Решение по жалба с рег. № ППН-01-487/24.06.2021 г.

Комисията за защита на личните данни (КЗЛД) в състав: председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков на заседание, проведено на 12.10.2022г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, §1, буква„е” от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента, ОРЗД), разгледа по същество жалба №ППН-01-487/24.06.2021г.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от А.Д., с изложени твърдения за неправомерно обработване на личните ѝ данни от „Х.М.Б.” ЕАД във връзка с регистриран на 28.04.2021г. в Национална агенция за приходите (НАП) трудов договор, какъвто твърди, че не е подписвала.

Жалбоподателката е категорична, че няма трудово-правни отношения с дружеството и не е предоставяла личните си данни на „Х.М.Б.” ЕАД. Допълва, че на 08.02.2021г. се е регистрирала в „Бюро по труда”– Сердика като безработно лице, като за периода от 04.02.2021г. до 03.06.2021г. ѝ е отпуснато обезщетение за безработица, което получавала три месеца. За твърдяното нарушение установила при справка в НОИ, след като не получила обезщетение за последния месец от срока.

Моли комисията за проверка по случая, налагане на санкция на „Х.М.Б.” ЕАД, прекратяване на договора и възстановяване на сумите за обезщетение за безработица, които не е получила заради злоупотреба с личните ѝ данни от страна на дружеството.

Към жалба са приложени относими доказателства.

Жалбата е адресирана и до НАП, откъдето е препратена за разглеждане по компетентност в КЗЛД с придружително писмо с рег. №ППН-01-487#1/06.07.2021г., в което е уточнено, че след извършена проверка в информационните масиви на НАП е установено, че на 28.04.2021г. „Х.М.Б.” ЕАД е подало уведомление по чл.62, ал.5 от КТза сключен с жалбоподателката трудов договорс дата на сключване 28.04.2021г., като на 10.05.2021г. дружеството е подало заявление за заличаване на уведомлението.

С оглед застъпените в административния процес принципи на равенство на страните и истинност, „Х.М.Б.” ЕАД е информирано за образуваното по случая административно производство, указана му е възможността да ангажира писмено становище по изложените в жалбата твърдения и да представи относими по случая доказателства.

В отговор е депозирано становище за неоснователност на жалбата. От дружеството оспорват като неверни изложените от жалбоподателката твърдения. Информират, че на 17.04.2021г., по електронен път, жалбоподателката е подала автобиография за кандидатстване за заемане на свободна позиция в дружеството, проведено е интервю с жалбоподателката, последната е попълнила декларация за съгласие за обработване на личните ѝ данни от дружеството за целите на сключване на трудов договор, както и оферта за работа подписана и от двете страни. Не отричат, че трудов договор формално не е подписан, но твърдят, че офертата за работа съдържа реквизитите на трудово договор и може да се приеме за такъв, поради което дружеството е подало в НАП уведомление по чл.62, ал.5 от КТ. Допълват, че след като кандидатът не се е явил на уговорената между страните дата– 07.05.2021г. „за да оформи/получи оставащите документи, съответно на 10.05.2021г. да се яви на работа” и след като не отговаря на обаждания от страна на дружеството в НАП е подадено заявление за заличаване на вписания трудов договор.

Към становището са приложени относими доказателства.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбата съдържа задължително изискуемите реквизити: данни за жалбоподателя, естеството на искането, дата и подпис, посочена е пасивно легитимираната страна и период на установяване на нарушението, с оглед което жалбата е редовна.

Предмет на жалбата са твърдения за неправомерно обработване на личните данни на жалбоподателката от „Х.М.Б.” ЕАД във връзка с регистриран в НАП на 28.04.2021г. трудов договор. Комисията е сезирана на 24.06.2021г., два месеца след извършване на твърдяното нарушение, предвид което се налага извода, че жалбата е подадена срока по чл.38, ал.1от ЗЗЛД.

Жалбата е подадена от физическо лице с правен интерес срещу надлежна страна–администратор на лични данни, каквото качеството „Х.М.Б.” ЕАД безспорно притежава по смисъла на чл.4, ал.7 от Общия регламент ЕС 2016/679 по отношение на жалбоподателя предвид събраните по преписката доказателства и обстоятелството, че същото е юридическо лице, което само определя целите и средствата за обработване на лични данни. Сезиран е компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1 от ЗЗЛД във връзка с чл.57, §1, буква„е” от Регламент (ЕС) 2016/679, разглежда жалби подадени от субект на данни срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица свързани с обработване на личните данни, като не е налице изключенията по чл.2, §2, буква„в” и чл.55, §3 от Регламент (ЕС) 2016/679 предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции. Извън компетентността на комисията е произнасяне по отношение по поисканите от жалбоподателката обезщетения за допуснатото нарушение и пропуснати ползи, които може да претендира по съдебен ред.

По изложените съображения и предвид липсата на отрицателните предпоставки по чл.27, ал 2 от АПК, на проведено на 20.07.2022г. заседание на комисията жалбата е приета за допустима и като страни в производство са конституирани: жалбоподател– А.Д. и ответна страна–„Х.М.Б.” ЕАД. Насрочено е открито заседание за разглеждане на жалбата по същество на 12.10.2022г. от 13.00 часа, за което страните са редовно уведомени.

С оглед изясняване на случая от фактическа страна и разпределяне на доказателствената тежест в процеса от ответника е изискано да представи заверено копие на въведена в дружеството процедура по назначаване на служители. В отговор и с придружително писмо ППН-01-487#11/02.09.2022г. от дружеството предоставят заверено копие на процедура по назначаване на нов служител с дата ноември 2020г.

На жалбоподателката са предоставени за запознаване изразеното от ответника писмено становище и приложени доказателства с указания да уточни оспорва ли същите, респективно поддържа ли подадената до КЗЛД жалба.

В отговор ППН-01-487#13/06.10.2022г. жалбоподателката сочи, че е съгласна с изложените от дружеството факти касателно предоставените от нея лични данни–изпратено CV и подписана декларация за съгласие за обработване на личните ѝ данни. Категорична е обаче, че трудов договор не е подписвала, а само е „видяла какви условия предлагат”.

На проведено на 12.10.2022г. открито заседание на КЗЛД, жалбата е разгледана по същество.

Жалбоподателката А.Д.– редовно уведомена, не се явява и не се представлява в заседанието.

Ответната страна „Х.М.Б.” ЕАД се представлява от адв. М. с пълномощно представено в заседанието и валидна адвокатска карта.

Адвокат М. оспорва жалбата. Намира сезирането на КЗЛД за нередовно, с аргументи за липса на информация за постоянен адрес на лицето и конкретна посочена дата на узнаване на нарушението.

Твърденията на адв. М. са неоснователни. Видно от материалите по преписката данни за постоянен адрес са налични, съдържащи се в приложено към жалбата копие на документ за самоличност. Относно твърденията за непосочване от страна на жалбоподателката на конкретна дата на узнаване на нарушението следва да се отбележи, че формално в текста липсва изрично посочена дата. Посочен е обаче ясно очертан времеви период в който лицето е узнало за нарушението, с подробно изложена хронология на събитията и приложени в тази връзка доказателства, поради което жалбата е редовна, а възражението на адв. М. неоснователно. Комисията, в условията на служебното начало, е установила конкретна дата на извършване на твърдяното нарушение – 28.04.2021г., а доколкото надзорния орган е сезиран на 24.06.2021г., два месеца след извършване на твърдяното нарушение, формализирането в конкретна дата на узнаване на нарушението е излишно, доколкото видно от доказателствата по преписката жалбата е подадена в срок – 6 месеца от узнаване на нарушението, но не по-късно от две години от извършването му.

По същество адв. М. намира жалбата за неоснователна, като поддържа аргументите изложени в депозирано по преписката писмено становище.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти и предвид събраните доказателства и наведените твърдения, комисията приема, че разгледана по същество жалба №ППН-01-487/24.06.2021г. е частично основателна.

Предмет на жалбата са твърдения за неправомерно обработване на личните данни на жалбоподателката от „Х.М.Б.” ЕАД и предоставянето им в НАП на 28.04.2021г. за регистриране на трудов договор със страни А.Д.– работник и „Х.М.Б.” ЕАД– работодател.

Страните не спорят, а и от събраните по преписката доказателства се установи, че жалбоподателката е кандидатствала за свободна позиция в магазин на дружеството, а именно сътрудник продажби в магазин И.– София, обявена на сайта. Установено е, че на 17.04.2021г., по електронен път, жалбоподателката е изпратила автобиографията си за кандидатстване за позицията, а в последствие на 22 април 2021г. – и подписана оферта за работа и попълнена бланка декларация за съгласие за обработване на лични данни за целите на сключване на трудов договор. В документите се съдържат данни в обем–три имена, единен граждански номер, адрес, номер на лична карта, електронен адрес, снимка и телефонен номер на жалбоподателката същите лични данни по отношение на г-жа А.Д. доколко посредством тях лицето може да бъде индивидуализирано безспорно.

Цитираните документи, респективно съдържащите се в тях данни, са изпратени до дружеството от електронната поща на жалбоподателката, посочена и в жалбата ѝ до КЗЛД, поради което следва, че са предоставени доброволно от лицето. Твърденията изложени в жалбата до КЗЛД, че г-жа А.Д. не е предоставяла личните си данни на дружеството, са в противоречие със събраните по преписката доказателства, след запознаване с които жалбоподателката потвърждава факта на изпратено CV и декларация за съгласие до дружеството. В тази връзка жалбата в частта касаеща твърдения, че лицето не е предоставяло личните си данни на дружество следва да бъде оставена без уважение, като неоснователна, доколкото се установи, че данни са обработени–събрани от дружеството на основание чл.6, §1, букви „а” и „б” от ОРЗД – със съгласие на лицето и за предприемане на стъпки по искане на субекта на данни преди сключване на договор в условията на преддоговорни отношение между страните, инициирани от жалбоподателката чрез изпратена автобиография за кандидатстване за заемане на обявена свободна позиция в магазин на дружеството.

В останалата си част обаче, касаеща твърденията за обработване на личните данни на жалбоподателката за изпращане на данните в НАП за регистриран трудов договор без такъвда е сключван, жалбата е основателна.

От събраните в хода на административното производство доказателства се установи безспорно, че на 28.04.2021г. в НАП е подадено уведомление по чл.62, ал.5 от КТ за сключен на 28.04.2021г. трудов договор между А.Д.– работник и „Х.М.Б.” ЕАД – работодател. На 10.05.2021г. дружеството е подало до НАП уведомление за заличаване на подаденото уведомление за сключен трудов договор. Декларация образец №1 „Данни за осигурено лице” не е подавана.

Нормативно установен е редът и съдържанието на уведомлението по чл.62, ал.5 от КТ, същите регулирани съответно от Наредба №5 от 29 декември 2002г., издадена от Министъра на труда и социалната политика и Наредба №Н-8/29.12.2005г. за съдържанието, сроковете, начина и ред за подаване на данни от работодателите, осигурители за осигурените при тях лица. Съгласно цитираните подзаконови актове в уведомлението се съдържат данни за работника и служителя в обем от три имена и единен граждански номер, същите лични данни за физическото лице предвид обстоятелството, че лицето може да бъде безспорно индивидуализирано. Нормативно определено е, че уведомлението се подава в тридневен срок от подписване/сключване на трудовия договор.

Видно от събраните по преписката доказателства данните на г-жа А.Д., съдържащи се в уведомлението за сключване на трудовия договор, са предоставени от „Х.М.Б.” ЕАД на НАП, а предвид обстоятелството, че предоставянето е форма на обработване на лични данни, приложими относно това обработване са разпоредбите на ЗЗЛД и ОРЗД, регулиращи отношенията по повод обработване на личните данни.

Твърденията на жалбоподателката, че личните ѝ данни са обработени – предоставени от дружеството в НАП без нейно знание и съгласие за регистриране на трудов договор между страните, без такъв в да е сключван, са основателни. Дружеството не е ангажирало доказателства в обратна насока, дори напротив, сочи, че „трудов договор не е подписан формално”.

Доказателства за наличието на сключен трудовия договор регистриран в НАП не е представен, поради което и предвид категоричните твърдения на жалбоподателя, че несключвала такъв, а и твърденията на дружеството че не е подписван регистрирания в НАП трудов договор, следва извода, че не е налице съгласие на субекта на данни за обработване на личните му данни за сключване на трудов договор, откъдето да възникне законово задължение за администратора да обработи данните на физическото лице за целите на подаване на уведомление в НАП, въпреки наличието на преддоговорни отношения между страните. В тази връзка следва да се отбележи, че твърденията на дружеството за наличие на преддоговорни отношения с жалбоподателката, не обосновават различен извод, доколкото към дата на предоставяне на лични данни на жалбоподателя от дружеството в НАП не е сключен регистрирания в агенцията трудов договор.

По силата на чл.62 ал.1 от КТ трудовият договор се сключва в писмена форма, която е условие за валидността му, и със задължително съдържание в него за обстоятелствата по чл.66 ал.1 от КТ, т.е. за да е налице такъв договор, той трябва да е обективиран в документ, отразяващ съвпадащите волеизявления /уговорки/ на страните по него, което се удостоверява с подписването му от всяка от тях /аргумент от чл.180 от ГПК. В разглеждания случай е несъмнено установено, че трудов договор, подписан от двете страни, няма.

Аргументите на ответника, че подписната от жалбоподателката „офертаза работа реално съдържа реквизитите на трудов договор и може да бъде приета за такъв” са неоснователни. На първо място, съгласно представената от дружеството Процедура по назначаване на нов служител е видно че „офертата за работа” е само първи етап от процедурата, която приключва с подписване на друг документ – трудов договор, поради което е ясно, че дори ответника не отъждествява подаването на оферта подписна от кандидата за работа с трудов договор. Още повече, офертата макар да има данни за длъжността, работно време, срок на договора, дата на започване на работа, размер на възнаграждение и месторабота, носи подпис само на кандидата за работа. Офертата не носи подпис на работодателя, като следва да се отбележи, че наименованието на работодателя не е посочен в офертата, поради което същата не може да се приеме за трудов договор, а е по-скоро част от преддоговорните отношения между страните в рамките на разписаната от дружеството процедура по назначаване на служители. Отделно от горното липсва задължителен реквизит на трудовия договор– данни за страните. В офертата са посочени само две имена на работника, без ЕГН, а данни за работодателя въобще липсват, предвид което не може да се приеме виждането на ответника, че офертата за работа може да се приеме за трудов договор между страните и основание за предоставяне на данните в НАП за регистрирането му.

Предвид горното не е налице и нормативно установено задължение на дружеството, като работодател, каквото качество в случая последното не доказа да притежава по отношение на г-жа А.Д., да подаде в НАП уведомление по чл.62, ал.5 от КТ съдържащи лични данни на жалбоподателката.

В конкретния случай не е налице и нито едно от останалите условия за допустимост на обработването, като доказателства в обратен смисъл не са ангажирани, нито пък такива се твърдят от ответната страна. Неприложима е хипотезата за наличие на легитимен интерес на администратора, който да е преимуществен пред интереса на засегнатото физическо лице. Останалите условия са неотносими – приложими са в други, различни и несъвместими с настоящата хипотези касаещи обработване на лични данни за защита на жизненоважни интереси свързани с живота и здравето на субекта на данни, изпълнение на задача от обществен интерес, както и при упражняването на официални правомощия, каквито не се делегирани на дружеството.

От анализ на събраните доказателства се налага извода, че личните данни на жалбоподателката са обработени– предоставени в НАП за регистрация за трудов договор без такъв да е подписан от страните, в нарушение на чл.6, §1 от Регламента, без да е налице никое от посочените в разпоредбата условия за законосъобразност на обработването, като са нарушени правата на лицето сезирало КЗЛД.

При определяне на вида корективна мяркапо чл.58, §2 от ОРЗД, която следва да бъде наложена от страна на КЗЛД за констатираното нарушение, като смекчаващи обстоятелства следва да се имат предвид, че: са нарушени правата на едно физическо лице; дружеството е предприело действия по заличаване на уведомлението 12 дни след регистрирането му и още преди сезиране на КЗЛД и образуване на настоящето административно производство; администраторът съдейства на КЗЛД за изясняване на фактическата обстановка; по отношение на дружеството няма постановени от КЗЛД санкционни решения. Дружеството е обработвало данните на жалбоподателката в преддоговорните взаимоотношения на правно основание.

Като утежняващи следва да се квалифицират обстоятелства, че: са обработени данни за единен граждански номер на лицето, а в резултат на регистрацията са ограничени правата на жалбоподателката в социалната сфера–спрени обезщетения за безработица; нарушението е станало известно на КЗЛД в следствие сезиране от потърпевшото лице.

Обстоятелствата по чл.83, §2, букви „б” и „и” от Регламента са неотносими доколкото се касае за администратор–юридическо лице, което не формира вина, а към момента на извършване на нарушението одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.

С оглед характера на констатираното нарушение комисията счита, че корективните мерки по чл.58, §2, буква„а”,, „в”, „г”, „д”, „е”, „ж”, „з” и „й” от Регламента са неприложими и нецелесъобразни в случая. Предвид обстоятелството, че нарушението е първо за администратора налагането на санкция намира за прекомерно, като счита за пропорционално упражняването на корективно правомощие по чл.58, §2, буква„б” от ОРЗД– официално предупреждение, още повече че обработените данни не са специална категория по смисъла на чл.9 от ОРЗД и са предоставени на държавен орган, който разполага с тях, а администраторът добросъвестно е съдействал за преустановяване на нарушението.

Водима от горното и на основание чл.38, ал.3 от Закона за защита на личните данни, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София – град.