Становище на КЗЛД по искане за изразяване на становище на основание чл.10, ал.1, т.4 от Закона за защита на личните данни

ОТНОСНО: Искане с вх.№п-7139/08.11.2013г. от „БТК“ ЕАД, чрез пълномощника Б.И., упълномощена с надлежно пълномощно, с молба за изразяване на становище на основание чл.10, ал.1, т.4 от Закона за защита на личните данни.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопов и членове: Валентин Енев и Веселин Целков на заседание, проведено на 04.12.2013г. разгледа искане с вх.№п-7139/08.11.2013г. от „БТК“ ЕАД (БТК), чрез пълномощника Б.И., упълномощена с надлежно пълномощно, на основание чл.10, ал.1, т.4 от Закона за защита на личните данни (ЗЗЛД). В искането за становище е посочено, че във връзка с изпълнение на нормативните задължения, произтичащи от Закона за електронните съобщения (и по конкретно чл.197 от ЗЕС), Методиката за определяне на цените на ценовите пакети на универсалната услуга, приета с Постановление №254 от 23.10.2008г. и Наредба №6 от 13.03.2008г. за Универсалната услуга по Закона за електронните съобщения, БТК прилага специални ценови пакети (Ценови пакети „Инвалиди300“ и „Инвалиди160“) при предоставяне на универсалната услуга на хора с увреждания, за които органите на медицинската експертиза са установили степен на намалена работоспособност над 50 на сто и над 90 на сто с издаване на Решение на териториалната експертна лекарска комисия. Сочи се, че предоставянето на специфични цени и ценови пакети от страна на БТК е предпоставено от наличието на издадено решение на ТЕЛК и обратно – БТК следва да провери основателността на исканията на правоимащите преди да предостави услуги при специални ценови условия. Посочено е, че БТК има задължението да провери наличието на предпоставките за предоставяне на специфични цени и ценови пакети на правоимащите, а именно:

– налице ли е издадено Решение на ТЕЛК в полза на клиента

– какъв е срокът на валидност на издаденото Решение на ТЕЛК и

– определената степен на нетрудоспособност „над 50%“ или над „90%“ („защото ценовите пакети „Инвалиди 300“ „Инвалиди 160“ се предоставят в съответствие с това конкретно деление като точният процент инвалидност не е от значение за доставчика на услуги“)

Сочи се, че е необходимо правоимащия да представи Решение на ТЕЛК в търговския обект на компанията в момента на сключване на договор за предоставяне на универсална услуга. Казва се, че преференциалните планове се .предоставят на правоимащия за периода на действие на Решението на ТЕЛК. Казва се също, че БТК не събира и не съхранява копия на решения на ТЕЛК.

В искането за становище, е посочено че за БТК съществува необходимост да отбелязва в заявения в Комисията регистър „Клиентски данни електронни съобщителни услуги две обстоятелства:

1. срок на валидност на съответното Решение на ТЕЛК (когато такова е налице), както и

2. дали определената с Решението на ТЕЛК степен нетрудоспособност е „над 50%“ или „над 90%“.

Отправена е молба за становище от Комисията относно допустимост на горните две отбелязвания в „електронен регистър“ Клиентски данни електронни съобщителни услуги“ на БТК“ (б.а. въпреки че не е изрично посочено може да се направи обосновано предположение, че се визира заявеният в КЗЛД регистър с такова наименование)

В искането са посочени няколко обстоятелства, в подкрепа да обработването на тази информация от БТК както следва:

– Целите на това отбелязване не се отличават от целите, за които БТК събира и обработва данни за регистър „Клиентски данни електронни съобщителни услуги“ след регистрирането си като администратор на лични данни;

– Индивидуалният договор на всеки правоимащ съдържа изричен текст-съгласие за предоставяне на лични данни: „С подписване на настоящото Заявление/договор, потребителят се счита за информиран, че част от данните, които предоставя или е предоставил, са лични данни и попадат под специална защита по смисъла на ЗЗЛД. Потребителят се съгласява, че БТК ЕАД може да събира и обработва, както и да предоставя тези лични данни, в съответствие с разпоредбите на действащото законодателство, с оглед на предоставяне на услугата по настоящия договор, например за целите на събиране на дължимите от потребителя суми към БТК ЕАД. Потребителят предоставя личните си данни доброволно и дава съгласие, за да бъдат реализирани правата и задълженията му по договора, БТК ЕАД да ги предоставя на компетентни държавни органи и институции в предвидените от закона случаи, както и да ги предоставя на трети лица, в това число банки, кредитни бюра и агенции за събиране на вземания, БТК ЕАД, дистрибуторите на услуги на БТК ЕАД, включително партньорските дистрибуторски мрежи, когато това е необходимо за осигуряване на обслужването и реализиране на правата и интересите на потребителя, както и когато това е необходимо за реализиране правата и интересите на БТК ЕАД, включително с цел събиране на неизплатени задължения по договора. БТК ЕАД не носи отговорност за точността и верността на информацията, предоставена от кредитни или други институции за извършване на кредитна оценка.“;

– Липсата на отбелязване в електронен регистър „Клиентски данни електронни съобщителни услуги“ на БТК на предпоставките за предоставяне на специфични цени и ценови пакети на универсалната услуга изправят БТК пред невъзможността за защита в производство пред Комисията за защита от дискриминация (по евентуално искане на неправоимащ за предоставяне на универсална услуга при преференциални условия);

– Липсата на отбелязване в електронен регистър „Клиентски данни електронни съобщителни услуги“ на БТК на предпоставките за предоставяне на специфични цени и ценови пакети на универсалната услуга изправят БТК пред невъзможността за доказване на изпълнение на нормативните си задължения за предоставяне на специални ценови пакети на универсалната услуга на хора с увреждания, пред Комисията за регулиране на съобщенията;

– По отношение на добросъвестните лица, имащи право на преференциални условия за ползване на електронни съобщителни услуги, отбелязването от страна на БТК на посочените данни ще има единствено положителен ефект, доколкото информацията отразява представените от абоната обстоятелства и служи да гарантира правото му на специфични цени и ценови пакети на универсалната услуга за срока на валидност на Решението на ТЕЛК;

– информацията за срок на валидност на Решенията на ТЕЛК и степен нетрудоспособност „над 50%“ или „над 90%“ не се предвижда да се предоставя на трети лица по никакъв повод – тя е само и единствено за обработване от БТК и то за целите на предоставяне на специфични цени и ценови пакети на универсалната услуга;

– информацията ще се заличава непосредствено след момента на изтичане на срока на валидност на Решението на ТЕЛК, с което за съответното лице отпада основанието да се ползва специфични цени и ценови пакети на универсалната услуга“

„БТК“ ЕАД е администратор на лични данни по смисъла на чл.3 от Закона за защита на личните данни (ЗЗЛД). При извършване на служебна справка в Регистъра се установява, че дружеството има подадено заявление за вписване в Регистъра на администраторите на лични данни и водените от тях регистри с лични данни, поддържан от КЗЛД на основание чл.10, ал.1,т .2 от ЗЗЛД с вх.№1025543 и е вписано с идентификационен номер 14414.

В публичния регистър на Комисията е достъпна следната информация за дружеството: Заявени пет регистъра –

1. „Клиентски данни – фиксирани услуги“,

2.“Персонал“,

3.“Сигурност“,

4. „Финансови документи“

5. „Здравни досиета“

В регистър „Клиентски данни – фиксирани услуги“ е посочено, че се събират следните лични данни за клиентите: име, ЕГН, адрес, телефон, паспортни данни.

Направена е и служебна справка от служител на отдел „Регистър и архив“, при която се установява, че дружеството след подаване на искането за становище до КЗЛД е започнало редакция на заявените регистри и към настоящия момент: 29.11.2013г. същите са в режим „Работни“, тъй като редакцията не е завършена от страна на дружеството. В режим „Работни“ са следните регистри заявени от дружеството:

1. „Видеонаблюдение“

2. „Клиентски данни електронни съобщителни услуги“

3. „Човешки ресурси“

4. „Сигурност“

5. „Финансови документи“

В регистър „Клиентски данни електронни съобщителни услуги“ са заявени следните данни: име, ЕГН, адрес, телефон, паспортни данни, данни относно здравето.

На официалната електронна страница на „БТК“ АД на адрес: www.vivacom.bg са публикувани условия за ползване на планове „Инвалиди,“ – „ Инвалиди 300“ и „Инвалиди 160“. Указва се ,че тези планове се предлагат от 01 април 2009г. и важат за нови и настоящи абонати на дружеството с инвалидност над 50%, като лицата с трайни увреждания от 50% и над 50 % могат да ползват само план „Инвалиди 300“, а лицата с трайни увреждания над 90% могат да ползват един от двата плана „Инвалиди 300“ или „Инвалиди 160“. Указано е, че плановете могат да се ползват след представяне на съответен документ от ТЕЛК. Също така е посочено, че плановете важат за периода на действие на Решението от ТЕЛК. А в случай, че абонатът не заяви ползване на друг план или не представи актуално действащо решение, след този срок инвалидния план се прекратява. тези условия препращат към „Общи условия на договора между БТК АД и абонатите на услуги предоставяни чрез обществената далекосъобщителна фиксирана мрежа на дружеството“. Общи условия с такова наименование са намерени, публикувани на официалната електронна страница на дружеството на адрес: www.vivacom.bg. В т.11.2.1 на тези Общи условия е посочено, че абонатът – физическо лице се идентифицира по следния начин:

– физически лица български граждани или чуждестранни граждани продължително или постоянно пребиваващи в РБ – с валиден документ за самоличност с вписани : име, ЕГН, или личен номер, постоянен адрес на територията на Република България

– за физически лица, граждани на държава членка на Европейския съюз или на Европейското икономическо пространство – с удостоверение за пребиваване или карта за пребиваване.

– за всички други физически лица чуждестранни граждани, извън горните хипотези с валиден паспорт, съдържащ име, номер на паспорта , институция която го е издала и дата на раждане на лицето.

В т.11.2.5 е посочено, че при сключване на индивидуалния договор, при необходимост, БТК може да изисква от Абоната, документи, издадени от компетентни органи във връзка с ползване на определени право, удостоверения за обстоятелства, когато това се налага от характера на ползваната услуга, както и други документи във връзка с предоставяните услуги, включително за извършване на кредитна оценка и за нуждите на разплащането .

В т.23,б. „а“ от Общите условия е посочено, че БТК предоставя специални ценови пакети за хора с увреждания. в т.23.1 е посочено, че ценовият пакет по т.23, б.“а“ се предоставя на хора с увреждания, за които органите на медицинската експертиза са установили степен на намалена работоспособност или намалена възможност са социална адаптация 50 или на д 50 на сто.

Предоставянето на исканата информация от физически лица на БТК ЕАД и използването й от дружеството би представлявало „Обработване на лични данни”, чрез предоставянето им, съгласно легалната дефиниция, посочена в §1, т.1 от Допълнителните разпоредби на ЗЗЛД. Това е „…всяко действие или съвкупност от действия, които могат да се извършат по отношение на личните данни с автоматични или други средства, като … разкриване чрез предаване………….предоставяне”.

Обработването на лични данни, чрез предоставянето им следва да се извършва в съответствие с принципите на законосъобразност, целесъобразност и пропорционалност. Във всеки конкретен случай обемът на предоставените данни винаги следва да е съобразен с целта, за която същите се искат, т.е. с принципа на целесъобразност. Предоставянето на информация следва също така да е законосъобразно, а самата информация пропорционална, т.е свързана и ненадхвърляща целите, за които се обработва.

В чл.27, ал.1 от Закона за здравето (ЗЗ) е посочено, че здравна информация са личните данни, свързани със здравословното състояние, физическото и психическото развитие на лицата, както и всяка друга информация, съдържаща се в медицинските рецепти, предписания, протоколи, удостоверения и в друга медицинска документация. Следователно в здравната информация съдържа данни и за загубена или намалена работоспособност на едно лице.

Информацията, дали по отношение на конкретно определени лица е налице загубена или намалена работоспособност или възможност за социална адаптация над 50 % с валидно решение на ТЕЛК, което и безсрочно или със срок на валидност след 01.01.2009г. , може да се категоризира като данни относно здравословното състояние и попада в така наречените „чувствителни данни”, чието обработване ЗЗЛД по принцип забранява (чл.5, ал.1, т.3 от ЗЗЛД). Забраната за обработване на посочените данни не се прилага при наличието на някои изключения, предвидени в чл.5, ал.2 от ЗЗЛД. Съгласно чл.5, ал.2, т.2 от ЗЗЛД забраната за обработване на така наречените „чувствителни данни” отпада в случаите, в които физическото лице, за което се отнасят тези данни, е дало изрично своето съгласие за обработването им, освен ако в специален закон е предвидено друго. Би могло да се приеме, че фигурирането индивидуалният договор на изричен текст съгласие с посоченото в искането съдържание „С подписване на настоящото Заявление/договор, потребителят се счита за информиран, че част от данните, които предоставя или е предоставил, са лични данни и попадат под специална защита по смисъла на ЗЗЛД. Потребителят се съгласява, че БТК ЕАД може да събира и обработва, както и да предоставя тези лични данни, в съответствие с разпоредбите на действащото законодателство, с оглед на предоставяне на услугата по настоящия договор, например за целите на събиране на дължимите от потребителя суми към БТК ЕАД. Потребителят предоставя личните си данни доброволно и дава съгласие, за да бъдат реализирани правата и задълженията му по договора, БТК ЕАД да ги предоставя на компетентни държавни органи и институции в предвидените от закона случаи, както и да ги предоставя на трети лица, в това число банки, кредитни бюра и агенции за събиране на вземания, БТК ЕАД, дистрибуторите на услуги на БТК ЕАД, включително партньорските дистрибуторски мрежи, когато това е необходимо за осигуряване на обслужването и реализиране на правата и интересите на потребителя, както и когато това е необходимо за реализиране правата и интересите на БТК ЕАД, включително с цел събиране на неизплатени задължения по договора. БТК ЕАД не носи отговорност за точността и верността на информацията, предоставена от кредитни или други институции за извършване на кредитна оценка.“ би могло да се приеме, че физическото лице, за което се отнасят тези данни, е дало изричното своето съгласие за обработването им по смисъла на чл.5, ал.2, т.2 от ЗЗЛД . Следва да се отбележи, че бланка на такъв индивидуален договор не е представена във връзка с разглеждане на искането за становище.

Всеки администратор на лични данни е длъжен да обработва личните данни законосъобразно, при спазване разпоредбите на ЗЗЛД, като в чл.4, ал.1 от закона е определено само в кои случаи е допустимо обработване на личните данни на физическите лица. В изложеният казус могат да намерят приложение разпоредбите на чл.4, ал.1, т.2 (физическото лице, за което се отнасят данните, е дало изрично своето съгласие;) и т.3 (обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане)

След като „ БТК „ ЕАД събира или ще събира такава информация (срок на валидност на съответното Решение на ТЕЛК и дали определената с Решението на ТЕЛК степен нетрудоспособност е“над 50%“ или „над 90%“) то същата следва да се заяви в поддържаният от КЗЛД регистър на администраторите на лични данни и водените от тях регистри на лични данни. Всеки администратор има задължение да заявява и подържа актуална информация относно обработваните от него лични данни. Видно от приложената служебна справка администраторът вече е заявил, че обработва/ще обработва лични данни относно здравето. В тази хипотеза по отношение на регистъра, в който ще се обработват тези данни следва да се извърши предварителна проверка по смисъла на чл.17 б от ЗЗЛД.

С оглед на гореизложеното и на основание чл.10, ал.1, т.4 от ЗЗЛД, Комисията за защита на личните данни изразява следното

1. След като „БТК“ ЕАД обработва посочената информация – срок на валидност на съответното Решение на ТЕЛК и определена с него степен нетрудоспособност „над 50%“ или „над 90%“, то същата следва да се заяви в поддържаният от КЗЛД регистър на администраторите на лични данни и водените от тях регистри на лични данни. Като условие за допустимо обработване на тези лични данни могат да намерят приложение разпоредбите на чл.5,ал.2, т.2 във връзка с чл.4, ал.1, т.2 и т.3 от ЗЗЛД.

2. Администратора на лични данни подлежи на предварителна проверка по смисъла на чл.17 б от ЗЗЛД по отношение на заявеният от него регистър на лични данни, в който е посочено, че ще се обработва или се обработва визираната информация, съдържаща данни по чл.5, ал.1, т.3 от ЗЗЛД.