Решение по жалби с рег. №Ж-122/13.03.2017г. и №П-2480/07.04.2017г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов и Цветелин Софрониев на заседание, проведено на 05.07.2017г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалби №Ж-122/13.03.2017г. и №П-2480/07.04.2017г.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба №Ж-122/13.03.2017г., подадена от А.К., в качеството му на родител и законен представител на малолетния му син Р.М.К., с изложени в същата твърдения за нарушение на правото му на достъп до лични данни отразени в здравно-профилактична карта на детето.

Господин А.К. информира, че синът му– Р.М.К. е бил ученик в Шесто основно училище „Граф Игнатиев“, гр. София, където се е обучавал през по-голямата част от първия срок на учебната 2014/2015г. и допълва, че в началото на учебната година съпругата му Р.А.Л. предоставила на д-р А.Н.– медицински специалист изпълняваща дейността на здравен кабинет в училището, здравно-профилактична карта на Р.М.К., надлежно попълнена от личния лекар на детето.

Господин А.К. твърди, че е подал до д-р А.Н., в качеството й на администратор на лични данни, искане за предоставяне на достъп до съхраняваната от нея здравна информация, касаеща малолетния му син Р.М.К. и по-конкретно е заявил желание от името на сина си да получи копие от здравно-профилактичната му карта. Твърди, че искането е получено от д-р А.Н. на 21.02.2017г., но в законоустановения срок и към момента на депозиране на жалбата пред КЗЛД не е получил отговор. Счита, че е налице нарушение от страна на д-р А.Н. на разпоредбите на чл.31, ал.2 и чл.32, ал.1 от ЗЗЛД с което са нарушени правата предоставени на сина му по ЗЗЛД и претендира ангажирането на административно-наказателната й отговорност.

Към жалбата са приложени доказателства, формулирани са и особени искания.

В хода на производството по жалбата г-н А.К. сезира Комисията с „допълнителна жалба“ заведена с рег.№П-2480/07.04.2017г., в която са изложени твърдения за незаконосъобразно обработване на лични данни– информация касаеща здравния статус на Р.М.К. отразена в здравно-профилактичната карта на детето, същата предоставена в началото на учебната 2014/2015г. на д-р А.Н.– училищен лекар в Шесто основно училище „Граф Игнатиев“, гр. София.

Господин А.К. информира, че на 29.03.2017г. след изтичане на законоустановения срок за произнасяне по подаденото от него заявление за достъп до личните данни на детето, кореспондирал по имейл с д-р А.Н., от която бил уведомен, че здравно-профилактичната карта на детето е предоставена на съпругата му и в здравния кабинет не съхранява копие от нея. Твърденията на д-р А.Н. са оспорени от г-н А.К., който е категоричен, че картата не е връщана нито на него, нито на съпругата му.

Господин А.К. счита, че е налице неправомерно обработване на личните данни на детето съдържащи се в здравно-профилактичната карта, в хипотезите на унищожаване от страна на д-р А.Н. на документа, разкриване чрез предаване или предоставяне на лични данни и здравна документация на Р.М.К. на класния ръководител на детето– К.С. или на трето неизвестно за него лице. Наведени са твърдения за възможно неправомерно обработване на личните данни касаещи здравния статус на детето от класния му ръководител в хипотезата на съхранение на здравно-профилактичната карта на Р.М.К., предоставянето й на трето лице, или унищожаването й.

Господин А.К. твърди, че нито той, нито съпругата му са давали съгласие здравно-профилактичната карта на детето да бъде унищожена или предадена от д-р А.Н. на трето лице. Излага съмнения за възможността здравно-профилактичната карта да се намира все още при д-р А.Н. и в тази връзка моли Комисията да извърши проверка на това обстоятелство и в случай, че установи, че д-р А.Н. продължава да я съхранява да й издаде задължително предписание да му предостави копие от същата.

Към допълнителната жалба са представени относими доказателства, направени са и доказателствени искания.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от д-р А.Н. е изискано писмено становище.

В отговор д-р А.Н. представя становище №С-204/29.03.2017г. за неоснователност на жалбата и оспорва, като неверни, изложените в нея твърдения. Декларира, че „картата със здравословна информация на Р.М.К. е върната заедно с останалите документи“ и единствената документация която съхранява и в която се съдържат данни на Р.М.К. е амбулаторен дневник на прегледаните през учебната 2014/2015г., в който е отразен преглед на детето. Допълва, че не е била информирана за хронично заболяване на Р.М.К.

Към становището не са приложени доказателства.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалби №Ж-122/13.03.2017г. и П-2480/07.04.2017г. съдържат задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя и законния му представител, естеството на искането, дата и подпис (електронен) на законния представител, с оглед което жалбите са редовни. Приложени са доказателства за представителната власт.

Жалбите са процесуално допустими, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Предмет на жалба Ж-122/13.03.2017г. е непроизнасяне в срок по подадено от жалбоподателя заявление за достъп до лични данни адресирано до д-р А.Н., в качеството й на медицинско лице изпълняващо функциите на здравен кабинет в Шесто основно училище „Граф Игнатиев“, гр. София. Предмет на жалба №П-2480/07.04.2017г. са твърденията за незаконосъобразно обработване на здравна информация отнасяща се до Р.М.К., съдържаща се в здравно-профилактичната карта на детето от страна на д-р А.Н. и К.И.С.– учител в Шесто основно училище „Граф Игнатиев“, гр. София и бивш класен ръководител на Р.М.К.

С жалбите е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимост на жалбите с които е сезирана Комисията. В конкретния случай жалбите са насочена срещу д-р А.Н., в качеството й на медицинско лице изпълняващо функциите на здравен кабинет в Шесто основно училище „Граф Игнатиев“, гр. София, която по смисъла на чл.27, ал.1 във връзка с чл.21, ал.2, т.3 от Закона за здравето и чл.7, т.9 от Наредба №3/27.04.2000г. за здравните кабинети в детските заведения и училищата, има качеството на администратор на лични данни предвид обстоятелството, че води и съхранява документацията на здравни кабинет в това число и здравно-профилактични карти на учениците в учебното заведение. Жалба П-2480/07.04.2017г. е насочена и срещу К.И.С.– учител в Шесто основно училище „Граф Игнатиев“, гр. София и бивш класен ръководител на Р.М.К.

Госпожа К.С.- бивш класен ръководител на Р.М.К. и учител– педагогически специалист по смисъла на чл.211 от Закона за предучилищното и училищното образование, в Шесто основно училище „Граф Игнатиев“, гр. София, обаче няма качеството на администратора на лични данни, а на обработващ лични данни от името и за сметка на учебното заведение– същото юридическо лице администратор на лични данни по смисъла на чл.29 от Закона за предучилищното и училищното образование, представляваното от директора на училището по аргумент от 296 от закона.

Видно от направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри е, че Шесто основно училище „Граф Игнатиев“, гр. София е регистрирано като администратор на лични данни с идент. №157154 и заявени четири регистъра.

Предвид изложените твърдения и установените по случая факти Комисията намира, че са налице предпоставките на чл.32 от АПК и обединява за разглеждане в едно производство жалби Ж-122/13.03.2017г. и П-2480/07.04.2017г., предвид обстоятелството, че правата и задълженията на страните произтичат от еднакво фактическо състояние и са от компетентността на един и същ административен орган.

На проведено на 25.05.2017г. заседание на КЗЛД жалбите са приети за процесуално допустими и като страни в производството са конституирани: жалбоподател– Р.М.К., представляван от А.С.К.– баща и законен представител на малолетното дете, ответни страни– А.С.Н., в качеството й на медицинско лице изпълняващо функциите на здравен кабинет и Шесто основно училище „Граф Игнатиев“, гр. София, представлявано от Директора и заинтересована страна- К.И.С.– учител в Шесто основно училище „Граф Игнатиев“, гр. София и бивш класен ръководител на Р.М.К. Страните са редовно уведомени за насроченото за 21.06.2017г. заседание за разглеждане на жалбите по същество и им е указано разпределянето на доказателствената тежест в процеса.

Предвид застъпеното в административния процес служебно начало, противоречивите твърдения на страните относно съхранението на здравно-профилактичната карта на детето в здравния кабинет и направеното от жалбоподателя доказателствено искане в тази насока, е извършена проверка в здравения кабинет на Шесто основно училище „Граф Игнатиев“, гр. София, находящ се в гр. София, ул. „6-ти септември“ №16 с предмета на проверката обработва ли в хипотезата на съхранение д-р А.С.Н., в качеството й на медицинско лице изпълняващо функциите на здравен кабинет в училището, оригинал или копие на здравна-профилактична карта на Р.М.К. Резултатите от проверката са отразени в КА-324/06.06.2017г.

На проведено на 21.06.2017г. открито заседание жалбите са поставени за разглеждане по същество.

Жалбоподателят– редовно уведомен, представлява се от законния му представител А.К.

Шесто основно училище „Граф Игнатиев“, гр. София– редовно уведомено, не се представлява.

А.С.Н.- редовно уведомена, не се явява, не се представлява.

К.И.С.– редовно уведомена, явява се лично и с адвокат Н. от САК, с представено в заседанието пълномощно. Г-жа К.С. заявява категорично, че не й е предавана и не е виждала здравно-профилактичната карта на ученика. Адвокат Н. оспорва жалбата в частта касаеща обработване на чувствителни личните данни касаещи здравето на Р.М.К. от нейната доверителка. Не представя нови доказателства, но има доказателствени искания: да се изискат информация и доказателства от Шесто основно училище за дата на която Р.М.К. е отписан от училището, както и информация и доказателства дали към тази дата г-жа К.С. е била в отпуск, а също и информация и доказателства кога детето е записано в 48-мо основно училище „Йосиф Ковачев“, гр. София и какви документи са представени при записването му.

А.К. не възразява срещу събирането на допълнителните доказателства изискани от процесуалния представител на заинтересованата страна. В хода на заседанието твърди, че „г-жа К.С. няма абсолютно нищо общо със случая“ и няма претенции към нея „е благодарен много, че разсея всякакво съмнение по този въпрос, а именно че не тя е човекът, който е виждал или получавал картата на Р.М.К.“.

Комисията приема за относими и релевантни за случая направените доказателствени искания и за събиране на допълнителни доказателства отлага разглеждането на жалбите по същество за 05.07.2017г.

В хода на производството от Шесто основно училище информират, че Р.М.К. е отписан от училището на 08.12.2014г., като доказателство за което представят заверено копие на Удостоверение за преместване изх.№742/08.12.2014г., по описа на училището и допълват, че по това време класния ръководител на детето– г-жа К.С., е била в отпуск поради временна неработоспособност, за което представят заверено копие на болнични листове №**** и №*****.

От 48-мо основно училище „Йосиф Ковачев“, гр. София информират, че Р.М.К. е записан в училището на 10.12.2014г., а при записването му родителят е представил: Удостоверение за преместване изх.№742/08.12.2014г., по описа на Шесто основно училище „Граф Игнатиев“, гр. София, копие от акт за раждане на детето и конфиденциален доклад от 31.05.2012г. от Служба по психология в Торонто. Допълват, че в медицинския кабинет при записване на ученика не са предоставяни никакви документи, свързани с неговия здравен статус и твърдят, че от 2014г. до момента на изразяване на становището пред медицинското лице не са представяни здравно-профилактични карти на ученика.

В хода на производството г-жа А.Н. е депозирала становище по изложените в жалбата твърдения. Категорична е, че здравно-профилактичната карта на Р.М.К. е предадена на майката на детето през декември 2014г. и в здравния кабинет на училището не се съхранява оригинал или копие на документа. По отношение на подаденото от г-н А.К. искане за предоставяне на достъп до лични данни под формата на получаване на копие от медицински документи, вкл. здравно-профилактична карта на сина му, информира че е отговорила писмено на А.К. с писмо изх.№90/02.03.2017г. по описа на Шесто основно училище „Граф Игнатиев“, гр. София, копие от което прилага.

На проведено на 05.07.2017г. заседание на КЗЛД, жалбата е разгледана по същество.

Жалбоподателят– редовно уведомен, представлява се от А.К.– баща и законен представител на детето, който поддържа жалбите и моли Комисията да ги уважи и да санкционира неправомерното поведение на администратора на лични данни. Подробни съображения развива в представени в производството писмени бележки.

Заинтересованата страна- К.С.– редовно уведомена, представлява се от адв.Н., която моли Комисията да остави без уважение, като неоснователни и недоказани, жалбите в частта им насочена към доверителката й.

Ответната страна- А.С.Н.– редовно уведомена, не се явява, не се представлява.

Ответната страна- Шесто основно училище „Граф Игнатиев“, гр. София– не се представлява.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледани по същество жалби №Ж-122/13.03.2017г. и П-2480/07.04.2017г. са основателни.

От събраните по преписката доказателства се установи, а и между страните не е спорно, че през 2014г. Р.М.К. е записан в Шесто основно училище „Граф Игнатиев“ гр.София в първи клас с класен ръководител К.С., където се е обучавал през по-голяма част от първия учебен срок на учебната 2014/2015г. Не е спорно също, че при записването на ученика родителите му са предоставили на д-р А.Н., изпълняваща функциите на здравен кабинет в училището, здравно-профилактична карта на детето, попълнена от личния му лекар. От събраните по преписката доказателства се установи, че детето е отписано от учебното заведение на 08.12.2014г. и на 10.12.2014г. е записано в 48-мо основно училище „Йосиф Ковачев“, гр. София, като по твърдение на директора на последното при записване на ученика са представени само Удостоверение за преместване изх.№742/08.12.2014г., по описа на Шесто основно училище „Граф Игнатиев“, гр.София, копие от акт за раждане на детето и конфиденциален доклад от 31.05.2012г. от Служба по психология в Торонто, без документи, свързани с неговия здравен статус или здравно-профилактична карта на ученика. Установи се, че към момента на отписване на детето от Шесто основно училище класния му ръководител– г-жа К.С. е била в отпуск поради временна неработоспособност.

По отношение на твърденията на жалбоподателя изложени в жалбата за възможно неправомерно обработване на личните данни касаещи здравния статус на детето от класния му ръководител– г-жа К.С., в хипотезата на съхранение на здравно-профилактичната карта на Р.М.К. от класния ръководител, предоставянето й на трето лице, или унищожаването й и предвид заявеното от процесуалния представител на Р.М.К. в заседание на Комисията проведено на 21.06.2017г., че същия няма претенции към г-жа К.С. „г-жа К.С. няма абсолютно нищо общо със случая“ „й е благодарен много, че разсея всякакво съмнение по този въпрос, а именно че не тя е човекът, който е виждал или получавал картата на Р.М.К.“, обстоятелства които се споделят от г-жа К.С., следва да се приеме същото като оттегляне на жалбата в частта й насочена към г-жа К.С. предвид изричното волеизявление на г-н А.К. в тази насока обективирано в Протокол от проведеното на 21.06.2017г. заседание по жалбата.

Твърденията на г-н А.К. за незаконосъобразно обработване на чувствителни лични данни, съдържащи се в здравно-профилактичната карта на Р.М.К., касаещи здравни статус на детето от страна на д-р А.Н., в качеството й на администратор на лични данни- медицинско лице изпълняващо функциите на здравен кабинет в Шесто основно училище „Граф Игнатиев“, гр. София, са оспорени от ответната страна– д-р А.Н.

От събраните по преписката доказателства и в частност от извършена в здравния кабинет в Шесто основно училище „Граф Игнатиев“ служебна проверка на служител на КЗЛД отразена в КА-324/06.06.2017г. не се установи твърдяното от жалбоподателя съхранение на оригинал и/или копие на здравно-профилактична карта на Р.М.К. в здравния кабинет. Твърденията на жалбоподателят в насока неправомерно предоставяне на здравно-профилактичната карта от д-р А.Н. на трети лица са оспорени от медицинското лице, като неверни, същите са недоказани от страна на г-н А.К. Оспорени от д-р А.Н. и недоказани от жалбоподателя са и твърденията на г-н А.К., че д-р А.Н. е унищожила здравно-профилактичната карта на Р.М.К. Твърденията на д-р А.Н., че здравно-профилактичната карта на детето е предоставена на майката на детето през декември 2014г., обаче са недоказани от д-р А.Н. и са оспорени от жалбоподателя. Това обстоятелство наред с факта, че при проверката в здравния кабинет не е открита здравно-профилактичната карта на детето, нито същата е предоставена при записването му в новото учебно заведение, налагат извода, че администратора на лични данни не е предприел необходимите технически и организационни мерки за обработване на личните данни на детето съдържащи се в здравно-профилактичната карта, след постъпването на картата в здравния кабинет, в резултат на което е довело до неправомерното обработване– съхранение и употреба на съдържащи се в картата лични данни на детето. В тази връзка следва да се отбележи задължението на д-р А.Н., като администратор на лични данни, да предприеме мерки за защита на обработваните лични данни и да удостовери всички действия във връзка с обработването им, включително получаването, съхраняването, предаването и унищожаването им, които да разпише в Инструкция– задължение което видно от събраните доказателства администраторът не е изпълнил.

От събраните по преписката доказателства се налага извода, че изложените от жалбоподателя твърдения за нарушение от страна на д-р А.Н. и на разпоредбите на ЗЗЛД касаещи произнасянето в посочените в закона срокове по заявление за достъп до лични данни са основателни.

На първо място следва да се отбележи, че предвид съдържанието на подаденото от г-н А.К. до д-р А.Н. заявление/искане за предоставяне на копие от медицинска документация съхранявана в здравния кабинет на Шесто основно училище „Граф Игнатиев“, гр. София и разпоредбите на ЗЗЛД се налага извода, че същото има характера на заявление за достъп до лични данни, на което кореспондира задължението на администратора на лични данни да разгледа искането и да се произнесе по него в посочения в чл.32, ал.1 от ЗЗЛД 14-дневен срок и да уведоми заявителя за решението си лично срещу подпис или по пощата с обратна разписка, съобразно разпоредбите на чл.33, ал.2 от ЗЗЛД.

В конкретния случай между страните не е спорно, че заявлението за достъп е получено от администратора на лични данни– д-р А.Н., на 21.02.2017г. и въпреки, че ответната страна– д-р А.Н. представя копие на отговор адресиран до г-н А.К. обективиран в писмо изх.№90/02.03.2017г. по описа на Шесто основно училище, от съдържанието на същото е видно, че не е предоставена пълна или частична информация по подаденото заявление нито е налице мотивиран отказ от предоставянето й. Отделно от това не са ангажирани и доказателства, че същото е получено от г-н А.К. В тази връзка се налага извода за основателност на изложените от жалбоподателя твърдения за непроизнасяне в срока по чл.32, ал.1 от ЗЗЛД по подадено от него заявление по чл.29 от ЗЗЛД.

В рамките на оперативната си самостоятелност, предвид обстоятелството, че нарушенията са първи за администратора на лични данни и като взе под внимание осъществяваната от д-р А.Н. дейността свързана с обработка на чувствителни лични данни свързани със здравето на голям брой лица– ученици, Комисията намира за целесъобразно с оглед констатираните нарушение да издаде задължителни предписания на администратора на лични данни, като счита че същите ще имат предупредително и превантивно действие и ще допринесат за спазване на установения правов ред.

Водима от горното и на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от ЗЗЛД, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- София- град.