Увеличават се наложените от надзорния орган корективни мерки
От извършените през отчетния период проверки може да се направи обоснован извод, че голяма част от администраторите на лични данни са добре запознати с нормативната база за защита на личните данни, прилагат в голяма степен необходимите технически и организационни мерки за защита на данните, уведомяват физическите лица за техните права, изпълняват задълженията си при упражняване на правата на физическите лица, както и съдействат на КЗЛД при упражняване на нейните правомощия.
Това е записано в отчета на Комисията за защита на личните данни за 2021 г., който е внесен в Народното събрание.
През 2021 г. е направено проучване на топлинните счетоводители в страната във връзка с постъпили сигнали за предоставяне на изравнителните сметки на абонатите, съдържащи лични данни на неоправомощени лица. В тази връзка са изпратени 22 писма до визираните администратори, като са изискани: 1. Правила и процедури, удостоверяващи качеството им на субект в процеса на обработване на личните данни на физическите лица; 2. Правила и процедури за връчване на изравнителните сметки; 3. Попълнен въпросник съгласно Инструкцията за практическо осъществяване на надзорната дейност на КЗЛД. В тази връзка 18 дружества предоставят отговор, при 4 писмата са непотърсени, 10 администратора са предоставили изисканите документи. Установено е, че 6 от дружествата предоставят изравнителните сметки на топлофикационните дружества, която ги връчва чрез куриерски дружества, с които има договори. Прави впечатление, че секторът не е достатъчно добре запознат с изискванията на Регламент 2016/679 и ЗЗЛД, няма изградени бази данни с оторизираните да получават изравнителни сметки на съответната етажна съсобственост и с договорите с куриерски дружества се прехвърля отговорността.
Наложени корективни мерки и сравнителен анализ.
Констатираните през 2021 г. нарушения по постъпили сигнали, за които КЗЛД е наложила корективни мерки след извършени проверки от отдел „Контрол и административнонаказателни производства“ в дирекция „Правни производства и надзор“, са 64 бр.: 38 разпореждания, 7 официални предупреждения и 19 предупреждения основно за нарушение на чл. 32, §1, букви „б“ и „г“ от Регламент (ЕС) 2016/679, чл. 6, §1, букви „а – е“ от Регламент (ЕС) 2016/679, чл. 25г от ЗЗЛД, чл. 6, §1 от Регламент (ЕС) 2016/679 и чл. 38, §6 от Регламент (ЕС) 2016/679. Прави впечатление, че броят им е завишен двойно – през 2020 г. те са общо 36 бр. (32 разпореждания, 3 официални предупреждения и 1 предупреждение).
Издадени са разпореждания проверените администратори да преустановят заснемането на публични площи (улици и тротоари) посредством изградени системи за видеонаблюдение; да изработят конкретни правила и механизми за контрол за спазване на издадените заповеди и да предприемат технически и организационни мерки, които ефективно да гарантират защитата на физическите лица.
В резултат на наложени корективни мерки КЗЛД е съдействала за спасяване и съхраняване на повече от 65 000 бр. медицински досиета и над 3300 бр. трудови досиета, съдържащи пълен набор от лични данни, включително и чувствителни такива.
При формулиране на предложенията до надзорния орган за налагане на санкции по постъпили сигнали и проверки, при които са констатирани нарушения, е спазван принципът, че нарушението на Регламент (ЕС) 2016/679 и ЗЗЛД следва да води до налагане на „еквивалентни санкции“. Наложените от КЗЛД административните наказания „глоба“ или „имуществена санкция“ са определени така, че да осъществят в пълен обем правоохранителната и превантивна роля, тоест да бъдат „ефективни, пропорционални и възпиращи“. Същите отразяват адекватно естеството, тежестта и последиците от нарушението, като всички факти по случая се оценяват по начин, който е последователен и обективно обоснован.
Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява целта, преследвана с избраната корективна мярка, т.е. възстановяване на спазването на правилата или санкциониране на неправомерно поведение (или и двете).
Във всеки конкретен казус са взети предвид критериите за оценка в чл. 83, §2, засягащи естеството на нарушението: дали се касае за непредприети достатъчни мерки за предотвратяване на незаконосъобразно обработване на лични данни; дали се отнася до фишинг атака или друг умишлен противозаконен подход с цел незаконосъобразно обработване на лични данни; човешка грешка; тежестта на нарушението: дали е извършено умишлено или по небрежност; продължителността на нарушението (продължителността на нарушението може да е индикация например за умишлено поведение от страна на администратора или непредприемане на подходящи превантивни мерки, или неспособност да се въведат изискваните технически и организационни мерки).
На задължителна преценка подлежи и фактът относно броя на засегнатите субекти на данни, за да се определи дали това е изолиран случай, или показва системно нарушение или липса на подходящи практики. Това означава, че и изолираните случаи подлежат на действия по правоприлагане, тъй като дори един изолиран случай може да засегне множество субекти на данни. При всеки конкретен казус по сигнал или проверка, при който са констатирани нарушения на сигурността на личните данни, се вземат предвид и размерът и относителната тежест на настъпилите и/или възможни вреди за субектите на данни, както и степента на причинените им вреди предвид факта, че обработването на лични данни може да породи рискове за правата и свободите на лицата.
Рискът за правата и свободите на физическите лица с различна вероятност и тежест може да произтича от обработване на лични данни, което би могло да доведе до физически, материални или нематериални вреди, по-специално: когато обработването може да породи дискриминация, кражба на самоличност или измама с фалшива самоличност, финансови загуби, накърняване на репутацията, нарушаване на поверителността на лични данни, защитени от професионална тайна, неразрешено премахване на псевдоанонимизация, или други значителни икономически или социални неблагоприятни последствия; или когато субектите на данни могат да бъдат лишени от свои права и свободи или от упражняване на контрол върху своите лични данни; когато се обработват лични данни, които разкриват расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в професионална организация, и обработването на генетични данни, данни за здравословното състояние или данни за сексуалния живот или за нарушени свързани с тях мерки за сигурност; когато се оценяват лични аспекти, по-специално, анализиране или прогнозиране на аспекти, отнасящи се до представянето на работното място, икономическото положение, здравето, личните предпочитания или интереси, надеждността или поведението, местонахождението или движенията в пространството, с цел създаване или използване на лични профили; когато се обработват лични данни на уязвими лица, по-специално, на деца; или когато обработването включва голям обем лични данни и засяга голям брой субекти на данни. Важен аспект от извършваните проверки е и констатирането дали има търговия с лични данни за маркетингови цели, т.е. продажбата на данните като данни, за които е дадено разрешение за обработване от субектите на данни.
Огромно значение за налаганите санкции и/или корективни мерки има и оценката на проверяващите за действията, предприети от администратора или обработващия лични данни, за смекчаване на последиците от вредите, претърпени от субектите на данни. Това е основата за преценка за наличието на утежняващи или смекчаващи обстоятелства, предвид което се налагат подходящи мерки, които наклоняват везните към мерките, които са по-ефективни, пропорционални и възпиращи в дадения казус.
Важни за преценката на проверяващия екип и предложението за прилагане на определена санкция или мярка е и степента на отговорност на администратора или обработващия лични данни, като се вземат предвид технически и организационни мерки, въведени от тях в съответствие с чл. 25 и чл. 32 от ОРЗД.
От значение е и наличието на предишни нарушения, извършени от администратора или обработващия лични данни. Степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него се взема предвид при изготвяне становището на проверяващия екип.
За размера и вида на предложената корективна мярка или санкция значение имат и категориите лични данни, засегнати от нарушението – най-вече свързано ли е нарушението с обработване на специални категории данни по чл. 9 или чл. 10 от Регламента, могат ли физическите лица да бъдат идентифицирани пряко или непряко, обработването включва ли данни, разпространението на които би довело до непосредствени вреди/затруднения за лицето и които попадат извън обхвата на категориите по чл. 9 или чл. 10, и др.
Показателен за сътрудничеството на администратора е и начинът, по който нарушението е станало известно на надзорния орган, по-специално, дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението.
На графиката е изобразена сравнителна статистика на наложените корективни мерки в периода 2017 – 2021 г. (фиг. 7).
Фиг. 7