Становище на КЗЛД относно искане от директорa на Информационния център на ЕС, във връзка с приложението на Закона за защита на личните данни

Комисията за защита на личните данни (КЗЛД) в състав: Венета Шопова, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 05.12.2012г. разгледа искане с вх.№п-6272/23.11.2012г. от г-жа М.Г., в качеството й на директор на Информационния център на ЕС, в което е оправена молба за становище от Комисията за защита на личните данни (КЗЛД) на основание чл.10, ал.1, т.4 от Закона за защита на личните данни (ЗЗЛД). В искането за становище е посочено, че във връзка с постъпили в Информационния център на Европейския съюз няколко телефонни оплаквания от страна на български граждани, с изискване от страна на Британския Съвет, относно предстоящо провеждане на изпити на 30.11.2012г. и 01.12.2012г. за получаване на CambridgeESOL сертификат, родителите (настойниците) на децата, който за се записали за участие да подпишат Декларация за съгласие за заснемане на въпросните граждани в деня на провеждането на теста. В искането е посочено, че Декларацията е необходимо да бъде подписана от техните родители с цел допускане до изпита, тъй като кандидатите все още не са навършили 18 години. Изрично е наблегнато на това, че въпросните граждани категорично възразяват да бъдат снимани в деня на провеждането на теста, както и срещу това снимките им да бъдат показвани на бъдещите кандидати за провеждане на подобен тест (което им е било споменато по време на прожекция и показването на снимки на други кандидати от предишни изпити), тъй като така или иначе в деня на изпитите те доказват своята самоличност с личните си документи, на които освен всички лични данни има и тяхна снимка. Освен това, в искането е посочено, че тези български граждани настояват да научат правата си като граждани на Европейския съюз и след като вече са заплатили таксата в размер на 360 (триста и шестдесет) лв. за явяване на въпросните изпити да не им бъде отказана тази възможност, в случай, че родителите им не подпишат въпросната декларация. В тази връзка Информационният център на ЕС е направил официално запитване на безплатната телефонна линия „Европа Директно“ 0080067891011 в Брюксел, от която са ги насочили към Комисията за защита на личните данни, като компетентен орган в Република България по случая.

Към искането за становище на Информационният център на ЕС е приложено и копие от цитираната декларация за съгласие. Във връзка с дотук изложеното, в искането за становище е поставен въпроса доколко изискванията на Британския Съвет са правомерни и дали Директива95/46/ЕО на Европейския Парламент и на Съвета от 24октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни е съблюдавана коректно.

Действията във връзка със заснемането на видеоматериал, неговото съхранение и неговото разпространяване чрез „показване” и/или „прожекция”, по своя характер представляват действия по обработване на лични данни, по смисъла на легалната дефиниция в параграф1, т.1 от Допълнителните разпоредби на ЗЗЛД, т.е. това е всяко действие или съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

По отношение законосъобразните условия, при които се допуска обработването на лични данни, се прилагат разпоредбите на чл.4, ал.1 от ЗЗЛД, където са изчерпателно изброени и дадени алтернативно условията при наличие на които е допустимо обработването на лични данни. Именно в чл.4, ал.1, т.2 от ЗЗЛД е посочена и възможността за обработване на лични данни в случаите, в който физическото лице, за което се отнасят данните, е дало изрично своето съгласие.

По отношение на съгласието, което се явява основание за обработване на лични данни в конкретната хипотеза, /извод, който може да се извади от изискването за подписване и предоставяне на Декларация за съгласие от съответните лица или техните родители/настойници/ следва да се изяснят няколко основни и съществени елемента, част от които липсват в така представената декларация, а именно:

По смисъла на параграф 1, т.13 от Допълнителните разпоредби на ЗЗЛД "Съгласие на физическото лице" е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани. Съгласно разписаната дефиниция в ЗЗЛД, за да се приеме за съгласие, волеизявлението на физическото лице то трябва да е:

– свободно изразено, т.е. предоставено от физическото лице, по негово собствено желание, без елемент на принуда;

– недвусмислено, т.е. съгласието следва да бъде предоставено по начин и във вид, които да не пораждат съмнение, относно изявената воля на физическото лице за обработване на негови лични данни или съответно данни на лицето, от чието име се предоставя съгласието;

– конкретно, т.е. съгласието следва да бъде предоставено за обработване на определен обем лични данни, от конкретно лице, за конкретни цели;

– информирано, т.е. лицето, предоставящо данните следва да бъде уведомено от администратора, относно: данните, които идентифицират администратора и неговия представител; целите на обработването на личните данни; получателите или категориите получатели, на които могат да бъдат разкрити данните; информация относно задължителния или доброволния характер на предоставяне на данните и последиците от отказ от предоставянето им; информация за правото на достъп и правото на коригиране на събраните данни и др.;

– предоставено от физическото лице, за което се отнасят личните данни, предмет на обработване.

В приложената декларация следва да бъдат отразени и включени следните допълнителни елементи, с оглед нейното изрядно съдържание и съответствие с изискванията на ЗЗЛД и Директива95/46/ЕО на Европейския Парламент и на Съвета от 24октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни:

1. С оглед възможността на посочения изпит да се яви лице, което е във възрастова граница между 14 и 18 години, родителите на които са неизвестни, починали, поставени под пълно запрещение или лишени от родителски права, а също и над лица, поставени под ограничено запрещение, е резонно в началото на текста опцията „попечител” да бъде заложена наравно с „Родител/настойник.”

2. В изречение второ на въпросната декларация да бъде недвусмислено посочена целта на извършвания видеозапис на кандидата, както и срока и целта за неговото съхранение.

3. В изречение трето да бъдат посочени изрично получателите или категориите получатели, на които могат да бъдат разкрити данните, както и при наличието на какви предпоставки би се наложило обработването на данните чрез тяхното предоставяне.

4. В изречение четвърто да бъдат посочени изрично организациите/лицата, които ще могат да използват данните от видеозаписите за посочената в същото цел „удостоверяване резултатите от изпита на кандидата”. Във връзка с така зададената тук цел – „удостоверяване резултатите от изпита на кандидата”, считаме за целесъобразно да бъде предоставена по-подробна и даваща яснота информация, защо удостоверяването на резултатите от изпита на кандидата е необходимо да бъде извършено чрез видео заснемане и създаване на видеозапис.

5. В декларацията следва да бъде включена и информация относно задължителния или доброволния характер на предоставяне на данните и последиците от отказ от предоставянето им, както и информация за правото на достъп и правото на коригиране на събраните данни.

Посочената по-горе допълнителна информация в Декларацията за съгласие е необходима и с оглед текста на член7, буква„а”, във връзка с член2, буква„з”, от Директива 95/46/ЕО на Европейския Парламент и на Съвета от 24октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни.

По отношение на поставения въпрос доколко изискванията на Британския Съвет са правомерни и дали Директива95/46/ЕО на Европейския Парламент и на Съвета от 24октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни е съблюдавана коректно, следва да се има предвид, че и в двата нормативни акта е разписана възможността, като условие за допустимост на обработване на лични данни да бъде даденото, свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани. Следва обаче да се има предвид, че освен изискването за наличие на условие за допустимост на обработването, както в Директива95/46/ЕО, а така също и в закона за защита на личните данни е разписано изискването лични данни на физическите лица да бъдат обработвани при стриктно спазване на принципите за законосъобразност, пропорционалност и целесъобразност на тяхната обработка.

Правото на защита на физическите лица от злоупотреби с личните им данни и неправомерна намеса в техния личен живот се гарантира от горепосочените принципи, които са в основата на действащото законодателство в Република България, регулиращо обществените отношения в сферата на защитата на личните данни. Поставените въпроси в искането засягат принципа за пропорционалност на обработваните лични данни, т.е. дали данните, които се искат (заснемане на кандидатите) не надвишават целта, посочена в декларацията за съгласие, и за която същите се твърди, че са необходими – „удостоверяване резултатите от изпита на кандидата”. Следва да се има предвид, че този принцип изисква от администратора на лични данни, да обработва личните данни на физически лица, в обем съотносим и ненадхвърлящ заложената цел, за която последните са необходими и са били поискани, т.е. въпреки наличието на условие за допустимост на обработването, администраторът на лични данни следва да извърши преценка относно съответствието на обема, вида и качеството на поисканите данни съобразно целите за които ще се обработват те. Предоставянето на тази преценка в правомощията на администратора на лични данни е обусловено и от административно-наказателната отговорност, която последният носи (чл.42, ал.1 от ЗЗЛД).

С оглед на изложеното, и съгласно чл.10, ал.1, т.4 от ЗЗЛД, Комисията за защита на личните данни изразява следното

1. С оглед възможността на посочения изпит да се яви лице, което е във възрастова граница между 14 и 18 години, родителите на които са неизвестни, починали, поставени под пълно запрещение или лишени от родителски права, а също и над лица, поставени под ограничено запрещение, е резонно в началото на текста опцията „попечител” да бъде заложена наравно с „Родител/настойник.”

2. В изречение второ на въпросната декларация да бъде недвусмислено посочена целта на извършвания видеозапис на кандидата, както и срока и целта за неговото съхранение.

3. В изречение трето да бъдат посочени изрично получателите или категориите получатели, на които могат да бъдат разкрити данните, както и при наличието на какви предпоставки би се наложило обработването на данните чрез тяхното предоставяне.

4. В изречение четвърто да бъдат посочени изрично организациите/лицата, които ще могат да използват данните от видеозаписите за посочената в същото цел „удостоверяване резултатите от изпита на кандидата”. Във връзка с така зададената тук цел- „удостоверяване резултатите от изпита на кандидата”, е целесъобразно да бъде предоставена по-подробна и даваща яснота информация, защо удостоверяването на резултатите от изпита на кандидата е необходимо да бъде извършено чрез видео заснемане и създаване на видеозапис.

5. В декларацията следва да бъде включена и информация относно задължителния или доброволния характер на предоставяне на данните и последиците от отказ от предоставянето им, както и информация за правото на достъп и правото на коригиране на събраните данни