Решение по жалба с рег. № ППН-01-1062/31.12.2018 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Мария Матева и Веселин Целков, на редовно заседание, проведено на 04.11.2020г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679, разгледа по основателност жалба рег. №ППН-01-1062/31.12.2018г., подадена от С.И.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Жалбоподателката информира, че ответниците по жалбата са осъществили обработка на личните ѝ данни, които са им станали известни поради службата, която изпълняват: младши инспектор Д.Г.– командир на отделение в Софийския затвор, старши комисар П.П.– началник на същия затвор и М.Г., изпълняваща „началник режимна дейност” и юрисконсулт преди това.

Д.Г. е предоставил личните ѝ данни, като е съставил докладна записка с неверни твърдения за нея и за да докаже твърденията си е предоставил трите имена и професията ѝ на лишен от свобода, с които да си послужи за написване на донос срещу нея. М.Г. е оформила докладната и обясненията като преписка и я е изпратила в Софийски адвокатски съвет като сигнал. П.П., след запознаване с преписката, я е резолирал с разпореждане за изпращане в Софийска адвокатска колегия.

Г-жа С.И. отбелязва, че до данните ѝ тримата са получили достъп поради служебните си качества, но са ги употребили неправомерно като са ги предоставили на трети лица– лишения от свобода И.П. и Софийски адвокатски съвет и колегия, без нейното знание, съгласие. С тези действия са нарушили разпоредбата на чл.5, ал.2, т.4, б. „б” от ЗЗЛД.

С оглед изложеното, жалбоподателката моли Комисията да постанови решение, с което да прогласи за незаконосъобразни действията на тримата държавни служители, с които са нарушили разпоредбите на ЗЗЛД и да наложи предвидените в него санкции в максимален размер, предвид вината на извършителите, обработвали личните ѝ данни, придобити по служебен път за лични цели.

На закрито заседание на КЗЛД, проведено на 29.05.2019г., жалбата е приета за процесуално недопустима поради насочване на жалбата срещу физически лица, които не са администратори на лични данни.

Решението на КЗЛД е оспорено по съдебен ред. С Определение №***1 от 27.11.2019г. по адм.д. №****1/2019г. на Административен съд София-град жалбата срещу оспорения административен акт е отхвърлена. С Определение №***2 от 28.04.2020г. по адм.д. №****2/2020г. е отменено първоинстанционното определение и вместо него е постановено друго, с което се отменя решението на КЗЛД и преписката се връща в КЗЛД за продължаване на административнопроизводствените действия. Мотивите за връщането са, че в производството пред КЗЛД липсва задължение за посочване на ответник. С посочване на длъжностното качество на посочените в жалбата лица жалбоподателката на практика е посочила и администратора, от чието име същите са действали.

В условията на залегналото в административния процес служебно начало и в изпълнение на чл.26 АПК, за започване на производството е уведомена заинтересованата организация– Главна дирекция „Изпълнение на наказанията“ (ГДИН). Жалбата е насочена срещу действия на служители на Затвора– гр. София. Съгласно чл.12, ал.3 от Закона за изпълнение на наказанията и задържане под стража (ЗИНЗС) затворите са териториални служби на Главна дирекция „Изпълнение на наказанията”, която от своя страна е юридическо лице на бюджетна издръжка (ал. 2 на същия член). Следователно, администратор на лични данни в случая е ГДИН.

На ГДИН е предоставена възможността по чл.34, ал.3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения.

Процесуален представител на администратора заявява, че исковата претенция е неоснователна или недоказана. В разглеждания случай ГДИН е действала в условията на чл.4, ал.1, т.1 от ЗЗЛД, а именно обработването на лични данни е необходимо за изпълнение на нормативно установено задължение по чл.194 от АПК. Счита, че посочените два признака– три имена на лицето и професията ѝ, не са достатъчни за индивидуализация.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Разглежданата жалба е съобразена с изискванията за редовност по чл.29 от АПК и по чл.30, ал.1 от Правилник за дейността на Комисията за защита на личните данни и нейната администрация (ПДКЗЛДНА, в редакцията му ДВ бр. 10 от 2016г.)– налице са данни за жалбоподателя, естеството на искането, дата и подпис.

Жалбата е процесуално допустима– подадена в срока по § 44, ал.2 от ПЗР на ЗЗЛД от субект на данни с правен интерес. Същата има за предмет твърдение за нарушаване на права по Регламент 2016/679 или ЗЗЛД. С жалбата е сезиран компетентен да се произнесе орган– Комисията за защита на личните данни, която съгласно правомощията си по чл.10, ал.1 ЗЗЛД във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679 разглежда жалби, подадени от субекти на данни. Налице са предпоставките за допустимост и по чл.27, ал.2 от АПК.

На проведено на 08.07.2020г. закрито заседание на КЗЛД жалбата е обявена за процесуално допустима. Като страни са конституирани жалбоподател С.И. и ответна страна Главна дирекция „Изпълнение на наказанията“. Страните са редовно уведомени за насроченото за 23.09.2020г. открито заседание за разглеждане на спора по същество.

От ГДИН постъпи допълнително становище. Към него са приложени 5 броя длъжностни харектиристики и обяснения от л.св. И.П. Посочва се, че видно от длъжностните характеристики на служителите, действията, които са предприели, са нормативно установени и същите са израз от дейността, която изпълняват.

Предвид невъзможност за явяване за насроченото заседание и желание за лично присъствие, по желание на жалбоподателката разглеждането на жалбата е отложено за 04.11.2020г.

На проведеното открито заседание страните не се явяват, не се представляват.

При така установеното Комисията разгледа жалбата по същество, като я приема за неоснователна въз основа на следното:

С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни, както и правилата по отношение на свободното движение на лични данни. Целта е да се защитават основни права и свободи на физическите лица, по-специално тяхното право на защита на личните им данни.

Предмет на разглежданата жалба е твърдение за неправомерно обработване на лични данни на жалбоподателката чрез предоставянето им на трето лице за целите на съставяне на обяснения, както и употребата и преодставянето им за сезиране на Висшия адвокатски съвет със сигнал.

Видно от представените към жалбата доказателства, след посещение на адв. С.И. в Затвора– гр. София на 01.10.2018г. са изготвени документи относно твърдян конфликт с жалбоподателката– докладни записки и обяснения, които са оформени като сигнал и са изпратени до Висшия адвокатски съвет.

Извършените от администрацията на затвора действия представляват употреба и разкриване чрез предаване на личните данни, които представляват операции по обработване на лични данни по смисъла на чл.4, т.2 от Регламент 2016/679. За да бъде обработването законосъобразно, същото следва да бъде извършено при наличие на някое от условията за допустимост на обработването по чл.6, параграф1 от Регламент 2016/679.

Обработване на лични данни в разлеждания случай следва да се разгледа през професиалното качеството на жалбоподателката– адвокат. Адвокатската дейност подлежи на специална регулация. В чл.136, ал.1 от Закона за адвокатурата (ЗАдв.) е предвидено, че: „Дисциплинарно производство се образува с решение на адвокатския съвет или на Висшия адвокатски съвет при писмено съобщение от държавни органи, юридически или физически лица, както и авторски публикации в медиите, в които се съдържат достатъчно данни за извършено дисциплинарно нарушение.”

Следователно, на държавните органи (каквато е ГДИН) е предоставена законова възможност писмено да сезират Висшия адвокатски съвет при предполагаемо дисциплинарно нарушение, извършено от адвокат. Упражняването на предоставено със закон правомощие на администратор-публичен орган е основание за обработване на лични данни по чл.6, параграф1, буква„д“, предл. второ от Регламент 2016/679, поради което обработването е законосъобразно, а твърдението за нарушение– неоснователно.

Предоставянето на трите имена и професионално качество на жалбоподалката на трето лице– лишен от свобода, за написването на обяснения, е недоказано и неоснователно.

Видно от представените обяснения от лишения от свобода И.П., последният знае имената на адв. С.И. от други лишени от свобода, а не от служители на затвора, поради което твърдението за предоставяне на лични данни е недоказано.

Дори да се приеме, че има предоставяне на лични данни, същото е неоснователно. Съгласно чл.6, параграф4 от Регламент 2016/679, когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:

a) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;

б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;

в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;

г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;

д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация.

Личните данни са събрани първоначално за целите на пропускателния режим в затвора. След това са обработени за целите на изготвяне на обяснения от трето лице във връзка с твърдян конфликт на територията на затвора, които да бъдат представени като доказателство при сезиране на Висшия адвокатски съвет. На територията на затвора затворническата администрация съгласно ЗИНЗС и Правилника за прилагане на ЗИНЗС организира пропускателния режим и следи за реда, който следва да бъде спазван и от външни лица. Във връзка с тези правиомощия ГДИН обработва лични данни на основание чл.6, параграф1, буква„д“, предл. второ от Регламент 2016/679– за изпълнение на предоставените ѝ официални правомощия.

Както беше посочено, адвокатската професия подлежи на специална регулация. Съгласно чл.148, ал.1 от ЗАдв. „Висшият адвокатски съвет води единни адвокатски регистри за адвокати, за младши адвокати, за адвокатски дружества и за чуждестранни адвокати.“ Адвокатските регистри са публични по смисъла на чл.149, ал.1 от ЗАдв. Следователно, трите имена и професионалното качество на жалбоподателката са публични. В разглеждания случай същите са обработени именно при и по повод професионалната ѝ дейност.

Следователно, дори да се приеме, че е извършено предоставяне на лични данни, същото е в съответствие с изискванията на чл.6, параграф4 от Регламент 2016/679, т.е. е съвместимо с първоначалните цели, за които данните са събрани (за организиране и следене на реда в пенитенциарното заведение). Първоначалните цели са за изпълнение на предоставени официални правомощия по смисъла на чл.6, параграф1, буква„д“, предл. второ от Регламент 2016/679, поради което обработването е законосъобразно.

Така мотивирана и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни

Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му чрез Комисията за защита на личните данни, пред Административен съд София– град.