестопанска цел) с твърдения, че публикувания на сайта документ съдържащ личните му данни е предоставен на информационната агенцияот ЮЛ с нестопанска цел.Счита, че са нарушени правата предоставени му със ЗЗЛД и моли Комисията за проверка по случая.

Към жалбата е приложено копие на статията.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от Б.Т.О., собственик и администратор на сайта *****, и ЮЛ с нестопанска цел са изискани писмени становища и относими по случая доказателства.

В отговор и с писмо ППН-01-30#5/20.03.2019г. от Б.Т.О. изразяват становище за неоснователност на жалбата, с аргументи, че в публикацията са спомената само имената на г-н А.П., без да са изнесени никакви други лични данни. Информират, че на 14.01.2019г. жалбоподателят се е свързал с дружеството с искане процесният материал да бъде свален от страницата на медията. Твърдят, че на 16.01.2019г. материалът е свален от страницата на *****, a 48 часа по-късно е изтрита и кешираната версия.

Представят екранна разпечатка от комуникацията между дружеството и г-н А.П.

От страна на ЮЛ с нестопанска цел е изразено становище ППН-01-43#2/18.03.2019г. за неоснователност на подадената срещу сдружението жалба ППН-01-43/15.01.2019г. Оспорват изложените от г-н А.П. твърдения за предоставяне на публикувания документ на информационна агенция. Твърдят, че публикуваното писмо не е идентично със съхраняваното в деловодството им писмо с рег. №***** на *** военно окръжие.

Към становището са приложени относими доказателства.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент(ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбите съдържат задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същите са редовни.

Жалбите са процесуално допустими, подадена в срока по §44, ал.2 от Преходните и заключителните разпоредби на ЗЗЛД от физическо лице с правен интерес срещу надлежни страни– администратори на лични данни по смисъл чл.4, ал.7 от Регламент ЕС 2016/679.

Жалбите имат за предмет неправомерно обработване на личните данни– три имена единен граждански номер и снимка на жалбоподателя посредством предоставянето им ЮЛ с нестопанска цел на информационна агенция и публикуването им на сайта ***** към статия от 08.01.2019г. със заглавие „**********“.

С жалбите е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1 от ЗЗЛД във връзка с чл.57, §1, буква„е“ от Регламент(ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни свързани с обработване на личните данни, като не са налице изключенията по чл.2, §2, буква„в“ и чл.55, §3 от Регламент(ЕС) 2016/679 предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По изложените съображения и с оглед липсата на предпоставки от категорията на отрицателни по чл.27, ал.2 от АПК, на проведено на 08.05.2019г. заседание на Комисията жалбите са приети за допустими и предвид предпоставките на чл.32 от АПК са обединени за разглеждане в едно административно производство със страни жалбоподател– А.П. и ответни страни – Б.Т.О., собственик и администратор на сайта *****, и ЮЛ с нестопанска цел. Страните са редовно уведомени за насроченото за 03.07.2019г. открито заседание за разглеждане на жалбата по същество и им е указано разпределянето на доказателствената тежест в процеса. С оглед изясняване на случая от правна и фактическа страна от Б.Т.О. е изискано, но не е представено, заверено копие на процесната статия публикувана на сайта ***** и уточнение на датата на публикацията и източника.

На проведено на 03.07.2019г. заседание на КЗЛД, жалбите са разгледани по същество.

Жалбоподателят– редовно уведомен, не се явява, не се представлява.

Ответната страна – Б.Т.О.– редовно уведомена, не се представлява.

Ответната страна – ЮЛ с нестопанска цел– редовно уведомена, представлява се от адвокат Г., който оспорва подадената срещу ЮЛ с нестопанска цел жалба. Моли Комисията да я остави без уважение, като неоснователна и недоказана, по съображения развити в депозирано в производството писмено становище, което поддържа.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба №ППН-01-30/10.01.2019г. е основателна, а жалба ППН-01-43/15.01.2019г.– неоснователна, като недоказана.

Жалбите имат за предмет неправомерно обработване на личните данни на жалбоподателя– три имена и единен граждански номер, съдържащи се в писмо рег. №**** и вх. №***** от *** военно окръжие до Председателя на ЮЛ с нестопанска цел, в хипотезата на предоставянето им от ЮЛ с нестопанска цел на информационна агенция и публикуването на тези данни ведно със снимка на жалбоподателя на сайта ***** към статия от 08.01.2019г. със заглавие „**********“.

Следва да се отбележи, че от събраните по преписката материали и в частност дата на процесното писмо, се касае за обработване на лични данни извършено след 25.05.2018г. с оглед което приложими са разпоредбите на Регламент ЕС 2016/679.

Безспорно е, че предоставянето и употребата на лични данни е действие по обработването им по смисъла чл.4, §1, т.2 от Регламент(ЕС) 2016/679 и като такова следва да се извършва при спазване на разпоредбите на ЗЗЛД и Регламента. В чл.6, §. 1 от Регламента са разписани условията, при наличието, на които е допустимо обработването на лични данни на физическите лица субект на данните. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработванетo, при спазване на принципите посочени в чл.5 от Регламента.

От събраните в хода на административното производство доказателства се установи безспорно наличието на документ– писмо от Началника на *** военно окръжие до Председателя на ЮЛ с нестопанска цел, с рег. №****, същото с вх. №*** по описа на Централен съвет на ЮЛ с нестопанска цел. В него се съдържат три имена и единен граждански номер на жалбоподателя, информация която безспорно има характера на лични данни по смисъла на чл.4, §1 от Регламента предвид обстоятелството, че чрез нея лицето може да бъде безспорно индивидуализирано.Отбелязване на писмото свидетелства, че същото е изготвено в два екземпляра– по един за адресанта– *** военно окръжие и адресата– Председателя на ЮЛ с нестопанска цел.

Не е спорно, че същото писмо е публикувано на сайта на сайта ***** към статия от 08.01.2019г. със заглавие „**********“, ведно с приложена към статията и снимка на жалбоподателя. Не е спорно също, че на 16.01.2019г., след сезиране не Комисията и отправено на 14.01.2019г. от жалбоподателя до администратора конкретно искане, статията е свалена от страницата на *****, а по данни на Б.Т.О., същите не оспорени от г-н А.П., 48 часа по-късно е изтрита и кешираната версия.

Твърденията на жалбоподателя, че публикуваното писмо е предоставено на информационната агенция от ЮЛ с нестопанска цел не се подкрепят от събраните по преписката доказателства. По преписката липсват преки доказателства – писмо, протокол или друго, за предоставяне на писмото на лице различно от адресата, в частност на информационна агенция *****, като следва да се отбележи, че ЮЛ с нестопанска цел категорично оспорва твърденията на г-н А.П. в обратна насока, а именно за предоставяне на документа от ЮЛ с нестопанска цел информационната агенция. Видно от представен от ЮЛ с нестопанска цел екземпляр на писмото и съдържанието на процесната публикация и приложното към нея писмо, двата документа имат идентично съдържание, но формално се различават. Публикуваното писмо се различава от писмото съхранявано в ЮЛ с нестопанска цел, като върху оригинала на процесното писмо, съхранявано в деловодството на ЮЛ с нестопанска цел, в левия горен ъгъл има поставена резолюция и подпис, каквито липсват на публикувания документ, който пък съдържа, в горния ляв ъгъл, поставено цифрово означение, което липсва върху оригиналното писмо, съхранявано в ЮЛ с нестопанска цел.

Отделно от това следва да се отбележи, че администраторът ЮЛ с нестопанска цел е разписал Вътрешни правила за защита на личните данни, приети с Протокол №10/30.08.2018г. на заседание на ЦС на ЮЛ с нестопанска цел, който са подробни както относно въведените технически, така и относно въведените организационни мерки за защита на обработваните лични данни, същото в изпълнение на задължението му по чл.24, 25 и 32 от Регламента да въведе такива, за да предотврати случайно или незаконно унищожаване, случайна загуба, или неправомерен достъп, изменение или разпространение, както и други незаконни форми на обработване. По преписката липсват доказателства които да сочат неизпълнение на тези правила, а именно неправомерен достъп и/или разпространение на лични данни в конкретния случай, с оглед което твърденията на жалбоподателя следва да бъдат оставени без уважение, като неоснователни и недоказани.

Основателни са претенциите на жалбоподателя обаче по отношение на публикуване на личните му данни на сайта на сайта ***** към статия от 08.01.2019г. със заглавие „**********“, ведно с приложена към статията снимка– изображение на жалбоподателя и копие на процесното писмо, без заличаване на съдържащите се в него лични данни– три имена и единен граждански номер. Не е спорно, че публикацията е била свободно достъпна на сайта от 08.01.2019г. до 16.01.2019г., като публикуването на тази информация е операция посредством която данните са станали достъпни, в случая до неограничен кръг от лица посетители на сайта.

Следва да се отбележи, че сайтът, на който е публикувана статията, предвид характера и периодичността на публикациите в него, а и предвид неограничения достъп до публикуваната информацията, има характера на електронна медия, а публикуваната в него информация се използва за журналистически цели. В тази връзка не е спорно, че посредством процесната публикация личните данни на физическото лице сезирало КЗЛД са обработени по смисъла на чл.4, §2 от Регламента, в хипотезата на разпространението до неограничен кръг от лица, посетили на сайта.

Обработването е осъществено в периода от 08.01.– 16.01.2019г., т.е преди влизане в сила на разпоредбата на чл.25 з от ЗЗЛД, но в условията на чл.4, ал.2 от ЗЗЛД (неотменен към дата на публикацията), които по същество са идентични разпоредби относно специфичните условия за обработване на лични данни за журналистически цели, с уточнението, че разпоредбата на чл.25 з от ЗЗЛД е детайлна и въвежда критерии, които подпомагат извършването на преценка във всеки конкретен случай дали е налице баланс между правото на информация и правото на защита на личните данни. Редакцията на чл.25з от закона съответства и на досега действащата норма на чл.4, ал.2 от ЗЗЛД, съгласно която обработването на лични данни за журналистически цели, литературно или художествено изразяване е законосъобразно, доколкото това право не нарушава правото на личен живот на лицето, за което се отнасят данните. Критериите, които се въвеждат, подпомагат преценката относно наличието на този баланс и дават яснота, прозрачност, предвидимост и правна сигурност. Нужно е да се посочи, че тези критерии се прилагат не във всички действия по обработване, а само при публично разкриване и разпространение на личните данни, т.е. журналистите имат пълната свобода да събират всякаква информация, отнасяща се към конкретно физическо лице– обект на журналистически интерес, но преди да я разкрият под формата на журналистическо разследване, статия, коментар, анализ и др. следва да се прецени баланса между двете права.

В конкретния случай са публикувани лични данни в обем от три имена, изображение на жалбоподателя и единният му граждански номер, като последното Комисията счита за прекомерно съобразно целта и съдържанието на публикацията, обстоятелства при които данните са станали достояние на медията и личността на жалбоподателя.

Действително правото на защита на личните данни не е абсолютно право и трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност и по-специално зачитането както на защитата на личните данни, така и на свободата на изразяване на мнение и свободата на информацията.

Доколкото се касае за задоволяване на обществен интерес, който стои в основата на обработването за журналистически цели, журналистите могат да обработват такива данни, ако тяхното оповестяване е свързано с предмета наконкретната журналистическа дейност и конкретната публикация. В случай предвид естеството на публикуваните данни, публикуването на документа без да е заличен единният граждански номер на жалбоподателя е в нарушение на принципа на свеждане на данните до минимум – чл.5, §1, буква„в“ от Регламента и е в нарушение на правата на жалбоподателя, предвид обстоятелството, че посредством публикацията единният граждански номер на лицето е разпространен до неограничен кръг от лица посетители на сайта. Този извод е неотносим към останалите публикувани данни, като три имена и изображение на жалбоподателя, които са свързани конкретно с журналистическото разследване и публикация.

Разкриването на единния граждански номер създава предпоставки за негативна намеса и достъп до личните данни на жалбоподателя и последващата им употреба, а публикуването и разкриването на ЕГН-то на жалбоподателя не е оправдано доколкото разкриването на тази информация не касае задоволяване на важен обществен интерес или изясняване на въпрос от обществена значимост. Още повече, че единният граждански номер е публикуван без съгласието на лицето, което не е публична личност, респективно лице, което заема длъжност по чл.6 от Закона за противодействие на корупцията и за отнемане на незаконно придобитото имущество, или е лице, което поради естеството на своята дейност или ролята му в обществения живот е с по-занижена защита на личната си неприкосновеност, или чиито действия имат влияние върху обществото.

Съобразно изложеното Комисията счита, че обработването – публикуването на единният граждански номер на жалбоподателя на страниците на електронната медия, е недопустимо доколкото нарушава правото на личен живот на лицето, за което данните се отнасят, право което е преимуществено пред правото на информираност на обществото, доколкото последното не би било ограничено или накърнено ако информацията за ЕГН-то на жалбоподателя липсваше в публикацията. С публикуване и на тази информация администраторът е допуснал нарушаване на баланса между двете права и е нарушил правата на лицето сезирало КЗЛД, като не е ограничил и съобразил обработването на личните данникоито е събрал в рамките на журналистическото си разследване, с целите за които същите са публикувани.

Предвид обстоятелството, че нарушението е първо за администратора на лични данни и същия съдейства за изясняване на случая, както и че е предприел своевременни действия за прекратяване на нарушението, което касае нарушение на правата на едно лице, Комисията счита за целесъобразно налагането на корективна мярка по чл.58, §2, буква„г“ от Регламента, доколкото операцията по обработване на личните данни – публикуване на ЕГН на жалбоподателя в процесната статия е в нарушение на принципа разписан в чл.5, §1, буква„в“ от Регламента на „свеждане на данните до минимум“.

Водима от горното и на основание чл.38, ал.3 от Закона за защита на личните данни, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съдСофия -град.