Решение по жалба с рег. № ППН-01-108/20.02.2018 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цветелин Софрониев и Веселин Целков на заседание, проведено на 27.03.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679, разгледа по същество жалба рег. №ППН-01-108/20.02.2018г., подадена от Г.Г.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Г.Г. с изложени твърдения за неправомерно обработване на личните му данни– единен граждански номер и такива касаещи здравословното му състояние,от страна на Общински съвет- В.

Жалбоподателят информира, че от 02.11.2015г. е избран за кмет на община В. и допълва, че съгласно Закона за местното самоуправление и местната администрация при ползване, в това му качество, на отпуск поради временна неработоспособност, издаденият болничен лист се представя в общинската администрация. Твърди, че от извършена проверка от представители на Инспекция по труда по повод отпуск поради временна неработоспособност, установил, че Председателят на Общински съвет В. е изискал от ТП на НОИ– Р. информация за здравословното му състояние, като в подаденото искане е посочил единният му граждански номер.

Господин Г.Г. счита, че Общински съвет В. няма компетенции да съхранява и обработва личните му данни– единен граждански номер, още по малко да изисква и получава информация за здравословното му състояние. Допълва, че не е давал съгласието си за получаване и ползване на личните му данни от страна на Общински съвет (ОС) В. и неговият Председател.

Моли Комисията за проверка по случая и произнасяне относно наведените твърдения за нарушение на ЗЗЛД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от Общински съвет- В. са изискани писмено становище и относими по случая доказателства.

В отговор Председателят на Общински съвет- В. оспорва жалбата и твърди, че не е налице разпространяване или злоупотреба с лични данни на жалбоподателя.Сочи, че съгласно Правилника за организация дейността на Общински съвет– В. „кметът на общината уведомява писмено общинския съвет за времето на отпуск или отсъствие по други причини, както и за лицето, което ще го замества през времето на отсъствието му“. Допълва, че в тази връзка и по повод предоставено от заместник кмета на oбщина В. на ОС-В. уведомление от 18.01.2018г. за отсъствие на г-н Г.Г.- кмет на общината поради временна нетрудоспособност и заповед за заместване, без предоставен болниченлист, се наложило да изискат информация от РЗИ и ТП на НОИ– Р. информация за издаден на г-н Г.Г. болничен лист. Като причина за последното изтъква факта, че по времето на отпуска г-н Г.Г. е пребивавал на работното си място и е участвал в заседанията на Общинския съвет проведени през този период. Г-н М. не оспорва факта, че е изискал тази информация от административен орган– администратор на лични данни по смисъла на закона, в компетенцията на който е да реши да предостави или не изисканата информация, като прецени представлява ли тя лични данни.

Допълва, че Общинският съвет не съхраняване и не обработва данни по смисъла на ЗЗЛД и не води регистри, като сочи че „с тази дейност е натоварена общинската администрация, която е на пряко подчинение на кмета на общината– г-н Г.Г.“.

Счита, че подаденият сигнал цели да злепостави ОС- В.

Към становището са приложени заверено копие на относими по случая доказателства, в това число заверено копие на болничен лист №****.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбата съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес срещу надлежна страна– администратор на лични данни, каквото качеството Общински съвет В. безспорно притежава по аргумент от 4, ал.7 от Общия регламент ЕС 2016/679 и чл.3, ал.1 от ЗЗЛД, предвид качеството му на орган на местно самоуправление по смисъла на чл.чл. 18 от ЗМСМА.

С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД/ респективно чл.55, §1 от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица свързани с обработване на личните данни, като не са налице изключенията по чл.2, §2, буква„в“ и чл.55, §3 от Регламент (ЕС) 2016/679 предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По изложените съображения и с оглед липсата на предпоставки от категорията на отрицателни по чл.27, ал.2 от АПК, на проведено на 06.02.2019г. заседание на Комисията жалбата е приета за процесуално допустима и като страни в производството са конституирани: жалбоподател– Г.Г. и ответна страна– Общински съвет- В., представляван от Председателя на ОС. Жалбата е насрочена за разглеждане по същество за 27.03.2019г., за което страните са редовно уведомени.

За изясняване на случая от правна и фактическа от ответната страна е изискано информация и доказателства за източника от който е получен представения по преписката болничен лист, същият с поставена от Общински съвет- В. заверка„Вярно с оригинала“.

В отговор и с писмо ППН-01-108#7/25.02.2019г. ответната страна информира, че копие на представения по преписката болничен лист, заедно със заповед за заместване, е предоставен от зам. кмета на община В., И.С. по време на заседание на ОС проведено на 07.11.2017г. В допълнение посочва, че разполагат с 3 броя незаверени копие на болнични листа на жалбоподателя, същите предоставени на заседание на ОС от заместващия зам. кмета съгласно заповед за заместване, първия от който предоставен на 29.01.2016г.В подкрепа на твърденията са приложени заверени копие на Извлечение от Протоколи №6/29.01.2019г. и №40/07.11.2017г. и незаверено копие на болничен лист издаден на 17.01.2016г.

На проведено на 27.03.2019г. заседание на КЗЛД, жалбата е разгледана по същество.

Жалбоподателят – редовно уведомен, не се явява, представлява се от адвокат М.М., с представено в заседанието пълномощно, която поддържа жалбата и моля Комисията да приеме същата за основателна. Претендира разноски в размер на 300лв.

Ответната страна– редовно уведомена, представлява се от адвокат Г.З., която поддържа становище за неоснователност на жалбата. Потвърждава, че се касае за практика базирана на Правилника за дейността на ОС, като в допълнение посочва, че случая е специфичен предвид обстоятелството, че се отнася до лице изпълняващо функциите на държавен орган, което следва да търпи по-висока степен на критика и прозрачност по отношение на обработването на личните му данни.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба №ППН-01-108/20.02.2018г. е основателна.

При постановяване на решението е отчетена настъпилата в периода от извършване на нарушението, респективно подаване на жалбата, до разглеждането ѝ по същество промяна в правната рамка в областта на защита на личните данни и факта, че от 25.05.2018г. се прилага Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и обстоятелството, че от 02.03.2019г. е в сила Закон за изменение и допълнение на Закона за защита на личните данни. Отчетен е и факта, че Регламент (ЕС) 2016/679 има пряко действие, аюридически факти и породените от тях последици настъпили преди прилагане на Регламента, следва да се преценяват според материалния закон, който е бил в сила към момента на тяхното възникване. В конкретният случай такива са материалните разпоредби разписани в ЗЗЛД в редакцията преди 02.03.2019г., с оглед обстоятелството, че юридическите факти и правните последици свързани с обработването– събирането на данните касаят период преди прилагане на Регламента, но доколкото и към дата на произнасяне на Комисията събраните данни се съхраняват относими са и разпоредбите на Регламента, като следва да се отбележи, че разпоредбата на чл.5 от ЗЗЛД кореспондира с разпоредбата на чл.9 от Регламента и не ѝ противоречи- същите касаят обработване на специални категории лични данни, в това число такива свързани със здравето.

Ноторно известно е, а и между страните не е спорно, че жалбоподателят е кмет на община В. избран на 02.11.2015г. изпълняващ тази длъжност и към настоящия момент.

Със заповед №515/03.10.2017г. на кмета на община В. е упълномощен зам. кмета на община В., И.С. да изпълнява в пълен обем функциите на кмета на община В. по чл.44 от ЗМСМА, в случаите на ползван от кмета на законоустановен отпуск, болнични и командировки.

От събраните по преписката доказателства се установи, че по повод ползван от жалбоподателя отпуск поради временна неработоспособност и постъпило на 18.01.2018г. в ОС– В. уведомление в тази насока, Председателя на ОС- В. е изпратил писмо до РЗИ –Р., с копие до ТД на НОИ Р., с което е изискал информация за издаден на кмета на община В.- г-н Г.Г. болничен лист, неговата продължителности режим на лечение, както и данни спазен ли е последния. В писмото са посочени както три имена на г-н Г.Г., така и единният му граждански номер. В отговор- писмо №534/20.02.2018г. от РЗИ– Р. отказват предоставяне на изисканата информация с мотиви, че не са налице хипотезите на чл.28, ал.1 от Закон за здравето, относно възможността изисканата информация– здравна по смисъла на закона, да бъде предоставена на трето лице. Отказът е законосъобразен, а обработването– предоставянето и употребата на лични данни– имена и ЕГН на г-н Г.Г. за получаване на такава информация следва да се приеме за допустимо и законосъобразно в хипотезата наупражняване на официални правомощия предоставени на администратора по смисъла на ЗМСМА, а именно контрол върху дейността на кмета, още повече, че данните са предоставени на държавен орган– РЗИ, който разполага с тях, в преценката на който е да предостави или не изисканата информация.

В административното производството обаче се установи нарушение от страна на ОС-В. свързано със събирането и съхранението на чувствителни лични данни– специална категория данни, а именно такива свързани със здравословното състояние на жалбоподателя. Противно на изложените от ответната страна твърдения от събраните по преписката доказателства се установи, че ОС съхранява копие на три болнични листа издадени на жалбоподателя, два от които са представени в настоящето производство, а именно болничен лист №****, издаден на 31.10.2017г. от ОМЦ „Св. Н. Чудотворец“ ЕООД и болничен лист издаден на 17.01.2016г. от МБАЛ „Д-р Теодосий Витанов“ ЕООД.

Безспорно е, че съдържащата се в документите информация представлява лични данни от категорията на чувствителните/специалните по смисъла на чл.5, ал.1, т.3 от ЗЗЛД (отменен) и чл.9, §1 от Регламента, предвид обстоятелството, че в болничните листове освен информация за трите име, адрес, единен граждански номер и заемана длъжност на г-н Г.Г. се съдържат и информация за здравословното му състояние по смисъла на чл.4, §15 от Регламент, а именно такава свързана с физическото му здраве– поставена диагноза. Предвид липсата на изрично съгласие на физическото лице за обработване на данните свързани със здравословното му състояние от страна на ОС-В. и липсата на което и да е от останалите посочени в чл.5, ал.2 от ЗЗЛД (отменен) относно събирането на данните и чл.9, §2 от Регламент 2016/679 относно съхранението им условия за допустимост на обработването, се налага извода, че събирането и съхранението на такава информация, в частност копие на болнични листове в която тя е отразена, е незаконосъобразно и в нарушение на чл.5, ал.1 от ЗЗЛД (отменен), респективно чл.9, §1 от Регламента и въведената с тях забрана за обработване на лични данни свързани със здравословното състояние на субекта на данните. В тази връзка наложилата се в ОС-В. практика, по твърденията на Председателя на ОС-В., за представяне на ОС на издаден на кмета болничен лист ведно със заповед за заместването му при отпуска на кмета поради временна неработоспособност, е порочна и незаконосъобразна и следва да бъде прекратена, като противоречива съобразно разпоредбите на ЗЗЛД и Регламента. Действията на ОС по събраните и съхранение на лични данни свързани със здравословното състояние на жалбоподателя са в нарушение на неприкосновеността на личен живот на лицето, какъвто безспорно дори и публичните личности имат.

За пълнота следва да се отбележи, че Комисията поддържа становището, черолята на едно лице в обществения живот обосновава приоритетния интерес на обществеността да има достъп до информация, отнасяща се до него, а лицата които изпълняват функция на държавен орган следва да търпят по-висока степен на прозрачност и критика. В тази насока е и практиката на Конституционния съд на Република България, съгласно която защитата на личните данни на лица, заемащи публични длъжности, сред които безспорно и е кмета, е много по-занижена, в сравнение със защитата на останалите граждани. Обработването на личните му данни, индивидуализиращи го като орган на власт, е необходимо за изграждане на мнение у гражданите относно дейността на задължения по закон субект. Последното обаче е неотносимо към данните свързани със здравето на лицето– поставени на същото диагнози, чувствителни данни, които са под специална закрила и не са и/или не следва да представляват обществен интерес, доколкото не е налице укоримо поведение, а напротив упражняване на право, което не възпрепятства работата на ОС.

Предвид характера и вида на констатираното нарушение Комисията счита, че в конкретния случай са неприложими корективните мерки по чл.58, §2, букви „а“, „в“, „д“, „е“, „ж“, „з“и„й“ от Реглaмента. С оглед обстоятелството, че нарушението е първо за администратора на лични данни и факта, че не са ангажирани доказателства за неговото преустановяване и същото продължава, счита за целесъобразно, пропорционално и ефективно налагането на корективна мярка по чл.58, §2, буква„г“ от Регламента, а именно разпореждане на администратора на лични данни– Общински съвет– В. да съобрази операциите по обработване на специални лични данни с разпоредбите на чл.9 от Регламента, като преустанови събирането на копие на болнични листове издадени на кмета на община В. във връзка с ползван от него отпуск поради временна неработоспособност и унищожи събраните до този момент такива. Намира, че същата ще има предупредително и възпиращо действие и ще допринесе за спазване на установения правов ред и прекратяване на нарушението.

Комисията признава направените от жалбоподателя разходи за процесуално представителство в претендирания размер от 300лв., предвид изхода на спора, своевременно направеното искане на разноски и личното явяване на процесуален представител на жалбоподателя, като следва да се отбележи, че представителя на ответника не е възразил срещу искането.

Водима от горното и на основание чл.38, ал.3 от Закона за защита на личните данни, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- Р.