Становище на КЗЛД относно искане на членове на Управителния съвет на „Ч.Р.Б.” АД по въпроси, касаещи приложението на Закона за защита на личните данни

Комисията за защита на личните данни (КЗЛД) в състав: Венета Шопова, Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков на заседание, проведено на 15.05.2012 г., разгледа искане с вх. № П603/17.04.2012 год. от А.Д. и С.Д.А. – членове на Управителния съвет на „Ч.Р.Б.” АД, овластени да представляват дружеството, с което поставят въпроси относно Закона за енергията от възобновяеми източници (ЗЕВИ – в сила от 03.05.2011 г.)

Посочено е, чев Раздел II, глава IV „Производство на енергия от възобновяеми източници” е предвиден нов ред за присъединяване на обекти за производство на електрическа енергия от ВЕИ. Съгласно чл.23, ал.7 от ЗЕВИ (в сила от 01.07.2012 г.) „Операторите на преносната и на разпределителните електрически мрежи изпращат в ДКЕВР и публикуват на своите интернет страници:

1. становищата по ал. 3 и 5;

2. информация за върнатите заявления по ал. 6;

3. информация, когато одобрените електрически мощности за съответния район бъдат изчерпани.”

Това са становища относно допустимостта на подадените заявления, както и становища относно условията и начина за присъединяване.

Представляващите дружеството посочват, че в становищата, подлежащи на публикуване, се съдържат и лични данни на физически лица – имена и адрес за кореспонденция на получателя.

Информират, че ЗЕВИ не съдържа изрични указания относно публикуването на становищата и по-конкретно дали е допустимо да не бъдат публикувани в цялост, а частично– така, че да не съдържат лични данни на физически лица.

Поставят въпроса и за принципния проблем по отношение на информацията по чл.23, ал.7, т.2 от ЗЕВИ. Считат, че буквалното тълкуване на разпоредбата води до извода, че на Интернет страницата на разпределителното предприятие следва да се публикуват върнатите заявления в тяхната цялост, включително и съдържащите се в тях лични данни.

Представляващите „Ч.Р.Б.” АД се обръщат към Комисията за становище относно следните въпроси:

– Дали при сега действащата редакция на чл.23, ал.7 от ЗЕВИ следва да се приеме, че е налице условието за допустимост на обработването на лични данни по смисъла на чл.4, ал.1, т.1 от Закона за защита на личните данни (ЗЗЛД) – обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни, както и включва ли това и публикуването на становищата в Интернет;

– Следва ли, за целите на информираността на титулярите на данните, в текста на заявлението да се посочи и последващото публикуване на становищата в Интернет, тъй като по този начин към момента на подаване на заявлението лицата ще бъдат информирани за задължението на разпределителното предприятие да публикува становището във връзка с подаденото заявление;

– Необходимо ли е, наред със съществуващите регистри, поддържани от „Ч.Р.Б.” АД, да бъде обявен и регистър за обработваните лични данни на подателите на такива заявления, или е налице хипотезата на чл.17а, ал.1, т.1 от ЗЗЛД, при наличието на която отпада задължението за регистрация, тъй като регистърът се води по силата на нормативен акт, предназначен да осигури обществена информация и достъпът до него е свободен.

С оглед изразяване на становище по изложения казус, на първо място следва да се анализират правните фигури на участниците в процеса по присъединяване на енергийни обекти за производство на електрическа енергия от възобновяеми източници, регулиран от разпоредбите на ЗЕВИ.

От една страна това е операторът на съответната електрическа мрежа, и от друга – лицето, което желае да изгради енергиен обект за производство на електрическа енергия от възобновяеми източници или да извърши разширение на съществуваща електрическа централа или да увеличи инсталираната електрическа мощност на централа за производство на електрическа енергия от възобновяеми източници.

Съгласно чл.39, ал.1, т.1 от Закона за енергетиката (ЗЕ), дейността относно производството на електрическа енергия подлежи на лицензиране по този закон. В чл.40, ал.1 от ЗЕ е посочено, че лицензия се издава на юридическо лице, регистрирано по Търговския закон (ТЗ), т.е. търговец по смисъла на ТЗ.

Също така в ЗЕ са предвидени изключения, при наличието на които не се изисква издаването на лицензия. Съгласно чл.39, ал.4 от ЗЕ не се издава лицензия за производство на електрическа енергия от лице, притежаващо централа с обща инсталирана електрическа мощност до 5 МW. В този случай законът „говори” общо, без да конкретизира дали това лице следва да бъде ЮЛ или ФЛ. Следователно, включително и физически лица, могат да осъществяват дейност по производство на електрическа енергия чрез енергийни обекти с мощност до 5 МW.

Анализът на посочените законови текстове е необходим с оглед на това да бъде направено разграничение между ЮЛ и ФЛ, кандидати за изграждане или разширение на енергийни обекти за производство на електрическа енергия от възобновяеми източници.

Поради обстоятелството, че ЗЗЛД урежда защитата на правата на физическите лица при обработването на личните им данни (чл.1, ал.1 от ЗЗЛД), по-нататък,при разглеждането на изложения казус, ще се имат пред вид само случаите, в които физически лица подават до оператора на съответната електрическа мрежа заявления за присъединяване.

Целта на ЗЗЛД е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Юридическите лица не са от категорията субекти, чиито данни се защитават от ЗЗЛД. Съдържащите се в заявленията и становищата имена на представляващите търговските дружества, са посочени в това им качество, а адресите за кореспонденция, са адресите на юридическите лица. Имената на представляващите търговските дружества и към момента фигурират в публичното пространство като част от информацията, съставляваща публичния търговски регистър. Съгласно разпоредбата на чл.11 във връзка с чл. 32 от Закона за търговския регистър (ЗТР), търговският регистър е публичен и всеки може да извършва справки за вписано обстоятелство или обявен акт.

По първия въпрос от искането за становище:

Публикуването в Интернет на становища, съдържащи лични данни на физически лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ, представлява “Обработване на лични данни”, съгласно легалната дефиниция, посочена в § 1, т.1 от Допълнителните разпоредби на ЗЗЛД.

В тази хипотеза по отношение законосъобразните условия, при наличието на които се допуска обработването на личните данни, следва да намерят приложение разпоредбите на чл.4, ал.1 от ЗЗЛД. Този текст урежда алтернативни основания, при наличието на които се допуска обработването на лични данни.

Според чл.4, ал.1, т.1 от ЗЗЛД обработването на лични данни се допуска, ако е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни – „Ч.Р.Б.” АД.

В конкретния случай може да се приеме, че ЗЕВИ е специалният закон, който вменява такова задължение на администратора.

От друга страна правомерното обработване на лични данни е необходимо да се извършва в съответствие със заложените в чл.2, ал.2 от ЗЗЛД принципи на законосъобразност, целесъобразност и пропорционалност на данните.

Във всеки конкретен случай на обработване на лични данни е необходимо да се следи за баланса между значимостта на обществения интерес, във връзка с който се извършва това обработване и степента, до която се засяга правото на неприкосновеност на личния живот на физическото лице, за което се отнасят данните.

Това налага информацията, свързана с личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ, да се публикува след преценка относностепента на гарантиране на справедливо обработване на данните по отношение на физическото лице, за което се отнасят.

Във връзка с изложеното и с оглед спазване на нормативните задължения, съгласно ЗЕВИ и ЗЗЛД, администраторът на лични данни може да публикува становищата по чл.23, ал.3 и ал.5 от ЗЕВИ, след като личните данни бъдат приведени във вид, който не позволява идентифициране на съответните физически лица, като например анонимизиране чрез инициали.

По втория въпрос от искането за становище:

В случай, че администраторът на лични данни предприеме съответните технически и организационни мерки относно анонимизиране на личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ, преди публикуването на становищата по чл.23, ал.3 и ал.5 от ЗЕВИ, то тогава отпада необходимостта от информиране на титулярите на данните за последващото публикуване на становищата в Интернет.

Посоченото в искането на „Ч.Р.Б.” АД, че буквалното тълкуване на разпоредбата на чл.23, ал.7, т.2 от ЗЕВИ води до извода, че на Интернет страницата на дружеството следва да се публикуват върнатите заявления в тяхната цялост, включително и съдържащите се в тях лични данни, не може да бъде споделено. Съгласно посочената разпоредба операторите на преносната и на разпределителните електрически мрежи публикуват на своите Интернет страници информация за върнатите заявления по чл.23, ал.6 от ЗЕВИ, а именно информация за подадените и неразгледани заявления след изчерпване на одобрените електрически мощности за съответния район. Законът не „говори” за информация относно съдържанието на заявленията, за да се прилага буквално тълкуване в смисъл, че върнатите заявленията следва да се публикуват в тяхната цялост. Законодателят има пред вид информация относно броя на подадените и неразгледани заявления, както и информация относно причините за това.

Отговорът на третия въпрос се позовава на посоченото относно публикуването на становищата по чл.23, ал.3 и ал.5 от ЗЕВИ – въпрос номер едно от искането за становище.

В случай, че личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ бъдат анонимизирани, преди публикуване на Интернет страницата на „Ч.Р.Б.” АД, не следва да се приеме, че достъпът до личните данни на посочените физически лица е свободен. Следователно няма да бъде налице хипотезата на чл.17а, ал.1, т.1 буква а) от ЗЗЛД, а именно отпадане на задължението за регистрация, тъй като регистърът се води по силата на нормативен акт, предназначен да осигури обществена информация и достъпът до него е свободен.

При всички случаи администраторът на лични данни следва да предприеме необходимите технически и организационни мерки, съгласно чл.23 от ЗЗЛД, като първоначалната стъпка за това е анонимизиране на личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ, преди публикуването на становищата по чл.23, ал.3 и ал.5 от ЗЕВИ на Интернет страницата на дружеството.

С оглед на гореизложеното и на основание чл. 10, ал.1, т.4 от ЗЗЛД Комисията за защита на личните данни изразява следното

Администраторът на лични данни „Ч.Р.Б.” АД следва да публикува становищата по чл.23, ал.3 и ал.5 от ЗЕВИ, след като личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ бъдат анонимизирани.

Задължението за информиране на всеки един от титулярите на лични данни за последващото публикуване на становищата в Интернет отпада, в случай, че администраторът предприеме съответните технически и организационни мерки относно анонимизиране на личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ, преди публикуването на становищата по чл.23, ал.3 и ал.5 от ЗЕВИ.

С цел по-добра информираност на заявителите, „Ч.Р.Б.” АД може да посочи на своята интернет страница обстоятелството, че във връзка с изпълнение на нормативно задължение, становищата по чл.23, ал.3 и ал.5 от ЗЕВИ ще бъдат публикувани след анонимизиране на личните данни на физическите лица-заявители.

След изчерпване на одобрените електрически мощности за съответния район, операторите на преносната и на разпределителните електрически мрежи публикуват на своите Интернет страници информация за броя на подадените и неразгледани заявления по чл.23, ал.6 от ЗЕВИ, без да публикуват заявленията в тяхната цялост.

Хипотезата на чл.17а, ал.1, т.1 буква а) от ЗЗЛД не е налице, в случай, че личните данни на физическите лица-заявители по смисъла на чл.23, ал.1 от ЗЕВИ бъдат анонимизирани, преди публикуване на становищата по чл.23, ал.3 и ал.5 от ЗЕВИ в Интернет, тъй като в този случай достъпът до личните данни на посочените физически лица не е свободен.