Това би трябвало да е лесен въпрос за институциите
Г-жа А.К., представяща се за координатор на изчезнали деца, от местната администрация на лондонския квартал Енфийлд, Обединеното кралство, пита Министерството на образованието и науката кои български граждани дали са се завърнали в България и дали децата им са се записали отново в училище в България.
МОН от своя страна пита Комисията за защита на личните данни и ето какъв отговор получава според броя на бюлетина на ведомството от януари:
СТАНОВИЩЕ
НА
КОМИСИЯ ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № П НМД-01-100/2022 г.
гр. София, 19.12.2022 г.
ОТНОСНО: Постъпило в МОН искане от г-жа А.К. за обмен на информация за български граждани
Комисията за защита на личните данни (КЗЛД) в състав – председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков, на заседание, проведено на 15.12.2022 г., разгледа искане с рег. № ПНМД-01-100/15.11.2022 г. от заместник-министър на образованието и науката, по повод постъпило в Министерство на образованието и науката (МОН) искане по електронната поща с вх. № 94-5828/31.10.2022 г. от г-жа А.К., представяща се за координатор на изчезнали деца1, от местната администрация на лондонския квартал Енфийлд, Обединеното кралство, за информиране относно действащите процеси за получаване и предоставяне на информация за български граждани дали са се завърнали в България и дали децата им са се записали отново в училище в България.
От МОН посочват, че в писмото си г-жа А.К. споделя, че в квартал Енфийлд съществува голяма общност от български граждани, които записват децата си в местните училища, но се местят за кратък или по-дълъг период и се връщат отново в България. В тази връзка с писмото се информира, че на основание раздел 436А от Закона за образованието от 1996 г. във Великобритания е установено задължение за местните администрации да предприемат мерки за идентифициране на децата, които не получават образование, както и законова отговорност да гарантират, че тези деца вече не са в зоната на тяхната власт и че имат достъп до образование, където и да са се преместили. В писмото си г-жа А.К. посочва, че могат да предоставят имена, дати на раждане и имена на родителите с цел проверка и потвърждение дали семействата са се върнали в България.
По-нататък в писмото на МОН се посочва, че обменът на посочената информация би представлявал обработване на лични данни. Приложимото законодателство, свързано със защитата на физическите лица при обработването на личните им данни и относно свободното движение на тези данни в рамките на ЕС, са Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД), както и Законът за защита на личните данни (ЗЗЛД). Обработването на лични данни е законосъобразно при наличие на правно основание за това, както и при спазване на принципите за обработване, прогласени в чл. 5 от ОРЗД.
В писмото се излагат и следните мотиви:
На 31 януари 2020 г. Обединеното кралство се оттегли от Европейския съюз. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г.
Към момента Обединеното Кралство не е страна членка на Европейския съюз и/или на Европейското икономическо пространство, с оглед на което съгласно ОРЗД, както и чл. 1, ал. 7 от ЗЗЛД, при обработването на лични данни тя се явява трета държава и за нея са приложими и разпоредбите от глава V от ОРЗД.
Съгласно чл. 44 от ОРЗД предаването на лични данни, които се обработват или са предназначени за обработване след предаването на трета държава или на международна организация, се осъществява само при условие, че са спазени другите разпоредби на регламента при спазване на условията по глава V от регламента, включително във връзка с последващи предавания на лични данни от третата държава или от международната организация на друга трета държава или на друга международна организация.
Към настоящия момент по отношение на Обединеното Кралство е налице решение на Европейската комисията (Регламент за изпълнение (ЕС) 2021/1772 на Комисията от 28 юни 2021 година) за осигурено адекватно ниво на защита (съгласно чл. 45, ал. 1 ОРЗД), което ,,по същество е равностойно” на нивото, гарантирано в рамките на Европейския съюз, което обаче не обхваща личните данни, предавани за целите на имиграционния контрол в Обединеното кралство, или до данните, които по друг начин попадат в обхвата на изключението по отношение на определени права на субекта на данни за целите на поддържането на ефективен имиграционен контрол (,,изключението във връзка с имиграционния контрол”) съгласно точка 4, подточка 1 от приложение 2 към Закона за защита на данните на Обединеното кралство.
Член 46, параграф 2, буква „а” от ОРЗД позволява на публичните органи от ЕС да основават предаването на данни към публични органи в трета държава или към международна организация на инструменти, сключени между тях, без да са получили предварително разрешение от надзорен орган. Такива инструменти трябва да са със задължителен характер и да имат изпълнителна сила. Съгласно тази разпоредба могат да се използват международни договори, публичноправни договори или пряко приложими административни споразумения.
Освен решенията относно адекватното ниво на защита и инструментите за предаване на данни по член 46 от ОРЗД, в регламента се съдържа и трето средство, което позволява трансфер на лични данни в определени ситуации, въз основа на дерогация, посочена в чл. 49 от ОРЗД, като в случая би била приложима дерогация по чл. 49, пар. 1, буква „г” – поради важни причини от обществен интерес. В Насоки 2/2018 г. на ЕКЗД се посочва, че предаванията на данни въз основа на дерогацията поради важни причини от обществен интерес не може да се извършват системно и в голям мащаб. По-скоро трябва да бъде спазван общият принцип, според който дерогациите, посочени а чл. 49, на практика не се превръщат в „правило”, а трябва да се ограничават до конкретни ситуации, и всеки износител на данни трябва да гарантира, че техният трансфер отговаря на строгия критерий за необходимост. Когато се извършват предавания на данни в обичайния ход на дадена дейност или практика, ЕКЗД насърчава силно всички износители на данни (по-специално публичните органи) да го правят в конкретна рамка, като въведат подходящи гаранции в съответствие с чл. 46, вместо да разчитат на дерогация предвидена в чл. 49, пар. 1, буква „г” от ОРЗД.
При извършена преценка за предоставяне на данни по чл. 49, пар. 1, ал. 2 от ОРЗД за целите на неоспоримите законни интереси на администратора, над които не стоят интересите или правата на субектите на данни, администраторът е длъжен да уведоми надзорния орган за трансфера, като в тази връзка също трябва да информира субекта на данни за неговите права и законни интереси.
В чл. 48 и съответстващото съображение (115) от ОРЗД е посочено, че сами по себе си решения, взети от органи, съдилища или трибунали на трети държави, не дават законно основание за предаване на данни на трети държави. Поради това, предаването па данни вследствие на решение, взето от органи на трета държава е при всички положения законосъобразно, само ако отговаря на условията, предвидени в глава V от ОРЗД.
МОН отчита, че независимо дали обработването се извършва в ЕС или не, администраторите винаги трябва да спазват всички съответни разпоредби на ОРЗД, като например задължението по чл. 32 за прилагане на технически и организационни мерки, като се вземат предвид рисковете по отношение на обработката, както и счита, че комуникацията между административните органи следва да се осъществява по сигурни/официални канали, които от една страна безспорно идентифицират адресата на искането, а от друга – обезпечават сигурния обмен на информацията.
Във връзка с изложеното МОН счита че обмен на данни за посочените в искането на г-жа А.К. цели, с оглед постигане на правна сигурност, е целесъобразно да се осъществява при наличие на международен договор, публичноправен договор или пряко приложимо административно споразумение със задължителен характер и изпълнителна сила, което да обхваща основния набор от принципи за защита на данните и права на субекта на данните, както се изисква от ОРЗД, в т.ч. и определяне на начина, по който получаващият публичен орган ще прилага набора от основни принципи за защита на данните и права на субекта на данните по отношение на всички предадени лични данни, за да се гарантира, че нивото на защита на физическите лица съгласно ОРЗД няма да бъде изложено на риск.
Във връзка със спазване на законодателството в областта на защита на личните данни и предвид постъпилото запитване от г-жа А.К., от МОН се обръщат с молба към КЗЛД за изразяване на компетентно становище относно законосъобразните решения за обмен на информация за българските граждани, които пребивават в Обединеното кралство с местната администрация на лондонския квартал Енфийлд, Обединено кралство.
Правен анализ:
С Глава V – „Предаване на лични данни на трети държави или международни организации” от Регламент (ЕС) 2016/679 се урежда обработването на лични данни при условията на трансфер в трета държава или международна организация. Такова предаване на лични данни се осъществява, само при условие че са спазени другите разпоредби на Регламент (ЕС) 2016/679 (спазване на принципите по чл. 5, наличие на основание за обработване по чл. 6, пар. 1 и/или по чл. 9, пар. 2, предприемане на технически и организационни мерки, извършване оценка на въздействието върху защитата на личните данни и т.н.) и само ако администраторът и обработващият лични данни спазват условията по Глава V. Тези правила се прилагат и в случаите, когато данните се предават от третата държава или от международната организация на друга трета държава или на друга международна организация. За трета държава се счита такава извън ЕИП, а международна организация означава организация и нейните подчинени органи, регламентирани от международното публично право, или друг орган, създаден чрез или въз основа на споразумение между две или повече държави (чл. 4, т. 26) от Регламент (ЕС) 2016/679). Разпоредбите на Глава V се прилагат с цел да се гарантира необходимото и адекватно ниво на защита на физическите лица, осигурено от Регламент (ЕС) 2016/679, без да се излагат на риск техните права.
Предаването на лични данни на трета държава или международна организация по принцип може да има, само ако въпросната трета държава осигурява адекватно ниво на защита. Съгласно чл. 45 от Регламент (ЕС) 2016/679, Европейската комисия (ЕК) може да констатира, че дадена трета държава осигурява, по силата на вътрешното си законодателство или на международните си ангажименти, адекватно ниво на защита. При оценяването на адекватността на дадена трета държава/международна организация ЕК извършва цялостен и комплексен анализ на ситуацията в тази държава във връзка със защитата на личните данни, съгласно критериите, посочени в чл. 45, пар. 2 от Регламент (ЕС) 2016/679 – върховенството на закона, спазването правата на човека и основните свободи, състояние на законодателството, наличието и функционирането на надзорни органи, ефективна административна и съдебна защита и др. След извършването на оценката, ЕК издава акт за изпълнение. В процеса по издаването на акта за изпълнение (Решението на ЕК за адекватност) участват:
- ЕК, която има право на законодателна инициатива;
- Европейския комитет за защита на данните, който изразява становище по предложението;
- Държавите-членки на ЕС, чрез своите постоянни представители, които обсъждат и одобряват предложението.
Решението се приема от ЕК, като по всяко време Европейският парламент и Съветът могат да поискат от ЕК да запази, измени или оттегли решението за адекватност на основание, че актът надвишава нейните изпълнителни правомощия, предвидени в Регламент (ЕС) 2016/679. Нещо повече, Комисията е длъжна да осъществява постоянно наблюдение на развитието в трети държави и международни организации, което би могло да повлияе на действието на приетите решения.
ЕК е длъжна да публикува в Официален вестник на ЕС решенията за адекватно ниво на защита. Към този момент такива решения има за следните държави или отделни сектори от тях: Андора, Аржентина, Канада (търговски организации), Фарьорски острови, Гърнси, Израел (във връзка с автоматизираното предаване на лични данни), остров Ман, Япония, Джърси, Нова Зеландия, Швейцария, Уругвай, Великобритания (и по Регламент (ЕС) 2016/679, и по Директива (ЕС) 2016/680) и др.
При липсата на решение относно адекватното ниво на защита предаване на лични данни може да се извърши, само ако износителят на лични данни, установен в Съюза, предвижда подходящи гаранции по смисъла на чл. 46 от Регламент (ЕС) 2016/679. Такива гаранции могат да произтичат например при прилагането на други инструменти, като:
- инструменти със задължителен характер и с изпълнителна сила между публичните органи или структури;
- задължителни фирмени правила в съответствие с член 47;
- стандартни клаузи за защита на данните, приети от Комисията в съответствие с процедурата по разглеждане, посочена в член 93, параграф 2;
- стандартни клаузи за защита на данните, приети от надзорен орган и одобрени от Комисията съгласно процедурата по разглеждане, посочена в член 93, параграф 2;
- одобрен кодекс за поведение или одобрен механизъм за сертифициране, заедно със задължителни и изпълними ангажименти на администратора или обработващия лични данни в третата държава да прилагат подходящите гаранции, включително по отношение на правата на субектите на данни.
Важно условие за законосъобразното използване на стандартните договорни клаузи е те да се прилагат без изменение на текстовете, приети или одобрени от Комисията. Въпреки че не се изисква специално разрешение на надзорния орган, трансферите на лични данни, които се основават на стандартни договорни клаузи, подлежат на контрол от компетентния надзорен орган според мястото на установяване на съответния износител на данните, а не от органа в третата държава, където данните се предоставят.
При редовно и повтарящо се предаване на данни в трета държава, при липса на решение относно адекватното ниво на защита, следва да се разчита на някой от инструментите, посочени в чл. 46 от Регламент (ЕС) 2016/679.
Само когато предаването на лични данни е случайно, нерегулярно, еднократно или по изключение, то може да се основава на дерогациите (изключения), разписани в чл. 49 от Регламент (ЕС) 2016/679. Те могат да се прилагат само в изключителни случаи, а посочената разпоредба да се тълкува строго ограничително. Позоваването на дерогациите не може да служи за регулярно трансфериране на лични данни.
В конкретния казус, приложение намира Решение за изпълнение на Комисията от 28.6.2021 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство, като в допълнение следва да е налично и правно основание по смисъла на чл. 6, пар. 1 от ОРЗД. Единственото правно основание, подходящо за предоставянето на данни в конкретния случай е посоченото в чл. 6, пар. 1, б. „а” – съгласието на субекта на данни, доколкото българската страна не е обвързана със задължения, произтичащи от законодателството на Обединеното кралство по отношение на исканата информация.
Неправилно се разглежда обсъжданото предоставяне на данни, като такова за целите на имиграционния контрол.
За да е законосъобразно предаването на личните данни обаче, трябва да са спазени всички останали изисквания на Регламент (ЕС) 2016/679 – спазване на принципите, прогласени с чл. 5, предоставянето на ясна информация на субектите на данни за предстоящото предоставяне на данни въз основа на тяхното съгласие, предприемане на подходящи технически и организационни мерки, съобразно извършената оценка на риска и т.н.
Данните, които могат да се представят по конкретно искане (съдържащо имена на деца, дата на раждане и имена на родители) следва да са в минимално необходимия обем, като отговарят единствено на въпроса дали конкретните деца са обхванати от системата на българското образованието или не.
Допълнителна информация не следва да бъде предавана.
По тези съображения и на основание чл. 58, пар. 3, б. „б” от Регламент (ЕС) 2016/679 във вр. с чл. 10а, ал. 1 от Закона за защита на личните данни и чл. 51, т. 2 от Правилника за дейността на КЗЛД и на нейната администрация, Комисията за защита на личните данни изразява следното
В конкретния казус, приложение намира Решение за изпълнение на Комисията от 28.6.2021 година съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство, като в допълнение следва да е налично и правно основание по смисъла на чл. 6, пар. 1 от ОРЗД. Единственото правно основание, подходящо за предоставянето на данни в конкретния случай е това по чл. 6, пар. 1, б. „а” от ОРЗД – съгласието на субекта на данни, доколкото българската страна не е обвързана със задължения, произтичащи от законодателството на Обединеното кралство по отношение на исканата информация.
Данните, които могат да се представят по конкретно искане на местната администрация на лондонския квартал Енфийлд, Обединеното кралство, следва да са в минимално необходимия обем, като отговарят единствено на въпроса дали конкретните деца са обхванати от системата на българското образованието или не. Допълнителна информация не следва да бъде предавана.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ:
1 Вероятно се има предвид деца, напуснали образователната система на Обединеното кралство, както е посочено в писмото на г-жа А.К. – Children Missing Education Co-Ordinator.