Решение по жалба с рег. № ППН-01-389/12.05.2021 г.

Комисията за защита на личните данни (КЗЛД) в състав: председател: Венцислав Караджов и членове: Цанко Цолов и Веселин Целков на заседание, проведено на 02.02.2022г., на основание на основание чл.10, ал.1 от Закона за защита на личните данни, респективно чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента, ОРЗД), разгледа по същество жалба №ППН-01-389/12.05.2021г., подадена от Р.З. срещу С.П.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с подадена от Р.З. жалба №ППН-01-389/12.05.2021г., с изложени твърдения за неправомерно обработване на лични данни, в хипотезата на осъществявано от съседа ѝ С.П. видеонаблюдение в сграда в режим на етажна собственост, посредством камера монтирана над входната врата на жилището му с адрес гр. София, *******.

Госпожа Р.З. твърди, че видеонаблюдението се осъществява без решение на общо събрание на етажната собственост, както и без съгласие на живущите в сградата, а в обхвата на камерата попада апартамента ѝ, апартамент 25, както и съседни апартаменти 23 и 24. Моли комисията за проверка по случая и преустановяване на видеонаблюдението, за което твърди, че се осъществява против волята ѝ и в нарушение на личната ѝ неприкосновеност.

Към жалбата не са приложени доказателства, същата е подадена по електронен път, без да е подписана с квалифициран електронен подпис. Жалба с идентично съдържание е подадена и по пощата и заведена с ППН-01-419/02.06.2021г.

Съгласно принципите на равенство на страните в производството и истинност, С.П. е уведомен за подадената жалба, като му е указана възможността да представи писмено становище и относими по случая доказателства, но такива не са депозирани.

С оглед изясняване на случая от фактическа страна е извършена проверка по предмета на жалбата, резултатите от която са обективирани в Констативен акт ППН-02-562/15.11.2021г., с приложения към него, в това число Констативен протокол от 11.11.2021г., графични изображения на местоположението и обхвата на камерата и попълнен въпросник.

Проверката на място е открита на 11.11.2021г. Екземпляр от заповедта за проверка е връчен на С.П., в присъствието на неговия син Д.П.

От извършената проверка се установи следното:

Проверяваният обект е семейно жилище в 16-етажна жилищна сграда в режим на ЕС с общо 105 бр. апартаменти.

Системата за видеонаблюдение се състои от 1 бр. IP стационарна видеокамера (HIKVISION, липсва стикер и не е запазена документация oтносно модела на камерата) и записващо устройство (DVR HIKVISION модел DS7104HQHI-K1) с капацитет 931.52 GB. Към момента на проверката записващото устройство и видеокамерата функционират. Кадрите в реално време се наблюдават на телевизор, който, заедно със записващото устройство, са разположени в помещение в апартамента на С.П. (детска стая).

Изложени са твърдения, че системата за видеонаблюдение е изградена лично от С.П. с превантивна охранителна цел в началото на 2021г. в качеството му на физическо лице. Не е предоставена удостоверяваща документация точно кога е инсталирана, както и решение на Общото събрание на ЕС или писмено съгласие от останалите живущи в сградата.

Достъп (локален и отдалечен) до изградената система за видеонаблюдение, в т.ч. поддръжка и настройки, изходящия образ от видеокамерата в реално време и записите с видеокадри, имат единствено С.П. и неговият син, включително посредством софтуерно приложение (Hik-Connect), инсталирано на мобилните им телефони.

Установено е, че системата за видеонаблюдение осъществява запис на видеокадрите при движение в обхвата на видеокамерата. Записите с видеокадри се съхраняват на записващото устройство до запълване капацитета на диска. Най-старите открити записи са от 15.02.2021г.

Камера 1 е разположена в горния десен ъгъл над входната врата на апартамента на С.П., насочена е и заснема пространството непосредствено пред входната врата на неговия апартамент и под остър ъгъл подхода за етажната площадка.

От съхранените записи се констатира, че в периода от 15.02.2021г. до 25.08.2021г. вкл. в обхвата на видеонаблюдението/видеозаснемането попада по-голяма част от етажната площадка, вкл. подхода към апартамента на жалбоподателя. Считано от 26.08.2021г. С.П. е променил обхвата (еднакъв до момента на настоящата проверка) и етажната площадка, апартаментът на подателя на жалбата, както и други съседни апартаменти не се видеонаблюдават/видеозаснемат.

Посредством изградената система за видеонаблюдение се обработват лични данни на следните категории физически лица: живущи и посетители на апартамента на С.П.

Системата за видеонаблюдение позволява идентификация на физически лица. Не позволява лицево разпознаване на физически лица (посредством осъществяване на достъп до база с данни).

По време на проверката на място не се извършва предаване и запис на моментни снимки и видеокадри от образа на отдалечено устройство (FTP/Cloud сървър, е-mail или друго място за съхранение на данни).

В събраната документация липсват данни за извършване на охрана на обекта от друго физическо/юридическо лице по реда на Закона за частната охранителна дейност, което да има права на достъп до системата за видеонаблюдение.

Администраторът е предприел следните технически и организационни мерки за защита на данните: достъпът до системата за видеонаблюдение се осъществява след въвеждане на потребителско име и парола.

Не са налице информационни табели, предупреждаващи за извършваното видеонаблюдение.

От страна на С.П. не са предоставени документи (правила, процедура, инструкция, или други), описващи предприетите технически и организационни мерки за защита на личните данни и регламентиращи тяхното обработване чрез изградената система за видеонаблюдение.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

За да упражни правомощията си, комисията следва да бъде валидно сезирана.

Жалба ППН-01-389/12.05.2021г. съдържа задължително изискуемите реквизити, а именно: налице са данни за жалбоподателя, естеството на искането, дата и пасивно легитимирана страна. Жалбата е подадена по електронен път, без да носи подпис на жалбоподателя. Този недостатък в искането е саниран с подадена по пощата жалба ППН-01-419/02.06.2021г., с идентично съдържание, подписана от подателя г-жа Р.З., предвид което жалбата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38 от ЗЗЛД от физическо лице с правен интерес срещу пасивно легитимирани страни- физическо лице С.П., за което се твърди, а и комисията при проверка е констатирала, че има качеството на администратор на лични данни по смисъл чл.4, ал.7 Регламент ЕС 2016/679, доколкото определя целите и средствата за обработване на лични данни чрез видеонаблюдение. В хода на проверката се установи, че достъп до видеонаблюдението има освен пасивно легитимирана страна С.П. и синът му Д.П., с оглед на което същият следва да участва в производството като ответна, служебно конституирана страна. Сезиран компетентен да се произнесе орган – КЗЛД, която съгласно правомощията си по чл.10, ал.1 от ЗЗЛД във връзка с чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни свързани с обработване на личните данни, като не са налице изключенията по чл.2, §2, буква„в“ и чл.55, §3 от Регламент (ЕС) 2016/679 предвид обстоятелството, че случаят не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По горните съображения и предвид липсата на отрицателните предпоставки посочени в чл.27, ал.2 от АПК, на проведено на 24.11.2021г. заседание на комисията жалбата е приета за допустима и като страни в производство са конституирани: жалбоподател – Р.З. и ответни страни – С.П., пасивно легитимирана страна и Д.П., служебно конституирана страна. Насрочено е открито заседание за разглеждане на жалбата по същество на 02.02.2022г. от 13.00 часа. Страните са уведомени за извършена по случая служебна проверка, заверено копие от констативен акт от проверката им е изпратен за запознаване и становище.

На проведено на 02.02.2022г. заседание на комисията, жалбата е разгледана по същество.

Страните- редовно уведомени, не се явяват и не се представляват в заседанието пред комисията.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти и предвид събраните доказателства и наведените твърдения, комисията приема, че разгледана по същество жалба ППН-01-389/12.05.2021г. е основателна.

Предмет на жалбата са твърдения за неправомерно осъществявано от С.П. видеонаблюдение в страда в режим на етажна собственост, посредством камера монтирана над входната врата на жилището му с адрес гр. София, *****.

Съгласно легалното понятие видеонаблюдението е техническа форма на обработка и съхранение в предвидения в закона срок на лични данни, извършвани при спазване на изискванията за защита на личните данни, включваща заснемане на лица в охраняван обект и запис на получените данни. Съдържащата се във видеозаписите от средства за наблюдение информация за физическото лице в съвкупност- образ, ежедневни навици, поведенчески реакции и социални контакти, попадат в обхвата на понятието лични данни, тъй като лицето може да бъде идентифицирано по безспорен начин. Събирането и съхраняването на лични данни представлява форма на обработването им по смисъла на чл.4, §1, т.2 от Регламент (ЕС) 2016/679 и като такова следва да се извършва при спазване на разпоредбите на ЗЗЛД и Регламента.

От събраните по преписката доказателства се установи, а и между страните не е спорно, че на адреса се намира жилищна сграда в режим на етажна собственост, в която жалбоподателката и ответникът са съседи – притежават собствени жилища, разположени на ет. 4 в сградата.

Констатирано е наличието на изградена в имота на ответника система за видеонаблюдение състояща се от записващо устройство (DVR HIKVISION модел DS7104HQHI-K1) с капацитет 931.52 GB и 1 бр. IP стационарна видеокамера, монтирана в горния десен ъгъл над входната врата на апартамента на С.П. Установено е, че към дата на проверката (11.11.2021г.) камерата е насочена и заснема пространството непосредствено пред входната врата на апартамента на ответника и под остър ъгъл подхода за етажната площадка. Констатирано е обаче, че в периода от 15.02.2021г. до 25.08.2021г. вкл. в обхвата на видеонаблюдение е попадала по-голяма част от етажната площадка, вкл. подхода към апартамента на жалбоподателя. Считано от 26.08.2021г. С.П. е променил обхвата на камерата, като от 26.08.2021г. до 11.11.2021г. (етажната площадка, апартаментът на подателя на жалбата, както и други съседни апартаменти не се видеонаблюдават/видеозаснемат. Видно от доказателствата по преписката промяната е направена няколко дни след уведомяване на ответника за образуваното пред КЗЛД производство, като е безспорно, че промяната касае имено производството, без обаче КЗЛД да е информирана от г-н С.П. за първоначалния обхват на видеонаблюдение и последващата промяна, обстоятелства които обаче са констатирани от проверяващия екип на КЗЛД.

Предвид местоположението и обхвата на камерата и поведението на ответника С.П. се налага извода за видеонаблюдение осъществявано в нарушение на принципа на „законосъобразност, добросъвестност и прозрачност“ по чл.5, §1, буква„а“ от ОРЗД, доколкото в обхвата на видеонаблюдение попадат общи части от етажната собственост.

Доказателства за взето решение от Общо събрание на етажната собственост за осъществяване на видеонаблюдението не са ангажирани, въпреки дадените изрични указания тази насока, предвид което следва да се приеме, че такова липсва, съответно не може да се приеме, че видеонаблюдението е в изпълнение на произтичащо от Закона за управление на етажната собственост нормативно установено задължение приложимо спрямо администратора. В тази връзка следва да се подчертае, че за обработването на лични данни чрез видеонаблюдение с цел охрана в сгради в режим на етажна собственост, законодателят е предвидил специален ред, който в случая не е спазен. Видеонаблюдението е незаконосъобразно, доколкото не е налице и нито едно от останалите условия посочени чл.6, §1 от Регламента, като доказателства в обратен смисъл не са ангажирани. Липсват доказателствата които да обосноват приложимостта на чл.6, §1, буква„б“ от ОРЗД- наличие на сключен между страните договор за изпълнението на който да е необходимо обработване на лични данни посредством процесната камера или за предприемане на стъпки по искане на субекта на данни преди сключване на договора. Основания по чл.6, §1, буква„г“ и „д“ от ОРЗД са неотносими- приложими са в други, различни и несъвместими с настоящата хипотези касаещи обработване на лични данни за защита на жизненоважни интереси, изпълнение на задача от обществен интерес, както и при упражняването на официални правомощия, каквито не се делегирани на ответника г-н С.П. Не може да се приеме, че е налице и преимуществен интерес на г-н С.П. за видеонаблюдение осъществявано извън рамките на собствеността му, като доказателства и дори твърдения в обратна насока липсват, поради което следва да се приеме, че преимущество намира интересът на физическите лица, за които се отнасят данните, пред този на лицето, поставило съответната камера. Няма представени доказателства по преписката за извършени незаконосъобразни действия от трети лица, застрашаващи личната неприкосновеност на лицето или на неговото семейство, които да обосновават надделяващ интерес на администратора.

По отношение на аргумента на ответната страна за монтиране на камерата, а именно с цел охрана на собствеността, следва да се отбележи, че обработването на лични данни посредством видеонаблюдение е законосъобразно и допустимо когато е необходимо за целите на легитимния интерес на администратора за защита на собствеността и защита на имуществото му и доколкото същото се осъществява в рамките на имота. Доколкото обаче в обхвата на камерата попадат общи части от етажната собственост – стълбищни площадки, без решение на Общо събрание на етажна собственост, и предвид целта на осъществяваното видеонаблюдение, обхвата и техническите характеристики на камерата се налага извода за видеонаблюдение осъществявано в нарушение на принципите на законосъобразност, с оглед обстоятелството, че се заснема площи извън собствеността на администратора. Отделно от това комисията приема, че обработването не отговаря и на принципа на прозрачност доколкото липсва информационна табела за осъществяваното видеонаблюдение и данни за администратора. Липсват и правила относно достъпа до кадри от видеонаблюдение, като се установи, че достъп се осъществява и от трето лице – синът на С.П., без да е ясно дали лицата са съвместни администратори или имат качеството администратор – обработващ. Поведението на администратора свидетелства и обработване на данните в нарушение на принципа на добросъвестност, доколкото се констатира промяна в обхвата на видеонаблюдение в хода на вече образувано производство, без информиране на КЗЛД за параметрите на видеонаблюдението към дата на сезиране на органа и последващи предприети действия по промяна в последствие.

Предвид характерът и видът на констатираното нарушение и обстоятелството, че същото не е преустановено, а също и че засегнатите лични данни не са чувствителни по смисъла на закона и няма данни за настъпили вреди от обработването, комисията счита за целесъобразно, пропорционално и ефективно налагането на корективна мярка по чл.58, §2, буква„г“ от Регламент ЕС 2016/679, като намира, че същата ще постигне целта на закона- ще преустанови нарушението и ще възстанови установения правов ред по отношение на обработването на личните данни. Останалите меркиза по чл.58, §1, буква„а“, „б“, „в“, „д“, „е“, „ж“, „з“ и „й“ от ОРЗД са неприложими и нецелесъобразни поради естеството на нарушението и обстоятелството, че към момента на произнасяне същото не е преустановено. Комисията намира, че доколкото нарушението е първо налагането на глоба на администратора би било прекомерно и в нарушение на принципа на съразмерност по чл.6 от АПК съгласно който „когато с административния акт се засягат права или се създават задължения за граждани, се прилагат онези мерки, които са по-благоприятни за тях, ако и по този начин се постигне целта на закона.“Следва обаче да се отбележи, че неизпълнението на даденото от комисията разпореждане, в указания срок, е скрепено със санкция за неизпълнение с оглед неговата ефективност и възможността за допълнителен санкционен механизъм по проверка и контрол на изпълнението. Целта е постигане на генерална превенция и пропорционално и законосъобразно обработване на лични данни. Така разпореждания са ефективни, тъй като са скрепени със съответните санкции при неизпълнение, като законодателя предвижда при неспазване на влязло в сила разпореждане на надзорния орган да бъде наложено административно наказание „глоба“ или „имуществена санкция“ по чл.83, параграф 6 от Регламент 2016/679 в размери до 20000000 EUR.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София- град.