СТАНОВИЩЕ
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № П-5534/23.07.2015 г.
гр. София, 16.11.2015 г.
ОТНОСНО:Искане за становище с вх. рег.№П-5534/23.07.2015г. подадено от името на адвокатско дружество „Б. и К.” АД, чрез адв.А.Ч.
Комисията за защита на личните данни (КЗЛД), в състав: Председател: Венцислав Караджов, и Членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 04ноември 2015г.,разгледа постъпило в КЗЛД искане за становище с вх.№П-5534/23.07.2015г. подадено от името на адвокатско дружество „Б. и К.” АД, чрез адв.А.Ч. относно приложението на Закона за защита на личните данни (ЗЗЛД).
В искането е посочено, че клиент на адвокатското дружество планира започване на дейност като организатор на онлайн залагания, достъпни от множество юрисдикции по цял свят (наричан по-долу ”Дружеството"). Уточнено е, че тъй като към момента на подаване на искането Дружеството не е взело окончателно решение за изпълнение на проекта, искането за становище по приложението на Закона за защита на личните данни (ЗЗЛД) се отправя от адвокатското дружество, при запазване на пълна конфиденциалност по отношение на Дружеството и планирания проект под формата на предварително запитване относно приложимостта на българското законодателство за защита на личните данни по отношение на описания в искането модел на извършване на дейност. Посочено е, че в зависимост от тълкуването, предоставено от Комисията, Дружеството ще направи преценка дали да изключи достъпа на неговата платформа от България или да подаде заявление за получаване на лиценз съгласно българския Закон за хазарта. В искането е посочено, че Дружеството е търговско дружество в Малта, чрез което ще бъде осъществявана дейност по организиране на хазартни игри онлайн. Твърди се, че Дружеството е надлежно регистрирано като администратор на лични данни в Малта. Достъп до платформата може да бъде осигурен на участници от различни държави, като ако се изисква от приложимото законодателство Дружеството ще получи хазартен лиценз в съответната държава. В тази връзка Дружеството планира да предостави достъп на български участници до игрите след получаване на лиценз от Държавна комисия по хазарта.
Уточнено е, че Централната компютърна система на Дружеството (ЦКС), където ще се извършват реално транзакциите предмет на лицензионната дейност на Дружеството (регистрация на участниците, приемане на залозите, извършване на „игрите" и обработка на резултатите от тях, изплащане на печалбите и т.н.), ще се намира на територията на страна членка на ЕС, различна от Република България. В изпълнение на изискванията на Закона за хазарта (ЗХ), на територията на Република България Дружеството ще разполага само със система за съхраняване и подаване в реално време към сървър на Комисията и Националната агенция за приходите на информация за участието на участници от България в игрите- така наречения контролен локален сървър. В искането изрично е подчертано, че контролният локален сървър е единствено оборудване за пасивно съхранение на данни и предаването им към българските власти, като се твърди че на него не се извършват транзакциите предмет на лицензионната дейност. Тези транзакции се извършват (по отношение на всички участници от цял свят) на централната компютърна система на Дружеството, след което от ЦКС се извличат и записват на контролния локален сървър само данните, касаещи български участници, с цел същите да се съхраняват и предоставят по предвидения ред на българските власти.
Адвокатското дружество е изразило виждането си, че в съответствие с нормите на Директива95/46/ЕО (Директивата) и с оглед публикуваното от Работната група за защита на данните по чл.29 (Работната група) Становище8/2010 относно приложимото право (Становището), при така описания модел дейността на Дружеството няма да бъде предмет на българския Закон за защита на личните данни, съответно няма да е приложим чл.1. ал.4 от ЗЗЛД. Във връзка с така изразеното виждане относно неприложимостта на българският Закон за защита на личните данни са и изложените подробно аргументи от страна на адвокатското дружество в цитираното по-горе искане за изразяване на становище от страна на Комисията за защита на личните данни. Със същото адвокатско дружество „Б. и К.” АД се е обърнало към Комисията за защита на личните данни, за потвърждаване на това, че застъпеното от тях виждане относно третирането на дейността на Дружеството, съгласно ЗЗЛД и Директивата е правилно или съответно да получи аргументираното становище на КЗЛД по изложеният въпрос.
В искането в защита на изразените от страна на адвокатското дружество изводи, от същото са изложени следните аргументи:
1. Дружеството няма да бъде установено на територията на Република България.
Доколкото според Директивата „установяването на територията на държава-членка предполага ефективно и действително упражняване на дейност по силата на стабилни договорености (и че) правната форма на (..) установяване, независимо дали става дума за обикновен клон или дъщерно дружество с правосубектност не е решаващ фактор в това отношение" (съображение 19), адвокатското дружество е на мнение, че може да се направи извод, че е необходимо стабилно установяване на територията на Република България, за да бъде налице хипотезата на чл.1, ал.4, т.1 от ЗЗЛД. Уточнено е, че Работната група по член 29 посочва, че такова стабилно установяване не е задължително да бъде чрез клон, дъщерно дружество или друг подобен субект, а би могло да се осъществи например чрез служител или представител, който активно участва в дейностите, в чийто контекст се извършва обработването на лични данни. В тази връзка Работната група споделя мнението, че „Един сървър или един компютър е вероятно да не се определят като клон (установяване), тъй като те просто са техническо средство или инструмент за обработване на информация". Уточнено е, че клиентът на адвокатското дружество няма да разполага нито с персонал или представители, нито ще има клон или дъщерно дружество на територията на Република България, като единственото физическо присъствие ще бъде контролния локален сървър, която обаче следва да се разглежда като оборудване за съхранение на информация („средства" по смисъла на чл.1, ал.4, т.3 от ЗЗЛД), а не като средство за извършване на дейност. Както се посочи, никакви бизнес дейности или транзакции няма да се извършват на или посредством оборудването на контролния локален сървър.
Адвокатското дружество счита, че за да е налице установяване, чл.1. ал.4. т.1 от Директивата изисква не само обработване на лични данни на територията на страна членка, но и втори кумулативен критерий- това обработване на лични данни да е във връзка с дейността (бизнес операциите) на администратора в съответната държава членка, както и уточнява, че текстът на българския ЗЗЛД не транспонира изцяло съответния текст на Директивата, чийто чл.4. nap.1, т.а) посочва, че допълнителният критерий е: „обработването се извършва в контекста на дейностите" на стабилното установяване , а не във връзка с дейността на администратора изобщо (например дейността му извън съответната страна членка)". Посочено е, че във връзка с това Работната група по член29 достига до извод, че именно понятието „контекст на дейностите" е решаващо в определянето на приложимото право, а не просто местоположението на данните. Онлайн хазартната дейност има трансгранични измерения, но се извършва в контекста на дейността на организатор на онлайн хазартните игри (Дружество, учредено в друга страна членка, в конкретната хипотеза Малта) и чрез оборудване (ЦКС), разположено в друга страна членка.
2.В допълнение към горното изложение относно неприложимостта на чл.1. ал.4, т.1от ЗЗЛД към така описания сценарий, за изчерпателност на изложението адвокатското дружество счита, че следва да и е посочил, че чл.1, ал.4, т.2 не намира приложение, доколкото не съществуват норми на международното публично право, които да оправдаят прилагането на ЗЗЛД в тази хипотеза, а чл.1, ал.4, т.3 е неприложим, тъй като операторът на онлайн хазартни игри ще бъде установен на територията на държава членка на ЕС. В тази връзка е и отбелязано, че неприлагането на ЗЗЛД към бъдещата дейност на клиентът на адвокатското дружество няма да доведе по никакъв начин до по-ниско ниво на защита на личните данни на българските участници, след като Малта също е хармонизирала своето законодателство, съгласно изискванията на Директивата и обработването на лични данни се извършва под надзора на малтийския Комисар по информацията и защита на данните и неговата администрация.
3. В искането, като аргумент е посочено също, че чл.16, т.3 от Наредбата за документите, необходими за издаване на лицензи по Закона за хазарта и за даване на разрешения за извършване на промени в тях посочва, че за издаване на лиценз за организиране на хазартни игри от разстояние чрез електронни съобщителни средства се изисква и удостоверение за вписване в публичен регистър на администраторите на лични данни, издадено от Комисията за защита на личните данни. Във връзка с цитирания нормативен текст адвокатското дружество е изразило виждането си, че наличието на такава разпоредба само по себе си не може да има каквото и да е значение относно въпросът за приложимостта на българския ЗЗЛД към дейността на оператори, като Дружеството. Дали ЗЗЛД е приложим или не може да следва само от самите разпоредби на ЗЗЛД, както и че подзаконов нормативен акт в областта на хазартните регулации не може да самостоятелен източник на регулаторни задължения в областта на защита на личните данни или да изменя нормите на ЗЗЛД.
Изтъкнато е също, че съответният текст на чл.16, т.3 от Наредбата е съвсем общ и не взема предвид начина на осъществяване на дейността, който всъщност е определящ за приложимостта на нормите на ЗЗЛД. Ако съответният оператор, който кандидатства за лиценз е българско дружество и извършва дейността си изцяло чрез ЦКС и оборудване на територията на България, не може да има спор, че същият е предмет на правилата на ЗЗЛД, като в конкретната хипотеза и съобразно изложените аргументи различно е положението при бизнес модел, подобен на този на Дружеството– клиент на адвокатското дружество.
Също така в искането е посочено, че от чисто формална гледна точка, прави впечатление, че подобно изискване отсъства в чл.15, който регулира документите, необходими за издаването именно на лиценз за организиране на хазартни игри от разстояние чрез интернет, за какъвто става въпрос в настоящото запитване. По аргумент на противното може да се заключи, че законодателят е отчел спецификата на организиране на хазартни игри онлайн, при която необходимостта от лицензиране, съгласно Закона за хазарта, не е задължително обвързана с регистрация съгласно ЗЗЛД.
4. В искането е посочено също и това, че в чл.2, ал.4 от Наредба№1 от 27.02.2013г. за реда и начина за идентификация и регистрация на участниците, съхраняването на данни за организираните онлайн залагания на територията на Република България и за подаване на информация за хазартните игри към сървър на Държавната комисия по хазарта и Националната агенция за приходите предвижда изрично, че „Организаторите на хазартни игри трябва да са администратори на лични данни". Тази разпоредба адвокатското дружество счита, че също не може да е аргумент за приложимостта на ЗЗЛД и специално на изискването за местна регистрация. Посочено е, че несъмнено, Дружеството има качеството на администратор на лични данни по смисъла на ЗЗЛД и Директивата и именно поради това същото е регистрирано, като администратор в Република Малта. Съгласно правилата на Директивата за „разпределение" на юрисдикцията на страните членки по отношение на дейността на администраторите на лични данни на общия пазар имплементирани и в ЗЗЛД, по отношение на Дружеството като администратор на лични данни са приложими Малтийските закони. Както е посочено по-горе, ЗЗЛД не би могъл да намери приложение към обработването на лични данни от Дружеството, в качеството му на администратор на лични данни.
Законът за хазарта (ЗХ) урежда условията и реда за организиране на хазартни игри, организиране на дейностите по производство, разпространение и сервиз и по внос, разпространение и сервиз на игрално оборудване, както и издаване, продължаване, отнемане и прекратяване на лицензи за тези дейности и контрола върху тях. В чл.4, ал.1, т.1 е посочено, че хазартните игри и дейностите по този закон могат да се организират от търговски дружества, регистрирани в Република България или в друга държава- членка на Европейския съюз, в друга държава- страна по споразумението за Европейско икономическо пространство, или в Конфедерация Швейцария и отговарящи на всички изисквания на ЗХ.
В чл.6, ал.1 от ЗХ е посочено, че лиценз за организиране на онлайн залаганияможе да се издаде на лице по чл.4, ал.1, т.1 само при едновременното изпълнение на следните условия:
1. Липса на прилагани принудителни административни мерки по този закон или по отменения Закон за хазарта от 1999г.- в срок 5 години преди датата на подаване на искането за издаване на лиценз;
2. Комуникационното оборудване и централният пункт, в който се намира централната компютърна система на организатора, да са разположени на територията на Република България или на територията на друга държава- членка на Европейския съюз, на територията на друга държава- страна по Споразумението за Европейското икономическо пространство, или Конфедерация Швейцария;
3. Открита сметка за депозиране на залози и изплащане на печалби в банка, лицензирана в Република България, или в банка, лицензирана в друга държава- членка на Европейския съюз, в друга държава- страна по Споразумението за Европейското икономическо пространство, или в Конфедерация Швейцария, която извършва дейност на територията на Република България съгласно Закона за кредитните институции;
4.Централната компютърна система на организатора да има система за регистрация и идентификация на участниците в игрите, както и система за съхраняване и подаване в реално време към сървър на Националната агенция за приходите на информация за едновременните игрални сесии, направения залог от всеки участник и изплатената на всеки участник печалба. Централната компютърна система задължително трябва да осигурява онлайн регистрация на всяка транзакция в системата на Националната агенция за приходите по ред и начин, определени в наредба на министъра на финансите, след съгласуване с министъра на вътрешните работи;
5. Игралният софтуер, както и всяка нова версия на софтуера да са утвърдени от Държавната комисия по хазарта на база изпитвания, извършени от одобрена лаборатория по чл.22, ал.1, т.8 и при условия и по ред, определени в наредбата по чл.42, ал.2.
6. Наличие на упълномощен представител на дружеството по чл.4, ал.1, т.1, когато то е регистрирано в друга държава- членка на Европейския съюз, в друга държава- страна по Споразумението за Европейското икономическо пространство, или в Конфедерация Швейцария, с адрес на територията на Република България и с представителна власт в обем, който му позволява да сключва договори от името на чуждестранното лице и да го представлява пред държавните органи и съдилищата на Република България. Упълномощеният представител не може да бъде търговски представител по смисъла на глава шеста, раздел II от Търговския закон.
В искането е посочено, че адвокатско дружество „Б. и К.” АД разполагат със становище на НАП, в което, съгласно твърдяното в искането, НАП е изразил мнение, че съгласно така изложените основания контролният сървър сам по себе си (ако липсват други допълнителни обстоятелства на „установяване” в България) не представлява място на стопанска дейност за данъчни цели (т.е. установяване за данъчни цели). Посоченият документ не е приложен към искането за становище до КЗЛД.
Във връзка с изложените въпроси в настоящото искане следва да се има предвид, че Комисията за защита на личните данни е била сезирана по аналогичен казус с искане за изразяване на становище с вх.№ЗАП- 10/14.03.2013г. и се е произнесла с официално становище, съгласно което съответното дружество, извършващо дейност аналогична на по-горе посочената и регистрирано в държава членка на ЕС (също Малта), следва да подаде заявление за вписване в Регистъра на администраторите на лични данни и водените от тях регистри на лични данни, поддържан от КЗЛД, на основание чл.10, ал.1, т.2 от Закона за защита на личните данни.
С оглед изложените в искането аргументи и след експертен анализ на приложимото право, отчитайки обстоятелството, че към настоящия момент няма промяна в действащата нормативна база, регламентираща основополагащите правила в сферата на защита на личните данни, както и като се има предвид, че дружеството ще трябва да осигури съхраняването и предаването към компетентните българските органи на всички данни, свързани с предлагането на хазартни услуги на територията на Република България, чрез оборудване за съхранение на данни (контролен локален сървър), разположен на територията на страната, Комисията за защита на личните данни, на основание чл.10, ал.1, т.4 от ЗЗЛД, изразява следното
СТАНОВИЩЕ:
„Дружеството”, регистрирано в Малта като администратор на лични данни, следва да подаде заявление за вписване в Регистъра на администраторите на лични данни и водените от тях регистри на лични данни, поддържан от КЗЛД, на основание чл.10, ал.1, т.2 от Закона за защита на личните данни.
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: |
|
Венцислав Караджов /п/ |
Цанко Цолов /п/ |
