Практически насоки при обработка на лични данни

На 25 май 2018 г. влезе в сила Регламент (ЕС) 2016/679 относно защитата на личните данни на физическите лица, по-известен като GDPR. Много фирми се възползваха от незнанието и паниката, за да промотират семинари, обучения и т.н., като до голяма степен объркаха още повече и без това вече обърканите и притеснени собственици на бизнес в България. Без да се вникне в същността на европейския закон, лекари, застрахователи, работодатели, общини и други категории администратори на лични данни, посъветвани от знайни и незнайни консултанти, започнаха да изискват от клиентите си декларации за съгласие при обработването на лични данни, когато трябва и когато не. А нужен ли е целият този документооборот и хаос?

Експертите от Консултантска къщa Велинов и партньори – юристи със сериозна теоретична подготовка и голям практически опит в приложението на GDPR, обръщат внимание, че въпросното съгласие е само едно от общо шестте основанията за събиране и обработване на лични данни. Основанията са равнопоставени и наличието на което и да е от тях прави обработването законосъобразно. По-точно, освен по силата на изрично съгласие, обработването на личните данни е правомерно, ако:

1/ обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор.

Пример: сключване на договор за застраховка – доколкото основният предмет и цел на договора обективно не могат да бъдат постигнати без предоставяне на определен обем лични данни, в тези случаи е достатъчна волята на страните да встъпят в договорни отношения и съответно не е нужно даването на отделно съгласие за обработване на личните данни. Ако администраторът, обаче, иска да използва данните освен за целите на договора, и за допълнителни маркетингови и рекламни цели, той следва да изиска съгласие само за това, като администраторът няма право да обвърже изпълнението на договора /предоставянето на услугата/ с получаването на съгласие за обработване на лични данни за рекламна цел. В този случай съгласието няма да е свободно дадено, тъй като лицето няма истински избор дали да го даде или не, съответно няма да е валидно.

2/ обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора.

Пример 1: когато работодател и служител сключват трудов договор и работодателят събира законоустановените лични данни за бъдещия си служител. Взаимоотношенията между субектите на данни и техните работодатели или органи по назначение изчерпателно се уреждат от трудовото законодателство и допълнителна декларация не е необходима.

Пример 2: когато личните данни се предават от един администратор на друг в резултат на прехвърляне на вземане (цесия). Съгласно чл. 99, ал. 3 от ЗЗД предишният кредитор е задължен да предаде на новия кредитор намиращите се у него документи, които установяват вземането. Това обуславя и предаването на личните данни, които се съдържат в съответните документи.

3/ обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице.

Пример: когато физическо лице постъпи в болница с животозастрашаващи наранявания след тежка пътна катастрофа, разкриването на медицинската история на индивида е необходимо, за да бъдат защитени жизненоважните му интереси.Наличието на това правно основание за обработване на данните следва да се изследва във всеки конкретен случай и да се преценява дали не е възможно обработването да бъде обосновано с друго правно основание.

4/ обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора.

Пример: когато личните данни на лицата се събират от държавни органи или органи на местното самоуправление във връзка с предоставяни от тях административни услуги.

5/ обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.

Пример: в продължение на примера с договора за прехвърляне на вземане (цесия), след получаването на вземането новият кредитор може да обработва данните на основание своя легитимен интерес за събиране на дължимите суми, включително по съдебен ред.

За да внесе повече яснота сред администраторите на лични данни, самата Комисия за защита на личните данни публикува на интернет страницата си „Практически насоки на КЗЛД в кои случаи не е необходимо съгласие за обработване на лични данни“, където постави примерен неизчерпателенсписък на професии и дейности, които не е необходимо да изискват съгласие от клиентите си в хода натяхната обичайна професионална дейност, с изключение, разбира се, на обработването на лични данни за директен маркетинг, където съгласието е водещо основание. Ето и списъка:

- лекари, зъболекари и фармацевти;

- адвокати;

- работодатели;

- публични органи (държавни и общински);

- учебни заведения (детски градини, училища и висши учебни заведения);

- банки и други кредитни институции;

- застрахователи;

- предприятия, предоставящи обществени електронни съобщителни мрежи и/или услуги;

- куриерски фирми и други пощенски оператори;

- предприятия, предоставящи комунални услуги (електроразпределителни дружества, ВиК, топлофикации);

- обработващи лични данни (счетоводители, служби по трудова медицина и др.);

- хотелиери и туристически агенции;

- управителите на етажна собственост (домоуправители);

- копирни услуги;

- преводачи;

- журналисти, фотографи и видеооператори;

- религиозни, политически, обществени и синдикални организации;

- и други.