Решение по искане рег. № 9447/ 12.08.2010 г.

Комисията за защита на личните данни (КЗЛД), в състав: председател Венета Шопова и членове : Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 16.12.2010 год. (Протокол № 42),разгледа искане, рег. № 9447/12.08.2010г. от “АББ АВАНГАРД” АД, за получаване на разрешение за трансфер на лични данни към мултинационалната корпоративна група на “АББ Асея Браун Бовери Лимитид” („ABBAseaBrownLtd) в Конфедерация Швейцария на основание чл. 36а, ал. 4, т.1 от Закона за защита на личните данни (ЗЗЛД). Искането е подадено чрез изпълнителните директори и членове на Управителния съвет на акционерното дружество-Р.М.П. и В.Ц.Г. Съгласно Удостоверение №20100301163229/01.03.2010г. на Агенцията по вписвания, дружеството се управлява и представлява пред трети лица от всеки двама от членовете на Управителния съвет заедно, от което става видно, че лицата, подали искането за трансфер на данни, могат да представляват дружеството пред Комисията за защита на личните данни във връзка с конкретното искане за трансфер.

Съгласно представената информация в искането за издаване на разрешение за трансфер на лични данни, “АББ АВАНГАРД” АД, България е част от мултинационалната корпоративна група на „ABBAseaBrownLtd”(“АББ Асея Браун Бовери Лимитид”), регистрирана в Търговския регистър на кантон Цюрих, Конфедерация Швейцария на 07.07.2010г. под № CH-020.3.900.058-8. Компанията извършва дейности свързани с държането на акции в предприятия в секторите промишленост, търговия и услуги. Тя може да придобива, ипотекира, валоризира и прехвърля права върху недвижими имоти и нематериални права в Конфедерация Швейцария и чужбина, да финансира и субсидира други компании или да издава сравними ценни книжа за техните облигации; може да предприема всички търговски дейности и мерки, които изглеждат подходящи за подпомагане целите на компанията или свързаните с тях. “АББ АВАНГАРД” АД, България е вписано в Търговския регистър при Агенцията по вписванията с ЕИК 107001401 и предмет на дейност: производство на прекъсвачи високо напрежение и друго електротехническо оборудване и търговия с тях в страната и в чужбина. Седалището и адресът на управление на дружеството са: гр.Севлиево 5400, ОбластГаброво, община Севлиево, ул.”Никола Петков” № 32.

Съгласно искането получател на данните ще бъде мултинационална корпоративна група на “АББ Асея Браун Бовери Лимитид” („ABBAseaBrownLtd) , установена на територията на Конфедерация Швейцария. Видно от предоставената информация в молбата, трансферът на данни засяга кандидати за работа, както и на служители и работници на “АББ АВАНГАРД” АД. Предмет на трансфер ще бъдат следните категории лични данни, засягащи посочените групи физически лица : Име; единен граждански номер ЕГН; адрес; паспортни данни; месторождение; телефон; образование; произход; трудова дейност и професионална квалификация; семейно положение.

Видно от искането за трансфер, в рамките на корпоративната група на дружеството предстои въвеждане на глобална автоматизирана информационна система “САП” (“SAP”) за всички дружества от корпоративната група “АББ”. Целта на прехвърлянето е предоставяне на лични данни на кандидати за работа, на работници и служители, с цел управление на човешките ресурси и управление на собственост от страна на дружеството и корпоративна група “АББ”.

При извършената служебна справка в Регистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, се установи, че дружеството е подало заявление за регистрация с вх.№29276/28.01.2010г. (02.02.2010г.-потвърждение) като администратор на лични данни и е вписано в регистъра с идентификационен номер 213205.“АББ АВАНГАРД” АД е заявило поддържането на 1 регистър “Персонал”. Не е заявено възможно предоставяне данни в Конфедерация Швейцария. Регистър “Персонал” включва лични данни на кандидати за работа, както и лични данни на работници и служители на Администратора. Трансферът на данни засяга информацията, поддържана в регистър „Персонал”, обявен пред Комисията за защита на личните данни с вписването на дружеството като Администратор на лични данни: Име; Единен граждански номер ЕГН; Адрес; Паспортни данни; Месторождение; Телефон; Образование; Произход; Трудова дейност и професионална квалификация; Семейно положение.

С писмо рег. №.9447/10.11.2010г. Комисията за защита на личните данни е изискала допълнителна информация относно държавата, на чиято територия ще предоставят данните, а именно: в Конфедерация Швейцария по адрес на управление на дружеството АББ Асея Браун Бовери Лимитид” или по местоположение на техния сървър – в Ениген, Германия; подробна информация и доказателства относно организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера, както и информация относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера.

В изпълнение на указанията на КЗЛД с писмо от 26.11.2010г. в Комисията е постъпила допълнителна информация от дружество „ АББ АВАНГАРД " АД, както следва:

1. Относно държавата, на чиято територия ще бъдат предоставени данните, е уточнено, че това еКонфедерация Швейцария, тъй като достъп до прехвърлените данни ще имат само служители от отдели“Човешки ресурси” и “Информационни технологии” на дружеството “АББ Асея Браун Бовери Лимитид”.

2. Относно предоставяне на подробна информация и доказателств за организационните и техническите мерки за защита на данните, във връзка с осъществяването на трансфера: Достъпът ще се осъществява посредством идентификация с потребителско име и парола, като паролата следва да бъде с дължина между 8 и 15 символа, да съдържа поне една цифра и главна буква и да не бъде речникова дума. Паролата следва да бъде променяна на всеки 90 дни, а достъпът до сървъра ще бъде забраняван в случай на три неуспешни опита за достъп в рамките на 60 минути. Ще бъдат използвани и следните специални мерки за защита: външни и вътрешни демилитаризирани зони за достъп (outerandinnerDemilitarizedZones); защитни стени (firewalls), криптиране на предаваната информация и други.

3. Относно наличието на съгласие за предстоящия трансфер на физическите лица, чиито данни ще бъдат обект на трансфера:Уведомление за обработване и трансфер на лични данни. Същото е адресирано до всички служители на „ АББ АВАНГАРД " АД, като същите са информирани, че техните данни се обработват от дружеството и че същите се съхраняват в регистър “Персонал и граждански договори” –гр.Севлиево. Цитирани са целите на обработване на данните, както и прехвърлянето на данните към дружеството “АББ Асея Браун Бовери Лимитид” в Конфедерация Швейцария, съгласно законовите изисквания и процедури. Разписани са както видовете данни, които ще бъдат прехвърлени, така и целта на трансфера; видовете лица, пред които могат да бъдат разкривани данните. Изрично е указано, че чувствителни данни няма да бъдат прехвърляни. Уведомлението е подписано от изпълнителните директори и членове на Управителния съвет на дружеството на 24.11.2010г.

Съгласно Директива № 95/46/EО на Европейския парламент и на Съвета трансфер на лични данни в трети страни може да бъде осъществен, само ако въпросната трета държава предоставя адекватно ниво на защита на данните. Предоставянето на лични данни от администратор, установен на територията на Република България към друг администратор на лични данни извън страната, се извършва по реда на Закона за защита на личните данни, като определящ критерий относно режима на трансфер на данни е държавата, в която ще бъдат предоставени данните.Предоставяне на лични данни в трета държава се допуска само, ако тя осигурява адекватно ниво на защита на личните данни на своя територия.

Съгласно чл.36а, ал.4, т.1 от Закона за защита на личните данни,Комисията за защита на личните данни не извършва преценка на „ адекватността на нивото на защита на личните данни в трета държава”, когато е налице произнасяне, с решение на Европейската комисия, че третата държава, в която се предоставят личните данни, осигурява адекватно ниво на защита. В изключителната компетентност на Европейската комисия е определянето на адекватно ниво за защита на данните, което се посочва като „заключение за адекватност”. Произнасянето на Европейската комисия в разглеждания смисъл е с решение № 2000/518/ЕО от 26.07.2000г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета за адекватната защита на личните данни, предоставяни в Швейцария.

Предвид факта, че Европейската комисия с решение № 2000/518/ЕО от 26.07.2000г. се е произнесла, че Конфедерация Швейцария предоставя подходящо ниво на защита на личните данни и основание чл.36а, ал.4, т.1 от ЗЗЛД, Комисията за защита на личните дани

1. Разрешава на администратора на лични данни „АББ АВАНГАРД” АД да предостави лични данни на физически лица-кандидати за работа, както и лични данни на работници и служители на дружеството, на мултинационална корпоративна група на територията на трета страна – “АББ Асея Браун Бовери Лимитид” („ABBAseaBrownLtd”), Конфедерация Швейцария, за целите на глобалната автоматизирана информационна система САП (SAP), за администриране и управление на човешки ресурси и собственост, в следния обем: име; единен граждански номер; адрес; паспортни данни; месторождение; телефон; образование; произход; трудова дейност и професионална квалификация; семейно положение.

2. Указва на администратора на лични данни „АББ АВАНГАРД” АДда актуализира информацията в регистър „Персонал”, обявен в Регистъра на администраторите на лични данни и на водените от тях регистри в КЗЛД, като заяви възможност за осъществяване на предоставяне на лични данни в Конфедерация Швейцария.

Решението на Комисията може да се обжалва пред Върховния административен съд в 14 (четиринадесет) дневен срок от получаването му.