Становище на КЗЛД относно обработване на лични данни в контекста на прилагането на чл. 111 от Закона за горите

СТАНОВИЩЕ
НА
КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД-01-109/2023 г.
гр. София, 22.01.2024 г.

ОТНОСНО: Обработване на лични данни в контекста на прилагането на чл. 111 от Закона за горите

Комисията за защита на личните данни (КЗЛД) в състав – председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков, на свое редовно заседание, проведено на 17.01.2024 г., разгледа писмо с вх. № ПНМД-01-109/28.11.2023 г. от кмета на Столична община. Кметът моли, на основание чл. 58, пар. 3, б. „б“ от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) във връзка с чл. 51, т. 2 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), КЗЛД да изрази становище по въпроси, свързани със защита на личните данни в контекста на прилагането на изискванията по чл. 111 от Закона за горите (ЗГ). Той счита, че въпросите са от значение за всички общини и унифицираното прилагане на изискванията за защита на личните данни ще гарантира яснота и предвидимост за общините като администратори на лични данни.

В писмото се посочва, че обявената през 2023 г. нова законова уредба на ползването на дървесина от горските територии в чл. 111 от ЗГ предвижда следните хипотези за обработване на лични данни:

• • По чл. 111, ал. 6 от ЗГ е предвидено включване в списък, изготвен от кмета/кметския наместник, на физически лица, които имат право на закупуване на дървесина по ал. 2, т. 2, а именно физически лица, представители на едно домакинство, с постоянен или настоящ адрес в съответното населено място. За изготвянето на списъка общинските администрации провеждат ежегодно информационна кампания в населените места. Включването в този списък следва да става доброволно от правоимащите физически лица, чрез подаване на заявление по чл. 111, ал. 7 от ЗГ до кмета/кметския наместник в периода от 1 февруари до 31 март. В това заявление физическото лице следва да бъде идентифицирано, като по този начин също ще се обработват лични данни. Пропорционално на целта да се установи, че заявлението се подава от правоимащо лице, е да се съдържат данни за имената, постоянен и настоящ адрес (поне единият трябва да бъде в съответното населено място), за количествата. За да се гарантира точността на обработваните лични данни и да се прегради възможността за заявяване на дървесина от друго лице, което знае името и адреса на правоимащо лице, би било целесъобразно да се изисква и проверима от администратора информация, която да идентифицира физическото лице, каквито в случая ще са ЕГН/ЛНЧ и подпис. В този контекст в целесъобразно да бъдат дефинирани данните, които ще се съдържат в заявлението за закупуване на дървесина, като образецът на заявлението да бъде оповестен в рамките на информационната кампания. Изискването на данни за имената, адреса, ЕГН/ЛЧН, заявените количества и подписа на лицето от общината намират за съответно на целите на закона и основаващо се на принципа за свеждане на данните до минимум. В писмото се изразява мнение, че становището на Комисията за защита на личните данни относно необходимите данни, които следва да се съдържат в заявлението, би способствало за ефективното изпълнение на задълженията по ЗГ и спазването на принципите на Регламент (ЕС) 2016/679.
  • По чл. 111, ал. 8 от ЗГ е посочено, че списъкът по чл. 6 следва да бъде обявен на видно място в сградата на съответната община, район, кметство или населено място и да се публикува на интернет страницата им и да се предаде на съответната общинска горска структура по чл. 181, ал. 1, т. 1 от Закона за горите. Видно от разпоредбата, с нея се изисква предоставяне на публичност по отношение на списъка – чрез поставяне на видно място и публикуване на интернет страницата. Макар да не е посочено изрично, спазването на принципа „свеждане на данните до минимум“, който произтича пряко от чл. 5, пар. 1, б. „в“ от Регламента (ЕС) 2016/679, изисква да се прецени внимателно какъв да е обхватът на данните в списъка, който да се оповестява публично, като личните данни в него бъдат сведени до минимум. В тази връзка се поставя въпросът допустимо ли е като мярка за защита на физическите лица да се инициализират имената им, данните за адрес да останат само с посочване на населеното място, но да останат заявените количества дървесина? Мотивите в писмото сочат, че становището на надзорния орган как да бъдат балансирани защитата на личните данни и публичния достъп до официални документи би способствало не само защитата на данните, но и обществения достъп до информация, какъвто законът изисква.
  • По чл. 111, ал. 9 от ЗГ се изисква общинската горска структура да извърши проверка на списъка по ал. 6 в срок до 15 април и при необходимост да приема заявления за изменения и допълнения в него. В тази връзка предаването на списъка по ал. 6 на съответната общинска горска структура следва да стане с данните в тяхната цялост, тъй като те биха били необходими за изпълнение на предвидените задължения. Изразява се позиция, че на този етап от дейността от значение ще бъдат мерките, с които ще се гарантира точност на обработването на личните данни и даване на възможност за прием на заявления за изменения и допълнения. Отчитането на тези правила в рамките на информационната кампания би спомогнало да бъдат гарантирани правата на субектите на данни, в частност правото на коригиране. Следва да се има предвид и обстоятелството, че след изтичане на срока ръководителят на общинската горска структура изпраща списъка до директора на съответното държавно горско стопанство, държавно ловно стопанство или учебно-опитно горско стопанство, където списъкът също може да бъде допълван при условията на чл. 111, ал. 10, изр. 1 от ЗГ.
  • По чл. 111, ал. 10, изр. 2 от ЗГ се изисква публикуване на окончателния списък по населени места на интернет страницата на съответното държавно горско стопанство, държавно или ловно стопанство или учебно-опитно горско стопанство и се изпраща на кмета на съответната община за изпълнение. От Столична община поставят въпроса с какво съдържание при публикуването следва да бъде окончателният списък, тъй като чл. 111, ал. 11 от ЗГ позволява на лицата, които отговарят на изискванията по ал. 6, но не са включени в списъка по ал. 10, при наличие на останали количества дървесина от определените по реда на ал. 4, да могат да подадат до кмета/кметския заместник заявления за включване в списъка не по-късно от 31 август. Публикуваният окончателен списък по ал. 10 се актуализира с постъпилите заявления по реда на ал. 8 – 10. Поставя се въпросът: Предвид тази уредба инициализирането на имената на лицата може ли да способства те да установят дали са включени в списъка и дали могат да се възползват от правната възможност по чл. 111, ал. 11 или е необходимо да се представят поне частично имената на лицата, например собствено име и инициали на бащиното и фамилното име?
  • По чл. 111, ал. 21 от ЗГ общините, държавните предприятия по чл. 163 и учебно-опитните горски стопанства създават и поддържат на интернет страниците си публични електронни регистри на подадените заявления по чл. 7 по населени места, които съдържат актуална информация за етапа на изпълнението им. Регистрите се водят по начин, който гарантира сигурността на съдържащите се в тях данни. На контролните органи по ЗГ се осигурява достъп до регистрите за осъществяване на правомощията им. Законодателната уредба също поставя въпроси относно съдържанието на регистъра и то като се отчита, че на публикуване подлежат и самите списъци. В тази връзка се поставя въпросът: съдържанието на регистъра, което отразява информация за населеното място, номера по списъка и етапа на изпълнение, би ли свело данните до минимум и би ли изпълнило нормативните изисквания за публичност при балансиране със защитата на личните данни?

Кметът на Столична община изразява мнение, че изясняването на горните въпроси от страна на Комисията за защита на личните данни ще позволи намирането на баланса между защитата на неприкосновеността на личния живот и личните данни на всеки етап от тяхното обработване и справедливото ползване на дървесина за лична употреба от държавни или общински гори без право на продажба. Изразена е и увереност, че както и досега, становищата на надзорния орган допринасят не само за информираността на обществеността по въпросите на защитата на личните данни, но и способстват за практическото прилагане на правото на защитата на личните данни, като основно право в Европейския съюз.

Правен анализ:

С последните изменения и допълнения на чл. 111 от ЗГ, въвеждащ правила за ползване на дървесина, се регламентира процедура, съгласно която правоимащите лица се включват в списък, изготвен от кмета, съответно от кметския наместник, на населеното място. Доколкото разпоредбата на чл. 111 от ЗГ не определя изрично категориите лични данни, които трябва да се събират чрез заявлението от правоимащите лица, от Столична община са извършили анализ, при който по балансиран начин са отчетени принципите за необходимост и пропорционалност при обработването на лични данни за постигането на законовата цел – осигуряване на публичност, прозрачност и защита на обществения интерес при ползването на дървесина. В този контекст, при анализа искателят правилно достига до строго необходимия минимум от данни за физическите лица, които следва да бъдат включени в заявлението, а именно:

• • име на правоимащото лице – заявител;
  • ЕГН/ЛНЧ;
  • постоянен и настоящ адрес (поне единият трябва да бъде в съответното населено място);
  • количествата заявена дървесина;
  • подпис.

При небоходимост, чрез заявлението могат да се събират и данни за контакт (напр. телелефонен номер и/или имейл адрес), като в същото се посочи, че предоставянето им е доброволно (незадължително).

Публикуването на списъците, изготвени на база подадените заявления, представлява отделна съвместима операция по обработване на лични данни, която се извършва на основание чл. 6, пар. 1, б. „в“ от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД), а именно: изпълнение на законово задължение за определен в ЗГ кръг от лица, имащи качеството на администратори на лични данни. Независимо от това, че е налице законово задължение за обявяване на публични места и публикуване в интернет на въпросните списъци, следва да се предприемат и подходящи технически и организационни мерки за балансирана защита на правата и свободите на субектите на данни. Това става чрез ефективното прилагане на принципите за обработване на лични данни, прогласени в чл. 5 от ОРЗД, в частност на принципа за свеждане на данните до минимум, съгласно който личните данни трябва да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват. Постигането на законовата цел – осигуряване на публичност, прозрачност и защита на обществения интерес при ползването на дървесина, може да се реализира, като при обявяването/публикуването на списъците, данните на заявителите се ограничат допълнително с цел да се гарантират техните права и свободи, напр. да не станат обект на злоупотреба и пр.

Като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, се стига до извода, че данните могат да се сведат до:

• • собствено и фамилно име на правоимащото лице – заявител;
  • постоянния и настоящия адрес на заявителя, като се посочва (визуализира) единствено населеното място;
  • количествата заявена дървесина.

Обявяването/публикуването на ЕГН/ЛНЧ, подписа и данните за контакт със заявителя е недопустимо. Тези лични данни не са необходими за постигането на преследваната от ЗГ цел.

Този подход за ограничаване на данните трябва да се прилага за всички официални документи по смисъла на чл. 111, които подлежат на обявяване/публикуване, а именно списъците, заявленията (ако такива се публикуват) и регистрите на заявленията, съдържащи статуса на изпълнението.

По тези съображения и на основание чл. 58, пар. 3, б. „б“ от Регламент (ЕС) 2016/679 във вр. с чл. 10а, ал. 1 от Закона за защита на личните данни и чл. 51, т. 2 от Правилника за дейността на КЗЛД и на нейната администрация, Комисията за защита на личните данни изразява следното

СТАНОВИЩЕ:

1. За целите на изпълнение на задължението си за изготвяне на ежегодните списъци по чл. 111, ал. 6 от ЗГ, кметовете, съответно кметските наместници, чрез изготвени от тях образци на заявления, могат да събират следните категории данни за лицата, имащи право да ползват дървесина: име на правоимащото лице – заявител, постоянен и настоящ адрес, количествата заявена дървесина, ЕГН/ЛНЧ и подпис. При небоходимост, чрез заявлението могат да се събират и данни за контакт (напр. телелефонен номер и/или имейл адрес), като в същото е посочено, че предоставянето им е доброволно (незадължително).
2. При обявяването на видни места и публикуването в интернет на ежегодните списъци, заявленията (ако такива се публикуват) и регистрите на заявленията, съдържащи статуса на изпълнението, следва да се публикуват само следните данни: собствено и фамилно име на правоимащото лице – заявител, постоянния и настоящия му адрес, като се посочва единствено населеното място, количествата заявена дървесина и актуална информация за етапа на изпълнението на заявеното количество дървесина. Обявяването/публикуването на ЕГН/ЛНЧ, подписа и данните за контакт със заявителя е недопустимо.
3. Провеждащата се ежегодно от общинските администрации информационна кампания за изготвянето на списъците по чл. 111, ал. 6 от ЗГ може да се ползва и за предоставянето на информацията относно обработването на личните данни на заявителите съгласно изискванията на чл. 12 и чл. 13 от Регламент (ЕС) 2016/679. Тази информация следва да бъде предоставяна на обществеността както чрез интернет страниците на общините, така и чрез обявяването ѝ на информациони табла и/или чрез други информационно-разяснителни материали (напр. брошури).