Становище на КЗЛД относно искане от директора на дирекция „Международно оперативно сътрудничество” – Министерството на вътрешните работи, по въпроси, касаещи приложението на Закона за защита на личните данни

ОТНОСНО: Искане с вх.№n2936/2012г. от г-н И.П.- директор на дирекция "Международно оперативно сътрудничество"/ДМОС/ – Министерството на вътрешните работиза становище от Комисията за защита на личните данни (КЗЛД) по въпроси, касаещи приложението на Закона за защита на личните данни (ЗЗЛД)

Комисията за защита на личните данни (КЗЛД) в състав: Венета Шопова, Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 28.11.2012г. разгледа искане с вх.№П-2936/05.07.2012г. от И.П.- директор на дирекция "Международно оперативно сътрудничество"/ДМОС/- Министерството на вътрешните работи, в което е оправена молба за становище от Комисията за защита на личните данни (КЗЛД) на основание чл.10, ал.1, т.4 от Закона за защита на личните данни (ЗЗЛД). В искането е посочено,че в дирекция "Международно оперативно сътрудничество" е постъпило искане с вх.№Ж-33 от 20.06.2012г. по описа на ДМОС- МВР от „И.А.”ЗЕАД чрез адвокат Л.Г. при САК, относно предоставяне на информация и документи, удостоверяващи обстоятелства, относими към проведените оперативно – издирвателни мероприятия за откриване на л.а. марка „Мерцедес", модел Е270 ЦДИ, ДКН, рама: ****, като подателят е изискал да бъде конкретно снабден със заверен препис от официален документ №А-4053/23.02.2012г. по описа на ДМОС-МВР. Искането е направено въз основа на приложено съдебно удостоверение, издадено от Софийски градски съд по реда на чл.186 от ГПК за нуждите на гр.д. №9414/2011г.

В искането за становище е посочено, че редът и условията за обработване на лични данни в МВР, в това число тяхното предоставяне, са регламентирани в „Раздел III" на ЗМВР.

Сочи се, че съгласно предписанията на препращащата норма на чл.159, ал.9 от ЗМВР, данните получени или предоставени по реда на чл.1, ал.6 от ЗЗЛД (от държава – членка на ЕС, или органи или информационни системи, създадени въз основа на Договора за създаването на ЕС или на Договора за функциониране на ЕС, в рамките на полицейското или съдебно сътрудничество), се обработват при условията и по реда на ЗЗЛД.

Казва се, че фактът, че въпросният казус попада в хипотезата на визираната норма, обуславя разглеждането му на плоскостта на приложимите разпоредби на ЗЗЛД.

Посочено е, че с нормите на ЗЗЛД е въведен ограничителен режим за предоставяне на лични данни, получени от чужди органи в рамките на полицейското или съдебно сътрудничество. Сочи се също, че за тази цел законодателят е установил изискуеми предпоставки, наличието или отсъствието на които определят предоставянето на такива данни.

Посочено е също, че изричната норма на чл.2, ал.3 от ЗЗЛД разрешава обработването на лични данни, получени по чл.1, ал.6, допълнително за друга цел, различна от целта, за която са събрани, когато са кумулативно изпълнени определени условия. Изложено е твърдение, че по смисъла на цитираната разпоредба задължително условие conditio sine qua поп за допълнително обработване на данните за друга цел е нейната съвместимост с първоначалната цел, за която са предоставени.

В искането се казва, че с разпоредбите на чл.36г и 36з от ЗЗЛД допълнително са дефинирани условия, при които данните получени по чл.1, ал.6 могат да бъдат предоставени. Указано е , че нормата на чл.36г, т.3 от същия закон позволява обработването на лични данни за други цели, свързани с предотвратяване и разкриване на престъпления, провеждане на наказателно производство, или изпълнение на наказания, както и за предотвратяване на непосредствена и сериозна заплаха за обществения ред, при спазването на предписанията на императивната правна норма jus cogens на чл.2 от ЗЗЛД. Отклонение от тези правила е допустимо единствено, ако за това има предварително съгласие на предоставящия данните.

В искането е изложено твърдение, че задълбоченият прочит на цитираните разпоредби налага изводът, че законодателят е упражнил разграничителен подход при формулирането на понятията „предоставени данни" и „получени данни". Казва се също, че изхождайки от систематичното и логическо тълкуване на използваните понятия може да се изведе заключението, че предоставянето на данни е резултатна дейност, т.е. данните са били предварително поискани за определена цел, докато „получени" са данните, които са били предадени без това да е било предшествано от изрично направено искане.

Сочи се, че и в двете хипотези, предоставянето на тези данни на трети лица е обвързано със задължителното условие да е налице съгласие от страна на предоставящия данните.

Посочено е , че в разглеждания случай, данните, обективирани в изискания документ са събрани от ДМОС по инициатива на органите на СДВР, с цел подпомагане действията по разследване и провеждането на оперативно – издирвателни мероприятия във връзка с подозрение за незаконен трафик на МПС и застрахователна измама, касаещи процесния автомобил (т.е. данните са били предоставени).

Посочено е също, че въпросният документ (данните) е изискан с цел правилното решаване на гражданско дело, т.е. да послужи за нуждите на гражданското съдопроизводство, което изключва съвместимост с първоначалната цел, за която данните са предоставени.

В искането за становище е посочено, че в рамките на полицейското и съдебно сътрудничество в информационните фондове на МВР се обработват и лични данни, обработвани (предоставени или получени) от органи на трети държави (напр. Държави- членки на МОКП ИНТЕРПОЛ), които не са членки на ЕС. Предвид обстоятелството, че тази материя не е изрично уредена в ЗЗЛД се налага изводът, че са приложими разпоредбите на специалния закон lex specialis, какъвто е ЗМВР.

Казва се , че в тази връзка, съгласно предписанията на специалната норма на чл.159, ал.3 от ЗМВР данните, обработвани от други органи и получени по реда на същата разпоредба, не могат да се използват за други цели освен за защита на националната сигурност, опазване на обществения ред и противодействие на престъпността, като изрично е посочено, че тези данни не се препредават.

Отправена е молба до Комисията, с оглед правилното и точно прилагане на законовите разпоредби, регламентиращи обработването на лични данни в МВР и правомощията на компетентните органи относно тяхното предоставяне, за становище по следните въпроси:

1. Състоятелен и обоснован ли е изводът, че компетентните структури на МВР предоставят лични данни, получени от държава – членка на ЕС, или органи или информационни системи, създадени въз основа на Договора за създаването на ЕС или на Договора за функциониране на ЕС, на трети лица (включително органи на съдебната власт) за цели, различни от целите, за които са предоставени, единствено в условията на съвместимост и само с изричното съгласие на държавата, която ги е предоставила. Горният извод релевантен ли е към режима за предоставяне на „получени" данни.

2. Състоятелен ли е изводът, че във всички случаи, отказът или непроизнасянето от страна на държавата – приносител на данните, е достатъчно основание за непредоставяне на личните данни на националния орган, който ги е поискал.

3. Може ли да се изведе обоснован извод, че предоставянето на лични данни на орган на съдебната власт за нуждите на гражданското съдопроизводство е за други цели, несъвместими с целите, за които са предоставени (предотвратяване, разкриване или разследване на престъпления; противодействие на престъпността; провеждане на наказателно производство; изпълнение на наказания) и представлява отрицателна предпоставка за тяхното предоставяне.

4. Обосновано ли е да се счита, че предоставянето на лични данни, получени или предоставени от органи на трети държави (държави извън ЕС), на национални органи се урежда със специалните норми на ЗМВР, т.е. приложим е специалният правен режим

Предвид това, че нито един от цитираните в искането за становище документи не е приложен към него с писмо изх.№п 3074/11.07.2012г., подписано от председателя на КЗЛД, на основание чл.35, и чл.36 от Административнопроцесуалния кодекс, е поискано от г-н Цветан Цветанов- министър на вътрешните работи, в качеството му на администратор на лични данни в седем дневен срок от получаване на съобщението да представи заверени копия на цитираните документи във връзка с които се иска становище на Комисията, а именно:

1. писмо №ж – 33 от 20.06.2012г.

2. документ №А – 4053/23.02.2012г.

3. съдебно удостоверение , издадено от Софийски градски съд , по реда на чл.186 от ГПК за нуждите на гр. дело №9414/2011г.

С писмо вх.№п – 3408/ 23.07.2012г. на г-н И.П.- директор на ДМОС- МВР са изпратени заверени копия на исканите документи както следва:

1. писмо №ж – 33 от 20.06.2012г. по описа на ДОМС и с вх.№ж-4829/15.06.2012г. по описа на МВР от „И.”ЗЕАД – 2 листа .

2. съдебно удостоверение , издадено от СГС , I го, 8 състав- 1 лист.

3. писмо с №А – 4053/ 23.02.2012г. по описа на ДМОС- 2 листа.

В оперативен порядък е получена информация по телефона от дирекция "Международно оперативно сътрудничество"/ДМОС/- Министерството на вътрешните работи, че данните са поискани специално във връзка с искането на СДВР, т.е. не са станали достояние на бюро СИРЕНЕ чрез ШИС.

С изменения и допълнения в ЗЗЛД, обн. в ДВ, бр.81/2011г. в българското законодателство бяха въведени разпоредбите на Рамково решение 2008/977/ПВР на Съвета от 27 ноември 2008 година относно защитата на личните данни, обработвани в рамките на полицейското и съдебното сътрудничество по наказателноправни въпроси. Тези изменения и допълнения уреждат предаването на лични данни между държави-членки на Европейския съюз, както и данни, предоставени от или на органи или информационни системи, създадени въз основа на Договора за създаването на Европейския съюз или на Договора за функциониране на Европейския съюз. Този ред се прилага, когато предоставянето на данните е в хода на осъществяваното полицейско и съдебно сътрудничество по наказателноправни въпроси за целите на предотвратяване или разкриване на престъпления, провеждане на наказателно производство или изпълнение на наказания.

При запазване на принципа, че личните данни се събират за конкретни, точно определени и законни цели и не се обработват допълнително по начин, несъвместим с тези цели (чл. 2, ал.2, т.2 от ЗЗЛД), с предприетите законови изменения в ЗЗЛД беше уредена възможността данни, получени от други държави-членки или от органи и информационни системи на Европейския съюз за нуждите на наказателното производство или изпълнението на наказания, да бъдат обработвани и за други цели. Такова допълнително обработване за друга цел, различна от целта, за която са били предадени данните, е допустимо, когато са налице едновременно следните условия : това обработване е съвместимо с целта, за която са били събрани данните; налице е законово основание за обработване на данните за друга такава цел; обработването е в съответствие с принципите за обработване на данните, регламентирани в ЗЗЛД. Принципът на целесъобразност на обработването е доразвит в нормата на чл.36г от ЗЗЛД. Съгласно нея, данните, получени по чл.1, ал.6, могат да бъдат обработвани допълнително за цели, различни от целите, за които първоначално са били предоставени тези данни, ако целите са във връзка със:

1. предотвратяване или разкриване на престъпления, провеждане на наказателно производство или изпълнение на наказания;

2. предотвратяване на непосредствена и сериозна заплаха за обществения ред;

3. друга цел само ако за това има предварително съгласие на предоставящия данните или на лицето, за което те се отнасят.

Във връзка с поставените в искането за становище въпроси, следва да се има предвид, че изискванията по т.1,2 и3 на чл.36г трябва да се разглеждат алтернативно, а не в кумулация, като самото изискването за съгласие по т.3 също следва да се разглежда алтернативно, т.е. необходимо е предварително съгласие или на предоставящия данните (съответният чуждестранен компетентен орган), или на лицето, за което данните се отнасят.

Законодателят е уредил и възможността получени данни по чл.1, ал.6 да бъдат предоставени на трето физическо или юридическо лице (чл.36з). За да бъде законосъобразно такова предоставяне на данни е необходимо едновременното наличие на следните условия:

1. предоставящият данните е дал съгласие за предоставянето им;

2. предоставянето на данните няма да засегне законни права на лицето, за което те се отнасят;

3. предоставянето е от съществено значение за:

а) изпълнение на законоустановено задължение на предоставящия данните;

б) предотвратяване или разкриване на престъпления, провеждане на наказателно производство или изпълнение на наказания;

в) предотвратяване на непосредствена и сериозна заплаха за обществения ред;

г) предотвратяване на сериозно нарушение на конституционни права на физически лица.

Следва да се има предвид, че хипотезите, разписани в т.3, следва да се разглеждат алтернативно.

Повдигнатите в искането за становище въпроси относно предоставянето на лични данни в рамките на полицейското и съдебно сътрудничество и приложимостта на ЗЗЛД, респ. на ЗМВР, следва да се отбележи следното:

В съображение 39 от преамбюла на Рамково решение 2008/977/ПВР е записано изрично, че други актове регламентират доста по-подробно от рамковото решение всички съответни аспекти на защитата на данни, обменяни съгласно тези други актове.

Съгласно съображение 39, „съответният набор от разпоредби за защита на данните в тези актове, по-специално тези, които уреждат функционирането на Европол, Евроюст, Шенгенската информационна система и Митническата информационна система, както и даващите пряк достъп на органите на държавите-членки до определени системи с данни на други държави-членки, не следва да бъдат засегнати от настоящото рамково решение. Същото се прилага и по отношение на разпоредбите за защита на данни, уреждащи автоматизираното прехвърляне между държавите-членки на ДНК профили, дактилоскопни данни и данни относно националната регистрация на превозни средства съгласно рамково решение 2008/615/ПВР относно засилване на трансграничното сътрудничество, по-специално в борбата срещу тероризма и трансграничната престъпност.”

Предвид горното, може да се приеме, че в предметния обхват на Рамковото решение попада единствено предаването на лични данни между държави-членки на Европейския съюз, както и данни, предоставени от или на органи или информационни системи, създадени въз основа на Договора за създаването на Европейския съюз или на Договора за функциониране на Европейския съюз, различни от изрично посочените в съображение 39. В тази връзка, следва да се отчита и обстоятелството, че в глава тринадесета „Информационна дейност” на ЗМВР, раздел „Информационни фондове” урежда принципни положения на поддържаните от МВР информационни фондове и отклонения от режима за защита на личните данни съгласно ЗЗЛД. По този начин не се засяга специалният режим по отношение на дейността по опростен обмен на информация или данни между МВР и правоприлагащите органи от държави-членки на ЕС и Споразумението от Шенген по раздел „Обмен на информация или данни с компетентни органи на държави-членки на ЕС с цел предотвратяване, разкриване и разследване на престъпления” и раздел „Национална Шенгенска информационна система”- ЗМВР. Затова може да се приеме, че при обработването на данни, получени по линия на обмена на информация по раздел IIIа и раздел IIIб от Главатринадесета „Информационна дейност” от ЗМВР, следва да се прилага режима по ЗМВР, а не режима по ЗЗЛД.

С оглед на гореизложеното и на основание чл.10, ал.1, т 4 от ЗЗЛД Комисията за защита на лични данни да изрази следното

1. Обработване на лични данни по чл.1, ал.6 от ЗЗЛД, за цели, различни от целите, за които са били предоставени, е допустимо при спазване на следните кумулативни условия:

1.1. съвместимост на допълнителните цели с целите, за които първоначално са били събрани данните (чл.2, ал.3, т.1 от ЗЗЛД);

1.2. наличие на законово основание за обработване на данните за допълнителните цели (чл.2, ал.3, т.2 от ЗЗЛД);

1.3. обработването за допълнителни цели съответства на принципите за обработване на данни съгласно чл.2, ал.2 от ЗЗЛД;

1.4. допълнителните цели попадат в една от изброените:

1.4.1. предотвратяване или разкриване на престъпления, провеждане на наказателно производство или изпълнение на наказания;

1.4.2. предотвратяване на непосредствена и сериозна заплаха за обществения ред;

1.4.3. друга цел, само ако за това има предварително съгласие на предоставящия данните или на лицето, за което те се отнасят.

2. Изискването за съгласие по т.1.4.3 от настоящото становище следва да се разглежда алтернативно, т.е. необходимо е предварително съгласие или на предоставящия данните (съответният чуждестранен компетентен орган или държава), или на лицето, за което данните се отнасят.

3. Съгласно законовото определение на понятието „обработване на лични данни”, съгласно §1, т.1 от ДР на ЗЗЛД, последното обхваща редица действия, които могат да се извършват по отношение на личните данни. Действията по предоставяне и получаване на данни могат да бъдат разгледани като „активно” и „пасивно” обработване на лични данни. В тази връзка не може да се подкрепи изводът, направен в искането за становище, че „предоставянето на данни е резултатна дейност, т.е. данните са били предварително поискани за определена цел, докато получени са данните, които са били предадени без това да е било предшествано от изрично направено искане”.

Администратор, получилданни по чл.1, ал.6 от ЗЗЛД, може да ги предостави на трето физическо или юридическо лице в следните случаи:

1. това предоставяне на данните е за същите цели, за които първоначално са били предадени от другата държава-членка на ЕС, орган или информационна система (чл.36з, ал.1 от ЗЗЛД). В тази хипотеза съгласието следва да е дадено от предоставящия данните, т.е. чуждестранния компетентен орган, информационна система или държава;

2. това предоставяне на данните е за цели, различни от целите, за които първоначално са били предадени от другата държава-членка на ЕС, орган или информационна система (чл.36г във връзка с чл.36з, ал.1 от ЗЗЛД). В тази хипотеза съгласието следва да е дадено алтернативно: или от предоставящия данните, т.е. чуждестранния компетентен орган, информационна система или държава, или от лицето, за което данните се отнасят.

Непроизнасянето от страна на държавата, чуждестранния орган или информационна система, респ. от физическото лице, за което се отнасят данните, не може да се счита нито за отказ, нито за съгласие за предоставяне на данните на трето физическо или юридическо лиц, т.е. непроизнасянето не може да се презюмира за отказ или за съгласи, а трябва да е изрично обективирано.

Хипотезите, при коитоданни, получени по чл.1, ал.6 от ЗЗЛД, могат да бъдат обработвани допълнително за цели, различни от целите, за които първоначално са били предоставени тези данни, са разписани алтернативно в чл.36г, както следва:

1. предотвратяване или разкриване на престъпления, провеждане на наказателно производство или изпълнение на наказания;

2. предотвратяване на непосредствена и сериозна заплаха за обществения ред;

3. друга цел, само ако за това има предварително съгласие на предоставящия данните или на лицето, за което те се отнасят.

Преценката за наличие или липса на съвместимост на целите е в правомощията на администратора, който е получил данните от чуждестранния орган, държава или информационна система. При съмнение за наличие на съвместимост този администратор винаги може да поиска съгласието на предоставящия данните или на лицето, за което те се отнасят (чл.36г, т.3 от ЗЗЛД).

Съгласно чл.1, ал.6 от ЗЗЛД, този закон (ЗЗЛД) се прилага винаги, когато данни, свързани с опазването на обществения ред и противодействието на престъпността, наказателното производство или изпълнението на наказанията, са получени в рамките на полицейско или съдебно сътрудничество от друга държава – членка на Европейския съюз, или органи или информационни системи, създадени въз основа на Договора за създаването на Европейския съюз или на Договора за функциониране на Европейския съюз. Във всички останали случаи (вкл. когато данни са получени от трета държава, т.е. извън от ЕС) се прилага специалният закон – в случая Законът за Министерството на вътрешните работи и съответните приложими международно правни документи (за данни в Шенгенската информационна система – Конвенцията за прилагане на Споразумението от Шенген).

Следва да се има предвид, че при обработването на данни, получени по линия на обмена на информация по раздел IIIа и раздел IIIбот Главатринадесета „Информационна дейност” от ЗМВР, следва да се прилага режима по ЗМВР, а не режима по ЗЗЛД.