РЕШЕНИЕ
№ 8947/28.07.2010 г.
Комисията за защита на личните данни (КЗЛД) в състав: Председател Венета Шопова и членове: Красимир Димитров, Валентин Енев,Мария Матева и Веселин Целков на открито заседание, проведено на 28.07.2010 г., на основание чл. 10 ал. 1 т. 7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба с рег. № 8947/05.07.2010 г., подадена от С.Т.С. срещу „М.” ООД.
Административното производство е образувано по реда на чл.38 от Закона за защита на личните данни.
Жалбоподателят сезира Комисията с оплакване, че на 03.02.2010г. разбрал, че бившият му работодател фирма „М.” ООД е разпространил негови лични данни (три имена и единен граждански номер) на голям брой лица чрез изпращане на писма по електронната поща и факсове. Жалбоподателят твърди, че личните му данни са разпространени без неговото съгласие. Управителят на фирмата е разпоредил на служител от офиса в гр. Б., да разпрати писмата до клиенти на дружеството, които съдържат данните на господин С.
Жалбоподателят иска от Комисията, да бъде извършена проверка и да бъде прекратено разпространението на личните му данни.
Жалбоподателят твърди, че е подал жалба до КЗЛД на 23.02.2010г., като е приложил известие за доставка (обратна разписка) и към момента на подаване на втората жалба не е получил отговор от Комисията.
Към жалбата е приложено като доказателство, уведомително писмо от фирма „М.” с дата 26.01.2010г.
В хода на административното производство, Комисията установи, че е сезирана с жалба рег.№5682/2010г. от Б.Н.Н. По жалбата е постановено решение №5682/26.05.2010г. на КЗЛД, с което е уважена жалбата на Б.Н. и на „М.” ООД е наложено административно наказание – имуществена санкция в размер на 15 000 лв. за нарушаване на чл.2, ал.2, т.3 от ЗЗЛД.
Комисията констатира, че към административна преписка рег.№5682/01.03.2010г., „М.” ООД е представил като доказателства: трудов договор от 29.05.2008г. между С.Т.С. и „М.” ООД, заповед от 22.01.2010г. за прекратяване на трудовото правоотношение със С.Т.С. , считано от 27.01.2010г. и справка от НАП за С.Т.С. КЗЛД присъединява цитираните доказателства към административна преписка рег.№8947/05.07.2010г. Присъединява и всички останали доказателства, които са относими към настоящето производство.
На основание чл.36, ал.2 от Административно-процесуалния кодекс е изискано становището на „М.” ООД.
На 03.08.2010г. в КЗЛД е постъпило писмено становище от „М.” ООД, в което се посочва, че твърденията на жалбоподателят са неверни. Управителят на „М.” ООД заявява, че не е давал указания на управител на клона на фирмата в гр. Б., инж. Д. А., да разпространява чрез уведомителното писмо личните данни на жалбоподателя. Управителят на клона на дружеството по собствена инициатива е предприел действията по уведомяване на клиентите на фирмата, за прекратеното трудово правоотношение с жалбоподателя. Уточнява се, че офиса на фирмата в гр. Б., няма статут на клон на дружеството, поради което управителят няма оперативна самостоятелност и не може да го представлява, съгласно разпоредбата на чл.141, ал.2 от Търговския закон (ТЗ). В тази връзка се излагат мотиви, че действията по разпространяване на личните данни на господин С. , макар и привидно да са извършени от името на дружеството, не могат да бъдат свързани с него. В становището се твърди още, че С.Т.С. е знаел за намерението на управителя на офиса на фирмата в гр. Б., да разпространи свързаните с него лични данни, даже е бил запознат със съдържанието на разпратеното уведомително писмо от 26.01.2010г. Към становището на ответната страна са приложени обяснения от инж. Д.А.
За да се произнесе по жалба, рег. № 8947/05.07.2010 г., подадена от С.Т.С. срещу „М.” ООД, Комисията за защита на личните данни взе предвид следното:
Жалбата е подадена в срок, от надлежна страна, при наличие на правен интерес. С решение на Комисията за защита на личните данни, прието на заседание, проведено на 14.07.2010г. жалбата е обявена за процесуално допустима.
На откритото заседание, насрочено за 28.07.2010г. за разглеждане на жалбата по същество, страните са редовно и своевременно уведомени по реда на АПК. Жалбоподателят не се явява и не се представлява. Ответната страна се представлява от адвокат Г.Г., надлежно упълномощена от управителя на дружеството.
Процесуалният представител на ответната страна на откритото заседание изразява становище за недопустимост на жалбата, като моли КЗЛД да я остави без разглеждане и прекрати административното производство. Мотивите за недопустимостта на жалбата са, че административния орган се е произнесъл с решение №5682/26.05.2010г. по жалба от Б.Н., но в диспозитива се е произнесъл и по отношение на С.Т.С. Адвокат Г. моли да бъдат присъдени направените от доверителите й разноски във връзка с административното производство.
Алтернативно, адвокат Г. изразява мнение за неоснователност на жалбата.
От събраните в производството писмени доказателства, Комисията намира за установено следното:
Жалбоподателят е сключил трудов договор на 29.05.2008г. с „М.” ООД. Със заповед от 22.01.2010г. трудовото му правоотношение е прекратено, считано от 27.01.2010г.
Към жалбата е представено уведомително писмо от името на „М.” с дата 26.01.2010г. без определен конкретен адресат. Писмото е подписано и подпечатано с печата на фирмата. С писмото се уведомяват клиентите на дружеството, че лицето С.Т.С. е освободен от работа и считано от датата на освобождаването му, действията му по никакъв начин не могат да се обвързват с дейността на фирмата. В уведомителното писмо, жалбоподателят е идентифициран, както с посочване на трите му имена, така и с изписване на единния му граждански номер. Информацията, която се съдържа в писмото, представлява лични данни по смисъла на чл.2, ал.1 от ЗЗЛД.
„М.” ООД е администратор на лични данни по смисъла на чл.3 от Закона за защита на личните данни. Администраторът е заявил пред Комисията, че води един регистър с наименование „трудови досиета”. Посоченото нормативно основание, на което се обработват данните е Кодекса на труда, Кодекса за социално осигуряване и Закона за здравното осигуряване.
Комисията не споделя мотивите на ответната страна, изразени в писменото й становище от 03.08.2010г., че управителите на дружеството не са давали указание за разпространяване на личните данни на бивши служители и предприетите действия от управителя на офиса в гр. Б., по изготвяне и изпращане на клиентите на фирмата на уведомителното писмо, не могат да се обвържат с “М.” ООД. В становището е уточнено, че офиса на фирмата в гр. Б. няма статут на клон на дружеството и не представлява самостоятелен търговски субект. При извършена служебна справка в Търговския регистър, Комисията установи, че няма вписан клон, съгласно разпоредбата на чл.17 от ТЗ на “М.” ООД в гр. Б. В тази връзка Комисията приема, че управителят на офиса в гр. Б. е “обработващ лични данни”, по смисъла на §1, т.3 от ДР на ЗЗЛД, а администратор на лични данни е “М.” ООД. В разпоредбата на чл.23, ал.1 от ЗЗЛД е предвидено задължение на администраторите на лични данни, което включва предприемане на необходимите технически и организационни мерки за защита на данните от случайно или незаконно унищожаване, загуба, неправомерен достъп или разпространение на данните. В случаите, когато обработването на личните данни не се извършва от администратора, какъвто е и настоящият случай, то той е длъжен да осигури достатъчно гаранции за защитата им. Във връзка с изложеното, Комисията приема, че “М.” ООД, в качеството му на администратор на лични данни не е изпълнил вмененото му с цитираната разпоредба от закона задължение, да защити свързаните със С.Т.С. лични данни.
В §1 от Допълнителните разпоредби на ЗЗЛД е дадена легална дефиниция на “обработване на лични данни”, което представлява всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба разкриване чрез предаване, разпространение, предоставяне, актуализиране или комбиниране и т.н.
На основание изложеното, Комисията приема, че личните данни на господин С. са обработвани до прекратяване на трудовото правоотношение от администратора на лични данни при наличието на условието, визирано в чл.4, т.3 от ЗЗЛД.
От приложените към административната преписка доказателства се установи, че данните са били разпространени до трети лица чрез изпращането на уведомително писмо от 26.01.2010г. В уведомителното писмо са посочени лични данни на жалбоподателя, а именно: три имена, единния му граждански номер и информация за прекратените му трудови правоотношения. Обстоятелството, че данните на жалбоподателя са разпространени чрез уведомителното писмо се потвърждава и от ответната страна. В изразеното писмено становище до Комисията се посочва, че управителите на дружеството не са давали указания на управителя на офиса в гр. Б. да разпространи данните, но не се отрича това обстоятелство. В обясненията си инж. Д. А. – управител на офиса в гр. Б. е посочил, че „единствено и само на „С.Т.К.” ЕООД” е изпратил уведомителното писмо, поради което Комисията приема, че това обстоятелство е бeзспорно установено.
В ЗЗЛД законодателят е определил в чл.19, задължението на администраторите на лични данни, да предоставят информация на физическите лица, чиито данни обработват свързана с получателите или категориите получатели, на които данните могат да бъдат разкрити. На откритото заседание на КЗЛД, процесуалният представител на ответната страна е заявил, че „ в разговор с управителя на дружеството” му е станало ясно, че са предприети мерки от страна на администратора на лични данни в изпълнение на разпоредбата на чл.19 от ЗЗЛД. Не са представени доказателства, доказването на които е в тежест на дружеството, че е предоставена информация на жалбоподателя за лицата, на които са разкрити данните му, поради което Комисията приема, че администраторът на лични данни не е изпълнил задължението си по чл.19 от ЗЗЛД.
На следващо място, в ЗЗЛД не е определен минимален брой на лицата, на които може да се разпространят личните данни на физическите лица, без това да представлява нарушение на ЗЗЛД. В този ред на мисли Комисията приема, че е несъстоятелен доводът на „М.” ООД, че свързаните със С.С. лични данни са предоставени единствено и само на „С.Т.К.” ЕООД. Предвид твърдението следва да се посочи и че при обработване на данните, чрез тяхното разпространяване е необходимо да е налице условие за допустимост на действието по обработване на личните данни (чл. 4, ал. 1 от ЗЗЛД). В конкретния случай за разпространението на личните данни на жалбоподателя на трети лица не е налице нито едно от условията за допустимост при обработване на данните.
С разпространяването на личните данни на жалбоподателя, до клиенти на администратора на лични данни са надхвърлени целите, за които данните са събрани и обработени. Нарушен е принципа на съразмерност и пропорционалност, визиран в чл.2 от ЗЗЛД. Личните данни на С.Т.С. са обработени допълнително по начин, несъвместим с целите, за които са събрани, а именно: договорните взаимоотношения.
Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни. Целта на Закона е да гарантира неприкосновеността на личността и личния живот на физическите лица чрез осигуряване на защита при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.
Правомощието на Комисията за защита на личните данни да разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица е регламентирано в чл.10, ал.1, т.7 от ЗЗДЛ.
С настоящето решение Комисията за защита на личните данни, установи по безспорен начин, че „М.” ООД чрез представляващите го лица – Н.И.С.-Й. и Ц.К.И. на 26.01.2010г. в гр. Б. е извършило административно нарушение изразяващо се в неправомерно обработване личните данни на С.Т.С. С действията си „М.” ООД е нарушило принципа на пропорционалност, посочен в чл.2, ал.2, т.3 от ЗЗЛД при обработване на личните данни на жалбоподателя. Освен това при обработването на свързаните със С.Т.С. лични данни не е било налице, нито едно от посочените в чл.4 от ЗЗЛД условия. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извърши при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването. Администраторът на лични данни не е уведомил жалбоподателя, че личните му данни ще се предоставят на трети лица, с което не е изпълнил задължението си по чл.19, ал.1, т.3 от ЗЗЛД. “М.” ООД не е изпълнил и задълженията си визирани в чл.23, ал.1 и чл.24, ал.2 от ЗЗЛД, да предприеме необходимите технически и организационни мерки за защита на данните, както и да осигури достатъчно гаранции за защитата им.Комисията установи, че деянието не е извършено при условията на неизбежна отбрана или крайна необходимост, поради което представлява административно нарушение.
Комисията оставя без уважение искането на адвокат Г. за присъждане на разноски в полза на доверителите й, с оглед уважаването изцяло на жалбата.
Комисия за защита на личните данни установи, че със свое решение №5682/26.05.2010г. е уважила жалбата на Б.Н. и е наложила на „М.” ООД административно наказание – имуществена санкция в размер на 15000 лв. Действието, с което администраторът на лични данни е нарушил разпоредбата на чл.2, ал.2, т.3 от ЗЗЛД е едно и също, както по отношение на Б.Н., така и по отношение на С.Т.С. С уведомителното писмо от 26.01.2010г. са разпространени личните данни на двете лица. Съблюдавайки принципа залегнал в чл.17 от Закона за административните нарушения и наказани (ЗАНН), че никой не може да бъде наказан повторно за административно нарушение, за което е бил вече наказан с влязло в сила наказателно постановление или решение на съда, Комисията смята, че администраторът на лични данни е наказан с цитираното решение и с настоящето решение, въпреки основателността на жалбата, не следва да се налага административно наказание.
В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата е основателна, поради което на основание чл. 10 ал. 1, т. 7 от ЗЗЛД и чл.38, ал.2 във връзка с чл. 42, ал. 1 от Закона за защита на личните данни,
РЕШИ :
Уважава жалба с рег. №8947/05.07.2010, подадена от С.Т.С. срещу „М.” ООД.
На основание чл.17 от ЗАНН, Комисията не налага административно наказание на „М.” ООД.
Решението да се съобщи на заинтересованите лица по реда на АПК.
Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Върховен административен съд на Република България.
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: |
|
Венета Шопова /п/ |
Красимир Димитров /п/ |
