РЕШЕНИЕ
№ Ж-267/2015 г.
София, 17.11.2015 г.
Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев и Мария Матева на заседание, проведено на 14.10.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-267/17.07.2015г., подадена от Ю.Х.Р.-В.
Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).
Комисията за защита на личните данни е сезирана с жалба, подадена от Ю.Р.-В., в която са изложени твърдения за неправомерно обработване на личните й данни от администрацията на Стопански факултет към Т.У.- С.З.
Жалбоподателката информира, че на 14.06.2015г., по сигнал на нейна колежка, установила, че администрацията на Стопански факултет към Т.У.- С.З. неправомерно, без нейно знание и съгласие, е използвала личните й данни като образец за попълване на документи за записване на новоприети студенти. Твърди, че за целта са ксерокопирани документите, които е подала при записването й като студентка в университета. Г-жа В. допълва, че неправомерно са използвани трите й имена, снимка, единен граждански номер, подпис, адрес, телефонен номер, дата на издаване, сериен и регистрационен номер на дипломата й за завършено средно образование.
Жалбоподателката счита, че излагането на личните й данни на общодостъпно място и използването им за посочената цел е в нарушение на правата й по ЗЗЛД и моли Комисията за съдействие.
Към жалбата са приложени снимки на изложени в сградата на университета ксерокопия на документи съдържащи лични данни на жалбоподателката.
В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от Т.У.- С.З. са изискани писмени становища и представяне на относими доказателства.
В отговор от университета е изразено писмено становище с приложено към него копие на обяснение на г-жа Д.- ст. експерт по Учебната дейност в Стопански факултет на Т.У. и заповед №1489/07.07.2015г. на Ректора на Т.У.
От учебното заведение информират, че приемът на студенти във всички структурни звена на университета, включително и в Стопанския факултет на Т.У.- С.З., за учебната 2015/2016г. e започнал на 15.07.2015г. под контрола на назначена за целта комисия. Допълват, че на 15.07.2015г. Комисията е извършила проверка в учебните отдели на факултетите относно законосъобраното провеждане на приема на документи и записване на новоприети студенти, в хода на която в учебен отдел на Стопански факултет е констатирано поставяне на документи на студентката Ю.Х.Р., за образци при попълване на документи, които след проверката са незабавно замени с изготвени на ръка образци с фиктивни лични данни. От университета уведомяват, че за допуснатото нарушение ще бъде образувано дисциплинарно производство срещу виновните служители.
В хода на административното производство в Комисията за защита на личните данни са депозирани три писмени декларации с рег.№П-6117/27.07.2015г., П-6116/27.07.2015 г и П-6119/27.07.2015г., подадени съответно от Н.С.П., В.Я.В. и Т.Д.И. Лицата декларират, че на дати съответно 15.07.2015г., 22.07.2015г. и 14.07.2015г. установили, че на три места в сградата на университета- са поставени ксерокопирани документи подадени от Ю.Х.Р. за записването й като студентка по специалност „Бизнес икономика“ в Стопански факултет на Т.У.- С.З. Деклараторите допълват, че на документите ясно се виждат лични данни на Ю.Р., в това число три имена, адрес, единен граждански номер, номер на лична карта, телефон и информация за дипломата й за средно образование. Твърдят, че документите са приложени като образци за записване на новоприети студенти и уточняват, че ксерокопията са изложени на три места във фоайето на Учебен отдел на Стопански факултет към Т.У., а именно на маса за попълване на документи и на две табла.
Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.
За да упражни правомощията си, Комисията следва да бъде валидно сезирана.
Жалба №Ж-267/17.07.2015г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. Налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което жалбата е редовна.
Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет неправомерно обработване на личните данни на жалбоподателката– три имена, единен граждански номер, снимка, номер на лична карта, телефонен номер и адрес съдържащи се в подадени от нея документи за записването й като студентка в Стопански факултет към Т.У., чрез действия по разпространението им на публични места в сградата на Т.У.
С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, който съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.
Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимост на жалбата. В конкретния случай личните данни на жалбоподателката са обработени от администрацията на Стопански факултет към Т.У.- С.З. и предвид факта, че Стопанския факултет е структурно звено при Т.У.- С.З. се налага извода, че в конкретния случай администратор на лични данни е Т.У.- С.З.
От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че Т.У.– С.З. е изпълнил задължението си по чл.17, ал.1 от ЗЗЛД, подал е заявление за регистрация и е регистриран като администратор на лични данни с идент. №131430 и заявени 17 регистъра.
На проведено на 16.09.2015г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в административното производство са конституирани: жалбоподател– Ю.Х.Р.-В. и ответна страна –Т.У.- С.З., в качеството му на администратор на лични данни.
С оглед необходимостта от изясняване на случая от правна и фактическа страна от администратора на лични данни са изискани допълнителни доказателства и информация. В отговор е депозирано писмено становище с приложено към него заверено копие на Вътрешни правила за технически и организационни мерки и допустимия вид защита на личните данни в Т.У. гр. С.З. От учебното заведение твърдят, че на 15.07.2015г. образците на документи за записване на студенти за учебната 2015/2016г. съдържащи лични данни на жалбоподателката са подменени с други образци съдържащи фиктивни данни и в тази връзка молят Комисия да изиска писмени сведения за твърдяното обстоятелство от посочени в становището лица, алтернативно правят доказателствено искане за допускане до разпит на посочените лица.
На проведено на 14.10.2015г. заседание на КЗЛД, жалбата е разгледана по същество.
Жалбоподателката– редовно уведомена, не се явява, не се представлява.
Ответната страна- редовно уведомена, представлява се от адвокат К. от Адвокатска колегия С.З., която оспорва жалбата и моли Комисията да я остави без уважение, като неоснователна. Подробни съображения развива в представено по преписката писмено становище.
В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-267/17.07.2015г. е основателна.
Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.
Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД трите имена, единен граждански номер на физическото лице, снимка, адрес, телефонен номер и номер на лична карта безспорно имат качеството на лични данни. Разпространението и употребата на лични данни са действията по обработването им и следва да се осъществява при наличие на някое от условията за допустимост на обработването посочени в чл.4, ал.1 от ЗЗЛД, при спазване на принципите посочени в чл.2, ал.2 от ЗЗЛД, при предприети от администратора на лични данни необходими технически и организационни мерки, за защита на личните данни от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване (чл. 23, ал.1 от ЗЗЛД).
Страните не спорят, че Т.У.- С.З. съхранява лични данни на жалбоподателката в обем от три имена, единен граждански номер, адрес, телефонен номер, номер на лична карта, имейл адрес и снимка във връзка с възникнали между страните отношения свързани със записването и обучението на жалбоподателката като студентка в университета във връзка с което същата лично и доброволно е предоставила данните на учебното заведение.
От събраните по административната преписка доказателства, в това число и представените писмени декларации и изложените от страните твърдения, се установи, че личните данни на жалбоподателката, съдържащи се в подадените от нея документи при записване в Университета са обработени от администратора на лични данни чрез поставянето им на публично достъпни места в сграда на учебното заведение и същите в периода от 14.07.2015г. до 22.07.2015г. са били достъпни за неограничен брой лица, посетители на учебното заведение. Предвид обстоятелството, че спора е изяснен от фактическа страна Комисията оставя без уважение направените от ответната страна доказателствени искания. Страните не спорят, че документите, в които се съдържат данните на жалбоподателката са използвани и неправомерно обработени за цели различни от тези, за които са били събрани, а именно използвани са за образци при попълване на документи за записване на новоприети в Университета студенти за учебната 2015/2016г., в резултат на което личните данни на жалбоподателката са били достъпни за неограничен кръг от лица. Доколкото такова неправомерно обработване е осъществено, очевидно Т.У.– С.З., в качеството му на администратор на лични данни, не е предприел необходимите технически и организационни мерки, за да защити данните на жалбоподателката от неправомерен достъп и разпространение, или предприетите такива да явно недостатъчни, следователно не е изпълнил задължението си по чл.23, ал.1 от ЗЗЛД и са нарушени правата на физическото лице, сезирало КЗЛД.
В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираното нарушение налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението) е нецелесъобразно и мерките са неприложими в случая, предвид обстоятелството, че администраторът е предприел мерки и е отстранил допуснатото нарушение. В тази връзка налага на Т.У.- С.З., в качеството му на администратор на лични данни, административно наказание за нарушение на чл.23, ал.1 от ЗЗЛД, като счита, че същото ще има възпитателно въздействие и ще допринесе за спазване на установения правов ред.
При определяне размера на административното наказание Комисията съобрази, че нарушението е първо за администратора и са предприети действия за отстраняването му, с оглед което определя наказание в минимума предвиден в закона.
Госпожа Мария Матева- член на Комисията за защита на личните данни споделя извода за основателност на жалбата, но изразява особено мнение по отношение на наложеното административно наказание. Г-жа Матева счита за целесъобразно, предвид обстоятелствaтa, че нарушението е първо за администратора на лични данни и той самия е предприел действия за неговото отстраняване преди произнасянето на Комисията, на Т.У.- С.З. да бъде издадено задължително предписание за предприемане на необходимите технически и организационни мерки за защита на личните данни на физическите лица, с оглед бъдещата дейност на администратора.
Водима от горното и на основание чл.38, ал.2, във връзка с чл.10, ал.1, т.7 от Закона за защита на личните данни, Комисията за защита на личните данни
РЕШИ:
1. Обявява жалба рег.№Ж-267/17.07.2015г., подадена от Ю.Х.Р.-В. за основателна.
2. На основание чл.42, ал.9 от ЗЗЛД налага на Т.У.- С.З., с ЕИК ****** в качеството му на администратор на лични данни, административно наказание- имуществена санкция в размер на 500лв. (петстотин лева) за нарушение на чл.23, ал.1 от ЗЗЛД.
Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- София- град.
След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров" №2 или преведена по банков път:
БанкаБНБ- ЦУ
IBAN:BG18BNBG96613000158601
BICBNBGBGSD
Комисия за защита на личните данни, БУЛСТАТ130961721
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: |
|
Венцислав Караджов /п/ |
Цанко Цолов /п/ |
