През 2024 г. надзорният оран разглежда искане за становище от дирекция „Консулски отношения“ към Министерството на външните работи относно законосъобразността и допустимостта за преписване на данни за справочни цели
В отчета за 2024 г. на Комисията за защита на личните данни (КЗЛД), внесен в Народното събрание, е публикувано становище, което не може да се прочете в сайта на ведомството:
През отчетната 2024 г. КЗЛД разглежда искане за становище от дирекция „Консулски отношения“ (ДКО) към Министерството на външните работи (МВнР) относно законосъобразността и допустимостта за преписване на данни за справочни цели в друга информационна система от Националната визова информационна система на Република България. Искането е във връзка с липсата на работна ръка в държавата, като се констатира, че през последните години значително са се увеличили заявките от страна на българските работодатели, желаещи да наемат на работа граждани на трети страни. Съгласно действащата нормативна база заявленията с искане за предоставяне на достъп до пазара на труда, както и приложените документи към тях се подават от българските работодатели в съответните териториални звена на МВР – дирекция „Миграция“, след което се препращат до МТСП – Агенция по заетостта и ДАНС за становище. Тъй като цялата документация е на хартиен носител и бива препращана между институциите за становище, процедурата отнема значително време, което води до недоволство от страна на работодателските организации.
В тази връзка се взема решение процесът да бъде електронизиран, като от страна на Министерството на електронното управление (МЕУ) се възлага на „Информационно обслужване“ АД да изготви проект за създаване на Платформа (ППИР), в която да бъде качвана документацията и съответно придвижвана по електронен път между институциите с цел значително съкращаване на сроковете за обработка на заявленията за издаване на единно разрешение за работа и пребиваване и висококвалифицирана заетост. Институциите, които по закон вземат решение в този процес, са Агенцията по заетостта, МВР и ДАНС. МВнР няма отношение и не взема решение дали да бъде издадено, или отказано съответното разрешение.
Регламент (ЕО) № 767/2008 на Европейския парламент и на Съвета от 9 юли 2008 година относно Визовата информационна система (ВИС) и обмена на данни между държави членки относно визите за краткосрочно пребиваване (Регламент за ВИС) определя целта, функциите и отговорностите на Визовата информационна система (ВИС), установена в чл. 1 от Решение 2004/512/ЕО. Той урежда условията и процедурите по обмена на данни между държавите членки по отношение на заявленията за издаване на визи за краткосрочно пребиваване и свързаните с това решения, включително решението за анулиране, отнемане или удължаване на дадена виза, с цел улесняване на разглеждането на заявленията на кандидатите.
Достъпът до ВИС за преглед на данните се запазва изключително за надлежно оправомощени служители на органите на всяка държава членка, които са компетентни за целите, указани в чл. 15 – 22, като достъпът се позволява единствено за изпълнението на техните задачи, свързани с тези цели, и е пропорционален на целите. Цитираната правна норма, съдържаща се в чл. 6 от цитирания по-горе регламент, ясно установява правилото, че не се разрешава достъп до системата по принцип, а само на надлежно оправомощени служители на съответните органи, за конкретно указани цели. Правилата за съхранение на данни във ВИС са установени в чл. 30, а задължение на всяка държава членка е да предотвратява неоправомощената обработка на данни във ВИС.
Регламент (ЕО) № 810/2009 на Европейския парламент и на Съвета от 13 юли 2009 година за създаване на Визов кодекс на Общността (Визов кодекс) определя условията и реда за издаване на визи за транзитно преминаване или за планиран престой на територията на държави членки с продължителност, която не превишава три месеца в рамките на всеки шестмесечен период.
Регламент (ЕО) № 767/2008 и Регламент (ЕО) № 810/2009 препращат към ОРЗД при случаите, когато е налице обработване на лични данни. Всяко едно такова обработване трябва да е в съответствие с принципите, посочени в чл. 5 и с основанията за законосъобразност, изчерпателно и алтернативно изброени в чл. 6, § 1 от ОРЗД. В чл. 5, § 1, б. „б“ от ОРЗД е установен принципът „ограничение на целите“, който изисква данните да са събирани за конкретни, изрично указани и легитимни цели, и не се обработват по-нататък по начин, несъвместим с тези цели. Целите, за които могат да се обработват лични данни за нуждите на ВИС, са изчерпателно изброени в чл. 15 – 22 от Регламент (ЕО) № 767/2008. По-нататъшното им обработване е допустимо само при наличието на друго, самостоятелно правно основание.
Редът за достъп до Националната визова информационна система на Република България и достъпът до Визовата информационна система на Европейския съюз се урежда с Наредба за реда за достъп до Националната визова информационна система на Република България и до Визовата информационна система на Европейския съюз (Наредбата). НВИС се администрира, поддържа и експлоатира от съответните звена в Министерството на външните работи съобразно функционалната им компетентност.
В чл. 2 – 4 от цитираната наредба се изброяват органите, които имат достъп до данни с цел издаване, съгласуване, удължаване, анулиране и отмяна на визи, а в чл. 5 – 13 тези органи с достъп до данни за проверки и справки с цел, различна от издаването на визи, като: проверка на граничните контролно-пропускателни пунктове по външните граници при проверки на територията на страната; за установяване самоличност на чужд гражданин; определяне на отговорността за разглеждане на заявленията за искане на убежище и за разглеждане на заявления за убежища; за предотвратяване, разкриване и разследване на терористични действия и престъпления.
В чл. 15 и следващите от Наредбата се регламентира редът за предоставяне на достъп до НВИС и ВИС на ЕС. Достъп се предоставя на оправомощени служители на посочените в цитирания нормативен акт институции, като правото на достъп е обвързано с конкретно изброени цели на обработването.
ОРЗД изисква данните да са събирани за конкретни, изрично указани и легитимни цели и да не се обработват по-нататък по начин, несъвместим с тези цели. Нито в Регламент (ЕО) № 767/2008, нито в Регламент (ЕО) № 810/2009, нито в Наредба за реда за достъп до Националната визова информационна система на Република България и до Визовата информационна система на Европейския съюз не се посочва като цел за обработването на лични данни, въвеждането им за целите на издаване на единно разрешение за работа и пребиваване и висококвалифицирана заетост в електронна платформа.
Агенцията по заетостта към Министерството на труда и социалната политика не е сред органите, посочени в Наредбата като институциите, чиито оправомощени служители имат право на достъп от автоматизирано работно място за връзка с НВИС.
Създаването на паралелни информационни системи, достъпващи лични данни от НВИС, е в разрез с действащата нормативна уредба. Подобни действия биха били незаконосъобразни. Данните, обработвани в НВИС, се обработват само от компетентните органи, определени с действащото законодателство, а събраните в НВИС данни не могат да се въвеждат в цялост в други информационни системи – възможно е само да се прави справка за конкретно физическо лице, като този достъп трябва да бъде контролиран.
С оглед изложените аргументи Комисията за защита на личните данни изразява следното становище:
- Лични данни, съдържащи се в Националната визова информационна система, могат да бъдат обработвани само и единствено за целите, посочени в Регламент (ЕО) № 767/2008, в Регламент (ЕО) № 810/2009, както и в Наредба за реда за достъп до Националната визова информационна система на Република България и до Визовата информационна система на Европейския съюз, от оправомощени служители по реда, предвиден в цитираните нормативни актове.
- Обработването на лични данни, съхранявани в Националната визова информационна система, чрез пренос на такива данни в други информационни системи следва да се осъществява единствено по реда на разпоредбите на гореописаните актове от оправомощени лица, в отделни случаи, за конкретни лица и при конкретно запитване.
- В тази връзка обработването на лични данни, съдържащи се в НВИС с цел „справочни дейности“, трябва да е в съответствие с нормативните изисквания, посочени в Регламент (ЕО) № 767/2008, в Регламент (ЕО) № 810/2009, както и в Наредбата за реда за достъп до Националната визова информационна система на Република България и до Визовата информационна система на Европейския съюз.