Отговор на някои въпроси относно регистрацията по ЗЗЛД?

Въпроси:
1. Има ли срок за регистрация на администраторите по Закона за защита на личните данни /ЗЗЛД/?
2. Има ли формуляр на заявление за регистрация на администратор?
3. Кой е длъжен да подаде заявление?
4. Кой е администратор на лични данни и дали е такъв търговецът, юридическото лице, различни професии - общопрактикуващи лекари, нотариуси и др.?
5. Какво е регистър на лични данни и дали е такъв регистър книгите на акционерите, ведомостите за работна заплата и счетоводните регистри и др.?
6. Има ли санкция за неподаване на заявление за регистрация в срок?

1. Има ли срок за регистрация на администраторите по Закона за защита на личните данни /ЗЗЛД/?

В Приложение № 2 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация, като част от образеца за заявление за регистрация на администратор на лични данни /вероятно представляваща гърба на формуляра/ е посочено, че крайният срок за регистрация е 1.09.03г. Според прес-съобщение, публикувано в Интернет страницата на правителството, срокът е удължен до 01.12.2003 г.

2. Има ли формуляр на заявление за регистрация на администратор?

Формулярът за заявление за регистрация на администратор е одобрен в споменатото Приложение № 2 и е обнародван в Държавен вестник бр.15 от 2003 г., стр. 25 - 27.

3. Кой е длъжен да подаде заявление?

Задължението е за всяко физическо или юридическо лице, което иска да обработва лични данни и да създаде /или е създало/ регистър за тях /чл.15, ал.1 от ЗЗЛД/, т.е. на което се налага да бъде администратор на лични данни.

4. Кой е администратор на лични данни и дали е такъв търговецът, юридическото лице, различни професии - общопрактикуващи лекари, нотариуси и др.?

Администратор на лични данни е физическо или юридическо лице, както и държавен орган, който определя вида на обработваните данни, целта на обработване, начините на обработване и на защита при спазване изискванията на Закона за защита на личните данни /чл.3, ал.1 от ЗЗЛД/. Администраторът трябва да поддържа личните данни в регистър за лични данни /чл.4, ал.1 от ЗЗЛД/.

Следователно решаващо за това дали се налага да се подаде заявление за регистрация до Комисията за защита на лични данни е не формалното качество на лицето - напр. едноличен търговец, фондация, дружество с ограничена отговорност, а това дали фактически поддържа регистър с лични данни. Така например един едноличен търговец, който работи без персонал и не поддържа регистър /по смисъла на ЗЗЛД/ на клиенти, не е администратор на лични данни.

Когато определена категория лица имат нормативно задължение да водят документация, която попада в определението на ЗЗЛД за регистър на лични данни обаче, както например е при банките или нотариусите, е логично да се предположи, че следва да подадат заявления за регистрация

5. Какво е регистър на лични данни и дали е такъв регистър книгите на акционерите, ведомостите за работна заплата и счетоводните регистри и др.?

Съгласно пар.1, т.2 от допълнителната разпоредба на ЗЗЛД "Регистър за лични данни" е документален, картотечен или автоматизиран информационен фонд, структуриран според няколко специфични критерия, подходящи за улесняване на тяхната обработка, съставени от един или няколко елемента на едно или няколко физически места. Следователно регистърът може да е както автоматизиран /компютърна база данни/, така и на хартиен носител /напр. ведомостта за заплати/. От регистърът трябва да се отличава обикновеният списък, защото в него данните са структурирани само според един критерий.

Ако в една графа на регистъра обаче се съдържат името на лицето, възраст, семейно положение, адрес, възнаграждение, то тогава са налице повече лични данни, отнасящи се към различни групи от посочените в чл.2, ал.1 от ЗЗЛД - т.е. семейното положение се отнася до семейната идентичност, а възнаграждението - до икономическата идентичност. Тогава данните са структурирани по повече от един критерий.

От изложеното следва, че ведомостите за заплати представляват регистър за лични данни. Аргумент за това се съдържа и в чл.16, ал.2, т.1 от ЗЗЛД, според който Комисията за защита на личните данни не извършва предварителна проверка при подаване на заявление за регистрация в случаите, когато декларираният регистър е " с лични данни за лицата, работещи по трудово или по служебно правоотношение за администратора на лични данни". Вероятно се има предвид именно регистър като ведомостта за работни заплати, а щом в тези случаи Комисията не извършва предварителна проверка при регистрацията, следователно регистрацията се извършва без такава проверка, т.е. регистрация се извършва.

6. Има ли санкция за неподаване на заявление за регистрация в срок?

Съгласно чл.42, ал.5 от ЗЗЛД:
(5) Физическо лице, което обработва лични данни, без да е регистрирано по този закон, се наказва с глоба от 300 до 1000 лв. За същото нарушение, когато е извършено от юридическо лице или едноличен търговец, се налага имуществена санкция от 1000 до 3000 лв. Когато нарушението е извършено повторно, глобата, съответно санкцията, е в двоен размер..

Тази разпоредба разбираемо създава опасения у редица физически или представители на юридически лица. В тази връзка те си задават въпроса дали притежават качеството администратор на лични данни.

Изложението от по-горе дава известна представа по тези въпроси, но въпреки това е безспорно, че определенията в ЗЗЛД не са достатъчно детайлизирани - например няма примерни или списъчни изброявания на видове администратори на лични данни, видове лични данни, видове регистри за лични данни, което би улеснило значително разбирането на закона. При липса на необходимата конкретизация в закона тя може и следва да бъда дадена единствено от Комисията за защита на личните данни. Това ще стане най-вече чрез създаването на практиката в хода на прилагането на ЗЗЛД.

В това отношение е важно да се отбележи, че в закона е взето предвид затруднението на администраторите на лични данни да установят, че притежават това качество. Поради това глоба може да бъде наложена само след като преди това е констатирано нарушение при проверка на Комисията за защита на личните данни и е дадено предписание, което не е било изпълнено - чл.12, ал.4 и 5 от ЗЗЛД. Същото правило за последователността на действията на Комисията се потвърждава в собствения й правилник - чл.17, ал.1.

Александър Кашъмов, адвокат
Ръководител на правния екип на ПДИ