От юли 2022 г до ноември 2024 г. продължава изясняването на позициите на двете страни
Комисията за защита на личните данни публикува решението си в отговор на искане на Топлофикация София, както и решенията на Административен съд София град и решението на Върховния административен съд от 22 ноември 2024 г.
На свое редовно заседание, проведено на 06.07.2022 г., КЗЛД прие Решение № ПНМД-01-53/2022 г. по искане на „Топлофикация София“ ЕАД по чл. 106, ал. 1, т. 3 от Закона за гражданската регистрация. Решението на Комисията беше обжалвано пред АССГ, след което, с негово Решение № 741/01.02.2024 г., постановено по адм. дело № 7310/2022 г., беше оставено в сила. Като касационна инстанция ВАС, със свое Решение № 12677/22.11.2024 г. по адм. дело № 2862/2024 г. остави окончателно в сила решението на АССГ, пише в сайта на ведомството.
В своите мотиви решението на КЗЛД, както и решенията на съдебните инстанции, съдържат принципните разбирания относно предоставянето на данни от ЕСГРАОН, основанията, спазването на основните принципи за обработване на лични данни и съответствието с останалите изисквания на Регламент (ЕС) 2016/679. Посочената практика е от значение за дейността на доставчиците и на редица други услуги.
РЕШЕНИЕ HA
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД-01-53/22 г.
гр. София 18.07.2022 г.
ОТНОСНО: Искане на „Топлофикация София“ ЕАД по въпроси, касаещи достъпа до Национална база данни „Население“ и Националния електронен регистър на актове за гражданско състояние, поддържани от Главна дирекция „Гражданска регистрация и административно обслужване“
Комисията за защита на личните данни (КЗЛД) в състав председател: Венцислав Караджов и членове: Цанко Цолов и Веселин Целков, на заседание, проведено на 06.07.2022 г., разгледа писмо с вх. No ПНМД-01-53/20.05.2022 г. от …директор, …председател …„Топлофикация София“ ЕАД, с което се иска съдействие във връзка с преразглеждане на отказ от страна на Главна дирекция „Гражданска регистрация и административно обслужване“ (ГД „ГРАО“) към Министерство на регионалното развитие и благоустройството (МРРБ) за получаване на достъп до регистър Национална база данни „Население“ и до Националния електронен регистър на актове за гражданско състояние, с цел изпълняване на сключените договори при Общи условия, чрез осигуряване на автоматизиран достъп за извършване на справки по партида.
В искането се посочва, че „Топлофикация София“ ЕАД е дружество, лицензирано от Комисия за енергийно и водно регулиране (КЕВР) за извършване на следните дейности, а именно: търговия с електрическа енергия, производство на електрическа и топлинна енергия, търговия с природен газ.
Дружеството се явява организация, предоставяща обществени услуги (топлоснабдителни) по смисъла на чл. 1, ал. 2 и на т. 14 от Допълнителните разпоредби от Закона за електронното управление (ЗЕУ). Твърди се, че „Топлофикация София“ е административен орган и предлага комплексно административно обслужване. Всички собственици и титуляри на вещно право на ползване в сграда – етажна собственост, присъединени към абонатна станция или към нейно самостоятелно отклонение, са клиенти на топлинна енергия, съгласно чл. 153, ал. 1 от ЗЕУ. Те остават клиенти и при прекратяването на топлоснабдяването на имотите им, по отношение на топлинната енергия, отдадена от сградната инсталация и от отоплителните тела в общите части на сградата. Продажбата на топлинна енергия се извършва на основата на писмени договори при общи условия.
Предвид горното, представителите на „Топлофикация София“ ЕАД молят КЗЛД да издаде разрешение на дружеството да получи достъп до данни от конкретни регистри на държавната администрация в средата за междурегистров обмен (RegiX). За получаването на такъв достъп е било подадено заявление за достъп до данните от регистри/справки/полета до ГД „ГРАО“. Поискали достъп до следните регистри: Регистър на населението – Национална база данни ,,Население“, Национален електронен регистър на актове за гражданско състояние, Национален класификатор на постоянните и настоящите адреси (НКПНА).
В отговор на подаденото заявление, Дружеството е получило писмо от МРРБ, ГД „ГРАО“, с което им е предоставен достъп до НКПНА, но им е отказано включването като потребител към средата за междурегистров обмен до НБД „Население“, Национален електронен регистър на актове за гражданско състояние, като им е указано, че могат да подадат искане за разрешение до КЗЛД на основание чл. 106, ал. 1, т. 3 от Закона за гражданската регистрация (ЗГР).
Според представителите на „Топлофикация София“ ЕАД, с оглед изпълнение на законовите задължения на дружеството, изпълняващо задача от обществен интерес, дейността им изисква да получат достъп до данните на потребителите чрез подсигурен постоянен достъп до НБД „Население“ и Националния електронен регистър на актове за гражданско състояние. Молителите твърдят, че това ще доведе до голямо намаляване на административната тежест за гражданите и бизнеса и ще позволи автоматизирането на работните процеси в „Топлофикация София“ ЕАД, ще подсигури възможност за издаване на индивидуални административни актове, по смисъла на чл. 21 от АПК, включително ще спомогне за индивидуализиране на всички клиенти на дружеството, с цел подобряване на административното обслужване.
Предвид гореизложеното, Дружеството моли за съдействие чрез предоставяне на разрешение за достъп до данните от ЕСГРАОН, с оглед преразглеждане на отказа на МРРБ.
С цел изясняване на обстоятелствата по искането и окомплектоване на преписката КЗЛД изиска от „Топлофикация София“ ЕАД отказа на МРРБ, ГД „ГРАО“ с писмо с изх. № ПНМД-01-53#3/23.6.2022 г. В отговор от „Топлофикация София“ ЕАД препращат писмо, в което МРРБ, ГД „ГРАО“ посочва, че не намира основания за предоставяне на лични данни от Регистъра на населението Национална база данни (РН – НБД) „Население“ и Национален електронен регистър на актовете за гражданското състояние (НЕРАГС).
Правен анализ:
Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД), е нормативният акт, определящ правилата, свързани със защитата на физическите лица при обработването на личните им данни и относно свободното движение на тези данни.
Съгласно чл. 4, т. 7) от Регламент (ЕС) 2016/679 „администратор на лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. Следователно дружеството „Топлофикация София“ ЕАД има качеството „администратор“ на лични данни при осъществяване на своята дейност. ГД „ГРАО“, поддържайки регистрите: НБД „Население“, Национален електронен регистър на актове за гражданско състояние има качеството на администратор и обработва лични данни, като целите и средствата за въпросното обработване са определени от ЗГР.
Предоставянето от страна на МРРБ – ГД „ГРАО“ на лични данни на физически лица, съдържащи се в ЕСГРАОН, представлява „обработване на лични данни“, което се извършва чрез предоставяне на данните, съгласно легалната дефиниция, посочена в чл. 4, т. 2) от ОРЗД.
По отношение законосъобразните условия, при които се допуска обработването на лични данни, се прилагат разпоредбите на чл. 6, пар. 1 от ОРЗД, според който обработването е законосъобразно, когато е налице поне едно от изчерпателно изброените и дадени алтернативно условия за допустимост на обработването. Наред с това, обработването на данни следва да се извършва при спазването на основните принципи, прогласени в чл. 5 от същия регламент, включително, но не само, принципите за законосъобразност, необходимост, пропорционалност, ограничаване на целите и обработването на минимален обем от лични данни. Особено внимание трябва да се обърне на изискването за отчетност, като основен принцип и отговорност на администратора, според който администраторът на лични данни трябва да обработва данните в съответствие с Регламент (ЕС) 2016/679 и да е в състояние да го докаже.
Гражданската регистрация включва съвкупност от данни за едно лице, които го отличават от другите лица в обществото и в семейството му, в качеството на носител на субективни права, като име, гражданство, семейно положение, родство, постоянен адрес и др. Гражданската регистрация на физическите лица в Република България се основава на данните в актовете за тяхното гражданско състояние и на данните в други актове, посочени в закон. Вписването в регистъра на населението се извършва в общините по постоянен адрес на физическите лица. В регистрите на актовете за гражданското състояние се вписват (в населеното място, в което е настъпило събитието) събитията раждане, брак и смърт за всички лица, които към момента на настъпване на събитието са български граждани, и за лицата, които не са български граждани, но към момента на настъпване на събитието се намират на територията на Република България, като отговорността за гражданската регистрация на територията на конкретната община е на кмета на общината, съобразно разпоредбата на чл. 4, ал. 3 от ЗГР.
Регистрите за гражданското състояние и регистърът на населението се създават и поддържат от Единната система за гражданска регистрация и административно обслужване на населението (ЕСГРАОН), която е национална система за гражданска регистрация на физическите лица в Република България и източник на лични данни за тях (чл. 100 – 101 от ЗГР).
Съгласно чл. 3 от Закона за електронното управление (ЗЕУ) първичният администратор на данни изпраща служебно и безплатно данните на всички административни органи, на лицата, осъществяващи публични функции, и на организациите, предоставящи обществени услуги, които въз основа на закон също обработват тези данни и са заявили желание да ги получават. По смисъла на чл. 2, ал. 2 от ЗЕУ първичен администратор е административен орган, който по силата на закон събира или създава данни за гражданин или организация за първи път и изменя или заличава тези данни. Той предоставя достъп на гражданите и организациите до цялата информация, събрана за тях при спазването на определени условия и принципи. Същевременно чл. 8, ал. 2 от ЗЕУ задължава административните органи, лицата, осъществяващи публични функции, и организациите, предоставящи обществени услуги, да предоставят всички услуги в рамките на своята компетентност и по електронен път, освен ако закон предвижда особена форма за извършване на отделни действия или издаване на съответни актове. Това задължение е скрепено и с изрично нормативно изискване за събиране, обработване и предоставяне на лични данни само в минимално необходимия обем за предоставяне на съответната услуга, като е гарантирано обработване на данните само за посочените цели, освен при наличие на изрично съгласие на субектите на данни (чл. 16 от същия закон).
Представителите на „Топлофикация София“ ЕАД са обосновали искането си за представяне на информация, като твърдят, че са налице законосъобразни основания за обработване на личните данни на лицата, съгласно чл. 6 от ОРЗД, а именно:
- Обработването е необходимо за изпълнението на договор, по който субектът на данни е страна – чл. 6, т. 1, б. „б“;
- Обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора – чл. 6, т. 1, б. „в“;
- Обработването е необходимо за изпълнение на задача от обществен интерес – чл. 6, т. 1, б. „д“;
Съгласно чл. 125, ал. 3 от ЗЕ във вр. с чл. 29, ал. 3 и ал. 4 от Наредба № Е-РД-04-1 от 12 март 2020 г. за топлоснабдяване, присъединяването на клиенти на топлинна енергия за битови нужди към топлопреносната мрежа се извършва след подаване на писмено заявление по чл. 29, ал. 1 от Наредбата, като към него се прилагат: данни за заявителя; данни за сградата и вид на сградните инсталации; максимален топлинен товар; пълен отопляем обем на сградата по проект; местоположение на помещението за абонатна станция в сградата; документ, доказващ, че заявителят е собственик или е титуляр на вещно право на ползване; декларация от заявителя относно обстоятелството дали сградата е в режим етажна собственост. След изпълнение на поставените условия съгласно Наредбата за присъединяване към топлопреносната мрежа, се сключва договор, неразделна част от който съгласно чл. 31 от Наредбата са следните документи: документи за собственост, право на ползване или право на строеж; писменото съгласие на собствениците, притежаващи най- малко две трети от собствеността в сградата – етажна собственост, че желаят присъединяване на инсталациите на клиентите в сградата – етажна собственост, към топлопреносната мрежа; нотариално завереното пълномощно на лицето, упълномощено да представлява собствениците или титулярите на вещно право на ползване в сграда – етажна собственост; декларацията от заявителя, че на посочения адрес има цялостно изградени инсталации за отопление и горещо водоснабдяване; решение на общото събрание за сгради – етажна собственост, или декларация на собственика или ползвателя за безвъзмездно предоставяне на помещението за абонатна станция за ползване от топлопреносното предприятие.
Действащото законодателство ясно и точно дефинира необходимите данни и документи (копия и оригинали), които са необходими за откриването на партида, като за дружеството не е възниква необходимост от служебно набавяне на допълнителна информация.
Други данни не са необходими за сключването на договор между топлопреносното предприятие и собствениците/титулярите на вещно право на ползване на обекти в сгради – етажна собственост. Съответно необходимост от обработване на допълнителни данни няма нито за идентификацията на субекта на данни, като страна по договора, нито за изпълнението на същия (чл. 6, т. 1, б. „б“ от ОРЗД).
Основание за обработване в конкретния казус не е и необходимостта от спазването на законово задължение (чл. 6, т. 1, б. „в“ от ОРЗД). За да може администраторът да се позове на това правно основание, то трябва да произтича от приложимото за него законодателство на Европейския съюз или националното право. Те трябва да уреждат най-малко целта на това обработване на данни и да създават задължение дори и само по общ начин до администратора за обработване на конкретен набор от лични данни. Тъй като съгласно законовата уредба не е наложено задължение спрямо администратора за събиране на данни, извън посочените по Наредбата № Е-РД-04-1 от 12 март 2020 г. за топлоснабдяването. В конкретния случай не е приложимо и основанието по чл. 6, т. 1, б. „в“ от ОРЗД.
Що се отнася до последното посочено от „Топлофикация София“ ЕАД основание за обработване, а именно необходимост за изпълнение на задача от обществен интерес т. 1, б. „д“ от ОРЗД. Най-общо под „обществен интерес“ се разбират определени ценности или блага, които са предназначени за и са в полза на обществото. Липсата на общоприета дефиниция се дължи на разбирането, че наличието на обществен интерес, неговата цел и обхват се определят в конкретен контекст. Като например: защита на правата и свободите на гражданите, отбрана, национална сигурност, обществено здраве, свобода на медиите и др. Поради липсата на конкретна дефиниция е необходим внимателен анализ на всяка конкретна ситуация с цел преценка на приложимостта на концепцията на обществения интерес. Съгласно съображение (45) от преамбюла на ОРЗД, когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има основание в правото на Съюза или в правото на държава членка. Нито в ЗЕ, нито в Наредба № Е-РД-04-1 от 12 март 2020 г. за топлоснабдяването са описани хипотези, обосноваващи необходимостта от директен достъп до регистрите – Национална база данни „Население“ и Националния електронен регистър на актове за гражданско състояние.
Важно е да се подчертае, че НБД „Население“ и Националния електронен регистър на актове за гражданско състояние, съдържат голям обем от данни на физическите лица, които в пълен обем са неотносими към целите, за които е необходимо обработване на лични данни в процеса на изпълнение на задълженията по договора между, Топлофикация София“ ЕАД и потребителите на топлинна енергия.
Следва да се направи и разграничение между предоставянето на информация (данни) от НБД „Население“ и предоставянето на директен достъп до НБД „Население“. В ограничен брой от нормативни актове, като например Закона за нотариусите и нотариалната дейност (ЗННД) и Закона за съдебната власт (ЗСВ), изрично е регламентирано предоставянето на директен достъп до тази база данни. В останалите частни случаи, извън посочените по-горе примери, се предоставя само частична информация (данни) до посочените регистри, при условие, че са спазени изискванията на чл. 106, ал. 1 от ЗГР. Предоставянето им от страна на администратора на лични данни (МРРБ – ГД „ГРАО“) следва да се извършва в съответствие с принципите регламентирани в чл. 5 от Регламента, сред които принципите на целесъобразност и свеждане на данните до минимум. Предоставянето на постоянен и директен достъп до Национална база данни „Население” и Националния електронен регистър на актове за гражданско състояние на „Топлофикация София“ ЕАД излиза извън допустимата рамка уредена в законодателството и е в противоречие с принципа за свеждане на данните до минимум.
От гореизложеното следва, че „Топлофикация София“ ЕАД няма правно основание по чл. 6, пар. 1, б. „б“, „в“ и „д“ от ОРЗД за обработване на категориите лични данни, съдържащи се в Национална база данни „Население“ и Националния електронен регистър на актове за гражданско състояние. Директният достъп до горепосочените регистри обхваща прекомерно широк кръг от лица, обработването на данните, за които непропорционално на претендираната цел на обработване. В същото време администраторът на лични данни не може да докаже необходимостта от обработване на данните на неограничен брой лица, което води до невъзможност за спазване на принципа за отчетност. В случая следва да се вземе предвид и съображение (57) и чл. 11 от Регламент (ЕС) 2016/679.
В допълнение следва да се има предвид, че КЗЛД поддържа следната постоянна и принципна позиция (включително преди прилагането на Регламент (ЕС) 2016/679), приложима по отношение както на експлоатационните дружества, така и на банковите и небанкови финансови институции:
Предоставянето на официална информация относно настъпила смърт на клиента/длъжника/кредитополучателя би могло да се извърши на основание чл. 6, пар. 1, б. е) от Регламент (ЕС) 2016/679, а именно – когато обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Същото не важи за предоставяне на лични данни на наследниците на лицето. Отношенията между дружеството-искател (независимо дали става въпрос за търговско дружество, доставчик на услуги, банкова или друга финансова институция) от една страна, и наследниците на длъжниците са гражданскоправни. Трябва да се има предвид, че дори дадени лица да са наследници по закон на едно лице, това не означава, че те автоматично придобиват качеството длъжници на кредиторите на своя наследодател. При установяване на кръга от лицата, които имат право да наследят едно починало лице, следва да се имат предвид също така и хипотезите на отказ от наследство или приемане на наследство по опис, както и евентуалното наличие не само наследниците по закон, но и на наследници по завещание. Необходимо е да се отчита и обстоятелството, че наследници от първи ред, приели наследството, изключват наследници от втори и следващ ред.
В исканата от Дружеството неограничена информация, включително за наследници, съдържаща се в НБД „Население“ фигурират личните данни на всички наследници по закон, като не става ясно как и въз основа на какви съображения дружеството-искател ще прецени на кои точно наследници да изпрати покана за доброволно изпълнение или да насочи исковата си претенция. В този случай е възможно да се осъществи незаконосъобразно обработване чрез предоставяне на лични данни на наследници, които не са приели наследството или които са изключени от процеса по приемане на наследство поради наличие на наследници от по-горен ред.
Твърдението, че наследниците на дадено лице – клиент/длъжник/кредитополучател, са длъжници на дружеството е факт, който следва да бъде доказан. Такова доказване би могло да се осъществи по съответния съдебен ред в рамките на състезателно производство. При необходимост, сезираният съд има правомощие да изиска необходимата му информация или да издаде съдебно удостоверение, въз основа на което страната да получи необходимата му информация.
Гражданскопроцесуалният кодекс (ГПК) предвижда възможността за издаване на съдебно удостоверение в гражданския процес. Основният принцип в ГПК е, че официални документи и удостоверения се представят от страните (чл. 186, изречение първо от ГПК). Допустимо е и самият съд, пред който делото е висящо, да ги изиска от съответното учреждение (чл. 186, изречение второ, предложение първо от ГПК), в случая – длъжностното лице по гражданското състояние. Ако сам не изиска съответните документи от компетентните органи, съдът може да снабди страната със съдебно удостоверение, въз основа на което тя да се снабди със съответните официални документи и удостоверения (чл. 186, изречение второ, предложение второ от ГПК).
В своята практика чрез изразяване на становища КЗЛД нееднократно е застъпвала тезата, че данни за наследници на починали лица, с цел събиране на вземания, могат да се предоставят при наличие на акт на съдебната власт (каквото е именно съдебното удостоверение) (становища с рег. № П-8005/2014 г.; рег. № П-2410/2012 г.; рег. № П- 7287/2014 г.; рег. № П-2392/2011 г.; рег. № П-2458/2016 г. и др.).
Подобно разбиране относно начините за установяване на наследниците на починал наследодател е възприето и в съдебната практика (Решение № 4859 от 08.07.2015 г. по адм. дело № 4858/2015г. на АССГ – София – град; Решение № 5206 от 21.07.2015 г. по адм. дело № 4862/2015 г. на АССГ – София-град; Решение № 5175 от 20.07.2015 г. по адм. дело № 4234/2015 г. на АССГ – София – град, Решение № 13114 от 02.12.2016 г. по адм. дело № 13269/2015 – ВАС и др.).
За пълнота на изложението следва да се отбележи, че КЗЛД споделя аргументите, изложени в становището на МРРБ, ГД „ГРАО“, като също не може да намери правно основание за достъп до лични данни от Регистъра на населението – Национална база данни (РН – НБД) ,,Население“ и Национален електронен регистър на актовете за гражданското състояние (НЕРАГС). Нещо повече, предоставянето на актове за гражданското състояние се извършва по реда на чл. 88а от ЗГР, а не по реда на чл. 106 от ЗГР. Съгласно чл. 88а, ал. 1 от ЗГР документи от НЕРАГС се издават на:
- лицето, за което се отнася актът за раждане, на неговите родители/законните му представители;
- страните по акта за сключен граждански брак;
- наследниците на починалото лице от акта за смърт.
Документите по чл. 88 може да се издават и на трети лица, изрично упълномощени с нотариално заверено пълномощно от лицата по ал. 1 или по реда на Гражданския процесуален кодекс и Наказателно-процесуалния кодекс. Такива документи могат да бъдат издадени и изпратени при служебно писмено поискване от община или държавен орган, когато това е свързано с административното обслужване на лицата, вписани в акта. Следва да се отбележи, че „Топлофикация София“ ЕАД не попада в тази хипотеза, тъй като не е нито община, нито държавен орган. Съгласно § 1, т. 5 от Допълнителните разпоредби на АПК дружеството е организация, предоставяща обществени услуги и извършва комплексно административно обслужване като такава.
Като се има предвид казаното до тук, „Топлофикация София“ ЕАД има право да поиска от Национална база данни „Население“ конкретни справки, чрез системата за междурегистров обмен RegiX, при конкретно дефиниран обем на необходимите лични данни, пропорционален на преследваните законови цели, както и след посочване на конкретното правно основание за това, в случай че такова е налично в специалното законодателство, уреждащо дейността й като например, ако нормативната уредба предвижда служебното откриване на партиди.
По тези съображения и на основание чл. 106, ал. 1, т. 3, пр. 3 от Закона за гражданската регистрация вр. с чл. 10б от Закона за защита на личните данни и чл. 58, пар. 6 от Регламент (ЕС) 2016/679, Комисията за защита на личните данни прие следното
- Не разрешава на Министерство на регионалното развитие и благоустройството (МРРБ), Главна дирекция „ГРАО“ да предостави на „Топлофикация София“ ЕАД директен достъп до регистрите на ЕСГРАОН, а именно: Национална база данни „Население“ и Национален електронен регистър на актове за гражданско състояние за субекти на данни, поради липса на основание за обработване по смисъла на чл. 6, пар. 1 и несъответствие с принципите, прогласени с чл. 5 от Регламент (ЕС) 2016/679.
- „Топлофикация София“ ЕАД има право да поиска от Национална база данни „Население“ конкретни справки, чрез системата за междурегистров обмен RegiX, при конкретно дефиниран обем на необходимите лични данни, пропорционален на преследваните законови цели, както и след посочване на конкретното правно основание за това.
- Администраторът на посочените по-горе регистри, Министерството на регионалното развитие и благоустройството, чрез Главна дирекция „Гражданска регистрация и административно обслужване“, извършва преценка за всяка поискана справка поотделно, като преценява и правното основание за това.
Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София – град.
ПРЕДСЕДАТЕЛ ЧЛЕНОВЕ: