Целта на Закона за защита на лични данни е да бъде гарантирана неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данни. Именно тази формулировка използва Комисията за защита на лични данни, когато разглежда преписки, свързани със злоупотреба с лични данни.
Именно с незаконосъобразен достъп до лични данни е свързано спечеленото дело, което коментираме в днешната статия.
Злоупотреба и защита на лични данни - казусът
Преписката пред Комисията за защита на лични данни касае на пръв поглед обикновен случай, в който автомобил е бил паркиран в продължение на повече от две години пред дома на човек, различен от неговия собственик. В хода на процедурата е установено, че въпросният автомобил е съсобствен на две лица, но се ползва от трето, което е получило разрешение за паркирането му от роднина на собствениците на жилището.
След като автомобилът не бил потърсен в продължение на посочения период, собственичката на жилището, пред който бил паркиран, използвайки служебното си положение на служител на МВР, направила справка в полицейските регистри относно неговите собственици. Скоро след това синът ѝ се свързал с тях.
Решението на Комисията за защита на лични данни
В своето решение, Комисията за защита на лични данни обръща внимание на няколко неща.
На първо място, за да прецени дали е налице нарушение на Закона за защита на лични данни, Комисията изследва въпроса дали е осъществено обработване на лични данни. Според нейното становище проверката на собствеността на автомобила в регистрите на МВР представлява по същество обработване на лични данни.
На второ място, изследва се въпросът дали обработването е неправомерно. В този случай, Комисията се съсредоточава върху това, че съгласно закона, органите на МВР могат да обработват лични данни, но това не може да става произволно. Напротив. Предвидената в закона възможност за обработване на лични данни от страна на служители на МВР е възможна само в случаите, в които това се прави за изпълнение на дейностите на ведомството и по установения от закона ред.
В конкретния случай, Комисията за защита на лични данни установява, че служителката на МВР е използвала служебното си положение, осъществявайки достъп до регистрите на ведомството поради извънслужебна необходимост, като стига до извода, че по този начин е нарушен предвидения от закона ред. В тази връзка стига до извод, че обработването е незаконосъобразно, а администраторът (МВР) не е предприел необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.
За смекчаващо вината на администратора обстоятелство, Комисията за защита на лични данни приема факта, че неправомерният достъп е осъществен от служител на МВР, макар и за извънслужебни нужди, а не от трето – неоторизирано лице. В тази връзка е направена преценка, че налагането на наказание „имуществена санкция“ би било несъразмерно тежко съобразно степента на извършеното нарушение.
Ето защо, в случая Комисията се възползва от правомощието си да даде задължителни указания на администратора, а именно:
1. Да въведе контрол за спазване на процедурите чрез извършване на периодични случайни проверки на логове, като се извършва анализ и оценка дали осъществения оторизиран достъп до регистрите с лични данни на МВР е регламентиран или нерегламентиран.
2. Да извършва обучение на длъжностните лица с достъп до регистрите с лични данни на МВР относно правилата и процедурите за обработване на лични данни.
По отношение на твърдението, че служителката – нарушител е предоставила установените лични данни на сина си за осъществяване на контакт със собственичките на автомобила от негова страна, същото е прието за недоказано.
Относимите части от решението на Комисията за защита на лични данни са достъпни на страницата на Комисията за защита на личните данни.
