Какво представлява „обработка на лични данни“ по чл. 4, ал. 1 от ЗЗЛД и кога е неправомерна?

В практиката на Върховния административен съд (ВАС) един от най-честите спорове, свързани със Закона за защита на личните данни (ЗЗЛД), засяга тълкуването на дефиницията за „обработка“. Често администраторите на данни или държавните органи твърдят, че определено действие с данните не попада в обхвата на закона, или че липсва пряко нарушение на конкретна забрана, докато Комисията за защита на личните данни (КЗЛД) и съдилищата приемат, че самото действие е форма на обработка, която изисква правно основание. Разпоредбата на чл. 4, ал. 1 от ЗЗЛД е фундаментална, тъй като очертава предметния обхват на целия закон. Без правилно квалифициране на действието като „обработка“, не може да се търси отговорност за неправомерност. Устойчивата съдебна практика, натрупана в над 50 решения, показва, че съдилищата прилагат широкото тълкуване на понятието, което включва всяко действие или съвкупност от действия с лични данни.

Какво точно казва разпоредбата

Чл. 4, ал. 1 от ЗЗЛД дефинира понятието „обработка“. Според буквалния текст на нормата, обработването на лични данни е всяко действие или съвкупност от действия, които могат да бъдат извършвани по отношение на личните данни чрез автоматични или други средства. Това включва събирането, записването, организирането, структурирането, съхраняването, адаптирането или изменянето, извличането, консултирането, използването, разкриването чрез предаване, разпространяването или друг начин за предоставяне, подреждането или комбинирането, ограничаването, изтриването или унищожаването на данни.

Важно е да се отбележи, че нормата не изисква действието да е автоматизирано. Тя обхваща както автоматични, така и други средства за обработка. Това означава, че дори ръчно водене на картотеки, архиви или списъци с имена и адреси попада в дефиницията, ако се отнася за лични данни. Целта на тази широка дефиниция е да гарантира, че никоя фаза от жизнения цикъл на данните – от събирането до унищожаването – не остава без правен контрол.

Как съдилищата прилагат нормата

Върховният административен съд е формирал устойчива практика относно приложението на чл. 4, ал. 1 от ЗЗЛД. Ето ключовите изводи от конкретни решения:

1. Разкриването чрез предаване е обработка. В Решение № 215 от 10.01.2017 г. на ВАС по адм. д. № 14660/2015 г., III о., докладчик съдията Таня Куцарова, съдът приема, че съгласно нормата на чл. 4, ал. 1, т. 7 от ЗЗЛД, обработването, каквото е и разкриване чрез предаване, е действие, което попада в обхвата на закона. Това означава, че самият факт, че данните са предоставени на трето лице, е самостоятелно действие на обработка, което трябва да е законосъобразно.

2. Всяко физическо или юридическо лице може да поиска обработка. В Решение № 4010 от 13.04.2020 г. на ВАС по адм. д. № 15429/2018 г., III о., докладчик съдията Румяна Лилова, се посочва, че всяко физическо или юридическо лице може да поиска и да получи достъп до личните си данни. Това потвърждава, че правото на достъп е част от режима на обработка, уреден в чл. 4, ал. 1, т. 7 от ЗЗЛД, в връзка с чл. 32, ал. 3 от ЗЗЛД и чл. 106, ал. 1, т. 1 от Закона за гражданското регистрация (ЗГР).

3. Обработването включва всяко действие, дори при липса на автоматизация. В Решение № 13833 от г. на ВАС по адм. д. № 9760/2012 г., 5-членен състав, докладчик съдията Павлина Найденова, се подчертава, че обработването на лични данни е всяко действие или съвкупност от действия, които могат да бъдат извършвани по отношение на личните данни. Това решение е важно, защото потвърждава, че дори при традиционни, неавтоматизирани методи за работа с документи, режимът на ЗЗЛД се прилага.

4. Квалифицирането на субекта като администратор зависи от обработката. В Решение № 3764 от 28.03.2017 г. на ВАС по адм. д. № 401/2016 г., V о., докладчик председателят Марина Михайлова, съдът разглежда качеството, в което субектът обработва личните данни. Установява се, че ако субектът сам определя целите и средствата за обработката, той е администратор. В конкретния случай „Ф. И.“ ЕАД е признато за администратор, който е обработвал неправомерно лични данни, което е нарушение на чл. 4, ал. 1, т. 3 от ЗЗЛД (използване).

5. Нарушението на чл. 4, ал. 1 е самостоятелно основание за санкция. В Решение № 5715 от г. на ВАС по адм. д. № 11663/2016 г., V о., докладчик съдията Еманоил Митев, се посочва, че разпоредбата на чл. 4, ал. 1 от ЗЗЛД предвижда обработването на лични данни като действие, което може да бъде квалифицирано като нарушение, ако не е в съответствие с изискванията за законосъобразност. Това означава, че дори да няма конкретно нарушение на друга специфична норма (напр. за сигурност), самото неправомерно извършване на действие по чл. 4, ал. 1 е достатъчно за глобяване.

6. Публичното начало и защитата на личния живот. В Решение № 14015 от 20.11.2009 г. на ВАС по адм. д. № 5100/2008 г., III о., докладчик председателят Йорданка Костова, се разглежда връзката между чл. 4, ал. 1, т. 2 от ЗЗЛД (събиране) и общите принципи. Съдът приема, че публичното начало в наказателното производство не отменя изискванията за защита на личните данни, ако обработката не е изрично разрешена от закона.

Чести грешки

• Неправилно тълкуване на „обработка“ като само автоматизирана. Много администратори смятат, че ако данните са на хартия, ЗЗЛД не се прилага. Практиката на ВАС (напр. Решение № 13833 от 5.11.2012 г.) категорично отхвърля това тълкуване. Всяко действие с лични данни, независимо от средствата, е обработка.
• Липса на правно основание за конкретна фаза на обработка. Често се допуска грешката, че ако данните са събрани законосъобразно, всички последващи действия с тях (напр. разкриване, архивиране) също са законосъобразни. В действителност, всяко действие по чл. 4, ал. 1 изисква самостоятелно правно основание или съгласие.
• Неправилно определяне на качеството на субекта. Субектът може да твърди, че е само „обработващ“, а не „администратор“, за да избегне отговорност. Съдът (Решение № 3764 от 28.03.2017 г.) проверява кой определя целите и средствата за обработката, а не само формалната роля в договора.
• Игнориране на правото на достъп като форма на обработка. Отказът за предоставяне на информация за обработваните данни се тълкува като нарушение на режима на обработка, предвиден в чл. 4, ал. 1, т. 7 от ЗЗЛД, в връзка с правото на достъп.
• Смесване на нарушения по чл. 4, ал. 1 с нарушения за сигурност. Нарушението на чл. 4, ал. 1 е нарушение на принципа за законосъобразност на самото действие, докато нарушенията за сигурност (чл. 7 и сл.) са отделни. Често се допуска грешка при квалифицирането на деянието, което води до отмяна на санкцията от съда.

Как се води казусът

При спорове, свързани с чл. 4, ал. 1 от ЗЗЛД, стратегията на страните е различна.

За страната, която иска (жалбоподател/субект на данни):

1. Доказване на действието: Трябва да се представи доказателство, че е извършено конкретно действие с личните данни (напр. разкриване, съхранение, използване). Това действие трябва да попада в изброените в чл. 4, ал. 1.
2. Липса на основание: Да се твърди, че за това конкретно действие не е налице правно основание по чл. 7 от ЗЗЛД (съгласие, договор, закон и т.н.).
3. Връзка с КЗЛД: Жалбата срещу решението на КЗЛД се подава пред Административния съд, а след това пред ВАС, ако има касационна жалба.

За страната, която се брани (администратор/ответник):

1. Доказване на правно основание: Администраторът трябва да докаже, че за всяко извършено действие по чл. 4, ал. 1 е съществувало валидно правно основание към момента на извършването.
2. Оспорване на квалификацията: Може да се твърди, че действието не е „обработка“ в смисъла на закона, или че субектът не е администратор, а трето лице, което не е имало достъп до данните.
3. Процесуални възражения: Да се провери дали КЗЛД е спазила процедурата за установяване на нарушението и дали е обсъдила всички релевантни факти (както е посочено в Решение № 4238 от 13.04.2020 г.).

Важно е да се отбележи, че производството пред ВАС е касационно. Съдът проверява правилността на прилагането на материалния закон (включително чл. 4, ал. 1 от ЗЗЛД) и спазването на съдопроизводствените правила. Ако съдът установи, че първоинстанционният съд е допуснал нарушение на материалния закон, той отменя решението и постановява ново решение по съществото на спора (чл. 221, ал. 2 във вр. с чл. 222, ал. 1 от АПК).

Разноските по делото се присъждат в полза на печелившата страна. В Решение № 8411 от 21.06.2018 г. на ВАС по адм. д. № 11598/2017 г., VII о., докладчик председателят Соня Янкулова, се присъждат разноски в размер на 3 052,00 лв., включващи държавна такса, депозит за вещо лице и адвокатско възнаграждение. В Решение № 5222 от 30.04.2020 г. на ВАС по адм. д. № 11393/2019 г., V о., докладчик председателят Диана Добрева, се присъждат разноски в размер на 3 120,00 лв. за двете инстанции, като се преценява фактическата и правна сложност на делото.

Тази страница се поддържа от невронната мрежа за данни на кантората. Тя е само информативна и не е правен съвет. За конкретен казус се консултирайте с адвокат.
Контакти на кантората: телефон +359 888 30 82 82, имейл law@rashkov.eu

Практика на ВКС и ВАС по чл. 4 ЗЗЛД

• Решение № 2072 от 10.02.2011 г. на ВАС по адм. д. № 10840/2010 г — В жалбата са изложени доводи, че същото е постановено при съществени процесуални нарушения – неправилна преценка на фактическите обстоятелства, вследствие на което е нарушен материалният закон – Законът за защита на личните данни (ЗЗЛД).
• Решение № 8989 от г. на ВАС по адм. д. № 2475/2017 г — Тълкуването на цитираната разпоредба предполага конкретно съгласие за конкретното обработване на личните данни на физическото лице Производството е по чл.