Решение по жалба с рег. № ППН-01-913/29.12.2020 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Цанко Цолов, Мария Матева и Веселин Целков, на редовно заседание, проведено на 26.05.2021г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679 разгледа по основателност жалба №ППН-01-913/29.12.2020г., подадена от С.Х.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Жалбоподателят посочва, че на 21.12.2020г., в периода 10:00– 11:00 часа, посетил наказателния паркинг „Славия”, стопанисван от ЦГМ ЕАД, за да освободи личния си автомобил, който малко по-рано бил преместен принудително по реда на Закона за движение по пътищата. След като заплатил таксата за принудителното преместване и отказал да заплати фиш по реда на ЗАНН, едно от длъжностните лица го информирало, че ще пристъпи към съставяне на акт за установяване на административно нарушение (АУАН №*****). За целта, длъжностното лице изискало от жалбоподателя да му предостави личната си карта. Лицето напуснало помещението, където се обслужват клиентите на паркинга, и се върнало след около 10-15 минути, като предоставило личната карта, както и съставения АУАН. Жалбоподателят посочва, че в рамките на посоченото време нямал визуален контакт с въпросния служител и не мога да каже какви лични данни от документа за самоличност е обработил, както и дали е фотокопирал/снимал личната карта или е предоставил данните от нея на трети лица.

Съгласно ЗАНН, АУАН се съставя в присъствието на нарушителя, поради което оправомощеният служител има право единствено да снеме в присъствието на лицето данните от личната му карта, необходими за съставянсто на акта: собственото, бащиното и фамилното име и възрастта на лицето, точния му адрес и местоработата, единен граждански номер, но не и да задържа картата и да извършва дсйствия с нея, без непосредственото присъствие на субекта на данните, които се обработват (арг. от чл.40, ал.1, във връзка с чл.42, ал.l, т. 6 от ЗАНН, във връзка с чл.б, пар. 1. б. „в“, във връзка с чл.5, пар. 1, б. „а“ от Общия регламент относно защитата на данните).

Жалбоподателят допуска, че подобна практика е в колизия и с чл.11 от Закона за българските лични документи, доколото личната карта се намира временно във фактическата власт на лице, различно от нейния притежател и се ползва за цели, неизвестни за него. При тези условия, съответното длъжностно лице има достъп до много повече данни от изискуемите по ЗАНН за съставяне на АУАН, тьй като личната карта, освен данните по чл.42, ал.1 , т. 6 от ЗАНН, съдържа и други лични данни, вкл. биометрични такива (арг. от чл.16, ал.1 и чл.26, ал.1 от Закона за българските лични документи).

При така изложената фактическа обстановка, у жалбоподателя възникват основателни притеснения относно това какви данни и по какъв начин са обработени при съставянето на коментирания АУАН, както и дали личната му карта е фотокопирана/снимана и/или данните от нея са предоставяни неправомерно на трети лица (дали трети лица са имали достъп до тях), извън актосъставителя.

Във връзка с горното, г-н С.Х. моли КЗЛД да приеме за разглеждане настоящата жалба, както и да извърши проверка на дейността на общинското дружество, и по-конкретно на създадената от него организация в горепосочения наказателен паркинг по обработка на данни от лична карта при упражняване на контролните правомощия на негови служители по ЗАНН и Закона за движението по пътищата.

Моли на основание чл.84, ал.1 от ЗЗЛД, във връзка с чл.58, пар. 2, б „б” и б. „г“ от Общия регламент относно защитата на данните, при установени нередности КЗЛД да приложи спрямо ЦГМ ЕАД подходяща принудителна администратвина мярка (предупредителна или преустановителна): да отправи официално предупреждение до дружеството и да задължи дружеството да приведе операциите по обработване на данни при съставяне на АУАН по реда на ЗАНН в съответствие със законовите изисквания.

В условията на залегналото в административния процес служебно начало и в изпълнение на чл.26 АПК, за започване на производството е уведомено заинтересованото лице– ЦГМ ЕАД (накратко по-надолу ЦГМ). Предоставена е възможността по чл.34, ал.3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения. Изискани са: записите от камерите, обяснения от служителя С.М., правила при упражняване на контролна дейност.

От Центъра за градска мобилност постъпи:

1. Заповед №СОА18-РД95-484/14.08.2018г. на Кмета на Столична община с одобрени ред и условия за принудително преместване на неправилно паркирани ППС и списък на служителите от сектор „Контрол паркиране“, запознати със заповедта;

2. Заповед №РД-09-486/2/02.07.2020г. на Изпълнителния директор на ЦГМ относно служителите с право да налагат ПАМ, глоба с фиш и съставят АУАН;

3. Копие на трудов договор на служителя С.М.;

4. Копие на длъжностна характеристика на инспектор „Контрол паркиране“;

5. Сведения от С.М.;

6. Запис от камерите за видеонаблюдение.

Становище към представените писмени доказателства не е изразено.

От жалбоподателя постъпи отговор от ЦГМ, във връзка с направени от него възражения.

По редовността и допустимостта на жалбата КЗЛД намира следното:

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Разглежданата жалба е съобразена с изискванията за редовност по чл.29 от АПК, чл.38а, ал.2 от ЗЗЛД и по чл.28, ал.1 от Правилник за дейността на Комисията за защита на личните данни и нейната администрация (ПДКЗЛДНА)– налице са данни за жалбоподателя; естество на искането; дата на узнаване на нарушението; лице, срещу което се подава жалбата; дата и подпис.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 от ЗЗЛДот субект на данни с правен интерес. Същата има за предмет твърдение за нарушаване на права по Регламент 2016/679 или ЗЗЛД. С жалбата е сезиран компетентен да се произнесе орган– Комисията за защита на личните данни, която съгласно правомощията си по чл.10, ал.1 ЗЗЛД във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679 разглежда жалби, подадени от субекти на данни. Налице са предпоставките за допустимост и по чл.27, ал.2 от АПК.

На проведено на 31.03.2021г. закрито заседание на Комисията жалбата е обявена за допустима и като страни в производството са конституирани: жалбоподател С.Х., ответна страна– ЦГМ ЕАД. Страните са уведомени за насроченото за 26.05.2021г. открито заседание за разглеждане на спора по същество.

От ЦГМ е изискана процедура за съставяне на АУАН. От ЦГМ посочват, че при съставяне на АУАН се следва законово определената процедура. Със заповед №РД-09-484/14.08.2018г. на кмета на СО и действащата към процесуалния случай и на основание чл.167, ал.2 от ЗДвП, кметът на Столична община е определил звено от ЦГМ ЕАД за служба за контрол. Службата за контрол има контролни функции по правомерността на паркирането съгласно ЗДвП, като служителите ѝ на длъжност „инспектор контрол паркиране” са оправомощени в качеството на административни органи да разпореждат принудителни административни мерки „принудително преместване“, спрямо неправилно паркираните ППС и да налагат санкции на нарушителите чрез глоба с фиш и да съставят АУАН. Процедурата по съставяне на актове е в съответствие със ЗАНН: издаването на актове като форма, съдържание и нормативни текстове и връчването им е в съответствие със ЗАНН, предоставя право за възражение в законоустановения срок, след което преписката се окомплектова и изпраща по компетентност в СО за издаване на наказателно постановление.

На проведеното заседание за разглеждане на жалбата по същество жалбоподателят се явява лично. Поддържа жалбата.

Ответната страна– не изпраща представител.

При така установеното Комисията разгледа жалбата по същество, като я приема за основателна въз основа на следното:

С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни, както и правилата по отношение на свободното движение на лични данни. Целта е да се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

От фактическа страна страните не спорят, че във връзка с принудително преместване на автомобил на жалбоподателя, последният посетил наказателен паркинг на ЦГМ. Служител на дружеството пристъпил към съставяне на АУАН, като за целта взел документа за самоличност (лична карта) на жалбоподателя, излязъл от стаята и се върнал след малко повече от 10 мин. със съставен АУАН. Това се потвърждава и от представените записи от охранителните камери.

При тази фактическа обстановка предметът на жалбата е относно това, че жалбоподателят не знае през тези малко повече от 10 мин. какви данни са обработени при съставянето на посочения АУАН и по какъв начин са обработени, както и дали личната карта на жалбоподателя е фотокопирана/снимана или данните от нея са предоставяни неправомерно на трети лица (дали трети лица са имали достъп до тях), извън актосъставителя.

От записите от камерите за видеонаблюдние в стаята, в която е съставен АУАН за нарушението, се вижда, че служителят на ЦГМ влиза с документ, наподобяващ лична карта, изважда папка и започва да записва данни от личната карта върху лист. Малко по-късно влиза друго лице, актосъставителят предоставя на лицето да се подпише върху същия лист, върху който записва данните, след което сам в стаята продължава да пише върху същия лист. След това излиза от стаята с папката и връчва на жалбоподателя същия лист, върху който записва личните му данни. В открито заседание жалбоподателят посочва, че служителят на ЦГМ се е върнал с вече съставен акт, подписан и от свидетел, което отговаря на заснетото от камерите.

От горното следва, че не се установява копиране на документа за самоличност на жалбоподателя без това да е предвидено в закон, с което да е нарушен чл.25г от ЗЗЛД. Не се установява и събиране на лични данни в по-голям обем или предоставянето им на трето лице, различно от служител на ЦГМ, доколкото реквизитите на АУАН са нормативно определени в ЗАНН, както и подписването на акта от свидетели, а както беше посочено– актосъставителят записва данни само върху един лист, който връчва после на жалбоподателя– АУАН за нарушението.

Съгласно чл.5, параграф1, буква„а“ от Регламент 2016/679 личните данни следва да се обработват по прозрачен начин по отношение на субектите на данни. В случая жалбоподателят, както посочва в жалбата си, не е знаел по какъв начин се обработват личните му данни, след като е предоставил личната си карта и актосъставителят е излязъл от помещението, в което е жалбоподателят. По този начин последният дейстително не знае дали личните му карта е била копирана, което е допустимо само при наличие на законово основание, нито дали са събрани лични данни, което не са от задължителните реквизити за попълване в АУАН. Следователно, в случая личните данни на жалбоподателя не са обработени по прозрачен начин, което представлява нарушение на чл.5, параграф1, буква„а“ от Регламент 2016/679.

При така констатираното нарушение жалбата следва да бъде уважена. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените ѝ функции преценява кое от корективни правомощия по чл.58, пар. 2 от Регламент 2016/679 да упражни. Преценката се основава на съображенията за целесъобразност и ефективност на решението при отчитане на особеностите на всеки конкретен случай и степента на засягане на интересите на конкретното физическо лице– субект на данни, както и на обществения интерес. Правомощията по чл.58, пар. 2, без тази по буква„и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне дължимото поведение в областта на зашитата на личните данни. Административното наказание „глоба” или „имуществена санкция” по чл.58 пар. 2, буква„и” има санкционен характер. При прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента се взема предвид естеството, тежестта и последиците от нарушението, както и всички смекчаващи и отегчаващи отговорността обстоятелства. Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява и целта, преследвана с избраната корективна мярка– предотвратяване или преустановяване на нарушението, санкциониране на неправомерното поведение или и двете, каквато възможност е предвидена в чл.58, пар. 2, буква„и” от Регламент 2016/679.

В допълнение към горното, съгласно чл.10г от ЗЗЛД при упражняване на задачите и правомощията си по отношение на администратори или обработващи лични данни, които са микропредприятия, малки и средни предприятия, КЗЛД следва да вземе предвид техните специални потребности и налични ресурси. Това следва да се вземе предвид при преценката дали да се наложи административното наказание „имуществена санкция“ вместо друга корективна мярка по чл.58, параграф2 от Регламента или в допълнение към нея. Анализ на финансови данни на дружеството показва, че по смисъла на чл.3 от Закона за малките и средните предприятия администраторът не попада в категорията „малко“ или „средно“ предприятие по смисъла на Закона за малките и средните предприятия.

Смекчаващо отговорността обстоятелство е, че нарушението е първо за администратора. Освен това не се установиха другите нарушения, за които жалбоподателят има съмнение– копиране на лична карта или събиране на лични данни в по-голям обем. Жалбоподателят също отправя искане за налагане на принудителна административна мярка на администратора.

Същевременно, КЗЛД установи, че администраторът спазва единствено нормативните изисквания на ЗАНН, но не са изготвени правила за обработване на личните данни в тези случаи.

Предвид горното, КЗЛД намира, че не следва да налага административно наказание „имуществена санкция“ на ЦГМ. За извършеното нарушение следва да бъде разпоредено на администратора по чл.58, параграф2, буква„г“ от Регламент 2016/679 да изготви вътрешни правила и процедури, които да бъдат съобразени с процедурата по ЗАНН. Целта на тези вътрешни правила и процедури е именно да разпише законосъобразното обработване на личните данни за съставяне на акт. Служителите на администратора следва да бъдат обучени за прилагане на правилата. Така предписаната мярка има за цел да предотврати бъдещи нарушения.

КЗЛД указва, че при неспазване на влязло в сила разпореждане на надзорния орган по чл.58, параграф2 от Регламент 2016/679 може да бъде наложено административно наказание „глоба“ или „имуществена санкция“ по чл.83, параграф6 от Регламент 2016/679.

Така мотивирана и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни

Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му чрез Комисията за защита на личните данни, пред Административен съд София– град.