Комисията за защита на личните данни в свое становище написа, че търговският обект не притежава качеството на администратор на лични данни за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.
Видеонаблюдението на публични зони, извършвано от аптека за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, е недопустимо, пише в становище на Комисията за защита на личните данни, публикувано в брой 4 на бюлетина на ведомството:
СТАНОВИЩЕ
НА
КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ
рег. № ПНМД – 01- 42/2022 г.
гр. София, 10.05.2022 г.
ОТНОСНО: Разпореждане на органите на МВР към частноправен субект (аптека) за монтиране на камери за видеонаблюдение, обхващащи външния периметър на обекта
Комисията за защита на личните данни (КЗЛД, Комисията) в състав: председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков, на заседание, проведено на 04.05.2022 г., разгледа преписка с рег. ПНМД-01-42/2022 г. от управител на аптека, във връзка с разпореждане на органите на МВР същата да постави камери за видеонаблюдение, обхващащи външния периметър около стопанисвания от нея обект, на основание чл. 66, ал. 3 от Закона за Министерството на вътрешните работи (ЗМВР).
Управителят информира КЗЛД, че на 29.03.2022 служител в аптеката е получил писмо от МВР Пловдив, с което органите на МВР създават задължение за управителя на аптеката, като частноправен субект, да постави камери за видеонаблюдение, обхващащи външния периметър около посочения обект – аптека, т.е. изисква се да бъде извършвано видеонаблюдение на един от най-централните и оживени пловдивски булеварди. Целта на тази мярка, според писмото, е „пресичане на бъдещи тежки криминални престъпления“. Като основание е посочена нормата на чл. 66, ал. 3 от ЗМВР.
В същото време, според управителя, чл. 70 от Правилника за прилагане на ЗМВР урежда възможността полицейските органи да използват средствата за явно наблюдение в случаите, в които целта е превенция и разкриване на престъпления и други нарушения на обществения ред. В този хипотеза използването на средства за явно наблюдение се разгласява по подходящ начин. Допълнително, в закона е ограничена възможността за използване на събраната по този ред информация, а именно – само за извършване на превантивна дейност и за разкриване на престъпления и други нарушения на обществения ред. По своя характер това е дейност, която може да бъде извършена само от полицейски органи, като публично правни субекти. Така, в този случай не е нужно обработването на лични данни да е свързано с легитимен интерес на администратора, т.к. става дума за обработване на лични данни от публичен орган при изпълнението на законовите му правомощия. Същевременно, МВР Пловдив създава подобно задължение за аптеката, като частноправен субект, за използване на средства за явно наблюдение (съгласно терминологията на Правилника за прилагане на закона за МВР), въпреки липсата на подобни законови изисквания и против нуждите на дружеството по повод извършваната от същите дейност. Така, ,,наложеното“ от органите на МВР задължение, би довело до систематично мащабно наблюдение на публично достъпни зони, както и до мащабно обработване на лични данни по см. на §1, т. 15 от Допълнителните разпоредби на ЗЗЛД, за което дружеството няма правно основание. Въпросът, който възниква, е след като за частно правните субекти не съществува законово основание за това и не е налице легитимен интерес, допустимо и законосъобразно ли е публичноправен субект да делегира на частноправен субект подобно задължение. Също така за целите, които този публичноправен субект преследва, т.е. дружеството, като частноправен субект, следва ли системно да събира и обработва (и/или предоставя на полицейските органи) информацията за публичноправни цели, каквито са превенцията и разкриването на престъпления и други нарушения на обществения ред. При положителен отговор, управителят се интересува означава ли това, че дружеството следва да приеме и приложи правила при мащабно обработване на лични данни или при систематично мащабно наблюдение на публично достъпни зони, включително чрез видеонаблюдение?
Приложение: Писмо с рег. № 438000-4087 от 24.03.2022 г. на началника на Трето РУ Пловдив.
Правен анализ:
Съгласно чл. 4, т. 7) от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, ОРЗД) „администратор на лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка. От тази дефиницията може да се направи заключение, че администраторът сам определя целите и средствата за обработването на лични данни, освен в случаите, когато тези цели и средства произтичат от закон.
За да е законосъобразно обработването на лични данни, в случая чрез видеонаблюдение, следва да е изпълнено поне едно от следните условия съгласно разпоредбата на чл. 6, пар. 1, включително съображение (41) от ОРЗД:
а) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
г) обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице;
д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
e) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
При липса на поставени цели и определени средства за обработване от страна на администратора, наличието или липсата на основание за обработването на данни би било без значение и в противоречие на принципа за целесъобразност съгласно чл. 5 от ОРЗД. В този случай наличието на основание не може да санира липсата на определени от администратора или закона цели.
Действията по отношение обработването на лични данни чрез извършване на видеонаблюдение може да бъдат извършени от аптеката, само ако като администратор на лични данни, същата определи целите и средствата за такова видеонаблюдение или такова обработване произтича от закон. Нещо повече, систематичното автоматизирано наблюдение на публични зони посредством оптични или аудиовизуални устройства, най-често с цел защита на собствеността или на живота и здравето на физически лица, понастоящем е явление със значително разпространение. Тази дейност обаче, е свързана със събиране и запазване на образни или аудиовизуални данни за всички лица, влизащи в наблюдаваната зона, които подлежат на идентифициране въз основа на техния външен вид или други специфични елементи. Самоличността на въпросните лица може да бъде установена въз основа на тези данни. Също така, те създават възможност за обработване на лични данни относно присъствието и поведението на лицата в съответната зона. Потенциалният риск от злоупотреба с тези данни нараства успоредно с размерите на наблюдаваната зона и броя на лицата, които я посещават.
Този факт намира отражение в разпоредбата на чл. 35, пар. 3, б. в) от ОРЗД, съдържаща изискването за извършване на оценка на въздействието върху защитата на данните в случаи на систематично мащабно наблюдение на публично достъпна зона, както и в разпоредбата на чл. 37, пар. 1, б. б), която задължава обработващите лични данни да определят длъжностно лице по защита на данните, когато операцията по обработване поради по своето естество изисква редовно и систематично мащабно наблюдение на субектите на данни.
Следва да се отбележи, че в обхвата на Директива (ЕС) 2016/680 попада обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване1.
Директива (ЕС) 2016/680 е транспонирана в българското законодателство с Глава осма от ЗЗЛД и ЗМВР.
Съществен елемент от обработването на лични данни за целите на Директива (ЕС) 2016/680 (предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване) е специалното качество на администратора на лични данни, а именно: той следва да е компетентен орган.
Съгласно чл. 3, т. 7) от Директива (ЕС) 2016/680 „компетентен орган“ означава:
а) всеки публичен орган, който е компетентен за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване; или
б) всякакъв друг орган или образувание, който по силата на правото на държава членка разполага с публична власт и публични правомощия за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.
Видно от дефиницията за компетентен орган, аптеката не притежава качеството на администратор на лични данни за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Нещо повече, специални правомощия да извършва видеонаблюдение има МВР съгласно чл. 100 и чл. 101 от ЗМВР, като тези правомощия са ограничени до извършването на охранителна дейност съгласно чл. 14, ал. 2, т. 4 и 10 от същия закон. Редът и организацията за това обаче, следва да са предвидени в инструкция или с наредба на министъра на вътрешните работи.
В този смисъл, видеонаблюдението на публични зони, извършвано от аптека за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, е недопустимо, като същото не може да се разпорежда от компетентните органи (МВР) на частноправни субекти.
По тези съображения и на основание чл. 58, пар. 3, б. „б“ от Регламент (ЕС) 2016/679 вр. с чл. 10 а, ал. 1 от Закона за защита на личните данни, Комисията за защита на лични данни изрази следното
Видеонаблюдението на публични зони, извършвано от аптека (като администратор на лични данни) за целите на предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и тяхното п редотвратяване, е недопустимо, като същото не може да се разпорежда от компетентните органи (МВР) на частноправни субекти.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ:
1 Насоки № 3/2019 относно обработването на лични данни чрез видеоустройства