Решение по жалба с рег. № Ж-126/13.03.2017 г.

Комисията за защита на личните данни (КЗЛД) в състав: Цанко Цолов, Цветелин Софрониев и Мария Матева на заседание, проведено на 31.05.2017г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни разгледа по същество жалба №Ж-126/13.03.2017г., подадена от Ж.П.П.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Ж.П.П., с изложени твърдения за неправомерно обработване на личните му данни.

Жалбоподателят информира, че от съдържанието на Разпореждане №**** на Териториална дирекция на Национален осигурителен институт– Бургас установил, че „С.К. 2016“ ЕООД неправомерно обработва личните му данни във връзка с регистриран в Национална агенция за приходите (НАП) трудов договор, който твърди, че не е сключвал. Жалбоподателят твърди, че няма договорни отношение със „С.К. 2016“ ЕООД, като и че дружеството обработва личните му данни без негово знание и съгласие и в нарушение на правата му по ЗЗЛД, в резултат на което за него са настъпили имуществени вреди.

Допълва, че от справка в НАП установил, че на 13.02.2017г. трудовия договор сключен със „С.К. 2016“ ЕООД е прекратен, а на 15.02.2017г. е регистриран в НАП трудов договор сключен с „Д.“ ЕООД, какъвто отрича да е подписвал.

Жалбоподателят твърди, че е злоупотребено с личните му данни от страна и на двете дружества. Категоричен е, че няма отношения с тях и не е подписвал регистрираните в НАП два трудови договора.

Към жалбата са приложени относими доказателства, а именно копие на Разпореждане №**** на Териториална дирекция на Национален осигурителен институт– Бургас и справка за актуално състояние на регистрираните в НАП трудови договори сключени с жалбоподателя.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „С.К. 2016“ ЕООД и „Д.“ ЕООД са изискани писмени становища и представяне на относими доказателства, но такива не са ангажирани.

С оглед изясняване на случая от фактическа страна от НАП е изискана допълнителна информация, в отговор на което е предоставена актуална към 22.03.2017г. справка за сключени с г-н Ж.П.П. трудови договори.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба №Ж-126/13.03.2017г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от ПДКЗЛДНА, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет неправомерно обработване на личните данни на жалбоподателя от „С.К. 2016“ EООД и „Д.“ ЕООД във връзка с регистрирани в НАП два трудови договора. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. В конкретния случай жалбата е насочена срещу „С.К. 2016“ EООД и „Д.“ ЕООД, които с оглед събраните по преписката доказателства безспорно притежават качеството на администратори на лични данни по отношение на жалбоподателя.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че „С.К. 2016“ ЕООД не е регистрирано като администратор на лични данни, не е подавало молба за освобождаване от задължението за регистрация, съответно не е освободено по надлежния ред от това задължение. По отношение на Д.“ ЕООД се установи, че същото е освободено от задължението за регистрация по надлежния ред след подадена молба вх.№24822/02.08.2011г. и във основа на Решение на Комисията обективирано в Протокол №35/10.08.2011г.

На проведено на 05.04.2017г. заседание на Комисията, жалбата е приета за процесуално допустима. Като страни в производството са конституирани: жалбоподател– Ж.П.П. и ответни страни– „С.К. 2016“ ЕООД и „Д.“ ЕООД.

На проведено на 31.05.2017г. заседание на Комисията, жалбата е разгледана по същество.

Страните– редовно уведомени, не се явяват, не се представляват.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните доказателства и наведените твърдения, Комисията приема, че разгледана по същество жалба №Ж-126/13.03.2017г. е основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни.

Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД лични данни са всяка информация отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Предоставянето и употребата на лични данни е действие по обработването им по смисъла на § 1, т.1 от Допълнителните разпоредби на ЗЗЛД и като такова следва да се извършва при спазване на разпоредбите на ЗЗЛД.

В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физическите лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

От събраните в хода на административното производство доказателства се установи безспорно, че „С.К. 2016" ЕООД и „Д.“ ЕООД са обработили лични данни – три имена и единен граждански номер на жалбоподателя, в хипотезата на употреба на личните данни и предоставянето им в НАП за регистриране на два трудови договора, които жалбоподателя твърди, че не е сключвал и подписвал.

Видно от представените по преписката справки е, че „С.К. 2016“ ЕООД е подало в НАП уведомление на основание чл.62, ал.5 от Кодекса на труда за сключен на 01.07.2016г. трудов договор с жалбоподателя, съшия прекратен на 13.02.2017г.

По отношение на „Д.“ ЕООД се установи, че дружеството е подало в НАП уведомление на основание чл.62, ал.5 от КТ за сключен на 15.02.2017г. с жалбоподателя трудов договор и липсват данни за прекратяването му.

Редът и съдържанието на уведомлението по чл.62, ал.5 от КТ е уреден в Наредба№5 от 29декември 2002г., издадена от Министъра на труда и социалната политика. На основание чл.5, т.2 от Наредбата в уведомлението работодателя следва да са посочени трите имена и единен граждански номер на работника или служителя – информация представляваща лични данни по смисъла на чл.2, ал.1 от ЗЗЛД.

Твърденията на жалбоподателя, че личните му данни са обработени от дружествата без негово знание и съгласие за целите на сключените два трудови договора и са предоставени в НАП за регистрацията им не са оспорени от ответните страни. Въпреки предоставената правна възможност и дадените от КЗЛД указания, дружествата не са ангажирали доказателства в обратна насока. В тази връзка следва да се посочи, че съгласно разпределянето на доказателствената тежест в процеса дружествата следва да докажат наличието на правно основание за обработване на личните данни на жалбоподателя и съществуването на регистрираните в НАП трудови договори, като представят пред Комисията копие от същите.

С оглед обстоятелството, че не са представени доказателства за сключването на трудовите договори регистрирани в НАП следва извода, че не е налице разписаното в чл.4, ал.1, т.3 от ЗЗЛД условие за допустимост на обработването на лични данни на жалбоподателя от страна на дружествата. Не е налице и посоченото в чл.4, ал.1, т.1 от ЗЗЛД нормативно установено задължение на дружествата, като работодатели, каквото качество в случая не доказаха да притежават по отношение на г-н Ж.П.П., да подадат в НАП уведомления по чл.62, ал.3 от КТ, съдържащи лични данни на жалбоподателя.

С оглед разпределяне на доказателствената тежест в процеса и събраните по преписка доказателства се налага извода, че подадената от г-н Ж.П.П. жалба е основателна както по отношение на „С.К. 2016“ ЕООД, така и по отношение на „Д.“ ЕООД и личните данни на жалбоподателя са обработени, в хипотезата на употреба и предоставяне, от дружествата в НАП, за регистриране на трудовите договори, в нарушение на чл.4, ал.1 от ЗЗЛД. Същото не е съобразено с изискванията за допустимост на обработването на лични данни, извършено е без съгласието на жалбоподателя и без да е налице нито едно от останалите условия за допустимост на обработването посочени в чл.4, ал.1, т.1, 3, 4, 5, 6 и 7 от ЗЗЛД. Нарушени са правата на лицето сезирало КЗЛД, в резултат на което за него са настъпили и имуществени вреди, видно от приложено към преписката Разпореждане №**** на Териториална дирекция на Национален осигурителен институт– Бургас.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираните нарушения налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението) е нецелесъобразно и мерките са неприложими в случая, и в тази връзка налага на „С.К. 2016“ ЕООД и на „Д.“ ЕООД административни наказания за нарушение на ЗЗЛД, като счита, че същите ще имат възпитателно въздействие и ще допринесе за спазване от страна на дружествата на установения правен ред.

При определяне размера на административните наказания Комисията съобрази, че нарушенията са първи за администраторите на лични данни, с оглед което определя наказания в минимума предвиден в закона за съответните нарушения.

Водима от горното и на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.

След влизане в сила на решението, сумата по наложеното наказание да бъде преведена по банков път:

Банка БНБ– ЦУ, IBAN: BG18BNBG96613000158601, BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721