В Комисията за защита на личните данни (КЗЛД) постъпи сигнал относно наложена практика по публикуване на интернет страниците на общините на обявления за наложени административни наказания „обществено порицание” на непълнолетни лица. Чрез тях се оповестяват публично, до неограничен брой лица и за неограничен срок, имената на непълнолетните лица, данни за точния им адрес и извършеното от тях нарушение. Отчитайки високата обществена значимост на сигнала, както и необходимостта от привеждане на изпълнението на административното наказание „обществено порицание”, съгласно действащия Закон за административните нарушения и наказания (ЗАНН), в съответствие с нормативните изисквания за защита на личните данни, КЗЛД счита, че се налага да бъдат дадени навременни и конкретни указания към ангажираните с тази дейност администратори на лични данни (административни органи) – административнонаказващите органи, общините и създадените към тях местни комисии за борба срещу противообществените прояви на малолетните и непълнолетните.
I. Недопустимост за публикуване в интернет
В изпълнение на чл. 12 от ЗАНН административните наказания се налагат с цел да се предупреди и превъзпита нарушителят към спазване на установения правен ред и да се въздейства възпитателно и предупредително върху останалите граждани. Наказанието „обществено порицание” се изразява в публично порицание на нарушителя пред трудовия колектив, където работи, или пред организацията, в която членува (чл. 14 ЗАНН). Когато е наложено наказанието „обществено порицание”, препис от наказателното постановление или решението на съда се изпраща на съответната обществена организация, в която наказаният членува, или на ръководството на предприятието, учреждението или организацията, където той работи, съобразно указаното в наказателното постановление или решението на съда (чл. 75 ЗАНН). Изпълнението на наказанието става чрез прочитане на наказателното постановление или решението на съда пред събрание на обществената организация или трудовия колектив, на което се поканва да присъства и нарушителят (чл. 76 ЗАНН).
Горепосочените норми определят както начините за изпълнение на наказанието, така и кръга от лица, пред които може да се изпълни. Видно от законовите текстове кръгът от лица, пред които може да се оповести наказанието, е свързан с трудовия колектив или обществената организация, в която наказаният членува (т.е. той е законово ограничен). Съгласно чл. 10 от Регламент (ЕС) 2016/679 обработването на лични данни, свързани с присъди и нарушения или със свързаните с тях мерки за сигурност, въз основа на чл. 6, пар. 1 от същия, се извършва само под контрола на официален орган или когато обработването е разрешено от правото на Съюза или правото на държава членка, в което са предвидени подходящи гаранции за правата и свободите на субектите на данни. Видно от нормата на чл. 76 от ЗАНН законодателят не е предвидил хипотеза, при която изпълнението на наказанието „обществено порицание” да става по друг начин, неопределен в закона, а именно чрез обявяване в интернет, респ. не е въвел и подходящи гаранции за правата и свободите на субектите на данни, които да отчитат рисковете от подобно обработване на лични данни чрез публичното им разпространение.
Публикуването на лични данни в интернет, по подразбиране, представлява действие по разгласянето им пред неограничен кръг от лица от цял свят (вж. Решение от 06.11.2003 г. на Съда на ЕС по дело Bodil Lindqvist, C‑101/01). От гледна точка на защитата на личните данни, такова публикуване винаги е свързано с повишени рискове за основните права и свободи на физическите лица. Тези рискове могат да доведат до физически, материални или нематериални вреди, дискриминация, кражба на самоличност или измама с фалшива самоличност, финансови загуби, накърняване на репутацията, нарушаване на поверителността на личните данни, защитени от професионална тайна, или други значителни икономически или социални неблагоприятни последствия. В тези случаи субектите на данни могат да бъдат лишени от свои права и свободи, както и от упражняване на контрол върху своите лични данни, особено когато се обработват лични данни, които разкриват расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в професионална организация. Същото се отнася и за обработването на генетични данни, данни за здравословното състояние или данни за сексуалния живот, както и за присъди и нарушения или свързани с тях мерки за сигурност. Рискове могат да възникнат и когато се оценяват лични аспекти, по-специално анализиране или прогнозиране на аспекти, отнасящи се до представянето на работното място, икономическото положение, здравето, личните предпочитания или интереси, надеждността или поведението, местонахождението или движенията в пространството, с цел създаване или използване на лични профили. Когато се обработват лични данни на уязвими лица, по-специално на деца или когато обработването включва голям обем лични данни и засяга голям брой субекти на данни е задължително да се въведат и прилагат подходящи мерки за тяхната сигурност (съобр. 75 на Регламент (ЕС) 2016/679).
В тази връзка, следва да се има и предвид, че в съответствие с чл. 2 от Конвенцията на ООН за правата на детето дискриминацията е недопустима. Рискът от възникване на дискриминация се отчита и от Общ коментар № 101 (2007) към Конвенцията, озаглавен „Правата на децата при правосъдие спрямо ненавършили пълнолетие лица”, като се посочва, че много намиращи се в конфликт със закона деца са също така и жертви на дискриминация, например по отношение достъпа до образование или до пазара на труда. В този смисъл, националното ни законодателство въвежда изискване за закрила на личността на детето, по силата на което сведения и данни за дете не се разгласяват без съгласието на неговите родители или законни представители (арг. чл. 11а от Закона за закрила на детето). Балансираната защита на конкуриращите се права и интереси следва да се води от принципа за висшия интерес на детето, прогласен от чл. 24 от Хартата на основните права на Европейския съюз2 (ХОПЕС), още повече, че в конкретния случай законодателят е преценил, че административните нарушения се характеризират с по-ниска степен на обществена опасност.
По повод публикуването в интернет съществува и друга заплаха. Обработване на лични данни, извършвано от лице „което управлява интернет търсачка, може да засегне в значителна степен основните права на зачитане на личния живот и на защита на личните данни, когато търсенето с помощта на тази търсачка се осъществява въз основа на името на физическо лице, при положение че посоченото обработване на данни позволява на всеки потребител на интернет да получи чрез списъка на резултатите структурирано изложение на информация относно лицето, потенциално свързана с редица аспекти на личния му живот, която може да се намери в интернет и която без посочената търсачка не би могла или само трудно би могла да бъде обединена, и това да му позволи да изгради повече или по-малко подробен профил на съответното лице”3. Такова профилиране може да доведе до нежелана оценка на личните аспекти във връзка с дадено физическо лице, анализирането или прогнозирането на различни аспекти, имащи отношение към резултатите в образованието или работата на субекта на данни, икономическото състояние, здравето, личните предпочитания или интереси, благонадеждността или поведението, местоположението или движенията, когато то поражда правни последствия по отношение на лицето или го засяга също толкова значително. Това засягане обаче не е могло да бъде преценено от законодателя към момента на въвеждането на наказанието в нормативната уредба, също както и неговите правни последици.
По тези съображения, в случаите, когато наказанието „обществено порицание” не може да се изпълни по реда и условията на чл. 76 от ЗАНН, информация за него трябва да се обявява единствено на определените за това места (напр. информационни табла) в сградите на общините.
II. Свеждане на данните до минимум
Тъй като обявяването на информация за наложеното административно наказание „обществено порицание”, само́ по себе си, представлява операция по обработване на лични данни, приложение намират принципите, прогласени в чл. 5 от Регламент (ЕС) 2016/679. В конкретния случай, личните данни следва да се оповестяват за конкретни, изрично указани и легитимни цели (изпълнение на въпросното наказание) и не трябва да се обработват по-нататък по начин, несъвместим с тези цели. Личните данни, които се оповестяват при изпълнение на наложено наказанието „обществено порицание”, трябва да бъдат подходящи, свързани със и ограничени до строго необходимото за постигане целите на наказанието.
Законодателят е предвидил, че по отношение на непълнолетните административното наказание глоба се заменя с обществено порицание (чл. 15, ал. 2 ЗАНН). При обявяване на наказанието „обществено порицание” обаче, винаги следва да се съблюдава обемът от данни, който се разкрива, така че да не се надхвърлят целите на самото наказание. Неограничаването на оповестените данни води до несъразмерност и значително по-тежки последици за наказаното лице, отколкото при налагане на глоба на пълнолетно лице – ефект, който не се цели от ЗАНН и в същото време противоречи на изискванията на Регламент (ЕС) 2016/679. Така например разкриването на информация, в пълнота, за постоянния/настоящия адрес на наказаното лице, може да създаде заплаха от саморазправа, проявяване на интерес от страна на педофили или други форми на противоправна дейност.
Ето защо данните, които се оповестяват във връзка с изпълнението на наказанието, трябва да се ограничат до строго необходимото, както следва:
– собствено, бащино и фамилно име на наказаното лице;
– общината/населеното място по постоянен/настоящ адрес на наказания, без да се обявява информация за точния му адрес;
– описание на извършеното нарушение, включително правната му квалификация;
– информация за административнонаказващия орган.
При изпълнение на наложено административно наказание „обществено порицание” не трябва да се разкрива информация за ЕГН, дата и място на раждане, номер на документ за самоличност, точен адрес, лични данни на трети лица и други лични данни, които нямат връзка с целите на наказанието.
III. Ограничение на срока
Когато наложено административно наказание „обществено порицание”, обективирано в наказателно постановление, се изпраща за изпълнение на общините/ местните комисии за борба срещу противообществените прояви на малолетните и непълнолетните (МКБППМН) към тях, последните, в качеството им на администратори на лични данни, трябва да го обявяват само на определени за това места (напр. информационни табла) в сградите на общините, за срок, който да позволява идентифицирането на наказаното лице, но не по-дълъг от необходимото за постигане на целите на наказанието. Така например продължителният срок на публикуване може съществено да засегне възможностите на лицето да си намери подходяща работа, след настъпване на пълнолетие, както и да насочи претенциите си срещу администратора, засегнал правата му.
Доколкото нормата на чл. 76 от ЗАНН предвижда изпълнението на наказанието „обществено порицание” да става чрез прочитане (т.е. еднократен във времето акт), когато се прибягва до изпълнение чрез общините, последните, в качеството им на администратори на лични данни, трябва да ограничат оповестяването за срок от 1 месец.
По тези съображения и на основание чл. 58, пар. 6 от Регламент (ЕС) 2016/679 във връзка с чл. 10а, ал. 2, т. 2 от Закона за защита на личните данни, КЗЛД дава следните
УКАЗАНИЯ:
1. Когато наложено административно наказание „обществено порицание” се изпраща за изпълнение на общините/МКБППМН към общините, последните, в качеството им на администратори на лични данни, не трябва да го обявяват на своите интернет страници.
2. Информация за наложено административно наказание „обществено порицание” трябва да се обявява единствено на определените за това места (напр. информационни табла) в сградите на общините. При обявяването ѝ по този начин общините могат да разкриват само личните данни, които са строго необходими и пропорционални за нуждите на изпълнение на наказанието, респ. за постигането на неговите цели, а именно:
– собствено, бащино и фамилно име на наказаното лице;
– общината/населеното място по постоянен/настоящ адрес на наказания, без да се обявява информация за точния му адрес;
– описание на извършеното нарушение, включително правната му квалификация;
– информация за административнонаказващия орган.
3. При изпълнение на наложено административно наказание „обществено порицание” не трябва да се разкрива информация за ЕГН, дата и място на раждане, номер на документ за самоличност, точен адрес, лични данни на трети лица и други лични данни, които нямат връзка с целите на наказанието.
4. Обявлението трябва да е видно на мястото по т. 2 за срок от 1 месец, считано от датата на обявяването му, след което трябва да се премахне.
5. Общините трябва да извършат преглед на съдържанието на интернет страниците си и в случай че установят наличие на обявления за наложено наказание „обществено порицание”, да предприемат необходимите действия по премахването им в срок до 1 месец от издаването на настоящите указания.
6. При липса на предприети действия от общините в срока по т. 5, КЗЛД ще упражни корективните си правомощия по чл. 58, пар. 2 от Регламент (ЕС) 2016/679.
7. Указанията по т. 1 – 6 се прилагат за обработването на лични данни на непълнолетни лица при изпълнение на административното наказание „обществено порицание”.
______________
1 Точки 7, 29, 64, 67 от Общ коментар № 10 (2007) към Конвенцията за правата на детето
2 Чл. 24, пар. 2 от ХОПЕС: При всички действия, които се предприемат от публичните власти или частни институции по отношение на децата, висшият интерес на детето трябва да бъде от първостепенно значение.
3 Точка 80 от Решение на Съда (голям състав) от 13 май 2014 г. по дело C 131/12 Google Spain SL и Google Inc. срещу Agencia Española de Protección de Datos (AEPD) и Mario Costeja González по преюдициално запитване, отправено от Audiencia Nacional.
Публикувано на 29.03.2023 г.
