"Обработването на лични данни за журналистически цели, в това число информация за имена, възраст и/или дата на раждане, финансово и имотно състояние, е законосъобразно, когато се извършва за осъществяване на свободата на изразяване и правото на информация, при зачитане на неприкосновеността на личния живот. В тези случаи, по силата на в 25з, ал. 3 от Закона за защита на личните данни, съответната медия или журналист нямат задължение да изискват предварително съгласие от субекта на данни". Това е записано в становище на Комисията за защита на личните данни.
Повод за становището е искане на "Артекс" заради публикуване в интернет пространството на общодостъпна информация с клиентска база на фирмата. През КЗЛД се е развило производство, след което се е стигнало да въпросното становище.
Ето и цялата преписка":
"Комисията за защита на личните данни (КЗЛД) в състав: председател Венцислав Караджов и членове Цветелин Софрониев, Мария Матева и Веселин Целков, на заседание, проведено на 24.04.2019 г., разгледа искане за становище с вх. № НДМСПО-01-161/01.04.2019 г. от „АРТЕКС ИНЖЕНЕРИНГ“ АД във връзка с публикуването на сайта bivol.bg на общодостъпна информация с клиентска база на фирма „АРТЕКС“ с голям обем от лична информация, както и общодостъпни материали, съдържащи чувствителна информация за непублични личности. В допълнение, на сайта bivol.bg е създадена база данни със структурирана информация с възможност за търсене в нея по определени критерии. В тази връзка „АРТЕКС ИНЖЕНЕРИНГ“ АД, представлявано от арх. Весела Мирянова, моли за проверка и становище по следните въпроси:
1. Законосъобразно ли е публикуването и предоставянето на свободен достъп до информация с адрес на жилището на субект на данни без негово предварително съгласие?
2. Законосъобразно ли е публикуването на информация за възрастта, датата на раждане, пълните имена на физическите лица?
3. Законосъобразно ли е разпространяването на информация за финансовото и имотно състояние на физическите лица, които не са публични личности без тяхно предварително съгласие?
4. Законосъобразно ли е използването на данни от публични регистри на интернет страницата на https://pep.bivol.bg/imoti, чрез подредбата им в отделна общодостъпна база данни „Клиенти Артекс“, с голям обем лична информация – пълни три имена, финансово, имотно състояние, година на раждане, получени/платени средства, точни адреси за мястото, на което е възможно да живеят клиентите на дружеството, заедно с техните семейства?
Към искането за становище са приложени също така извадки с публикуваните от медиите материали.
Правен анализ:
Общият регламент относно защитата на данните (Регламент (ЕС) 2016/679), наред със Закона за защита на личните данни (ЗЗЛД), определят правилата за защита на основните права, свободи и интереси на физическите лица и по-специално правото на защита на личните им данни. Следва да се има предвид, че Общият регламент има за предмет защита на правата на физическите лица и не обхваща обработването на лични данни, които засягат юридически лица (съображение 14 от Регламента). Следователно въпросите, свързани със защита на интересите, репутацията и т.н. на търговско дружество „АРТЕКС“, са извън компетентността на надзорния орган.
Правото на защита на личните данни не е абсолютно право. То следва да се разглежда във връзка с функцията му в обществото и да се прилага в равнопоставеност с другите основни права, съгласно принципа за пропорционалност (съображение 4 от Регламент (ЕС) 2016/679). В продължение на този общ принцип, чл. 85 от Общия регламент задължава държавите членки на ЕС да съгласуват в националното си законодателство правото на защита на личните данни с правото на свобода на изразяване и на информация, включително при обработването на лични данни за журналистически цели. Със същата цел е предвидена и правна възможност за въвеждане на изключения и дерогации от изискванията на Регламента, свързани с правните основания за обработване на лични данни, правата на субектите на данни и др.
Понятието „журналистически цели“ не е изрично дефинирано от законодателя, но съображение 153 от Регламент (ЕС) 2016/679 указва, че „[з]а да се вземе предвид важността на правото на свобода на изразяване на мнение във всяко демократично общество, е необходимо свързаните с тази свобода понятия, като журналистиката например, да се тълкуват широко.“
Същественото за журналистическата дейност е събирането, анализирането, интерпретирането и разпространяването чрез средствата за масова информация на актуална и обществено значима информация. Всяка журналистическа дейност е проява на свободата на словото в правовата държава. Ограничаване свободата на изразяване и информация е допустимо само в рамките на необходимото в едно демократично общество, съгласно чл. 52, параграф 1 от Хартата на основните права на ЕС и чл. 10, параграф 2 от Европейската конвенция за защита правата на човека и основните свободи. По своята същност журналистическата дейност изисква разпространяване на информация по въпроси от обществен интерес. Публикуването на информация на интернет страницата на медията представлява нейното публично оповестяване. Публичното разпространяване на информация за тези цели е журналистическа дейност, тъй като самият факт на разпространение е изява на мнение, становище, възглед, преценка на публичната информация и значението ѝ за интересите на обществото. За да се обработва информация за целите на журналистическата дейност, информацията трябва да касае въпроси относно ценности, които с оглед на засегнатите отношения, са действително обществено важни.
С обнародваните на 26.02.2019 г. изменения и допълнения в Закона за защита на личните данни (ЗЗЛД), в сила от 02.03.2019 г., е дадена национална правна уредба, насочена към постигането на баланс между визираните по-горе основни права при обработването на лични данни за журналистически цели. По-специално, в 25з, ал. 3 от ЗЗЛД се предвижда, че администраторът или обработващият лични данни (напр. съответната медия или журналист) може да не прилага разпоредбите на чл. 6, 9, 10, 30, 34 и глава пета от Регламент (ЕС) 2016/679, както и да откаже пълно или частично упражняването на правата на субектите на данни по чл. 12 - 21 от Регламента. Преценката дали да се приложи въпросната дерогация следва да се извършва за всеки отделен случай на основата на обективни критерии. Разпоредбата на чл. 25з, ал. 2 от ЗЗЛД предлага неизчерпателен списък от такива критерии. Те са формулирани въз основа на трайната съдебна практика на Съда на ЕС, Съда по правата на човека и Конституционния съд на Република България, както на Указанията за запазване на неприкосновеността на личния живот в медиите на Съвета на Европа от юни 2018 г .
Въпросните критерии се прилагат, доколкото са относими към конкретния случай на упражняване на свобода на изразяване и право на информация и съответно могат да имат различна тежест в различни ситуации.
Анализирайки обстоятелствата, при които личните данни са станали известни на администратора на сайта (чл. 25з, ал. 2, т. 3 ЗЗЛД), прави впечатление, че базите данни и търсачките към тях на сайта съдържат информация, включително лични данни, от публични източници, като Търговски регистър, Имотен регистър, регистри за обществени поръчки, оперативни програми на ЕС, декларации по ЗПКОНПИ и др. При условие, че законодателят е предвидил въпросните данни да бъдат публично достъпни, може да се приеме, че той е извършил и преценка, че тяхното разкриване или обществено оповестяване не би оказало негативно влияние върху неприкосновеността на личния живот на субекта на данни и неговото добро име (чл. 25з, ал. 2, т. 2 ЗЗЛД).
Общият регламент оставя на националния законодател да прецени каква информация да бъде включена в публичен регистър, който е предназначен да предоставя информация на обществеността и е достъпен за справка по принцип или от всяко лице, което може да докаже, че има законен интерес. Така например, Законът за търговския регистър и регистъра за юридическите лица с нестопанска цел предвижда възможността за придобиване на цялата база данни на въпросния регистър срещу заплащане. Единственото формално ограничение в Регламент (ЕС) 2016/679 в подобни случаи е забраната по чл. 49, параграф 2, вр. параграф 1, б. „ж“ от Регламента данните в подобни публични регистри да бъдат предавани в цялост в трета страна. При това положение, с оглед законово определената компетентност на КЗЛД, евентуалните проверки относно възможно нарушаване на установените специфични правила за достъп и ползване на въпросните публични регистри следва да се извършат от институциите, на които е възложено тяхното поддържане и управление.
На следващо място, следва да се обсъди значението на разкриването на лични данни или общественото им оповестяване за изясняването на въпрос от обществен интерес (чл. 25з, ал. 2, т. 5 ЗЗЛД). Това е един от основните критерии, въз основа на които Съветът на Европа прави разграничение между т.нар. „отговорна журналистика“ и „таблоидна журналистика“. Без съмнение, обработването на данни, насочено към разкриването и оповестяването на случаи на вероятна корупция, злоупотреба със служебно положение или с финансови средства от държавния бюджет или от бюджета на ЕС е действие в публичен интерес, което отговаря на засиленото обществено внимание и чувствителност по тези теми. В този смисъл следва да се отчете обстоятелството, че информация като възраст и/или дата на раждане на дадено лице в контекста на журналистическо проучване може да послужи като индикатор за допълнително разследване, например ако при закупуване на недвижим имот е налице видимо разминаване между възрастта на субекта и финансовите възможности, с които обичайно разполага лице на сходна възраст, от една страна, и размера на сделката, от друга.
Друг важен аспект от преценката за баланса между свободата на изразяване и правото на информация и правото на защита на личните данни е отчитането на обстоятелството дали субектът на данни е лице, което заема длъжност по чл. 6 от Закона за противодействие на корупцията и за отнемане на незаконно придобитото имущество, или е лице, което поради естеството на своята дейност или ролята му в обществения живот има влияние върху обществото (чл. 25з, ал. 2, т. 6 ЗЗЛД). Принципното разбиране е, че публичните личности се ползват с по-ниска защита на личния си живот в сравнение с обикновените граждани. Респективно, частните лица, които не са влезли в публичното пространство, би следвало да се радват на по-голяма защита на правото им за личен живот. Както обаче е отбелязано и в Указанията за запазване на неприкосновеността на личния живот в медиите на Съвета на Европа, за журналистите няма абсолютна забрана да пишат за тях, дори и без съгласието им, ако това би способствало за изясняване на въпрос от обществен интерес. В този контекст, в случай, че субектите на данни не са обект на журналистически интерес и нямат пряко отношение към дебат по въпрос от обществено значение (напр. нямат връзка с публична личност, не са извършили незаконни или други укорими действия и т.н.), тогава евентуалното публикуване на техните лични данни следва да бъде съобразено с принципа на свеждане на данните до минимум, включително цялостното им анонимизиране, ако това е приложимо в конкретната хипотеза. Това принципно положение не ограничава по никакъв начин правото на съответната медия или журналист да обработват по друг начин личните данни, по-специално за целите на журналистическо разследване, както и да публикуват данни на тези лица, за които в хода на въпросното разследване се установи, че имат отношение към публичния дебат.
С оглед на гореизложеното и на основание чл. 58, параграф 3, б. „б“ от Регламент (ЕС) 2016/679, Комисията за защита на личните данни изразява следното
СТАНОВИЩЕ:
1. Обработването на лични данни за журналистически цели, в това число информация за имена, възраст и/или дата на раждане, финансово и имотно състояние, е законосъобразно, когато се извършва за осъществяване на свободата на изразяване и правото на информация, при зачитане на неприкосновеността на личния живот. В тези случаи, по силата на в 25з, ал. 3 от Закона за защита на личните данни, съответната медия или журналист нямат задължение да изискват предварително съгласие от субекта на данни.
2. Последващото обработване на лични данни, придобити от публичен регистър, който е предназначен да предоставя информация на обществеността, следва да е съобразено с разпоредбите на Регламент (ЕС) 2016/679 и Закона за защита на личните данни.
3. По правило, данните на лица, които не са публични личности, не са обект на журналистическо разследване и нямат пряко отношение към дебат от обществен интерес, следва да бъдат публикувани от съответната медия или журналист в анонимизирана форма. Ако това е неприложимо от гледна точка на осъществяването на свободата на изразяване и упражняването на правото на информация, тогава публикуването следва да се извърши при спазване на принципа за свеждане на данните до минимум.
