Решение по искане рег. № 9397/ 05.08.2010г.

Комисията за защита на личните данни (КЗЛД), в състав: председател Венета Шопова и членове : Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 16.12.2010 год. (Протокол № 42),разгледа искане, рег. № 9397/05.08.2010г. от “АББ АУТОМЕЙШЪН” ЕООД, за получаване на разрешение за трансфер на лични данни към мултинационалната корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), в Конфедерация Швейцария на основание чл. 36а, ал. 4, т.1 от Закона за защита на личните данни (ЗЗЛД). Искането е подадено чрез двама от управителите на “АББ АУТОМЕЙШЪН” ЕООД- А.К. и Д.Я., като дружеството се управлява и представлява пред трети лица от всеки двама управители заедно, от което става видно, че лицата подали искането за трансфер на данни, могат да представлява дружеството пред Комисията за защита на личните данни, във връзка с конкретното искане за трансфер.

Съгласно представената информация в искането за издаване на разрешение за трансфер на лични данни, “АББ АУТОМЕЙШЪН” ЕООД, България е част от мултинационалната корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), регистрирана в Търговския регистър на кантон Цюрих, Конфедерация Швейцария на 07.07.2010г. под № CH-020.3.900.058-8 Компанията извършва дейности свързани с държането на акции в предприятия в секторите промишленост, търговия и услуги. Тя може да придобива, ипотекира, валоризира и прехвърля права върху недвижими имоти и нематериални права в Конфедерация Швейцария и чужбина, да финансира и субсидира други компании или да издава сравними ценни книжа за техните облигации; може да предприема всички търговски дейности и мерки, които изглеждат подходящи за подпомагане целите на компанията или свързаните с тях. “АББ АУТОМЕЙШЪН” ЕООД, България е вписано в Търговския регистър при Агенцията по вписванията с ЕИК 160138576, със седалище и адрес на управление: гр.Раковски, община Раковски, Община Пловдив, Индустриална зона и предмет на дейност: производство, сглобяване, проектиране, инсталиране, разработване, изследване, дизайн, изграждане, продажба, пласмент на среднотокови, слаботокови и силнотокови електротехнически и електронни продукти, системи и компоненти, включително и всички свързани дейности, както, но не само индустриални информационни системи, сервиз, ремонт, транспортиране, държане на склад, покупко-продажба на суровини и компоненти, финансиране и други. Дружествотоима право да извършва всички други дейности, свързани с предмета на дейност или произтичащите там, както и всяка друга дейност, която не е забранена от закона.

Съгласно искането получател на данните ще бъде мултинационална корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), установена на територията на Конфедерация Швейцария. Видно от предоставената информация, трансферът на данни засяга физически лица – кандидати за работа, служители и работници на “АББ АУТОМЕЙШЪН” ЕООД. Предмет на трансфер ще бъдат следните категории лични данни, засягащи посочените групи физически лица: Име; единен граждански номер ЕГН; адрес; паспортни данни; месторождение; телефон; образование; произход; трудова дейност и професионална квалификация; семейно положение.

Видно от искането за трансфер, в рамките на корпоративната група на дружеството предстои въвеждане на глобална автоматизирана информационна система “САП” (“SAP”) за всички дружества от корпоративната група “АББ”. Целта на прехвърлянето е предоставяне на лични данни на кандидати за работа, на работници и служители, с цел управление на човешките ресурси и управление на собственост от страна на дружеството и корпоративна група “АББ”.

При извършената служебна справка в Регистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, се установи, че дружеството е подало заявление за регистрация с вх.№1294719/14.07.2010г. като администратор на лични данни, но не е вписано в Регистъра на администраторите на лични данни, поради липсата на потвърдителен лист.“АББ АУТОМЕЙШЪН” ЕООД е заявило поддържането на 1 регистър: “АББ АУТОМЕЙШЪН ЕООД”. Трансферът на данни засяга информацията, поддържана в регистър“АББ АУТОМЕЙШЪН ЕООД”, обявен пред Комисията за защита на личните данни с вписването на дружеството като Администратор на лични данни, като е заявено предоставяне на данни в Конфедерация Швейцария: име; единен граждански номер ЕГН; адрес; паспортни данни; месторождение; телефон; образование; произход; трудова дейност и професионална квалификация; семейно положение.

С писмо рег. №.9397/10.11.2010г. Комисията за защита на личните данни е изискала допълнителна информация относно държавата, на чиято територия ще предоставят данните, а именно: в Конфедерация Швейцария по адрес на управление на дружеството “АББ Асея Браун Бовери Лимитид” или по местоположение на техния сървър – в Ениген, Германия; подробна информация и доказателства, относно организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера, както и информация, относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера.

В изпълнение на указанията на КЗЛД с писмо от 26.11.2010г. в Комисията е постъпила допълнителна информация от дружество „ АББ АУТОМЕЙШЪН " ЕООД, чрез пълномощник-В.С. Приложено е пълномощно от 15.06.2010г. от А.К. и Д.Я. – управители на дружеството, от което става видно, че лицето, подало допълнителната информация, изискана от КЗЛД, по повод искането за трансфер на данни, не е упълномощено да представлява дружеството пред Комисията за защита на личните данни, във връзка с конкретното искане за трансфер. Изпратено е второ писмо рег. №.9397/03.12. 2010г. от Комисията за защита на личните данни, с което е изискано изрично пълномощно, относно осъществяване на всички действия, свързани с получаване на разрешаване на трансфер на лични данни в трета държава.

В отговор на цитираното по-горе второ писмо от КЗЛД,с писмо от 09.12.2010г. е постъпила допълнителна информация от дружество „ АББ АУТОМЕЙШЪН " ЕООД, чрез А.К. и К.-Т.П.-управители на дружеството, както следва:

1. Относно държавата, на чиято територия ще бъдат предоставени данните, е уточнено, че това е Конфедерация Швейцария, тъй като достъп до прехвърлените данни ще имат само служители от отдели“Човешки ресурси” и “Информационни технологии” на дружеството “АББ Асея Браун Бовери Лимитид”.

2. Относно предоставяне на подробна информация и доказателства за организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера: Достъпът ще се осъществява посредством идентификация с потребителско име и парола, като паролата следва да бъде с дължина между 8 и 15 символа, да съдържа поне една цифра и главна буква и да не бъде речникова дума. Паролата следва да бъде променяна на всеки 90 дни, а достъпът до сървъра ще бъде забраняван в случай на три неуспешни опита за достъп в рамките на 60 минути. Ще бъдат използвани и следните специални мерки за защита: външни и вътрешни демилитаризирани зони за достъп (outerandinnerDemilitarizedZones); защитни стени (firewalls), криптиране на предаваната информация и други.

3. Относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера: Представено е уведомление за обработване и трансфер на лични данни. Изчерпателно са разписани категориите данни, които се обработват и които ще се трансферират. Изрично е указано, че чувствителни данни няма да бъдат предмет на трансфер. Същото е адресирано до всички служители на „ АББ АУТОМЕЙШЪН " ЕООД, като същите са информирани, че техните данни се обработват от дружеството и че същите се съхраняват в регистър “Персонал”. Цитирани са целите на обработване на данните, както и прехвърлянето на данните към дружеството “АББ Асея Браун Бовери Лимитид” в Конфедерация Швейцария, съгласно законовите изисквания и процедури. Разписани са целта на трансфера и видовете получатели, пред които могат да бъдат разкривани данните. Лицата са уведомени за техните права по чл.28 от ЗЗЛД. Уведомлението е подписано от управителите на дружеството – А.К., К.Т.-П. и Д.Г.Я. на 25.10.2010г.

Съгласно Директива № 95/46/EО на Европейския парламент и на Съвета трансфер на лични данни в трети страни може да бъде осъществен, само ако въпросната трета държава предоставя адекватно ниво на защита на данните. Предоставянето на лични данни от администратор, установен на територията на Република България към друг администратор на лични данни извън страната, се извършва по реда на Закона за защита на личните данни, като определящ критерий относно режима на трансфер на данни е държавата, в която ще бъдат предоставени данните.Предоставяне на лични данни в трета държава се допуска само, ако тя осигурява адекватно ниво на защита на личните данни на своя територия.

Съгласно чл.36а, ал.4, т.1 от Закона за защита на личните данни,Комисията за защита на личните данни не извършва преценка на „ адекватността на нивото на защита на личните данни в трета държава”, когато е налице произнасяне, с решение на Европейската комисия, че третата държава, в която се предоставят личните данни осигурява адекватно ниво на защита. В изключителната компетентност на Европейската комисия е определянето на адекватно ниво за защита на данните, което се посочва като „заключение за адекватност”. Произнасянето на Европейската комисия в разглеждания смисъл е с решение № 2000/518/ЕО от 26.07.2000г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета за адекватната защита на личните данни, предоставяни в Швейцария.

Предвид факта, че Европейската комисия с решение №2000/518/ЕО от 26.07.2000г. се е произнесла, че Конфедерация Швейцария предоставя подходящо ниво на защита на личните данни и основание чл.36а, ал.4, т.1 от ЗЗЛД, Комисията за защита на личните данни,

1. Указва на „АББ АУТОМЕЙШЪН” ЕООД да приключи процеса на регистрация като администратор на лични данни към Регистъра на администраторите на лични данни и водените от тях регистри в Комисията за защита на личните данни.

2. След приключване на процеса на регистрацияпо т.1, разрешава на администратора на лични данни „АББ АУТОМЕЙШЪН” ЕООД да предостави лични данни на физически лица-кандидати за работа, както и лични данни на работници и служители на дружеството, на мултинационална корпоративна група на територията на трета страна – “АББ Асея Браун Бовери Лимитид”, Конфедерация Швейцария, за целите на глобалната автоматизирана информационна система САП (SAP), за администриране и управление на човешки ресурси и собственост, в следния обем: име; единен граждански номер; адрес; паспортни данни; месторождение; телефон; образование; произход; трудова дейност и професионална квалификация; семейно положение, считано от датата на вписване в Регистъра на администраторите на лични данни и поддържаните от тях регистри

Решението на Комисията може да се обжалва пред Върховния административен съд в 14 (четиринадесет) дневен срок от получаването му.