Решение по искане вх. № 1988/28.04.2011г.

Комисията за защита на личните данни в състав: Венета Шопова, Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 20.07.2011 г.,/Протокол 32/ разгледа искане с вх. № 1988/28.04.2011г. от Национална асоциация „Семейство", вписана в Централния регистър на юридическите лица с нестопанска цел към Министерството на Правосъдието под № 2003073101 ,с код по БУЛСТАТ 131113627, представлявана от адвокат А.К., за получаване на разрешение по чл. 36а от Закона за защита на личните данни (ЗЗЛД) за предоставяне на лични данни на администратор на територията на трета държава – САЩ.

С искане вх. № 1988/28.04.2011г. представляващият Национална асоциация „Семейство" се обръща с молба към КЗЛД за разрешение за предоставяне на лични данни на администратор на територията на трета държава, а именно "Чилдрен`с Хаус Интернешънъл", САЩ. Искането за предоставяне на лични данни е във връзка с осъществяване на посредническа дейност в областта на международното осиновяване от асоциацията. Предмет на трансфера, ще бъдат лични данни на малолетни и/или непълнолетни лица с постоянно пребиваване в Република България (осиновявани), за които предложението да бъдат осиновени от клиенти на асоциацията е направено от компетентните органи – Съвет по международни осиновявания към Министерство на правосъдието (МП). В постъпилото искане е посочено, че личните данни се предоставят единствено и само при изпълнение на нормативни задължения, вменени на асоциацията и на съконтрагентите й. Получатели на данните ще бъдат единствено чуждестранни партньори -"Чилдрен`с Хаус Интернешънъл", САЩ или компетентните органи в САЩ, за които съответната нормативна уредба предвижда това. В изпълнение на Наредба № 1 от 07.02.2007 г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни, Национална асоциация „Семейство" твърди, че е предвидила и осигурява нивото на защита на обработваните лични данни, предвидено в чл. 11 от Наредбата. При трансфера на данните същите ще бъдат предоставяни единствено на хартиен носител, а средствата, използвани за трансфера ще бъдат куриерски или пощенски услуги, гарантиращи целостта, сигурността и неприкосновеността на трансферираните данни.

В искането е посочено, че САЩ е държава-членка на Хагската конвенция за защита на децата и сътрудничество в областта на международното осиновяване от 29.05.1993 г. Както по отношение на Национална асоциация „Семейство", така и за партньорите й и всички органи в САЩ, Конвенцията предвижда изключително стриктни правила на работа, изисквания и необходимост от спазване на редица международно признати принципи в областта на международните осиновявания. Такъв е и принципът на конфиденциалност на информацията и използването й единствено и само в защита интереса на децата и за целите на осиновителната процедура, установен в чл. 30 и чл. 31 от Конвенцията.

Освен на подробна национална и международноправна регламентация, дейността по осъществяване на действия по международно осиновяване подлежи и на лицензиране. В тази връзка, в искането е посочено, че досегашната си дейност Национална асоциация "Семейство" е извършвала по силата на лиценз № 4/17.12.2003 г., лиценз № 4.1/21.06.2004г., лиценз № 59/28.06.2006 г. и лиценз № 102/15.03.2010 г., последният от които е в сила и към настоящия момент. Лицензионният процес, както за Национална асоциация "Семейство", така и за неговите партньори включва пълна проверка за надеждност, сигурност, защита правата и съхранение на пълната информация, свързана с осиновителната процедура и личните данни на участващите в нея лица. В искането се твърди също, че в САЩ е създадена съответната нормативна база, защитаваща по адекватен начин личните данни на физическите лица.

Към постъпилото искане е приложено копие от договора за съвместна дейност и лиценза на получателя на данните – "Чилдрен`с Хаус Интернешънъл", САЩ по силата на който те могат да обработват личните данни за целите на дейността си.

В Договора, сключен между Национална асоциация „Семейство" и "Чилдрен`с Хаус Интернешънъл", САЩ са уредени отношенията между двете организации във връзка с осъществяваната от тях дейност по посредничество при международни осиновявания на деца-български граждани. В чл. 2 от Договора е посочено приложимото право, а именно – международните и българските закони, които са в сила към момента на действие на сключения между страните договор: Конвенцията за защита на децата и сътрудничество в областта на международното осиновяване, Семейния кодекс на Република България, Гражданския процесуален кодекс на Република България, Кодекс на международното частно право и съответната действаща подзаконова уредба. В чл. 6 от Договора е посочен поетият от страните ангажимент, като същите се задължават да запазят в тайна всяка поверителна информация по осиновяването в защита интересите на детето. Към договора е приложен и анекс с включени Стандартни договорни клаузи за целите на член 26(2) от Директива 95/46/ЕС за пренос на лични данни до обработващите данни, установени в трети държави, които не осигуряват съответното ниво на защита на данните, съгласно които износителят на данни се съгласява и гарантира: че обработването, включително и самият пренос на лични данни е било и ще продължи да бъде извършвано в съответствие с приложимите разпоредби на приложимия закон за защита на данните (и където е приложимо, са били уведомени съответните органи на страната-членка, където е установен износителят на данни) и не нарушава приложимите разпоредби на тази държава; че е инструктирал и по време на услугите по обработване на лични данни ще инструктира вносителя на данни да обработва личните данни, пренесени само от името на износителя на данни и в съответствие с приложимия закон за защита на личните данни и тези клаузи; че вносителят на данни осигурява достатъчни гаранции по отношение на техническите и организационни мерки за сигурност, уточнени в Приложение 2 – неразделна част от допълнителното споразумение; че след преценка на изискванията на приложимия закон за защита на данните, мерките за сигурност ще са уместни за предпазването на личните данни от случайно или незаконно унищожаване, случайна загуба, промяна, непозволено откриване или достъп, в частност там, където обработването включва пренос на данни по мрежа и от всички други незаконни форми на обработка, и че тези мерки ще осигуряват ниво на сигурност, съответстващо на рисковете, присъстващи при обработката, както и, че естеството на данните ще бъде защитено, имайки предвид състоянието на уменията и цената за тяхното използване; че ще се осигури съответствие с мерките за сигурност; че когато преносът включва специални категории данни, субектът е бил информиран, или ще бъде информиран преди или колкото е възможно по-скоро след, за това, че преносът на неговите данни може да бъде прехвърлен на трета държава, която не осигурява съответната защита.

От своя страна вносителят на данните се задължава и гарантира: да обработва личните данни само от името на износителя на данни и в съответствие с неговите инструкции и клаузите; ако не може да осигури такова съответствие поради каквито и да било причини, той се съгласява своевременно да информира износителя на данни за неспособността си да го изпълни, в който случай износителят на данни има право да преустанови преноса на данни и/или да прекрати договора; че е изпълнил техническите и организационните мерки за сигурност, уточнени в Приложение 2 преди да обработи пренесените лични данни; че своевременно ще уведомява износителя на данни за: всяка правно обвързваща молба за откриване на лични данни от правоприлагащ орган освен ако не е забранено по друг начин, като забрана в наказателното право за запазване на конфиденциалността при разследване от правоприлагащ орган; всеки случаен или непозволен достъп; както и всяка молба, получена директно от субектите на данните, без да отговаря на тази молба, освен ако не е бил другояче упълномощен да го направи. В подписаният анекс ясно е разписана отговорността на износителя и вносителя на данните, която поемат по отношение на спазване на клаузите залегнали в него. Разписано е и приложимото право или това е правото на страната износител на данните, а именно: законодателството в сферата на защита на личните данни на Република България.

Неразделна част от анекса е и Приложение № 1, което съдържа следната информация относно трансфера:

1. Категории субекти на прехвърлените лични данни – Деца, вписани в регистрите за осиновяване, за които са предоставени данни на износителя на данни от компетентните осиновителни власти;

2. Категории данни – име, дата на раждане, социална информация, информация за развитието и други данни, съдържащи се в доклада за детето, изготвен съгласно чл. 16 от Хагската конвенция от компетентния Централен орган;

3. Износител на данни – Акредитирана организация за посредничество при международни осиновявания – лиценз No 102/15.03.2010 г. и лицензиран администратор на лични данни с номер на лиценза 22247/11.11.2009 г. и имаща всички съответни права и задължения да работи като такава организация/ администратор, в съответствие със законовите разпоредби.

4. Вносител на данни – Агенция за осиновяване "Чилдрен`с Хаус Интернешънъл" -американска акредитирана организация за посредничество при международни осиновявания в съответствие с разпоредбите на Хагската конвенция от 29.05.1993 г.

Национална асоциация „Семейство" е сдружение, регистрирано като юридическо лице с нестопанска цел (ЮЛНЦ) за извършване на общественополезна дейност с решение на Софийски градски съд, регистрирано с фирмено дело № 7489/2003г., БУЛСТАТ 131113627 и е вписано в Регистъра за ЮЛНЦ към Министерство на правосъдието (МП).

Национална асоциация „Семейство" е администратор на лични данни по смисъла на чл.З отЗЗЛД и продала заявление с вх.№ 58792 за вписване в регистъра на администраторите на лични данни и водените от тях регистри, поддържан от КЗЛД.и в това си качество е подала Заявление за регистрация. Обявени са три регистъра: клиенти; специалисти; регистър на деца, вписани в регистрите по чл. 83 СК, за които Национална асоциация "Семейство" е получила официална информация от Министерство на правосъдието. Заявена е и възможността за предоставяне на данни в други държави, в това число и САЩ, по отношение на данните в регистъра на деца, вписани в регистрите по чл. 83 СК, за които Национална асоциация "Семейство" е получила официална информация от Министерство на правосъдието.

Сдружението има издадено от КЗЛД удостоверение за вписване в регистъра на администраторите на лични данни и водените от тях регистри с идентификационен номер №22247.

Във връзка с множество постъпили искания от акредитирани организации, осъществяващи дейност по международно осиновяване за получаване на разрешение от Комисията за защита на личните данни за предоставяне на лични данни в държави членки на Европейския съюз и Европейското икономическо пространство и трети страни, във връзка с осъществяваната от тях дейност, КЗЛД на свое редовно заседание, проведено на 14 юли 20 Юг. (Протокол № 26), разгледа въпроса относно режима за предоставяне на лични данни от страна на акредитирани организации на територията на Република България към държави членки на Европейския съюз и Европейското икономическо пространство и трети страни, във връзка с осъществяване на дейност по международно осиновяване. Произнасянето на Комисията по отношение на трансферите на лични данни към САЩ, извършвани във връзка с дейности по международно осиновяване, е, че акредитираните организации в Република България следва да включат в договорите със съответните акредитирани организации на територията на САЩ ангажимент за спазване на стандартни договорни клаузи, приети с Решение на Комисията на европейските общности от 15 юни 2001 година относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (нотифицирано под номер С(2001) 1539), изменено и допълнено с Решение от 27 декември 2004 година за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни (нотифицирано под номер С(2004) 5271). В този случай приложение ще намери разпоредбата на чл. 36а, ал. 4, т. 2 от 33ЛД, т.е. Комисията за защита на личните данни не извършва преценка на адекватността на нивото на защита на личните данни в трета държава в случаите, когато е необходимо изпълнение на решение на Европейската комисия, с което тя се е произнесла, че третата държава, в която се предоставят лични данни, се е задължила, съгласно сключен договор, да спазва определени стандартни договорни клаузи, които осигуряват адекватно ниво на защита на данните.

Във връзка с горното и на основание чл. 35 и чл. 52, ал. 1 от Правилника за дейността на КЗЛД и на нейната администрация във връзка с чл. 36а, ал. 4, т.2 и чл.Зба, ал.6 т.З от Закона за защита на личните данни, Комисията за защита на личните данни

1. Разрешава предоставянето на лични данни от страна на Национална асоциация „Семейство" към акредитирана организация на територията на Съединените американски щати – Агенция за осиновяване "Чилдрен`с Хаус Интернешънъл" – американска акредитирана организация за посредничество при международни осиновявания за периода на действие на сключения договор за сътрудничество в областта на международните осиновявания и допълнителното споразумение към него с включени Стандартни договорни клаузи за целите на член 26(2) от Директива 95/46/ЕС за пренос на лични данни до обработващите данни, установени в трети държави, в рамките на срока, за който Национална асоциация „Семейство" е получила разрешение от Министерство на правосъдието за осъществяване на посредническа дейност при международни осиновявания и в нормативно установения за тези цели обем.

Решението на Комисията може да се обжалва пред Административене съд – гр. София в 14 /четиринадесет/ дневен срок след получаването му.