Становище на КЛЗД по въпроси, касаещи качеството на администратор на лични данни или обработващ лични данни на второстепенните разпоредители с бюджетни кредити към Министерството на правосъдието

ОТНОСНО: Искане за становище с вх.№П-1467/04.03.2013г. от Министерството на правосъдието по въпроси, касаещи качеството на администратор на лични данни или обработващ лични данни на второстепенните разпоредители с бюджетни кредити към Министерството на правосъдието.

Комисията за защита на личните данни (КЗЛД) в състав: Членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 20-21.03.2013г., разгледа преписка с вх.№П-1467 / 04.03.2013г. от Министерство на правосъдието.

В искането се посочва, че във връзка с извършващата се в Министерството на правосъдието актуализация на вътрешните правила за обработване на лични данни, молят за становище притежават ли качеството на администратор на лични данни Националното бюро за правна помощ и Централния регистър на особените залози като второстепенни разпоредители с бюджетни кредити в Министерство на правосъдието.

След извършени проверки от страна на Комисията за защита на личните данни (КЗЛД) се приема, че Главна дирекция "Изпълнение на наказанията" (ГДИН) и Главна дирекция "Охрана" (ГДО) са обработващи лични данни към администратора на лични данни– Министерството на правосъдието. Уточнява се, че Агенцията по вписванията– също второстепенен разпоредител с бюджетни кредити към министъра на правосъдието, е получила статут на администратор на лични данни– Удостоверение №0026872.

Съгласно Постановление №88 на Министерския съвет от 11.05.2010г. за определяне на първостепенния и второстепенните разпоредители с бюджетни кредити в Министерството на правосъдието, министърът на правосъдието е първостепенен разпоредител с бюджетни кредити, а като второстепенни разпоредители са определени:

1. Националното бюро за правна помощ;

2. Централният регистър на особените залози;

3. Агенцията по вписванията;

4. Главна дирекция "Охрана";

5. Главна дирекция "Изпълнение на наказанията".

Националното бюро за правна помощ (НБПП) е независим държавен орган, юридическо лице на бюджетна издръжка, второстепенен разпоредител с бюджетни кредити към министъра на правосъдието, създаден със Закона за правната помощ (ЗПП). В чл.6, ал.1 от ЗПП се посочва, че държавната политика в областта на правната помощ се разработва, координира и провежда от министъра на правосъдието. С Правилника за устройството и дейността на Националното бюро за правна помощ (ПУДНБПП) се уреждат организацията на работа, структурата, съставът и функциите на звената в неговата администрация. Националното бюро за правна помощ е колективен орган, който се състои от председател, заместник-председател и трима членове, избрани при условията и по реда на Закона за правната помощ. Съгласно чл.8, т.1 от ЗПП, органът осъществява общо и методическо ръководство на дейността по предоставянето на правна помощ, а съгласно чл.8, т.4 от ЗПП организира воденето на Националния регистър за правна помощ. НБПП се ръководи от председател, който се подпомага от заместник-председател. Председателят и заместник-председателят се назначават и освобождават със заповед на министър-председателя въз основа на решение на Министерския съвет, а предложението до Министерския съвет се прави от министъра на правосъдието (чл. 11, ал.2 от ЗПП). Останалите трима членове на НБПП са адвокати, избрани от Висшия адвокатски съвет (чл. 11, ал.3 от ЗПП). Националното бюро за правна помощ осъществява дейността си въз основа на Закона за правната помощ. Съгласно чл.12, т.5 и т.6 от ПУДНБПП председателят на Националното бюро за правна помощ утвърждава длъжностното разписание на администрацията, както и назначава и освобождава държавните служители и сключва и прекратява трудовите договори със служителите по трудови правоотношения от администрацията на НБПП.

Централният регистър на особените залози (ЦРОЗ) е юридическо лице на бюджетна издръжка със седалище София, второстепенен разпоредител с бюджетни кредити към министъра на правосъдието, създаден с чл.22 от Закона за особените залози (ЗОЗ), който администрира национален електронен регистър на особените залози. Ръководството на ЦРОЗ се осъществява от директор, който се назначава от министъра на правосъдието. Дейността на администрацията на ЦРОЗ е регламентирана в Правилник за устройството и дейността на Централният регистър на особените залози. Съгласно чл.3 от Правилник за устройството и дейността на Централният регистър на особените залози директорът ЦРОС разпорежда и отказва вписванията на обстоятелства в регистъра; ръководи и представлява централния регистър; назначава служителите на централния регистър.

Агенцията по вписваниятае създадена на 31 юли 2004г. с приемането на §27 от Закона за изменение и допълнение на Закона за кадастъра и имотния регистър и Устройствения правилник на Агенцията, приет с Постановление на Министерския съвет от 23.04.2007г. Съгласно Устройствения правилник на Агенцията по вписванията, агенцията се ръководи и представлява от изпълнителен директор (чл. 6, ал.1), който ръководи, координира и контролира изпълнението на функциите на агенцията, както и връзките с други органи и организации (чл. 6, ал.2, т.1). Изпълнителният директор се назначава от министъра на правосъдието, към който е създадена агенцията, съгласувано с министър-председателя. В правомощията на изпълнителния директор са включени задължения по утвърждаване на структурата на административните звена, длъжностното разписание и работните заплати, назначаване и освобождаване на държавните служители в агенцията, сключване и прекратяване на трудовите договори на работещите по трудово правоотношение в агенцията, както и утвърждаване на длъжностните характеристики на главния секретар и на длъжностите, които са му непосредствено подчинени.

Главна дирекция "Изпълнение на наказанията" (ГДИН) е специализирана административна структура, юридическо лице към министъра на правосъдието. Дейността й е регламентирана в Закона за изпълнение на наказанията и задържането под стража (ЗИНЗС). Съгласно чл.10, ал.1 от ЗИНЗС, министърът на правосъдието осъществява общо ръководство и контрол върху дейността по изпълнение на наказанията. Анализът на правомощията на министъра на правосъдието, предвидени в чл.10, ал.2 от ЗИНЗС, показва известна несамостоятелност в управлението на ГДИН. В т.15 е посочено особено важно правомощие, а именно, че министърът на правосъдието може да отменя незаконосъобразни и нецелесъобразни актове, издадени от главния директор на ГДИН и от ръководителите на териториалните й служби, по жалби на заинтересовани лица и по своя инициатива. В допълнение, министърът на правосъдието осъществява правомощията на работодател съгласно Закона за Министерството на вътрешните работи за държавните служители в Главна дирекция "Изпълнение на наказанията" и териториалните й служби; издава класификатор на длъжностите в системата на Главна дирекция "Изпълнение на наказанията" и териториалните й служби; определя структурите и щатовете, създава и закрива структурни служби в рамките на утвърдения бюджет и числен състав в Главна дирекция "Изпълнение на наказанията" и териториалните й служби; и определя длъжностите и категориите на служителите, които ги заемат в Главна дирекция "Изпълнение на наказанията" и в териториалните й служби (чл. 10, ал.2, т.т. 5-9 от ЗИНЗС).

Прякото ръководство и контролът върху дейността на местата за лишаване от свобода и пробационните служби се осъществяват от ГДИН, съгласно чл.12, ал.1 от ЗИНЗС.

Главна дирекция "Охрана" осъществява дейността по охрана на органите на съдебната власт, съгласно чл.391, ал.1 от Закона за съдебната власт (ЗСВ). Устройството и дейността на Главна дирекция "Охрана" се уреждат с правилник, издаден от министъра на правосъдието (чл. 391, ал.7 от ЗСВ). В чл.2, ал.2 от Правилника за устройството и дейността на Главна дирекция „Охрана” се посочва, че това е специализирана държавна структура. Организацията и управлението й и на нейните звена се създава и осъществява на принципа на централизма. Органи на управление на Главна дирекция „Охрана” са министърът на правосъдието и главният директор. Съгласно чл.8, ал.2 от Правилника за устройството и дейността на Главна дирекция „Охрана”, министърът на правосъдието осъществява правомощията на работодател съгласно Закона за Министерството на вътрешните работи на държавните служители в ГД "Охрана" и териториалните й звена, както и на работодател съгласно Закона за Министерството на вътрешните работи и Кодекса на труда за работещите по трудово правоотношение в ГД "Охрана" и териториалните й звена. Министърът на правосъдието утвърждава щатовете, структурата и длъжностите в ГД "Охрана" и издава класификатор на длъжностите в системата на ГД "Охрана", включително и определя техните йерархични нива.

Разглеждайки конкретно поставеното искане, следва да се отбележи, че съгласно чл.3, ал.1 и ал.2 от Закона за защита на личните данни (ЗЗЛД), администратор на лични данни е физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който сам или съвместно с друго лице определя целите и средствата за обработване на личните данни. Едновременно с това, администратор на лични данни е и физическо или юридическо лице, както и орган на държавната власт или на местното самоуправление, който обработва лични данни, видът на които, целите и средствата за обработване се определят със закон. В тези случаи администраторът или специфичните критерии за неговото определяне са нормативно уредени.

Администраторът на лични данни обработва личните данни самостоятелно или чрез възлагане на обработващ данните (чл. 3, ал.3 от ЗЗЛД), като и в двата случая администраторът осигурява спазването на принципите за обработване на лични данни, отразени в чл.2, ал.2 от ЗЗЛД.

Легално определение на понятието „обработващ лични данни” дава параграф 1, т.3 от Допълнителните разпоредби на ЗЗЛД, като по смисъла на тази разпоредба това е физическо или юридическо лице, държавен орган или орган на местно самоуправление, който обработва лични данни от името на администратора на лични данни. Съгласно чл.24, ал.4 от ЗЗЛД, отношенията между администратора и обработващия лични данни се уреждат с нормативен акт, писмен договор или с друг акт на администратора, в който се определя обемът на задълженията, възложени от администратора на обработващия данните. Когато в резултат от действия или бездействия на обработващия са причинени вреди, отговорност за тях носи солидарно и администраторът.

От направения преглед на правната рамка относно структурата, дейността и особено управлението, контрола и носенето на отговорност при разглежданите административни структури, може да се направи заключение, че Главна дирекция „Изпълнение на наказанията” и Главна дирекция „Охрана” осъществяват своята дейност под съвместното управление на министъра на правосъдието и съответния главен директор. Министърът на правосъдието е и страна по трудовите и служебните правоотношения със служителите от двете дирекции. От регламентиращите дейността на Главна дирекция „Изпълнение на наказанията” и на Главна дирекция „Охрана” нормативни актове става ясно, че общото ръководство и контрол на дейността при тях се осъществява от министъра на правосъдието. Като управляващ орган на тези структури, той носи отговорност за причинени вреди от незаконосъобразното им обработване. От друга страна, в чл.24, ал.6 от ЗЗЛД е посочено, че обработващият данни може да ги обработва само по указание на администратора, освен ако в закон не е предвидено друго. Следователно ГДИН и ГДО изпълняват ролята на обработващи лични данни по възлагане с нормативен акт и договор с администратора на лични данни, който следва да е вписан в Регистъра на администраторите на лични данни и на водените от тях регистри на лични данни, който се поддържа от Комисията за защита на личните данни на основание чл.10, ал.1, т.2 от ЗЗЛД. Същата позиция КЗЛД поддържа, издавайки задължителни предписания след извършени проверки на ГДИН и ГДО (писма на КЗЛД с рег.№П-4972/02.10.2012г. и №П-6366/28.11.2012г.).

Останалите три структури – Националното бюро за правна помощ, Централният регистър на особените залози и Агенцията по вписванията, са административни органи със самостоятелно управление, създават и поддържат регистри, регламентирани със закон и извършват обработване на лични данни на собствено основание като целите са определени в рамките на закона. От изложените съображения може да се направи заключение, че има основания те да заявят вписване в Регистъра на администраторите на лични данни и на водените от тях регистри, който се поддържа от Комисията за защита на личните данни.

Обстоятелството, че Националното бюро за правна помощ, Централният регистър на особените залози, Агенцията по вписванията, Главна дирекция "Охрана" и Главна дирекция "Изпълнение на наказанията" са второстепенни разпоредители с бюджетни кредити няма отношение спрямо преценката кои от административните структури притежават качеството на администратор на лични данни и кои са обработващи лични данни по смисъла на Закона за защита на личните данни. Наличието на възлагане обработването на лични данни, с което се определят конкретния обем на задълженията, от администратора на лични данни (Министерство на правосъдието) на обработващия лични данни, определя характеристиката на „обработващ лични данни” за Главна дирекция „Изпълнение на наказанията” и Главна дирекция „Охрана”.

Съгласно чл.23, ал.1 от ЗЗЛД, администраторите на лични данни следва да предприемат необходимите технически и организационни мерки, за да защитят данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване. Предвидените мерки трябва да съответстват на новоприетата Наредба №1 от 30 януари 2013г. за минималното ниво на технически и организационни мерки и допустимия вид защита на личните данни.

Във връзка с горното и на основание чл.10, ал.1, т.4 от Закона за защита на личните данни,Комисията за защита на лични данни изразява следното

Агенцията по вписванията, Националното бюро за правна помощ и Централният регистър на особените залози притежават качеството на администратори на лични данни по смисъла на чл.3, ал.1 от Закона за защита на личните данни с всички произтичащи от това права и задължения.

Главна дирекция "Охрана" и Главна дирекция "Изпълнение на наказанията" притежават качеството на „обработващи лични данни” спрямо администратора на лични данни– Министерството на правосъдието, предвид съществуващите към настоящия момент правоотношения, уредени съответно със Закона за изпълнение на наказанията и задържането под стража и Закона за съдебната власт, както и устройствените им правилници.