Решение по жалби вх. № 4011/02.09.2011г. и 4228/ 14.09.2011 г.

Комисия за защита на личните данни /КЗЛД/ в състав: Председател: Венета Шопова и членове: Валентин Енев, Мария Матева и Веселин Целков на открито заседание, проведено на 14.12.2011г., на основание чл. 10, ал. 1, т. 7 от Закона за защита на личните данни /ЗЗЛД/ и при условията на чл.32 от АПК, разгледа по същество жалба с рег. №4011/02.09.2011г., подадена от Б.Н.Ф. срещу „Г.Д.-Т.” АД и жалба рег.№4228/14.09.2011г., подадена от Й.А.З. срещу „Г.Д.-Т.” АД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбите отговарят на нормативно установените изисквания, поради което се явяват редовни. С решение на КЗЛД, взето на закрито заседание проведено на 09.11.2011г. жалбите се обявени за допустими и като ответна страна в административното производство е конституирано „Г.Д.-Т.” АД. На основание чл.32 от АПК, Комисията е обединила разглеждането на двете жалби в едно общо производство, тъй като се отнасят за едно и също фактическо състояние и твърдяното нарушение е извършено от едни и същ администратор на лични данни по повод на едно и също действие.

Б.Н.Ф. сочи в жалбата си, че в качеството му на миноритарен акционер на
„Г.Д.-Т.” АД е бил поканен да присъства на редовно годишно заседание Общото събрание на „Г.Д.-Т.” АД, проведено на 30.07.2011г. С оглед невъзможността да присъства лично, господин Б.Н.Ф. е упълномощил трето лице, което да го представлява пред Общото събрание. Пълномощното, което жалбоподателят дал било съобразено с изискванията на чл.226 от Търговския закон във вр. с чл.116 от Закона за публичното предлагане на ценни книжа.

Господин Б.Н.Ф. установил, че след проведеното заседание, на официалната интернет страница на „Г.Д.-Т.” АД са публикувани документи. Два от публикуваните документи са даденото от господин Б.Н.Ф. пълномощно и списък на регистрираните за участие в заседанието акционери.

Жалбоподателят счита, че разпространяването на свързаните с него лични данни от „Г.Д.-Т.” АД, съдържащи се в публикуваните документи е извършено в нарушение на принципите, залегнали в чл.2, ал.2 от ЗЗЛД и без да е налице условието на чл.4 от същия закон за допустимост при обработване на лични данни, а именно съгласието му. Изтъкват се доводи, че администраторът на лични данни не е спазил изискването на чл.23 от ЗЗЛД и не е предприел всички технически и организационни мерки за защита на личните данни от неправомерен достъп или разпространение, което също представлява административно нарушение.

Б.Н.Ф. твърди, че след като установил, че личните му данни са неправомерно разпространени се е възползвал от правото си по чл.28а от ЗЗЛД и е поискал от администратора на лични данни да заличи неговите и на пълномощника му данни, което последният не е сторил.

Към жалбата като доказателства са приложени: списък на акционерните на
„Г.Д.-Т.” АД към 30.07.2011г. инотариално заверено пълномощно.

Й.А.З. сезира КЗЛД с твърдения, че в качеството му на пълномощник на миноритарен акционер в „Г.Д.-Т.” АД е участвал в годишно редовно заседание на дружеството.

След направена от него проверка в официалната интернет страница на дружеството установил, че е било публикувано пълномощното, с което той бил упълномощен от господин Б.Н.Ф..

Жалбоподателят счита, че има извършено нарушение, изразяващо се в неправомерно разпространяване на свързаните с него лични данни, съдържащи се в пълномощното.

Към жалбата е приложено като доказателство копие от пълномощното на Б.Н.Ф.

В условията на служебното начало, залегнало в административното производство с писма на Председателя на КЗЛД е изискано представяне на писмено становище и относими доказателства от „Г.Д.-Т.” АД.

На 29.09.2011г. в деловодството на КЗЛД е постъпило становище от ответната страна по жалбата на Б.Н.Ф. В становището се застъпва тезата, че личните данни на жалбоподателят Б.Н.Ф. са предоставени на дружеството от неговия пълномощник Й.А.З. и от Централния депозитар, съдържащи се в акционерната книга.

Излагат се аргументи от страна на администратора на лични данни, че спазвайки Закона за публичното предлагане на ценни книжа е задължен да разкрива информация, която съдържа лични данни пред Комисията за финансов надзор, Българската фондова борса, Централния депозитар, Агенция по вписванията – Търговски регистър. За него съществува и задължението да публикува информацията и на официалната си интернет страница, за да може обществеността да бъде информирана.

„Г.Д.-Т.” АД потвърждава, че пълномощното на жалбоподателя и акционерна книга са публикувани на интернет страницата, аргументирайки се, че при непредставянето им в Търговския регистър са постановени откази за публикуването на годишният финансов отчет.

В становището се посочва информация, свързана с използването на личните данни на жалбоподателя по други поводи и участието му в други търговски дружества.

Към становището са приложени следните документи: отказ от 04.07.2009г. на Агенция по вписванията, списък на акционерите, списък на акционерите, присъствали на общо събрание на 30.06.2011г. на „Е.Б.” АД, списък на акционерите, присъствали на общо събрание на 29.06.2011г. на „Е.Б.” АД, запорно съобщение от 18.10.2010г., протокол от учредително събрание на „П.Б.М.” ООД, списък-извлечение от книгата на член-кооператорите на кооперация „А.” гр. Д., присъствен списък на акционерите на УД „А.К.” АД ипротокол от 30.06.2011г. от заседание на „Е.Б.” АД.

На 06.10.2011г. в деловодството на КЗЛД е постъпило становище от ответната страна и по жалбата на Й.А.З.

Администраторът на лични данни излага аналогични аргументи на тези, посочени в становището му по жалбата на господин Б.Н.Ф. Цитира се разпоредбата на чл.13, ал.6 от Закона за търговския регистър, която задължава търговеца при подаване на заявление за вписване, заличаване и обявяване да приложи документи. Изискването е документите да се представят в оригинал, заверен от заявителя препис или нотариално заверен препис. Заявителят трябва да представи и заверени преписи от актовете, подлежащи на обявяване в търговския регистър, в които личните данни, освен тези, които се изискват по закон, са заличени.

Към становището са представени следните доказателства: отказ от 04.07.2009г. на Агенция по вписванията.

На откритото заседание, насрочено за 07.12.2011г. за разглеждане на жалбата по същество, страните са редовно и своевременно уведомени по реда на АПК. Жалбоподателят Б.Н.Ф. се явява лично, Й.А.З. не се явява и не се представлява, за „Г.Д.-Т.” АД се явява адвокат С.Ц.Ц.

Приложението на Закона за защита на личните данни се обвързва с обработването на информация, представляваща „лични данни” по смисъла на легалната дефиниция на чл. 2, ал. 1, съгласно която тя трябва да е достатъчна, за да може физическото лице да може да бъде идентифицирано.

Жалбите сапроцесуално допустими, поради следните съображения:

В чл.38, ал.1 от ЗЗЛД е определен преклузивен срок, в който физическото лице има право да сезира Комисията за защита на личните данни. От изложените в жалбите твърдения и от приложените към тях доказателства може да се приеме, че са подадени в срок.

Съгласно чл.27, ал.2 от АПК административният орган е длъжен да провери при постъпване на искането предпоставките за допустимостта на жалбата, относно производството по издаване на индивидуалния административен акт.

Със Закона за защита на личните данни се урежда защитата на физическите лица при обработване на личните им данни от администраторите на лични данни, дефинирани в чл.3. Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата.

Администратор на лични данни, по смисъла на чл. 3, ал. 1 от ЗЗЛД в разглеждания случай – „Г.Д.-Т.” АД е изпълнил задължението си по чл.17 от ЗЗЛД, като е подал заявление за регистрацията му като администратор на лични данни. Заявени са 2 регистъра.

С чл. 1, ал. 2 от ЗЗЛД се гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Обработването на лични данни от страна на администратора на лични данни, съгласно чл.2, ал.1, т.1 от ЗЗЛД, следва да бъде законосъобразно и добросъвестно. В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Едно от тези условия е изрично съгласие на физическото лице, за което се отнасят данните.

Жалбоподателите имат правен интерес да сезират Комисията за защита на личните данни и да потърсят защита на нарушените си права.

Разгледани по същество жалбите са основателни, поради следните съображения:

По административните преписки се събраха доказателства, а те не се отричат и от ответната страна, че свързаните с жалбоподателите лични данни са били разпространени чрез публикуването на документи, в които те се съдържат.

Администраторът на лични данни излага аргументи в писменото си становище, че за него е налице условието, посочено в чл.4, ал.1, т.1 от ЗЗЛД – нормативно установено задължение за обработването на лични данни.

Сочи се, че акционерното дружество е публично и спазвайки закона за публичното предлагане на ценни книжа е задължено да разкрива информация пред Комисия за финансов надзор, Българска фондова борса, Централен депозитар, Агенция по вписванията – Търговски регистър и др.

Не е спорно задължението на публичното дружество, съгласно действащото законодателство да извърши уведомяване на контролните органи. В закона за публичното предлагане на ценни книжа за различните дейности са определени и различни срокове, в които да се извърши това уведомяване. Следва да се приеме, че публикуването на протоколи от проведени редовни годишни общи събрания и съпътстващите ги документи не кореспондира с идеята на законодателят за уведомяване. За публичното дружество съществува задължението да уведоми Комисията за финансов надзор, централния депозитар за извършени промени по дружеството лично, а не чрез съобщаването в официалната си страница в интернет. Съгласно чл.111а, ал.4 от Закона за публичното предлагане на ценни книжа, Комисията е тази, която след като получи информация от публичните дружества, оправомощена е да й даде публичност чрез водения от нея регистър за публичните дружества и другите емитенти на ценни книжа. От цитираната разпоредба следва, че съобщаването на Комисията става по обичайния за това начин, а не чрез публикуването на информацията в интернет. Във връзка с изложеното не следва да се споделят аргументите на „Г.Д.-Т.” АД, че при извършеното от негова страна обработване – разпространяване на личните данни на жалбоподателите е било налице едно от нормативно установените условия за допустимост при обработването.

Обхвата на подлежащата на разкриване от публичното дружество последваща информация обхваща:

1. Периодичната информация (като част от регулираната информация);

2. Вътрешната информация (като част от регулираната информация);

3. Другата регулирана информация (Разкриване на дялово участие);

4. Информацията, относно подлежащите на вписване в регистъра на Комисията за финансов надзор обстоятелства и промените в тях;

5. Документът, съдържащ или препращащ към информацията, публикувана или предоставена на обществеността по друг начин (освен чрез публикувания проспект) през последните 12 месеца;

6. Поканата за общо събрание на акционерите и материалите за него;

7.Протокола от общо събрание на акционерите.

Регулирана информация, съгласно дефиницията, дадена в § 1, т. 41 от Допълнителните разпоредби на ЗППЦК е информацията, която емитентът или лицето, което е поискало без съгласие на емитента допускане на ценните книжа до търговия на регулиран пазар, се изисква да разкриват по реда на глава шеста "а", раздел II, глава единадесета, раздел I от ЗЗПЦК и по чл. 12 от Закона срещу пазарните злоупотреби с финансови инструменти и актовете по прилагането им. Регулираната информация обхваща периодичната информация (финансови отчети), вътрешната информация и друга регулирана информация (разкриване на дялово участие).

Предоставянето на периодична информация от своя страна се състои от изготвянето и представянето на годишните и междинните финансови отчети на емитентите, а именно:

1.ГФО за дейността (чл. 100н, ал. 1 ЗППЦК и чл. 32 от Наредба № 2), който следва да бъде представен в срок до 90 дни от завършването на финансовата година).

2. Консолидиран ГФО за дейността (чл. 100н, ал. 2ЗППЦК и чл. 32а от Наредба № 2), дължим в срок до 120 дни от завършването на финансовата година.

3. Тримесечен (междинен) финансов отчет за дейността (чл.100о, ал. 1 ЗППЦК и чл. 33 от Наредба № 2) – в срок до 30 дни от края на всяко тримесечие.

4. Консолидиран тримесечен (междинен) финансов отчет за дейността – (чл.100о, ал. 2 ЗППЦК и чл. 33а от Наредба № 2) – в срок до 60 дни от края на всяко тримесечие.

Вътрешната информация е дефинирана с чл. 4 от Закона срещу пазарните злоупотреби с финансови инструменти (ЗПЗФИ). Вътрешна информация е конкретна информация, която не е публично огласена, отнасяща се пряко или непряко до един или повече емитенти на финансови инструменти или до един или повече финансови инструменти, ако публичното й огласяване може да окаже съществено влияние върху цената на тези финансови инструменти или на цената на свързани с тях дериватни финансови инструменти. Вътрешната информация включва още всяка информация, която:

1. посочва факти или обстоятелства, които са настъпили или обосновано може да се очаква да настъпят в бъдеще, и е достатъчно конкретна, за да се направи заключение относно възможния им ефект върху цената на финансовите инструменти или на свързани с тях дериватни финансови инструменти;

2. обичайно се използва от инвеститорите при вземането на решение за инвестиране в даден финансов инструмент.

По отношение на лицата, които изпълняват нареждания относно финансови инструменти, вътрешна информация е също и конкретна информация, съобщена от клиент, свързана с подадени, но още неизпълнени нареждания на клиента, която се отнася пряко или непряко до един или повече емитенти на финансови инструменти или до един или повече финансови инструменти и която, ако бъде огласена публично, може да окаже съществено влияние върху цената на тези финансови инструменти или на цената на свързани с тях дериватни финансови инструменти.

Друга регулирана информация по смисъла на ЗППЦК е информацията, дължима по реда на глава единадесета, раздел I от ЗППЦК, касаеща разкриването на дялово участие.

В тази връзка чл. 148б от ЗППЦК вменява на публичното дружество задължение за разкриване пред обществеността по реда на чл. 100т от ЗППЦК на информацията, която му е предоставена с уведомленията за дялово участие на лицата по чл. 145 и 146 от ЗППЦК в срок три работни дни от уведомяването му.

Като част от задължението за последващо разкриване на информация се дължи и представянето на поканата за свикване на общо събрание на акционерите (ОСА) и материалите за него. Освен информацията по чл. 223, ал. 4 от ТЗ поканата за ОСА трябва да включва информация относно общия брой на акциите и правата на глас в ОСА, както и правото на акционерите да участват в него.

Дружеството е длъжно да обяви поканата по чл. 223, ал. 4 от Търговския закон (ТЗ) в търговския регистър и да я публикува в един централен ежедневник най-малко 30 дни преди неговото откриване.

Същевременно поканата и материалите следва да бъдат представени най-малко 45 дни преди провеждане на ОСА на съответните институции (КФН, БФБ и ЦД) съгласно чл. 115, ал. 4 ЗППЦК. Освен това публичното дружество е длъжно да предостави образец на писменото пълномощно на хартиен носител или чрез електронни средства, ако е приложимо, заедно с материалите за общото събрание или при поискване след свикването му (чл. 116, ал. 3 от ЗППЦК).

В срок 3 работни дни от провеждането на ОСА, съгласно чл. 117, ал. 1 от ЗППЦК, протоколът от събранието се изпраща на КФН и на регулирания пазар (на който акциите на дружеството са допуснати до търговия), които дават публичност на приетите от общото събрание решения по протокола.

Лицата, задължени да разкриват последваща информация са субектите, които са емитирали публично емисии ценни книжа. Сред тях попадат публичните дружества, в това число и дружествата със специална инвестиционна цел, чиито специфичен предмет на дейност включва секюритизиране на вземания или на недвижими имоти; други емитенти на ценни книжа (напр. емитентите на облигации); колективните инвестиционни схеми, включващи инвестиционните дружества от отворен и затворен типи договорните фондове. В кръга на задължените лица са включени и някои специфични правни субекти като лицето, поискало без съгласието на емитента допускане на ценните книжа до търговия на регулиран пазар, лицата по чл. 16 от ЗПЗФИ, лицата, чието право на глас в публично дружество или инвестиционно дружество достигне до, надхвърли или падне под 5 на сто или число кратно на 5 на сто от броя на гласовете в общото събрание на акционерите (ОСА) на дружество, чиито ЦК са приети за търговия на регулиран пазар и др.

Целта на задължението за разкриване на регулирана информация е гарантиране на правата на акционерите и стабилността на пазара, чрез разкриване на последваща информация, относно всички съществени за тях и дейността им факти, финансови, корпоративни или други събития, настъпили след одобряването на проспект, които са или биха били от значение при формирането на обосновано инвестиционно решение или биха могли да повлияят върху цената на ценните книжа, издадени от дружеството емитент, които са предложени за търговия на капиталовия пазар

Емитентът е длъжен да разкрива регулираната информация на обществеността чрез информационна агенция или друга медия, която може да осигури нейното възможно най-широко и едновременно разпространение в Република България, в държавата членка, в която ценните книжа на емитента са допуснати до търговия на регулиран пазар, в случаите, когато неговите ценни книжа не са допуснати до търговия на регулиран пазар в Република България и Република България е изпращаща държава, и в другите държави членки. За тази цел емитентът ползва различни средства за масово осведомяване, като вестници и информационни агенции с национално и европейско покритие, специализирани новинарски агенции, медии за финансова информация, включително специализирани електронни страници (чл. 43, ал. 2 от Наредба № 2).

Публикуването на пълномощното, с което Б.Н.Ф. е упълномощил Й.А.З. да го представлява пред общото събрание на „Г.Д.-Т.” АД не е сред информацията, която задълженото лице- публичното дружество е длъжно да я разкрие с оглед задълженията му като такова.

Съгласно дефиницията, дадена в §1, т. 1 от Допълнителните разпоредби на Закона за защита на личните данни обработване на лични данни е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване.

Допустимостта на обработване на лични данни се преценява с оглед наличието на основание по чл. 4, ал. 1 от Закона за защита на личните данни.

Доколкото последващата информация съдържа лични данни, може да се приеме, че е налице обработване на лични данни чрез тяхното събиране, записване, употреба, разкриване чрез предаване или разпространяване.

Предвид нормативното изискване за предоставяне на последващата информация пред обществеността, разпространението на лични данни, които се съдържат в тази информация е допустимо с оглед наличието на чл. 4, ал. 1, т. 1 от ЗЗЛД.

Едновременно с това личните данни следва да се обработват законосъобразно и добросъвестно; да се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват (чл. 2, ал. 2, т. 1, 2 и 3 от ЗЗЛД).

Обработването на свързаните с жалбоподателите лични данни е извършено от администратора на лични данни, при наличие на правно основание, условие за допустимост при обработването на данните, но в противоречие на принципа на съразмерност и пропорционалност на данните спрямо целите, за които са събрани. Нарушението на принципа съставлява административно нарушение по смисъла от ЗЗЛД.

Несъстоятелни и неотносими към настоящия случай са твърденията, че при не представяне на необходими документи в Търговския регистър от страна на публичното дружество следва постановяване на отказ за публикуване на годишен финансов отчет. Предоставянето на изискуемата се по закон информация на Търговския регистър се извършва по определен ред, а не чрез публикуването на информацията в официалния интернет сайт на дружеството.

По отношение на изнесената информация, къде в кои дружества жалбоподателят Б.Н.Ф. също е акционер е неотносима и не следва да бъдат разглеждани. Основаваните на факта, че господин Б.Н.Ф. е публична личност на дава правомощия на нито едни администратор на лични данни да обработва данните в нарушение на разпоредбите на ЗЗЛД.

С настоящето решение Комисия за защита на личните данни, установи по безспорен начин, че „Г.Д.-Т.” АД, представлявано от И.Т. е извършило административно нарушение, изразяващо се в обработване на свързаните с жалбоподателите лични данни в нарушение на принципа на съразмерност и пропорционалност. Личните данни на Б.Н.Ф. и Й.А.З. са неправомерно разпространени на неограничен кръг от лица, посредством публикуването им на интернет страницата на дружеството, което е довело до неправомерен достъп до тях на лица, които не са оторизирани от администратора да обработват от негово име и за негова сметка данните. С нарушаване на чл.2, ал.2, т.3 от ЗЗЛД, ответната страна в административното производство е извършила административно нарушение по смисъла на ЗЗЛД, което подлежи на санкциониране.

При определяне размера на налаганото с настоящето решение административно наказание, Комисията се съобрази с характера и степента на нарушението и обществените отношения, които засяга. В конкретния случай, неправомерно са обработени личните данни на две лица, което предопределя и по-големият размер на наложеното наказание от минимално законово установения. По отношение на личните данни на Б.Н.Ф., в качеството му на акционер в ответното публично дружество е налице правно основание за обработването на личните му данни, но по отношение на свързаните лични данни с другият жалбоподател господин Й.А.З. за администратора не съществува и правно основание за обработването им.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледани по същество жалбите са основателни, поради което на основание чл. 10 ал. 1, т. 7 от ЗЗЛД и чл.39, ал.2 от Правилника за дейността на Комисия за защита на личните данни и на нейната администрация,

1.Уважава жалби с рег. №4011/02.09.2011г., подадена от Б.Н.Ф. срещу „Г.Д.-Т.” АД и жалба рег.№4228/14.09.2011г., подадена от Й.А.З. срещу „Г.Д.-Т.” АД.

2. На основание чл.42, ал.9 във връзка с чл. 38, ал. 2 от ЗЗЛД налага на „Г.Д.-Т.” АД, БУЛСТАТ 811155180, със седалище и адрес на управление: гр. Г.Д., община Г.Д., ул. Царица Йоанна №12, представлявано от И.Т., административно наказание– имуществена санкция в размер на 23 000 / двадесет и три хиляди/ лв. за нарушение на чл.2, ал.2, т.3 от ЗЗЛД.

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София град.