Решение по молба рег. № 5763/04.03.2010г.

Комисията за защита на личните данни (КЗЛД), в състав: председател Венета Шопова и членове : Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 21.04.2010 год. (Протокол № 14),разгледа молба, рег. № 5763/04.03.2010г. от „ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД, чрез пълномощника на управителите на клона Славена Атанасова, за издаване на разрешение от Комисията за предоставяне на лични данни от дружеството като администратор на лични данни на чуждестранно юридическо лице.

С молбата за трансфер е поискано разрешение за предоставяне на лични данни от дружество „ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД на „Тева Фармасютикълс Индъстрис Лимитид”, което е крайното дружество-майка на дружествата от групата „Тева Фармасютикъл” („Група Тева”). Личните данни засягат бивши, настоящи и кандидати за служители на дружеството, в т.ч. доброволци, агенти, временни и инцидентни работници и включват информация относно име, служебен адрес, електронен адрес, телефон, факс, роднина за връзка при спешен случай, данни за опит, образование, обучение и управление на кариерата, логистични данни за настоящата служба в „Тева” (кариерно развитие, позиция и месторабота), финансови данни за службата (размера на заплатите) и данни за предходни работодатели. Данните засягат регистър „Човешки ресурси” на „ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД и ще се трансферират в трета държава – Израел. Целта на прехвърлянето на данните е управление на човешките ресурси. Информацията ще се предава в чужбина по електронен път и защитата ще се осъществява най-общо чрез защитна стена (FireWall), криптиране на лични данни, като всички транзакции ще протичат през Глобален мрежов рутер на „Група Тева”, който ще бъде защитен от защитата на техническата инфраструктура на групата.

За реализиране на прехвърлянето между „ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД и „Тева Фармасютикълс Индъстрис Лимитид” е сключено Споразумение за прехвърляне на данни, към което са приложени стандартни договорни клаузи съгласно решение на Европейската комисия от 27 декември 2004 година за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни (Решение 2004/915/ЕО).

„ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД ееднолично дружество с ограничена отговорност със седалище и адрес на управление София, район “Средец”, ул. “Н.В. Гогол” 15, ет. 1, с предмет на дейност: производство и/или пакетиране, и/или регистрация, и/или внос и/или износ, и/или маркетинг, и/или промотиране, и/или дистрибуция, и/или продажба, и/или лицензиране на фармацевтични продукти и/или здравни продукти за животни и/или медицинска апаратура и/или части за медицинска апаратура, и/или координацията и/или разработването на клинични опити и/или тестове във връзка с всяка от изброените дейности, както и всякаква друга дейност, незабранена със закон. Дружеството е подало заявление за регистрация като администратор на лични данни с номер 1267769 и е вписано в „Регистъра на администраторите на лични данни и на водените от тях регистри” с идентификационен номер 254329 съгласно Протокол 9/17.03.2010.Администраторът е отбелязал поддържането на три регистъра -“Човешки ресурси”, “Контрагенти”, “Организиране на маркетингови събития, симпозиуми и конференции”. По отношение на регистър “Човешки ресурси” е заявено обработване на следните данни: име, паспортни данни, ЕГН, месторождение, адрес, телефон, електронен адрес, факс, банкова сметка за превеждане на заплатите, финансови данни за службата (размер на заплати), интереси, хоби, образование, трудова дейност, професионална биография, обучения, допълнително придобити квалификации, данни за предходни работодатели, семейно положение, данни за роднина за връзка при спешен случай, логистични данни за настоящата служба (кариерно развитие, заемана позиция и месторабота). В регистъра на КЗЛД е отбелязано и възможно предаване на данните в друга държава – Израел.

В искането си дружеството посочва като цел на прехвърлянето разработването на световна вътрешнофирмена информационна система за човешки ресурси от крайното дружество-майка на дружествата от групата „Тева Фармасютикълс” (получателят на данните). Общата цел на системата е улесняване на управленските функции във връзка с човешките ресурси и улесняване на администрирането и спазването на политиките за човешки ресурси (назначаване, освобождаване, заплащане, дисциплинарни въпроси, пенсиониране, управление на работата или други въпроси във връзка с персонала) и за създаването на резервни копия от информацията за осигуряване на приемственост в търговската дейност. В тази система ще се събират данни за бивши, настоящи и кандидати за служители на прехвърлителя на данни, вкл. доброволци, агенти, временни и инцидентни работници. Искането е за прехвърляне на лични данни от категориите физическа, семейна, социална и икономическа идентичност.

В Анекс Б към стандартните договорни клаузи са разписани конкретните получатели на данните:мениджърите на съответните служители, мениджърите човешки ресурси за съответното дружество от „Тева груп”, IT-персонала, служителите и мениджърите на “Тева груп”, като подробно са указани техните правомощия във връзка с извършването на проверки в системата. Нивото на достъпност на IT-системата за човешки ресурси зависи от нивото на старшинство и длъжностната характеристика на персонала, който получава достъп. В този смисъл в договора е посочено, че старшите бизнес мениджъри ще имат достъп до личните данни на техните преки подчинени, но няма да имат достъп до личните данни на други служители.

Предвиден е максимален срок за съхранение на данните от една година след прекратяване на назначението на физическите лица, за които се отнасят данните или съгласно други разпоредби на политиката за съхранение на документи на прехвърлителя на данни към съответния момент.

В съответствие с Директива № 95/46/EО на Европейския парламент и на Съвета трансфер на лични данни от администратор, установен на територията на Република България към друг администратор на лични данни в трети страни може да бъде осъществен, само ако въпросната трета държава предоставя адекватно ниво на защита на данните.

На основание чл. 36а, ал. 4, т. 2 от Закона за защита на личните данни (ЗЗЛД) КЗЛД не извършва преценка на адекватността на нивото на защита на личните данни в третата държава в случаите, когато е необходимо изпълнение на решение на Европейската комисия, с което тя се е произнесла, че определени стандартни договорни клаузи осигуряват адекватно ниво на защита. В конкретния случай износителят и вносителят на данните са използвали стандартни договорни клаузи съгласно решение на комисията от 27 декември 2004 година за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни (Решение 2004/915/ЕО).

Предвид факта, че за извършване на трансфера се използват стандартни договорни клаузи съгласно горепосоченото решение на Европейската комисия и на основание чл.36а, ал.4, т.2 във връзка с ал.2 от ЗЗЛД Комисията за защита на личните данни

Разрешава на „ТЕВА ФАРМАСЮТИКЪЛС БЪЛГАРИЯ” ЕООД да предостави лични данни от категориите физическа, семейна, социална и икономическа идентичност на физически лица (бивши, настоящи и кандидати за служители на прехвърлителя на данни, вкл. доброволци, агенти, временни и инцидентни работници) на дружество на територията на трета страна – „Тева Фармасютикълс Индъстрис Лимитид”, Израел в следния обем: име, служебен адрес, електронен адрес, телефон и факс; роднина за връзка при спешен случай; данни за опит, образование, обучение и управление на кариерата; логистични данни за настоящата служба в „Група Тева” (кариерно развитие, позиция и месторабота), финансови данни за службата (размера на заплатите) и данни за предходни работодатели.

Решението на Комисията може да се обжалва пред Върховния административен съд в 14 (четиринадесет) дневен срок от получаването му.