Решение по жалба с рег. № ППН-01-229/05.03.2019 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Мария Матева и Веселин Целков, на проведено на 12.12.2019г. заседание, на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, параграф1, буква „е” от Регламент 2016/679 разгледа по основателност жалба рег. №ППН-01-229/05.03.2019г., подадена от М.М. срещу ЕТ „С.Ч.“.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

На 28.02.2019г. жалбоподателят направил справка с ПИК код чрез електронните услуги на НАП и установил, че има регистриран трудов договор на 27.02.2019г. с работодател ЕТ „С.Ч.“.

Г-н М.М. заявява, че не е подавал заявление за започване на работа в тази фирма, не е получавал и насочващо писмо от Бюрото по труда.

Жалбоподателят моли да бъде разпоредена проверка на търговеца откъде, как и защо е решил да злоупотребява с личните му данни.

Към жалбата е приложена справка за актуално състояние на трудовите договори към дата 28.02.2019г.

В условията на залегналото в административния процес служебно начало и в изпълнение на чл.26 АПК, за започване на производството е уведомено лицето, срещу което е насочена жалбата. Предоставена е възможността по чл.34, ал.3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения. В Комисията постъпи отговор от ЕТ „С.Ч.“.

Едноличният търговец заявява, че г-н М.М. е бил безработен, поради което го поканил да започне работа в неговата фирма. Същият приел и сам предостаил ЕГН и три имена, за да бъде изготвен трудовият му договор. Още същия ден се изготвил договорът и жалбоподателят бил поканен в офиса на фирмата да го подпише, но същият се отнесъл несериозно и не отишъл. Междувременно, без г-н Ч. да очаква, че жалбоподателят няма да отиде, подал информация в ТД на НАП, изискваща се по чл.62, ал.5 от КТ. След изтичането на законовия срок служителят не се явил за сключване на трудовия договор, не се явил да започне работа, поради което едноличният търговец бил принуден да заличи подадената в НАП информация.

Г-н Ч. заявява, че няма откъде да да е взел личните данни, ако лицето само не ги е предоставило. Освен това няма интерес да го назначава на работа без негово знание и съгласие, тъй като като работодател ще му дължи трудово възнаграждение и осигуровки, без да престира труд.

Предвид изложените твърдения, от НАП е изискана справка за подадени уведомления по реда на чл.62, ал.5 от КТ. Справката сочи, че има уведомление по чл.62, ал.5 от КТ, подадено от ЕТ „С.Ч.“ на 27.02.2019г. и уведомление за заличаване от 05.03.2019г.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Разглежданата жалба съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация (редакция ДВ бр. 10 от 2016г.), а именно: налице са данни за жалбоподателя, естество на искането, дата и подпис, с оглед на което същата е редовна.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет твърдение за неправомерно обработване на лични данни на жалбоподателя и е насочена срещу администратор на лични данни. С жалбата е сезиран компетентен да се произнесе орган– Комисията за защита на личните данни, която съгласно правомощията си по чл.10, ал.1 ЗЗЛД във връзка с чл.57, параграф1, буква „е” от Регламент 2016/679 и чл.38, ал.1 ЗЗЛД разглежда жалби, подадени от субекти на данни при нарушаване на правата им по Регламент 2016/679 и ЗЗЛД.

На проведено на 23.10.2019г. закрито заседание на Комисията жалбата е обявена за допустима и като страни в производството са конституирани: жалбоподател М.М. и ответна страна ЕТ „С.Ч.”. За 27.11.2019г. е насрочено открито заседание за разглеждане на спора по същество, което е пренасрочено за 12.12.2019г., за което страните са редовно уведомени.

На проведеното заседание страните не се явяват, не се представляват.

При така установеното Комисията разгледа жалбата по същество, като я приема за основателна въз основа на следното:

С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни. Целта е да се защитават основни права и свободи на физическите лица, по-специално тяхното право на защита на личните данни.

Чл. 62, ал.3 от КТ предвижда, че: „В тридневен срок от сключването или изменението на трудовия договор и в седемдневен срок от неговото прекратяване работодателят или упълномощено от него лице е длъжен да изпрати уведомление за това до съответната териториална дирекция на Националната агенция за приходите.” В ал.5 на същата разпоредба е предвидено, че данните, които се съдържат в уведомлението, се определят с наредба на министъра на труда и социалната политика– Наредба №5 от 29 декември 2002г. за съдържанието и реда за изпращане на уведомлението по чл.62, ал.5 от кодекса на труда (Наредбата). Съгласно чл.5, т.2 от Наредбата в уведомлението на работодателя следва да са посочени три имена и единен граждански номер на работника или служителя. В приложение №1 към чл.1, ал.1 от Наредбата е утвърден и образец на уведомлението.

Лични данни означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано (чл. 4, т.1 от Регламент 2016/679). Имената и единният граждански номер на физическото лице имат качеството „лични данни” съобразно посочената разпоредба, тъй като чрез тях лицето може да бъде безспорно идентифицирано.

От изисканата в хода на административното производство справка от Национална агенция за приходите се установи, че администраторът ЕТ „С.Ч.“ е използвал личните данните на жалбоподателката в обем три имена и единен граждански номер, като на 27.02.2019г. е подал в НАП уведомление на основание чл.62, ал.3 и 5 от КТ за сключен трудов договор, като няколко дни по-късно– на 05.03.2019г., е подал уведомление за заличаването му, което представлява обработване на личните данни по смисъла на чл.4, т.2 от Регламент 2016/679.

В чл.6, параграф1 от Регламент 2016/679 са определени условията, при наличието на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физическите лица следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

В чл.62, ал.1 КТ е предвидена писмена форма за действителност на трудовия договор. С оглед обстоятелството, че не са представени доказателства за сключването на регистрирания в НАП трудов договор– т.е. подписан от работодателя и работника/служителя, се налага извод, че не е налице съгласие като условие за допустимост на обработването на лични данни по чл.6, параграф1, буква „а” от Регламент 2016/679 и необходимост за обработване за изпълнение на задължение по договор, по който физическото лице е страна по смисъла на чл.6, параграф1, буква „б” от Регламент 2016/679. Не е приложимо и основанието по чл.6, параграф1, буква „в” от Регламент 2016/679– за спазване на законовото задължение по чл.62, ал.3 КТ, което се прилага спрямо работодателя, тъй като такова качество не е доказано да притежава администратора спрямо жалбоподателя. Срокът за подаване на уведомлението започва да тече от сключване или изменение на трудовия договор, което изисква подписаването му от двете страни– работодател и работник/служител. Останалите основания по чл.6, параграф1, букви „г“-„е“ също не са налице– обработването не е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице; обработването не е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора; обработването не е необходимо за целите на легитимните интереси на администратора или на трета страна с преимущество пред интересите или основните права и свободи на субекта на данните.

С оглед изложеното, личните данни са обработени без основание– нарушение на чл.6, параграф1 от Регламент 2016/679.

При така констатираното нарушение жалбата следва да бъде уважена. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените ѝ функции преценява кое от корективни правомощия по чл.58, пар. 2 от Регламент 2016/679 да упражни. Преценката се основава на съображенията за целесъобразност и ефективност на решението при отчитане на особеностите на всеки конкретен случай и степента на засягане на интересите на конкретното физическо лице– субект на данни, както и на обществения интерес. Правомощията по чл.58, пар. 2, без тази по буква „и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне дължимото поведение в областта на зашитата на личните данни. Административното наказание „глоба” или „имуществена санкция” по чл.58 пар. 2, буква „и” има санкционен характер. При прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента се взема предвид естеството, тежестта и последиците от нарушението, както и всички смекчаващи и отегчаващи отговорността обстоятелства. Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява и целта, преследвана с избраната корективна мярка– предотвратяване или преустановяване на нарушението, санкциониране на неправомерното поведение или и двете, каквато възможност е предвидена в чл.58, пар. 2, буква „и” от Регламент 2016/679.

Констатираното нарушение е първо за администратора, което е смекчаващо отговорността обстоятелство. Освен това уведомлението за заличаване на трудовия договор е изпратено в НАП само 6 дена след уведомлението за сключване, което потвърждава и изложеното в становището. Тези действия водят и до предотвратяване на евентуални негативни последици за жалбоподателя, произтичащи от трудово, осигурително, данъчно и др. естество.

Предвид посочените смекчаващи обстоятелства, на администратора на лични данни следва да бъде корективна мярка по чл.58, пар. 2, буква „б” от Регламент 2016/679– официално предупреждение за извършеното нарушения, която има за цел да предотврати бъдещи нарушения, като укаже на администратора какво е дължимото поведение– първо се подписва трудовият договор от работодател и работник, а след това се изпраща уведомлението в НАП.

Така мотивирана и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни

Решението може да бъде оспорено в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд– Смолян.