Решение по жалба рег. № Ж-61/19.02.2015 г.

Комисията за защита на личните данни (КЗЛД) в състав: членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 06.04.2016г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-61/19.02.2015г., подадена от А.Ц.Т.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от А.Ц.Т., в която са изложени твърдения за неправомерно обработване на личните й данни от „А.“ ООД.

Жалбоподателката информира, че от 07.07.2012г. работи в „К.“ ЕООД, като помощник готвач в ресторант „Кп.“ в гр. А. и допълва, че на 13.02.2015г. по повод кандидатстване за кредитна карта билa уведоменa, че „от юни месец 2014г. се води на работа във фирма „А.“ ООД. Жалбоподателката твърди, че няма договорни отношения с „А.“ ООД, не е предоставяла личните си данни на дружеството и не е давала съгласието си същите да бъдат обработвани от „А.“ ООД. Г-жа А.Ц.Т. счита, че обработването на личните й данни от „А.“ ООД е в нарушение на правата й по ЗЗЛД и моли Комисията за съдействие.

Към жалбата е приложено копие на трудов договор №34/06.07.2012г. и справка изх.№22388123221598/06.07.2012г., по описа на НАП.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „А.“ ООД е изискано писмено становище и представяне на относими доказателства.

На посочения в Търговския регистър адрес е изпратено писмо изх.№П-2107/ 16.03.2015г., но видно от известие за доставка АR 4100016150404 писмото се е върнало в цялост в Комисията с отбелязване на пощенското клеймо „непотърсен“. В тази връзка дружеството е уведомено за производството по реда на чл.61, ал.3 от АПК със съобщение рег.№СЩ-45/14.04.2015г., но към настоящия момент същото не е ангажирало становище по жалбата.

С оглед изясняване на случая от правна и фактическа страна и застъпеното в административното производство служебно начало, от Националния осигурителен институт (НОИ) е изискана информация относно сключени с А.Ц.Т. трудови договори.

В отговор от НОИ уведомяват, че след извършена справка във водения от НОИ регистър на трудовите договори е установено, че на 30.06.2014г. е регистриран сключен между жалбоподателката и „А.“ ООД трудов договор.

Към становището е приложено копие на справка от 24.03.2015г. за актуалното състояние на всички трудови договори на г-жа А.Ц.Т.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбата съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателката, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес.Същата има за предмет неправомерно обработване на личните данни на жалбоподателката от „А.“ ООД за целите на сключен на 30.06.2014г. трудов договор. С жалбата е сезиран компетентен да се произнесе орган – КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. В конкретния случай администратор на лични данни е „А.“ ООД.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че към 17.03.2015г. дружеството не е подавало заявление за регистрация, съответно не е вписано в регистъра по чл.10, ал.1, т.2 от ЗЗЛД. Дружеството не е подавало молба за освобождаване от задължение за регистрация като администратор на лични данни и не е освободено по надлежния ред от такава регистрация.

На проведено на 16.03.2016г. заседание на Комисията, жалбата е приета за допустима и като страни в производството са конституирани: жалбоподател – А.Ц.Т. и ответна страна – „А.“ ООД. От ответната страна е изискано отново писмено становище и относими доказателства, но такива не са ангажирани.

На проведено на 06.04.2016г. заседание на Комисията, жалбата е разгледана по същество.

Жалбоподателката – редовно уведомена, не се явява, не се представлява.

„А.“ ООД – редовно уведомено, не се представлява.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения, Комисията приема, че разгледана по същество жалба №Ж-61/19.02.2015г. е основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД лични данни са всяка информация отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Имената и единният граждански номер на физическото лицебезспорно имат качеството на лични данни.

Предоставянето и употребата на лични данни е действие по обработването им по смисъла на § 1, т.1 от Допълнителните разпоредби на ЗЗЛД и като такова следва да се извършва при спазване на разпоредбите на ЗЗЛД.

В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физическите лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването. Съгласно чл.4, ал.1, т.2 от ЗЗЛД изричното съгласие на физическото лице, за което се отнасят данните, е достатъчно условие за допустимостта на обработването им.

В конкретния случай от събраните в хода на административното производство доказателства се установи безспорно, че „А.“ ООД е обработило лични данни – три имена и единен граждански номер на жалбоподателката, в хипотезата на употреба на личните данни и предоставянето им в НОИ и НАП за регистриране на трудов договор, който жалбоподателката твърди, че не е сключвала и подписвала. Видно от представените по преписката справки е, че „А.“ ООД е подало в НАП уведомление на основание чл.62, ал.5 от Кодекса на труда за сключен на 30.06.2014г. трудов договор с А.Ц.Т. От справка в регистъра на трудовите договори към Националния осигурителен институт е видно също, че на 30.06.2014г. е регистриран трудов договор на името на А.Ц.Т. сключен с „А.“ ООД. Редът и съдържанието на уведомление е уреден в Наредба №5 от 29 декември 2002г., издадена от Министъра на труда и социалната политика. На основание чл.5, т.2 от Наредбата в уведомлението работодателя следва да са посочени трите имена и единен граждански номер на работника или служителя – информация представляваща лични данни по смисъла на чл.2, ал.1 от ЗЗЛД.

В конкретният случай твърденията на жалбоподателката, че личните й данни са обработени без нейно знание и съгласие от „А.“ ООД за целите на сключен между страните трудов договор и предоставянето им в НАП И НОИ за регистрацията му не са оспорени от ответната страна. Въпреки дадените от КЗЛД, указания дружеството не е ангажирало доказателства в обратна насока. В тази връзканеоборени остават категоричните твърденията на г-жа А.Ц.Т., че дружеството е обработило личните и данни без нейно знание и съгласие за целите на сключен на 30.06.2014г. трудов договор.

С оглед разпределяне на доказателствената тежест в процеса и събраните по преписка доказателства се налага извода, че подадената от г-жа А.Ц.Т. жалба е основателна и личните й данни са обработени от дружеството в нарушение на чл.4, ал.1 от ЗЗЛД. Същото не е съобразено с изискванията за допустимост на обработването на лични данни обективирани в чл.4, ал.1 от ЗЗЛД и е извършено без съгласието на г-жа А.Ц.Т. и без да е налице нито едно от останалите условия за допустимост на обработването посочени в чл.4, ал.1, т.1, 3, 4, 5, 6 и 7 от ЗЗЛД.

С оглед събраните по преписка доказателства, Комисията счита, че са налице основания за ангажиране на административно-наказателната отговорност на „А.“ ООД за отказ от съдействие на КЗЛД .

Съгласно чл.22, ал.5 от ЗЗЛД всички лица, който обработват лични данни, са длъжни да оказват съдействие на Комисията при упражняване на контролните й правомощия, а неизпълнението на това задължение е въздигнато от законодателя в административно нарушение.

В конкретния случай се твърди неправомерно обработване на личните данни на жалбоподателката от „А.“ ООД, от което следва, че за дружеството е възникнало задължение за оказване на съдействие на КЗЛД, още повече, че дружеството е конституирано като ответна страна в образуваното пред Комисията административно производство и дължи съдействие при събиране на доказателства, които се намират при него и не се намират при административния орган. Администраторът на лични данни е уведомен, че следва да представи писмено становище и относми доказателства, но такива не са ангажирани.

Неизпълнението на дадените от КЗЛД указания представляват отказ от съдействие при упражняване на правомощията й да извършва контрол по законосъобразност на обработването на личните данни на лицето сезирало Комисията. Липсата на предоставяне на информация и доказателства от страна на дружеството води до затруднения при установяването на всички факти и обстоятелства от значения за производството и до забавяне на произнасянето по жалбата.

Във връзка с изложеното и събраните по преписката доказателства, Комисията приема, че „А.“ ООД е нарушило разпоредбата на чл.22, ал.5 от ЗЗЛД,изразяващо се в отказ от съдействие по отношение на контролните правомощия на КЗЛД по ЗЗЛД във връзка с административно производство по жалба №Ж-61/19.02.2015г.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираните нарушения налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението) е нецелесъобразно и мерките са неприложими в случая, и в тази връзка налага на „А.“ ООД административни наказания за нарушение на ЗЗЛД, като счита, че същите ще имат възпитателно въздействие и ще допринесат за спазване от страна на дружеството на установения правен ред.

При определяне размера на административните наказания Комисията съобрази, че нарушението е първо за администратора на лични данни, с оглед което определя наказания в минимума предвиден в закона за съответните нарушения.

Водима от горното и на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-61/19.02.2015г., подадена от А.Ц.Т. срещу „А.“ ООД, за основателна.

2. На основание чл.42, ал.1 от ЗЗЛД налага на „А.“ ООД с ЕИК **** със седалище и адрес на управление ****, в качеството му на администратор на лични данни, административно наказание – имуществена санкция в размер на 10000 лв. (десет хиляди лева) за нарушение на чл.4, ал.1 от ЗЗЛД.

3. На основание чл.42, ал.8 от ЗЗЛД налага на „А.“ ООД административно наказание – имуществена санкция в размер на 1000 лв. ( хиляди лева) за нарушение на разпоредбата на чл.22, ал.5 от ЗЗЛД – отказ от съдействие на Комисията за защита на личните данни при упражняване на правомощията й по ЗЗЛД.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.

След влизане в сила на решението, сумата по наложените наказания да бъде преведена по банков път:

Банка БНБ – ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

Ако в законоустановения срок за доброволно плащане то не бъде извършено, преписката ще се изпрати на компетентната Териториална дирекция на Национална агенция по приходите за принудително събиране на вземането на основание и по реда на Данъчно-осигурителния процесуален кодекс.