Решение по искане рег. № 9323/ 30.07.2010г.

Комисията за защита на личните данни (КЗЛД), в състав: председател Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 16.12.2010 год. (Протокол № 42),разгледа искане, рег. № 9323/30.07.2010г. от “АББ БЪЛГАРИЯ” ЕООД, за получаване на разрешение за трансфер на лични данни към мултинационалната корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), в Конфедерация Швейцария на основание чл. 36а, ал. 4, т.1 от Закона за защита на личните данни (ЗЗЛД). Искането е подадено чрез Т.В.В.-пълномощник на управителите на “АББ БЪЛГАРИЯ” ЕООД. Приложено е пълномощно №198/15.07.2010г. от Д.В.И. и С.Д.С. – управители на дружеството, от което става видно, че лицето, подало искането за трансфер на данни, е упълномощено да представлява дружеството пред Комисията за защита на личните данни във връзка с конкретното искане за трансфер.

Съгласно представената информация в искането за издаване на разрешение за трансфер на лични данни, “АББ БЪЛГАРИЯ” ЕООД, България е част от мултинационалната корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), регистрирана в Търговския регистър на кантон Цюрих, Конфедерация Швейцария на 07.07.2010г. под № CH-020.3.900.058-8. Компанията извършва дейности свързани с държането на акции в предприятия в секторите промишленост, търговия и услуги. Тя може да придобива, ипотекира, валоризира и прехвърля права върху недвижими имоти и нематериални права в Конфедерация Швейцария и чужбина, да финансира и субсидира други компании или да издава сравними ценни книжа за техните облигации; може да предприема всички търговски дейности и мерки, които изглеждат подходящи за подпомагане целите на компанията или свързаните с тях. “АББ БЪЛГАРИЯ” ЕООД е вписано в Търговския регистър при Агенцията по вписванията с ЕИК 831133152 и предмет на дейност: маркетинг и продажби; проучване, проектиране, консултантски услуги; електромонтаж; пусконаладъчни работи; строителство; ремонт и сервизно обслужване на: електрически уредби до 420 КW, системи за автоматизация; енергийни и промишлени информационни системи; продукти, съоръжения и системи за високо, средно и ниско напрежение; проектиране; разработване; производство, конструиране и продажба на електронно оборудване, компоненти и части; превозни и спедиционни сделки със собствени, наети или лизингови автомобили; внос и износ, както и всички други незабранени от закона дейности. Седалището и адресът на управление на дружеството са: гр.София 1592, Район “Младост”, бул.”Христофор Колумб” № 9, ет.3.

Съгласно искането получател на данните ще бъде мултинационална корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), установена на територията на Конфедерация Швейцария. Видно от предоставената информация в молбата, трансферът на данни засяга кандидати за работа, служители и работници, както илица сключили граждански договори с“АББ БЪЛГАРИЯ” ЕООД. Предмет на трансфер ще бъдат следните категории лични данни, засягащи посочените групи физически лица : Име; единен граждански номер ЕГН; адрес; паспортни данни; месторождение; телефон; образование; трудова дейност и професионална квалификация; семейно положение; медицинско свидетелство; свидетелство за съдимост.

Видно от искането за трансфер, в рамките на корпоративната група на дружеството предстои въвеждане на глобална автоматизирана информационна система “САП” (“SAP”) за всички дружества от корпоративната група “АББ”. Целта на прехвърлянето е предоставяне на лични данни на кандидати за работа, на работници и служители, както и на лица сключили граждански договори с “АББ БЪЛГАРИЯ” ЕООД, с цел управление на човешките ресурси от страна на дружеството и корпоративна група “АББ”.

При извършената служебна справка в Регистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, се установи, че дружеството е подало заявление за регистрация с вх.№94731/05.02.2010г.(10.02.2010г.-потвърждение) като администратор на лични данни и е вписано в регистъра с идентификационен номер 29074.“АББ БЪЛГАРИЯ” АД е заявило поддържането на 5 броя регистри:“Персонал и граждански договори”(гр.София);“Персонал”(гр.Петрич); “Контрагенти”(гр.София); “Контрагенти”(гр.София);) и “Контрагенти”(гр.Петрич). Трансферът на данни засяга информацията, поддържана в регистър „Персонал и граждански договори”- гр.София и регистър “Персонал”-гр.Петрич, обявени пред Комисията за защита на личните данни с вписването на дружеството като Администратор на лични данни. Не е заявено възможно предоставяне данни в Конфедерация Швейцария. Регистър “Персонал и граждански договори”- гр.София: включва лични данни на кандидати за работа, на работници и служители, както и лични данни на лицасключили граждански договори с Администратора в гр.София. Регистър “Персонал”- гр.Петрич: включва лични данни на кандидати за работа, на работници и служители, сключилидоговори с Администратора в гр.Петрич. Обемът на данни, обект на заявения трансфер, включва следните лични данни на съответните физически лица от цитираните два регистъра по-горе, а именно: име; единен граждански номер ЕГН; адрес; паспортни данни; месторождение; телефон; образование; трудова дейност и професионална квалификация; семейно положение; медицинско свидетелство; свидетелство за съдимост.

С писмо рег. №.9323/10.11.2010г. Комисията за защита на личните данни е изискала допълнителна информация относно държавата, на чиято територия ще предоставят данните, а именно: в Конфедерация Швейцария по адрес на управление на дружеството “АББ Асея Браун Бовери Лимитид” или по местоположение на техния сървър – в Ениген, Германия; подробна информация и доказателства, относно организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера, както и информация, относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера.

В изпълнение на указанията на КЗЛД с писмо от 26.11.2010г. в Комисията е постъпила допълнителна информация от дружество „ АББ БЪЛГАРИЯ " ЕООД, както следва:

1. Относно държавата, на чиято територия ще бъдат предоставени данните, е уточнено, че това е Конфедерация Швейцария, тъй като достъп до прехвърлените данни ще имат само служители от отдели“Човешки ресурси” и “Информационни технологии” на дружеството „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”).

2. Относно предоставяне на подробна информация и доказателства за организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера: Достъпът ще се осъществява посредством идентификация с потребителско име и парола, като паролата следва да бъде с дължина между 8 и 15 символа, да съдържа поне една цифра и главна буква и да не бъде речникова дума. Паролата следва да бъде променяна на всеки 90 дни, а достъпът до сървъра ще бъде забраняван в случай на три неуспешни опита за достъп в рамките на 60 минути. Ще бъдат използвани и следните специални мерки за защита: външни и вътрешни демилитаризирани зони за достъп (outerandinnerDemilitarizedZones); защитни стени (firewalls), криптиране на предаваната информация и други.

3. Относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера:Уведомление за обработване и трансфер на лични данни. Същото е адресирано до всички служители на „ АББ БЪЛГАРИЯ " ЕООД, като същите са информирани, че техните данни се обработват от дружеството и че същите се съхраняват в регистрите “Персонал и граждански договори”– гр.София и “Персонал”–гр.Петрич. Цитирани са целите на обработване на данните, както и прехвърлянето на данните към дружеството “АББ Асея Браун Бовери Лимитид” в Конфедерация Швейцария, съгласно законовите изисквания и процедури. Разписани са както видовете данни, които ще бъдат прехвърлени, така и целта на трансфера; видовете лица, пред които могат да бъдат разкривани данните. Указано е изрично, че чувствителни данни няма да бъдат прехвърляни. Уведомлението е подписано от управителите на дружеството – Делка Вълчинова Иванова и Станчо Добрев Станчев на 24.11.2010г.

Съгласно Директива № 95/46/EО на Европейския парламент и на Съвета трансфер на лични данни в трети страни може да бъде осъществен, само ако въпросната трета държава предоставя адекватно ниво на защита на данните. Предоставянето на лични данни от администратор, установен на територията на Република България към друг администратор на лични данни извън страната, се извършва по реда на Закона за защита на личните данни, като определящ критерий относно режима на трансфер на данни е държавата, в която ще бъдат предоставени данните.Предоставяне на лични данни в трета държава се допуска само, ако тя осигурява адекватно ниво на защита на личните данни на своя територия.

Съгласно чл.36а, ал.4, т.1 от Закона за защита на личните данни,Комисията за защита на личните данни не извършва преценка на „ адекватността на нивото на защита на личните данни в трета държава”, когато е налице произнасяне, с решение на Европейската комисия, че третата държава, в която се предоставят личните данни осигурява адекватно ниво на защита. В изключителната компетентност на Европейската комисия е определянето на адекватно ниво за защита на данните, което се посочва като „заключение за адекватност”. Произнасянето на Европейската комисия в разглеждания смисъл е с решение № 2000/518/ЕО от 26.07.2000г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета за адекватната защита на личните данни, предоставяни в Швейцария.

Предвид факта, че Европейската комисия с решение №2000/518/ЕО от 26.07.2000г. се е произнесла, че Конфедерация Швейцария предоставя подходящо ниво на защита на личните данни и основание чл.36а, ал.4, т.1 от ЗЗЛД, Комисията за защита на личните данни,

1. Разрешава на администратора на лични данни „АББ БЪЛГАРИЯ” ЕООД, да предостави лични данни на физически лица-кандидати за работа, на работници и служители, както и лични данни на лица, сключили граждански договори с дружеството, на мултинационална корпоративна група на територията на трета страна – “АББ Асея Браун Бовери Лимитид”, Конфедерация Швейцария, за целите на глобалната автоматизирана информационна система САП (SAP), за администриране и управление на човешки ресурси и собственост, в следния обем: име; единен граждански номер; адрес; паспортни данни; месторождение; телефон; образование; трудова дейност и професионална квалификация; семейно положение; медицинско свидетелство; свидетелство за съдимост.

2. Указва на администратора на лични данни „АББ БЪЛГАРИЯ” ЕООД да актуализира информацията в регистрите „Персонал и граждански договори-гр.София” и „Персонал – гр.Петрич”, обявени в Регистъра на администраторите на лични данни и водените от тях регистри в КЗЛД, като заяви възможност за предоставяне на лични данни в Конфедерация Швейцария.

Решението на Комисията може да се обжалва пред Върховния административен съд в 14 (четиринадесет) дневен срок от получаването му.