Становище на КЗЛД относно искане с вх. № 2110/ 11.05.2011 г.

ОТНОСНО: Искане с рег.№2110/11.05.2011г. от директора на Института по информационни и комуникационни технологии към Българската академия на науките (БАН) – проф. дмн Светозар Маргеновза изразяване на становище от Комисията за защита наличните данни на основание чл.10, ал.1, т.4 от Закона за защита на личните данни, относно приемливостта на изследователската работа от етична гледна точка по международния проект „Foresight Security Scenarios: Mapping Research to a Comprehensive Approach to Exogenous EU Roles (проект „Фокус”), в който участва Института по информационни и комуникационни технологии към Българската академия на науките

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 14.06.2011г. (Протокол № 25) разгледа искане с рег.№ 2110/11.05.2011г. от директора на Института по информационни и комуникационни технологии към Българската академия на науките (БАН) – проф. дмн Светозар Маргеновза изразяване на становище от Комисията за защита наличните данни на основание чл.10, ал.1, т.4 от Закона за защита на личните данни, относно приемливостта на изследователската работа от етична гледна точка по международния проект „Foresight Security Scenarios: Mapping Research to a Comprehensive Approach to Exogenous EU Roles (проект „Фокус”), в който участва Института по информационни и комуникационни технологии към БАН. Искането е подадено от директора на Института– проф. дмн Светозар Маргенов, който на основание чл.44, ал.2, т.1 от Устава на БАН, може да представлява научната организация пред всички органи и организации, в т.ч. и пред Комисията за защита на личните данни, във връзка с административното производство по изразяване на становище.

Институтът по информационни и комуникационни технологии към БАН, представен чрез секция „Информационни технологии в сигурността”, участва от 01.04.2011г. в международен изследователски проект на тема: „Foresight Security Scenarios: Mapping Research to a Comprehensive Approach to Exogenous EU Roles” (проект „Фокус”), койтообединява 13 партньори от осем различни държави – Австрия,Испания,България,Швейцария, Чехия, Белгия,Израел, Германия. Проектът се финансира частично отЕвропейската комисия по Седма рамкова програмаи реализацията му обхваща периода: месец април 2011г. – месец март 2013г.

Основната цел на проект „Фокус” е да идентифицира и оцени алтернативни пакети от направления за бъдещи изследвания в областта на сигурността в Седма и следващите рамкови програми, които да подпомогнат Европейския съюз във възприемането на много роли за противодействие на външните заплахи, рискове и уязвимости. Основният принос на проекта е в разработването на ефективна среда (методи и средства) за дългосрочно прогнозиране и оценка, включваща анализите от изследването по проекта. Петте основни теми на проект „Фокус” са: 1.Всеобхватен подход – алтернативни бъдещи направления в развитието на всеобхватния подход, така както е разбиран и прилаган от европейските институции, страните-членки и стратегическите международни играчи; 2. Природни бедствия и глобални изменения в околната среда- сценариите за бъдещите роли на Европейския съюз в подготовката за и в отговор на природни бедствия и опасности, свързани с околната среда, са насочени към всеобхватни действия за намаляване на рисковете, защита на гражданите и за възстановяване; 3.Критична инфраструктура и сигурност на доставките – сценариите на бъдещите роли на Европейския съюз третират действия по предотвратяване, намаляване и реакция на заплахи, които могат да имат значително въздействие върху гражданите на Европейския съюз; 4. Европейският съюз като глобален играч – алтернативните бъдещи роли на Европейския съюз като глобален играч в сферата на сигурността; 5. Вътрешна рамка на Европейския съюз – Договорът от Лисабон: сценарии за развитие на вътрешната рамка на Европейския съюз, предпоставки за развитие на клаузите на договора от Лисабон и съответните стратегии. Очакваните резултати от проекта включват разработване на методика за планиране, пакет от планиращи сценарии (природни бедствия, аварии, защита на критична инфраструктура, външни и вътрешни мисии), информационна платформа със средства и инфраструктура за разработване, оценяване и прилагане на сценарии при планиране на научните изследвания и технологичното развитие, а също така и пътна карта за развитие на изследванията в интерес на сигурността. Екипът по проекта е провел самооценка по специфични въпроси, свързани със сигурността на данните, която ще бъде представена на всеки орган по защита на данните от съответната страна на партньора. Като допълнение се провежда и етична самооценка, представена за оценка от експерти от всяка страна-партньор. В тази връзка, Изпълнителната агенция по изследванията (REA) към Европейския съюз изисква представяне на становище от съответния национален орган по защита на данните относно приемливостта на изследователската работа по проекта от етична гледна точка. Във връзка с това, е постъпило искане от директора на Института по информационни и комуникационни технологии към Българската академия на науките за изразяване на становище от Комисията за защита на личните данни на основание чл.10, ал.1, т.4 от Закона за защита на личните данни.

Съгласно приложената към искането Рамка на проект „Фокус”, проектът е свързан с изследването на сигурността на Европейския съюз и цели да дефинира възможно най-реалистични сценарии за заплахи за сигурността на Европейския съюз. „Фокус” ще представи поредица от сценарии, въз основа на компютърни изчисления, включващи както природни бедствия, така и терористични атаки. Основният принос на проекта ще се състои в създаването на IT – платформа за дизайн за прилагане, оценка и изработване на сценарии за планиране на изследвания в сферата на сигурността. За постигане целите на проекта се използват знанията на широк кръг от експерти и заинтересовани граждани от различни държави, като методите на работа включват провеждане на анонимни интервюта и анкети за обратна връзка, както и интерактивни форми за попълване на интернет сайта. Лицата, които ще участват в анкети, следва да представят само следните данни: пол, възраст, професионална реализация/образование. Въпросите, които ще бъдат задавани на лицата са относно бъдещата сигурност на гражданите на Европейския съюз и по никакъв начин не се отнасят до техния личен живот, религиозна ориентация и др. Проектът не включва провеждане на анкети със следните категории лица: пациенти, доброволци за клинични изпитания, деца, възрастни в уязвимо положение или граждани на развиващи се страни. Проектът предвижда създаване на Група за наблюдение на сигурността, която следва да оценява и анализира всеки един резултат преди неговото публикуване, с цел да не бъде злоупотребено с публикуваната информация от страна на терористична организация или същата да бъде използвана за военни цели. Едновременно с това е предвидена и външна етична експертиза при поява на проблеми от етична гледна точка. В този случай, се възлага на външен изпълнител провеждането на редовни етични експертизи на всеки три месеца. Формата за етична самооценка на проекта е базирана на бланка, осигурена от Европейската комисия, чийто съдържание включва: 1.изследване на човешкия ембрион/плод; 2. изследване върху/на хора; 3.неприкосновеност на личността; 4. изследвания върху животни; 5. изследвания включващи развиващи се страни; 6. двойна употреба (изследвания с директна военна цел, изследвания, с които могат да злоупотребят терористи). Във връзка с това, цитираната проблематика не е предмет на изследване по проект „Фокус”.

Проектът предвижда спазване процедурата по защита на личните данни. Процедурата по защита на данните включва информирано съгласие и форма за информирано съгласие, която съдържа основна информация относно развитието на проекта. Формата за информирано съгласие е включена като анекс към доклада за етична самооценка. Формата за информирано съгласие на лицата по проект „Фокус” постъпи в КЗЛД като допълнителна информация към искането с рег.№2389/28.05.2011г. Съгласно предоставената информация формата за информирано съгласиее необходимо условие за участие в интервюта/анкети по проект „Фокус”. Тя може да се попълва, както на хартиен носител, така и онлайн чрез сайта на проекта: http://www.focusproject.eu.

При анализа на изложеното в искането, както и приложените към него документи, се установи следното:

На основание чл.1, ал.1 от Закона за Българската академия на науките, БАН е национална автономна организация за научни изследвания, която обхваща академичните институти и други самостоятелни структурни звена.Институтът по информационни и комуникационни технологии към БАН е създаден на 01.07.2010г. с решение на Общото събрание на БАН на основание чл.32 от Устава на БАН, като правоприемник на Института по паралелна обработка на информацията, Института по информационни технологии и Института по компютърни и комуникационни системи. Институтът е постоянно научно звено в рамките на БАН и е автономен. Той е юридическо лице, вписан в Регистър „Булстат” при Агенцията по вписвания на Министерството на правосъдието с ЕИК175905727 и адрес на седалище: гр.София, ул. „Акад. Георги Бончев” бл.2. Дейността му се осъществява въз основа на Правилник за дейността на Института по информационни и комуникационни технологии приет от Общото събрание на учените (Протокол № 2), в сила от 14.03.2011г. На основание т.2.2 от Правилника, една от основните дейности на Института е извършването на изследователска и експертна дейност по проекти с регионално, национално и международно значение.

При извършена служебна справка в Регистъра на администраторите на лични данни и водените от тях регистри, поддържан от КЗЛД, се установи, че БАН е администратор на лични данни и е вписана в регистъра с идентификационен номер 157090. БАН е заявила поддържането на 9 броя регистри – „Човешки ресурси”, „Информационна система на кадрите на БАН”, „Архив”, „Академици и член-кореспонденти”, „Служба Координация и контрол на безопасността на труда”, „Служба трудова медицина”, „Финанси и счетоводство”, „Деловодство” и„Наематели”. В същото време Институтът по информационни и комуникационни технологии към настоящия момент не е подавал заявление за регистрация като самостоятелен администратор на лични данни, но видно от подаденото заявление на БАН, в регистър „Информационна система на кадрите на БАН”, Институтът по информационни и комуникационни технологии е включен в обема обработвани данни от БАН.

С цел пълно и обстоятелство запознаване с проект „Фокус” и във връзка с предмета на искането, с писмо рег. №.2110/30.05.2011г. Комисията за защита на личните данни е изискала допълнителна информация и доказателства относно: 1. В коя държава се събират данните при попълване на въпросника/анкетата по проекта; 2. Какви са организационните и техническите мерки, които се предприемат за защита на данните при осъществяване на техния пренос по електронен път или чрез предаване на хартиен носител; 3. Какви данни се изискват от лицата при регистрацията им в сайта на проекта, с цел да участват в провежданото изследване онлайн; 4. Извършена ли е по т.2.1 от Рамката на проекта, самооценка по специфични въпроси, свързани със сигурността на данните по проекта и при наличие на такава, моля да ни я представите; 5. Изисква ли се от лицата да имат електронен подпис при попълване на формата за информирано съгласие онлайн; 6. Въпросникът по проекта, който лицата ще попълват на доброволен принцип.

В изпълнение на указанията на КЗЛД с писмо от 03.06.2011г. в Комисията е постъпила допълнителна информация от Института по информационни и комуникационни технологии към Българската академия на науките, кактоследва:

1. Прилаганите методи за събиране, съхранение и използване на база данни – Проект „Фокус” включва разработване на различни сценарии, базирани на компютърни модели, които са тествани. Предвижда се да бъде създаден и приложен нов метод на изследване на сигурността, включващ контекстуални сценарии за ролите на Европейския съюз при справянето с глобалните предизвикателства. Основният метод, на който се базира проекта е познавателния, като той включва провеждане на анонимни интервюта и анкети за обратна връзка и интерактивни форми за попълване на интернет сайта на проекта. Информацията, която се изисква от участниците в анкетите е: пол, възраст, професионална реализация/образование.

2. Възприетата и прилагана стратегия за защита на базата данни – Проектът предвижда всички партньори, които участват в него да се съобразяват с европейските директиви в областта на защитата на личните данни. Във връзка с това, защитата на личните данни има отношение в следните сфери: регистрация на заинтересованите страни в електронна платформа, управление на панелите на крайния потребител и панелът за оценка. Обработваните лични данни включват (име, позиция в организацията и електронна поща). Въпреки това, съгласно стратегията, тези видове лични данни нямат да бъдат събирани и използвани в самите изследователски дейности по проекта. Партньорите по проекта ще обработват всякакъв вид лични данни, получени по време на регистрацията на самия уебсайт, електронната платформа, работните семинари и симпозиуми в съответствие с Директива 95/46/EC.

3. Условията и реда за предоставяне, използване и защита на лични данни:

3.1. Вид на събираните данни:

Проектът предвижда събирането и употребата на лична информация в електронната платформата (онлайн въпросника) и сценарийните въпросницида бъде ограничено до минимум, с цел да се осигури сигурност на участниците. Предвижда се да бъде извършвана централна автентификация (процес на установяване на истинността и достоверността на конкретна информация), която ще представлява генериране на идентификация и парола, като не е планирано да се събира специфична информация за потребителя. Планирано е да бъде създадена електронна страница за обратна връзка със засегнатите граждани, по въпросите на описанието на сценариите. Въпросните граждани ще получават достъп по гореизложения начин (с идентификация и парола). Регистрационните данни (име, адрес, електронна поща) няма да включват информация за пола, религиозните убеждения и прочие и няма да бъдат съхранявани или обработвани. От техническа гледна точка, регистрацията ще е базирана на признак (token-based) и ще бъде проверявана от системата единствено, ако признакът е валиден. Признакът и отговорите няма нито да бъдат съхранявани, нито обработвани за по-нататъшен анализ или процедури. Възможно е по проекта да бъде създадено специфично информационно пространство, което да е достъпно само до специфични групи от експерти, които ще се регистрират там със своите имена, месторабота, академични титли, функции и електронен адрес. Тези данни няма да бъдат анализирани в изследователската работа на проекта. Няма да бъде систематизирана никаква статистика относно участниците. Съответната информация свързана с регистрацията ще бъде съхранявана в защитена електронна среда и няма да бъде предавана или използвана за никакви цели в други проекти. Тя няма да бъде споделяна с всички участници в партньорския консорциум.

3.2. Обработване на лични данни:

Въпросниците със събраните данни ще бъдат съхранявани от изследователската институция – BOC Asset Management GmbH (Австрия) на територията на Република Австрия, която е един от партньорите по проекта и негов администратор на лични данни.Организацията е посоченавъв формата за информирано съгласие по проекта, както и координатор на организацията с конкретен електронен адрес, чрез който по всяко време преди или след приключване на проекта, ако лицата желаят могат да поискат бъде заличена предоставената от тях информация. Личните данни няма да бъдат обработвани чрез автоматично манипулиране. Възможно е електронните адреси да бъдат включени в мейл листи, но това ще става след изричното съгласие на техните собственици, което ще бъде изискано по време на процеса на регистрация и за определените цели. Личните данни няма да се предават на трети лица. Няма да бъде извършвана обработка на лични данни от трети страни.

3.3. Техническа обработка и съхранение на данните:

Данните от различните източници няма да бъдат смесвани. Данните, събрани чрез уебсайта на проект „Фокус”, ще бъдат съхранявани от BOC Asset Management GmbH (Австрия), който е администраторът на лични данни по този проект. Няма да има други администратори или обработващи на лични данни по проекта. Регистрационните данни и отговорите на въпросниците ще бъдат съхранявани в различни системи, за да се гарантира тяхната сигурност. Същото се отнася и до отговорите от хартиените въпросници. Данните ще бъдат съхранявани единствено за целите на проекта и до приемането на финалния доклад от страна на Европейската Комисия.

3.4. Информирано съгласие:

Всяка регистрация и събиране на информация ще бъде базирана на информирано съгласие от интервюираните/анкетирани лица.

3.5. Разрешение за събиране на данни:

Разрешението произлиза от съгласието на лицата, за които се отнасят данните. Тези лица ще предоставят своето съгласие по свой собствен и независим избор.

3.6. Трансфер на данни:

Партньорите ще обменят резултати от анализи и сценарии, но в никакъв случай няма да обменят или трансферират лични данни. Информацията ще бъде напълно анонимна.

3.7. Специфичен случай на събиране на експертни мнения:

· Проектът предвижда провеждане на интервюта с експерти (чрез въпросник или без въпросник, по телефона, по пощата). Резултатите няма да бъдат съхранявани в база данни, да бъдат обработвани електронно или използвани в други проекти. Експертните мнения ще бъдат отделени от информацията за източника им и няма да бъдат анализирани във връзка едно с друго. Въпросниците няма да могат да бъдат включени в електронна система, те ще могат единствено да бъдат попълвани във формат „doc” или „pdf „ от самите експерти.

· Ще се събира информация за присъствия на събития. Резултатите няма да бъдат съхранявани в база данни, да бъдат обработвани електронно или използвани в други проекти. Експертните мнения ще бъдат отделени от информацията за източника им и няма да бъдат анализирани във връзка едно с друго. Информацията ще бъде съхранявана от страните-партньори, съгласно техните национални разпоредби и няма да бъде предавана на трети страни.

3.8. Електронната платформа, развивана по проект „Фокус” :

Една от целите на проекта е да се добие знание по развитието на сценарии в база данни, достъпна чрез ИТ-платформа. Този процес по никакъв начин няма да включва или засяга лични данни, а само академична информация. Въпреки това, на определено ниво на спецификация, познавателните ресурси могат да включват известно количество лични данни, в този случай оценка ще се извършва по следната процедура:

· Ако по време на изпълнението на проекта бъде установено, че познавателните ресурси включват лични данни, ще бъде установен контакт със съответните органи за защита на данните, с цел получаване на становище.

· Личните данни няма да бъдат разкривани. Регистрационните данни от уебсайта ще бъдат съхранявани от BOC Asset Management GmbH (Австрия) и няма да бъдат използвани за цели, несъответстващи на тези на проекта, както и няма да бъдат трансферирани или разкривани на трети страни.

3.9. Уведомяване на екипа по проекта:

Всички членове на екипа от съответните страни – участници са уведомени за самооценката по проекта и за изискванията да провеждат всички изследвания в съответствие с нейните изводи и заключения.

Съгласно указанията, дадени по въпросника, лицата, които го попълват не следва да се идентифицират по никакъв начин и да не правят никакви допълнителни коментари, които могат да позволят тяхната идентификация. Въпросникът, след като бъде попълнен се поставя в плик и се пуска в предвидена за целта кутия. Поради факта, че към настоящия момент практически не е стартирал проект „Фокус” и е на организационен етап на подготовка, на неговия сайт е публикувана само обща информация за проекта, неговите цели, методи, страните-партньори, финансирането на проекта и др., но не е публикуван въпросника, който се предвижда да бъде в основата на реализацията на проекта при събиране на експертни мнения и становища.

Обработването на личните данни съгласно дефиницията дадена в §1, т.1 от Допълнителните разпоредби на Закона за защита на личните данние всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

На основание предоставената информация и доказателства, относно проект „Фокус”, по безспорен начин се налага извода, че дори и в малък обем, ще бъдат обработвани лични данни на лицата, които доброволно се включат в реализацията на проекта чрез попълване на въпросници/анкети онлайн или на хартиен носител, като за целта следва да изразят своето съгласие чрез попълване на форма за информирано съгласие за участие в изследването, като се индивидуализират със своите имена и да положат подпис.

Съгласно чл.4 от Закона за защита на личните данни (ЗЗЛД),обработването на лични данни е допустимо само в случаите, когато е налице поне едно от следните условия:

1.обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни;

2. физическото лице, за което се отнасят данните, е дало изрично своето съгласие;

3. обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане;

4. обработването е необходимо, за да се защитят животът и здравето на физическото лице, за което се отнасят данните;

5. обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес;

6. обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните;

7.обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните.

Предвид изложеното по-горе, в конкретния казус, единственото правно основание за допустимост на обработване на лични данни във връзка с участието на Института по информационни и комуникационни технологии към БАН в проект „Фокус” на ЕС е наличие на изрично съгласие за това от страна на интервюираните/анкетираните лица на основание чл.4, ал.1, т.2 от Закона за защита на личните данни.Съгласно §1, т.13 от допълнителните разпоредби на ЗЗЛД, "Съгласие на физическото лице" е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани. Съобразно действащата към настоящия момент нормативна уредба в сферата на защита на личните данни в Република България за изразеното съгласие на физическото лице няма изрично изискване за писмена форма. Съгласието следва да е налице по отношение на целите на обработване на данните в конкретния случай, получателите иликатегориитеполучатели, на които могат да бъдат разкрити данните; задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им. Във всички случаи на лицата следва да е предоставена информация за правото на достъп и правото на коригиране, заличаване или блокиране на събраните данни.

Видно от приложената към искането бланка, съдържанието на формата за информирано съгласие по проект „Фокус” включва: 1. Информация за естеството на проекта и методите за неговата реализация; 2. Доброволния характер на участие; 3. Какви са изискванията към участниците и възможностите за отказ от участие; 4. Информация за анонимността на въпросниците; 5. Обработване на информацията, която съдържа лични данни; 6. Необходимостта да се посочи електронна поща на лицето, когато попълва въпросника онлайн за верификация срещу злоупотреба с информация; 7. Категориите данни, които лицето попълва: пол, възраст, професионална реализация/образование; 8. Начин на съхраняване на данните и организацията, в която ще се съхраняват; 9. Възможности за заличаване на информацията по искане на лицето; 10. Възможности за информираност по проекта и изследването; 11.Възможности за прекратяване участието на лицето в проекта. След попълване на формата за информирано съгласие, лицето следва да посочи дата на попълване, името сиида постави своя подпис.

В конкретния случай, попълването на формата за информирано съгласие от лицата преди тяхното интервюиране/анкетиране е съгласие по смисъла на чл.4, ал.1, т.2 от ЗЗЛД.Въпреки това, прави впечатление, чеформата за информирано съгласиене включва информация относно упражняването на правото на достъп и правото на коригиране на физическите лица, при обработване на техни лични данни по смисъла на чл.19, ал.1, т.5 от ЗЗЛД.

Съгласно чл.25 от ЗЗЛД, след постигане целта на обработване на личните данни, администраторът е длъжен да ги унищожи или прехвърли на друг администратор, като предварително уведоми за това КЗЛД, ако прехвърлянето е предвидено в закон и е налице идентичност на целите на обработването. Администраторът е допустимо да съхранява лични данни само и единствено в предвидените от закона случаи.

Във връзка с горното и на основание чл. 10, ал.1, т. 4 от Закона за защита на личните данни, Комисията за защита на личните данни изразява следното

1. Институтът по информационни и комуникационни технологии към Българската академия на науките може да участва в международния изследователски проект „Foresight Security Scenarios: Mapping Research to a Comprehensive Approach to Exogenous EU Roles (проект „Фокус”) към Европейския съюз, със срок на действие: месец април 2011г. – месец март 2013г. Необходимите условия, при които институтът може законосъобразно да обработва лични данни на физически лица, във връзка с участието си в проекта, са следните:

1.1. Обработването да се извършва на основание чл. 4, ал. 1, т. 2 от ЗЗЛД, а именно : физическите лица за които се отнасят данните, да са дали изрично и недвусмислено своето съгласие за участие в проекта и предоставяне на съответните данни;

1.2. Формата за информирано съгласие да бъде допълнена синформация относно упражняването на правото на достъп и правото на коригиране на събраните данни по чл.19, ал.1, т.5 от ЗЗЛД;

1.3. Да бъдат предприети организационни и технически мерки по защитата на събираните, обработвани и съхранявани лични данни съгласно Наредба №1 от 07.02.2007г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни.