РЕШЕНИЕ
№ППН-01-61/17г.
София, 08.10.2019г.
Комисията за защита на личните данни (КЗЛД) в състав: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, на открито заседание, проведено на 12.06.2019г., предвид разпоредбата на §44, ал.1 от Преходните и заключителните разпоредби на Закона за изменение и допълнение на Закона за защита на личните данни, на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (отм.), разгледа жалба с рег. №ППН-01-61/13.09.2017г., подадена от А.К. срещу Министерство на вътрешните работи (МВР).
Господин А.К. уведомява, че е гражданин на Финландия и постоянно живее във Финландия. Жалбоподателят информира, че е пристигнал в България на 30.06.2017г. заедно със семейството си– с полет от Хелзинки до летище Варна, за планувана лятна отпуска.
Преди обратния полет за дома– на 07.07.2017г., на летище Варна, господин А.К. е задържан от гранична полиция и не е допуснат да се прибере във Финландия, а впоследствие е изправен пред Варненския окръжен съд, който постановява задържането му за срок от 40 дни.
Жалбоподателят разбира, че задържането му е резултат от подадено от властите на Република Того искане, оповестено чрез системата на Интерпол, за издирване с цел наказателно преследване на лице, чийто данни– две имена и държава на произход, съвпадат с неговите.
Въпреки че, към искането си властите на Того не са представили снимки, дактилоскопска карта или други (паспортни) данни на издирваното лице, властите в България задържат господин А.К..
Същевременно, българските власти уведомяват тези на Того и Финландия за задържането на жалбоподателя.
Властите на Финландия потвърждават, че той е техен гражданин, че притежава, представените от него паспорт и лична карта на финландски гражданин, както и че на 12.06.2016г. са изпратили запитване до властите в Того– да им бъдат предоставени данни за твърдените за извършени престъпления, както и повече данни, позволяващи да се установи самоличността на издирваното лице, тъй като А.К. има същите данни – като име, дата и страна на произход, но до момента – от властите на Того не е получена никаква информация.
При така създалата се ситуация, на 07.07.2017г., властите в България заснемат документите за самоличност на А.К., правят му снимки, вземат му пълни дактилоскопски отпечатъци и без да имат основание за това, изпращат всичките му лични данни на властите в Того.
Жалбоподателят твърди, че без искащата държава да е предоставила идентификационни данни по отношение на лицето, което издирва, България, без да има основание, е изпратила всички негови лични данни на трета държава– Того.
Дори собствената държава на А.К., не е направила подобно нещо, въпреки че е имала същите задължения по искането, подадено от Того.
Впоследствие, Софийски градски съд разглежда искането на властите на Того за екстрадиция и се произнася, като отказва А.К. да бъде екстрадиран по искане на Того.
Жалбоподателят счита, че предоставянето на неговите лични данни от МВР на властите на трета държава– Того, представлява нарушение на правата, предоставени му от ЗЗЛД и от Правото на ЕС.
А.К. изтъква, че не е издирваното от Того лице, а властите в България– вместо да изискат информация от искащата държава, незаконосъобразно и необосновано са предоставили всички негови лични данни, изпращайки ги на Того.
От МВР е изискано и депозирано писмено становище по жалбата, с която господин А.К. сезира КЗЛД.
В становище рег. №ППН-01-61#6/11.12.2017г. от МВР ангажират аргументи за неоснователност на подадената жалба.
Сочи се, че съгласно чл.43а, ал.3 от Закона за МВР, Дирекция „Международно оперативно сътрудничество” (ДМОС) е структура на МВР за организиране и координиране на международния обмен на оперативна информация, за координиране и методическо подпомагане на международното оперативно взаимодействие и за осъществяване на екстрадиция, предаване и трансфер на лица.
Като национална точка за контакт по линия на Интерпол, ДМОС следва да обменя цялата налична информация за издирвани и задържани лица със съответната искаща държава– членка на Интерпол, въвела сигнала за международното издирване на лицето.
Изтъква се, че в разглеждания случай, органите на МВР са обработили данните на господин А.К. напълно законосъобразно, упражнявайки свое правомощие по извършване на оперативно-издирвателна дейност, съгласно чл.8 и сл. от ЗМВР.
Съгласно чл.9, ал.2, т.2 от ЗМВР, основание за извършване на оперативно – издирвателна дейност могат да бъдат и искания, направени от друга държава или организация по силата на международни договори, по които РБългария е страна. В конкретния случай се касае за искане за задържане и екстрадиция на А.К., отправено към България от Тогоанската република по силата на правната рамка на Международната организация на криминалната полиция „Интерпол”, на която двете държави са членове.
Подчертава се, че основанието за задържане на А.К. и последвалия обмен на лични данни между българските власти и властите на Того, попадат в обхвата на чл.9, ал.2, т.2 от ЗМВР и чл.4 , ал.1, т.6 от ЗЗЛД.
Според МВР, ДМОС е извършила действия съгласно чл.36а, ал.7, т.4 от ЗЗЛД, който визира предоставянето на лични данни в трета държава ако „предоставянето е необходимо или се изисква от закона, поради значим обществен интерес или за установяването, упражняването или защитата на права по съдебен ред”.
На свое редовно заседание, проведено на 24.01.2018г., КЗЛД приема жалба рег. №ППН-01-61/13.09.2017г. за допустима и я определя за разглеждане в открито заседание на комисията, насрочено за 14.02.2018г.
В становище рег. №ППН-01-61#6/11.12.2017г.на МВР, е посочено, че обменът на лични данни за издирвани и задържани лица се осъществява двустранно, както от страната, искаща лицето към страната, в която лицето е установено, така и от страната, в която лицето е установено, към страната, която издирва лицето. Предвид описаната практиката, самоличността на лицата се потвърждава чрез два способа, а именно: потвърждаване в държавата, в която лицето е установено след сравняване на дактилоскопичните данни, получени от искащата държава с дактилоскопичните данни, снети от лицето при неговото задържане или изпращане на дактилоскопичните данни, снети при задържане на лицето, за сравнение на искащата държава, която поема задължението да извърши необходимата дактилоскопична справка и да потвърди самоличността му, от МВР е изискана информация за нормативната база, на която тази практика се основава.
В становище рег. №ППН-01-61#12(17)/13.02.2017г., МВР не предоставя исканата информация, а само интерпретира отново доводите, ангажирани в предходното становище по случая, депозирано по-рано в КЗЛД.
В чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА) са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушение на правата им по ЗЗЛД. Жалбата, подадена от господин А.К. срещу МВР отговаря на нормативно установените изисквания, поради което е редовна.
Жалбата е подадена от физическо лице, при наличие на правен интерес и в срока по чл.38, ал.1 от ЗЗЛД, поради което се явява допустима. Жалбата е насочена срещу МВР, което е администратор на лични данни по смисъла на чл.3, ал.1 от ЗЗЛД.
На свое редовно заседание, проведено на 24.01.2018г. КЗЛД приема жалба рег. №ППН-01-61/13.09.2017г.,подадена от А.К. срещу МВР за допустима. На основание чл.38, ал.3 от ПДКЗЛДНА комисията конституира жалбоподателя и МВР – като ответна страна ответна страна в производството.
Жалба рег. №ППН-01-61/13.09.2017г. е определена за разглеждане в открито заседание на КЗЛД, насрочено за 14.02.2018г., на което се явяват адв. Б.К.– процесуален представител на господин А.К. и главен юрисконсулт В.Т.– процесуален представител на МВР.
В хода на разглеждането по същество на жалба рег. №ППН-01-61/13.09.2017г., комисията взема решение от МВР да бъде изискана допълнителна информация за официалната кореспонденция водена между министерството и Финландия, както и относно действията, предприети по случая от финландска и съответно– реципрочно, от българска страна.
Комисията изисква от МВР предоставяне на сигнала от Интерпол, заедно със съпътстващите го бележки, както и информация относно последващите действия, предприети от министерството, след установяването, че А.К. не е издирваното – чрез Интерпол, лице.
Предвид горното, КЗЛД отлага разглеждането на жалба рег. №ППН-01-61/13.09.2017г. за 07.03.2017г., за което страните са уведомени в заседанието.
Впоследствие, с решение на КЗЛД от 28.02.2018г., разглеждането по същество на жалба рег. №ППН-01–61/13.09.2017г., е отложено от дата 07.03.2018г., за дата 21.03.2018г., за което страните са редовно уведомени по реда на АПК.
В откритото заседание на КЗЛД, проведено на 21.03.2018г. се явяват Б.К.– процесуален представител на господин А.К. и главен юрисконсулт В.Т.– процесуален представител на МВР.
Относно информацията, изискана в предходно заседание, МВР, чрез процесуалния си представител, декларира отказ от предоставянето й, заявявайки че поддържа първоначалното си становище по случая.
Законът за защита на личните данни не прави разграничение между лицата по критерии тяхното гражданство или правен статут. Всички физически лица, чийто данни се обработват от администратор, попадащ под юрисдикцията на българското законодателство, се ползват от правото на защита на техни лични данни (чл. 1, ал.4 от ЗЗЛД).
Преценката, доколко правомерно са обработени личните данни на господин А.К. – под формата на предоставянето им на трета държава Того, следва да бъде съобразена и със специалния по отношение на ЗЗЛД Закон за екстрадицията и европейската заповед за арест (ЗЕЕЗА).
В чл.4, ал.1 от ЗЕЕЗА се сочи, че той се прилага при наличие на международен договор, по който Република България е страна, като го допълва по отношение на неуредените въпроси. Разпоредбата на чл.4, ал.3 от ЗЕЕЗА изрично посочва, че приложното поле на закона обхваща и случаите на получаване на Бюлетин за международно издирване на Международната организация на криминалната полиция („Интерпол”) или при получаване на сигнал чрез Шенгенската информационна система, с цел задържане и екстрадиция.
По административната преписка не е спорно, че се касае за искане за издирване и задържане – с цел екстрадиция, на А.К., отправено към България от Тогоанската република, по линията на Международната организация на криминалната полиция „Интерпол”.
Налице е хипотезата, при която до държава – членка на ЕС, чрез „Интерпол”, е отправено искане от трета държава– за издирване и задържане– с цел екстрадиция, на лице, което е гражданин на друга държава– членка на ЕС.
Същевременно, в искането за екстрадиция се иска гражданин на Кот д’Ивоар, въпреки че властите на Того са уведомени, че е задържан гражданин на Финландия и че друго, освен две имена, не съвпада с данните на А.К..
Видно от ангажираните по преписката материали, отправеното искане за издирване и задържане– с цел екстрадиция, не съдържа реквизитите по чл.9, ал.3, т.3 от ЗЕЕЗА, а именно данни за исканото лице, придружени от друга информация, позволяваща установяване на самоличността и гражданството му по безспорен начин.
В случая, е налице съвпадение на самоличност, неустановявана по никакъв друг начин, освен чрез наличните в бюлетина на „Интерпол” две имена, година на раждане и държава, в която лицето се е родило.
Независимо от позоваването, от страна на МВР, на чл.9, ал.2, т.2 от ЗМВР и на чл.4 , ал.1, т.6, във връзка с чл.36а, ал.7, т.4 от ЗЗЛД – като основания за обработване на личните данни на жалбоподателя, може да се заключи, че без искащата държава Того да е предоставила идентификационни данни по отношение на лицето, което издирва, България, без да е установила по безспорен начин самоличността на това лице, е изпратила всички лични данни на А.К., в това число заснети документи за самоличност, пълни дактилоскопски отпечатъци и снимки, на трета държава– Того.
Предвид горното, налага се изводът, че МВР е обработило – чрез предоставянето им на Того, личните данни на господин А.К., в разрез с разпоредбата на чл.23, ал.1 от ЗЗЛД, като не епредприело необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.
С оглед изложеното, комисията приема жалба рег. №ППН-01-61/13.09.2017г. за основателна и налага на Министерство на вътрешните работи имуществена санкция, в размер на 1000 (хиляда) лева, за това че в качеството си на администратор на лични данни е обработило личните данни на господин А.К., в нарушение на чл.23, ал.1 от ЗЗЛД.
По спора е постановено Решение ППН-01-61/17г. от 26.04.2018г. на КЗЛД, което е оспорено с жалба от Министерството на вътрешните работи и министъра на вътрешните работи, подадена пред Административен съд София– град.
Съдът се произнася с Решение №579/30.01.2019г., с кйоето намира, че в процесния случай е налице разминаване на описаната фактическа обстановка на административното нарушение- незаконосъобразно предоставяне на лични данни, без основание за това, в който смисъл е и жалбата на господин А.К., въз основа на която е образувано административното производство, тоест наличие на нарушение по чл.2, ал.2 ЗЗЛД, бна което е дадена правна квалификация по чл.23, ал.1 от ЗЗЛД.
АССГ счита, че това разминаване лишава съда от възможността да прецени дали административния орган правилно е приложил съответната санкционна норма и не дава възможност да се прецени дали КЗЛД се е произнесла по конкретно твърдяното пред нея нарушение– незаконосъобразно обработване на лични данни.
Според първоинстанционния съд, като е квалифицирала нарушението по чл.23, ал.1 ЗЗЛД, чийто субект е администратор на лични данни, КЗЛД не е изложила данни за качеството на МВР като такъв, а в случая, съгласно чл.29, ал.1 от ЗМВР, администратор на лични данни е министърът на вътрешните работи, а не МВР.
Така мотивиран и на основание чл.172, ал.2 във вр. С чл.173, ал.2 от АПК, съдът отменя Решение №ППН-01-61/17г. от 26.04.2018г. и връща преписката на КЗЛД за ново произнасяне по жалбата на А.К., при спазване на задължителните указания, дадени в мотивите на съдебното решение.
Предвид горното, с оглед влизане в сила на Решение №579/30.01.2019г. на АССГ, на свое редовно заседание, проведено на 10.04.2019г., КЗЛД приема за допустима жалбата, подадена от господин А.К. и го конституира като страна– жалбоподател, в административното производство.
В съответствие с разпоредбата на чл.29, ал.1 от ЗМВР, комисията конституира министъра на вътрешните работи като ответна страна в производството, изисква от него предоставяне на писмено становищше, ведно с относимите към случая доказателства и определя жалба рег. №ППН-01-61/13.09.2017г. за разглеждане в открито заседание, насрочено за 12.06.2019г.
С писмо рег. №ППН-01-61#36(17)/15.05.2019г., Министърът на вътерешните работи, чрез процесуалния си представител– гл. юрк. В.Т., изразява становище, с което декларира, че поддържа изцяло становище рег. №812100-24708/06.12.2017г. по описа на МВР по жалбата на господин А.К., както и изложеното в писмо, наименувано „допълнителна информация“ с рег. №812100-2747/13.02.2018г. по описа на МВР.
В становището се сочи, че органите на МВР са обработвали личните данни на господин А.К. напълно законосъобразно, тъй като са упражнявали свое правомощие по извършване на оперативно издирвателна дейност, съгласно чл.8 и сл. от ЗМВР. Подчертава се, че основание за извършеното обработване е предвидено и в чл.6, §1, б. „в“ и б. „д“ от ОРЗД, а задържането на господин А.К. и последвалият обмен на лични данни между българските власти и властите на Того, попадат в обхвата на чл.9, ал.2, т.2 от ЗМВР и чл.4, ал.1, т.6 от ЗЗЛД (отм.).
Според министъра на вътрешните работи, в случая не се касае за нарушение на правата на на задържаното лице, предоставени му от ЗЗЛД, защото ДМОС е извършила действия, съгласно чл.36а, ал.7, т.4 от ЗЗЛД (отм.), допускащ предоставянето на лични данни в трета държава, ако то е необходимо или се изисква от закона поради значим обществен интерес или за установяването, упражняването или защитата на права по съдебен ред.
Предвид описаната фактическа обстановка, ангажираните по преписка материали и в съответствие със задължителните указания, дадени в мотивите на влязло в сила решение №579/30.01.2019г. на АССГ, се налага изводът, че администраторът на лични данни, определен според чл.29, ал.1 от ЗМВР в лицето на министъра на вътрешните работи, е извършил административно нарушение, представляващо неправомерно обработване на личните данни на господин А.К., състоящо се в незаконосъобразното им предоставяне на трета държава– без наличие на което и да било от условията за допустимост на обработване на данните, регламентирани в чл.4, ал.1, т.1-7 от ЗЗЛД (отм.), в противоречие с принципите залегнали в чл. 2, ал.2 от ЗЗЛД (отм.).
При постановяване на решение по жалбата на господин А.К. следва да се отчете настъпилата промяна в правната рамка в областта на защитата на личните данни в периода от обработване на личните й данни до момента на произнасяне по съществото на искането, с което административния орган е сезиран. Необходимо е да се съобрази, че от 25.05.2018г. се прилага Общия регламент относно защитата на данните, който има пряко действие, а според разпоредбата на чл.142 от АПК съответствието на административния акт с материалния закон се преценява към момента на издаването му.
Общият регламент относно защитата на данните и Законът за защита на личните данни уреждат защитата на правата на физическите лица при обработване на личните им данни с цел гарантиране на неприкосновенността на личността и личния живот чрез осихгуряване на защита при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.
В хода на административното производство по жалба рег. №ППН-01-61/13.09.2017г. не се установява нито една от хипотезите за допустимост на обработването на лични данни, посочени в чл.4, ал.1, т.1 до т.7 от ЗЗЛД (отм.), съответно на идентичните основания за допустимост на обработването, предвидени в чл.6, §1 от ОРЗД., което представлява нарушение на правата на жалбоподателя, гарантирани му от действащата нормативна уредба.
Разпространявайки личните данни на господин А.К., МВР ги е обработило неправомерно, без да гарантира сигурността им, в противоречие с принципите, свързани с обработване на данните, закрепени в чл.2, ал.2 от ЗЗЛД (отм.) и чл.5, §1 от ОРЗД.
Констатираното нарушение, изразяващо се в разпространението на личните данни на А.К., чрез предоставянето им на държавата Того– без правно основание, е довършено и тежестта му следва да се преценява с оглед настъпилите за жалбоподателя вреди, свързани с инциираното срещу него задържане от гранична полиция, с постановяването– от Варненския окръжен съд на задържането му за срок до 40 дни и с въвличането му в последвалите, образувани срещу него, съдебни производства.
Предвид горното, налагането – по отношение на администратора на лични данни, определен според чл.29, ал.1 от ЗМВР в лицето на министъра на вътрешните работи, на корективна мярка, различна от посочената в чл.58, §2, б. „и“ от ОРЗД– „глоба“ се явява неприложимо и нецелесъобразно. Неефективни в конкретня случай биха били корективните мерки, предвидени в чл.58, §2, б. „а“, „б“, „в“, „г“, „д“, „е“, „ж“, „з“ и „й“.
Корективната мярка, предвидена в чл.58, §2, б. „и“ от ОРЗД, би била пропорционална и с оглед защитата на обществения интерес, с дисциплиниращо действие за неизвършване на същото нарушение занапред, съобразена с целта на наказанието и необходимостта то да има възпираща и предупредителна функция, а не да създава икономически затруднения на администратора на лични данни.
С оглед принципа за пропорционалност между тежестта на нарушението и размера на наказанието, комисията счита, че наложената на министъра на вътрешните работи глоба следва да е в размер на 10000 лева– минимален в сравнение със средния минимум, предвиден в ОРЗД за нарушение на чл.6, §1 от ОРЗД и в границите на предвидения зав чл.42, ал.1 от ЗЗЛД (отм.) за нарушение на чл.4, ал.1 от ЗЗЛД (отм.)
В съответствие с чл.83, §2 от ОРЗД, при определяне размера на санкцията, комисията има предвид произтеклите неблагопрятни последици за физическото лице, което е задържано за един продължителен период от време и бивайки въвлечено в образуваните срещу него съдебни производства, е възпрепятствано да се завърне в родината си Финландия, да упражнява професията си и да контактува със семейството си.
В същия период, разпространениете без правно основание негови лични данни са го охарактеризирали в негативен контекст, свързвайки го с различно от него криминално проявено и издирвано чрез Интерпол, лице.
Категориите лични данни, обработени по отношение на господин А.К., съдържащи се в документите му за самоличност, направените снимки и взетите му пълни дактилоскопски отпечатъци, са в обем, който го индивидуализира по безспорен начин.
При определяне размера на санкцията е взето предевид продължителността на нарушението и пасивното поведение на МВР, както и че нарушението е довършено и не са предприети никакви действия за недопускането или за отстраняването му. Съобразена е и високата обществена опасност на извършеното нарушение с оглед липсата на установен критерий или нормативна база въз основа на които да е избран способа за потвърждаване самоличността на жалбоподателя А.К.– чрез изпращане на дактилоскопичните данни, снети при задържането му за сравнение на искащата държава.
Разпространяването на лични данни представлява обработване на лични данни, съгласно легалната дефиниция, дадена в §1 от ДР на ЗЗЛД (отм.) и в случая, по отношение на жалбоподателя, е извършено, без наличие на условията за допустимост на обработване на данните, регламентирани в чл.4, ал.1, т.1-7 от ЗЗЛД (отм.) ив противоречие с принципите залегнали в чл. 2, ал.2 от ЗЗЛД (отм.), според които то следва да бъде законосъобразно, добросъвестно, за конкретни, точно определени цели и законни цели.
Установеното конкретно нарушение е довършено с акта на своето извършване и в този смисъл е неотстранимо, поради което даването на срок за отстраняването му се явява безпредметно.
С оглед значимостта на обществените отношения, регулирани от ОРЗД и ЗЗЛД, нарушенията на разпоредбите им следва да се квалифицират като такива с висока обществена опасност, а Комисията за защита на личните данни има задължение– в качеството си на контролен орган, да следеи за осъществяване на законосъобразно обработването на личните данни на физическите лица.
Комисията за защита на личните данни, като взе предвид фактите и обстоятелствата, изнесени в настоящето административно производство и на основание чл.38, ал.3 от ЗЗЛД,
РЕШИ:
1. Обявява жалба рег. №ППН-01-61/13.09.2017г., подадена от А.К. срещу Министерство на вътрешните работи, за основателна по отношение на Министъра на вътрешните работи– администратор на лични данни, според чл.29, ал.1 от Закона за Министерството на вътрешните работи, чрез разпространението им, без наличие на предвидените условия за допустимост на обработването, закрепени в. чл.4, ал.1, т.1– т.7 от ЗЗЛД (отм.), респ. в чл.6 §1 от Общия регламент относно защитата на данните ив противоречие с принципите залегнали в чл. 2, ал.2 от ЗЗЛД (отм.), респ. в чл.5, §1 от регламента.
2. На основание чл.58, §2, б. „и“, във връзка с чл.83, §5, б. „а“ отОбщия регламент относно защитатата на данните, предвид установеното обработване на лични данни,Комисията за защита на личните данни налага на Министъра на вътрешните работи, с адрес:гр. София, 1000, район Средец, ул. „Шести септември” №29, управляващ Министерство на вътрешните работи с БУЛСТАТ 000695235, административно наказание– глоба, в размер на 10000 (десет хиляди) лева, за това че в качеството си на администратор на лични данни е обработил личните данни на господин А.К.,в нарушение на чл.4, ал.1, т.1-7 от ЗЗЛД (отм.), респ. на чл.6 §1 от ОРЗД ив противоречие с принципите залегнали в чл. 2, ал.2 от ЗЗЛД (отм.), респ. в чл.5, §1 от ОРЗД.
След влизане в сила на настоящето решение, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр. София, 1592, бул. “Проф. Цветан Лазаров”-№2 или преведена по банков път: Банка БНБ- ЦУ IBAN: BG18BNBG96613000158601 BIC BNBGBGSD – Комисия за защита на личните данни, Булстат 130961721.
Решението да се съобщи на заинтересованите лица по реда на АПК.
Настоящето решение подлежи на обжалване в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Админиминистративен съд София– град.
| ЧЛЕНОВЕ: | ||
| |
Цанко Цолов /п/ | |
| Цветелин Софрониев /п/ | ||
| Мария Матева /п/ | ||
| Веселин Целков /п/ |
