Публикувано на от Duncheva

Второто становище по проект на наредба на КЗЛД

Като чета се питам каква оценка за постигнати резултати ще получат хората, които са написали текста

Публикувах вече становището на Никола Гешев по първата наредба на Комисията за защита на личните данни (КЗЛД). Днес публикувам второто – по приключилата на 9 август обществена консултация по проекта на Наредба № … от … за изискванията и реда за акредитация и отнемане на акредитацията на органи за наблюдение на кодекси за поведение:

„Уважаеми г-жи и г-да,

Представям бележките и предложенията си по проекта на Наредба за изискванията и реда за акредитация и отнемане на акредитацията на органи за наблюдение на кодекси за поведение:

I.Бележки по същество на постановителната част на проектонаредбата

  1. Чл. 2 от проекта на наредба не отчита изключението по чл. 41, пар. 6 от Регламент (ЕС) 2016/679. Проектът категорично предвижда, че спазването на всеки одобрен кодекс за поведение се наблюдава от орган за наблюдение. Чл. 41, пар. 6 от Регламент (ЕС) 2016/679 обаче изрично постановява, че чл. 41 не се прилага спрямо обработването, извършвано от публичните власти и органи. Това изключение е изрично отчетено и в Насоки 1/2019 на ЕКЗД.

Предлагам чл. 2 да се редактира по следния начин:

„Спазването на кодекс за поведение, одобрен при условията и по реда на Глава четвърта, раздел VIII от Правилника за дейността на КЗЛД и на нейната администрация, се наблюдава от акредитиран орган за наблюдение в съответствие с чл. 41 от Регламент (ЕС) 2016/679, освен в случаите по чл. 41, пар. 6 от същия регламент.“

  1. Чл. 3 от проекта на наредба създава ненужно впечатление за изчерпателно изброяване на обжалваемите решения. Посочени са решенията по чл. 7 и 9 и отказите за подновяване по чл. 8, ал. 2. Чл. 78, пар. 1 от Регламент (ЕС) 2016/679 обаче гарантира на всяко физическо или юридическо лице ефективна съдебна защита срещу всяко правно обвързващо решение на надзорен орган, което го засяга. В този си вид редакцията на чл. 3 поражда впечатление, че съдебният контрол върху други актове на КЗЛД е изключен.

Предлагам чл. 3 да се редактира по следния начин:

„Решенията на Комисията за защита на личните данни по тази наредба подлежат на обжалване по реда на Административнопроцесуалния кодекс в 14-дневен срок от получаването им.“

Така няма да се създава аргумент a contrario, че непосочен акт не подлежи на обжалване.

  1. Не е достатъчно ясно кой е страна в производството по акредитация. Чл. 4 говори за „кандидата за акредитация“, но чл. 5, ал. 2 възлага на отговарящия за прилагането на кодекса, а не на самия кандидат, да приложи доказателствата за съответствието му. Това е особено важно, когато органът за наблюдение е външен спрямо издателя на кодекса. Акредитацията поражда права и задължения непосредствено за него, а неизпълнението на задълженията му по чл. 41, пар. 4 от Регламент (ЕС) 2016/679 може да доведе и до административна санкция по чл. 83, пар. 4, б. „в“ от същия регламент.

Предложение: Да се предвиди самостоятелно заявление или поне изрично писмено изявление на кандидата, че желае да бъде акредитиран за конкретния кодекс, че приема приложимите изисквания и представя/потвърждава доказателствата за тяхното изпълнение. Добре е изрично да се определи и процесуалното му качество в производството.

  1. Чл. 5, ал. 1 урежда само първоначалната акредитация заедно с одобряването на кодекса, но не урежда достатъчно ясно последващата смяна или добавяне на орган за наблюдение. Според текста процедурата по акредитация е „неразделна част“ от процедурата за одобряване на кодекса, като единственото изрично изключение е подновяването на акредитацията. На практика обаче може да възникне необходимост вече одобрен кодекс да смени органа си за наблюдение, да добави втори такъв или акредитацията на първоначалния орган да бъде отнета. В Насоки 1/2019 ЕКЗД приема, че кодексът може да има „monitoring body (or bodies)“, а акредитацията е свързана с конкретния кодекс.

Предложение: Да се създаде изрична процедура за акредитиране на нов или допълнителен орган за наблюдение по вече одобрен кодекс и да се уреди връзката ѝ с процедурата за изменение на кодекса по Правилника на КЗЛД.

  1. Изискването всички документи да бъдат представяни в оригинал или нотариално заверено копие е прекомерно формалистично. Чл. 5, ал. 2 предвижда именно това. Същевременно Приложение № 1 допуска като доказателства огромен набор документи – трудови договори, длъжностни характеристики, документи от трудови досиета, правила за възнаграждения, организационни структури и др. Практически би се стигнало до нотариално заверяване на значителен обем вътрешна документация, без това непременно да увеличава надеждността на оценката.

Предложение: Да се допуска представяне на обикновени или електронни копия, заверени от кандидата, а оригинал или нотариално заверено копие да се изисква само при конкретно съмнение относно автентичността или когато това произтича от друг закон. За проверяване и удостоверяване на обстоятелства в публични регистри следва да се прилага служебна проверка.

  1. Удостоверението за акредитация е с недостатъчно съдържание. Проектът предвижда само наименование и адрес на органа, уникален номер, наименование на кодекса и дата/подпис. Липсват например: датата на изтичане; номерът и датата на решението на КЗЛД; информация дали органът е вътрешен или външен; евентуални ограничения или условия; версията на кодекса, за която се отнася акредитацията. Освен това чл. 6, ал. 3, т. 2 говори за „сертификата за акредитация“, докато ал. 3 определя документа като „удостоверение за акредитация“.

Предложение: Да се използва единствено „удостоверение за акредитация“ и да се добавят поне номерът и датата на решението, срокът на акредитацията и точният кодекс/версия, за който тя е валидна.

  1. Има несъответствие относно срока на акредитацията. Според чл. 6, ал. 4 удостоверението се издава за срока, предвиден в кодекса, а само ако той е по-дълъг от пет години – за пет години. В т. 47 от Приложение № 1 обаче правилото е формулирано обратно: акредитацията се издава за пет години, освен ако кодексът предвижда по-кратък срок. При кодекс без предварително определен срок чл. 6, ал. 4 не дава ясен отговор.

Предложение: Да се възприеме единен подход, например:

„Акредитацията се предоставя за срок пет години, освен когато срокът на действие на кодекса за поведение е по-кратък.“

  1. Чл. 8, ал. 2 предвижда твърде неопределена възможност за отказ за подновяване. Единствената формулировка е „КЗЛД може да откаже да поднови акредитацията … с мотивирано решение“. Липсват материалните основания за отказ. По логиката на чл. 41 от Регламент (ЕС) 2016/679 подновяването следва да зависи от това дали органът продължава да отговаря на изискванията за акредитация и дали изпълнява надлежно функциите си.

Предложение: Да се запише изрично, че КЗЛД подновява акредитацията, когато изискванията продължават да са изпълнени, и отказва подновяване при тяхното неизпълнение. Следва да се уреди и какво се случва, ако своевременно подадено искане за подновяване не бъде разгледано и липсва решение на КЗЛД до изтичането на текущата акредитация.

  1. Проекторазпоредбата на чл. 9, ал. 2 гласи, че отнемането на акредитацията има за последица автоматично преустановяване прилагането на кодекса за поведение. Това не следва непосредствено от чл. 41, пар. 5 от Регламент (ЕС) 2016/679. Той урежда единствено отнемането на акредитацията, когато изискванията вече не са изпълнени или органът нарушава регламента. Насоки 1/2019 на ЕКЗД формулират последицата по-гъвкаво: отнемането на акредитацията на единствения орган за наблюдение може да доведе до спиране или окончателно оттегляне на кодекса. Тоест това не е автоматична и неизбежна правна последица във всеки случай.

Възможно е:

  • кодексът да има повече от един акредитиран орган;
  • да бъде определен нов орган;
  • нарушението да е свързано само с конкретния орган, а не със съдържанието и пригодността на самия кодекс;
  • да е целесъобразно временно спиране, а не окончателно преустановяване.

Освен това законовата делегация в чл. 14а, ал. 3 от ЗЗЛД е за изискванията и реда за акредитация и отнемане на акредитация, което поражда въпрос дали с наредбата може автоматично да се установява и самостоятелна правна последица за действието на вече одобрения кодекс.

Поради това, предлагам чл. 9, ал. 2 да отпадне или да бъде заменен например с:

„Когато в резултат на отнемането на акредитацията кодексът за поведение остане без акредитиран орган за наблюдение, Комисията предприема действия по отношение на действието на кодекса в съответствие с Регламент (ЕС) 2016/679 и Правилника за дейността на КЗЛД и на нейната администрация.“

Още по-добре би било да се даде възможност в определен срок да бъде предложен нов орган, преди да се решава въпросът за спиране или оттегляне на кодекса.

  1. Липсва реална процедура за отнемане на акредитацията. Чл. 9, ал. 1 практически само препраща към чл. 41, пар. 5 от Регламент (ЕС) 2016/679 и Приложение № 1. Не е уредено как КЗЛД установява отпадане на изискванията, как се започва производството, как се уведомява органът, има ли право на становище, как се оценяват корективните действия и кога нарушението изисква незабавно отнемане. В края на приложението единствено се посочва, че КЗЛД може да изисква информация и сама да инициира проверки. Това е недостатъчно за наредба, чиято законова делегация изрично включва „реда за … отнемане“.

Предложение: Раздел IV да бъде допълнен с производство по отнемане – основания, начало, уведомяване, доказателства, право на становище, срок и решение.

II.Бележки по Приложение № 1 от проектонаредбата

  1. Заглавието на Приложение № 1 следва да бъде прецизирано. В момента е записано, че това са изисквания, „приети с решение на КЗЛД от 20.07.2022 г. и във връзка със Становище 14/2022“. След приемането на наредбата обаче правното основание за задължителността им ще бъде именно наредбата, а не решението от 2022 г.

Становище 14/2022 е акт на ЕКЗД в механизма за съгласуваност по чл. 64 от Регламент (ЕС) 2016/679, а не самостоятелен източник на националните критерии. Чл. 41, пар. 3 и чл. 64, пар. 1, б. „в“ предвиждат проектът на изискванията да бъде представен на ЕКЗД за становище.

Предложение за редакция на заглавието:

„Изисквания за акредитация на орган за наблюдение на кодекс за поведение по чл. 41 от Регламент (ЕС) 2016/679“.

Историята на приемането и Становище 14/2022 са елемент от мотивите към проекта на наредба.

  1. Процедурата по жалби не трябва да изглежда като заместител на защитата пред КЗЛД. Приложението създава доста детайлна частна процедура – безплатно подаване, състезателност, срокове, решение и корективни мерки. Това е допустимо и дори необходимо по чл. 41, пар. 2, б. „в“ от Регламент (ЕС) 2016/679, но трябва да е абсолютно ясно, че не засяга правото на субекта на данни да сезира КЗЛД или съда.

Самият Регламент (ЕС) 2016/679 изрично гарантира правата по чл. 77 и 79 независимо от други извънсъдебни механизми.

Предлагам да се добави:

„Процедурата за разглеждане на жалби пред органа за наблюдение не ограничава и не е предварително условие за упражняване на правото на жалба пред компетентен надзорен орган или на правото на съдебна защита по Регламент (ЕС) 2016/679.“

Също така е препоръчително изразът „състезателно производство“ да се замени с „процедура, гарантираща правото на страните да бъдат изслушани и да представят становище и доказателства“, защото органът за наблюдение може да бъде частноправен субект и да не осъществява административно производство в класическия смисъл.

III. Правно-технически бележки

  1. Съгласно чл. 40, ал. 2, т. 3 от Указ № 883, когато се прави препращане към разпоредби от актове на правото на ЕС, освен означението на разпоредбите, се посочва наименованието на акта с неговия номер и дата, органът, който го е приел, а при първото препращане – и съответният брой на „Официален вестник“ на Европейския съюз, където актът е публикуван на български език; „Официален вестник“ на Европейския съюз се посочва със съкращение „ОВ“. Съобразявайки това изискване, при първото препращане в чл. 1 от проекта на наредба към разпоредби от Регламент (ЕС) 2016/679, той трябва да бъде изписан по следния начин: Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ, L 119/1 от 4 май 2016 г.).
  2. В чл. 1 думата „орган(и)“ да се замени с „органи“.
  3. В чл. 6, ал. 3, т. 1 думите „адреса на неговото седалище“ да се заменят с „адрес на седалището му“.
  4. В чл. 4, ал. 2, т. 8 вместо знак за точка и запетая трябва да се постави точка.
  5. В чл. 6, ал. 3, т. 3 думата „органа“ да се изпише с пълен член.
  6. В чл. 7 съкращението „ал.“ трябва да се замени с „пар.“.
  7. Приложение № 1 след заключителната разпоредба трябва да препраща към чл. 4, ал. 3, а не към чл. 3, ал. 3.
  8. В Приложение № 1, т. 2 думата „правноорганизационна“ трябва да се замени с „правноорганизационната“.
  9. В Приложение № 1, т. 12 съкращението „по см. на“ следва да се замени с „по смисъла на“.
  10. В Приложение № 1, т. 26 думите „подходяща правна“ трябва да се заменят с „подходящи правни“, за да се съгласуват с останалата част от изречението.
  11. В Приложение № 1, т. 37 на две места думите „корективи“ да се заменят с „корективни“. Същото важи и за т. 38.
  12. За целите на правната яснота е необходимо в Приложение № 1 да се уеднаквят понятията „орган за наблюдение“ и „наблюдаващ орган“.

IV. Предложения за нови редакции на някои от проекторазпоредбите на наредбата

На чл. 1:

Чл. 1. (1) С тази наредба се определят изискванията и редът за акредитация, подновяване и отнемане на акредитацията на органи за наблюдение на кодекси за поведение по чл. 41 от Регламент (ЕС) 2016/679.

(2) Изискването за наличие на акредитиран орган за наблюдение не се прилага по отношение на обработване на лични данни, извършвано от публични органи и структури в случаите по чл. 41, параграф 6 от Регламент (ЕС) 2016/679.

На чл. 2:

Чл. 2. (1) Когато е приложим чл. 41 от Регламент (ЕС) 2016/679, спазването на одобрен кодекс за поведение се наблюдава от един или повече органи за наблюдение, акредитирани от Комисията за защита на личните данни за съответния кодекс.

(2) Акредитацията се предоставя за конкретен кодекс за поведение и удостоверява съответствието на органа за наблюдение с изискванията, приложими към наблюдението на този кодекс.

На чл. 3:

Чл. 3. Решенията на Комисията за защита на личните данни по тази наредба подлежат на обжалване по реда на Административнопроцесуалния кодекс.

На чл. 4:

Чл. 4. (1) За орган за наблюдение може да бъде акредитирано лице или организационно обособена структура, която отговаря на изискванията на чл. 41, параграфи 1 и 2 от Регламент (ЕС) 2016/679 и на Приложение № 1.

(2) Органът за наблюдение може да бъде външен или вътрешен по отношение на отговарящия за прилагането на кодекса за поведение.

(3) Когато кандидатът е вътрешна структура без самостоятелна правосубектност, в производството по акредитация се посочва юридическото лице, в чиято структура е създаден, както и правната и организационната уредба, която гарантира функционалната му независимост и позволява еднозначно определяне на субекта, носещ отговорност за неизпълнение на задълженията по чл. 41 от Регламент (ЕС) 2016/679.

(4) При акредитацията Комисията извършва оценка на:

  1. независимостта и безпристрастността;
  2. предотвратяването и управлението на конфликти на интереси;

3 наличието на подходящ експертен капацитет;

  1. наличието на достатъчни човешки, финансови, технически и организационни ресурси;
  2. процедурите за оценяване на допустимостта на членовете на кодекса и за наблюдение на спазването му;
  3. процедурите за независимо, безпристрастно и прозрачно разглеждане на жалби;
  4. процедурите за комуникация с Комисията;
  5. механизмите за периодичен преглед на действието на кодекса;
  6. правния и организационния статут, необходим за ефективното изпълнение на задълженията и ангажиране на отговорността на органа за наблюдение.

На чл. 5:

Чл. 5. (1) При първоначалното одобряване на кодекс за поведение процедурата по акредитация на предложения орган за наблюдение е част от производството по одобряване на кодекса по глава четвърта, раздел VIII от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация.

(2) Към искането за одобряване на кодекса отговарящият за прилагането му представя документите и информацията за кандидата, предвидени в Приложение № 1.

(3) Към документите по ал. 2 се прилага изрично писмено заявление от кандидата за акредитация, с което той:

  1. заявява съгласие да изпълнява функциите на орган за наблюдение на съответния кодекс;
  2. декларира съответствието си с изискванията за акредитация;
  3. поема задължение да поддържа съответствието с тези изисквания през целия срок на акредитацията;
  4. се задължава да уведомява Комисията за съществени промени в обстоятелствата, относими към акредитацията.

(4) Документите се представят в оригинал, като електронен документ или като копие, заверено от кандидата. Комисията може да изиска представяне на оригинал или официално заверено копие, когато това е необходимо за установяване на автентичността на документа.

(5) Не се изисква представяне на документи и данни, които Комисията може да получи служебно от публичен регистър.

(6) При предложение за замяна или добавяне на орган за наблюдение към вече одобрен кодекс искането се подава от отговарящия за прилагането на кодекса съвместно с кандидата за акредитация. Производството се провежда при съответно прилагане на правилата за изменение и допълнение на одобрен кодекс за поведение.

На чл. 6:

Чл. 6. (1) При първоначално одобряване на кодекса Комисията се произнася по акредитацията с решението по чл. 67, ал. 4 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация.

(2) При акредитация на нов или допълнителен орган за наблюдение на вече одобрен кодекс Комисията се произнася с мотивирано решение.

(3) Въз основа на решението за акредитация Комисията издава удостоверение, което съдържа:

  1. наименование и идентификационни данни на акредитирания орган;
  2. посочване дали органът е вътрешен или външен;
  3. наименование и версия на кодекса за поведение;
  4. номер и дата на решението за акредитация;
  5. уникален номер на удостоверението;
  6. начална и крайна дата на действие на акредитацията;
  7. ограничения или условия на акредитацията, когато са приложими;
  8. подпис на председателя на Комисията.

(4) Акредитацията се предоставя за срок пет години, освен когато кодексът за поведение предвижда по-кратък срок за изпълнение на функциите на органа за наблюдение.

На чл. 7:

Чл. 7. (1) Когато в рамките на производството по първоначално одобряване на кодекса се установи несъответствие на кандидата с изискванията за акредитация, се прилага чл. 67, ал. 3 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация.

(2) В самостоятелно производство по акредитация на нов или допълнителен орган за вече одобрен кодекс Комисията отказва акредитацията с мотивирано решение, когато кандидатът не докаже съответствие с изискванията по чл. 41 от Регламент (ЕС) 2016/679 и Приложение № 1.

На чл. 8:

Чл. 8. (1) Не по-късно от три месеца преди изтичането на срока на акредитацията акредитираният орган за наблюдение подава до Комисията искане за нейното подновяване. Към искането се прилага потвърждение от отговарящия за прилагането на кодекса за продължаване изпълнението на функциите по наблюдение от същия орган.

(2) Към искането се прилагат актуални доказателства за продължаващото изпълнение на изискванията за акредитация и доклад за дейността през изтичащия период, включващ най-малко:

  1. извършените дейности по наблюдение;
  2. извършените проверки и одити;
  3. разгледаните жалби;
  4. констатираните нарушения и предприетите действия;
  5. настъпилите съществени организационни, финансови или кадрови промени;
  6. извършените периодични прегледи на действието на кодекса.

(3) При оценката Комисията може да изисква допълнителна информация и да извършва проверка на продължаващото съответствие с изискванията за акредитация.

(4) Комисията подновява акредитацията, когато органът продължава да изпълнява изискванията по чл. 41 от Регламент (ЕС) 2016/679 и Приложение № 1.

(5) Комисията отказва подновяване с мотивирано решение, когато изискванията по ал. 4 не са изпълнени.

На чл. 9:

Чл. 9. (1) Комисията отнема акредитацията, когато:

1.изискванията за акредитация не са или вече не са изпълнени; или

  1. предприети от органа за наблюдение действия нарушават Регламент (ЕС) 2016/679 или Закона за защита на личните данни.

(2) Производството по отнемане на акредитацията започва по инициатива на Комисията.

(3) Органът за наблюдение се уведомява за започването на производството и за установените обстоятелства и му се предоставя възможност в определен от Комисията срок да представи становище и доказателства.

(4) Когато естеството на установеното несъответствие позволява неговото отстраняване и това не създава непосредствен риск за ефективността и независимостта на наблюдението, Комисията може преди постановяване на решението да даде подходящ срок за отстраняването му.

(5) Акредитацията се отнема с мотивирано решение. Комисията уведомява незабавно отговарящия за прилагането на кодекса и отразява промяната в регистъра по чл. 15, ал. 1, т. 3 от Закона за защита на личните данни.

(6) Когато вследствие на отнемането кодекс за поведение, за който се прилага чл. 41 от Регламент (ЕС) 2016/679, остане без акредитиран орган за наблюдение, Комисията определя на отговарящия за прилагането на кодекса подходящ срок за предложение на нов орган за наблюдение.

(7) Когато в срока по ал. 6 не бъде предложен и акредитиран нов орган за наблюдение, Комисията предприема действия по отношение на действието на одобрения кодекс в съответствие с Регламент (ЕС) 2016/679 и приложимия ред за изменение или оттегляне на кодекса.“