Решение по искане с вх .№ 1430/30.04.2007 г.

Комисията за защита на личните данни в състав: Венета Шопова, Красимир Димитров, Валентин Енев и Веселин Целков на заседание, проведено на 25.11.2009 г., разгледа искане с вх. № 1430/30.04.2007 год. за предоставяне на лични данни в САЩ и Швейцария от «П.С.Б.» ЕООД.

С молба вх. № В – 1430/21.05.2009 г. представителят на „П.С.Б.” ЕООД е отправил молба до КЗЛД за произнасяне на административния орган по искане вх. № 1430/30.05.2007 г. за допусканепредоставянето на лични данни от администратора към САЩ и Швейцария с оглед влязло в сила Решение № 11564/03.11.2008 г. на Върховния административен съд /ВАС/ по административно дело № 11897/2007 г.

С посоченото решение на ВАС е отменено решение на КЗЛД от 25.07.2007 г., с което е отказано разрешение на „П.С.Б.” ЕООД да предоставя лични данни в САЩ и Швейцария.

В тази връзка администраторът на лични данни моли КЗЛД за произнасяне съобразно указанията в мотивите на решение № 11564/03.11.2008 г. на ВАС.

С оглед решение на КЗЛД от заседание, проведено на 01.07.2009 г., на М.Т. – управител на „П.С.Б.” ЕООД е изпратено писмо с изх.№ и- 2615/22.07.2009 г. В него е дадено указание на „П.С.Б.” ЕООД да бъде предоставено заверено копие на актуален, обвързващ двете страни договори приложения към него, с включени стандартни договорни клаузи, осигуряващиадекватно ниво на защита. Поискана е също така информация относно получателите на лични данни, правното основание на което се иска разрешение за трансфер на лични данни за всеки случай, доказателства и информация.

В писмо вх.№ към в-1430/07/04.08.2009 г. от „П.С.Б.” ЕООД е посочено, че получатели на прехвърляните данни могат да бъдат единствено:

1. дружествата – майки от веригата П. /притежаващи 100 % от капитала на дъщерните дружества/, включващи П.Д.К., П.Х. – Б.И., Инк., Е.И. Д. де Н. и др./ филиали/ и

2. трети лица /продавачи/, които имат договор да предоставят услуги, касаещи целите на прехвърлянето.

Посочено е също, че целите и правното основание на прехвърлянето са свързани:

1. с корпоративни нуждина дружествата в рамките на един концерн/ дружество- майкаи дъщерно дружество/, коитообразуват една икономическа група и

2. когато предоставянето е необходимо за изпълнение задълженията по договор, предоставяне на услуги между физическото лице и администратора и/или между администратора и друг субект за договор, сключен в интерес на физическото лице/ чл.36, ал.6т.2 и т.3 от ЗЗЛД/.

С писмо вх.№ към В – 1430/21.10.2009 г. от „П.С.Б.” ЕООД до КЗЛД е изпратено споразумение за прехвърляне на лични данни, сключено между П.Х.Б.И., от една странаи „П.С.Б.” ЕООДот друга. Посочено е, че това е актуален, обвързващ двете страни договор и приложения към него, с включени стандартни договорни клаузи, осигуряващи адекватно ниво на защита на личните данни.

Съгласно разпоредбата на чл. 36а, ал. 3 от ЗЗЛД при предоставяне на лични данни в трета държава КЗЛД извършва преценка на адекватността на нивото на защита на личните данни, като се вземат предвид всички обстоятелства, свързани с действията или съвкупността от действията по предоставянето на данните, включително характера, целта и продължителността на обработването, правната уредба и мерките за сигурност, осигурени в третата държава.

На основание чл. 36а, ал. 4, т. 2 от ЗЗЛД КЗЛД не извършва преценка по ал. 3 в случаите, когато е необходимо изпълнение на решение на Европейската комисия, с което тя се е произнесла, че определени стандартни договорни клаузи осигуряват адекватно ниво на защита. В разглежданата хипотеза „П.С.Б.” ЕООД са приложили към молбата си за предоставяне на лични данни в трети страни споразумение с „П.Х.-Б.И.И.” САЩ от 28 ноември 2006 г. за трансфер на лични данни, с което са приели стандартни договорни клаузи, които осигуряват адекватно ниво на защита, съгласно решение на Европейската комисия от 24 декември 2004 г.

В чл. 36а, ал. 4, т. 1 от ЗЗЛД е отразена втората хипотеза, при наличието на която КЗЛД не извършва преценка на „адекватността на нивото на защита на личните данни в трета държава”. Посочената разпоредба се отнася за случаите, когато е налице произнасяне, с решение на Европейската комисия /ЕК/, че третата държава, в която се предоставят личните данни осигурява адекватно ниво на защита. Съгласно Директива 95/46/ЕК за защита на данните трансферите на лични данни от ЕС в трети държави могат да се осъществят, ако въпросната трета държава осигурява адекватно ниво на защита. В изключителната компетентност на ЕК е определянето на адекватно ниво на защита на данните, което се посочва като „заключение за адекватност”. Произнасянето на Европейската комисия в разглеждания смисъл е с решение от 26.07.2000 г. – 2000/518/ЕС.

На основание чл.10, ал.1, т.1 от ЗЗЛД и чл. 35 от Правилника за дейността на КЗЛД и нейната администрация, Комисията

Съгласно разпоредбата на чл. 36а, ал. 4, т. 1 и т. 2 от ЗЗЛД, предоставянето на лични данни на трети лица от администратора на лични данни „П.С.Б.” ЕООД в САЩ и Швейцария, е допустимо. По отношение на САЩ то е допустимопредвид сключено споразумение между „П.С.Б.” ЕООД и „П.Х.-Б.И.И. САЩ от 28 ноември 2006 г. за прехвърляне на лични данни, с което са приети стандартни договорни клаузи, които осигуряват адекватно ниво на защита, съгласно решение на Европейската комисия от 24 декември 2004 г. По отношение на Швейцария предоставянето е допустимо в изпълнение на решение на Европейската комисия от 26.07.2000 г. – 2000/518/ЕС, с което е налице произнасяне за адекватно ниво на защита на личните данни в Швейцария.