СТАНОВИЩЕ
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. №НДМСПО-01-78/04.02.2019г.
гр. София
ОТНОСНО: Приложение на правото на изтриване (право „да бъдеш забравен”) в контекста на обработване на лични данни за журналистически цели
Комисията за защита на личните данни (КЗЛД) в състав– председател: Венцислав Караджов и членове: Цветелин Софрониев и Веселин Целков, на заседание, проведено на 27.03.2019г., разгледа идентични искания за становище /вх. №НДМСПО-01-78/04.02.2019г., ППН-01-233#1/11.03.2019г., НДМСПО-17-58/30.01.2019г., НДМСПО-01-125/06.03.2019г. и НДМСПО-01-150/20.03.2019г./ от различни медии относно приложението на правото на изтриване (или правото „да бъдеш забравен”) в контекста на обработване на лични данни за журналистически цели.
Някои от медиите информират, че при тях са постъпили искания за упражняване на правото на изтриване от лицето Д.М.В. във връзка с публикувани за него статии и снимки от същите, които касаят осъждането му с влязла в сила присъда за престъпление срещу личността по смисъла на главаII от Особената част на Наказателния кодекс на Република България.
Поставят се въпроси във връзка с основателността на отправените искания за упражняване на правото „да бъдеш забравен”, както и за релевантните и обосновани срокове относно продължителността на оповестяване на информацията, съдържаща лични данни.
С оглед високата степен на обществена значимост на поставените въпроси е налице необходимост от изразяване на становище от КЗЛД.
Правен анализ:
Общият регламент относно защитата на данните (Регламент(ЕС) 2016/679), наред със Закона за защита на личните данни (ЗЗЛД), определят правилата за защита на основните права, свободи и интереси на физическите лица във връзка с обработването на личните им данни и по-специално правото на защита на личните данни.
I. Правото „да бъдеш забравен”
Регламент(ЕС) 2016/679 въвежда редица изменения при обработването и защитата на личните данни. Една от съществените промени по отношение на правата на гражданите е по-подробното регламентиране на правото на изтриване (или правото „да бъдеш забравен”). Това право дава възможност, когато субектът на данни не желае данните му да бъдат обработвани и не съществуват легални основания за тяхното съхранение, те да бъдат заличавани.
По отношение на правото „да бъдеш забравен”, следва да се спомене решението на Съда нa Европейския съюз по казуса GoogleSpain (C-131-12), произнесено през май 2014г., насочено към изясняване на няколко много важни въпроса, свързани с правото на субектите на лични данни да бъдат забравени, обективирано първо в отменената Директива95/46/ЕО. Решението на съда предизвика широк отзвук и разнопосочни реакции както в ЕС, така и извън него, с оглед значението му за регулиране на дигиталното пространство. В него съдът заключи, че извършваните дейности от търсачки (Google в конкретното решение) представляват обработване на лични данни, което може да засегне значително основните права на личен живот и на защита на личните данни, тъй като улеснява потребителите в изграждането на подробен профил на съответното лице.
Основният въпрос, който решението постави, е далито е предпоставка за намирането на справедлив баланс между правото на лична неприкосновеност и защита на личните данни на лицата, свободата на изразяване, правото на достъп до информация и другите законни интереси на лицата в интернет пространството. Съдът решава, че с оглед на основната цел на Директива95/46/ЕС, а именно да се осигури ефективна защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот, тълкуването на разпоредбата, свързана с приложимостта на правото на ЕС, не може да бъде ограничително. На това основание всяко лице, независимо дали е гражданин на държава членка на ЕС или не, може да поиска от лицето, предоставящо услуги за търсене в интернет на територията на съответната държава-членка на ЕС, да бъдат заличени връзките към интернет страници, съдържащи информация, която нарушава неговите права, дори и в случаите, когато публикуването на информацията само по себе си е законно.
Правото „да бъдеш забравен” е доразвито в чл.17 от Регламент(ЕС) 2016/679, създавайки високо ниво на защита на личните данни. Съгласно §1 на въпросната разпоредба, субектът на данни може да поиска, а администраторът е длъжен да изтрие без ненужно забавяне конкретните лични данни. Горната възможност би могла да бъде осъществена единствено при наличието на следните основания:
· личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин;
· субектът на данните оттегля своето съгласие, върху което се основава обработването на данните;
· субектът на данни възразява срещу обработването и няма преимуществено законово основание за продължаване на обработването;
· личните данни са били обработвани незаконосъобразно;
· личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора;
· личните данни са били събрани във връзка с предлагането на услуги на информационното общество на дете.
Правото „да бъдеш забравен” като основно право в онлайн средата, следва да бъде разширено, като от администратора, който е направил личните данни обществено достъпни се изисква да уведоми администраторите, които обработват такива лични данни, да изтрият всякакви връзки към тези лични данни или техните копия или реплики. По този начин Регламент(ЕС) 2016/679 укрепва правото на изтриване, като пояснява, че организациите в онлайн средата, които правят личните данни публични, следва да информират други организации, които обработват личните данни, за да изтрият линковете или копията на въпросните лични данни. Въпреки че това може да е предизвикателство за администраторите, те трябва да се стремят да спазват тези изисквания. Те са длъжни да предприемат разумни мерки, вземайки предвид наличните технологии и средствата, с които разполагат, за да успеят да изпълнят задълженията си и да информират други администратори, които обработват лични данни, за искането на субекта на данните.
Все пак са налице редица ситуации, в които администраторът има възможност да откаже да изтрие данните, а именно когато обработването на конкретните данни има за цел:
· да упражнява правото на свобода на изразяване и информация;
· да изпълнява правно задължение или да изпълнява задача от обществен интерес или упражняване на публична власт;
· за целите на общественото здраве;
· архивиране за цели в обществен интерес, научноизследователски исторически изследвания или статистически цели; или
· установяване, упражняване или защитата на правни претенции.
Предвид горното, правото „да бъдеш забравен” не е абсолютно право. Всеки субект на данни може да се възползва от него единствено при наличие на конкретно основание.
II. Обработване на лични данни за журналистически цели
Съгласно съобр. 4 от Регламент(ЕС) 2016/679, правото на защита на личните данни не е абсолютно право, а следва да се разглежда във връзка с функцията му в обществото и се прилага в равнопоставеност с другите основни права, съгласно принципа за пропорционалност. Регламентът е съобразен с всички основни права и в него се спазват свободите и принципите, признати от Харта на основните права на Европейския съюз, и по-специално зачитането на свободата на мисълта, свободата на изразяване на мнение и свободата на информацията.
В съобр. 153 от Регламента е предвидено, че националното право на държавите членки следва да съвместява разпоредбите, уреждащи свободата на изразяване на мнение и свободата на информация, включително за журналистически, академични, художествени и литературни цели с тези за защита на личните данни.
Понятието „журналистически цели” не е дефинирано от законодателя, но е подробно разглеждано и тълкувано в съдебната практика. Същественото за журналистическата дейност е събирането, анализирането, интерпретирането и разпространяването чрез средствата за масова информация на актуална и обществено значима информация. Всяка журналистическа дейност е проява на свободата на словото в правовата държава. Ограничаване свободата на изразяване и информaция е допустимо само в рамките на необходимото в едно демократично общество съгласно чл.10, §2 от Европейската конвенция за защита правата на човека и основните свободи. По своята същност журналистическата дейност изисква разпространяване на информация по въпроси от обществен интерес. Публикуването на информация на интернет страницата на медията представлява нейното публично оповестяване. Публичното разпространяване на информация за тези цели е журналистическа дейност, тъй като самият факт на разпространение е изява на мнение, становище, възглед, преценка на публичната информация и значението ѝ за интересите на обществото. За да се обработва информация за целите на журналистическата дейност, информацията трябва да касае въпроси относно ценности, които с оглед на засегнатите отношения са действително обществено важни.
Една от основните функции на наказателната репресия на държавата по отношение на обществото като цяло е именно постигането на генералната превенция, която има предупредително-възпираща и общовъзпитателна цел– да въздейства върху гражданите да не вършат престъпления. Несъмнено разпространяването на информация, свързана с извършването на престъпления, обуславя журналистическа дейност съгласно изложените по-горе мотиви. Медиите и в частност журналистите са призвани да осигуряват прозрачност и информираност на гражданите, като по този начин способстват за защитата на обществения интерес. С оглед установеното, обработването на личните данни следва да се разгледа през призмата на обработването за журналистически цели и правото на свобода на изразяване и информация.
Чл. 85 от Регламентазадължава държавите членки с националното си законодателство да съгласуват правото на защита на личните данни с правото на свобода на изразяване и информация, включително обработването за журналистически цели. В тази връзка, с обнародваните на 26.02.2019г. изменения и допълнения в ЗЗЛД, в сила от 02.03.2019г., е дадена национална правна уредба, насочена към постигането на баланс между визираните основни права при обработването на лични данни за журналистически цели (чл.25з от ЗЗЛД).
Същата разпоредба от Регламента осигурява възможност за държавите членки да предвидят дерогации на някои от главите на Регламента. В тази връзка в 25з, ал.3, т.2 ЗЗЛД е предвидено, че администраторът или обработващият лични данни (напр. съответната медия) може да откаже пълно или частично упражняването на правата на субектите на данни по чл.12-21 от Регламент(ЕС) 2016/679.
Преценката дали да се приложи въпросната дерогация следва да се извършва за всеки отделен случай на основата на обективни критерии. Разпоредбата на чл.25з, ал.2 от ЗЗЛД предлага неизчерпателен списък от такива критерии. Така например, в конкретната хипотеза пряко относими са критериите по чл.25з, ал.2, т.3, 5 и 8 от ЗЗЛД:
– обстоятелствата, при които личните данни са станали известни на администратора (т.3)– фактите и свързаните с тях лични данни са станали публично достояние с публикуването на влезли в сила окончателни решения на съда в рамките на наказателното производство на лицето, следователно е налице гаранция за тяхната истинност и обективност;
– значението на разкриването на лични данни или общественото им оповестяване за изясняването на въпрос от обществен интерес (т.5.) и целта, съдържанието, формата и последиците от изявлението, чрез което се упражняват правата по ал.1 (т. 8)– както вече бе посочено по-горе, оповестяването на информация за извършените престъпни деяния от лицето, за което то е осъдено, съдействат от една страна за реализиране на целите на генералната превенция като елемент от наказателната политика на държавата, а от друга страна насърчават гражданите към по-голяма бдителност, за да не се превърнат в жертви на подобен вид престъпления в бъдеще.
III. Определяне на срок за оповестяване на журналистическа информация, съдържаща лични данни
Съгласно принципите, свързани с обработването на лични данни, прогласени в Регламент(ЕС) 2016/679 и по-конкретно в съответствие с чл.5, §1, б. „д”, личните данни могат да се съхраняват законосъобразно във форма, която да позволява идентифицирането на субекта на данни за период, който не е по-дълъг от необходимия за целите, за които се обработват личните данни– правило, въвеждащо принципа за „ограничение на съхранението” на данните.
С оглед на гореизложеното и на основание чл.58, §3, б. „б” от Регламент(ЕС) 2016/679, Комисията за защита на личните данни изразява следното
СТАНОВИЩЕ:
1. Правото на изтриване (или правото „да бъдеш забравен”) не е абсолютно право и упражняването му може да бъде дерогирано на някое от изрично посочените основания в чл.17, §3 от Регламент(ЕС) 2016/679, вр. с чл.25з, ал.3, т.2 от Закона за защита на личните данни.
2. Медиите и в частност журналистите са призвани да осигуряват прозрачност и информираност на гражданите, като по този начин способстват за защитата на обществения интерес. В конкретния случай е налице основание за отказ на предявеното право на изтриване на лични данни поради факта, че обработването им е необходимо за упражняване на правото на свобода на изразяване и правото на информация и не на последно място за изпълнението на задача от обществен интерес, която обуславя необходимостта от информиране на обществото, както за извършените престъпления, така и за личността на извършителя, предвид неговата завишена обществена опасност.
3. Срокът за оповестяване на журналистическа информация, съдържаща лични данни следва да е съобразен с принципаза „ограничение на съхранението”, прогласен в чл.5, §1, б. „д” от Регламент(ЕС) 2016/679, съгласно който личните данни могат да се съхраняват законосъобразно във форма, която да позволява идентифицирането на субекта на данни за период, който не е по-дълъг от необходимия за целите, за които се обработват същите.
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: | |
| Венцислав Караджов /п/ |
Цветелин Софрониев /п/ | |
| Веселин Целков /п/ |
