DeFakto.bg DeFakto.bg
Ред интересни казуси са описани в годишния отчет на Комисията за защита на личните данни (КЗЛД), изпратен в парламента.
Отчетът е за 2020-а, той е законово дължим на Народното събрание и липсата на действащ парламент в момента не отменя този ангажимент.
Част от казусите са свързани с пандемията.
Така болница, разкрила специализирани ковид отделения за интензивно лечение на пациенти, заразени с вируса и с множество придружаващи заболявания, е питала комисията допустимо ли е и при какви законови основания да се извършва видеонаблюдение на ковид пациент/пациенти в болнична стая , като видеонаблюдението се извършва в реално време без съхраняване на запис. И обяснява, че това е начин за непрекъснато наблюдение на медицинското състояние на интензивни пациенти и намаляване на риска от влошаване на състоянието им, което може да доведе до тяхното интубиране.
Болницата има право да извърши видеонаблюдението на пациенти, изискващи непрекъснато интензивно наблюдение, в болнични стаи в реално време, без да се съхранява запис за тази дейност, за посочените цели на основание чл. 9, пар. 2, б. „в“ (по отношение на пациенти, лекари и медицински специалисти) и б. „з“, вр. чл. 9, пар. 3 от Регламент (ЕС) 2016/679, е отговорът на КЗЛД. Сред условията в този случай обаче е предоставянето на информация по подходящ, достъпен и разбираем начин на болните за извършващото се видеонаблюдение. Предоставянето на информация не означава да се изисква съгласието на лицата за извършване на видеонаблюдение.
В контекста на пандемията работодател е питал за правомощията му да бъде информиран за здравето на своите служители. КЗЛД изразява становище, че работодателят няма правно основание да изисква информация от служителите, които работят от вкъщи нито за тяхното здравословно състояние, нито за това на членовете на семейството им. Той може да въведе пропускателен режим на територията на предприятието само когато конкретната трудова дейност налага това. Всички останали мерки, свързани с издирването на контактните лица на заразения, са в правомощията на здравните власти. Работодателят може да предостави информация на колектива за наличието на заразен служител, без да предоставя данни за неговото идентифициране, и когато такъв е установен по безспорен начин.
Друго признато от комисията правомощие на работодателя е да издаде заповед за задължително групово тестване за установяване на заразени или приносители на COVID-19 сред своите служители при условията на чл. 6, пар. 1, б. „е“ от Регламент (ЕС) 2016/679 само ако тестът за балансиране покаже, че неговите легитимни интереси имат преимущество пред правата и свободите на субектите на данни (неговите служители).
При извънредни мерки, НСИ не може да иска от мобилните оператори телефони за анкети
Националният статистически институт (НСИ) е сезирал комисията с друго „пандемично“ питане. Тъй като извънредните мерки и невъзможността за директни контакти изключително са затруднили събирането и обработката на данни за ред социологически изследвания, единственият начин за анкетиране е по телефона, чрез електронни въпросници и други подобни, са обяснили от НСИ. И са поискали становище дали могат да получават актуални данни за телефонни номера и друга информация за връзка с респондентите от мобилните оператори.
Становището на КЗЛД е, че при действащата правна рамка не е налице правно основание за мобилните оператори да предоставят телефонни номера на идентифицирани от НСИ субекти, попадащи в кръга на техните изследвания. За да стане това, трябва да бъде получено предварителното информирано съгласие от всеки абонат, който попада в обхвата на проучването. И условията за предаване на събраната информация от мобилните оператори на статистическия институт да са разписани в договореност между тях, която да предвижда изрични гаранции за защита на правата на субектите на данни въз основа на проведен анализ на риска и оценка на въздействието.
Банките могат да копират и сканират лични карти, работодателят – не
Чести са били запитванията за копирането и сканирането на лични карти, най-вече от кредитни институции или организатори на хазартни игри.
По този повод комисията разяснява, че в чл. 4 от Закона за мерките срещу изпирането на пари (ЗМИП) са посочени задължените субекти, които са длъжни да прилагат регламентираните със закона мерки. Сред тях са банките, нотариусите, застрахователите, презастрахователите и застрахователните посредници, организаторите на хазартни игри и други, които трябва да идентифицират клиентите си чрез снемане на копие от лична карта и/или друг официален документ за самоличност при определени условия. Това е императивен текст на закона и в случая няма място за преценка.
Съвсем друг е въпросът с копиране и сканиране на лична карта от страна на работодател. Например при сключване на трудов договор работодателят няма право да копира личната карта на работника/служителя, а само да запише данните от нея, след което трябва да я върне на притежателя ѝ. Право да копират лична карта имат ограничен кръг от администратори, които могат да се позоват на изискване, регламентирано в нормативен акт.
Свидетелство за съдимост за започване на работа – само ако се изисква от закон или нормативен акт
Изискването на свидетелство за съдимост при започване на работа е друг обсъждан въпрос. Конкретно по искане на банка КЗЛД се е произнесла за възможността работодателят да се позове на легитимния си интерес по смисъла на Регламент (ЕС) 2016/679 като основание за законосъобразно обработване на данни от свидетелство за съдимост в случаите, когато това изискване не е предвидено или не произтича от закон или друг нормативен акт.
Банката е посочила като пример свободна позиция при работодател за длъжността шофьор, при която кандидатства лице, което е осъждано за престъпление по транспорта. Друг пример е кандидатстване за свободна позиция за компютърен специалист от лице, осъждано за осъществяване на компютърни престъпления. Според искането тази информация е съществен елемент, който следва да бъде преценен от работодателя, за да може да се прецени дали един кандидат за работа е по-подходящ от друг за свободните позиции в организацията му.
В свидетелството за съдимост се съдържат голям обем от лични данни на физическите лица, напомня КЗЛД. В същото време в Наредба №4 за документите, необходими за сключване на трудов договор, има изискване при сключване на трудов договор да се представя свидетелство за съдимост само когато със закон или нормативен акт се изисква удостоверяването на съдебно минало. Затова комисията е категорична – работодател може да обработва лични данни, съдържащи се в свидетелство за съдимост, само когато със закон или нормативен акт се изисква удостоверяването на съдебно минало. Аргументите, изложени от банковата институция в полза на обработване, основано на легитимния интерес на администратора, не намират превес над формалните изисквания на Регламент (ЕС) 2016/679 и националния закон.
Колекторите правомерно получават лични данни при прехвърляне на вземанията
Имало е много въпроси за неправомерно предоставяне на лични данни при събиране на задължения от физическите лица от колекторски фирми.
Казусите тук могат да са разнообразни, но прицнипният момент, според КЗЛД, е следният: За сключването на договор за цесия (прехвърляне, в случая на кредита) не е необходимо наличието на „съгласие на субекта на данни“, а уведомление по реда на Закона за задълженията и договорите. Като уведомлението може да е дадено предварително при сключване на договора, като ЗЗЛД или Регламентът не поставят ограничения върху правото на свободно договаряне, предоговаряне или търговския оборот като цяло. От гледна точка на законодателството, уреждащо защитата на физическите лица при обработване на лични данни, наличието на договор е основание за законосъобразност при обработване на данни (чл. 6, пар. 1, б. „б“ от Регламент (ЕС) 2016/679), като след настъпването на погасителна давност и прехвърляне на задължението новият кредитор обработва лични данни на длъжника на основание своя легитимен интерес да получи дължимото (чл. 6, пар. 1, б. „е“ от Регламент (ЕС) 2016/679), заявяват от комисията.
Без „черни списъци“ на некоректни клиенти при пазаруване онлайн
Допустимо ли е създаване и поддържане на списък с телефонни номера на нелоялни клиенти? Отговорът на КЗЛД е: Създаването и поддържането на т.нар. „черни списъци“, съдържащи лични данни (каквито са тел. номера на физическите лица) на некоректни клиенти при пазаруване онлайн, са дейност, която противоречи на законодателството и принципите за защита на личните данни. По своето правно естество тя се характеризира с действия по допълнително обработване на лични данни за цел, различна от първоначалната (преддоговорно или договорно отношение за покупко-продажба на стоки). Подобна практика не може да намери легитимно основание и в никое от изчерпателно изброените условия за законосъобразност на обработването на лични данни, предвидени в чл. 6, пар. 1 от Регламент (ЕС) 2016/679.
Решенията по дисциплинарни дела в адвокатурата могат да се публикуват
Като казус „от значение за обществеността“ е определено становището на КЗЛД за публикуването на решения, постановени по дисциплинарни производства пред Висшия дисциплинарен съд и дисциплинарните съдилища при адвокатските колегии.
Основният въпрос е допустимо и законосъобразно ли е публикуването в цялост на постановените по дисциплинарни производства по Закона за адвокатурата решения (мотиви и диспозитив със заличени лични данни на адвокатите), с които се налагат дисциплинарни наказания на адвокати и до които да имат достъп всички вписани защитници.
Публикуването на решенията на Висшия дисциплинарен съд и дисциплинарните съдилища в специална секция с контролиран достъп на сайта на Висшия адвокатски съвет е обработване на данни, което може да се извърши на основание чл. 6, пар. 1, б. „д“) от Регламент (ЕС) 2016/679 (обработването е необходимо за изпълнението на задача от обществен интерес), смята КЗЛД.
Дейността на въпросните съдилища попада в обхвата на чл. 6, §1 от Европейската конвенция за защита на правата на човека и основните свободи (ЕКПЧ), доколкото те се произнасят с решения като професионален дисциплинарен орган и в този смисъл е и трайната практика на Европейския съд по правата на човека (ЕСПЧ) (делото Le Compte v. Belgum, A 58 (1983); 5 ECHR 533 §29). Такова произнасяне следва да отговаря на изискванията за справедлив процес в едно демократично общество. Елементи от справедливия процес са както задължението за подсигуряване на публично изслушване на наказвания, понеже компетентните да се произнесат органи се квалифицират като наказателни за целите на чл. 6 от ЕКПЧ (същото дело, както и Verns v. France (2011), Hurter v. Switzerland (2005), но също така на лицата, които могат да станат обект на преследване пред тези органи, да се гарантира предвидимост на правото и практиката, въз основа на които ще бъдат решавани делата им, правото им на обжалване на решенията пред „класически“ съд и публичност на постановените решения.
За Висшия дисциплинарен съд е налице задължение за прозрачност при разглеждането на поверените му дела и на произнесените актове. Задължението за публичност на актовете не търпи изключения съгласно практиката на ЕСПЧ. Тя повелява, че публичност на решенията може да се постигне както чрез подсигуряването на достъп до тях чрез деловодна система или регистър, така и чрез обобщаване на решението на разглеждащия съд (Lamanna v. Austria (2001), Crociani v. Italy № 8603/79). В този смисъл подсигуряването на достъп до решенията на Висшия дисциплинарен съд и дисциплинарните съдилища за лицата, чиито дела могат да бъдат поверени на същите, ще позволи произнасянията им да отговарят на изискванията на чл. 6 от ЕКПЧ, което само по себе си включва реализиране на задача от обществен интерес за целите на правораздаването.
Пълният текст на отчета тук.
