Решение по жалба с рег. № ППН-01-902/08.11.2018 г.

Комисията за защита на личните данни (КЗЛД, Комисията) в състав, председател– Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев и Мария Матева на редовно заседание, проведено на 26.06.2019г. и обективирано в протокол№27/26.06.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни (ЗЗЛД) във вр. с чл.57, §1, б.„е“ от Регламент (ЕС) 2016/679, разгледа по същество жалба с рег. №ППН-01-902/08.11.2018г., подадена от К.Е., лично и в качеството на законен представител на В.А. срещу учебно заведение (У.З.).

Административното производство е по реда на чл.38 от ЗЗЛД.

Комисията за защита на личните данни е сезирана с жалба с рег. №ППН-01-902/08.11.2018г., подадена от К.Е., лично и в качеството на законен представител на В.А., съгласно разпоредбата чл.28, ал.4 от Гражданския процесуален кодекс (ГПК), срещу У.З. В жалбата г-жа К.Е. моли за съдействие, относно липсващи документи, със съдържащи се в тях лични данни, а именно заявление за прием на дете в детска градина и копие от акт за раждане на детето, които е предоставила на У.З. при постъпване на детето в У.З.

Твърденията на жалбоподателката са, че същите документи са били изискани повторно на 26.09.2018г., след проведена родителска среща в У.З., филиал В.Т., заедно с други бланки за попълване, в които също се изискват лични данни.

Г-жа К.Е. споделя, че при направен опит да получи информация за въпросните документи е получила незадоволителен отговор от директорката на детското заведение. Изразява е съмнения и относно коректността на входящия номер на заявлението, описан в отговора от директорката, тъй като такъв входящ номер не ѝ е предоставян, а съгласно Наредбата за обмен на документи в администрацията, входящ номер се смята за валиден само ако съдържа дата месец и година.

Сочи се още, че детето е записано в „1 и 2 сборна група, филиал В.Т., а некакто е отбелязано в писмото на г-жа Т. в яслена група“. Навеждат се и твърдения, че не е ясно кои длъжностни лица отговарят за съхранението и предаването на документите, както и, че не се разбира „с приемо-предавателните протоколи от кого на кого и кога точно са предадени документите“. Като доказателства са предоставени: копие на запитване до г-жа Т. за местонахождението на документите, копие на отговора на директора; декларация, в което е посочено, че детето е записано в 1 и 2 група във филиал на У.З., копие на пакет от документи, изискани след родителска среща.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от детското заведение е изискано да представи писмено становище и относими към случая доказателства.

С писмо изх. №ППН-01-902#3/21.12.2018г. директорът на У.З., на основание чл.26 от АПК е уведомен за образуваното административно производство, като e предоставена възможност за изразяване на становище и относими към случая доказателства.

В отговор от У.З. е депозирано становище, заведено с рег. №ППН-01-902#5(18)/18.01.2019г., в което е посочено, че г-жа К.Е. е подала заявление за прием да детето В.А. за учебната 2016/2017г., с желание за яслена група, регистрирано под номер №25/2016г. Уточняват, че заявленията за прием се регистрират в регистрационна книгаза заявления за прием, която е прошнурована и прономерована и при всяко входиране на заявления се дава бланка с входящ номер, който съответства на номера в книгата и на номера на заявлението. Съгласно Наредбата за условията и редът за записване, отписване и преместване на деца в общински детски градини в общ. П. са изискани документите, съгласно разпоредбата на чл.10, т.1 и т.2. Необходимите документите са предоставени на медицинските специалисти от яслена група за учебната 2016/2017г. В дневника за присъствия в яслената група, детето е записано само с три имена, тъй като не е направило посещение в яслената група. От сведениятаза месечната посещаемост на яслената група е видно, че детето не е постъпило в ясла, но фигурира в списъците. От присъствения дневник на втора група /смесена първа и втора група/, попълнен от учителите на тази група за учебната 2017/2018г. е видно, че детето към септември 2017г. не е постъпило в У.З.

Уточнено е, че с молба вх. №5/28.09.2018г., г-жа К.Е. е отложила постъпването на детето в У.З. за неопределен период от време. Детето е постъпило в У.З. на 10.04.2018г., като тогава в дневника надлежно са вписани всички изискуеми данни на детето и родителите от заявлението, подадено от майката през 2016г., след което всички документи са приложени в досието на детето.

Посочено е още, че през 2018/2019 учебна година, учителите на групата са поискали нови актуални данни, тъй като са минали две години от момента на подаване на първоначалните документите, а детето не е присъствало в детското заведение, като това е с цел актуалност на данните за детето и месторабота на родителя, адрес и телефон. При проверка на досието е установено, че акта за раждане и заявлението на детето „не са на мястото си“. Г-жа К.Е. е отказала да предостави нови документи. От детското заведение сочат, че тези документи са „за потребление на детската градина при необходимост от връзка с родители“ и при достигане съответната възрастова група /трета/ за вписване в книгата за подлежащите на задължително обучение деца до 16– годишна възраст, където по закон се вписват адресите на родителите и техните ЕГН-та.

Относно попълването на декларация за предоставяне на лични данни и декларация за публичност е посочено, че същите са в съответствие с ПДДГ на У.З. за учебната 2018/2019г., съответно на чл.134 и чл.135, приет с протокол №1/17.09.2018г. от Педагогически съвет. Декларацията относно вземането на дете е в съответствие с чл.39, т.1 и т.2 от ПДДГ на У.З.

Относно съхранението на документите информират, че същите се събират от първо число на месец януари на всяка календарна година до 30 април на съответната година. След изтичане на срока, подадените заявления се разпределят възрастово по групи и за тях отговарят учителите на тези групи. Достъп до данните на децата имат медицинските сестри на ясла, учителките на групите, предвид законовото им задължение да вписват данните и присъствията на децата в дневниците на групата. Медицинските сестри водят амбулаторен дневник и здравни картони. Достъп до данните на децата имат оторизираните лица на МОН и РУО за достъп до базата на НЕИСПУО.

Посочено е, че след влизане в сила на регламента, от колектива на У.З. са приети вътрешни правила за защита на личните данни.

Приложени са относими доказателства.

Жалбата на К.Е. е съобразени в цялост с изискванията за редовност, съгласно чл.30, ал.1 от Правилник за дейността на Комисията за защита на личните данни и нейната администрация (ПДКЗЛДНА), а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис.

Нормата на чл.38, ал.1 от ЗЗЛД предвижда преклузивен срок за сезиране на Комисията– в едногодишен срок от узнаване на нарушението, но не по-късно от пет години от извършването му. Предвидените в чл.38, ал.1 от ЗЗЛД срокове са спазени, предвид разпоредбата на пар.44, ал.2 от Преходните и заключителни разпоредби към закона за изменение на ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимост на искането с наличие на посочените в текста изисквания. Компетентността на Комисията при разглеждане на жалби е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството „администратори на лични данни” по смисъла на чл.4, т.7 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД, GDPR).

На проведено на 04.04.2019г. заседание на Комисията жалбата е приета за процесуално допустима и като страни в административното производство са конституирани: жалбоподател К.Е., лично и в качеството на законен представител на В.А. и ответна страна– У.З., управлявана от директор, съгласно чл.98 от Правилника за дейността на У.З., в качеството на администратор на лични данни. Страните са редовно уведомени за насроченото за 26.06.2019г. заседание на Комисията за разглеждане на жалбата по същество.

Съгласно чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, §1, б.„е“ от Регламента и чл.38, ал.3 от Закона за защита на личните данни Комисията за защита на личните данни разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД, както и жалби на трети лица във връзка с правата им по този закон.

Жалбата е насочена срещу неправомерно съхранение на лични данни на В.А., дъщеря на К.Е.

По отношение на твърденията изложени в жалбата за „коректносттана входящия номер“, се прави отбелязването, че същото е извън компетентността на Комисията за защита на личните данни.

По отношение на твърденията на г-жа К.Е., че от отговора на У.З., не става ясно кои длъжностни лица отговарят за съхранението и предоставянето на документите, по административната преписка от У.З. е предоставена заповед №4/18.09.2018г., от която е видно лицето, което събира, съхранява и ползва информацията от националната електронна информационна система за предучилищното и училищно образование (НЕИСПУО).

Разгледана по същество жалбата по отношение на твърденията за неправомерно съхранение на лични данни е основателна.

По административната преписка не е спорно, че В.А. е записана в У.З.

Установено е, че от г-жа К.Е., в качеството на законен представител на В.А. при постъпване на детето в У.З., са изискани необходимите документи, съгласно Закона за предучилищното и училищното образование.

По преписката не е спорно, че документи, съдържащи личните данни на майката и копие от акта за раждане на В.А. са предоставени от г-жа К.Е. на У.З.

Не спорно, че е спазено законовото задължение от У.З. за вписване на В.А. в националната електронна информационна система за предучилищното и училищно образование (НЕИСПУО).

Установено е, че при проверка на досието документите на В.А. „не са мястото си“, което представлява неправомерно обработване на лични данни в хипотезата на неправомерно съхранение на документи, съдържащи лични данни, в нарушение на принципа разписан в чл.5, пар.1, б.„е“ от Регламент (ЕС) 2016/679, обработването да се осъществява в по начин, който да гарантира подходящо ниво на защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически и организационни мерки.

Съгласно Наредба №8 от 11. 08.2016г. за информацията и документите за системата на предучилищното и училищното образование предвидените форматите за водене и съхраняване на документа са в електронен вид, като обаче се съхраняват и на хартиен носител.

При отчитане степента на извършеното нарушение, се вземат предвид следните смекчаващи обстоятелства– не са констатирани други нарушения на администратора, нарушението на принципите за обработване на личните данни се явява първо за У.З., признато е неправомерното съхранение на личните данни от страна на У.З., не са настъпили сериозни вреди за субекта на данни. У.З. е общинско заведение на бюджетна издръжка.

При така изнесените обстоятелства по-целесъобразно е да се наложи само корективното правомощие, посочено в чл.58, пар. 2, б.„г” от Регламента.

Предвид изхода на спора, не следва да бъде присъден претендирания адвокатски хонорар.

Предвид гореизложеното и на основание чл.57, §1, б.„е“ от Регламента, съответно чл.10, ал.1, във връзка с чл.38, ал.3 от Закона за защита на личните данни, Комисията се произнесе със следното

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред административния съд по смисъла на чл.133, ал.1 и ал.2 от АПК.