С Т А Н О В И Щ Е
НА
КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД-01-88/2024 г.
гр. София, 04.09.2024 г.
ОТНОСНО: Уведомяване по телефон и ел. поща за предстоящо изтичане на срока на валидност на документите за самоличност
Комисията за защита на личните данни (КЗЛД) в състав – председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков, на свое редовно заседание, проведено на 04.09.2024 г., разгледа писмо с вх. № ПНМД-01-88/21.08.2024 г. от директора на дирекция „Български документи за самоличност“ на МВР, с което се отправя молба за изразяване на становище относно законосъобразността на обработване на данни за телефонен номер и адрес на ел. поща на граждани за целите на уведомяването им при предстоящо изтичане на срока на валидност на документите им за самоличност. МВР е орган по издаване на български лични документи в съответствие с чл. 1, ал. 2 от Закона за българските лични документи (ЗБЛД) и обработва лични данни на лица, заявили издаването им. От вътрешното ведомство информират, че съгласно чл. 18, ал. 1, т. 11 и 12 от ЗБЛД телефонният номер и адресът на електронната поща са част от личните данни, които се събират от гражданите при подаване на заявление за издаване на документ за самоличност. В писмото се съобщава, че към настоящия момент в графата с данни за адрес на електронна поща в заявлението по образец съгласно Приложение № 2 към Правилника за издаване на българските лични документи (ПИБЛД) е посочено, че информацията се попълва, в случай че заявителят иска да бъде уведомен, когато документът е готов. От МВР посочват, че целта за обработване на данни за телефонен номер не е посочена изрично в образеца на заявление.
С цел подобряване на административното обслужване на гражданите МВР предвижда на адреса на електронната поща или на телефонния номер, предоставени при заявяване на документ за самоличност, на българските граждани да се изпраща уведомление за предстоящо изтичане на срока на валидност. Практиката на МВР сочи, че една от основните причини за заявяване на експресна и бърза услуга е, че гражданите пропускат да следят сроковете на валидност на техните документи. МВР счита, че регламентирането на възможността за уведомяване при предстоящо изтичане на срока на валидност на лична карта и паспорт ще създаде ползи за гражданите за своевременно подновяване на съответния документ. От своя страна навременното заявяване спестява допълнителни разходи на лицето за такса за експресна или бърза услуга за издаване на документ за самоличност. Тези услуги се заявяват предимно в случаи, когато срокът на валидност на документа на лицето изтича или е изтекъл и е наложително удостоверяване на самоличност пред администрации или при задгранично пътуване. Държавната такса за бърза услуга е два пъти таксата за обикновена услуга, съответно за експресна услуга – пет пъти.
В писмото се уточнява, че в съображение 39 от Регламент (ЕС) 2016/679 е посочено изрично, че конкретните цели, за които се обработват лични данни, следва да бъдат ясни, законни и определени към момента на събирането на личните данни. Същевременно, в съображение 50 се предвижда, че обработването на лични данни за цели, различни от тези, за които първоначално са събрани тези данни, следва да бъде разрешено единствено, когато обработването е съвместимо с целите за първоначалното им събиране. В такъв случай, не се изисква отделно правно основание, различно от това, което е било разрешено за събирането на личните данни. Ако обработването е необходимо за изпълнението на задача от обществен интерес или свързана с упражняването на официални правомощия, които са предоставени на администратора на лични данни, в правото на Съюза или в правото на държава членка могат да бъдат определени и уточнени задачите и целите, за които по-нататъшното обработване следва да се счита за съвместимо и законосъобразно.
С оглед на гореизложеното от МВР отправят към КЗЛД молба за изразяване на становище по следните въпроси:
1. „В чл. 18, ал. 1 от ЗБЛД са посочени личните данни на физически лица, които се обработват при заявяване на документ за самоличност. Считате ли, че целта за обработване на лични данни от администратор на данни следва да е уредена с изрична законова разпоредба или е достатъчно посочването ѝ в подзаконов нормативен акт?“
2. „Съгласно образеца на заявлението по Приложение № 2 от ПИБЛД едно лице посочва данни за електронна поща, в случай че иска да бъде уведомено, когато документът за самоличност е готов. Телефонният номер на заявителя служи за връзка с лицето в случаите, когато е необходима информация за връзка на служител от звено „БДС“ при констатирано несъответствие в заявлението и/или необходимост от представяне на други документи.
Считате ли, че описаната нова цел за обработване на събраните данни за електронна поща и за телефонен номер за уведомяване за предстоящо изтичане на срока на валидност на издадения вече документ е съвместима с първоначалната цел, известна на лицата?
Следва да уточним, че срокът на валидност на документите за самоличност е: 12 месеца, 4, 10 или 30 години (за лична карта) и 5 години, съответно 10 години след създаване на технически и организационни условия (за паспорт). От това следва, че подадените при заявяване на документ за самоличност данни за електронна поща и телефон, ще се обработват с цел уведомяване за изтичане на срока на валидност на документа в по-късен времеви момент.“
„При съвместимост на посочените в т. 2 цели, необходимо ли е изрично разписване на новата цел в заявлението по образеца на Приложение № 2 от ПИБЛД?“
Правен анализ:
Със Закона за българските лични документи (ЗБЛД) се уреждат условията и реда за издаване, ползване и съхраняване на българските лични документи. По смисъла на закона български лични документи са документите за самоличност, свидетелството за управление на моторно превозно средство и документите за пребиваване. Съобразно легалната дефиниция по § 1, т. 1 от Допълнителните разпоредби на закона „документ за самоличност“ е удостоверителен документ, издаден от компетентните органи на Република България с цел индивидуална идентификация на българските и чуждестранните граждани. За издаване на българските лични документи лицата подават заявление до компетентните органи. Съгласно чл. 18, ал. 1 от ЗБЛД заявлението за издаване на документи за самоличност на български граждани съдържа следните лични данни:
1. имената;
2. дата на раждане;
3. място на раждане;
4. пол;
5. единен граждански номер;
6. наличие на друго гражданство;
7. цвят на очите;
8. ръст;
9. постоянен адрес;
10. телефон за връзка;
11. адрес на електронна поща.
Адресът на електронна поща е въведен като нов реквизит на заявлението по чл. 18, ал. 1 от ЗБЛД с промени в закона, обнародвани в „Държавен вестник“, бр. 65 от 28 юли 2023 г. От своя страна, нормата на чл. 5, ал. 1 от Правилника за издаване на българските лични документи (ПИБЛД) предвижда, че документите за самоличност на българските граждани се издават въз основа на подадено заявление по образец съгласно Приложение № 2. В настоящата редакция на приложението (изм. и доп. – ДВ, бр. 60 от 2012 г., в сила от 07.08.2012 г., изм. – ДВ, бр. 13 от 2021 г., в сила от 02.08.2021 г., изм. – ДВ, бр. 66 от 2021 г., в сила от 01.09.2021 г., изм. – ДВ, бр. 46 от 2024 г., в сила от 17.06.2024 г.), в полето, предназначено за вписване на адреса на електронна поща на заявителя e наличен текст, който указва следното: „Попълва се, в случай че заявителят иска да бъде уведомен, когато документът е готов“. В полето за вписване на телефон за връзка обаче липсва такова указание. Може да се презюмира, че в този случай липсата на подобно указателно изречение е обусловена от целта на събирането му, заложена още на законово равнище, а именно „телефон за връзка“. Такава, изрично посочена в закона цел по отношение на адреса на електронна поща, липсва.
Следва обаче да се отбележи и обстоятелството, че въпреки изричното им включване в кръга от категории лични данни по чл. 18, ал. 1 от ЗБЛД нито телефонният номер, нито адресът на електронна поща могат да бъдат данни, които да подлежат на задължително събиране от заявителя, тъй като към момента в законодателството ни няма изискване за задължителното им притежаване от гражданите. Това обстоятелство е от особено значение, тъй като съгласно чл. 13, пар. 2, б. „д“ от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, наричан по-нататък „ОРЗД“) администраторът на лични данни е длъжен още към момента на получаването им да предостави на субектите на данни информация „дали предоставянето им е задължително […], както и дали субектът на данните е длъжен да предостави личните данни и евентуалните последствия, ако тези данни не бъдат предоставени“.
Прогласеният в чл. 5, пар. 1, б. „б“ от ОРЗД принцип за „ограничение на целите“ при обработване на лични данни е основополагащ за тяхното законосъобразно обработване. Той гласи, че личните данни трябва да се събират за конкретни, изрично указани и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тези цели. Това принципно положение е развито и в съобр. 39 на ОРЗД, което посочва, че „конкретните цели, за които се обработват лични данни, следва да бъдат ясни и законни и определени към момента на събирането на личните данни“.
Ограничението по чл. 5, пар. 1, б. „б“ от ОРЗД за по-нататъшно обработване на лични данни по начин, несъвместим с целите, за които първоначално са били събрани данните, има за последица въвеждането на неизчерпателен списък от критерии за преценка на т.нар. съвместимост между първоначалните и последващите цели (чл. 6, пар. 4 от ОРЗД). Подобен законодателен подход е в синхрон с разбирането на европейските съзаконодатели, че обработването на лични данни следва да е предназначено да служи на човечеството (съобр. 4, изр. първо от ОРЗД).
Регламентацията на последващото обработване на лични данни се съдържа в разпоредбата на чл. 6, пар. 4 от ОРЗД, съгласно която, обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, е допустимо когато се извършва въз основа на съгласието на субекта на данните или въз основа на правото на Съюза или правото на държава членка. Когато липсват тези две предпоставки администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание горепосочения неизчерпателен списък от критерии, както следва:
1. всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
2. контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;
3. естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно чл. 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно чл. 10 от ОРЗД;
4. възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;
5. наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация.
Текстът на съобр. 50 от ОРЗД внася и допълнителна яснота относно правилата за последващо обработване:
„Обработването на лични данни за цели, различни от тези, за които първоначално са събрани личните данни, следва да бъде разрешено единствено когато обработването е съвместимо с целите, за които първоначално са събрани личните данни. В такъв случай не се изисква отделно правно основание, различно от това, с което е било разрешено събирането на личните данни. Ако обработването е необходимо за изпълнението на задача от обществен интерес или свързана с упражняването на официални правомощия, които са предоставени на администратора на лични данни, в правото на Съюза или в правото на държава членка могат да бъдат определени и уточнени задачите и целите, за които по-нататъшното обработване следва да се счита за съвместимо и законосъобразно. […] Правното основание, предвидено от правото на Съюза или правото на държава членка за обработване на лични данни, може да предостави и правно основание за по-нататъшно обработване. За да установи дали дадена цел на по-нататъшно обработване е съвместима с целта, за която първоначално са събрани личните данни, администраторът на лични данни, след като е спазил всички изисквания относно законосъобразността на първоначалното обработване, следва да отчете, inter alia, всички връзки между тези цели и целите на предвиденото по-нататъшно обработване, в какъв контекст са събрани личните данни, по-специално основателните очаквания на субектите на данните въз основа на техните взаимоотношения с администратора по отношение на по-нататъшно използване на личните данни, естеството им, последствията от предвиденото по-нататъшно обработване на данни за субектите на данни и наличието на подходящи гаранции при операциите по първоначалното и предвиденото по-нататъшно обработване.
Когато субектът на данните е дал съгласието си или когато обработването се основава на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантират по-специално важни цели от широк обществен интерес, на администратора следва да се позволи да обработва по-нататък личните данни, независимо от съвместимостта на целите. Във всеки случай, прилагането на принципите, установени в настоящия регламент, и по-специално информирането на субекта на данните относно тези други цели и относно неговите права, включително правото да възрази, следва да бъдат гарантирани […]“.
Тъй като министърът на вътрешните работи е администратор – публичен орган, съгласието на заявителя няма как да бъде валидно правно основание за планираното последващо обработване на данните за целите на изпращане на уведомление за предстоящо изтичане на срока на валидност на документ за самоличност. Основание за това може да бъде единствено националното ни право, което се прилага спрямо МВР, в частност правилата на ЗБЛД и ПИБЛД. Още повече, че дейността на МВР се регламентира от публичното право, чийто основен принцип гласи, че на държавните органи е „разрешено само това, което е изрично предвидено в закон“ (в случая това разбиране трябва да се прилага и за дейностите по обработване на лични данни от МВР). Само така едно демократично обществото се предпазва от произвол и противоправни действия от страна на публичните органи към гражданите. Това обуславя необходимостта целите за обработване на лични данни от администратори – публични органи да са установени на законово или подзаконово равнище.
Видно от гореизложеното, събирането на данни за телефонен номер е с цел „установяване на връзка“ със съответния заявител в хода на производството по издаване на документ за самоличност. „Установяването на връзка“ се явява в интерес и на двете страни в процеса – компетентният държавен орган (органите на МВР) и съответният заявител (физическо лице). Затова необходимостта от събирането на телефонен номер обуславя разширително тълкуване на законовите цели на обработването на лични данни в конкретния случай, а именно законосъобразно и навременно издаване и подновяване на документ за самоличност и свързаното с него подобрено административно обслужване на гражданите. Именно поради това, при наличие на необходимост, МВР следва да може да осъществява връзка със заявителя по време на всички етапи/процеси, свързани с издаването и подновяването на документа за самоличност. В този смисъл не е налице нормативна пречка телефонният номер да бъде използван и за целите на изпращане на уведомление за предстоящо изтичане на срока на валидност на документ за самоличност, без да е необходима нормативна промяна в приложимото законодателство.
По друг начин обаче стои възможността за използване на адреса на електронна поща на заявителя за същата последваща цел (изпращане на уведомление за предстоящо изтичане на срока на валидност на документ за самоличност). Тук обструкциите възникват както от липсата на изрично предвидена цел за обработване на законово равнище, така и поради съществуващия на подзаконово ниво (в образеца на заявление съгласно Приложение № 2 от ПИБЛД и коментиран вече по-горе) текст, който на практика ограничава целта на обработването на адреса на електронна поща само до изпращането на уведомление, когато документът е готов. Това налага извода, че за да бъде законосъобразно обработването на адреса на електронна поща за планираната от МВР нова цел на изпращане на уведомление за предстоящо изтичане на срока на валидност на документ за самоличност, следва да бъдат извършени нормативни промени, по-конкретно в Приложение № 2 от ПИБЛД, като се въведе изрично и допълнителната, последваща цел. При това положение МВР няма да има ангажимент да прави анализ за съвместимост на целите на обработване на данните съобразно критериите по чл. 6, пар. 4, б. „а“ –„д“ от ОРЗД.
Не на последно място, следва да се отбележи, че за нуждите на прилагане на принципа за „законосъобразност, добросъвестност и прозрачност“ при обработване на лични данни, още със започване на обработването на данните за новата цел, министърът на вътрешните работи, в качеството му на администратор на лични данни, спазвайки задълженията си по чл. 12 и 13 от ОРЗД, трябва да предостави на субектите на данни по подходящ начин (в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език) цялата дължима информация по тези норми, вкл. и как могат да упражняват правата си по чл. 15–22 от ОРЗД. Правото на коригиране на данните ще е от първостепенно значение, тъй като продължителният период на валидност на документа за самоличност предпоставя и дългото съхранение от МВР на данните, които в даден момент могат вече и да не са актуални. Гарантиране на правото на информация и на коригиране в посочения контекст са изключително важни и от гледна точка на задължението на администратора да поддържа данните точни и актуални (вж. принципа за „точност“, прогласен в чл. 5, пар. 1, б. „г“ от ОРЗД).
По тези съображения и на основание чл. 58, пар. 3, б. „б“ от Регламент (ЕС) 2016/679 във вр. с чл. 10а, ал. 1 от Закона за защита на личните данни и чл. 51, т. 2 от Правилника за дейността на КЗЛД и на нейната администрация, Комисията за защита на личните данни изразява следното
СТАНОВИЩЕ:
1. Събираните от МВР чрез заявлението за издаване на документи за самоличност на български граждани данни за телефонен номер на заявителя, могат да бъдат обработвани за целта на изпращане на уведомление за предстоящо изтичане на срока на валидност на документа за самоличност, без да е необходима промяна в действащата нормативна уредба.
2. Събираните от МВР чрез заявлението за издаване на документи за самоличност на български граждани данни за адрес на електронна поща на заявителя, не могат да бъдат обработвани за целта на изпращане на уведомление за предстоящо изтичане на срока на валидност на документа за самоличност, без преди това да е извършена промяна в действащата нормативна уредба, по-конкретно в образеца на заявлението по Приложение № 2 от ПИБЛД, чрез изрично въвеждане и на допълнителната, последваща цел на обработване. Извършването на такава нормативна промяна е важна предпоставка за законосъобразност на обработването по смисъла на чл. 5, пар. 1, б. „а“ от ОРЗД и за стриктно спазване на принципа за „ограничение на целите“ по чл. 5, пар. 1, б. „б“ от ОРЗД.
3. За нуждите на прилагане на принципа за „законосъобразност, добросъвестност и прозрачност“ при обработване на лични данни, още със започване на обработването на данните за новата цел, министърът на вътрешните работи, в качеството му на администратор на лични данни, спазвайки задълженията си по чл. 12 и 13 от ОРЗД, трябва да предостави на субектите на данни по подходящ начин (в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език) цялата дължима информация по тези норми, вкл. и как могат да упражняват правата си по чл. 15–22 от ОРЗД. Правото на коригиране на данните е от първостепенно значение, тъй като продължителният период на валидност на документа за самоличност предпоставя и дългото съхранение от МВР на данните, които в даден момент могат вече и да не са актуални. Администраторът е длъжен да осигурява поддържането на данните в точен и актуален вид (вж. принципа за „точност“, прогласен в чл. 5, пар. 1, б. „г“ от ОРЗД). За да бъде спазен и прилаган ефективно този принцип, в полетата на заявлението за вписване на тел. за връзка и адрес на електронна поща, следва да се укаже, че при промяна на първоначално заявените данни, заявителят следва да уведоми МВР за това обстоятелство, за да може да получава визираното уведомление. С оглед на това МВР следва осигури ефективен механизъм, чрез който гражданите да актуализират данните си за тел. за връзка и адрес на електронна поща.
4. Уведомлението за предстоящо изтичане на срока на валидност на документа за самоличност следва да съдържа единствено ограничен обем от информация, която да не води до разкриване на лични данни (напр. да не съдържа номера на документа, а само текст, който гласи, че валидността на съответния вид документ за самоличност изтича на конкретна дата).
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: | |
| Венцислав Караджов /п/ |
Цанко Цолов /п/ | |
| Мария Матева /п/ | ||
| Веселин Целков /п/ |
