- След публикуване на насоките на EDPB за глобите можем да четем по-критично отчета на КЗЛД
През 2022 г. наложените санкции от Комисията за защита на личните данни са на стойност 1 024 000 лв. В процес на принудително събиране от НАП към 31.12.2022 г. са санкции, наложени с НП, в размер на 75 631 лв., като през 2022 г. е събрана сума в размер на 6771 лв. От наложените с НП санкции през 2022 г. са платени общо 28 000 лв., а 3000 лв. са в процес на събиране с покана за доброволно изпълнение.
Няма да коментирам тази информация, всеки може да сметне процента събираемост. Ето и самия отчет на ведомството, което е на разположение на народните представители.
„4. Наложени корективни мерки и сравнителен анализ.
Наложените от КЗЛД корективни мерки за констатирани след извършени проверки по постъпили сигнали нарушения са 90 бр., от които 72 бр. разпореждания, 9 бр. официални предупреждения и 9 бр. предупреждения, основно за нарушение на чл. 32, §1, букви „б“ и „г“ от Регламент (ЕС) 2016/679, чл. 6, §1 букви „а – е“ от Регламент (ЕС) 2016/679, чл. 6, §1 от Регламент (ЕС) 2016/679 и чл. 38, §6 от Регламент (ЕС) 2016/679, чл. 25г от ЗЗЛД, чл. 25е от ЗЗЛД. Прави впечатление, че броят им е значително завишен спрямо 2018 г. (влизане в сила на Регламент (ЕС) 2016/679), когато те са общо 14 бр.
За 5 бр. решения с издадени корективни мерки са наложени санкции в общ размер на 68 500 лв. От тях обжалвани са 3 бр. решения, които са в съдебна фаза; 1 бр. е влязло в сила и наложената санкция в размер на 2000 лв. е платена доброволно; 1 бр. решение е в процес на връчване и не е влязло в сила.
По отношение на предложенията за налагане на санкции по постъпили сигнали и проверки, при които са констатирани нарушения, е спазван принципът, че нарушението на Регламент (ЕС) 2016/679 и ЗЗЛД следва да води до налагане на „еквивалентни санкции“. Наложените от КЗЛД административните наказания „глоба“ или „имуществена санкция“ са определени така, че да осъществят в пълен обем правоохранителната и превантивна роля, тоест да бъдат „ефективни, пропорционални и възпиращи“. Същите отразяват адекватно естеството, тежестта и последиците от нарушението, като всички факти по случая се оценяват по начин, който е последователен и обективно обоснован.
Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява целта, преследвана с избраната корективна мярка, т.е. възстановяване на спазването на правилата или санкциониране на неправомерно поведение (или и двете).
Във всеки конкретен казус са взети предвид критериите за оценка в чл. 83, §2, засягащи естеството на нарушението: дали се касае за непредприети достатъчни мерки за предотвратяване на незаконосъобразно обработване на лични данни; дали се отнася до фишинг атака или друг умишлен противозаконен подход с цел незаконосъобразно обработване на лични данни; човешка грешка; тежестта на нарушението: дали е извършено умишлено или по небрежност; продължителността на нарушението (продължителността на нарушението може да е индикация например за умишлено поведение от страна на администратора или непредприемане на подходящи превантивни мерки, или неспособност да се въведат изискваните технически и организационни мерки).
На задължителна преценка подлежи и фактът относно броя на засегнатите субекти на данни, за да се определи дали това е изолиран случай, или показва системно нарушение или липса на подходящи практики. Това означава, че и изолираните случаи подлежат на действия по правоприлагане, тъй като дори един изолиран случай може да засегне множество субекти на данни. При всеки конкретен казус по сигнал или проверка, при който са констатирани нарушения на сигурността на личните данни, се вземат предвид и размерът и относителната тежест на настъпилите и/или възможни вреди за субектите на данни, както и степента на причинените им вреди предвид факта, че обработването на лични данни може да породи рискове за правата и свободите на лицата.
Рискът за правата и свободите на физическите лица с различна вероятност и тежест може да произтича от обработване на лични данни, което би могло да доведе до физически, материални или нематериални вреди, по-специално: когато обработването може да породи дискриминация, кражба на самоличност или измама с фалшива самоличност, финансови загуби, накърняване на репутацията, нарушаване на поверителността на лични данни, защитени от професионална тайна, неразрешено премахване на псевдонимизация или други значителни икономически или социални неблагоприятни последствия; или когато субектите на данни могат да бъдат лишени от свои права и свободи или от упражняване на контрол върху своите лични данни; когато се обработват лични данни, които разкриват расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в професионална организация, и обработването на генетични данни, данни за здравословното състояние или данни за сексуалния живот или за нарушения на свързани с тях мерки за сигурност; когато се оценяват лични аспекти, по-специално, анализиране или прогнозиране на аспекти, отнасящи се до представянето на работното място, икономическото положение, здравето, личните предпочитания или интереси, надеждността или поведението, местонахождението или движенията в пространството, с цел създаване или използване на лични профили; когато се обработват лични данни на уязвими лица, по-специално, на деца; или когато обработването включва голям обем лични данни и засяга голям брой субекти на данни. Важен аспект от извършваните проверки е и констатирането дали има търговия с лични данни за маркетингови цели, т.е. продажбата на данните като данни, за които е дадено разрешение за обработване от субектите на данни.
Огромно значение за налаганите санкции и/или корективни мерки има и оценката на проверяващите за действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни. Това е основата за преценка за наличието на утежняващи или смекчаващи обстоятелства, предвид което се налагат подходящи мерки, които наклоняват везните към мерките, които са по-ефективни, пропорционални и възпиращи в дадения казус.
Важни за преценката на проверяващия екип и предложението за прилагане на определена санкция или мярка е и степента на отговорност на администратора или обработващия лични данни, като се вземат предвид технически и организационни мерки, въведени от тях в съответствие с чл. 25 и чл. 32 от ОРЗД.
От значение е и наличието на предишни нарушения, извършени от администратора или обработващия лични данни. Степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него се взема предвид при изготвяне становището на проверяващия екип.
За размера и вида на предложената корективна мярка или санкция значение имат и категориите лични данни, засегнати от нарушението, най-вече свързано ли е нарушението с обработване на специални категории данни по чл. 9 или чл. 10 от Регламента, могат ли физическите лица да бъдат идентифицирани пряко или непряко, обработването включва ли данни, разпространението на които би довело до непосредствени вреди/затруднения за лицето (и които попадат извън обхвата на категориите по чл. 9 или чл. 10) и др.
Показателен за сътрудничеството на администратора е и начинът, по който нарушението е станало известно на надзорния орган, по-специално, дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението.
На графиката е изобразена сравнителна статистика на наложените корективни мерки в периода 2017 – 2022 г. след извършени проверки (фиг. 7):
- Административно-наказателни производства АУАН, НП (обжалвани, потвърдени, отменени) – наложени санкции.
Въз основа на извършени проверки по искания и сигнали за 2022 г. са съставени 32 бр. акта за установяване на административни нарушения, издадени са 13 бр. наказателни постановления. Наложените санкции при извършени проверки по искания и сигнали са в размер на 1 024 000 лева. От издадените наказателни постановления към края на отчетния период 3 бр. са обжалвани и са в съдебна фаза, а останалите 10 бр. са в процес на връчване. 10 бр. административнонаказателни производства са приключени с „предупреждение“ по чл. 28 от ЗАНН, а по 4 бр. са сключени споразумения на основание чл. 58г от ЗАНН.
На графиката е изобразена сравнителна статистика на наложените санкции с наказателни постановления след извършени в периода 2017 – 2022 г. проверки (фиг. 8):
През 2022 г. с НП на председателя на КЗЛД са наложени санкции на стойност 1 024 000 лв. В процес на принудително събиране от НАП към 31.12.2022 г. са санкции, наложени с НП, в размер на 75 631 лв., като през 2022 г. е събрана сума в размер на 6771 лв. От наложените с НП санкции през 2022 г. са платени общо 28 000 лв., а 3000 лв. са в процес на събиране с покана за доброволно изпълнение.
Със сключени 4 бр. споразумения по административнонаказателни производства са наложени имуществени санкции в размер на 3700 лв.
Правоохранителната дейност на КЗЛД, в частност контролната дейност и налагането на санкции при констатиране на нарушения, е гаранция за спазване на правовия ред и за защита правата на физическите лица при обработване на личните им данни. С развитието на технологиите отговорността нараства, гаранцията за правата и свободите на физическите лица силно зависят от финансовата и политическата независимост на надзорния орган и неговата обезпеченост да взема независими решения, гарантиращи правата на субектите на данни, като използва капацитета на експертите, работещи в структурата, и доказателствата, събрани в процеса на контролната дейност. В тази връзка следва да се отбележи необходимостта от допълнително квалифициране и обучение на експертите по отношение на новите технологии с цел да се отговори на завишените изисквания и технически достижения.