Решение по жалба с рег. № ППН-01-242/17.04.2018 г.

Комисията за защита на личните данни (КЗЛД, Комисията) в състав, председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на редовно заседание, проведено на 05.09.2018г. и обективирано в протокол№34/05.09.2018г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба рег. №ППН-01-242/17.04.2018г., подадена от Б.М. срещу „Л.Д.“ ЕООД.

Административното производство е по реда на чл.38 от ЗЗЛД.

Жалбоподателката е сезирала Комисията за защита на личните данни с жалба с предмет видеонаблюдение. Посочено е, че на 01.03.2018г. е постъпила на работа във фирма „Л.Д.“ ЕООД на длъжност „асистент – продавач“ в магазин с адрес: ******. С постъпването си на работа е запозната с правилника за вътрешния ред, както и с факта, че обектът е под постоянно видеонаблюдение. Г-жа Б.М. сочи още, че за изпълнение на служебнитезадължения се изисква работно облекло, с което според правилата на фирмата няма право да напуска търговския обект. Посочено е, че няма обособена съблекалня, поради което жалбоподателката била принудена да се съблича в склада на магазина, както и че в склада на магазина има монтирани камери за видеонаблюдение, които не са бутафорни и наблюдават в реално време и осъществяват запис. Изразено е притеснение, че камерите се наблюдават от служител – мъж на фирмата, както и че до записите достъп имат „и други служители на фирмата“.

Жалбоподателката информира, че не е давала съгласието си да бъде „наблюдавана и записвана“.

Моли за извършване на проверка по случая, както за заличаване на записите. Счита, че действията от страна на „Л.Д.“ ЕООД представляват нарушение на правата на ѝ, предоставени по ЗЗЛД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая с писмо изх. №ППН-01-242#1/10.05.2018г. на КЗЛД,на управителя на„Л.Д.“ ЕООД (Дружеството) е предоставен срок за писмено становище по предмета на жалбата и представяне на относими доказателства.

В отговор е постъпило становище, заведено с рег. №ППН-01-242#2/21.05.2018г., в което е посочено, че в периода от 01.03.2018г. до 10.04.2018г. между „Л.Д.“ ЕООД и г-жа Б.М. е сключен и действал трудов договор №**** от 22.02.2018г. за заемане на длъжността „асистент продавач“ от последната в качеството ѝ на служител в търговски обект на Дружеството, находящ се в ******. Сочат, че в подадената жалба от г-жа Б.М. е отразено, че при постъпването на работа същата е запозната с правилника за вътрешния трудов ред на Дружеството, както и с факта, че търговският обект на Дружеството, в който жалбоподателката е извършвала трудовата дейност, е под постоянно видеонаблюдение. Информират, че Дружеството е изпълнило всички законови задължения, като е предоставило на г­жа Б.М. декларация, чрез която служителката писмено е потвърдила, че е запозната с всички вътрешни актове на Дружеството и е дала своето изрично писмено съгласие работодателят да има правата да съхранява, обработва и предоставя личните ѝ данни по смисъла на Закона за защита на личните данни на трети лица във връзка с изпълнението клаузите на сключения трудовдоговор.Посочено е още, че подписвайки трудовия договор и съгласно договореното в чл.21 от същия, г-жа Б.М. отново е дала своето изрично писмено съгласие личните ѝ данни да бъдат обработвани и съхранявани от Дружеството в качеството му на администратор на лични данни.

На следващо място информират, че в изпълнение на всички законови изисквания Дружеството е регистрирано от Комисията за защита на личните данни като администратор на лични данни, под идентификационен номер 396878 и поддържа 3 регистъра – „Персонал“, ,,Контрагенти“ и „Видеонаблюдение“. В регистър „Видеонаблюдение“ Дружеството е заявило, че обработването на личните данни в него се осъществява чрез видео-технически средства. На видно място във всичките търговски обекти, включително и в този, находящ се на ******, са поставени указателни информационни табели за извършваното в тях видеонаблюдение, така че както служителите,така ипосетителите са надлежноинформираниза извършваното заснемане.

Считат, че твърденията на г-жа Б.М., че е забелязала, че „във въпросния склад също има монтирани камери за видеонаблюдение“, са в противоречие с представените със становището писмени доказателства и факти, че към датата на постъпването на работа – 01.03.2018г., г-жа Б.М. е била надлежно информирана и е дала изричното си съгласие чрез подписването на Декларацията от 01.03.2018г. да бъде записвана и личните ѝ данни да бъдат обработвани и съхранявани от Дружеството в качеството му на администратор на лични данни.

Изложено е още, че решението за поставянето на видеокамери в търговските обекти на Дружеството е взето с оглед осъществяване на контрол на трудовата дисциплина, от една страна, както и с цел предотвратяване на кражби, от друга. В тази връзка е и отбелязването, че в настоящия случай и присвояването на парични средства от страна на служителката е била причината за прекратяването на трудовия ѝ договор с Дружеството. Като доказателство на тези факти е приложено споразумение за прихващане на парични задължения от 10.04.2018г. (Приложение №4 към становището), видно от което в чл.3, г-жа Б.М. изрично е декларирала и заявила, че дължимата от нея на Дружеството парична сума в размер на 568,14 лева е присвоена от нея в периода от 04.04.2018г. до 09.04.2018г., чрез изнасяне на стока чрез изхвърляне на отпадъците от магазина на работодателя, находящ се в *****.

На следващо място е посочено, че съгласието и декларирането на тези факти от Б.М. водят до единствения извод за недобросъвестното и некоректното поведение и отношение към Дружеството по време на изпълнение на трудовите задължения на жалбоподателката.

Взето е становище и по отношение на изискването за работно облекло, като е посочено, че за изпълнението му съгласно разпоредбата на чл.17, ал.1, т.6 от Правилника за вътрешния ред на ,,Л.Д.“ ЕООД, работодателят е длъжен да създаде на служителите нормални условия за изпълнение на работата по трудовото правоотношение като им осигури работно облекло, включващо престилка, два броя тениски и бадж. Същевременно в чл.20, т.2 от Правилника за вътрешния ред на „Л.Д.“ ЕООД е вменено задължение на служителите да се явяват на работа с работно облекло. Т.е. в нито един от приетите и действащи вътрешни правилници на Дружеството не е уредена забрана служителите да напускат търговските обекти на Дружеството с предоставеното им работно облекло. Твърденията за преобличане на служителката в склада на търговския обект, в който е знаела, че има монтирани и записващи автоматизирани устройства и решението ѝ за това не се основават на приети от ръководството на Дружеството правила, а единствено на лично решение. Информират, че предназначението на складовите помещения на търговските обекти на Дружеството е за съхранение наполучаваните от различните доставчици стоки, които следва да бъдат продавани в търговската зала на обекта.

Молят да се вземе предвид, че Дружеството не толерира такъв вид поведение и противно на изложеното в жалбата, не е поставяно ограничение на служителите да не напускат търговските обекти с работно облекло, обстоятелства които правят изложените в жалбата факти неотносими към спора и считат, че същите не засягат нарушаване правилата при събирането, обработката и съхранението на личните данни на служителката от Дружеството.

На следващо място излагат, че невярно е твърдението на жалбоподателката, че доставчиците на „Л.Д.“ ЕООД имат свободен достъп до склада на магазина. Информират, че достъпът до складовото помещение в магазина на Дружеството е абсолютно забранен за външни лица, каквито несъмнено са и доставчиците на стоки. Всеки един от служителите, постъпващи на работа в Дружеството е информиран и инструктиран за правилата за достъп в помещенията на търговския обект, за което подписва и нарочен документ. Нещо повече, всеки един служител получава и ключ от склада и има задължението през цялото работно време на магазина да осигурява затварянето на вратата към склада, така че външни лица да нямат достъп до него.

С оглед изложеното становището на дружеството е за неоснователност на жалбата и прекратяване на образуваното административно производство.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег. №ППН-01-242/17.04.2018г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбатае съобразена в цялост с изискванията на КЗЛД, съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити за редовност.

Съгласно чл.38, ал.1 от ЗЗЛД при нарушаване на правата му по ЗЗЛД, всяко физическо лице има право да сезира Комисията за защита на личните данни в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му. Жалбата е подадена в срока на чл.38, ал.1 от ЗЗЛД и е допустима.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона.

С жалбата е сезиран компетентен да се произнесе орган – Комисия за защита на личните данни, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

На проведено на 04.07.2018г. заседание на Комисията жалбата е обявена за процесуално допустима и като страни в административното производство са конституирани: жалбоподател – Б.М. и ответна страна – „Л.Д.“ ЕООД. Страните са редовно уведомени за насроченото за 05.09.2018г. заседание на Комисията за разглеждане на жалбата по същество.

На основание чл.36, ал.1 от АПК и решение на КЗЛД, отразено в Протокол №30/04.07.2018г. и Заповед №РД-14-253/13.08.2018г. на Председателя на КЗЛД е извършена проверка във връзка с изясняване на фактите и обстоятелствата по жалбата, обективирана в Констативен акт №ППН-02-671/30.08.2018г.

В резултат от проверката е установено, че на територията на посочения в жалбата търговски обект има изградена и функционираща система за видеонаблюдение, състояща се от тринадесет броя видеокамери, записващо устройство – DVR видеорекордер, свързан към два броя видеодисплеи (монитори) за наблюдение на изходящия образ от същите. Видеокамерите са разположени, както следва: десет броя заснемат различни зони на търговската зала, два броя заснемат складовото помещение, посочено в жалбата и една камера заснема площадката на общия вход на сградата и задния вход на склада към търговския обект. Видеорекордерът и единия от мониторите за наблюдение се съхраняват в складовото помещение, което е с контролиран достъп. Втори монитор е инсталиран непосредствено до касата в търговската зала, като на него се наблюдава в реално време изходящия образ от всички тринадесет броя видеокамери и същият е видим за всички посетители и служители на търговския обект. Посредством видеорекордера, системата позволява съхранение на записи с видеокадри за срок не по-дълъг от тридесет дни, след което същите автоматично се изтриват по реда на тяхното постъпване. Видеорекордерът, функциониращ в периода, в който жалбоподателката е била служител на дружеството, е дефектирал поради токов удар и съдържащата се в него информацията с видеокадри за периода 15.03.2018 – 14.04.2018г. е унищожена и не подлежи на възстановяване. За документиране на това обстоятелство, на 15.04.2018г. е съставен протокол от И.Б. – ръководител отдел „Инвентаризации и вътрешен контрол” на „Л.Д.” ЕООД. Съгласно Инструкция за мерките за защита на личните данни, приета на 15.02.2013г. в сила до 25.05.2018г., както и Политика за видеонаблюдение, утвърдена на 28.05.2018г. от управителя на дружеството, достъпът до видеозаписите е ограничен до малко на брой оторизирани служители на администратора, на базата на принципа „необходимо е да се знае” и преминали инструктаж по защита на данните. Достъп до данните в системата за видеонаблюдение, включително и отдалечен такъв се осъществява посредством идентификация чрез потребителско име и парола. Системата е изградена през 2015г. от външен изпълнител – „С.” ООД по възлагане с поръчка, като дружеството няма права за неконтролиран достъп до системата за видеонаблюдение и записите с видеокадри. Не се установи наличие на видеокамери и/или друг вид технически средства за видеонаблюдение, инсталирани в санитарните помещения. На видни за всички служители и посетители на търговския обект места, са поставени информационни табели, уведомяващи за използването на технически средства за наблюдение в обекта, както и информация за администратора на лични данни с оглед упражняване правата на субектите на данни. По данни на представляващите „Л.Д.” ЕООД, целите и правното основание за извършването на видеонаблюдение в търговските обекти е законен интерес на дружеството, вкл. в качеството му на работодател, сигурността и безопасността, защита на активите, оптимизиране на бизнес процесите и предпазване на служителите си.

В хода на проверката от проверяващия екип изискано трудовото досие на жалбоподателката Б.М. Констатирано е, че при постъпване на работа, същата е подписала Декларация от 01.03.2018г., че е дала съгласието си, работодателят да съхранява и обработва личните ѝ данни, както и че е запозната с Правилника за вътрешния трудов ред на дружеството от 01.03.2012г., изм. със Заповед №8039/28.06.2017г., в който изрично е упоменато, че служителите са длъжни да се явяват на работа с работно облекло. Съгласно Заповед №3648/01.05.2016г. на управителя на проверяваното дружество, се забранява преобличането с работно облекло на служителите в търговските площи и складовите помещения на магазините на „Л.Д.” ЕООД, със задължението същата заповед да се сведе до знанието на всички управители на търговски обекти. Към момента на проверката в дружеството не е постъпвало искане от Б.М. за предоставяне на информация относно обработвани нейни лични данни от администратора.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

Тъй като не всяко лице, което обработва лични данни притежава качеството „администратор на лични данни“ с разпоредбата на чл.3, ал.1 и ал.2 от ЗЗЛД, респективно чл.4, т.7 от Регламент 2016/679е дадено легално определение на понятието, а именно: администратор на лични данни е физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с друг определя целите и средствата за обработване на личните данни, когато целите и средствата за това обработване се определя от правото на съюза или правото на държава членка.

Предвид влизането в сила на 25.05.2018г. на Регламент 2016/679 следва да бъде направено и отбелязването, че съгласно чл.288 от ДФЕС „Регламентът е акт с общо приложение. Той е задължителен в своята цялост и се прилага пряко във всички държави-членки.“ Съгласно чл.15, ал.2 от Закона за нормативните актове (ЗНА) „ако нормативен акт противоречи на регламент на Европейския съюз, прилага се регламентът“.

Не е спорно по преписката, че между жалбоподателката Б.М. и „Л.Д.“ ЕООД е имало валидно правоотношение, съгласно сключен трудов договор №****, който е прекратен, както и че същата е запозната с правилника за вътрешния трудов ред и че обекта е под постоянно видеонаблюдение.

От предоставените като доказателства документи от „Л.Д.“ ЕООД се установи, че г-жа Б.М. е подписала на 01.03.2018г. ( с постъпването си на работа) декларация, с която дава съгласието си на работодателя да съхранява обработва и предоставя личните ѝ данни по смисъла на ЗЗЛД на трети лица във връзка с изпълнението на трудовия договор. От разпоредбата на чл.20, ал.2 от предоставения правилник за вътрешния трудов ред в „Л.Д.“ ЕООД е видно задължението наслужителите да се явяват на работа с работно облекло. От предоставените вътрешни правила не се установиха твърденията на жалбоподателката, че според правилата на фирмата няма право да напуска търговския обект с работно облекло и предвид факта, че няма обособена съблекалня същата е била принудена да се преоблича в складово помещение, в което има монтирани камери за видеонаблюдение.

Следва да се посочи, че обработването на лични данни е допустимо когато е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна), съгласно разпоредбата на чл.4, ал.1, т.3 ЗЗЛД. Обработването на личните данни от страна на работодателя е с оглед изпълнението на трудовите права и задължения.

Предоставената заповед №3648/01.05.2016г., с която „Л.Д.“ ЕООД забранява преобличането с работно облекло на служителите в търговските площи на складовите помещения на магазините на „Л.Д.“ ЕООД не следва да бъде кредитирана като валидно доказателство, предвид факта, че същата е издадена на основание Регламент 2016/679 относно защитата на физическите лица във връзка с обработването на личните данни, чиято първата публикацияв официалния вестник на Европейския съюз е на 04.05.2016г. и същия влиза в сила от 24.05.2016г.

По отношение на исканията на г-жа Б.М. за заличаване на записите, на които присъства, следва да бъде направено отбелязването, че видно от обективираното в констативен акт №ППН-02-671/30.08.3108г., видеорекордерът, функциониращ в периода, в който жалбоподателката е била служител на дружеството, е дефектирал поради токов удар и съдържащата се в него информацията с видеокадри за периода 15.03.2018 – 14.04.2018г. е унищожена и не подлежи на възстановяване, като за документиране на това обстоятелство, на 15.04.2018г. е съставен протокол от И.Б. – ръководител отдел „Инвентаризации и вътрешен контрол” на „Л.Д.” ЕООД.

В параграф 1, т.1 от ЗЗЛД се съдържа определение на понятието „обработване на лични данни“, а именно: всяко действие или съвкупност от действия, които могат да се извършватпо отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

В резултат на установеното при проверката, обосновано, с приложени към Констативния акт доказателства, както и видно от предоставените по административната преписка доказателства следва, че видеонабюдението, предмет на жалбата, е монтирано с цел защита на сигурността и безопасността, защита на материалните активи и предпазване на служителите. Предвид наличието на информационни табели, поставени на видно място и факта, че служителите са запознати за извършваното видеонаблюдение, както твърди и самата жалбоподателка в жалбата, следва, че същото се извършва законосъобразно.

Видно от приложените към административната преписка доказателства е, че целта, за която са монтирани камерите за видеонаблюдение е охранителна по отношение на имота и материална неприкосновеност на собствеността на ответника, както и по отношение на физическата неприкосновеност на гражданите.

Произнасянето на колегиалния орган е свързано с принципите на обработване на личните данни, указани с нормата на чл.2, ал.2, т.1 – т.6 от ЗЗЛД.

Съобразно горепосочената разпоредба личните данни трябва да се обработват законосъобразно и добросъвестно; да се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват.

Предвид изложеното се следва, че извършваното видеонаблюдение посредством цитираните видеокамери не надхвърля целите, за които същото е монтирано, а именно: защитата на имуществената неприкосновеност на ответната страна и личната такава на физическите лица, поради което се прави изводът за неоснователност на жалбата.

С оглед изхода на спора, личното явяване на процесуалния представител на ответната страна в откритото заседание и своевременно направеното искане на разноски, Комисията счита, че са изпълнени предпоставките на разпоредбата на чл.47, ал.2, изречение второ от АПК и признава направените от „Л.Д.“ ЕООД разходи за процесуално представителство в минимума предвиден в Наредба №1 за минималните размери на адвокатските възнаграждения, а именно в размер на 300 лв. (триста лева).

В тази връзка Комисията за защита на личните данни се произнесе със следното

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.