Решение по жалба с рег. № ППН-01-285/30.04.2018 г.

Комисията за защита на личните данни (КЗЛД, Комисията) в състав, председател– Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев и Веселин Целков на редовно заседание, проведено на 06.03.2019г. и обективирано в протокол№11/06.03.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни (ЗЗЛД) вр. с чл.57, §1, б.„е“ от Регламент(ЕС)2016/679, разгледа по същество жалба с рег. №ППН-01-285/30.04.2018г., подадена от Д.Д., И.Т., Д.Х., П.Х., Л.П., П.П.,М.А. и А.А., родители на ученици от учебно заведение (У.З.).

Административното производство е по реда на чл.38 от ЗЗЛД.

Комисията за защита на личните данни е сезирана с жалба рег. №ППН-01-285/30.04.2018г., в която са изложени твърдения за неправомерно обработване на личнитеданни на ученици от У.З. от страна на ЕТ „****“.

В жалбата е посочено, че през месец февруари 2018г. е предоставен за подписване договор от родителите, като законни представители на учениците за организирана екскурзия от ЕТ „****“. Информират, че в предоставените договори са били попълнени личните данни на децата, в обем от три имена и единен граждански номер (ЕГН). От жалбоподателите е посочено, че към онзи момент, наличието на личните данни на децата им не е „събудило подозрение“, тъй като екскурзията е организирана от училището. Обяснено е още, че ръководството на училището „официално се дистанцира от организацията на екскурзията с мотива, че „Екскурзията се планира по искане на учениците“. Родителитеизразяват контрааргумент на твърдените, че екскурзията се организира „по искане на учениците“.

Жалбоподателите изразяват възмущение относно факта „как ЕТ „****“ се е сдобила с личните данни на децата ни, без да сме дали изрично съгласие? Кой разполага с личните данни на четиридесет деца и по лична целесъобразност ги предоставя на трети лица?“.

Молят за извършване на проверка и за изясняване на фактическата обстановка и при нарушения за прилагане на закона.

С писмо изх. №ППН-01-285#1/21.05.2018г.ЕТ „****“ е уведомено на основание чл.26 от АПК за образуваното административно производство. Предоставена е възможност за изразяване на становище и представяне на доказателства.

От дружеството е ангажирано становище с рег. №ППН-01-285#3/05.05.2018г., в което е посочено, че в началото на 2018г. по предложение на учители от У.З. от ЕТ „****“ е предоставена оферта за организирано групово пътуване в чужбина за ученици на гимназията. Информират, че с помощта на училището е изготвен списък на учениците, желаещи да се включат в екскурзията, а личните данни на учениците са предоставени доброволно от самите тях и от родителите за целта на договора, за сключване на задължителна застраховка и хотелска резервация. Посочено е още, че за всички ученици, заявили желание за включване в екскурзията са подписани индивидуални договори с техните родители, включително и от жалбоподателите, а единственият изготвен, но неподписан договор се отнася за синът на жалбоподателите И.Т. и Д.Д., като за последните е посочено, че първоначално са изразили устно съгласие, но в последствие не са подписали и върнали изготвения проектодоговор.

В становището е посочено, че въпреки твърденията на жалбоподателите, че не са изразили съгласие, „с подписването на договора, същите са дали недвусмислено съгласие за това“. Информирани са за целта и обхвата на обработване на лични данни, а именно организиране на групово пътуване по закона за туризма, сключване на задължителна застраховка, резервации и последващ граничен контрол.

Информират още, че след подписване на договорите, в хода на разяснителната кампания, част от жалбоподателите са предявили претенции относно начина на организиране на екскурзията и въпреки изразеното писмено съгласие и подписаните договори са подадени жалби в Комисия за зашита на потребителите, Омбудсмана на Република България, Регионално управление на образованието, Министерство на туризма и Министерство на образованието. Сочат, че всички проверки са завършили с констативен протокол и мнение за липса на извършено нарушение.

Считат, че не са извършени нарушения по закона за защита на личните данни. Като доказателства са приложени 4бр. договори за организирано групово пътуване, подписани от жалбоподателите, 4 броя изявления за прекратяване на договорите, договор със застрахователно дружество ЗАД„***“, политика за обработване на лични данни, протокол за проверка на документи от Комисия з защита на потребителите.

С писмо изх. №ППН-01-285#2/21.05.2018г.У.З. е уведомено на основание чл.26 от АПК за образуваното административно производство. Предоставена е възможност за изразяване на становище и представяне на доказателства.

В отговор е постъпило становище с рег. №ППН-01-285#5/07.06.2018г., в което от училището посочват, че ръководството на училището не е инициирало и организирало ученическо пътуване, поради което не е изисквало и събирало оферти от туроператори, а за процесната екскурзия са научили едва след подаване на жалби от родители до различни институции и последвали проверки. От училището твърдят, че не са предоставяли никакви лични данни на ученици на ЕТ „****“.

С писмо изх. №ППН-01-285#15/06.12.2018г. на Комисията, от училището е изискана информация относно твърденията на родителите, че „данните са предоставени от училището на туристическата агенция“. Изискано е да бъдат предоставени и обяснения от г-жа М. и г-жа А.

В отговор от училището е ангажирано становище с рег. №ППН-01-285#17/27.12.2018г., в което отново е посочено, че ръководството на училището не е инициирало и организирало ученическо пътуване, поради което не е събирало оферти и не е сключвало договори с туроператори, не е предоставяло личните данни на учениците на туристическа агенция. Посочено е още, че учителите, в качеството им на служители в училището нямат право да сключват договори от негово име за провеждане на организирани пътувания.

Приложени са и писмени обяснения от г-жа A. и г-жа M., в които изрично е посочено, че не са инициирали или организирали среща между родители и туристическа фирмаЕТ „****“, не са предоставяли лични данни, свързани с договорите, които са попълвани от родителите.

С писма изх. №№ППН-01-285#7/19.07.2018г., ППН-01-285#8/19.07.2018г., ППН-01-285#9/19.07.2018г., ППН-01-285#10/19.07.2018г., ППН-01-285#11/19.07.2018г. от Комисията на основание разпоредбите на чл.18, ал.1 от АПК, във вр. с чл.28, ал.4 от Гражданския процесуален кодекс, от жалбоподателите е изискано да бъдат предоставени документи, от които да е видна представителна власт на родителите. Такива не са депозирани в деловодството на Комисията от Л.П., П.П.,М.А. и А.А.

С писма изх. №№ППН-01-285#23/01.02.2019 и ППН-01-285#24/01.02.2019г. на г-н и г-жа Х., родители на Р.Х. и на Д.Д. и И.Т., родители на Й.Т. са изпратени писма, с които родителите са уведомени, че като жалбоподатели са конституирани децата Р.Х. и Й.Т., предвид факта, че и двамата са непълнолетни към датата на подаване на жалбата в комисията, а съгласно разпоредбата на чл.4 от Закона за лицата и семейството, лицата от 14 години до навършване на 18-годишна възраст са непълнолетни. Те извършват правни действия със съгласието на техните родители или попечители. Дадени са указания на родителите, съгласно разпоредбата на чл.чл. 28, ал.1 от Гражданско– процесуалния кодекс (ГПК), която гласи, че дееспособните физически лица извършват съдопроизводствените действия лично, а от видно от ал.2 от същия чл.„непълнолетните и ограничено запретените извършват съдопроизводствените действия лично, но със съгласието на родителите или попечителите си“.

Уведомени са, че съгласно разпоредбата на чл.36, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), жалбата е искане, с което се търси нарушени на искателя права. Съгласно чл.27, ал.2 от Административнопроцесуалния кодекс (АПК), административният орган проверява предпоставките за допустимостта на искането, с което е сезиран, като според т.6 от разпоредбата преценката за допустимостта се обвързва с наличие на специални изисквания, уредени със закон., в конкретния случай ЗЗЛД и ПДКЗЛДНА.

Указано е, че в случай на неотстраняване на нередовността в подадената жалба, в 7-дневен срок от получаване на писмото, производството по жалбата ще бъде прекратено.

Постъпила е послевдваща жалба, заведена с рег. №ППН-01-285#27(18)/07.02.2019г., подадена от Й.Т.– ученик в У.З. с потвърдени действия и съгласие от родителите:Д.Д.– майка и И.Т.– баща срещу действия осъществени от У.З.и ЕТ „****“ с предмет, сходен с подадената първоначално жалба с рег. №ППН-01-285/30.04.2018г.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

Съгласно чл.57, §.1, т.„е“ от Регламент2016/67 при сезиранетойКомисията за защита на личните данни разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни.Съгласно разпоредбата на чл.36, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), жалбата е искане, с което се търси защита за нарушени на искателя права.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег. №ППН-01-285/30.04.2018г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), а именно: налице са данни за жалбоподателите, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е съобразена с изискванията на КЗЛД, съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити за редовност.

Съгласно чл.38, ал.1 от ЗЗЛД (в редакцията от ДВ.бр.39 от 20Май 2011г.) и предвид разпоредбата на § 44, ал.1 от преходните и заключителните разпоредби към закона за изменение и допълнение на ЗЗЛД при нарушаване на правата му по ЗЗЛД, всяко физическо лице има право да сезира Комисията за защита на личните данни в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му. Жалбата е подадена в срока на чл.38, ал.1 от ЗЗЛД и е допустима.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона.

На проведено заседание на Комисията на 23.01.2019г., обективирано в протокол №3/23.01.2019г. по отношение на лицата Л.П., П.П.,М.А., А.А., жалбата е обявена за недопустима, съобразено с разпоредбата на чл.36, ал.1 от ПДКЗЛДНА, съгласно която е „жалбата е искане, с което се търси защита на нарушени на искателя права“, предвид което за Л.П., П.П., М.А. и А.А. липсва правен интерес от подадената жалба.

Предвид факта, че жалбоподателите Д.Х., П.Х. са предоставили акт за раждане на дъщеря им Р.Х., която към датата на подаване на жалбата е непълнолетна, жалбоподателите Д.Д. и И.Т. също са предоставили акт за раждане, от който е видно, че синът им Й.Т. е непълнолетен към датата на подаване на жалбата и съгласно разпоредбата на чл.28, ал.2 от Граждански процесуален кодекс (ГПК), непълнолетните и ограничено запретените извършват съдопроизводствените действия лично, но със съгласието на родителите или попечителите си, а съгласно разпоредбата на чл.4 от Закона за лицата и семейството, „лицата от 14 години до навършване на 18-годишна възраст са непълнолетни, те извършват правни действия със съгласието на техните родители или попечители, но те могат сами да сключват обикновени дребни сделки за задоволяване на текущите им нужди и да разполагат с това, което са придобили със своя труд“ на проведено заседание на Комисията на 23.01.2019г., обективирано в протокол №3/23.01.2019г., жалбата е обявена за допустима и са конституирани страни жалбоподател – Й.Т., представляван от родителите Д.Д. и И.Т. и Р.Х., представлявана от родителите Д.Х. и П.Х. с указания до страните за отстраняване на нередовности в жалбата, ответни страни – У.З.и Агенция ЕТ „****“. Страните са редовно уведомени за насроченото на 06.03.2019г. заседание.

При изготвяне на настоящото решение е отчетена настъпилата промяна в правната рамка в областта на защитата на личните данни в периода от обработването на личните данни до произнасяне по същество на искането, с което е сезиран административния орган. Съобразен е и факта, че от 25.05.2018г. се прилага Регламент(ЕС)2016/679 на Европейския парламент и на Съвета от 27април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива95/46/ЕО (Общ регламент относно защитата на данните, Регламента) урежда правилата по отношение защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни. Прави се и отбелязването, че съгласно чл.288 от ДФЕС „Регламентът е акт с общо приложение. Той е задължителен в своята цялост и се прилага пряко във всички държави-членки.“ Съгласно чл.15, ал.2 от Закона за нормативните актове (ЗНА) „ако нормативен акт противоречи на регламент на Европейския съюз, прилага се регламентът“. Съгласно разпоредбата на §44, ал.1 от преходните и заключителните разпоредби към закона за изменение и допълнение на ЗЗЛД образуваните производства до 25.05.2018г. и неприключили до влизането в сила на този закон производства за нарушения на закона се довършват по досегашния ред.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимост на жалбата. В конкретния случай, предвид разпоредбата на чл.4, т.7 от Регламент(ЕС)2016/679 и предвид събраните по преписката доказателства се налага извода, че У.З. и ЕТ „****“ са администратори на лични данни.

По преписката не е спорно, че са сключени договори, подписани от страните за организирано пътуване между ЕТ „****“ и Л.П., родител на А.П. (не са предоставили акт за раждане на детето, от който да е видна представителната власт на родителите);М.А., родител на Н.А. (не са предоставили акт за раждане на детето, от който да е видна представителната власт на родителите); Д.Х., родител на П.Х. и Р.Х. (по административната преписка е предоставен акт за раждане на Р.Х.). Установяват се противоречиви твърдения от страна на родителите, училището и туристическа агенция по отношение на данните попълнени в договорите за организирано пътуване. Отбелязва се факта, че административният орган няма компетентността да се произнася относно истинността на съставените документи, но от сравнение на почерка на предоставените договори, може да се направи изводът, че са попълвани от лица с различен почерк. Съгласно разпоредбата на чл.36, ал 2, изречение второ от АПК, страните са длъжни да предоставят доказателствата, които се намират при тях. От страна на родителите, подали жалбата е предоставена като доказателство по административната преписка непопълнена бланка на договорза организирано пътуване и общи условия към договор за организирано пътуване.

По преписката по отношение на лицето Й.Т., не са предоставени доказателства за сключен договор за организирано пътуване между него, чрез родителите му, и туристическата агенция ЕТ „****“.

Съгласно разпоредбата на чл.4, , т.1 от ОРЗД, „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице. Съгласно т.2 от същия чл.„обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Съглсано чл.8, ал.1 от ЗЗД, договорът е съглашение между две или повече лица, за да се създаде, уреди или унищожи една правна връзка между тях. С разпоредбите на чл.84, ал.2 и ал.3 от закона за туризма е регламентирано, че договорът за туристически пакет се изготвя на ясен и разбираем език. Когато договорът е изготвен в писмена форма, той трябва да бъде написан четливо. При сключването на договор за туристически пакет или без необосновано забавяне след неговото сключване туроператорът или туристическият агент предоставя на пътуващия екземпляр от договора или потвърждение за сключване на договора за туристически пакет на траен носител. Когато договорът за туристически пакет се сключва в присъствието на страните по договора, пътуващият има право на екземпляр от договора на хартиен носител. Предвид изложеното, следва че за туристическата агенция е налице правно основание за обработване на лични данни, съгласни разпоредбата на чл.6, , буква „б“ от Регламента.

Въпреки твърденията по административната преписка за изготвен списък, в който се съдържат имената на учениците, които са изявили желание за участие в пътуването, училище У.З. категорично отрича да е инициирало подобно пътуване, още повече да е предоставяло данните на учениците. По административната преписка не е установено наличните на такъвсписък, от който да е видно, че под някаква форма са предоставяни личните данни на деца от училището на туристическата агенция.

1. Обявява жалба с рег. №ППН-01-285/30.04.2018г., подадена от Л.П., П.П., М.А., А.А. за процесуално недопустима, предвид разпоредбата на чл.36, ал.1 от ПДКЗЛДНА във връзка с чл.27, ал.2, . т 6 от АПК, предвид липсата на правен интерес от подаване на жалбата от посочените лица.

2. Обявява жалба с рег. №ППН-01-285/30.04.2018г. за процесуално недопустима и по отношение Д.Х., П.Х., родители на Р.Х. на основание разпоредбите на чл.27, ал.2, т.6 от АПК, във връзка с чл.38, ал.1 от ЗЗЛД, във вр. с чл.36, ал.1 от ПДКЗЛДНА, във вр. с чл.18, ал.1 от АПК, във вр. с чл.28, ал.2 от ГПК и чл.4 от ЗЛС, предвид липсата на представителна власт и неотстраняването на нередовността в жалбата.

3. Оставя без уважение като неоснователна и недоказана жалба с рег. ППН-01-285/30.04.2018г., подадена от лицето Й.Т., с потвърждение на неговите родители по отношение на У.З.

4. Оставя без уважение като неоснователна жалба с рег. ППН-01-285/30.04.2018г., подадена от лицето Й.Т., с потвърдителни действия на неговите родители по отношение на ЕТ „****“, предвид установеното основание за допустимост за обработване на лични данни на основание разпоредбата на чл.6, буква „в“ от Регламента.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред административния съд по смисъла на чл.133, ал.2 от АПК.