Решение по жалба вх. № 4821/ 07.10.2011 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венета Шопова и членове: Валентин Енев, Мария Матева и Веселин Целков на открито заседание, проведено на 08.02.2012 г., на основание чл. 10, ал. 1, т. 7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег.№4821/07.10.2011г., подадена от Р.С.А. срещу МБАЛ „С.И.Р.” ЕАД-София.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбата отговаря на нормативно установените изисквания, поради което се явява редовна. С решение на КЗЛД, взето на закрито заседание, проведено на 18.01.2012г., жалбата е обявена за допустима, като ответна страна в административното производство е конституирана МБАЛ „С.И.Р.” ЕАД-София.

В КЗЛД е постъпило искане от д-р Р.С.А., отправено до директора на УМБАЛ „С.И.Р.” с правно основание чл.26 и чл.28а от ЗЗЛД.

Р.С.А. е поискал от администратора на лични данни да му предостави достъп до личните му данни.Посочено е в искането, че достъпа до личните данни, до които се иска се съдържат на аудио и видео носител и представляват записи от камерите, монтирани в операционните зали. Д-р Р.С.А. твърди, че обработването на свързаните с него лични данни е извършено без наличие на изричното му съгласие и желае информацията, която съдържа личните му данни да не бъде обработвана, да не се предоставя на трети лица и да бъде унищожена.

В условията на служебното начало, залегнало в административното производство с писма на Председателя на КЗЛД е изискано от МБАЛ „С.И.Р.” ЕАД-София да представи решението си по повод депозираното искане с правно основание чл.28а от ЗЗЛД.

На 24.10.2011г. в КЗЛД е постъпила жалба от Р.С.А. срещу отказ на УМБАЛ „С.И.Р.” да му предостави достъп до личните му данни. В жалбата се сочи, че в последния ден от срока, в който администратора на лични данни е следвало да се произнесе по искането за достъп и унищожаване на лични данни му е изпратил писмено уведомление, което по своята същност представлява отказ.

В жалбата се поставят и въпроси, относно дали е законно видеонаблюдението и видеозаписването в операционните зали, изпълнил ли е администратора на лични данни, задължението си по чл.17 от ЗЗЛД да регистрира пред комисията регистър, в който ще се обработват лични данни от видеонаблюдение и видеозаснемане и може ли администратор на лични данни да предоставя или разкрива, уронващи престижа и накърняващи достойнството факти или обстоятелства от събраните лични данни на трети лица без да е уведомил за това си действие физическото лице или без разрешение на КЗЛД.

Към жалбата като доказателство е приложено писмено уведомление от МБАЛ „С.И.Р.” ЕАД-София от 21.10.2011г. и възражение от Р.С.А. от 24.10.2011г.

На 24.10.2011г. в КЗЛД е постъпило искане от УМБАЛ „С.И.Р.”ЕАД, с което се изисква изразяване на становище на Комисията на основание чл.10, ал.1, т.4 от Закона за защита на личните данни, относно постъпили искания от д-р Р.С.А. с вх.№3699/07.10.2011г. и от д-р Г.К. Г. с вх. №3733/10.10.2011 г. за предоставяне на достъп до аудио и видео информация, отнасяща се до тях, записана с камери за видеонаблюдение в операционните зали на болницата.

На свое редовно заседание, проведено на 9.11.2011г., КЗЛД е изразила становище по искането на администратора на лични данни, като е приела, че:

1. Видеозаписите от средствата за наблюдение съдържат "лични данни", тъй като съдържат информация, която по смисъла на чл. 2, ал.1 от Закона за защита на личните данни е способна да разкрие физическата идентичност на лицето, което е записано.

2. На основание чл.26, ал.1 от Закона за защита на личните данни, всяко физическо лице има право на достъп до отнасящите се за него лични данни (вкл. записани чрез камери за видеонаблюдение). При упражняване правото си на достъп по чл.28, ал.1 от ЗЗЛД, физическото лице има право по всяко време да поиска от администратора на лични данни: 1. Потвърждение за това, дали отнасящите се до него данни се обработват, информация за целите на това обработване, за категориите данни и за получателите или категориите получатели, на които данните се разкриват; 2. Съобщение до него в разбираема форма, съдържащо личните му данни, които се обработват, както и всяка налична информация за техния източник; 3. Информация за логиката на всяко автоматизирано обработване на лични данни, отнасящи се до него, поне в случаите на автоматизирани решения по чл.34б.Администраторът на лични данни предоставя цитираната информация безплатно.

3. Достъпът до лични данни на отделно физическо лице по т.2, записани чрез камери за видеонаблюдение, може да бъде предоставенпри техническа възможност за временно заличаване на личните данни на трети лица, които биха могли да бъдат разкрити при осъществяване правото на достъп. В случай, че не е технически възможно да бъдат временно заличени личните данни на трети лица, единственото правно основание за осъществяване на правото на достъп би било наличието на изрично съгласие от всички останали физически лица – предмет на конкретното видеонаблюдение.

4. Съгласието на физическите лица за обработване на техните лични данничрез видеозапис от средства за видеонаблюдение трябва да е дадено предварително преди започване обработването на личните данни (преди стартирането на записа от видоенаблюдението) и да отговоря на следните изисквания съгласно §1, т.13 от Допълнителните разпоредби на ЗЗЛД: да е свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани.

5. На основание чл.28а от Закона за защита на личните данни, физическото лице има право по всяко време да поиска от администратора да: 1. Заличи, коригира или блокира негови лични данни, обработването на които не отговаря на изискванията на този закон; 2. Уведоми третите лица, на които са били разкрити личните му данни, за всяко заличаване, коригиране или блокиране, извършено в съответствие с т.1, с изключение на случаите, когато това е невъзможно или е свързано с прекомерни усилия.Правото на достъп по чл.26 и правата по чл.28а се осъществяват с писмено заявление до администратора на лични данни, като същото се отправя лично от физическото лице или от изрично упълномощено от него лице чрез нотариално заверено пълномощно.

6. Съгласно чл.32, ал.1 от Закона за защита на личните данни, в случаите по чл.28, ал.1 (при упражняване правото на достъп) администраторът на лични данни или изрично оправомощено от него лице разглежда заявлението по чл.29и се произнася в 14-дневен срок от неговото подаване.

Жалбата епроцесуално допустима, поради следните съображения:

В чл.38, ал.1 от ЗЗЛД е определен преклузивен срок, в който физическото лице има право да сезира Комисията за защита на личните данни. От изложените в жалбите твърдения и от приложените към тях доказателства може да се приеме, че са подадени в срок.

Съгласно чл.27, ал.2 от АПК административният орган е длъжен да провери при постъпване на искането предпоставките за допустимостта на жалбата, относно производството по издаване на индивидуалния административен акт.

Със Закона за защита на личните данни се урежда защитата на физическите лица при обработване на личните им данни, от администраторите на лични данни, дефинирани в чл.3. Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата.

Администратор на лични данни, по смисъла на чл. 3, ал. 1 от ЗЗЛД в разглеждания случай е МБАЛ „С.И.Р.” ЕАД-София е изпълнил задължението си по чл.17 от ЗЗЛД, като е подал заявление за регистрацията му като администратор на лични данни.

С чл. 1, ал. 2 от ЗЗЛД се гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Обработването на лични данни от страна на администратора на лични данни, съгласно чл.2, ал.1, т.1 от ЗЗЛД, следва да бъде законосъобразно и добросъвестно. В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Едно от тези условия е изрично съгласие на физическото лице, за което се отнасят данните.

Жалбоподателят има правен интерес да сезира Комисията за защита на личните данни и да потърси защита на нарушените си права.

Видно от събраните към административната преписка доказателства се установява, че има валидно подадено заявление за достъп и унищожаване на лични данни, от физическо лице до администратор на лични данни, отговарящо на законовите изисквания.

По преписката се съдържат данни, че на 21.10.2011г. с писмено уведомление, администраторът на лични данни е обективирал отказ за достъп до лични данни, които се съдържат на аудио носител с мотива, че те не съществуват и извършваното видеонаблюдение е само визуално. По отношение на искането за предоставяне на лични данни, съдържащи се на записи, направени с видеокамери в операционните зали по преписката липсва информация за произнасяне, както и по искането за унищожаване на личните данни.

Във връзка с направените констатации, Комисията е изискала допълнителни доказателства от администратора на лични данни.

МБАЛ „С.И.Р.” ЕАД-София с писмено уведомление рег.№3699/09.12.2011г. е направила отказ от достъп до лични данни. Мотивът на постановеният отказ е, че липсва техническа възможност за заличаване на личните данни на трети лица, които също са на кадрите. Уточнява се, че за да се получи достъп до исканата информация следва да има съгласието на останалите лица, които са заснети.

Постановен е и отказ за достъп до лични данни, съдържащи се във видеозаписи за периода от 01.08.2011г. до 26.09.2011г. с мотив, че записите от камерите са съхраняват в рамките само на 30 дни от заснемането, след което същите автоматично се изтриват. Сочи се, че последният ден, в които е било извършвано видеонаблюдение е 26.09.2011г., от което следва, че на 26.10.2011г. кадрите са автоматично изтрити. Уведомлението е връчено лично срещу подпис на Р.С.А. на 20.12.2011г.

На откритото заседание на КЗЛД, проведено на 08.02.2012г., страните са редовно и своевременно уведомени по реда на АПК. Жалбоподателят – редовно уведомен, не се явява, не изпраща представител. За УМБАЛ "С.И.Р." ЕАД се явява юрисконсулт Й.Г.Б., с изрично пълномощно да представлява болницата по конкретното административно производство.

В административното производство жалбоподателят не представя доказателства и не оспорва твърденията на ответна страна, че заснетите записи от видеокамерите в операционните зали на клиниката по неврохирургия към болницата са автоматично изтрити след изтичането на 30-дни от тяхното заснемане.

От събраните по административната преписка доказателства и служебно известните на Комисията се установява, че последната дата, на която е извършвано видеозаснемане в операционните зали на болницата е 26.09.2011г. Служебно известен е констативен протокол №КП 27-248/17.10.2011г. на комисия, назначена от ИА „Медицински одит”. В него е установено, че наблюдението се извършва в реално време и качеството на изображението не позволява идентификацията както на работещите в операционните зали, така и на пациентите. Установено е, че изображението на камерите се предопределя от позиционирането на операционната маса, като възможностите са две: към главата на лежащия на масата пациент и странично към долната част на тялото. „в първия случай от предоставените и разгледани от комисията записи се установи, че изображението не позволява детайлизиране на пола, лицето както и части от тялото на пациента”. „От записите проверяващия екип не може да направи идентификация на работещите в операционната зала.” „При втората позиция на камерите предоставените изображения на пациентите могат да се проследят по детайлно като пол, лице и телесни части, но също не позволява идентификация на работещите в операционната зала.” „При разглеждането на предоставените записи може да се установи времетраенето на всички действия и процедури по отношение на пациента, без да може да се определи часът на започването им. „На самият запис няма отбелязана дата и час”.

В констативният протокол, както и от извършената проверка на администратора на лични данни от проверяващ екип на КЗЛД се установява, че камерите в операционните зали на клиниката по неврохирургия работят от 01.08.2011г.

От служебно известните на Комисията правила за извършване на видеонаблюдението в операционните зали на клиниката по неврохирургия на УМБАЛ С.И.Р.” ЕАД, София се установява, че записите от камерите се съхраняват в рамките на 30 дни от заснемането им и след изтичането на този срок, записът автоматично се изтрива. Предвидена е възможност, при наблюдението в реално време на записите от оторизирано за това лице да бъде констатирано нарушение. При констатацията, координаторът по медицинските дейности уведомява изпълнителният директор на болничното заведение, който от своя страна може да вземе решение за направата на копие на записа от камерите или отказ.

Процесуалният представител на жалбоподателя в откритото заседание е заявил, че по отношение на доктор Р.С.А. не е констатирано нарушение на работата му, от което следва, че не е правено и копие на записа от камерите.

Във връзка с изложеното, КЗЛД приема, че жалбата на Р.С.А. срещу отказ на УМБАЛ "С.И.Р." ЕАД до достъп до свързаните с него лични данни е неоснователна и следва да бъде оставена без уважение.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата е неоснователна, поради което на основание чл. 10 ал. 1, т. 7 от ЗЗЛД и чл.38, ал.2 от Закона за защита на личните данни,

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София град.