Решение по жалба с рег. № Ж-453/05.10.2016 г.

Комисията за защита на личните данни в състав: Цанко Цолов, Цветелин Софрониев и Мария Матева на редовно заседание, проведено на 20.12.2017г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба №Ж-453/05.10.2016г., подадена от Й.С.С.

Комисията за защита на личните данни е сезирана с жалба, подадена от Й.С.С., с изложени твърдения за неправомерно обработване на личните му данни чрез включването им в списък на лицата, подкрепящи регистрацията на Инициативен комитет (ИК), представляван от С.М.С., за участие в информационно-разяснителната кампания по въпросите на националния референдум проведен на 6ноември 2016г.

Жалбоподателят декларира, че не е изразявал своята подкрепа за посочения инициативен комитет, полагайки собственоръчния си подпис, три имена и единен граждански номер в списъка по чл.320, ал.2 във вр. с чл.153, ал.1 от Изборния кодекс (ИК) във вр. с чл.16 и §2 от ПЗР на Закона за прякото участие на гражданите в държавната власт и местното самоуправление (ЗПУГДВМС).

В тази връзка и с оглед декларираната в жалбата липса на знание и на съгласие за обработването на личните му данни, жалбоподателят информира за извършено нарушение на правата му по ЗЗЛД, осъществено от ИК, представляван от С.М.С. и се обръщат към Комисията с искане за предприемане на необходимите действия, в рамките на предоставената й със ЗЗЛД компетентност.

Към жалбата е приложена екранна разпечатка на резултатите от проверка по единен граждански номер в интернет страницата на Централната избирателна комисия (ЦИК).

С оглед застъпеното в администартивния процес служебно начално в хода на административното производство от ЦИК са изискани и съответно предоставени относими доказателства, а именно заверено копие на списъка на гласоподавателите, подкрепящи инициативния комитет за регистрация в информационно-разяснителната кампания по въпросите на националния референдум, Заявление за регистрация на инициативния комитет и Решение №3619-НР от 26 септември 2016г. на Централната избирателна комисия за регистрирането му.

Със съдействието на органите на Министерството на вътрешните работи са предприети действия за събиране на сравнителен материал от жалбоподателя с цел изготвяне на експертиза на подписа. Жалбоподателят е предоставил сравнителен материал за изследване, а резултатите от експертизата са обективирани в Протокол за извършена експертиза №2017/ДОК-094 на НИКК– МВР, Център за експертни криминалистични изследвания.

С оглед изясняване на случая от правна и фактическа страна, от ЦИК е изискано и същата в отговор и с писмо Ж-428/16г./#9/27.10.2017г. представя заверено копие на стр.12 и 51 от списъка с гласоподаватели, подкрепящи регистрацията на инициативен комитет, представляван от С.М.С., за участие в националния референдум на 06.11.2016г.

Видно от представените от ЦИК доказателства е, че на стр. 12 от списъка с гласоподаватели, подкрепящи регистрацията на инициативния комитет са вписани личните данни– три имена, единен граждански номер и адрес на жалбоподателя г-н Й.С.С. На посочената страница е поместена декларация на С.Е.М.– член на инициативния комитет, с която същата удостоверява, че подписите на гласоподавателите са положени пред нея.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба №Ж-453/05.10.2016г. съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което жалбата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес и срещу надлежна страна – администратор на лични данни.

Съгласно законовата дефиниция (чл.3 от ЗЗЛД) администратор на лични данни е физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който сам или съвместно с друго лице определя целите и средствата за обработване на личните данни, респ. който обработва лични данни, видът на които, целите и средствата за обработване се определят със закон. При анализ на това легално определение по чл.3 от ЗЗЛД се констатира, че то не е изчерпателно. Съгласно чл.2 б.Г от Директива95/46 ЕС на Европейския парламент и на Съвета от 24 октомври 1995 година относно защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (Директива95/46/ЕС), администратор на лични данни е физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработката на лични данни.

Съгласно §1а от Допълните разпоредби на ЗЗЛД, разпоредбите на Директива95/46/ЕС са въведени именно с този закон. С оглед на това, независимо, че инициативният комитет формално не отговаря на определението за администратор на лични данни по чл.3 от ЗЗЛД, на практика изцяло попада в понятието администратор на лични данни, съгласно Директивата, чието приложение е въведено директно с допълнителните разпоредби на ЗЗЛД.

Съгласно чл.320, ал.2 във вр. с чл.153, ал.1 от Изборния кодекс (ИК) във вр. с чл.16 и §2 от ПЗР на Закона за прякото участие на гражданите в държавната власт и местното самоуправление Инициативните комитети представят в Централната избирателна комисия Списък на гласоподавателите, подкрепящи регистрацията на съответния инициативен комитет в националния референдум на 6ноември 2016г.

В допълнение, следва да се държи сметка за това, че определящият критерий дали едно образувание е задължен по ЗЗЛД субект е не толкова формалното качество на лицето, а обстоятелството, че то фактически обработва лични данни, чийто вид, цели и средства се определят със закон, поради който факт правният субект е задължен да обработи личните данни, за да се породят необходимите правни последици, предвидени в специалния закон. Въз основа на тази правна фикция в ИК, по силата на правната норма инициативният комитет като субект се явява администратор на тези данни и поддържа регистър с лични данни по смисъла на ЗЗЛД. ИК (във връзка с нормата на чл.16 от ЗПУГДВМС) изрично посочва, че личните данни на избирателите се обработват от конкретния политически субект за постигане на нормативно установени цели– регистрация и/или участие в избори при спазване на ЗЗЛД. Противното би означавало от приложното поле на закона, респ. от неговия контролен механизъм, да бъдат изключени лица, които формално не попадат сред кръга от субекти по чл.3 от ЗЗЛД, но които обработват лични данни извън изключенията от приложното поле на закона. В случая е налице правен субект (инициативен комитет), определен по силата на специален закон– Изборния кодекс, за когото по силата на правната норма възниква нормативно установено задължение да обработва лични данни, видът на които, целите и средствата за обработване се определят със същия закон. По смисъла на чл.3, ал.2, изр.второ от ЗЗЛД в този случай специалният закон– Изборният кодекс, въвежда специфичните критерии за обработването на личните данни на специфична група физически лица от самостоятелно обособен субект. Допълнително законът и Централната избирателна комисия с одобрените и обнародвани изборни книжа за съответния вид избор изрично регламентира, че обработването на лични данни (саморъчен подпис, имена и ЕГН) на избиратели под формата на събиране и предаване за регистрация е от името и за целите на регистрацията на инициативния комитет в съответния референдум.

Предмет на жалбата е обработването, чрез действия по събиране, организиране в списъци и употребата на личните данни на жалбоподателя без негово знание и съгласие за целите на регистрацията на посочения в жалбата инициативен комитет за участие в информационно-разяснителната кампания по въпросите на националния референдум, проведен през 2016г.

С жалбата е сезиран компетентен да се произнесе орган, а именно КЗЛД, която съгласно правомощията й, визирани в чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

В съответствие с Правилника за дейността на Комисията за защита на личните данни и на нейната администрация на редовни заседания на Комисията жалбата е приета за допустима и като страни в производството са конституирани– жалбоподател– Й.С.С. и ответни страни – С.М.С.– представляващ и председател на инициативния комитет и С.Е.М.- член на инициативния комитет. С решение от проведено на 15.11.2017г. заседание на Комисията жалбата е насрочена за разглеждане по същество на 20.12.2017г. от 13:00 часа, заседание за което страните са редовно уведомени и информирани за възможността да се запознаят със събраните по преписката доказателства и в частност с протокол за извършена експертиза, да изразят становище, да правят доказателствени искания или възражения.

В хода на производството С.С. депозира становище за недопустимост, респективно неоснователност на жалбата с твърдения, че жалбата е подадена след преклузивните срокове, както и че соченото от г-н Й.С.С. нарушение не е извършено виновно от нея. Моли Комисията да остави жалбата без уважение.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба №Ж-453/05.10.2016г. е основателна.

В чл.2, ал.1 от ЗЗЛД е дадено легално определение на понятието лични данни, съгласно което лични данни са всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци.

Трите имена, единният граждански номер и подпис на физическото лице без съмнение имат характера на лични данни по смисъла на закона.

Съгласно §1, т.1 от Допълнителните разпоредби на ЗЗЛД, събирането, организирането и употребата на лични данни на физически лица съставляват действия по обработване на личните данни.

Нормата на чл.16 от ЗПУГДВМС посочва, че за провеждане на информационно-разяснителна кампания се прилага Изборният кодекс, като се гарантират еднакви възможности за представяне на различните становища по предмета на референдума. В допълнение, съгласно разпоредбата на §2 от ПЗР на ЗПУГДВМС за всички неуредени в закона въпроси относно произвеждането на национален и местен референдум се прилагат съответните разпоредби на Изборния кодекс.

В Изборния кодекс е регламентиран процеса по регистрация на инициативен комитет в Централната избирателна комисия, като в чл.320 във връзка с чл.153, ал.1 от ИК е посочено, че списък с избиратели, които подкрепят регистрацията на инициативния комитет се представя в Централната избирателна комисия заедно с документите по чл.318, ал.1, т.2 и 3 от Кодекса. От своя страна списъкът съдържа име, единен граждански номер и подпис на всяко лице, подкрепило съответната регистрация.

Видно от Решение №3619-НР от 26 септември 2016г. на Централната избирателна комисия, като приложение №6 към Заявление за регистрация на инициативен комитет по въпросите на националния референдум на 6 ноември 2016г., представляван от С.М.С. е представен списък, съдържащ трите имена, единния граждански номер, постоянен адрес на територията на страната и саморъчен подпис на не по-малко от 2500 гласоподаватели, подкрепящи регистрацията на инициативния комитет, положен пред член на инициативния комитет– Приложение №40 от книжата за произвеждане на национален референдум.

Личните данни на жалбоподателят присъстват на стр.12 от Списъка на гласоподавателите,подкрепящи инициативния комитет за регистрация в информационно-разяснителната кампания по въпросите на националния референдум, проведен през 2016г.В конкретния случай видно от събраните по административната преписка доказателства и в частност резултатите от извършената експертиза е безспорно, че подписа положен на стр.12, ред111 в списъка на гласоподаватели подкрепящи регистрацията на Инициативния комитет за участие в информационно-разяснителната кампания не е положен от жалбоподателя, следователно не е налице съгласие за обработване на личните му данни за целите на регистрацията, не са налице и останалите посочени в чл.4, ал.1 от ЗЗЛД предпоставки за допустимост на обработването. В тази връзка се налага извода, че твърденията на жалбоподателя, че личните му данни са обработени без съгласието му за целите на регистрацията на политическия субект за участие в информационно-разяснителната кампания за проведения през 2016г. национален референдум, са основателни.

На същата страница на която се съдържат личните данни на жалбоподателя е поместена декларация на С.Е.М.– член на инициативния комитет, с която същият удостоверява, че подписите на гласоподавателите са положени пред нея. Тоест следва извод, че личните данни на жалбоподателя са обработени от С.Е.М., ЕГН *****, с постоянен адрес ******, фигурираща под №2 в Заявлението за регистрация на инициативния комитет.

В чл.320, ал.3 от Изборния кодекс (ИК), предложение второ се въвежда законна фикция, приравняваща члена на инициативния комитет на администратор на лични данни по смисъла на чл.3, ал.2 от ЗЗЛД. В допълнение членът на инициативния комитет носи отговорност като администратор на лични данни.

С нормата на чл.320, ал.2 от ИК законодателят е въвел задължение, подписите на лицата, подкрепящи участието в избора на независимите кандидати да бъдат положени пред член на инициативния комитет, който удостоверява посочените факти, като саморъчно се подписва под съответната страница от списъка. Същото задължение, по силата на чл.320, ал.2 във вр. с чл.153, ал.1 от ИК във вр. с чл.16 и § 2 от ПЗР на ЗПУГДВМС е въведено досежно участието на инициативните комитети в информационно-разяснителната кампания по въпросите на националния референдум.

Предвид изложеното, административно-наказателната отговорност относно несъобразеното със ЗЗЛД обработване на личните данни на жалбоподателя без наличие на условие за допустимост на обработването (чл. 4, ал.1 ЗЗЛД) следва да се понесе от лицето, в чийто патримониум законодателят е предвидил задължението за полагане на собственоръчен подпис от страна на гласоподавателя.

Тъй като установеното конкретно нарушение е довършено с акта на своето извършване и е неотстранимо, поради факта, че списъците чл.320, ал.2 във вр. с чл.153, ал.1 от ИК във вр. с чл.16 и § 2 от ПЗР на ЗПУГДВМС са предадени в ЦИК и същата се е произнесла по искането на инициативния комитет, да бъде допуснат до участие в информационно-разяснителната кампания по въпросите на националния референдум, проведен през 2016г., даването на срок за отстраняване на нарушението се явява безпредметно. То, като принудителна административна мярка е приложимо в хипотеза, в която продължава извършването на съответното нарушение или същото е отстранимо. В настоящия случай обаче това е невъзможно.

Комисията за защита на личните данни разполага с правомощие да даде задължително предписание на администратора на лични данни, но то касае ситуации в които, администраторът не е изпълнил свое задължение, който пропуск може да санира, като в предоставения му срок извърши пропуснатите действия и обективира изискваното от закона поведение.

Несъмнен, с оглед категоричните резултати от цитираната по-горе експертиза, се доказва фактът на извършеното, от члена на инициативния комитети, обработил личните данни на лицето, предоставило сравнителен материал за графологично изследване, нарушение на разпоредбата на чл.4, ал 1, т.2 от ЗЗЛД. Дори евентуалното заличаване от списъците, предоставени в ЦИК не би санирало извършеното от съответния администратор нарушение, тъй като действията по събиране, организиране в списъци и употребата на личните данни на жалбоподателя без негово знание и съгласие, за целите на посочената регистрация е завършено, а целта, за която са използвани, в нарушение на закона, личните данни на посоченото лице е постигната. Същото не е отстранимо.

Единствено имуществената санкция, като мярка на административна принуда, се явява най-целесъобразна и ефективна мярка, за защита на законовия обществен интерес. Следва да се отбележи, че освен чисто санкционна мярка, реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие, с оглед неизвършването на същото нарушение за напред. Администраторът е длъжен да познава закона и да спазва неговите изисквания, още повече, че той дължи необходимата грижа, предвидена в ЗЗЛД и произтичаща от предмета му на дейност, кадровия и икономически ресурс.

Комисията съобрази целта на наказанието, което следва да има възпираща и предупредителна функция, а не да създава икономически затруднения на лицето, допуснало нарушението. В тази връзка и предвид обстоятелството, че са нарушени правата на едно лице и нарушението е първо за администартора на лични данни счита, че размера на наложеното административното наказание следва да е в минимума предвиден в закона за съответното нарушение.

Водима от горното, на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

РЕШИ:

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров” №2 или преведена по банков път:

Банка БНБ – ЦУ

IB AN: BG18BNBG96613000158601 BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

Ако в законоустановения срок за доброволно плащане то не бъде извършено, преписката да се изпрати на компетентната Териториална дирекция на Националната агенция по приходите за принудително събиране на вземането на основание и по реда на Данъчно-осигурителния процесуален кодекс.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.