СТАНОВИЩЕ
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № П-7449/10.09.2015 г.
гр. София, 16.11.2015 г.
ОТНОСНО:Искане за становище с вх. рег.№П-7449/10.09.2015г. от г-н М.Д., кмет на община К. във връзка с приложението на Закона за защита на личните данни.
Комисията за защита на личните данни (КЗЛД), в състав: Председател: Венцислав Караджов и Членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 04ноември 2015г., разгледа постъпило в КЗЛД искане за становище с вх.№П-7449/10.09.2015г. от г-н М.Д., кмет на община К.,във връзка с постъпило искане в общинска администрация К. вх.№26-00-53/03.08.2015г. за предоставяне на Удостоверения за наследници на собственици на засегнати имоти от одобрен за финансиране обект, с национално значение, подадено от „Х.И.” АД.
Искането е подадено от представител на изпълнителя по договор с Министерство на енергетиката, за изпълняване на дейности по проектиране, авторски надзор и консултантски дейности на строеж „Междусистемна газова връзка България- Сърбия на българска територия, в т.ч. изработване на ПУП-ПП-ОкПр по одобрен с Решение на КЗЗ втори вариант на трасе и технологични площадки, технически проект, разрешение за строеж, учредяване на сервитут и право на строеж за надземни съоръжения към газопровод“.
В искането е посочено, че доколкото исканата от заявителя информация съдържа лични данни на трети лица, попадащи под хипотезата на чл.106, ал.1, т.3 от Закона за гражданската регистрация (ЗГР), т.е. с разрешение на КЗЛД, кметът на община К. се е обърнал с молба, на основание чл.10, ал.1 от Закона за защита на личните данни (ЗЗЛД), Комисията да изрази становище по допустимостта и основателността на искания достъп до лични данни на трети лица чрез предоставяне на Удостоверения за наследници на посочени в приложен регистър на 142 броя починали лица, вписани в регистри по КВС, поддържани от Поземлена комисия към МЗХ, като собственици на имоти, попадащи в терен на трасе и сервитут на цитирания по-горе обект, поискани от община К.
Към така постъпилото искане са приложени, както следва: Искане с вх.№26-00-53/03.08.2015г. от „Х.И.” АД, с приложение към него:
– Решение №111/15.02.2013г. на МС;
– Удостоверение №Е 91-00-01/18.02.2015г. от МИ;
– Удостоверение №157347/22.10.2010г. на КЗЛД;
– Регистър на засегнати имоти от трасе и сервитут на обект с национално значение.
“Х.И.” АД е акционерно дружество с ЕИК ******, със седалище и адрес на управление: ***** и с предмет на дейност: маркетинг, инженеринг, ръководство, управление и надзор в проектирането, строителството и монтажа, търговия със стоки, машини и материали, представителство и дистрибутерство на български и чужди фирми, управление на недвижими имоти, консултантски, лизингови и други услуги в страната и чужбина, дейност по кадастъра и извършване на геодезически измервания след придобиване на правоспособност.
“Х.И.” АД е администратор на лични данни и като такъв е подал заявление и е вписан в Регистъра на администраторите на лични данни и водените от тях регистри при КЗЛД под №157347, като е заявил поддържането на два броя регистри: „Персонал“ и „Клиенти“. Във връзка с поддържания регистър Клиенти са декларирани следните основни параметри:
– Цел за обработване на лични данни: идентификация на собствениците във връзка с предоставяне от тях на сервитутно право /право на преминаване/ на газопровода или (продажба на имот по трасето на газопровода;
– Категория физически лица, за които ще се обработват данните- собственици на земи по трасето на газопроводите,
– Нормативни основания- Закон за устройство на територията, Закон за енергетиката, Закон за кадастъра и имотния регистър, Наредба за разработване на парцеларни планове, договор с Набуко Газ Пайплаин– Виена.
– Категории лични данни, отнасящи се до физическите лица: Име, ЕГН, Адрес;
– Категории получатели, на които личните данни могат да бъдат разкривани: физически лица, за които се отнасят данните;
– Източници, от които се събират данните: Кадастрални карти за собственост;
Заявено е предаване на данни по електронен път, като е декларирано, че са предприети специални мерки за защита, а именно: предоставен на Фирмата код за работа в системата.
По смисъла на §1, т.5 от Допълнителните разпоредби на ЗЗЛД, “предоставяне на лични данни” са действия по цялостно или частично пренасяне на лични данни от един администратор към друг или към трето лице на територията на страната или извън нея и съставлява обработване на лични данни по смисъла на закона.
По отношение законосъобразните условия, при които се допуска обработването на лични данни, се прилагат разпоредбите на чл.4 от ЗЗЛД, според който обработването на лични данни (в случая предоставянето на удостоверения за наследници) се допуска, когато е налице поне едно от изчерпателно изброените и дадени алтернативно в закона условия за допустимост, а именно:
1. обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни;
2. физическото лице, за което се отнасят данните, е дало изрично своето съгласие;
3. обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане;
4. обработването е необходимо, за да се защитят животът и здравето на физическото лице, за което се отнасят данните;
5. обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес;
6. обработването е необходимо за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните;
7. обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните.
Достатъчно е наличието на поне едно от горепосочените и дадени алтернативно в закона основания, за да е налице допустимо и законосъобразно обработване на лични данни. Доказателствената тежест по отношение на наличие на едно от основанията за допустимост на обработването на лични данни е на администратора, искащ съответния обем информация, като преценката по отношение на неговото наличие за всеки един конкретен случай е на администратора, предоставящ данните, в настоящия казус– община К. Следователно искането за предоставяне на удостоверения за наследници на собственици на засегнати имоти от одобрен за финансиране обект с национално значение следва да бъде придружено със съотносимите доказателства и информация относно обема, целите и наличието на условие за допустимост на обработването, подадено от страна на “Х.И.” АД.
Видно от приложените документи към постъпилото искане за становище, може да се приеме, че “Х.И.” АД са приложили съотносими към искането си до община К. доказателства и информация. Следва да се отчита и обстоятелството, че с Решение №111 от 15 февруари 2013г., на основание §1 от Допълнителните разпоредби на Закона за държавната собственост и §5, т.62 от Допълнителните разпоредби на Закона за устройство на територията, Министерският съвет на Република България обявява проекта за изграждане на Междусистемна газова връзка България- Сърбия за национален обект и за обект с национално значение.
В контекста на голямата обществена значимост на проекта, по отношение на основанието за допустимост на обработване на търсените лични данни, в конкретния казус би могла да се приложи хипотезата на чл.4, ал.1, т.5 от ЗЗЛД- обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес. В същото време, при подаване на искането за съответния достъп и получаване на информация, “Х.И.” АД следва да представи пред администратора, предоставящ данните, надлежни доказателства с цел доказване на неговите договорни ангажименти по осъществяване на проекта на газопровода и наличие на горепосоченото основание за допустимост на обработването.
В чл.2, ал.2 от ЗЗЛД са определени принципите, при спазването на които следва да се обработват лични данни или личните данни следва:
1. се обработват законосъобразно и добросъвестно;
2. се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; допълнително обработване на личните данни за исторически, статистически или научни цели е допустимо, при условие че администраторът осигури подходяща защита, като гарантира, че данните не се обработват за други цели;
3. бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват;
4. бъдат точни и при необходимост да се актуализират;
5. се заличават или коригират, когато се установи, че са неточни или непропорционални по отношение на целите, за които се обработват;
6. се поддържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни се обработват; личните данни, които ще се съхраняват за по-дълъг период за исторически, статистически или научни цели, се поддържат във вид, непозволяващ идентифицирането на физическите лица.
Правото на защитата на физическите лица от злоупотреби с личната им информация и неправомерна намеса в техния личен живот се гарантира от горепосочените принципи, които са в основата на действащото законодателство, регулиращо обществените отношения в сферата на защитата на личните данни. За да е налице добросъвестно обработване, администраторът на лични данни следва предварително да е уведомил точно и правилно физическото лице за целите на обработката, като не използва данните за цели, различни от обявените. Обработването трябва да е законосъобразно, т.е. администраторът на лични данни трябва да съблюдава всички разпоредби на законите и подзаконовите актове, свързани със защитата на личните данни и да действа в рамките на притежаваните, съгласно тях, правомощия. Друго основно правило е, че данните следва да бъдат пропорционални и да съответстват адекватно на целите, за които се обработват. Администраторът на лични данни трябва да обработва само минимално необходимото количество информация за всяко физическо лице, нужно за целите на обработването, като допълнителни данни за лицето могат да се записват само когато събраната вече информация е недостатъчна за постигането на обявените цели. В противен случай допълнителната информация ще бъде “прекомерна” за нуждите на обработването и поради това не трябва да бъде съхранявана.
Едновременно с наличието на условие за допустимост и спазване на принципите за обработване на лични данни, администраторът следва да изпълни и задълженията си, произтичащи от разпоредбите на чл.19, чл.20 и чл.21 от ЗЗЛД, съгласно които администраторът на лични данни е задължен да предостави на физическото лице, чиито данни обработва, следната информация:
– данните, които идентифицират администратора и неговия представител;
– целите на обработването на личните данни;
– получателите или категориите получатели, на които могат да бъдат разкрити данните;
– данните за задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им;
– информация за правото на достъп и правото на коригиране на събраните данни.
Информацията по чл.19, ал.1, т.3- 5, чл.20, ал.1, т.3– 5 от ЗЗЛД, както и всяка друга информация, свързана с обработването на данните, се предоставя след извършване на преценка за необходимостта от предоставянето с цел гарантиране на справедливо обработване на данните по отношение на физическото лице, за което се отнасят, като тази преценката се извършва от администратора за всеки конкретен случай.
С оглед на горното и на основание чл.10, ал.1, т.4 от ЗЗЛД, Комисията за защита на личните данни изрази следното
СТАНОВИЩЕ:
1. При предоставяне на лични данни от един администратор на друг администратор на лични данни следва да е налице условие за допустимост на обработване на лични данни в съответствие с посочените в чл.4, ал.1 от ЗЗЛД. Наличието на такова условие е в тежест на доказване от администратора, искащ личните данни. Преценката по отношение на неговото наличие или липса във всеки конкретен случай е на администратора, предоставящ данните. В настоящия казус следва да се отчете обществената значимост на проекта, което не изключва задължението на администратора, искащ данните, да представи надлежни доказателства относно поетите от него ангажименти за изпълнението на задача, осъществявана в обществен интерес по смисъла на чл.4, ал.1, т.5 от ЗЗЛД.
2. Предоставянето на лични данни от страна на администратора, предоставящ данните, следва да се предхожда от преценка за всеки конкретен случай за необходимостта от предоставянето, с цел гарантиране на справедливо обработване на данните по отношение на физическото лице, за което се отнасят и гарантиране на неприкосновеността на личността и личния живот. Обработваните лични данни трябва да се отнасят единствено до конкретните физически лица– собственици на терени по трасето на газопровода.
3. Администраторът на лични данни-община К. трябва да намери подходящ начин, по който да изпълни произтичащото му от ЗЗЛД задължение за уведомяване на физическите лица, чиито данни ще обработва чрез тяхното предоставяне.
| ПРЕДСЕДАТЕЛ: | ЧЛЕНОВЕ: |
|
Венцислав Караджов /п/ |
Цанко Цолов /п/ |
