На 20.10.2023 г. в брой 88 на „Държавен вестник“ бяха обнародвани промени в ЗЗЛПСПОИН
Комисията за защита на личните данни актуализира отговорите на „Често задавани въпроси” по Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения.
Както писах на 23.10.2023 г. , когато Публикуваха промените в закона за сигналите за нарушения, КЗЛЛД изготви нови версии на „част от информацията, публикувана в раздел „Разяснителни материали по ЗЗЛПСПОИН” на институционалния си сайт. Публикувам някои от въпросите и отговорите, без претенции за изчерпателност:
- Кой сигнал попада в обхвата на ЗЗЛПСПОИН?
В обхвата на закона попадат сигнали, които отговарят едновременно на следните условия:
- подадени са от лице, имащо някое от качествата по чл. 5;
- наличен е работен контекст по смисъла на § 1, т. 4 от Допълнителните разпоредби на закона; и
- засягат действия или бездействия, които са:
а) незаконосъобразни и са свързани с българското законодателство или актовете на Европейския съюз в областите, посочени в чл. 3 на закона; или
б) противоречат на предмета или целта на правилата в актовете на Европейския съюз и областите, посочени в чл. 3 от закона.
- Може ли управляващ или представляващ задължен субект по чл. 12, ал. 1 от ЗЗЛПСПОИН да изпълнява функциите на служител, отговарящ за разглеждането на сигнали за същия задължен субект?
Не. Разпоредбите на ЗЗЛПСПОИН и Директива (ЕС) 2019/1937 поставят изисквания за независимост и липса на конфликт на интереси към лицето, което отговаря за разглеждането на сигнали по смисъла на това законодателство. Изпълнението на тези функции от управляващ или представляващ задължен субект по чл. 12, ал. 1 от ЗЗЛПСПОИН би накърнило изначално тези нормативни изисквания.
- Може ли повече от едно лице да изпълнява функциите по разглеждане на сигнали в структурата на един задължен субект?
Съгласно чл. 14, ал. 1 от ЗЗЛПСПОИН задължените субекти могат да определят един или повече служители, които отговорят за разглеждането на сигнали за нарушения. Допустимо е тези служители както да бъдат обособени в едно звено, така и да бъдат служители от различни структурни звена на задължения субект. Няма пречка всеки един от тези служители да изпълнява функциите по разглеждане на сигнали в определена предметна област съобразно неговата експертиза или един служител да изпълнява тези функции, като всички останали го подпомагат в дейността по разглеждането на сигналите. С цел отчетност и ангажиране на отговорността по ЗЗЛПСПОИН е целесъобразно въпросните лица да бъдат предварително поименно определени в нарочен акт на задължения субект. Преценката за конкретната организация на дейността на служителите, отговарящи за разглеждането на сигнали, е на задължения субект, като тя не трябва да води до нарушения на задължения по ЗЗЛПСПОИН или на правото на защита на лицата по чл. 5 от закона.
- Може ли служителят за разглеждане на сигнали в компанията-майка в чужбина да разглежда сигнали, подадени за нарушения в дъщерно дружество, установено в България?
Ако дъщерното дружество, установено в България, има качеството на „работодател“ по смисъла на § 1, т. 2 от ДР на ЗЗЛПСПОИН, същото се явява самостоятелен задължен субект по закона и следва да определи собствен служител/звено за разглеждане на сигнали. Задължените субекти само от частния сектор могат да възлагат функциите единствено по приемане и регистриране на сигнали за нарушения на друго физическо или юридическо лице извън тяхната структура, при спазване изискванията на този закон. В тези случаи служителят, отговорен за разглеждането на сигнала, следва да гарантира правата на сигнализиращото лице и спазването на задълженията на задължения субект, независимо от избраните технически и организационни средства за изпълнението им (вкл. езикът на комуникация).
- Как следва да процедира служителят, отговарящ за разглеждането на сигнали по вътрешния канал, при получаването на сигнал срещу работодателя на сигнализиращото лице – трябва ли да извърши вътрешна проверка по сигнала или трябва да го препрати за разглеждане от КЗЛД?
Такъв сигнал следва да бъде разгледан вътрешно от служителя, отговарящ за разглеждането на сигнали и в случай че изнесените в сигнала факти бъдат потвърдени, служителят трябва да насочи сигнализиращото лице към едновременно сигнализиране и на КЗЛД. Служителят, отговарящ за разглеждането на сигнала, няма задължение да препрати сигнала на КЗЛД, а единствено е длъжен да укаже на сигнализиращото лице, че разполага с правна възможност да подаде сигнала си и към КЗЛД. Действието по насочване на сигнализиращото лице трябва да бъде надлежно документирано от служителя, отговарящ за разглеждането на сигнала предвид необходимостта от доказване спазването на това негово задължение (арг. чл. 16, т. 11, б. „г“, пр. 2 от ЗЗЛПСПОИН).
- Може ли задължен субект от публичния сектор, имащ външно длъжностно лице по защита на данните, да възложи на същото и функциите на служител, отговарящ за приемането, регистрирането и разглеждането на сигнали по ЗЗЛПСПОИН?
Не. По силата на чл. 14, ал. 5 от закона единствено задължените субекти от частния сектор имат правна възможност да възлагат функциите по приемане и регистриране на сигнали за нарушения на друго физическо или юридическо лице извън своята структура. Разглеждането на сигнала също не може да бъде възлагано на лице извън структурата на задължения субект. Това обаче не ограничава възможността задълженият субект да бъде подпомаган от друго физическо или юридическо лице извън структурата му чрез консултации.
- Трябва ли задълженият субект да уведомява КЗЛД за определения или определените служители, отговарящи за разглеждането на сигнали по ЗЗЛПСПОИН?
Не. Задълженият субект няма законово задължение да информира КЗЛД за определения или определените служители, отговарящи за разглеждането на сигнали по ЗЗЛПСПОИН, вкл. в случаите на възлагане на тези функции на външно за структурата на задължения субект физическо или юридическо лице, както и при промяна на тези служители. Такава информация се предоставя само при изрично поискване от КЗЛД за целите на упражнявания от нея контрол по ЗЗЛПСПОИН.
- Какъв е срокът за съхранение на сигналите и приложените към тях материали, вкл. последващата документация, свързана с разглеждането им?
Сигналите и приложените към тях материали, включително последващата документация, свързана с разглеждането им, се съхраняват от задължения субект по чл. 12, ал. 1 от закона за срок от 5 години след приключване на разглеждането на сигнала от него, освен при наличието на образувано наказателно, гражданско, трудовоправно и/или административно производство във връзка с подадения сигнал (арг. чл. 8 от Наредба № 1 от 27 юли 2023 г. за воденето на регистъра на сигналите по чл. 18 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения и за препращане на вътрешни сигнали към Комисията за защита на личните данни, обн. ДВ. бр. 67 от 4 август 2023 г, в сила от 04.08.2023 г.).
- Трябва ли да се препраща към КЗЛД всеки сигнал, получен по вътрешен канал?
Не, служителят/служителите, отговарящи за разглеждането на сигнали, не следва да препращат на КЗЛД всеки получен при тях сигнал, подаден по вътрешен канал. Хипотезите на препращане на сигнали от вътрешен канал към КЗЛД са изчерпателно определени в Глава IV на Наредба № 1 от 27 юли 2023 г. за воденето на регистъра на сигналите по чл. 18 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения и за препращане на вътрешни сигнали към Комисията за защита на личните данни.
- Какво следва да предприеме задължен субект по чл. 12, който е получил сигнал по вътрешния си канал, прегледът на който е показал, че касае дейността на друг задължен субект?
Ако след приемането и регистрирането на сигнала с УИН, служителят, отговарящ за разглеждането на сигнали в структурата на задължения субект, при когото първоначално е постъпил сигналът, установи, че сигналът се отнася до дейността на друг задължен субект, този служител препраща сигнала по компетентност към вътрешния канал на другия задължен субект, за което се уведомява сигнализиращото лице. В този случай сигналът се препраща в неговата цялост, вкл. с получения УИН, като за препращането се прави отметка в регистъра по чл. 18, ал. 1. При получаването на препратения сигнал съответният служител, отговарящ за приемането и регистрирането на сигнали, регистрира сигнала в регистъра по чл. 18, ал. 1 от закона под същия УИН и прави отметка за препращането. При невъзможност да се установи кой е задълженият субект, който е компетентен да предприеме действия по сигнала, същият се препраща към КЗЛД в изпълнение на чл.11, ал.1, т. 3 от Наредба № 1 от 27 юли 2023 г. за воденето на регистъра на сигналите по чл. 18 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения и за препращане на вътрешни сигнали към Комисията за защита на личните данни.
- Как задълженият субект следва да изпълни задължението си по чл. 12, ал. 4 от закона за предоставяне на ясна и лесно достъпна информация относно условията и реда за подаване на сигнали, при положение, че няма интернет страница?
В случай че задълженият субект няма интернет страница, а създаването и поддържането на такава само и единствено за целите на ЗЗЛПСПОИН, се явява прекомерна и непропорционална административна, организационна, финансова и/или друга тежест за него, последният може да изпълни задължението си за предоставяне на информация чрез оповестяването ѝ по подходящ начин на видно място в офисите и работните помещения.
- Как постъпва компетентен орган по чл. 20 от ЗЗЛПСПОИН, когато при него постъпи сигнал?
Компетентните органи имат двояко качество: задължен субект по чл. 12, който е длъжен да изгради и поддържа вътрешен канал по см. на ЗЗЛПСПОИН и компетентен орган, който, в рамките на своята компетентност по съответния специален закон, е овластен по чл. 20 от извършва проверка на даден сигнал, попадащ в обхвата на ЗЗЛПСПОИН.
Когато орган по чл. 20 от ЗЗПСПОИН получи по вътрешния си канал сигнал в качеството си на задължен субект по чл. 12 от закона, той предприема следното:
- Прави първоначален формален преглед дали сигналът попада в обхвата на ЗЗЛПСПОИН (вж. отговора на въпрос 3, по-специално т. 3).
- Ако преценката по т. 1. покаже, че сигналът попада в обхвата на чл. 3 от ЗЗЛПСПОИН, същият предприема действия за получаване на УИН за сигнала и регистрира сигнала в регистъра по чл. 18 от ЗЗЛПСПОИН.
- След извършване на действията по т. 2 служителят/служителите, отговарящ/и за разглеждането на сигнали, извършват преценка дали сигналът е подаден към тях в качеството им на задължен субект по чл. 12 от ЗЗЛПСПОИН (като работодател в работен контекст в широк смисъл за сигнализиращото лице – вж. § 1 от ДР на ЗЗЛПСПОИН, т. 2 и т. 4 и чл. 5) или в качеството им на компетентен орган по см. на чл. 20 от ЗЗЛПСПОИН (като орган, компетентен да разглежда сигнали за нарушения, попадащи в обхвата на ЗЗЛПСПОИН).
- Когато анализът по т. 2 покаже, че сигналът е подаден в хипотезата на задължен субект (като работодател в работен контекст) служителят/ите, отговарящ/и за разглеждане на сигнали извършва действията по чл. 15 и следващите от ЗЗЛПСПОИН. В този случай сигналът не се препраща към КЗЛД, освен в хипотезата на чл. 16, т. 11, б. „г“ от ЗЗЛПСПОИН. Редът и условията за препращане на сигнали в този случай са предмет на уредба в Наредба № 1 от 27 юли 2023 г. за воденето на регистъра на сигналите по чл. 18 от Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения и за препращане на вътрешни сигнали към Комисията за защита на личните данни.
- Когато анализът по т. 3 покаже, че сигналът е подаден в хипотезата на компетентен орган, съответният ръководител на органа по чл. 20 е длъжен незабавно да препрати сигнала до КЗЛД. В тази хипотеза е недопустимо компетентният орган да започне проверка по същество на сигнала. Само в хипотезата на чл. 28, ал. 3 от закона съответният орган извършва проверката по съществото на сигнала.
- Има ли срок защитата по ЗЗЛПСПОИН?
Нито Директива (ЕС) 2019/1937, нито законът въвеждат срок за осигуряване на защитата на лицата, на които тя се следва.
- Може ли да се ползва от защитата по ЗЗЛПСПОИН лице, в случай че е подавало сигнали за нарушения преди влизането в сила на закона (4 май 2023 г.) и вследствие на това е претърпяло или търпи репресивни ответни действия от страна на работодателя си?
Разпоредбата на чл. 6 от ЗЗЛПСПОИН определя условия за защита на сигнализиращите лица. Според нея лице, подаващо сигнал за нарушения чрез вътрешен или външен канал по смисъла на този закон, има право на защита, при условие че:
– е имало основателна причина да счита, че подадената информация за нарушението в сигнала е била вярна към момента на подаването ѝ и че тази информация попада в обхвата на чл. 3; и
– е подало сигнал за нарушение при условията и по реда на този закон.
Следователно подателите на сигнали, попадащи в приложното поле на чл. 3 от закона, но подадени от тях до съответните компетентни органи преди влизането в сила на ЗЗЛПСПОИН, не могат да се ползват със защитата, предоставяна от този закон. Сигнализиращото лице може да се ползва от защитата на ЗЗЛПСПОИН, само ако са реализирани едновременно горните две условия и не са налице пречките за образуване на производство по чл. 9 от същия закон.
- Има ли максимален и минимален размер на обезщетението, което може да се претендира от сигнализиращото лице за претърпени от него имуществени и/или неимуществени вреди вследствие подаването на сигнал по ЗЗЛПСПОИН?
По силата на чл. 34 от ЗЗЛПСПОИН сигнализиращото лице има право на обезщетение за претърпени от него имуществени и неимуществени вреди, в случай че се установи нарушение на забраната за ответни действия по чл. 33 от същия закон. Ако настъпилите вреди са във връзка с подадения сигнал, същите се считат за причинени умишлено до доказване на противното (чл. 37 от ЗЗЛПСПОИН). Законът не поставя нито долен, нито горен праг на размера на обезщетение.
Като централен орган за външно подаване на сигнали по ЗЗЛПСПОИН КЗЛД няма правомощие да определя и присъжда обезщетение за имуществени и/или неимуществени вреди, претърпени от сигнализиращото лице във връзка с подадения от него сигнал. Такова правомощие има единствено съдът, пред който сигнализиращото лице може да претендира обезщетение по общия исков ред.
- Абсолютна ли е забраната по чл. 33 от ЗЗЛПСПОИН и може ли работодателят да прилага по правомерен начин (извън режима на този закон) предвидените в същата разпоредба действия?
Разпоредбата на чл. 33, ал. 1, т. 1 – 15 от ЗЗЛПСПОИН въвежда принципна забрана за работодателите или други лица, които биха могли да извършат или не, някое от посочените в нея примерни ответни действия. По смисъла на § 1, т. 11 от ДР на закона „ответни действия“ са всяко пряко или непряко действие или бездействие, което настъпва в работен контекст, предизвикано е от вътрешно или външно подаване на сигнал или от публично оповестяване, и което причинява или може да причини неблагоприятни последици, увреждащи лице по чл. 5 от ЗЗЛПСПОИН.
Съгласно съобр. 44 от преамбюла на Директива (ЕС) 2019/1937, за да може това неблагоприятно третиране да се счита за ответно действие с цел отмъщение и в резултат на това сигнализиращото лице да може да се ползва от правна защита в това отношение, следва да има тясна причинно-следствена връзка между сигнала и неблагоприятното третиране, на което пряко или непряко е подложено сигнализиращото лице. Това обаче не следва да възпрепятства работодателите да вземат решения, свързани със заетостта, които не са предизвикани от подаването на сигнал или публичното оповестяване.
Именно в този смисъл е и разпоредбата на чл. 40, ал. 2, изр. второ от ЗЗЛПСПОИН, съгласно която не се смята, че ответното действие е извършено като реакция на подаден от лицето сигнал или публично оповестена информация, когато от преценката на всички обстоятелства може да се направи обоснован извод, че е налице друго правно основание за прилагането на мярката.
При възникнал спор обаче (в съдебно или административно производство) за предприети ответни действия по чл. 33, работодателят трябва да докаже, че предприетите от него действия спрямо сигнализиращото лице нямат никаква причинно-следствена връзка с подадения от него сигнал.
С цел пълнота на настоящия отговор заслужва да се отбележи и обстоятелството, че не всички действия, изброени в чл. 33, ал. 1, т. 1 – 15 от ЗЗЛПСПОИН, могат да бъдат извършени правомерно (напр. принуда, пряка или непряка дискриминация и пр.).
В по-широк план, упражняването на правото на защита на сигнализиращите лица срещу ответни действия по смисъла на ЗЗЛПСПОИН, не следва да води до злоупотреба с право (вж. чл. 57, ал. 2 от КРБ) или и до накърняване на общовалидния принцип на правото: nemo ex suo delicto meliorem suam conditionem facere potest (никой не може да черпи права от собственото си неправомерно поведение).
- Може ли мерките за защита по ЗЗЛПСПОИН да възпрепятстват изпълнението на законови задължения и/или правомощия на правоприлагащите и правоохранителните органи?
Прилагането на мерките за защита по ЗЗЛПСПОИН не може да води до възпрепятстване изпълнението на законови задължения и/или правомощия на правоприлагащите и правоохранителните органи. Предоставянето на защита и забраната за налагане на ответни действия обвързват единствено работодателя срещу когото е подаден сигнал по реда и условията на ЗЗЛПСПОИН.
- Как следва да се разбира и прилага на практика посочената в чл. 15, ал. 2, т. 5, пр. 3 от ЗЗЛПСПОИН алтернативна възможност за идентификация (освен саморъчния или електронен подпис) на подаващото сигнал лице посредством „друга идентификация на подателя“?
Въведеното с чл. 15, ал. 2, т. 5, пр. 3 от ЗЗЛПСПОИН понятие „друга идентификация на подателя“ има за цел да разшири правните възможности за сигнализиращите лица, чрез които те могат да удостоверят авторството на съдържанието на подаден от тях сигнал по този закон. Такива могат да бъдат всички способи за идентификация на физическите лица, регламентирани със Закона за електронната идентификация и Закона за електронното управление (напр. издаваните от НАП и НОИ ПИК-ове и пр.). Използването на разработената от Министерство на електронното управление „Система за сигурно електронно връчване“ също е валиден инструмент, чрез който сигнализиращите лица могат да се идентифицират за целите на подаване на сигнали по ЗЗЛПСПОИН. Няма правна пречка подаването на сигнали по този закон да стане и чрез действия в потребителския интерфейс на информационната система на задължения субект, след като лицето е идентифицирано със съответните за информационната система средства за идентификация.
Недопустимо е да се използват биометрични данни за целите на идентифициране на сигнализиращото по ЗЗЛПСПОИН лице, освен ако това не е предвидено изрично в нормативен акт.
[1] „Работодател“ съгласно § 1, т. 2 от Допълнителните разпоредби на ЗЗЛПСПОИН е всяко физическо лице, юридическо лице или негово поделение, както и всяко друго организационно и икономически обособено образувание (предприятие, учреждение, организация, кооперация, стопанство, заведение, домакинство, дружество и други подобни), което самостоятелно наема работници или служители по трудово и служебно правоотношение, включително за извършване на надомна работа и работа от разстояние и за изпращане за изпълнение на работа в предприятие – ползвател.
Настоящият информационен материал има за цел да даде разяснения по принципни въпроси по приложението на Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения. Същият не претендира за изчерпателност. При отчитане на развитието на практиката по приложението на закона, КЗЛД ще актуализира и допълва информационния материал своевременно.
Последна актуализация: 30.11.2023 г.