Комисията за защита на личните данни иска от нарушителя да изтрие всички лични данни, събирани и съхранявани за жалбоподателката, като обективира това действие в протокол за унищожаване, подписан от поне двама свидетели, както и да представи доказателства за изпълнение на разпореждането в 14-дневен срок от влизане в сила на решението
В бюлетина на Комисията за защита на личните данни е публикувано нейно Решение, в което се констатира, че работодателят не е представил на служителя екземпляр от двустранно подписан сключен трудов договор преди постъпване на работа, така че да възникне задължението за подаване на уведомление до НАП в тридневен срок.
Превишен е и срокът за съхраняване на информация, представляваща лични данни, обективирана в автобиографията на лицето, доколкото същата е следвало да се изтрие незабавно, след като е станало ясно, че лицето не желае да постъпи на работа при администратора, като за целите на отчетността по чл. 5, § 2 от Регламента това действие е следвало да се документира чрез съставяне на протокол или по друг подходящ начин.
За да бъде обработването законосъобразно, е необходимо да бъде сключен трудов договор със служителя и едва тогава, да се изпрати уведомление до приходната администрация, като според приложимата законова и подзаконова нормативна уредба тези действия се извършват преди постъпване на работа, а не след това. В случай, че лицето не се яви на работа, трудовото правоотношение се смята невъзникнало, в която хипотеза е необходимо да се изпрати уведомление за заличаване в тридневен срок на основание чл. 7, т. 1 от Наредбата, а не уведомление за прекратяване в 7-дневен или по-дълъг срок, каквато е настоящата хипотеза, пише в решението:
РЕШЕНИЕ
№ ПП Н-01-404/2022 г.
София, 11.05.2023 г.
Комисията за защита на личните данни в състав: Председател – Венцислав Караджов и членове – Цанко Цолов, Мария Матева, Веселин Целков, на редовно заседание, проведено на 15.03.2023 г., на основание чл. 10, ал. 1 от Закона за защита на личните данни, чл. 57, § 1, б. „е” от Регламент 2016/679 и чл. 40, ал. 1 от Правилника за дейността на КЗЛД и на нейната администрация /ПДКЗЛДНА/ разгледа по основателност жалба № ППН-01-404/23.06.2022 г. на И.В. срещу „С.” ЕООД.
Комисията за защита на личните данни е сезирана с жалба по смисъла на чл. 38, ал. 1 от ЗЗЛД, подадена от И.В. срещу „С.” ЕООД с ЕИК *********, с твърдения за неправомерно обработване на данните от личната карта на субекта на данни, изразяващо се в регистриране на несключен трудов договор по невъзникнало трудово правоотношение. В жалбата се посочва, че г-жа И.В. е кандидатствала за позицията „касиер”, полагала е труд в дружеството в рамките на един ден, за което не ѝ е представен договор и не ѝ е изплатено възнаграждение, но независимо от това дружеството е подало уведомление в НАП за наличие на сключен трудов договор, използвайки данните от личната ѝ карта. Узнала е за нарушението от Разпореждане № ********* на НОИ с информация за подадено уведомление по реда на чл. 62 от Кодекса на труда за сключен трудов договор със „С.” ЕООД на 08.05.2022 г., въз основа на което за жалбоподателката са възникнали последици във връзка с получаваното от същата обезщетение за безработица.
В съответствие с чл. 26, ал. 1 от АПК дружеството е уведомено за образуваното производство/писма № ППН-01-404#1/25.08.2022 г., № ППН-01-404#3/21.09.2022 г./, като са изискани становище и доказателства по случая.
Жалбоподателката е уведомена за образуваното административно производство, като в хода на процеса са ѝ предоставени възможности за изразяване на становища, възражения, доказателства и доказателствени искания /така напр. писмо № ППН-01-404#2/25.08.2022 г./.
При спазване на принципа на служебното начало, визиран в чл. 9, ал. 2 от АПК, е изискана информация от трети лица – НАП и НОИ. В отговор на ТД на НАП – София /писмо № ППН-01- 404#6/03.11.2022 г./ се посочва, че дружеството „С.” ЕООД е подало уведомление за сключен трудов договор с г-жа И.В. на 08.05.2022 г. и уведомление за прекратяването му, считано от 12.05.2022 г., като от страна на дружеството няма подадени декларации за дължими осигурителни вноски за това лице. В писмо ППН-01-452#8/27.09.2022 г. на НОИ се посочва, че уведомлението за прекратяване на трудов договор е изпратено на 30.05.2022 г.
Жалбата е разгледана по редовност и допустимост на редовно заседание на КЗЛД на 30.11.2022 г., като страните /жалбоподател – И.В. и ответник – „С.” ЕООД/ са надлежно призовани за насроченото открито заседание за разглеждане на жалбата по същество.
Жалбата е съобразена с изискванията за редовност на чл. 29 от АПК, чл. 38а от ЗЗЛД и чл. 28, ал. 1 от ПДКЗЛДНА. Комисията за защита на личните данни е сезирана с писмено искане, съдържащо данни за жалбоподателя, естество на искането, дата на узнаване на нарушението, лице, срещу което се подава жалбата, дата и подпис.
Жалбата е подадена от субект на данни с правен интерес. Същата попада в законоустановената компетентност на КЗЛД по чл. 6, ал. 1 от ЗЗЛД.
Жалбата е допустима съобразно чл. 27, ал. 2 от АПК, включително е подадена в срока за сезиране на Комисията по чл. 27, ал. 2, т. 6 от АПК, вр. с чл. 38, ал. 1 от ЗЗЛД.
В допълнително представения срок за становище и доказателства е постъпило такова от ответника /писмо ППН-01-452#11(22)/06.01.2023 г./, в което се посочва, че г-жа И.В. е представила данните от личната си карта /три имена, ЕГН, номер на лична карта, постоянен адрес/ за започване на работа на длъжност „касиер”, поради което дружеството е изпратило уведомление до НАП. Поради това, че не се е стигнало до сключването на трудов договор, е изпратено уведомление за прекратяването му. Не се представят вътрешни правила за защита на данните. Представено е CV на жалбоподателката, получено през платформата Jobs.bg, с което същата е кандидатствала за длъжността „касиер”.
В отговор ППН-01-404#14/19.01.2023 г. жалбоподателката посочва, че не оспорва твърдението, че е кандидатствала през платформата Jobs.bg за длъжност „касиер” в „С.” ЕООД, но пояснява, че не е пожелала да сключи трудов договор с този работодател поради некоректно отношение. Не ѝ е предоставен трудов договор и не ѝ е изплатено възнаграждение. Управителката на търговския обект е направила снимка на личната ѝ карта, г-жа И.В. е работила цял ден на каса без да ѝ бъде предоставен трудов договор и без да бъде осигурена.
Дружеството не е предоставило съдействие въз основа на допълнителни писмени искания за информация и доказателства /ППН-01-404#16/03.02.2023 и ППН-01-404#18/10.03.2023/.
Съставен е протокол ППН-01-404#17/07.03.2023 г. относно обстоятелствата по чл. 10г от ЗЗЛД, предвид необходимостта от вземане предвид на евентуални специални потребности и налични ресурси на предприятието, в случай, че същото попада в категорията по чл. 3 от Закона за малките и средните предприятия /средносписъчният брой на персонала е по-малък от 250 души, като данни за годишен финансов отчет не са налични, поради което категоризация на предприятието не може да се извърши/.
На проведеното открито заседание за разглеждане на жалбата по същество на 15.03.2023 г. страните, редовно уведомени, не се явяват и не се представляват.
В становище № ППН-01-404#21/17.03.2023 г. на администратора се представя справка по чл. 62, ал. 5 от Кодекса на труда за подадено уведомление с изх. № *** пред НАП. Същото не е връчено на жалбоподателката. Становището е представено след проведеното заседание, на което е взето решение по същество от надзорния орган, така че не би могло да бъде ценено с останалите доказателства, но независимо от това следва да се отбележи, че със същото не се представя информация, различна от служебно събраната по административната преписка.
При така установеното от фактическа страна, от правна страна жалбата е допустима и основателна.
На основание чл. 6 от ЗЗЛД Комисията е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на приложимото законодателство.
Предмет на жалбата е твърдение за обработване на лични данни в противоречие с Регламента от администратора „С.” ЕООД с ЕИК ********* чрез съвкупност от дейности като събиране, съхранение, употреба и разкриване чрез предаване на лични данни на приходната администрация.
Обработваните лични данни са тези от личната карта на жалбоподателката, данни за трудовия ѝ и професионален опит, както и за образователен ценз, т.е. данни за икономическата и социо-културна идентичност на субекта на данни. Съхранението на личните данни на жалбоподателката, обективирани в нейната автобиография, не е ограничено със срок посредством вътрешни правила и процедури, така че да съответства на целите, за които са били първоначално събрани – кандидатстване и подбор за длъжността “касиер”. Тези данни за събрани изначално легитимно – за целите на кандидатурата на г-жа И.В. през платформата Jobs.bg, за което обстоятелство страните не спорят, но от липсата на представени доказателства, включително правила за защита на личните данни, остава неясно за какви цели и в какви срокове личните данни биват обработвани по-нататък.
Данните от личната карта на лицето са събрани без правно основание по смисъла на чл. 6, § 1 от Регламента /лицето не е предоставило свободно изразено, конкретно, информирано, недвусмислено и оттегляемо съгласие по смисъла на чл. 4, т. 11 от Регламента; не е налице сключен договор, а дори и да са налице преддоговорни отношения, същото не е доказано, а и не е от значение, доколкото данните от личната карта не са необходими в процеса за кандидатстване за длъжността „касиер” в дружеството, обработвани са за целите на изготвяне на трудов договор и за предоставяне на невярна информация за сключен такъв пред НАП, т.е. в контекста на несъществуващо договорно правоотношение, което не е равнозначно на преддоговорни отношения по инициатива на субекта на данни; не са налице легитимни интереси или законово задължение, което да се прилага спрямо администратора; администраторът не е лице, упражняващо официални правомощия или действащо в хода на защита на жизненоважни интереси/.
Независимо от обработването на лични данни без основание, администраторът е могъл своевременно да поправи грешката си, като за целта е следвало да подаде уведомление за заличаване на уведомлението за сключен трудов договор по реда и в сроковете на чл. 7, т. 1 от Наредба № 5 от 29.12.2002 г. за съдържанието и реда за изпращане на уведомлението по чл. 62, ал. 5 от Кодекса на труда /”Наредбата”/, доколкото трудовото правоотношение се смята невъзникнало по аргумент от чл. 63, ал. 3, вр. с ал. 1 от КТ /работодателят не е представил на служителя екземпляр от двустранно подписан сключен трудов договор преди постъпване на работа, така че да възникне задължението за подаване на уведомление до НАП в тридневен срок на основание чл. 3, ал. 1, т. 1, б. “а” от Наредбата/.
Подадено е уведомление за прекратяване на трудовото правоотношение на 30.05.2022 г., считано от 12.05.2022 г., т.е. същото е извършено в нарушение на 7-дневния срок по чл. 3, ал. 1, т. 2 от Наредбата, независимо, че в случая е следвало да се извърши анулиране, като и в двата случая обработването е извършено за период, надвишаващ необходимото, т.е. налице е нарушение на чл. 5, § 1, б. „д” от Регламента. Превишен е и срокът за съхраняване на информация, представляваща лични данни, обективирана в автобиографията на лицето, доколкото същата е следвало да се изтрие незабавно, след като е станало ясно, че лицето не желае да постъпи на работа при администратора, като за целите на отчетността по чл. 5, § 2 от Регламента това действие е следвало да се документира чрез съставяне на протокол или по друг подходящ начин.
За да бъде обработването законосъобразно, е необходимо да бъде сключен трудов договор със служителя и едва тогава, да се изпрати уведомление до приходната администрация, като според приложимата законова и подзаконова нормативна уредба тези действия се извършват преди постъпване на работа, а не след това. В случай, че лицето не се яви на работа, трудовото правоотношение се смята невъзникнало, в която хипотеза е необходимо да се изпрати уведомление за заличаване в тридневен срок на основание чл. 7, т. 1 от Наредбата, а не уведомление за прекратяване в 7-дневен или по-дълъг срок, каквато е настоящата хипотеза.
Горепосочените обстоятелства водят до извод за извършено нарушение на принципите по чл. 5 § 1, б. „а” и б. „д” от Регламента, както и за обработване в нарушение на чл. 6, § 1 от Регламент 2016/679. Заключението, че обработването е лишено от правно основание, съответства на постоянната практика на КЗЛД в сходни случаи /така напр. Решение № ППН-02-644(2021)/08.08.2022 г. на КЗЛД/.
На основание чл. 6, § 1 от Регламент 2016/679 г. обработването е законосъобразно само ако и доколкото е приложимо поне едно от следните условия, които в настоящата хипотеза не са налице:
– Не е налице хипотезата на предоставено съгласие по смисъла на Регламента. В случай, че администраторът иска да се позове на съгласието като нормативно основание за обработването на лични данни, същият следва да е способен са докаже, че то е свободно дадено, предоставено за изрични, конкретно указани и легитимни цели, както и че може да бъде оттеглено също толкова лесно, колкото и да бъде предоставено, което не е сторено в настоящата хипотеза. Ако бе така, след като жалбоподателката е отказала да сключи трудов договор, същата е следвало да може да оттегли съгласието си и личните ѝ данни да бъдат своевременно изтрити. В случая е станало точно обратното – обработването е продължило.
– Обработването не е необходимо за изпълнението на договор, по който субектът на данните е страна, доколкото трудов договор в законоизискуемата писмена форма не е сключен. В тази връзка, дейностите по разпространение на лични данни пред приходната администрация се явяват без законово основание, доколкото не е изпълнена формалната процедура, регламентирана в Наредба № 5/29.12.2002 г., въз основа на която следва да е налице писмена форма за действителност на трудовия договор, едва след сключването на който следва да се подаде уведомление до НАП, а при неявяването на работника или служителя, уведомлението следва да се заличи, а не да се пристъпи към подаване на уведомление за прекратяване.
– Обработването не е необходимо за спазването на законово задължение, което се прилага спрямо администратора. Не са налице и останалите основания, визирани в същата разпоредба – обработването не е необходимо, за да бъдат защитени жизненоважни интереси на субекта на данни или на друго физическо лице, не е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора, не е необходимо за целите на легитимните интереси на администратора или на трета страна.
При така констатираното нарушение ефективни, възпиращи и пропорционални мерки биха била тези по чл. 58, пар. 2, б. “г” и б. “и” от Регламента.
На основание чл. 58, § 2, б. „г” от Регламента и за да бъде постигнат превантивен и поправителен ефект, следва да се разпореди на администратора „С.” ЕООД да съобрази операциите по обработване на лични данни с разпоредбите на Регламента, като за целта въведе подходящи вътрешни правила и политики за защита на личните данни и осигури обучение на служителите, като представи доказателства за изпълнението.
На основание чл. 58, § 2, б. „г” от Регламента, за да бъде постигнат преустановителен ефект и съобразявайки липсата на основание за обработване и за съхранение на данните, е необходимо администраторът да изтрие всички лични данни, събирани и съхранявани за жалбоподателката И.В., като за това действие бъде съставен протокол за унищожаване, подписан от поне двама свидетели.
Доколкото надзорният орган може по целесъобразност да кумулира горепосоченото корективно правомощие с имуществена санкция на основание чл. 58, § 2, б. „и” от Регламента, и при съобразяване на елементите по чл. 83, § 2 от Регламента се установява, че не са налице смекчаващи обстоятелства, но независимо от това нарушението е първо по ред, и за да може администраторът да поправи действията си, е достатъчно да се наложи санкция, близка до минималната.
Нарушението представлява обработване на личните данни на едно лице, на което е причинена вреда по смисъла на съображение 146 от преамбюла на Регламента, а именно: от справка, предоставена от НАП /писмо ППН-01-404#6/03.11.2022 г./, се установява, че няма данни за подадени декларации образец 1 и образец 6 за лицето И.В. за м. май 2022 г. от дружеството „С.” ЕООД, каквито са дължими от работодателя въз основа на подадената информация за сключен трудов договор от 08.05.2022 г. до 12.05.2022 г., а същевременно паричното обезщетение за безработица на г-жа И.В. е било прекратено и впоследствие възстановено /Разпореждане № 214-00-6260-1/25.05.2022 г./, въз основа на така предоставената информация от „С.” ЕООД.
Не е констатирано администраторът да е предприел действия за смекчаване на последиците за субекта на данни. Администраторът не представя доказателства за въведени технически и организационни мерки, както и за разписани вътрешни правила и процедури за защита на личните данни, въпреки изричните писмени искания за предоставяне на такива. Не става ясно какъв е предвиденият срок за съхранение на личните данни на жалбоподателката, кои и колко лица имат достъп до същите и въз основа на какви основания, както и какви са целите на обработването.
Администраторът не е оказал в достатъчна степен съдействие на надзорния орган съобразно дължимото такова на основание чл. 12а, ал. 1 от ЗЗЛД. Същият не е отговорил на изрични писмени запитвания /ППН-01-404#1/25.08.2022 г., ППН-01-404#3/21.09.2022 г., ППН-01-404#10/13.12.2022 г., ППН-01-404#12/11.01.2023 г., ППН-01-404#16/03.02.2023 г., ППН-01-404#18/10.03.2023 г.,/, а с предоставените становища /ППН-01-404#11/06.01.2023 г. и ППН-01-404#21/17.03.2023 г./ не се отговаря конкретно на поставените въпроси.
Администраторът няма констатирани предишни нарушения, доколкото срещу същия няма други производства в Комисията за защита на личните данни. Не е установено обработване на специални категории лични данни по смисъла на чл. 9, § 1 от Регламента. Нарушението е станало известно на надзорния орган по жалба на субекта на данни.
В случая пропорционална, възпираща и ефективна имуществена санкция, но и такава отговаряща на принципа на съразмерност, така че с изпълнението на санкцията да не се засягат законни интереси в по-голяма степен от най-необходимото за целта, за която актът се издава, е санкция от минимален порядък. Санкцията следва да не възпрепятства стопанската дейност на дружеството, но същевременно следва да може да осъществи присъщия ѝ възпиращ ефект, който е постижим със санкция именно в минимален размер, доколкото администраторът няма други констатирани нарушения, и съобразявайки това, че санкцията се кумулира с разпореждането по чл. 58, § 2, б. „г” от Регламента.
Предвид гореизложеното и на основание чл. 38, ал. 3 от ЗЗЛД Комисията за защита на личните данни
РЕШИ:
- Обявява Жалба № ПП Н-01-404/23.06.2022 г. на И.В. срещу „С.” ЕООД с ЕИК ********* за основателна за нарушeние на чл. 5 § 1, б. „а” и б. „д” и чл. 6, § 1 от Регламент 2016/679.
- На основание чл. 58, § 2, б. „г” от Регламента издава разпореждане на администратора „С.” ЕООД с ЕИК ********* да съобрази операциите по обработване на лични данни с разпоредбите на Регламента, като това стане по следните начини:
2.1.1. да приеме вътрешни правила и политики за защита на личните данни, да въведе подходящо обучение на служителите, като представи доказателства за изпълнение на разпореждането в едномесечен срок от влизане в сила на решението;
2.1.2. да изтрие всички лични данни, събирани и съхранявани за жалбоподателката И.В., като обективира това действие в протокол за унищожаване, подписан от поне двама свидетели, както и да представи доказателства за изпълнение на разпореждането в 14-дневен срок от влизане в сила на решението.
- Налага имуществена санкция в размер на 2 500 лв. на основание чл. 58, § 2, б. „и”, вр. с чл. 83, § 5, б. „а” от Регламент 2016/679.
Имуществената санкцията следва да бъде изплатена в 14-дневен срок, считано от влизане в сила на настоящото Решение, по следната банкова сметка на КЗЛД в БНБ:
IBAN: BG18BNBG96613000158601 BIC BNBGBGSD
Титуляр: Комисия за защита на личните данни
БУЛСТАТ 130961721.
В случай, че санкцията не бъде изплатена в горепосочения срок, ще бъдат предприети действия по принудително изпълнение.
Настоящото решение може да бъде обжалвано пред Административен съд София – град в 14-дневен срок от връчването му чрез Комисията за защита на личните данни.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ: