Решение по жалба с рег.№ Ж-142/ 29.04.2013 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, в открито заседание, проведено на 10.07.2013г. (Протокол №23), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба с рег.№Ж-142/ 29.04.2013г., подадена от С.С.М. срещу „ПТСС.” ООД.

Административното производство пред Комисията за защита на личните данни е образувано на основание чл.38 от Закона за защити на личните данни.

Комисията за защита на личните данни е сезирана с жалба, в която жалбоподателят посочва, че през м. март 2013г. е получил Разпореждане от Районно управление „Социално осигуряване”– гр. К. за спиране изплащането на паричното му обезщетение за безработица. Като мотиви са посочени деклариран от осигурителя „ПТСС.” ООД трудов договор на негово име. Г-н С.С.М. заявява, че никога не е имал взаимоотношения с посочената фирма. Счита, че е извършена злоупотреба с личните му данни, поради което моли Комисията с оглед правомощията си да предприеме необходимите действия.

Към жалбата е приложено ксерокопие на Разпореждане №084-00-409-2 от 11.03.2013г. от РУ „Социално осигуряване”– гр. К.

На основание чл.26 от Административнопроцесуалния кодекс (АПК), с писмо с изх.№П-3253/10.05.2013г. на Председателя на КЗЛД, дружеството „ПТСС.” ООД е уведомено за откритото административно производство и на основание чл.36 от АПК е изискано становище, както и относими към жалбата доказателства.

От „ПТСС.” ООД е депозирано становище с вх.№П-3371/16.05.2013г., в което се посочва, че за участие в процедура за изграждане на строителен обект, дружеството е следвало да има по-многоброен персонал. Вследствие на бъдеща съвместна дейност с „А.90” ООД, от посоченото дружество е предоставен списък на лица за назначаване на работа, сред които и С.С.М. От „ПТСС.” ООД се сочи, че работниците, включени в списъка, са назначени на работа, в т.ч. и г-н С.С.М. и трудовите договори са декларирани в НАП. След като е установено, че С.С.М. е назначен неправилно, дружеството е подало уведомление в НАП за заличаването му, с което считат случая за приключен.

Към становището са приложени ксерокопия на Справка от НАП от 19.02.2013г. за приети уведомления по чл.62, ал.5 от КТ и Справка от НАП от 11.03.2013г. за приети и отхвърлени уведомления.

В условията на служебното начало, с писмо с изх.№П-3817/04.06.2013г. на Председателя на КЗЛД, „А.90” ООД е уведомено за откритото административно производство и на основание чл.36 от АПК е изискано становище по жалбата.

С писмо с изх.№П-3254/10.05.2013г. на Председателя на КЗЛД от жалбоподателя е изискана информация дали е сезирал други органи по случая. С оглед депозираното становище от „ПТСС.” ООД, повторно с писмо с вх.№П-3814.2013г. на Председателя на КЗЛД от С.С.М. е изискана информация дали е бил в трудови правоотношения с дружеството „А.90” ООД.

В отговор, с писмо с вх.№П-4016/12.06.2013г. жалбоподателят депозира в КЗЛД Справка-уточнение, в която сочи, че през периода от 29.01.2008г. до 01.02.2010г. е бил в трудови правоотношения с „А.90” ООД, но недоумява защо две години по-късно дружествотообработва свързаните с него лични данни, поради което поддържа жалбата си срещу„ПТСС.” ООД. Декларира, че по случая не е сезирал други органи.

Жалбата, подадена от С.С.М. срещу „ПТСС.” ООДе съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията е сезирана от физическо лице, при наличието на правен интерес. В жалбата е посочена точната дата на твърдяното нарушение, от което следва извода, че е подадена в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежават „ПТСС.” ООД и „А.90” ООД . Това изискване се явява абсолютна процесуална предпоставка, с оглед на която следва да се прецени допустимостта на жалбата. Законът сочи като администратор на лични данни физическо или юридическо лице, както и държавен орган, който определя вида на обработваните данни, целта на обработване, начините на обработване и на защита, при спазване изискванията на този закон.

При извършена служебна проверка в Регистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, е установено, че на „ПТСС.” ООДе издадено Удостоверение №261355. На „А.90” ООД е издадено Удостоверение №373. Дружествата са вписани в Регистъра на администраторите на лични данни и на водените от тях регистри към КЗЛД.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, КЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание на КЗЛД, проведено на 12.06.2013г. (Протокол №19), Комисията обявява жалбата за допустима и я насрочва за разглеждане по същество на 10.07.2013г. Като страни в административното производство конституира жалбоподателя С.С.М., ответна страна- „ПТСС.” ООД в качеството му на администратор на лични данни и заинтересована страна- „А.90” ООД.

С оглед изясняването на факти и обстоятелства по жалбата, с писма с изх.№П-3252/ 10.05.2013г. и №П-3251/10.05.2013г. на Председателя на КЗЛД, съответно от Националната агенция за приходите (НАП) и Националния осигурителен институт (НОИ) е изискана информация за регистрирани прекратени и настоящи трудови договори на името на жалбоподателя.

В отговор, с писмо с вх.№П-3658/29.05.2013г., от НОИ е изпратена справка с наличните данни от Регистъра на трудовите договори относно лицето С.С.М., от която е видно, че лицето е работило от 29.01.2008г. до 01.02.2013г. в „А.90” ООД. Съгласно изискванията на чл.62, ал.5 от КТ, от „ПТСС.” ООД е деклариран трудов договор, сключен на 18.02.2013г. с г-н С.С.М.

С писмо с вх.№П-3786/04.06.2013г. от НАП е предоставена справка за сключени и прекратени трудови договори за лицето С.С.М., от която е видно, че в информационната система на НАП за г-н С.С.М. са подавани уведомления от „А.90” ООД за сключен на 29.01.2008г. и прекратен на 01.02.2010г. трудов договор.

От „ПТСС.” ООД е депозирано становище с вх №С-458/09.07.2013г., в което се посочва, че личните данни на жалбоподателя са попаднали в регистрите на фирмата от „А.90” ООД във връзка със съвместната търговска дейност между дружествата. Сочи се, че за участие в конкурс за възлагане на обществена поръчка, „ПТСС.” ООД е сключило предварителен договор с „А.90” ООД. В изпълнение на договорните отношения, от „А.90” ООД е предоставен списък на работещите лица, сред които и лицето С.С.М. Допусната е техническа грешка, тъй като лицето е работило в „А.90” ООД до 01.02.2010г., когато трудовият договор е прекратен и не е следвало да бъде включен в списъка. За участие в процедурата, лицата от предоставения списък са назначени на работа в дружеството „ПТСС.” ООД. При подаването на 07.03.2013г. на уведомления за сключени трудови договори в НАП, съгласно изискванията на чл.62, ал.5 от КТ, са подадени и личните данни на г-н С.С.М. без да е налице сключен трудов договор с лицето. Незабавно след констатиране на техническата грешка, на 11.03.2013г. от „ПТСС.” ООД е пададено заявление за заличаването на данните му от регистъра на НАП.

Към становището са приложени заверани ксерокопия на: Предварителен договор от 28.02.2013г. и Приложение №2 към него; Трудов договор №10/29.01.2008г.; Справка с изх.№22388133081325 от 07.03.2013г. от НАП; Справка с изх.№22388133084460 от 11.03.2013г. от НАП; Придружително писмо; Справка за уведомленията по чл.62, ал.5 от КТ; Заповед №13/01.03.2013г. за прекратяване на трудов договор; Документи за участие в конкурс.

Обработването на лични данни от страна на администратора на лични данни, съгласно чл.2, ал.2, т.1 от ЗЗЛД, следва да бъде законосъобразно и добросъвестно. Съгласно чл.2, ал.2, т.3 от Закона, личните данни следва да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват.

За откритото заседание на Комисията за защита на личните данни за разглеждане на жалбата по същество, проведено на 10.07.2013г. (Протокол №23), страните са редовно уведомени. Жалбоподателят и заинтересованата страна– „А.90” ООД, не се явяват, не изпращат процесуални представители. За „ПТСС.” ООД се явява адв. И.О. с конкретно пълномощно от 25.06.2013г. Адв. И.О. заявява, че при допусната техническа грешка данните на жалбоподателя са попаднали в списъка по Приложение№2 към предварителния договор, сключен с „А.90” ООД. При установяване на грешката, незабавно е подадено заявление до НАП за заличаването на личните данни на С.С.М. от регистрите на агенцията.

Преценката относно основателността на жалбата следва да се обвърже с наличие на неправомерно обработване на личните данни на жалбоподателя.

Жалбата е насочена срещу злоупотреба с личните данни на жалбоподателя, изразяваща се в декларирането на трудов договор без знанието и съгласието му. По смисъла на §1, т.1 от ДР на ЗЗЛД “употреба” на лични данни представлява обработване на лични данни.

Съгласно разпоредбата на чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон.

В чл.4 от Закона за защита на личните данни се съдържат императивни разпоредби, в които законодателят е указал изрично в кои случаи е допустимо обработването на лични данни. Изричното съгласие на физическото лице, за което данните се отнасят, е едно от условията за допустимост за обработване на свързаните с него лични данни.

Видно от Трудов договор №10/29.01.2008г., както и от Заповед №19/01.02.2013г. за прекратяването му, надлежно подписани от двете страни, жалбоподателят е бил в трудови правоотношения с „А.90” ООД. Жалбоподателят потвърждава, че през периода от 29.01.2008г. до 01.02.2010г. е работил в „А.90” ООД. Следователно е налице изричното му съгласие дружеството да съхранява и обработва личните му данни с оглед сключения трудов договор. Съгласно изискваният на чл.62 от КТ, трудовият договор е деклариран в НАП. Този факт се потвърждава от справките, получени от НАП и от НОИ. За прекратяването на трудовия договор от „А.90” ООД е подадено надлежно уведомление до НАП. В конкретния случай, от събраните в хода на административното производство доказателства е видно, че е налице условие за допустимост за обработване на личните данни на г-н С.С.М. по смисъла на чл.4, ал.1, т.2 от ЗЗЛД, тъй като между жалбоподателя и „А.90” ООД съществува сключен трудов договор и е възникнало трудово правоотношение.

Съгласно изискванията на чл.23, ал.1 от ЗЗЛД, администраторът на лични данни предприема необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.

В конкретния случай, дружеството „А.90” ООД не е спазило това свое задължение, като е включило С.С.М. в Приложение №2 към Предварителния договор от 28.02.2013г. с „ПТСС.” ООД, тъй като трудовият договор с лицето е прекратен на 01.02.2010г. С действията си администраторът на лични данни „А.90” ЕООД е нарушил императивни законови разпоредби, съдържащи се в чл.23, ал.1от Закона за защита на личните данни, като не е предприел необходимите технически и организационни мерки, за да защити личните данни на г-н С.С.М. от неправомерното им обработване.

На правно основание– Предварителен договор от 28.02.2013г., сключен с „А.90” ООД, на „ПТСС.” ООД е предоставен списък на лица, работещи в А.90” ООД, сред които и личните данни на жалбоподателя. Видно от приложената от НАП към жалбата справка с вх.№П-3786/04.06.2013г., на 07.03.2013г. дружеството „ПТСС.” ООД е декларирало трудови договори, сключени с лицата, включени в Приложение №2, сред които и г-н С.С.М. При установяване на допуснатата техническа грешка, незабавно на 11.03.2013г. от „ПТСС.” ООД е подадено заявление до НАП за заличаване на личните данни на г-н С.С.М. от регистрите. В случая обработването е неправомерно, тъй като в качеството си на администратор на лични данни „ПТСС.” ООД не е изпълнил задължението си да осигури защитата на личните данни на г-н С.С.М. от неправомерен достъп и разпространение, а именно- не е предприел необходимите технически и организационни мерки, за да осигури тази защита, с които действия е нарушил чл.23, ал.1 от ЗЗЛД.

Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни. Целта на Закона е да гарантира неприкосновеността на личността и личния живот на физическите лица чрез осигуряване на защита при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, изискващ наличието на установени действителни факти от значение по случая, имайки предвид представените писмени доказателства и становища, Комисията за защита на личните данни приема, че разгледана по същество жалбата е основателна.

При определяне на размера на налаганите с настоящото решение административни наказания на А.90” ООД и на „ПТСС.” ООД, Комисията за защита на личните данни се съобрази с характера и степента на нарушенията и обществените отношения, които засягат. От събраните по административната преписка доказателствата е установено, че в случая са нарушени правата на едно физическо лице и взе предвид обстоятелството, че настоящото наказание е първо за двете дружества. Като смегчаващо вината обстоятелство Комисията взе предвид факта, че след установяване на допуснатото нарушение, дружеството„ПТСС.” ООД е предприело незабавни мерки за отстраняването на неблагоприятните последици.

Водима от горното и на основание чл.38, ал.2 във връзка с чл.10, ал.1, т.7 и чл.42, ал.9 от Закона за защита на личните данни, Комисията за защита на личните данни

2. Налага административно наказание- имуществена санкция в размер на 1000лв. (хилядалв.) на „А.90” ООД, ЕИК *****, със седалище и адрес на управление: гр. София,*****, представлявано от Е.Б.Х.– управител, затова, че дружеството „А.90”ООДв качеството си на администратор на лични данни не е предприело необходимите технически и организационни мерки, за да защити данните на С.С.М. от неправомерно разпространение, с което е нарушен чл.23, ал.1 от Закона за защита на личните данни.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр.София- 1431, бул.“Акад. Иван Гешов” №15 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, Булстат 130961721

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.