Инспекторатът към Висшия съдебен съвет излезе със становище по въпроса
В сайта си Инспекторатът към Висшия съдебен съвет публикува становище в отговор на въпроса за евентуална необходимост от прилагане на мерки за осигуряване сигурността на личните данни, съдържащи се в електронните дела, поддържани от органите на съдебната власт.
Публикувам становището с оригиналния му правопис.
Становище
на Инспектората към Висшия съдебен съвет по преписка № ЛДИ-21-3/2021
Инспектората към Висшия съдебен съвет (ИВСС) като разгледа докладваната от инспектор …преписка № ЛДИ-21-3/2021 г., намира следното:
Производството по преписка № ЛДИ-21-3/2021 г. е образувано по реда на чл. 58, §3, б. „б“ от Регламент (ЕС) 2016/679 във вр. с чл.17а, ал. 1, т. 2 от Закона за защита на личните данни (ЗЗЛД) и чл. 94г от Правилника за организацията на дейността на Инспектората към Висшия съдебен съвет и за дейността на администрацията и на експертите (Правилника).
Производството е образувано по писма вх. рег. № ЛДИ-21-3/24.06.2021 г. и вх. № КЛДИ-21-3/12.07.2021 г. по описа на ИВСС, с които … – председател на Върховния административен съд (ВАС) е отправил искане за изразяване на принципно становище от страна на ИВСС относно необходимостта от предприемане на мерки за защита на обработваните от ВАС лични данни при изпълнение на задълженията на съда съгласно Глава осемнадесет „а“ от ЗCB, респ. приетите правила за достъп до електронни дела в единния портал за електронно правосъдие на Висшия съдебен съвет на Република България, така че да се гарантира сигурността на обработваните лични данни от гледна точка неразпространението им от лица, получили правомерен достъп до съответното електронно дело.
Искането е подкрепено с анализ на приложимата нормативна уредба относима към функционирането на Единния портал за електронно правосъдис (ЕПЕП), достъпа и съдържанието на образуваните електронни дела. Посочено е, че съгласно чл. 360з, ал. 5 oт ЗCB, органите на съдебната власт имат задължение да не допускат разпространение на данни от електронното дело, включително от лица, получили разрешение за достъп до делото. Посоченото задължение е обосновано чрез аргумента, че използваните в чл. 360з, ал. 5 от ЗСВ понятия „неправомерен достъп“ и „разпространение“ не са тъждествени, а предварителната проверка за разрешаване на достъп до електронното дело не поражда презумпция за неразпространение на достъпените лични данни.
Искането е мотивирано и с аргумента, че успоредно със задължението по чл. 360з, ал. 5 от ЗСВ, ВАС следва да съобрази и изпълнят изискванията, заложени в чл. 360ж, ал. 3 от ЗСВ и чл. 360з, ал. 7 от ЗСВ, за съдържание на електронните дела. Тези изисквания предполагат идентичност между снеманите оригинали на документите на хартиен носител по делата и техните електронни образи, визуализиращи се при достъп до електронното дело. Развито е и съображение, че изискването за идентичност не допуска каквато й да е форма на намеса спрямо електронния образ или първичния носител на информацията, преди снемането му в електронен образ, което от своя страна създава риск от разпространение на незащитени лични данни, съдържащи се в първичния носител, от лицата, получили разрешение за достъп до делата.
След разглеждане на първоначално подаденото искане и последвалото го уточнение, ИВСС намира, че е сезиран с искане за изразяване на становище, по въпроса за евентуална необходимост от прилагане на мерки за осигуряване сигурността на личните данни, съдържащи се в електронните дела, поддържани от органите на съдебната власт, с които да бъде изпълнено изискването, заложено в чл. 360з, ал. 5 от ЗCB към тези орган, за недопускане на разпространение на лични данни, съдържащи се в дадено електронно дело, от външен потребител1 на ЕПЕП.
Нормата на чл. 360з, ал. 5 от ЗСВ е въведена като определяща обхвата на отговорностите на администраторите на лични данни по отношение „разпространението“ на правомерно достъпните лични данни от външните потребители.
Съгласно чл. 360з, ал. 5 от ЗCB, органите на съдебната власт осигуряват поддържането и съхранението на електронните дела по начин, който не позволява случайното или незаконното унищожаване на данни от тях и не допуска неправомерен достъп, изменение или разпространение. За всяко електронно дело се съхранява информация за лицата и електронните адреси, от които делото е достъпно, времето за достъп, както и извършените по делото действия в информационната система на органите на съдебната власт.
Хипотезата на нормата включва родовото понятие „данни“ и като такова включва всички данни, станали част от електронното дело, вкл. личните такива, доколкото тяхното обработване е безсъмнена част от дейността на органите на съдебната власт.
ИВСС намира, че е неприемливо нормата да се разглежда в смисъл като изведения в процесното искане, а именно че чл. 360з, ал. 5 от ЗСВ създава задължение за органите на съдебната власт да гарантират такова ниво на сигурност на личните данни, обработвани за целите на съществуването на конкретно електронно дело, така че чрез организационни и технически мерки да не се допуска последващо разпространение на тези лични данни от трети лица, имащи качеството на външни потребители на информационната система за достъп до електроните дела, и които са получили достъп до конкретно електронно дело, въз основа на легитимно основание, тъй като създава обективно невъзможно за изпълнение задължение.
Разпространението на лични данни е форма на тяхното обработване, предполагаща активност в поведението на разпространяващия ги субект, която е обективно предпоставена от първоначален достъп до данните. В настоящия случай, достъпът на външните потребители до визуализираното съдържание на електронното дело, съдържащо лични данни на трети лица, се осъществява чрез техния визуален преглед, прочитане, фото/видео заснемане или чрез копиране на съдържанието на електронните записи. В момента, в който външният потребител има достъп до личните данни, същият има обективна възможност да ги разпространи или обработи по друг начин и съгласно своето субективно отношение към деянието. С оглед естеството на отношенията и известните достижения на науката и обществото, ИВСС намира, че администраторът на лични данни не разполага с възможност за прилагането на организационни и технически мерки, които да възпрепятстват бъдещо разпространение на веднъж достъпените лични данни или обработването им по друг начин от външен потребител на ЕПЕП, който се явява винаги лице, което не е се намира под ръководството или контрола на администратора. В този смисъл, щом от гледна точка защитата на личните данни е невъзможно изпълнението на задължението и като се отчете, че нормата на чл. 360з, ал. 5 от ЗСВ не е специално насочена към отношенията в областта на личните данни, а нейн предмет е общата защита на всички данни в електронното дело, то тълкуването на нормата следва да бъде търсено в друга посока.
ИВСС намира, че чл. 360з, ал. 5 от ЗСВ следва да се прилага с оглед целта на въвеждане на електронните дела като средство за повишаване ефективността, бързината и прозрачността в работата на органите на съдебната власт при същевременно спазване на обичайните процесуални принципи. Материалната защита на делата винаги е била неизменно задължение на органите на съдебната власт, което намира своето естествено продължение и при пренасянето на правосъдието в електронна среда, доколкото тази защита винаги ще бъде базово условие въобще за ефективен достъп до защита на лицата и упражняване функциите на органите на съдебната власт. В този смисъл, нормата на чл. 360з, ал. 5 от ЗСВ следва да се разбира с оглед възможното за изпълнение задължение за органите на съдебната власт да гарантират такова управление на процеса на работа, което води до избягване на рискове, като посочените в чл. 360з, ал. 5 от ЗСВ, предизвикани от случайни събития или неправомерно поведение на лица, които застрашават сигурността на данните в електронното дело, чрез пряка намеса в информационната система, част от която са електронните дела. Аргумент е и съображението, че ако чл. 360з, ал. 5 от ЗСВ бъде възприета като национална норма, пряко уреждаща условия за защита на лични данни, то същата би била в пряка конкуренция с уредбата на Регламент (ЕС) 2016/679, който не предвижда хипотеза за отговорност на администратор на лични данни за поведение на лица, които имат право на достъп до обработвани лични данни, но не се намират под негово ръководство и контрол,
Следователно чл. 360з, ал. 5 от ЗСВ има приложение спрямо защитата на личните данни в контекста на действието на чл. 32, § 1, б. „г“. и § 2 от Регламент (ЕС) 2016/679 чрез изискването за поддържане на такива организационни и технически мерки от органите на съдебната власт по отношение достъпа до електронните дела, че да допускат възможност за достъп до делата, а оттук и до личните данни, съдържащи се в тези дела, само на лица, за които след надлежна служебна проверка с признато правото на достъп, респ. тези мерки да имат капацитет да се противопоставят на всеки опит за неправомерен достъп.
При така изложеното на поставения за разглеждане въпрос следва да бъде отговорено, че ИВСС застъпва становище, според което чл. 360з, ал. 5 от ЗCB не създава задължение за органите на съдебната власт да поддържат и съхраняват електронните дела по начин, който не допуска разпространение на лични данни от лица, получили правомерен достъп до тези данни, в качеството им на външни потребители на ЕПЕП.
Липсата на такова задължение води и до заключението, че органите на съдебната власт не е необходимо да предприемат организационни и технически мерки в изпълнение на чл. 360з, ал. 5 от ЗСВ, целящи да не се допусне възможност за разпространение на лични данни от лица, получили правомерен достъп до тези данни, в качеството им на външни потребители, достъпващи съответно електронно дело чрез ЕПЕП.
С оглед изложеното и на основание чл. 58, §3, б. „б“ от Регламент (ЕС) 2016/679 във вр. с чл. 17а, ал. 1, т. 2 от ЗЗЛД и чл. 94г от Правилника, ИВСС на свое заседание, проведено на 19.08.2021 г. взе решение съгласно Протокол № 14 със 6 (шест) гласа „За“ от 6 (шест) присъстващи инспектори за изразяване на следното
СТАНОВИЩЕ:
Органите на съдебната власт не следва да предприемат организационни и технически мерки в изпълнение на чл. 360з, ал. 5 от ЗCB, целящи недопускане на възможност за разпространение на лични данни от лица, получили правомерен достъп до тези данни, в качеството им на външни потребители до електронно дело чрез ЕПЕП.
1 Външен потребител – ИВСС използва понятието като обобщаващо за всички лица, които не се намират под контрола или ръководството на администратора на лични данни и имат признато по съответния ред право на достъп до електронно дело.