Становище на Комисията за защита на личните данни №3987/24.10.2011г. относно предоставянето на лични данни на български граждани на администрацията на органите на управление във Федерална Република Германия

ОТНОСНО: Искане с рег. №3987/01.09.2011г. от за ръководителя на Дипломатическо бюро на Република България в гр. Бон, Федерална Република Германия, постъпилочрез дирекция „Консулски отношения” къмМинистерство на външните работи, за изразяване на становище от Комисията за защита на личните данни на основание чл.10, ал.1 т.4 от Закона за защита на личните данни (ЗЗЛД) относно предоставянето на лични данни на български граждани на администрацията на органите на управление във Федерална Република Германия

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове Красимир Димитров и Веселин Целков, на редовно заседание, проведено на 12.10.2011г. (Протокол № 42), разгледа искане с рег. №3987/01.09.2011г. от за ръководителя на Дипломатическо бюро на Република България в гр. Бон, Федерална Република Германия, чрез дирекция „Консулски отношения” къмМинистерство на външните работи, за изразяване на становище от Комисията за защита на личните данни на основание чл.10, ал.1 т.4 от Закона за защита на личните данни (ЗЗЛД) относно предоставянето на лични данни на български граждани на администрацията на органите на управление във Федерална Република Германия.

Съгласно изложеното в искането, във връзка с постоянно нарастващия брой на пребиваващите на територията на Федерална Република Германия български граждани и предоставянето на качествени и бързи консулски услуги от страна на Дипломатическото бюро в гр.Бон, при ежедневното сътрудничество с германските власти възниква необходимостта от предоставянето на лични данни на български граждани. Във връзка с това, в молбата до КЗЛД са поставени следните въпроси за изразяване на становище, а именно :

1. При предоставянето на лични данни на български граждани от ЕСГРАОН на заявилите искане чуждестранни органи на държава-член на Европейския съюз, приложим ли е чл.106, ал.2 от Закона за гражданската регистрация или същият се прилага само по отношение на чуждестранните представителства на третите държави, намиращи се на територията на Република България;

2. Кое е приложимото право, съответно какъв е редът за предоставяне на лични данни на български граждани от ЕСГРАОН на чуждестранни органи на държава-член на Европейския съюз чрез дипломатическите и консулските представителства на Република България;

3. Необходимо ли е разрешение от Комисията за защита на личните данни при предоставянето на лични данни на български граждани от ЕСГРАОН на чуждестранни органи на държава-член на Европейския съюз или същото се извършва без получаването на разрешение и по реда на чл.36а от Закона за защита на личните данни.

При анализа на изложеното в искането, се установи следното:

Съгласно чл.36а, ал.1 от Закона за защита на личните данни (ЗЗЛД), предоставянето на лични данни на държава – членка на Европейския съюз, както и в друга държава – членка на Европейското икономическо пространство, се извършва свободно при спазване изискванията на този закон.

По смисъла на чл.1, ал.3 от Закона за гражданската регистрация (ЗГР), гражданската регистрация включва съвкупност от данни за едно лице, които го отличават от другите лица в обществото и в семейството му в качеството му на носител на субективни права, като име, гражданство, семейно положение, родство, постоянен адрес и др. Гражданската регистрация е вписване на събитията раждане, брак и смърт в регистрите за гражданско състояние и вписване на лицата в регистрите на населението. Тази норма се отнася, както за всички български граждани, така и за чужденците, намиращи се на територията на Република България.

Единната система за гражданска регистрация и административно обслужване на населението (ЕСГРАОН) e национална система за гражданска регистрация на физическите лица в Република България и източник на лични данни за тях.

Функциите на ЕСГРАОН са:

1. създаване и поддържане на регистри на актове за гражданско състояние;

2. създаване и поддържане на Национален електронен регистър на актове за гражданско състояние;

3. създаване и поддържане на регистър на населението;

4. еталонодържател за уникалния административен идентификатор на физическите лица – ЕГН, и създаване и поддържане на регистъра на единните граждански номера;

5. създаване и поддържане на националния класификатор на настоящите и постоянните адреси в Република България;

6. осигуряване на информационно и административно обслужване на законодателната, изпълнителната и съдебната власт.

В чл.106 от Закона за гражданската регистрация е регламентиран редът за предоставяне на данни от ЕСГРАОН, а именно:

1. На българските и чуждестранните граждани, както и на лицата без гражданство, за които се отнасят, а също така и на трети лица, когато тези данни са от значение за възникване, съществуване, изменение или прекратяване на техни законни права и интереси;

2. На държавни органи и институции съобразно законоустановените им правомощия;

3. На български и чуждестранни юридически лица – въз основа на закон, акт на съдебната власт или разрешение на Комисията за защита на личните данни.

4. Предоставянето на данни от ЕСГРАОН на чуждестранни официални представителства в Република България се извършва чрез Министерството на външните работи съобразно ратифицираните от българската държава двустранни и многостранни международни договори и с разрешение на Комисията за защита на личните данни.

5. Длъжностните лица от общинските администрации, изпълняващи дейности по гражданската регистрация, както и консулските длъжностни лица в чужбина имат право на безвъзмезден достъп до данните в електронните регистри на национално ниво.

6. Условията за достъп и за предоставяне на данни от регистрите се определят със споразумение между министъра на регионалното развитие и благоустройството и потребителя по ред, определен в наредбата по чл. 113, ал. 1.

Действията по отношение на данните, свързани с гражданската регистрация на физическите лица, представляват „Обработване на лични данни”, съгласно определението, посочено в § 1, т.1 от Допълнителните разпоредби на ЗЗЛД. Това е всяко действие или съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване. Съгласно чл.5 от ЗГР, при гражданската регистрация на физическите лица в Република България се получават, обработват, съхраняват и предоставят лични данни, които определят тяхната самоличност, са свързани с родствените връзки между лицата по права линия от първа степен и по съребрена линия от втора степен, отразяват постоянния и настоящия адрес, отразяват степента и вида на образованието, показват наличието на правни ограничения. Средствата, чрез които се обработват данните от гражданската регистрация са посочени в чл.6 от ЗГР. Данните подлежат и на компютърна обработка. Те се съхраняват в документални и картотечни регистри и в автоматизирани информационни фондове.

Тъй като в случая необходимостта от обработване и предоставяне на лични данни на български граждани от страна на Дипломатическото бюро в Бон произтича от функциите на самото бюро, приложение следва да намерят съответните международноправни и националноправни актове, регламентиращи дипломатическата и консулската дейност.

Съгласно чл.5 от Виенската конвенция за консулските отношения,ратифицирана с Указ № 947 на Държавен съвет от 25.05.1989г. (ДВ бр.42/02.06.1989г.), в сила за България от 10.08.1989г., консулските функции се състоят в:

· Защита в приемащата държава на интересите на изпращащата държава и на нейните граждани, физически и юридически лица, в границите допускани от международното право;

· Съдействие за развиване на търговски, икономически, културни и научни връзки между изпращащата и приемащата държава, а също така и съдействие за развиване по друг начин на приятелски отношения между тях в съответствие с тази конвенция;

· Издаване на паспорти и документи за пътуване на граждани на изпращащата държава, както и на визи и съответни документи на лица, желаещи да посетят изпращащата държава;

· Оказване на помощ и съдействие на граждани, физически и юридически лица, на изпращащата държава;

· Изясняване с всички законни средства на условията и развитието на търговския, икономическия, културния и научния живот в приемащата държава, съобщаване за тях на правителството на изпращащата държава и предоставяне на сведения на заинтересованите лица;

· Изпълняване на функции на нотариус, длъжностно лице по гражданско състояние и на други подобни функции, а също така изпълняване на някои функции от административен характер при условие, че това не противоречи на законите и правилниците на приемащата държава.

Съгласно чл. 2 – чл.3 от Закона за дипломатическата служба, дипломатическата служба е специализирана държавна администрация под ръководството на министъра на външните работи, която включва Министерството на външните работи и задграничните представителства на Република България като негови структурни звена. Дипломатическата служба е специален вид държавна служба за осъществяване на външната политика и международните отношения на Република България. Целта на дипломатическата служба е да защитава правата и интересите на Република България в международните отношения, както и на българските граждани и българските юридически лица в чужбина в съответствие с принципите и нормите на международното право. Задграничното представителство на Република България е териториално структурно звено на Министерството на външните работи, което осъществява дипломатическа и/или консулска дейност в друга държава или при международни правителствени организации. Задгранични представителства са: 1. посолствата; 2. постоянните представителства и постоянните делегации при международните правителствени организации; 3. генералните консулства, консулствата, вицеконсулствата и консулските агентства; 4. дипломатическите бюра и бюрата за връзка; 5. специалните мисии по смисъла на Конвенцията за специалните мисии, приета от ОС на ООН на 8 декември 1969 г. Откриването, определянето на вида и закриването на задграничните представителства се извършва от Министерския съвет по предложение на министъра на външните работи (чл.21, ал.1 от Закона за дипломатическата служба).

Във връзка с обработването на лични данни на български граждани, Министерството на външните работи на Република България се явява администратор на лични данни, а Дипломатическото бюро на Република България в гр. Бон, Федерална Република Германия – обработващ лични данни. Във връзка с това, отношенията между администратора (Министерство на външните работи на Република България) и обработващия лични данни (Дипломатическото бюро на Република България в гр.Бон, ФРГ) са уредени с нормативен акт ( Закона за дипломатическата служба) по смисъла на чл.24, ал.4 от Закона за защита на личните данни. Следва да се има предвид, че обработващият лични данни, както и всяко лице, действащо под ръководството на администратора или обработващия, което има достъп до лични данни, може да ги обработва само по указание на администратора, освен ако в закон не е предвидено друго. При извършена служебна справка в Регистъра на администраторите на лични данни и водените от тях регистри на лични данни бе установено, че Министерството на външните работи на Република България е вписано като администратор на лични данни с идентификационен номер 53271, като е заявило поддържането на 6 регистъра. Относим към предмета на искането е регистър „Консулски отношения”. В него изчерпателно са описани всички категории данни, които обработват консулските длъжностни лица относно български и чуждестранни граждани, като в т.7 , раздел VII „Категории получатели, на които данните могат да бъдат разкривани” е заявено предоставянето на лични данни на чуждестранни физически или юридически лица, или държавни органи извън територията на Република България в рамките на Европейския съюз.

Поради това, че в случая става въпрос за лични данни на български граждани на територията на ФРГ, следва да бъдат отчетени и разпоредбите на Закона за българите, живеещи извън Република България. На основание чл.5, ал.1 от цитирания закон, българите, живеещи извън границите на Република България, се ползват с право на закрила от страна на българската държава, която в съответствие с принципите на международното право и международните договори, защитава техните права и законни интереси.

Във връзка с предмета на искането за предоставяне на данни на български граждани от Дипломатическото бюро на Република България в гр.Бон към Министерството на външните работи на администрацията на органите на управление на Федерална Република Германия, намират приложение разпоредбите на чл.4, ал.1 от ЗЗЛД, тъй като в съответствие с посоченото по-горе определение за „Обработване на лични данни”, предоставянето на данни от гражданската регистрация представлява действие по обработване чрез предоставяне на данните.

Съгласно чл.4 от Закона за защита на личните данни,обработването на лични данни е допустимо само в случаите, когато е налице поне едно от следните условия:

1.обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни;

2. физическото лице, за което се отнасят данните, е дало изрично своето съгласие;

3. обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане;

4. обработването е необходимо, за да се защитят животът и здравето на физическото лице, за което се отнасят данните;

5. обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес;

6. обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните;

7. обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните.

На основание изложеното, се налага изводът, че консулските длъжностни лица имат нормативно установени задължения спрямо гражданите на изпращащата държава на територията на приемащата държава, както и права: свободно да влизат във връзка с тях и да ги посещават и други, които не се забраняват от законите и правилниците на приемащата държава или за изпълнението, на които приемащата държава не се противопоставя. В конкретния случай, ръководителят на Дипломатическото бюро на Република България в гр. Бон, Федерална Република Германия в изпълнение на своите функции, описани по-горе, осъществява обработване на лични данни на български граждани, пребиваващи на територията на Федерална Република Германия. Що се отнася до предоставянето на тези данни на органите на управление на Федерална Република Германия, по отношение законосъобразните условия за обработване на лични данни, може да се приеме, че в конкретния казус намират приложение разпоредбите на чл.4, ал.1, т.2 – физическото лице, за което се отнасят данните, е дало изрично своето съгласие, т.6 – обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните, т.7 – обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данни, от Закона за защита на личните данни.

Относно приложението на чл.106, ал.2 от Закона за гражданската регистрация: В тази разпоредба е разписано, че предоставянето на данни от ЕСГРАОН на чуждестранни официални представителства в Република България се извършва чрез Министерство на външните работи съобразно ратифицираните от българската държава двустранни и многостранни международни договори и с разрешение на Комисията за защита на личните данни. В тази връзка, нормата не е приложима за органи на друга държава (вкл. държава – член на Европейския съюз/Европейското икономическо пространство), установени извън територията на Република България, в конкретния случай – за органите на управление на Федерална Република Германия. В този случай намира приложение разпоредбата на чл.106, ал.1, т.2 – държавни органи и институции съобразно законоустановените им правомощия и т.3 – български и чуждестранни юридически лица – въз основа на закон, акт на съдебната власт или разрешение на Комисията за защита на личните данни от Закона за гражданската регистрация, тъй като може да се предположи, че администрацията на органите на управление на ФРГ попада в понятието държавен орган със законоустновени правомощия съгласно националното си законодателство, а в определени случаи и – чуждестранно юридическо лице.

Съгласно чл.36а, ал.1 от Закона за защита на личните данни, предоставянето на лични данни в държава-членка на Европейския съюз, както и в държава-членка на Европейското икономическо пространство, се извършва свободно при спазване изискванията на закона. Тази разпоредба е относима към изложения в искането казус, тъй като Федерална Република Германия е член на Европейския съюз. На практика това означава, че не се изисква разрешение от КЗЛД за всеки конкретен случай на предоставяне на данни.

Що се отнася до запитването какъв е реда за предоставяне на данните, то следва да се има предвид, че в Закона за защита на личните данни липсват конкретни изисквания в тази връзка. Доколкото предоставянето на данни съгласно §1, т.5 от Допълнителните разпоредби на ЗЗЛД представлява действия по цялостно или частично пренасяне на лични данни от един администратор към друг или към трето лице на територията на страната или извън нея, то това, което администраторът следва да предприеме в този случай е да приложи подходящи технически и организационни мерки за защита на данните. Конкретната преценка за това какви мерки следва да бъдат предприети е на самия администратор съгласно чл. 23 от ЗЗЛД. Това, което задължително следва да е налице обаче, е поне едно от основанията/условията за допустимост на обработването под формата на предоставяне на данните съгласно чл. 4, ал.1 от Закона за защита на личните данни.

Следва да има предвид, че Законът за гражданската регистрация е специален по отношение на Закона за защита на личните данни относно предоставянето на достъп до данни в ЕСГРАОН. В досегашнатапрактика, КЗЛД не е била сезирана принципно по отношение предоставянето на лични данни на български граждани от ЕСГРАОН на чуждестранни държавни органи и институции, какъвто е настоящия казус, а само по конкретни поводи. Становищата на КЗЛД за предоставяне на лични данни на български граждани от ЕСГРАОН досега са обосновани от разпоредбата на чл.36а, ал.1 от Закона за защита на личните данни за свободно движение на лични данни, като е препращано към отговорността на администратора на лични данни сам да преценява във всеки конкретен случай необходимостта и наличието на условие за допустимост на обработването на данните. С оглед защитата на конституционно признатите права на личността и гарантиране на неприкосновеността на личността и личния живот, преди евентуалното предоставяне на лични данни на физическите лица-български граждани трябва да бъде поискано предоставяне на доказателства от съответните чуждестранните държавни органи, в конкретния случай от органите във ФРГ. Предоставянето на данните се извършва свободно съгласно чл.36а, ал.1 от Закона за защита на личните данни, като преценката относно начина, по който ще бъде оформена и изпратена исканата информация, касаеща български граждани, на чуждестранни държавни органи, както и предприетите технически и организационни мерки за сигурност на информацията при осъществяване на нейното предоставяне (трансфер), са изцяло в задължение и отговорност на администратора, предоставящ данните.

Във връзка с естеството на искането, съществува правна възможност български граждани при реализиране на техни права, в определени случаи да са съгласни личните им данни да бъдат предоставяни на чуждестранни органи, институции или чуждестранни юридически лица (напр. за упражняване на техни права), но при установяване на задължения, нарушения, санкции, глоби и др., да не са съгласни с предоставянето на техни лични данни. При наличие на втората хипотеза, с оглед целта на дипломатическата служба да защитава правата и интересите на Република България в международните отношения, както и на българските граждани и българските юридически лица в чужбина в съответствие с принципите и нормите на международното право, е целесъобразно преценката относно това дали следва да бъдат предоставяни данните или не, да се прави във всеки конкретен случай, на базата на разрешение или становище на КЗЛД.

Що се отнася до наличието на съгласие от страна на физическите лица, чиито данни евентуално ще се предоставят на органите във ФРГ, следва да се има предвид, че съгласно §1, т.13 от допълнителните разпоредби на ЗЗЛД, "Съгласие на физическото лице" е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани. Съгласието следва да е налице по отношение на целите на обработване на данните в конкретния случай, получателите иликатегориите получатели, на които могат да бъдат разкрити данните; задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им. Във всички случаи на лицата следва да е предоставена информация за правото на достъп и правото на коригиране, заличаване или блокиране на събраните данни, както и правото на възражение срещу обработването на личните им данни, при наличие на законово основание за това.

Във връзка с горното и на основание чл. 10, ал. 1, т.4 от Закона за защита на личните данни във връзка с чл.5 и чл.36 от Виенската конвенция за консулските отношения (ратифицирана с Указ № 947 на Държавен съвет от 25.05.1989г., в сила за България от 10.08.1989г.) и чл.4 , ал. 1, т.2, т.6и т.7 от Закона за защита на личните данни, Комисията за защита на личните данни изразява следното

1. На основание чл.51, ал.1 от Закона за нормативните актове, задължително тълкуване на нормативен акт дава само органът, който е издал акта.

2. Разпоредбата на чл.106, ал.2 от Закона за гражданската регистрация не е приложима за органи на друга държава (вкл. държава – член на Европейския съюз/Европейското икономическо пространство), установени извън територията на Република България, в конкретния случай – за органите на управление на Федерална Република Германия.

3. Предоставянето на лични данни от Дипломатическо бюро на Република България в гр.Бон, Федерална Република Германия към Министерството на външните работи на администрацията на органите на управление на Федерална Република Германия се извършва свободно съгласно чл.36а, ал.1 от Закона за защита на личните данни при наличие на едно от условията за допустимост на обработването на данни съгласно чл.4, ал.1 от ЗЗЛД, след доказване наличие на законен интерес от страна на чуждестранния държавен орган, на който се разкриват данните, като преценката относно начина, по който ще бъде оформена и изпратена исканата информация, както и предприетите технически и организационни мерки за сигурност на информацията при осъществяване на нейното предоставяне, са отговорност на самото дипломатическо бюро. Доколкото става въпрос за предоставяне на данни от администратори, респ. обработващ, по отношение на които намира приложение българският закон за защита на личните данни, то приложимото право е българското. Поради това, че в Закона за защита на личните данни (ЗЗЛД) няма разписани конкретни изисквания по отношение реда, по който следва да бъдат предоставени данните в този случай, предаването следва да става съобразно разпоредбите на чл.23 от ЗЗЛД.

4. Когато предоставянето на данни по т.3 е обусловено от необходимостта от предоставяне на услуги по инициатива или за нуждите на самите български граждани, предоставянето винаги е свободно при наличие на изрично и недвусмисленосъгласие от страна на самите физически лица – български граждани.

5. Комисията за защита на личните данни следва да бъде сезирана на основание чл.106, ал.1, т.3 от Закона за гражданската регистрация във всички случаи, когато липсва изрично съгласие от страна на български граждани, техните лични данни да бъдат предоставени на чуждестранни държавни органи и институции, както и на чуждестранни юридически лица с цел гарантиране на неприкосновеността на личността и защитата на личните данни на физическите лица.