Решение по жалби № ППН-01-585/30.07.2021 г., ППН-01-586/30.07.2021 г. и ППН-01-589/02.08.2021 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов и Мария Матева на заседание, проведено на 23.02.2022г., на основание чл.10, ал.1 от Закона за защита на личните данни, респективно чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента/ОРЗД), постави за разглеждане по същество жалби №ППН-01-585/30.07.2021г., ППН-01-586/30.07.2021г. и ППН-01-589/02.08.2021г., подадени съответно от Р.Т., Х.Т. и К.С.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалби подадени от Р.Т., Х.Т. и К.С. с изложени идентични твърдения, а именно за неправомерно обработване на личните им данни– три имена и единен граждански номер, чрез публикувани на сайта на сдружение „Българска републиканска федерация по кинология“, в рубрика „Новини“, Указания от съдия по вписванията, относно ИОС, 04.07.2021г., в които същите се съдържат. В допълнение г-жа К.С. твърди, че указанията на съда са публикувани и на Фейсбук страницата на сдружението, обстоятелство което установила на 29.07.2021г.

Жалбоподателите твърдят, че личните им данни са публикувани без тяхно знание и съгласие от Г.Х., Р.Х. и синът им Н.Х., които са администратори на сайта. Допълват, че са информирали семейство Х. за допуснатото нарушение, с искане личните им данни да бъдат заличени от публикуваните на сайта и във Фейсбук профила на сдружението указания. Молят комисията да извърши проверка по случая.

Към жалбите са приложени доказателства– екранна разпечатка на „Указания№20210710215619/13.07.2021г., по повод заявление №20210710215619/10.07.2021г. от А.Т. на осн. чл.22, ал.5 от ЗТРРЮЛНЦ съдържащи три имена и ЕГН на жалбоподателите.

С оглед изясняване на случая от фактическа страна и на основание чл.36, ал.1 от АПК за служебно събиране на доказателства са направени екранни разпечатки, обективирани в Протокол ППН-01-585#1/09.08.2021г., на публикувани на сайта https://brfk.bg, в раздел „Новини“, Указания от съдия по вписванията относно ИОС 04.07.2021г. Констатирано е, че към дата на справката– 09.08.2021г. в публикуваните указания се съдържат три имена, но не и единни граждански номера на физическите лица, сезирали КЗЛД.

Предвид публикуваната на сайта https://brfk.bg информация и уточнението, че същото е официален сайт на сдружение „Българска републиканска федерация по кинология“, от сдружението са изискани относими доказателства, в това число заверено копие на вътрешни правила и/или Политика за защита на личните данни относно обработването на лични данни от сдружението, предприети технически и организационни мерки за защита на личните данни, инструкция, заповед или друг акт за обучение на служителите на сдружението, в частност на тези които публикуват информация на сайта, а също и информация и резултати от извършена по случая вътрешна проверка, ако такава е възложена. Копие от жалбите са изпратени на сдружението за запознаване, с указания относно правната възможност за изразяване на писмено становище по изложените твърдения.

На проведено на 13.10.2021г. заседание на комисията жалбите са приети за редовни- съдържат задължително изискуемите реквизити, а именно: налице са данни за жалбоподателите, естеството на искането, дата и подписи, посочени са пасивно легитимираните страни– лицата срещу които са подадени жалбите. Жалбите имат за предмет- неправомерно обработване– разпространение на личните данни на жалбоподателите– три имена и единен граждански номер, чрез публикувани на сайта на сдружение „Българска републиканска федерация по кинология“, в рубрика „Новини“, Указания от съдия по вписванията, в които същите се съдържат,публикувани и на Фейсбук страницата на сдружението.

Жалбите са подадени в срока по чл.38 от ЗЗЛД от физически лица с правен интерес срещу пасивно легитимирани физически лица, за които се твърди, че са администратори на лични данни по смисъл чл.4, ал.7 Регламент ЕС 2016/679. Предвид обаче съдържанието на публикувана на сайта информация и документи комисията конституира служебно, като ответна страна в производството, сдружение „Българска републиканска федерация по кинология“, в качеството му на администратор на лични данни. Сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1 от ЗЗЛД във връзка с чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни свързани с обработване на личните данни, като не са налице изключенията по чл.2, §2, буква„в“ и чл.55, §3 от Регламента предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По изложените съображения и предвид липсата на отрицателните предпоставки по чл.27, ал.2 от АПК, жалбите са приети за допустими и са обединени за разглеждане в едно административно производство, с оглед обстоятелството, че правата и задълженията на страните произтичат от еднакво фактическо състояние, подадени са срещу едни и същи лица и са от компетентността на един и същ административен орган– КЗЛД. Като страни в производство са конституирани: жалбоподатели– Р.Т., Х.Т. и К.С. и ответни страни- Г.Х., Р.Х. и Н.Х., пасивно легитимирани, и сдружение „Българска републиканска федерация по кинология“– служебно конституирана страна.

Насрочено е открито заседание за разглеждане на жалбите по същество на 08.12.2021г., същото, поради нередовно уведомяване на страните в производството, отложено за 23.02.2021г. от 13:00 часа.

С оглед изясняване на случая от фактическа страна от ответниците са изискани относими доказателства и информация, доколкото липсва информация и доказателства за дата на която указанията, съдържащи единните граждански номера на жалбоподателите, са публикувани на сайта на сдружението и Фейсбук страницата му.

В отговор, председателят на сдружението не оспорва изложените от жалбоподателите твърдения, дори напротив в становища ППН-01-586#6/03.12.2021г. и ППН-01-586#6/03.12.2021г., с идентично съдържание, признава, че указанията са публикувани във вида в който са получени от сдружението, като в последствие са заличени единните граждански номера на жалбоподателите. Не конкретизира обаче кога, като дата, са публикувани указанията със и без ЕГН на жалбоподателите. Предвид изложените от председателя на сдружението- Г.Х. твърдения, че данните са възложени за публикувани на Р.Х.– бивш координатор, в период в който не е била служител на сдружението, от г-н Х. са изискани заверено копие на договор или друг акт уреждащ отношенията между тях по възлагане за обработване/публикуване на лични данни на сайта на сдружението, получените от съда указания и разписани технически и организационни мерки за защита на личните данни, правила, инструкции, заповед или друг акт, уреждащ реда за публикуване на документи съдържащи лични данни на сайта на сдружението и Фейсбук страницата му.

В отговор с придружително писмо ППН-01-589#4/27.01.2022г. председателят на сдружението прилага копие на план за обучение, без дата, политика за защита на личните данни, приета на 01.02.2019г. иуказания №20210710215619/13.07.2021г. по описа на Агенция по вписванията. Приложена е и молба от жалбоподателката К.С.,адресирана до КЗЛД, за оттегляне на жалбата. Във връзка с последната г-н Х. информира, че на 01.12.2021г. г-жа К.С. му се обадила, за да му се извини „за причиненото неудобство от подадените жалби“.

По същество на спора г-н Х. сочи, че указанията съдържащи лични данни- ЕГН са били достъпни на сайта на сдружението 20 минути, но счита, че от последното не са произтекли никакви вреди за жалбоподателите, още повече, че указанията са достъпни и публикувани в Агенция по вписванията „месеци наред“. Твърди, че Н.Х. няма отношение към публикуваните указания, а действията на г-жа Р.Х. по публикуване на информацията на сайта на сдружението са с цел информираност на членовете на сдружението и общността на кинолозите, поради изнесени неверни и клеветнически твърдения. Не взема отношение по твърденията за публикуване на указанията и на Фейсбук страницата на сдружението.

Предвид представената от ответника молба за оттегляне на жалба ППН-01-589/02.08.2021г., до К.С., сочена като подател на молбата, са изпратени указания да информира КЗЛД поддържа ли искането за десезиране на комисията. Получен е потвърдителен отговор от г-жа К.С., предвид което настоящето решение по същество на спора не касае подадената от нея жалба, доколкото последната е оттеглена, след провеждане на откритото заседание, като по повод същата е постановен отделен индивидуален административен акт на комисията.

На проведено на 23.02.2022г. заседание на комисията, жалбите са разгледани по същество.

Страните– редовно уведомени, не се явяват, не се представлява.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, изискващ наличието на установени действителни факти и предвид събраните доказателства и наведените твърдения, комисията приема, че разгледани по същество жалби ППН-01-585/30.07.2021г. и ППН-01-586/30.07.2021г. са основателни.

Предмет на жалбите са твърдения за неправомерно обработване– разпространение на личните данни на жалбоподателите– три имена и единен граждански номер, чрез публикувани на сайта на сдружение „Българска републиканска федерация по кинология“, в рубрика „Новини“, Указания №20210710215619/13.07.2021г. от длъжностно лице по вписванията, в които същите се съдържат.

Страните не спорят, че на 29.07.2021г. на официалната страница на сдружение „Българска републиканска федерация по кинология“, в рубрика „Новини“ са публикувани указания №20210710215619/13.07.2021г. по описа на Агенция по вписванията, адресирани до сдружението за допускане на вписване в ТРРЮЛНЦ по партидата на сдружението на обстоятелства относно представляващия сдружението и органите на управление, в случая Управителен съвет, неговия поименен състав и мандат.В указанията са съдържат лични данни за жалбоподателите в обем три имена, ЕГН и заемана длъжност в сдружението, доколкото същите са част от органа на управление на сдружението,Х.Т.– заместник-председател на Управителния съвет, а г-жа Р.Т.– член на Управителния съвет.

Не е спорно, че указанията са публикувани на сайта на сдружението без в тях да са заличени единните граждански номера на жалбоподателите. В последствие даннитеса заличени, като видно от направена на 09.08.2021г. служебна справка, относно съдържанието на публикуваните на сайта указания, обективирана в Протокол ППН-01-585#1/09.08.2021г., е констатирано, че в достъпните на сайта указания се съдържат три имена, но не и единни граждански номера на физическите лица, сезирали КЗЛД.

Безспорно администратор на сайта, респективно администратор на лични данни по отношение на публикуваните на сайта на сдружението данни, е сдружение „Българска републиканска федерация по кинология“, предвид което задължение на последното е да обработва данните съобразно изискванията на ОРЗД и ЗЗЛД, в това число съобразно принципите по чл.5 от ОРЗД, в частност принципите на законосъобразност и на „свеждане на данните до минимум“– чл.5, §1, буква„а“ и „в“ от ОРЗД, още повече че достъпа до сайта е неограничен и свободен. Не се събраха доказателства отношение към публикуването на данни на сайта да имат пасивнолегитимираните страни Н.Х. и Г.Х., в лично качество. По отношение на Р.Х. и предвид изложените от председателя на сдружението твърдения, че тя е публикувала данните на сайта на сдружението, следва да се отбележи, че независимо дали лицето е служител на администратораили е обработващ, в каквото качество е била тя като външен координатор, регламентът въвежда за администратора– сдружението, същите задължения: а именно данните да се обработват законосъобразно и в съответствие с принципите по чл.5 от ОРЗД, данните да се обработват само по указания на администратора и при контрол от негова страна. Поради това и с оглед прилагане нормите на Регламента е без значение дали лицето е външен обработващ или е служител на администратора- отговорността и в двата случая е за администратора, като възражението на последния, че информацията е качена неправилно от външно за дружеството лице не може да бъде споделена от комисията, като обстоятелство изключващо отговорността на администратора.

Действията на администратора на лични данни, сдружение „Българска републиканска федерация по кинология“, по публикуване на сайта указания, без в тях да са заличени ЕГН на жалбоподателите, са незаконосъобразни- извършени без наличие на нито едно от условията за законосъобразност на обработването, доколкото е безспорно, че същото е извършено без знание и съгласие на жалбоподателите. Обработването не е необходимо за изпълнение на договор, по които субекта на данни е страна, не е необходимо за спазване на законово задължение, което се прилага спрямо администратора, не е необходимо за защита на жизненоважни интереси на субекта на данни или на друго физическо лице или за изпълнение на задача от обществен интерес, не е налице и легитимен интерес на администратора преимуществен пред интереса на лицата чиито данни са публикувани. Доколкото администраторът на лични данни не е орган на власт е неприложима и хипотезата за обработване на личните данни при упражняване на официални правомощия. В тази връзка за пълнота следва да се отбележи, че за Агенция по вписванията е налице основание за публикуване на акта– указанията по партида на сдружението в изпълнение на задълженията ѝ произтичащи от ЗТРРЮЛНЦ. Такова законово задължение за публикуване на акта обаче не е предвидено за сдружението, адресат на указанията, предвид което направената от сдружението съпоставка между действията на сдружението и Агенция по вписванията е несъстоятелна, доколкото се касае за различни администратори на лични данни, подчинени на различна правна регулация, в случая специална по отношение на Агенция по вписванията касателно нормативно установени задължения относно дейността ѝ.

При публикуване на указанията на сайта на сдружението, без заличени ЕГН на жалбоподателите, е допуснато и нарушение на принципа на „свеждане на данните до минимум“. Съгласно последния обработваните, в случая публикувани, от администратора лични данни следва да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват. Доколкото целта на сдружението е информиране на неговите членове за подлежащите на вписване обстоятелства относно състава на органите на управление на сдружението, за постигане на последното е необходимо и достатъчно посочване на трите имена на лицето и заеманата от него и вписан в регистъра към Агенция по вписваниятадлъжност, като посочването и на ЕГН на лицата е прекомерно.

Предвид констатираното нарушение и доколкото нарушението е първо за администратора и са предприети мерки за прекратяването му, още преди информиране на сдружението за образуваното пред КЗЛД административно производство, комисията счита за пропорционално упражняването на корективно правомощие по чл.58, §2, буква„б“ от ОРЗД– официално предупреждение. Намира, че с оглед установената фактическа обстановка и събраните по преписката доказателства, мерките по чл.58, §2, буква„а“, „в“, „г“, „д“, „е“, „ж“ и „й“ от Регламент ЕС 2016/679 са неприложими, а налагането на санкция- непропорционално на допуснатото нарушение, неговата продължителност и предприетите от администратора последващи действия. Съобразявайки целта на наказанието, което следва да има възпираща и предупредителна функция, естеството и тежестта на нарушението, обществените отношения които засяга, категориите засегнати лични данни, комисията счита, че упражненото корективно правомощие безспорно отговаря на търсените от ЗЗЛД и Регламент 2016/679 ефективност и възпиращ ефект, като в същото време не нарушава принципа на пропорционалност и изискването за съразмерност.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София- град.