Становище на КЗЛД относно искане с вх. № 11313/ 20.12.2010г.

Относно: Искане с вх. № 11313/20.12.2010г. от С.В. – изпълнителен директор на "И.А.М." АД за становище от Комисията за защита на личните данни (КЗЛД) по въпроси, касаещи приложението на Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни (КЗЛД) в състав: Венета Шопова, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 16.03.2011 г., разгледа искане с вх. № 11313/ 20.12.2010 г. отС.В.- изпълнителен директор на "И.А.М." АДза становище от Комисията за защита на личните данни (КЗЛД) на основание чл.54, т.2 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация. В искането за становище се посочва, че "И.А.М." АД (ИАМ) е търговско дружество, вписано като финансова институция в регистъра,поддържан от Българска Народна Банка по чл. 3, ал. 2 от Закона за кредитните институции и притежава удостоверение за регистрация № BGR00009. Уточнено е, че като регистрирана финансова институция ИАМ отпуска на своите клиенти парични заеми със средства, които не са набрани чрез публично привличане на влогове или други възстановими средства, а собствени такива.Посочва се също, че ИАМ е регистрирано като администратор на лични данни в Комисията за защита на личните данни, за което има издадено удостоверение № 0036581/22.02.2008 г. и като такъв обработва личните данни на своите клиенти и потенциални такива на валидно правно основание, в съответствие с изискванията на Закона за защита на личните данни (ЗЗЛД).Указано е, че ИАМ е поискало от Главна дирекция ,;Гражданска регистрация и административно обслужване" към (ГД „ГРАО") към Министерство на регионалното развитие и благоустройствотодостъп до Национална база данни „Население".

В искането е изразено мнение, че, за да бъде предоставен достъп на ИАМ до Национална база данни „Население", администрирана от ГД „ГРАО", трябва да са изпълнени поне една от алтернативно дадените хипотези на чл. 4, ал. 1 от ЗЗЛД, чл. 7 и чл. 106, ал. 1 от Закона за гражданската регистрация (ЗГР).

Визиран е член 4, ал. 1, т. 3 от ЗЗЛД, съгласно който обработването на личните данни е допустимо, когато това е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане.Посочва се, че във връзка с това изискване на закона и с оглед законосъобразното обработване на личните данни на своите потенциални и съществуващи клиенти, ИАМ винаги уведомява своите потребители относно данните по чл. 19, ал. 1 от ЗЗЛД във фазата на преддоговорните взаимоотношения и ако получи тяхното изрично съгласие, пристъпва към обработване на личните им данни. При липса на изрично изразено съгласие от страна на потенциалните клиенти на дружеството, то не обработва лични данни. По отношение на онези лица, които са станали клиенти на дружеството и чиито данни се обработват във връзка с изпълнение на задълженията по сключен договор за паричен заем, в рамките на срока на този договор, се посочва че, могат и често настъпват промени в гражданската регистрация, които с оглед защита на законните права и интереси на ИАМ могат да бъдат и често са от съществено значение за съществуването, изменението и прекратяването на съществуващата облигационна връзка.Изтъква се също, че по същия начин стои въпросът и с пораждането на облигационната връзка между ИАМ и всеки потенциален клиент – достъпът до Национална база данни „Население" би осигурил информация, която с оглед защита на законните права и интереси на ИАМ, би се явила от съществено значение за възникването на облигационна връзка между страните или отказът от такава.

Изказва се мнение, че ИАМ е сред категорията субекти, на които може законосъобразно да бъде предоставен достъп до данните по гражданската регистрация на потенциалните и съществуващи негови клиенти, както предвижда чл. 7, т. 1, предложение последно и чл. 106, ал. 1, т. 1, предложение последно от ЗГР.

Посочва се, чев писмо с изх. № АУ04-320/10Л2.2010 г. ГД „ГРАО" застъпва становището, че ИАМ не е сред субектите по чл. 7, т. 1, предложение последно и чл. 106, ал. 1, т. 1, предложение последно от ЗГР, а попада в категорията на субектите по чл. 7, т. 3 и чл. 106, ал. 1, т. 3 от ЗГР, съгласно които достъп до Национална база „Население" може да бъде предоставян на български и чуждестранни юридически лица, въз основа на закон, акт на съдебната власт или разрешение на КЗЛД. В резултат на своето заключение, ГД „ГРАО" указва в писмото си до ИАМ, че исканият достъп ще бъде осигурен след предоставяне на разрешение от КЗЛД.

В искането са изложени мотиви на ИАМ, съобразно които дружеството не споделя съображенията на ГД „ГРАО", изложени в предходния абзац, както следва:

1. Производството по издаване на разрешение от КЗЛД е предвидено в гл. IV, раздел V от Правилника за дейността на Комисията за защита на личните данни и нейната администрация (Правилника).

2. Член 50, ал. 1 от Правилника предвижда, че КЗЛД има правомощия да даде разрешение само в хипотезите на чл. 36а, ал. 2 и чл. 366, ал. 1 от ЗЗЛД. За да се даде разрешение от страна на КЗЛД, администраторът на лични данни, който ги обработва, следва да отправи писменото искане до КЗЛД.

Посочва се, че ИАМ няма активна легитимация да постави началото на производство по даване на разрешение за достъп до администрирана база с лични данни.Изразено е мнението, че ГД „ГРАО" е администраторът на личните данни, който в случай на отправено искане в някоя от хипотезите на чл. 36а, ал. 2 и чл. 36 /б, ал. 1 от ЗЗЛД, е субектът, който има правото и задължението да поиска разрешение от страна на КЗЛД за предоставяне на достъпа.

В искането еизказано мнение, че ГД „ГРАО" и ИАМ са регистрирани администратори на лични данни в Република България. ИАМ желае да получи достъп до базата данни на администратора ГД „ГРАО" само за свои нужди и единствено на територията на Република България.

Отправена е молба на основание чл. 54, т. 2 от Правилника, Комисията да изрази становище по изложения по-горе казус, като:

• Вземе отношение по въпроса следва ли ИАМ да иска разрешение от КЗЛД, за да упражни правата си за достъп до Национална база данни „Население" при ГД „ГРАО" на основание чл. 7, т. 1, предложение последно и чл. 106, ал. 1, т. 1, предложение последно от ЗГР, по отношение на потенциални и съществуващи свои клиенти, които са дали изрично съгласие за достъпа и обработката на личните им данни в същата база данни;

• В случай, че Комисиятасчете, че следва такова разрешение да бъде поискано, то ИАМ разполага ли с активна легитимация за поставяне на това производство пред КЗЛД;

• Поискано е Комисията да вземе отношение как следва да се тълкува чл. 106, ал. 1, т. 3, предложение последно от ЗГР и има ли то единствена връзка с чл. 36, чл. 36а и чл. 36б от ЗЗЛД и чл. 50 и следващите от Правилника или напротив – би могло да се иска разрешение и в други хипотези, като в последния случай е отправена молба да се уточни кой уточните кои.

Към искането са приложени следнитедокументи:

1. Удостоверение № BGR00009 – 1 бр. заверено копие;

2. У достоверение № 0036581/22.02.2008 г. – 1 бр. заверено копие;

3. Писмо, изх. № 62/19.08.2010 г. – 1 бр. заверено копие;

4. Писмо, изх. № 70-00-2684/14.09.2010 г. – 1 бр. заверено копие;

5. Писмо, изх. № 104/23.11.2010 г. – 1 бр. заверено копие;

б. Писмо, изх. № АУ – 04-320/10.12.2010 г. – 1 бр. заварено копие.

“И.А.М.” АД е акционерно дружество, с ЕИК 131576434, с седалище и адрес на управление: гр. София, район Люлин, ж.к. Люлин 7, бул."Джавахарлал Неру" 28, ет. 2, ап. 51, с предмет на дейност: вътрешна и външна търговия, търговско представителство, посредничество и агентство на местни и чужди лица в страната и чужбина, финансови консултации, предоставяне на парични заеми със собствени средства,съгласно закона за потребителския кредит, рекламна дейност, превоз на пътници и товари в страната и чужбина, ресторантьорство, хотелиерство, финансов лизинг, както и всяка друга дейност, незабранена със закон. Дружеството е администратор на лични данни по смисъла на чл.3 от ЗЗЛД, вписано е в регистъра на администраторите нолични данни и на водените от тях регистри, поддържан от КЗЛД с идентификационен номер 36581 и е заявило поддържането на два регистъра – "Клиенти " и "Служители"".

Законът за гражданската регистрация (ЗГР) урежда условията и реда за гражданската регистрация на физическите лица в Република България. Гражданската регистрация е вписване на събитията раждане, брак и смърт в регистрите за гражданско състояние и вписване на лицата в регистрите на населението. На всички лица, подлежащи на гражданска регистрация, се съставя личен регистрационен картон и запис в Национална база данни ”Население”. Регистърът на населението на Република България се състои от всички общински регистри и компютърният му еквивалент е Националната база данни “Население”.

Предоставянето от страна на Министерството на регионалното развитие и благоустройството на лични данни на физически лица, съдържащи се в Национална база данни «Население»би представлявало “Обработване на лични данни”, което се извършва чрез предоставяне на данните, съгласно легалната дефиниция, посочена в параграф 1, т.1 от Допълнителните разпоредби на ЗЗЛД. Това е всяко действие или съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

Съгласно чл.5 от ЗГР, при гражданската регистрация на физическите лица в Република България се получават, обработват, съхраняват и предоставят лични данни, които са свързани с родствените връзки между лицата по права линия от първа степен и по съребрена линия от втора степен, отразяват постоянния и настоящия адрес, отразяват степента и вида на образованието, показват наличието на правни ограничения. Средствата, чрез които се обработват данните от гражданската регистрация са посочени в чл.6 от ЗГР. Данните подлежат и на компютърна обработка. Те се съхраняват в документални и картотечни регистри и в автоматизирани информационни фондове.

След измененията и допълненията на ЗЗЛД, обн. ДВ бр. 91 от
10.11.2006 г., беше отменен текстът на чл.35, регламентиращ условията, при които е допустимо предоставянето на лични данни от администратора на трети лица. В изложената в искането хипотеза следва да намерят приложение разпоредбите на чл.4, ал.1 от ЗЗЛД, тъй като в съответствие с посоченото по-горе определение за „Обработване на лични данни”, предоставянето на данни от гражданската регистрация представлява обработване чрез предоставяне на данните. Текстът на чл.4, ал.1 от ЗЗЛД урежда хипотезите, при наличието на които се допуска обработването на лични данни. Според т.2 на цитирания чл.4, ал.1 от ЗЗЛД обработването на лични данни (в случая предоставянето на данни от гражданската регистрация на трети лица) се допуска, ако физическото лице, за което се отнасят данните,е дало изрично съгласие за това. ЗГР е специалният закон, който установява нормативното задължение на администратора да предостави данни по гражданската регистрация на трети лица. В чл. 7 и чл. 106 от ЗГР са изброени лицата и условията, при които се предоставят данни от гражданската регистрация, съдържащи се в регистрите на населението.

Разпоредбите на чл.36, чл.36 а и чл.36 б и свързаните с тях разпоредби на чл.50 дочл. 53 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрациякасаят трансферите на данни.Съгласно чл. 36а от ЗЗЛД предоставянето на лични данни в държава – членка на Европейския съюз, както и в друга държава – членка на Европейското икономическо пространство, се извършва свободно при спазването на изискванията на Закона за защита на личните данни. Трансферът на лични данни от администратори, регистрирани по българското законодателство, към получатели на данни в трети държави извън ЕС и ЕИП, обаче, подлежи на разрешителен режим от Комисията за защита на личните данни. Предоставяне на лични данни в този случай е допустимо само в случай, че съответната трета държава осигурява адекватно ниво на защита на личните данни на своя територия. Преценката на адекватността на нивото на защита на личните данни се извършва от КЗЛД като се вземат предвид всички обстоятелства, във връзка спредоставянето на данните, включително характера на данните, целта и продължителността на обработването им, правната уредба и мерките за сигурност, осигурени в третата държава.

В чл.28 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /Правилника/ са посочени производствата, които се развиват пред нея:

– разглеждане на жалби

– регистрация на администраторина лични данни

– издаване на разрешения

– изразяване на становища

– издаване на на задължителни предписания

– налагане на временни забрани

Съгласно чл.28, ал.2 от Правилника Комсията може да осъществява и други производства, когато това е предвидено в закон. Би могло да е приеме, че такова друго производство е даването на "разрешение от КЗЛД" по смисъла начл.106, ал.1 т.3и ал.2 отЗГР.

Следва да се направи разграничение между предоставянето на информация /данни/ от Национална база данни "Население"при доказан законов интерес ипредоставянето на достъп до "Национална база данни "Население".

В редица нормативни актове като например Закона за нотариусите и нотариалната дейност /ЗННД/и Законаза съдебнатавласт /ЗСВ/ законодателят е разписалпредоставянето на достъп до тази база данни. Вчл19, ал.2 от ЗННД е норманивно установено, ченотариуситеимат право на достъп до Националната база данни "Население", поддържана от Министерството на регионалното развитие и благоустройството, както и до Националния автоматизиран информационен фонд за българските лични документи – "Национален регистър на българските лични документи", при условия и по ред, определени с акт на Министерския съвет. Във връзка с правото на този достъп действа Наредба за достъпа на нотариуситедо Националната база данни "Население", поддържана от Министерството на регионалното развитие и благоустройството. Наредбата е приета с приета с ПМС № 194 от 08.09.2010 г. В тази наредба се определят условията и редът за достъпа на нотариусите до Националната база данни (НБД) "Население. В чл.2 от Наредбата епосочено, индивидуален достъп до данните от НБД "Население" имат само нотариусите и помощник-нотариусите, вписани в регистъра на Нотариалната камара.Оторизираните лица/ нотариуси и помощник – нотариуси/ имат задължението да ползват информация от НБД "Население" чрез предоставения им достъп единствено за служебни цели съобразно законоустановените си правомощия и при спазване изискванията на Закона за защита на личните данни и на Наредбата. В чл.385, ал.1от Закона за съдебната власт е посочен, че информационното обслужване на дейностите в съдебната власт се извършва от Висшия съдебен съвет със съдействието на Министерството на финансите, Министерството на регионалното развитие и благоустройството – чрез осигуряване на достъп на органите на съдебната власт до Националната база данни "Население", Националния статистически институт и Българския институт за стандартизация, включително и чрез предоставяне на лични данни в електронен вид или чрез отдалечен достъп до база данни, при спазване на изискванията на Закона за защита на личните данни. Редът и начинът за осигуряване на съдействие по ал. 1 от Министерството на регионалното развитие и благоустройството чрез предоставяне на достъп до Национална база данни "Население" се определят с наредба на министъра на правосъдието и министъра на регионалното развитие и благоустройството./чл.385, ал.2 от ЗСВ/. Тази наредба е Наредба № 14 от 18 ноември 2009 г за редаи начина напредоставяне на достъп на органите на съдебната властдо Национална база данни "Население", която е издадена от Министерството на правосъдието и Министерството на регионалното развитие и благоустройството. С тази наредба се уреждат редът и начинът за предоставяне от Министерството на регионалното развитие и благоустройството на информация на органите на съдебната власт от Национална база данни "Население", включително и чрез предоставяне на лични данни в електронен вид или чрез отдалечен достъп./ чл.1 от Наредбата/. В чл. 2 е посочено, че информацията по чл. 1 се предоставя на органите на съдебната власт само за служебни цели съобразно законоустановените им правомощия и при спазване изискванията на Закона за защита на личните данни.

Обработването на лични данни, чрез предоставянето им от страна наадминистраторана лични данни- Министерството на регионалното развитие и благоустройството следва да се извършва в съответствие с принципите на законосъобразност, целесъобразности пропорционалност на данните.Искането на "И.А.М." АД за предоставяне на достъп до Национална база данниби следвало да става след доказване на наличието на условие за допустимост за обработване на личните данниие в тежест задоказванеена администратора, искащ личните данни.Във всеки конкретен случай обемът на предоставените данни винаги следва да е съобразен с целта, за която същите се искат. т.е. с принципана целесъобразност. Предоставянето наинформация следва също такада е законосъобразно, а самата информация пропорционална. Няма правна пречка припоискванеот страна на "И.А.М." АД и при доказване наоснованиеза предоставяне по законоустановения за това редМРРБ дапредоставяинформация, т.е. лични данни (а не достъп) , с цел упражняване назаконен интерес на дружеството.Във всички случаиинформация, съставляваща лични данни и касаеща физически лица – клиенти,може да се предостави само при наличие на поне едно от изрично посочените в чл. 4 от ЗЗЛД основания за допустимост на обработването на лични данни. Наличието на условие за допустимост за обработване на лични данни е в тежест на доказване от страна на администратора, искащ личните данни, в конкретната хипотеза – "И.А.М." АД.Във всеки конкретен случай обемът на предоставените данни винаги следва да е съобразен с целта, за която същите се искат.

Закона за гражданската регистрация (ЗГР) се явява специален по отношение на Закона за защита на личните данни (ЗЗЛД) при предоставяне на лични данни на трети лица. В тези случаи на администратора на лични данни следва да спазват разпоредбите на чл. 7 и чл.106, ал. 1от ЗГР, където са изброени лицата и условията, при които се предоставят данни от гражданската регистрация, съдържащи се в регистрите на населението. Разрешението по смисъла на чл.106, ал. 1, т.3 от ЗГР е различно от разрешението по смисъла на глава шеста "Предоставяне на лични данни на трети лица" от ЗЗЛД. Съгласно чл.28, ал.2 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация може да осъществява и други производства освен разписаните в чл.28, ал.1 (едно от които е производството по предоставяне на лични данни на трети лица) когато това е предвидено в закон. Би могло да се приеме че такова друго производство е даването на "разрешение от КЗЛД" по смисъла на чл.106, ал.1, т.3отЗГР.

С оглед на гореизложеното и на основание чл.10, ал.1, т.4 от ЗЗЛД, Комисията за защита на личните данни изразява следното

Министерството нарегионалното развитие и благоустройствотоможе дапредоставя информация, съдържащалични данни, на "И.А.М." АД,а не директен достъп до Национална база данни "Население", по постъпили искания от дружеството с цел упражняване на негов законенинтерес, само следдоказване на наличието му по законоустановения за това ред.