Решение по жалба с рег. № Ж-39/09.02.2015 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 22.05.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-39/09.02.2015г., подадена от И.П.А., Н.Д.Н., Н.Н. и В.В.К.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от И.П.А., Н.Д.Н., Н.Н. и В.В.К., в качеството им на родители и законни представители на непълнолетните им деца В.А., Н.Д., Р.Н. и Д.К., същите ученици в 9 „а“ клас в Профилирана гимназия с изучаване на чужди езици (ПГИЧЕ) „С.М.“ гр. София.

Жалбоподателите информират, че по повод инцидент в училището в час по изобразително изкуство, проведен с 9 „а“ клас в кабинет №44 на 29.01.2015г., са присъствали на родителска среща с учителския състав, на която са информирани, че децата им нарушават дисциплината в час и са унищожили материално-техническата база чрез подпалване на учебни маси и столове в час по изобразително изкуство. Жалбоподателите допълват, че на срещата са уведомени че „за инцидента е съставен видеозапис“, който се съхранява в срок от 14-дни. Твърдят, че не са давали съгласието си непълнолетните им деца да бъдат снимани и считат, че снимането, записването и използването на записите, в които присъстват децата им, е незаконосъобразно и в нарушение на правата им по Закона за защита на личните данни.

Жалбоподателите твърдят, че видеонаблюдението на учениците от ПГИЧЕ „С.М.“ гр. София се осъществява лично от директора г-жа П. и по нейно разпореждане в кабинета й „се намират приемащите данните от камерата монитори и видеозаписът“. В допълнение твърдят, че „в училището липсват информационни табла, поставени на видно място, уведомяващи сниманите лица за използването на технически средства за наблюдение и контрол на обекта“.

Жалбоподателите сочат, че с молба вх.№88/04.02.2015г. са изискали от директора на училището запис от учебните занятия по изобразително изкуство на 29.01.2015г., но в отговор на молбата са получили категоричен отказ, с оглед което считат, че са нарушени правата им по чл.26 и чл.22 от ЗЗЛД.

Жалбоподателите молят Комисията да извърши проверка по случая.

Към жалбата е приложено копие на писмо изх.№93/05.02.2015г. на ПГИЧЕ „С.М.“ гр. София.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от ПГИЧЕ „С.М.“ гр. София е изискано писмено становище по жалбата и представянето на относими доказателства.

В отговор г-жа П., в качеството й на директор на училището, изразява становище за неоснователност на жалбата, в което твърди, че осъществяваното в училището видеонаблюдение е законосъобразно, осъществява се в съответствие с нормативните актове и има за цел да подпомага опазването на здравето и живота на учениците. Г-жа П. твърди, че всички ученици, родители и персонал в училището са уведомени за извършваното видеонаблюдение и допълва, че на видни места в сградата на училището са поставени указателни табели за видеонаблюдението, както и че това обстоятелство е оповестено и на интернет-страницата на училището. Относно твърденията на жалбоподателите, че уредите за видеонаблюдение се намират в кабинета й, сочи, че уредите се намират в учителската стая и в кабинет №26. Директорът оспорва и твърденията на жалбоподателите за нарушение на правата им по чл.22 и чл.26 от ЗЗЛД и твърди, че липсва техническа възможност отделни кадри от записа да бъдат сваляни на преносим носител, без да се разкрият лични данни за трети лица.

Към становището са приложени относими по случая доказателства.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег.№Ж-39/09.02.2015г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателите, естеството на искането, дата и подписи, с оглед което същата е редовна.

С оглед събраните по административната преписка доказателства се налага извода, че жалбата е подадена в срока по чл.38, ал.1 от ЗЗЛД. Жалбата е подадена от лица с правен интерес с оглед обстоятелството, че касае за обработване на лични данни на непълнолетни физически лица, които съгласно закона се представляват от родителите им като законни представители.

Предмет на жалбата са, както твърденията за неправомерно обработване на лични данни чрез видеозаснемане, така и твърденията за нарушение на чл.26 от ЗЗЛД, следователно жалбата е от компетентността на КЗЛД, в чието правомощие е разглеждането на жалби срещу актове и действия на администратори на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД, в това число и правото на достъп до лични данни визирано в чл.26 и следващи от закона.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. Разглежданата жалба е подадена срещу ПГИЧЕ „С.М.“ гр. София, което безспорно притежава качеството на администратор на лични данни. С оглед събраните по административната преписка доказателства, в това число и представен договор №РД-92-Д55/14.04.2014г. сключен между Столична община, район „Красно село“ – Възложител и „В.“ ООД – изпълнител, с предмет осъществяване на денонощна невъоръжена охрана, изразяваща се във физическа охрана, СОТ и видеонаблюдение на обекти, в това число и на ПГИЧЕ „С.М.“ с адрес ****, като ответна страна в производството следва да се конституират Столична община и „В.“ ООД в качеството им на администратори на лични данни.

От направена служебна справка в Електронният регистър на администраторите на лични данни и на водените от тях регистри се установи, че ПГИЧЕ „С.М.“ гр. София, както и Столична община и „В.“ ООД са изпълнили задължението си по чл.17, ал.1 от ЗЗЛД, подали е заявления за регистрация и са регистрирани като администратори на лични данни със съответни идент.№125250, №52258 и №50693.

На проведено на 18.03.2015г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в административното производство са конституирани: жалбоподатели – И.П.А., Н.Д.Н., Н.Н. и В.В.К. и ответни страни – Профилирана гимназия с изучаване на чужди езици „С.М.“ гр. София, Столична община и „В.“ ООД, в качеството им на администратори на лични данни.

С оглед изясняване на случая от правна и фактическа страна от „В.“ ООД и Столична община са изискани становища и доказателства по жалбата.

В отговор от „В.“ ООД изразяват становище, в което твърдят, че дружеството осъществява само физическа охрана и СОТ в ПГИЧЕ „С.М.“ гр. София, не осъществява видеонаблюдение и няма достъп до системата за видеонаблюдение в училището. Информират, че дружеството има сключен договор РД-97-Д55/14.04.2014г. със Столична община – район „Красно село“ въз основа на който на дружеството е възложена охраната на всички учебни заведения на територията на района, в това число и на посоченото училище. Допълват, че в част от учебните заведения в район „Красно село“ е изградена система за видеонаблюдение към Столична община с дистанционно изнесен мониторинг и 24-часово наблюдение, като дружеството е задължено да реагира незабавно на сигнал подаден от операторите от центъра за видеонаблюдение към Столична община. Твърдят, че макар в предмета на договора да е посочено както физическа охрана и СОТ, така и видеонаблюдение в конкретното училище видеонаблюдение от дружеството не се осъществява и служители на дружеството нямат достъп до съществуващата система за видеонаблюдение, тъй като същата не е изведена към центъра на Столична община.

В подкрепа на твърденията си от дружеството представят копие на: договор №РД-14-64/14.04.2014г., приемо-предавателен протокол от 14.04.2014г. и удостоверение за администратор на лични данни.

От Столична община е ангажирано писмено становище по жалбата, в което се сочи, че охранителна дейност включваща жива охрана или СОТ се осъществява на територията на всички общински детски и учебни заведения, а в конкретния случай след публично оповестен конкурс охранителната дейност в ПГИЧЕ „С.М.“ гр. София е възложена на „В.“ ООД. Информират, че във връзка спровеждане на Държавни зрелостни изпити през 2007-2008г. Министерство на образованието и науката е организирало инсталирането на система за видеонаблюдение в училищата на територията на цялата страна. В допълнение сочат, че Столична община изгражда и ползва своя собствена система за видеонаблюдение, но само за дворни пространства и прилежащи територии на детски и учебни заведения на територията на Столична община, а дейността се осъществява от дирекция „Сигурност“.

С оглед изясняване на случая от правна и фактическа страна и на основание Заповед №РД-14-64/03.04.2015г. на Председателя на КЗЛД е извършена проверка в ПГИЧЕ „С.М.“ гр. София с основна задача на проверката да се установи спазени ли са разпоредбите на ЗЗЛД при обработване на лични данни на физическите лица чрез система за видеонаблюдение. Резултатите от проверката са обективирани в КА-124/08.04.2015г., приет на проведено на 15.04.2015г. заседание на Комисията.

На проведено на 13.05.2015г. заседание на Комисията, жалбата е поставена за разглеждане по същество.

Жалбоподателите – редовно уведомени, не се явяват, не се представляват.

Профилирана гимназия с изучаване на чужди езици „С.М.“ гр. София – редовно уведомено, не се представлява.

„В.“ ООД – редовно уведомено, не се представлява.

Столична община – редовно уведомена, представлява се от юрисконсулт К., който оспорва жалбата и моли Комисията да я остави без уважение, като неоснователна.

На проведено на 22.05.2015г. заседание на Комисията е взето решение по основателността на жалбата.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения, Комисията приема, че разгледана по същество жалба №Ж-39/09.02.2015г. е неоснователна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалната дефиниция дадена в чл.2, ал.1 от ЗЗЛД, лични данни са всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Съдържащата се във видеозаписите от средства за наблюдение информация за физическите лица, в конкретния случай техен образ, попада в обхвата на понятието лични данни, тъй като лицето може да бъде физически идентифицирано по безспорен начин.

По смисъла на §1, т.1 от Допълнителните разпоредби на ЗЗЛД видеонаблюдението е действие по обработване на лични данни когато се извършва чрез запис на технически средства за видеонаблюдение, който се съхранява.

В чл.4, ал.1 от ЗЗЛД са разписани условията, при наличието, на които е допустимо обработването на лични данни на физическите лица. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

В конкретния случай видно от събраните по административната преписка доказателства е безспорно, че личните данни на В.А., Н.Д., Р.Н. и Д.К. са обработени от страна на ПГИЧЕ „С.М.“ гр. София, чрез видеонаблюдение извършено чрез технически средства – камери монтирани в сградата на ПГИЧЕ, в това число и в кабинет №44 и DVR-устройството марка – 4NSYS, модел – FDS-1640GP, на което се записват кадрите от поставените камери. Видно от констативни акт от извършена по случая проверка е, че DVR-устройство се помещава в стая №26 в сградата на училището, която се използва като помощен кабинет за заместник директорите. Достъп до кадрите от видеонаблюдението е ограничен като DVR-устройството е защитено с парола за достъп, която е известна само на директора на ПГИЧЕ „С.М.” – М.П. Не е възможен дистанционен или отдалечен достъп до кадрите, защото самата система не е настроена за това. Според техническите характеристики на въпросното DVR-устройство, бе установено, че записите от камерите се съхраняват за срок от 14 дни, след което автоматично се изтриват. Така изградената система позволява да бъдат свалени кадри от записите и да бъдат прехвърлени на външен носител – USB – флаш памет.

Страните не спорят, че в училището се осъществява постоянно видеонаблюдение чрез технически средства и запис от техническите средства се съхранява в срок от 14 дни от дата на записа.

От събраните по преписката доказателства се установи, че „В.“ ООД и Столична община не осъществяват видеонаблюдение в сградата на училището и нямат достъп до записите от средствата за видеонаблюдение, предвид което се налага извода, че същите не обработват лични данни чрез видеонаблюдение, осъществявано в сградата на училището.

От направената по случая проверка се установи, че на видими места на входа и вътре в сградата на гимназията са поставени информационни табели, които информират за извършваното видеонаблюдение. Факт, който се потвърждава и от приложено по преписката копие на Констативен протокол №0601-1135/26.02.2015г. на Регионален инспекторат по образованието – София (т. 10 от Протокола).

С оглед събраните по преписката доказателства Комисията счита, че осъществяваното в ПГИЧЕ „С.М.“ гр. София видеонаблюдение е законосъобразно при наличие на условията за допустимост на обработването разписани в чл.4, ал.1, т.2 и т.4 от ЗЗЛД. Същото е необходимо, за да се защитят животът и здравето на физическите лица обект на видеонаблюдението. С оглед обстоятелството, че лицата са уведомени чрез информационни табели, поставени на видно място за извършваното видеонаблюдение и не са ангажирали доказателства, че са възразили пред администратора на лични данни за обработването на личните им данни по този начин, може да се приеме, че е налице съгласие по смисъла на ЗЗЛД личните им данни да бъдат обработвани чрез технически средства за видеоконтрол.

За пълнота следва да се отбележи, че ПГИЧЕ „С.М.“ гр. София е регистрирано като администратор на лични данни с идент. №125250, като в заявения от администратора регистър „Образование“ и по-конкретно т.IV от съшия е посочено, че обработването на лични данни на учащите се извършва с автоматични средства, в това число видеонаблюдение. В тази връзка следва да се има предвид, че законодателят допуска, при спазване на разпоредбите на ЗЗЛД и при наличието на условие за допустимост на обработването, администраторът на лични данни сам да определя целите, за които събира и обработва лични данни.

Госпожа Мария Матева – член на Комисията за защита на личните данни гласува с особено мнение, като счита жалба, в тази й част, за основателна и предвид обстоятелството, че камерите за видеонаблюдение са поставени с оглед законосъобразното провеждането на зрелостните изпити, а не за охрана, счита, че е следвало да бъдат свалени след провеждане на изпитите. В тази връзка г-жа Матева счита, че използването на видеонаблюдението за други цели, различни от тези за които са монтирани камерите, енеправомерно.

Комисията единодушно счита жалбата за неоснователна по отношение на изложените в нея твърдения за нарушено право на достъп до лични данни, в случая нарушено право на достъп до видеозапис от учебни занятия по изобразително изкуство проведени с 9 „а“ клас на 29.01.2015г. в кабинет №44 в сградата на училището.

От събраните по административна преписка доказателства се установи, че подадената от жалбоподателите молба вх.№88/04.02.2015г. има характера на заявление за достъп до лични данни, подадена е по надлежния ред и съдържа задължителните реквизити на чл.30 от закона. Администраторът е постановил мотивиран отказ от достъп до изисканите личните данни, като заявителите са уведомени за отказа в посочените в ЗЗЛД срокове. Комисията приема отказа за законосъобразен, но по мотиви различни от изложените в него.

Безспорно е, че всяко лице има право на достъп до отнасящи се до него лични данни, включително до видеозаписи. Когато при осъществяване на правото на достъп на физическото лице могат да се разкрият лични данни и за трето лице, както е в случая, администраторът на лични данни е длъжен да предостави на съответното физическо лице достъп до частта от тях, отнасяща се само за него, като за целта трябва да предприеме съответните технически мерки за заличаване/маскиране на образите на другите лица обект на видеонаблюдението. При липса на такава възможност достъп до видеозаписите може да бъде предоставен само със съгласието на всички лица – обект на видеонаблюдението, с оглед защита на правата им по ЗЗЛД. В конкретния случай с оглед спецификата на видеозаписа и факта, че в него се съдържат лични данни и на трети лица, които не са изразили съгласие съдържащите се във видеозаписа техни лични данни да бъдат предоставяни и предвид обстоятелството, че администраторът не разполага с техническа възможност за заличаване/маскиране на образите им се налага извода, че отказа на администратора на лични данни да предостави на жалбоподателите достъп до видеозаписа е законосъобразен.

Водима от горното, и на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,