GDPR – Your privacy

#28 Ново решение относно адекватното ниво на защита за безопасен и надежден обмен от данни между ЕС и САЩ

На 10 юли 2023 година Европейската комисия (Комисията) прие решение относно адекватното ниво на защита за Рамката за защита на личните данни между ЕС и САЩ („Рамката“). Комисията установи, че Съединените американски щати (САЩ) осигуряват адекватно ниво на защита – съпоставимо с това на ЕС – за лични данни, предавани от ЕС към дружества в САЩ съгласно новата Рамка. Следствието от новоприетото решение е, че личните данни могат да се предават от ЕС към дружествата в САЩ, които участват в Рамката, без допълнителни гаранции за защита на данните.

Предистория

Европейската комисия има правомощието да направи преценка дали дадена държава извън ЕС осигурява „адекватно ниво на защита“. Ефектът на такова решение е, че личните данни могат да се движат свободно от ЕС към третата държава, без да се изискват допълнителни стъпки от администраторите на данни.
След обезсилването на предишното решение за адекватно ниво на защита за Щита за личните данни в отношенията между ЕС и САЩ от Съда на ЕС, Комисията и правителството на САЩ започнаха дискусии относно създаването на нова рамка.

Кои са ключовите моменти в решението относно адекватното ниво на защита?

Нови обвързващи предпазни мерки, прилагани от правителството на САЩ, които основно ограничават достъпа до данни от ЕС от страна на разузнавателните служби на САЩ до това, което е необходимо и пропорционално за защитата на националната сигурност. Това ще улесни трансатлантическия обмен на данни, защото тези мерки ще бъдат приложими и когато данните се прехвърлят от дружества, които не са се присъединили към Рамката, и използват други способи за предаване – стандартни договорни клаузи или задължителни фирмени правила.
Възможност за дружества в САЩ да се присъединят към Рамката, като се ангажират да спазват подробен набор от задължения за поверителност. Това включва изискването да се самосертифицират чрез Министерството на търговията на САЩ, че се придържат към установените стандарти.
Създаване на възможности за правна защита за лица в ЕС, ако техните данни са неправомерно обработвани от дружества в САЩ. Това включва безплатен достъп до независими механизми за разрешаване на спорове и арбитражен комитет.
Лица от ЕС ще имат достъп до независим и безпристрастен механизъм за правна защита на две нива по отношение на събирането и използването на техните данни от разузнавателните агенции на САЩ. Първото ниво е Служител по защита на гражданските свободи, а второто – Съд за преглед на защитата на личните данни. Лицата от ЕС могат да подадат жалба до своя национален орган за защита на данните, който ще гарантира надлежното предаване на оплакването и предоставянето на лицето на всякаква по-нататъшна информация, свързана с процедурата, включително и информация за резултата от процедурата. Съдът за преглед на защитата на личните данни има правомощия да разглежда оплаквания от лица от ЕС, включително да получава съответната информация от разузнавателните агенции, както и да постановява обвързващи решения за коригиращи действия.

Какво предстои?

Периодични ревизии на функционирането на Рамката – те ще бъдат извършвани от Комисията, заедно с представители на европейските органи за защита на данните, както и компетентните органи на САЩ.
Първата ревизия е насрочена в рамките на година от влизането в сила на решението относно адекватното ниво на защита. Към този момент всички съществени елементи, които са включени в законодателството на САЩ, трябва да бъдат ефективно прилагани.

Решението относно адекватното ниво на защита влезе в сила в деня на приемането му на 10 юли 2023г.

Решението относно адекватното ниво на защита можете на намерите тук

#26 – Европейският комитет за защита на данните излезе с нови насоки относно понятията за администратор и обработващ лични данни

Дали дадена организация действа като администратор на лични данни, съвместен администратор или обработващ лични данни е от съществено значение при прилагането на Общия регламент за защита на данните (ЕС) 2016/679 (Регламента), тъй като от това зависи какви задължения има въпросната организация и каква отговорност носи по отношение на обработването. По тази причина на 2 септември 2020г. Европейският комитет за защита на данните (Комитетът) публикува Насоки относно тълкуването на тези понятия, като предостави насоки и подробни разяснения чрез примери, за да установи последователно и хармонизиран прилагане в Европейския съюз (ЕС) и Европейското икономическо пространство (ЕИП).

Администратор на лични данни и обработващ лични данни

От съществено значение за разграничаването на двете понятия е кой субект определя определени „съществените“ елементи на обработването За да се счита за администратор, субектът трябва да определя целите и средствата на обработване – „защо“ и „как“ ще се обработват данните. Някои несъществени аспекти на средствата на обработване могат да бъдат оставени на преценката на обработващия данните. За „съществени“ аспекти Комитетът счита, например, видът на обработваните лични данни, продължителността на обработката на данните, категориите получатели на данни и категориите субекти на данни.

И обратно, обработващият данните е този, който може да взима решенията само за „несъществени“ аспекти (например вида на ИТ системите или други технически средства, които да се използват за обработка на данните, или подробностите за мерките за сигурност, основани на общите цели за сигурност, определени от администратора).

Комитетът дава следния пример: Компания А наема Компания Б, която да администрира изплащането на заплати на служителите на А. Компания А дава ясни инструкции за това кой да плати, какви суми, до коя дата, до коя банка, колко дълго ще се съхраняват данните, какви данни трябва да бъдат разкрити на данъчния орган и т.н. В този случай обработката на данни се извършва с цел Компания А да изплаща заплати на своите служители и Компания Б не може да използва данните за каквато и да е други цели. Начинът, по който Компания Б трябва да извърши обработването, е по същество ясно и строго дефиниран от Компания А. Компания Б може да взима решения само за несъществените аспекти на обработването – кой софтуер да се използва, как да се разпространява достъпа до данни в рамките на собствената ѝ организация и т.н. Това не променя ролята ѝ на обработващ данни, когато тя не излиза извън обхвата на указанията, дадени от Компания А.

Комитетът дава и друг пример:

Компания A сключва договор за хостинг услуга с Компания Х за съхраняване на криптирани данни на сървърите на Х. Компания Х не определя вида на данните, които хоства, нито ги обработва по друг начин, освен като ги съхранява на своите сървъри. Тъй като съхранението е вид обработване на данни, а Компания Х съхранява въпросните лични данни от името на Компания А, то Компания Х се явява обработващ лични данни. Нужно е Компания A да предостави необходимите инструкции на Х относно това кои технически и организационни мерки за сигурност трябва да приложи и да сключи споразумение за обработване на данни съгласно член 28 от Регламента. Х трябва да съдейства на A при осигуряването на необходимите мерки за сигурност и да я уведоми в случай на нарушение на защитата на личните данни.

Съвместни администратори

Фигурата на съвместни администратори възниква,, когато субектът, определящ целите и средствата на обработване на личните данни, не е един, а са два или повече. За да изобрази практическото измерение на такъв тип обработване на данни, Комитетът дава следния пример:

Туристическа агенция, хотелска верига и авиокомпания решават да създадат съвместна интернет платформа с обща цел – предоставяне на пакетни туристически услуги. Те се договарят относно основните средства, които трябва да се използват, кои данни ще се съхраняват и как резервациите ще бъдат разпределени и потвърдени, кой може да има достъп до информацията, която се съхранява. Освен това те решават да споделят един с друг данните на своите клиенти, за да могат да извършват съвместна маркетингова дейност. В този случай туристическата агенция, авиокомпанията и хотелската верига заедно определят защо и как личните данни на клиентите им ще се обработват и следователно се явяват съвместни администратори по отношение на операциите по обработване на данни, свързани със съвместната им интернет платформа за резервации и съвместните маркетингови действия.

Въпреки това, всеки от тях запазва качеството си на самостоятелен администратор на данни по отношение на всички други свои дейности, базирани извън общата интернет платформа.

Друг пример, който Комитетът дава за разграничаване на съвместни администратори от администратор и обработващ данни, е при провеждането на клинични изпитвания:

Доставчик на здравни услуги (изследовател) и университет (спонсор) решават да стартират заедно клинично изпитване с обща цел. Те си сътрудничат за изготвянето на протокол на изследването (т.е. цел, методология / модел на изследването, данни, които трябва да бъдат събрани, предмет, критерии за изключване / включване, повторна употреба на базата данни (където е уместно) и т.н.). Те могат да се считат за съвместни администратори за това клинично изпитване, тъй като те съвместно определят целта и основните средства за обработката на данни.

Събирането на лични данни от медицинските досиета на пациента за целите на изследването трябва да се разграничи от съхраняването и използване на същите данни за целите на грижите за пациентите, за които доставчикът на здравни грижи остава самостоятелен администратор.

В случай че изследователят не участва в съставянето на протокола, а просто приема протокола, разработен самостоятелно от спонсора, то изследователят ще се счита за обработващ данните, а спонсорът – за администратор по отношение на това клинично изследване.

Комитетът дава и пример за предоставянето на лични данни от работодател към данъчните власти, в който случай няма да бъде налице съвместно обработване:

Компания събира и обработва лични данни на своите служители с цел управление на заплати, здравни осигуровки и др. Законът задължава компанията да изпраща всички данни относно заплатите на данъчните власти с оглед засилване на фискалния контрол.

В този случай, въпреки че и компанията, и данъчните власти обработват едни и същи данни относно заплатите, липсата на съвместно определени цели и средства по отношение на това обработване ще доведе до квалифицирането на двата субекта като двама отделни администратори на данни.

В анекс към Насоките Комитетът предоставя и графики с практически въпроси, които да помогнат на всеки да прецени дали обработва данни като самостоятелен администратор, съвместен администратор или обработващ.

Насоките можете да намерите тук.

#25 СЕС обяви за невалиден Щита за личните данни в отношенията между ЕС и САЩ, но призна стандартните договорни клаузи за валидни?

На 16 юли 2020 г. Съдът на Европейския съюз (СЕС) постанови решение по преюдициално запитване от съществено значение за инструментите за предаване на лични данни извън ЕС към така наречените „трети страни“, по-специално към САЩ.

Защо се стигна до тук?

Преюдициалното запитване е отправено във връзка с действията на австрийския активист г-н Максимилиан Шремс пред ирландския Комисар за защита на личните данни за спиране предаването на неговите данни като Facebook потребител от Facebook към САЩ, на този етап осъществявано главно въз основа на стандартни договорни клаузи (СК). След обявяването за невалидна на рамката Safe Harbor, прилагана по-рано за предаване на данни между ЕС и САЩ (делото Шремс I), г-н Шремс твърди, че СК не предоставят достатъчна степен на защита на личните данни, предавани от ЕС в САЩ, тъй като нормативната уредба в САЩ създава условия за незачитане договорните задължения на юридическите лица (в конкретния случай от страна на Facebook), във връзка със сключените от тях СК. Междувременно беше приета нова рамка – Щит за личните данни в отношенията между ЕС и САЩ – чиято валидност също беше поставена под въпрос с преюдициалното запитване до СЕС.

Кои са основните изводи от решението на СЕС?

Щитът за личните данни в отношенията между ЕС и САЩ е невалиден. Основните доводи на СЕС са, че:

(1) Местното законодателство на САЩ относно достъпа и използването от страна на публични органи (посредством различни програми за наблюдение) на лични данни за целите на националната сигурност, обществения интерес и правоприлагането, налагат ограничения по отношение на защитата личните данни, които не са равностойни и ограничени до строго необходимото, съгласно предвиденото в правото на Съюза;

(2) механизмът на Омбудсмана към Щита за личните данни не предоставя на субектите на данни способ за защита пред орган, предоставящ гаранции, които по същество са равностойни на изискваните в правото на Съюза, тъй като Омбудсманът:

(а) не може да се счита за независим, тъй като е назначен от Държавния секретар на САЩ, и е неразделна част от държавния департамент на Съединените щати, и

(б) не е оправомощен да взема обвързващи решения по отношение на дейността на разузнавателните структури на Съединените щати.

При предаване на лични данни съгласно СК, следва да се предостави ниво на защита, което е по същество равностойно на това, гарантирано в рамките на ЕС от ОРЗД и Хартата на основните права на ЕС. Според СЕС това означава оценка за всеки отделен случай по отношение на договорните клаузи между износителя на данни от ЕС и получателя – трета държава, всеки един достъп на публичните органи на тази трета страна до предадените данни, както и съответните аспекти на правната система на тази трета страна.

Решение 2010/87 относно стандартните договорни клаузи като инструмент за предаване на лични данни остава валидно.

Според СЕС решението за създаване на СК съдържа ефективни механизми, които позволяват на практика да се гарантира спазването на изискваното от ЕС ниво на защита и да се спре или да се забрани предаването в случай на нарушение на СК или в случай, че стане невъзможно да бъдат прилагани. Тези механизми са:

задължението на износителя на данни и на получателя да проверяват преди всяко предаване дали нивото на защита е спазено в третата държава, и
изискването към получателя да информира износителя на данни за всяка невъзможност да осигури съответствие със СК, като тогава последният бива от своя страна задължен да спре предаването на данни и/или да прекрати договора с получателя.

Надзорните органи на държавите-членки са задължени да спрат или забранят предаването на лични данни към трета държава, когато:
предвид всички обстоятелства в конкретния случай, те счетат, че:

(а) СК не са или не могат да бъдат спазени в дадената трета държава и

(б) защитата на предаваните данни, изисквана съгласно законодателството на ЕС, не може да бъде гарантирана с други средства, и

самият износител на данни от ЕС не е спрял или прекратил съответното предаване.

Защо е важно това решение?

Решението на СЕС е с решаващо значение, тъй като отново отчита проблемите във връзка с предаването на данни между ЕС и САЩ, идентифицирани преди години с обявяването на механизма за „Сферата на неприкосновеност на личния живот“ за невалиден. Това означава, че ЕС ще запази политиката си да изисква осигуряване на възможно най-високи стандарти за защита на данните в отношенията си с трети държави. Решението на СЕС е категорично послание към правителството на САЩ, призоваващо към прилагане на допълнителни предпазни мерки по отношение на парадигмата защита на личните данни-национална сигурност.

За бизнеса то означава бъдеща несигурност относно това как да бъде законосъобразно уредено предаването на данни в трети държави, особено в САЩ, защото:

един от основните инструменти за предаване на данни в САЩ – Щита за личните данни – вече не е приложим;
съображенията на СЕС по отношение на несъответствието на програмите за наблюдение на САЩ със стандартите за защита на данните на ЕС поставят под въпрос дали СК – вероятно най-популярният инструмент за предаване на данни – може да бъде използван адекватно за предаване на данни към САЩ.

На последно място, вероятно е да се очаква проактивен подход от страна на надзорните органи на държавите членки по отношение на предаването на данни, особено в контекста на новопотвърдените им правомощия да спрат или забранят предаването въз основа на СК в определени случаи, когато ефективното спазване на СК в трета държава или изискваното от ЕС ниво на защита на данните не може да бъде постигнато изцяло.

Полезни връзки:

Цялото решение на СЕС може да намерите тук
Прессъобщение на СЕС може да намерите тук
Изявление на ирландския надзорен орган относно решението на СЕС може да намерите тук
Изявление на Европейския комитет по защита на данните относно решението на СЕС може да намерите тук.

#24 Защита на личните данни при договор за прехвърляне на вземания (цесия)

По силата на договора за прехвърляне на вземане (цесия) кредиторът по едно вземане (цедент) го прехвърля на едно трето лице (цесионер). Тъй като цесията налага обработването на лични данни на едно трето лице – длъжник, което не е страна по договора, това води до нуждата от внимателно изследване на правилата за защита на личните данни и тяхната приложимост към прехвърлянето на вземания. Настоящият анализ изследва ситуацията, при която длъжникът е физическо лице. Изводите по-долу могат да се приложат по аналогия и към цесии с длъжници – юридически лица, като се отчетат спецификите на отношенията между юридически лица (т.е. че същите обменят данни за свои законни представители, пълномощници и др. под.).

Нужно ли е съгласие на длъжника за прехвърляне на вземането му?

Съгласието при договора за цесия може да се разглежда в две направления:

Съгласие за самата сделка – длъжникът не е страна по договора за цесия и неговото съгласие не е необходимо, за да породи сделката действие.
Съгласие като основание за обработване на личните данни на длъжника – съгласието може да се разглежда и като едно от правните основания за обработване на лични данни по Регламент 2016/679 (ОРЗД). Тъй като длъжникът трябва да може да прецени дали, за какви цели и за какъв срок да даде съгласието си, то представлява неподходящо правно основание за обработването на лични данни при договори за цесия. Това е така, защото ако обработването се базира на съгласие, това би дало възможност на длъжника да блокира кредитора да се разпореди с вземането си, като осуети възможността му да обработва съдържащите се в документите за дълга или свързани с него лични данни – кой е длъжникът и какви са данните му за контакт, от къде произтича задължението му, в какъв размер е то и какъв е падежът му и т.н.

На какво основание се базира обработването на лични данни при договора за цесия?

Страните по договора за цесия могат да базират обработването на личните данни на длъжника на други правни основания, които са равнопоставени и алтернативни на съгласието, а именно:

За цедента:
- Спазване на законово задължение – да предаде документите за дълга на цесионера, т.е. да извърши и свързаното с това обработване на съдържащите се в тях лични данни;
- Наличие на легитимен (законен) интерес – да се разпореди с вземането си както намери за добре.
За цесионера освен легитимния интерес да събере вземането си възниква и допълнително правно основание за обработването на лични данни –изпълнението на договор, по който субектът на данните е страна (това е договорът, на база на който е възникнало вземането). Това основание обаче може да бъде релевирано, при условие че цесията породи действие спрямо длъжника чрез съобщаване по реда на чл. 99, ал. 3 и 4 ЗЗД.

Според КЗЛД, юридическият факт, който прави допустимо обработването на лични данни, е прехвърлянето на вземането, а не уведомлението на длъжника. Това означава, че дори преди това уведомяване цесионерът може да обработва законосъобразно лични данни на длъжника.

Други изисквания на защитата на личните данни при цесията

Важно изискване, което трябва да се спази при цесията, е уведомяването на длъжника за обработването на неговите лични данни, тъй като администраторът на лични данни-цесионер получава личните данни не пряко от субекта на данните, а от друг източник – цедента. На субекта на данни трябва да се предостави информацията по чл. 14 ОРЗД, с цел осигуряване на прозрачно обработване на данните, а именно:

данните, които идентифицират администратора и координатите за връзка с него;
координатите за връзка с длъжностното лице по защита на данните, ако такова е назначено;
целите и правното основание за обработването;
съответните категории лични данни;
получателите на личните данни;
срокът, за който ще се съхраняват личните данни;
когато е приложимо, намерението на администратора да предаде данните на трета държава или на международна организация, и допълнителна информация, свързана с този трансфер на данни;
законните интереси, преследвани от администратора или от трета страна, когато обработването се извършва на това основание;
информация за правата на субекта на данни във връзка с обработването;
източникът на личните данни;
допълнителна информация в случай, че данните се използват за автоматизирано вземане на решения, включително профилиране.

ОРЗД изисква тази информация да се предостави от администратора в следните срокове:

в разумен срок след получаването на личните данни, но най-късно в срок до един месец, като се отчитат конкретните обстоятелства, при които личните данни се обработват;
ако данните се използват за връзка със субекта на данните, най-късно при осъществяване на първия контакт с този субект на данни;
ако е предвидено разкриване пред друг получател, най-късно при разкриването на личните данни за първи път.

Не са малко случаите в практиката, когато цесионери са санкционирани именно за неспазване на горното изискване за информиране на субекта. По принцип ОРЗД допуска изключения от горното задължение за информиране, ако получаването или разкриването на данните е изрично разрешено от правото на ЕС или правото на държавата членка, в което се предвиждат подходящи мерки за защита на легитимните интереси на субекта на данните. Не е ясно как КЗЛД ще тълкува това правило в светлината на договора за цесия (при който разкриването и получаването на данни е изрично уредено в българското право). Имайки предвид горната санкционна практика, по-сигурният подход за цесионерите ще е да извършват нарочно уведомяване на субектите.

Допуска се информирането на субекта на данни за обработването да се извърши заедно с уведомяването на длъжника за цесиятаот цесионера. Това е изрично припознато и в съдебната практика.

Може ли изтеклата давност на прехвърленото вземане да засегне законосъобразността на обработването на лични данни?

Дали вземането е погасено по давност или не, надлежно ли е упражнено възражението на длъжника за изтекла погасителна давност и т.н. са въпроси от компетентността на гражданския съд и не влияят на законосъобразността на обработването на лични данни.

Статия на д-р Мартин Захариев по темата можете да намерите на адрес: https://www.tita.bg/free/commercial-law/660

#23 Какво да съблюдавате, когато наблюдавате – GDPR изисквания към видеонаблюдението

Ако се притеснявате от кражби, грабежи или вандализъм на територията на Ваш имот или търговски обект, вероятно вече сте прибегнали до използването на видеонаблюдение или сте го обмисляли. Технически поставянето на камери става все по-лесно и достъпно с напредването на технологиите, но правните предизвикателства, които възникват, не намаляват. Какви изисквания трябва да имате предвид при поставянето на видеокамери? Какви ограничения се поставят от Регламент 2016/679 (GDPR) по отношение на обработването на лични данни? Какви задължения ще възникнат за Вас като администратори на лични данни с инсталирането на устройствата?

Практически насоки ни дава Европейският комитет по защита на данните (EDPB/ Комитета), най-ключовите от които са обобщени по-долу:

Правно основание на обработването

За да е законно обработването на лични данни (каквото е и видеонаблюдението), трябва да е налице поне едно от правните основания по чл. 6 GDPR. Най-често като основание за обработване на данни чрез видеонаблюдение се използва легитимният интерес на администратора (защита срещу кражби, вандализъм и др.). Небходимо е:

Да е налице реален риск или опасна ситуация, които могат да се докажат – чрез статистика на престъпността в района, например;
Да няма други подходящи средства, чрез които интересът може да се защити, без да се инсталира видеонаблюдение;
Да се вземат предвид основателните очаквания на субектите – например, неприемливо е наблюдение в санитарни помещения, в стаи за отдих и др. под.;
Наблюдението да е ограничено на територията на защитавания обект (само ако това не е достатъчно ефективно, може обсегът да се разшири).

Допустимо ли е видеозаписите да се предават на трета страна?

Предаването на трета страна представлява отделен вид обработване по смисъла на Регламента и като такова трябва да има собствено правно основание – например, ако националното законодателство поставя такова задължение при определени обстоятелства (за подпомагане на разследване, по искане па полицейски орган или прокуратура).

Обработване на специални категории лични данни

Ако се налага обработването на специални категории данни, чието обработване е по правило забранено, то следва да е налице поне едно от условията, изключващи забраната за обработване на такива данни (чл. 9 § 2 от GDPR). Ако чрез обработването се цели запазването на жизненоважните интереси на субекта, а той е физически или юридически неспособен да даде съгласието си, това би дало основание за обработването на такива данни (чл. 9 § 2, б. „в“). Такъв пример е видеонаблюдение на здравословното състояние на пациент, който е докаран в лечебното заведение в безсъзнание. Ако наблюдението е започнало, когато той не е бил способен да даде съгласието си, това не би било в противоречие с изискванията на GDPR. Комитетът коментира още изключението по отношение на данни, които явно са направени обществено достояние от субекта. Според Комитета, навлизането в район под видеонаблюдение не позволява на администратора да обработва специални категории данни на основание, че субектът ги е направил явно обществено достояние.

Права на субекта на данни

Важно е да се отбележи, че субектите на данни се ползват от всички права, които GDPR им дава – право на информация и достъп до обработваните данни, правото да бъдат коригирани данните, правото „да бъдеш забравен“ и т.н.:

Право на субекта на достъп до данните, събирани за него. Ако се използва наблюдение в реално време, без да има съхранение на данни,то при поискване на информация от страна на субекта на данни, достатъчно е да се потвърди, че обработването е преустановено и няма съхранени данни за субекта.

Комитетът обръща внимание и на случаите, при които на субекта на данни не би могло да бъде осигурен достъп до данните, събирани за него:

Разкриването им би довело до неблагоприятно засягане на правата на трети лица (например предоставянето на видеозаписи на един субект на данни би могло неблагоприятно да засегне правата и свободите на други лица, разпознаваеми на записа; в такива случаи Бордът съветва да не бъде ограничавано правото на достъп на субекта на данни, а вместо това да се използват средства за обработка на снимки, които скриват идентичността на трети лица).
Невъзможно е субектът да бъде идентифициран – например, ако през района, който се наблюдава, преминават множество хора на ден.
Отправеното искане е явно неоснователно или прекомерно (поради повтаряемост, например);

„Правото да бъдеш забравен“ – данните за лице, събрани при обработването, трябва да бъдат заличени ако вече не са необходими за целите, за които са били обработвани. Освен това:
Ако има отправено искане от страна на субекта на данни. Ако данните са били предоставени на трети страни, те също следва да бъдат осведомени за отправеното искане;
Ако основанието за обработване отпадне:
- Когато субектът на данни оттегли съгласието си за обработване;
- Когато интересите на субекта надделяват над легитимния интерес на администратора;
- когато субектът на данни се противопостави на обработването на данни за маркетинг цели.

Освен задължението на администратора да изтрие данните при поискване, не трябва да се забравя и принципът на свеждане на данните до минимум, т.е. обработваните данни да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват.

Право на възражение – субектът на данни има право да възрази срещу обработването на данни (преди навлизане в наблюдаваната зона, по време на пребиваването си в нея или след напускането ѝ). Администраторът трябва да докаже, че неговият законен интерес или защитаваният обществен интерес надделяват над правата и интересите на субекта (например, обработването е необходимо за осъществяването на вътрешно разследване).

Прозрачност на обработването и информиране при видеонаблюдение.

Едни от най-полезните насоки, които дава Комитетът, са свързани с информирането на субектите на данни. Добра практика, която отговаря на стандартите на Регламента, е използването на т.нар. многопластов подход за представяне на информацията:

Първи пласт: информационна табела, която информира по ясен и недвусмислен начин за извършваното видеонаблюдение (не е необходимо да се посочва точното местоположение на камерите). Необходимо съдържание:
- Самоличност на администратора или обработващия данни (както и на представители и контакти на Длъжностно лице по защита на данните, ако има такова);
- Цели и основания на обработването;
- Права на субектите на данни;
- Най-сериозни въздействия на обработването;
- Всякаква информация, която може да е неочаквана за субекта на данни.

Вторият слой информация може да бъде представен под формата на информационни брошури, поставени на лесно достъпно и видимо място.

Период на съхранение и технически изисквания

Колкото по-дълъг е периодът на съхранение (особено над 72 часа), толкова по-сериозни доказателства трябва да има, за да се обоснове съхранението. Съхранението обикновено се аргументира с евентуалната нужда да бъдат използвани като доказателство. За тази цел обаче обикновено е достатъчен период от 24 часа.

При избор на технически средства за наблюдение администраторът задължително трябва да съобрази всички принципи на обработване на данни, заложени в Регламента. Трябва да бъде осигурена както подходяща техническа, така и физическа защита на компонентите на системата за видеонаблюдение. Самият достъп до системата и обработваните данни следва да бъде максимално ограничен до само оторизирани от администратора лица.

Оценка на въздействието

В последната част на Насоките Комитетът припомня, че ако обработването се осъществява при систематично мащабно наблюдение на публично достъпна зона или когато се обработват специални категории данни, Регламентът поставя изискване да се извърши оценка на въздействието на защитата на данните (ОВЗД). Насоките относно ОВЗД и относно това кога съществува вероятност обработването „да породи висок риск“ за целите на Регламент 2016/679 са достъпни тук. Обобщена информация по този въпрос можете да откриете в други публикации в нашия блог (тук и тук).

#22 Конституционният съд обяви разпоредбата на ЗЗЛД за обработване на данни за журналистически цели за противоконституционна

С решение от 15 ноември 2019г. Конституционният съд (КС) обяви за противоконституционна разпоредбата, уреждаща обработването на лични данни за журналистически цели и за целите на академичното, художественото или литературното изразяване (чл. 25з от Закона за защита на личните данни – ЗЗЛД). Текстът беше приет в рамките на възможността, предоставена от Регламент 2016/679 (GDPR), държавите членки да съгласуват правото на защита на личните данни с правото на свобода на изразяване и информация.

С решението на КС се сложи край на турбулентната история на разпоредбата. Първоначално тя беше обект на широка критика от страна на медии и журналистически организации, след това Президентът наложи вето на измененията в закона заради нея, а през март 2019 КС беше сезиран от 55 народни представители с искане за обявяването й за противоконституционна.

Основна причина за полемиките бяха въведените критерии за преценка на баланса между свободата на изразяване и правото на информация и правото на защита на личните данни, в които искащите обявяването на разпоредбата за противоконституционна виждаха потенциална заплаха от законова цензура на свободата на словото.

В решението си КС се позовава на европейското законодателство, международните актове в областта на правата на човека и практиката на Съда на Европейския съюз (СЕС) и Европейския съд по правата на човека (ЕСПЧ). КС подчертава многократно, че се води от уредените и възприети на европейско ниво принципи за постигане на „баланс на интересите“ и за пропорционалност.

КС намира разпоредбата на ЗЗЛД за противоконституционна по следните основни съображения:

КС подчертава, че балансирането на различните права, в случая защитата на личните данни и правото на свобода на изразяване и информация, трябва да бъде осъществено чрез рационален и прагматичен подход, при който да бъдат отчетени конкретните обстоятелства за всеки отделен случай; следователно въвеждането на критерии в общо правило на законово ниво създава риск за правилното балансиране на интересите и противоречи на практиката на СЕС и ЕСПЧ да се прави конкретна преценка;
Според КС разпоредбата не отговаря на изискванията за разбираемост, прецизност, недвусмисленост и яснота, тъй като не указва ясно на адресатите си какво е недопустимо. КС критикува в частност няколко от критериите, които според него правят невъзможно медиите/журналистите да съобразят поведението си със закона и да прилагат т.нар. „журналистическо изключение“, позволяващо им да обработват лични данни при специални условия. В решението на КС се съдържа още, че неяснотата на критериите дава на органите, прилагащи закона, непредвидима власт.
Според КС разпоредбата противоречи на духа и разума на GDPR, тъй като Регламентът цели да позволи на държавите членки да въведат изключения и дерогации от общите правила, които да балансират защитата на личните данни и правото на свобода на изразяване и информация, а не да им позволи да приемат правила, които са „в тежест на медиите/журналистите“. КС изрично подчертава, че подобно тълкуване на GDPR от българския законодател „прави изключително трудно по-нататък да се постави граница на държавната намеса по отношение свободата на изразяване на медиите/ журналистите“, както и че разпоредбата би нарушила баланса между основните права в ущърб на правото на изразяване и информация;
Не на последно място, КС счита разпоредбата за непропорционална на целта, която преследва, тъй като ограничава прекомерно правото на свобода на изразяване и информация; КС приема, че разпоредбата препятства постигането на целите на журналистическата дейност и функцията на средствата за масова информация, тъй като може да доведе до автоцензура, продиктувана от опит за съобразяване с неясните критерии. В допълнение КС изтъква, че мярката не е необходима, защото има значително по-малко рестриктивна и утвърдена алтернатива – да се засили самоконтрола в медийната индустрия, включително и с приемане на кодекси за поведение, изработвани съвместно от медийните организации и КЗЛД, каквато е практиката в демократичните държави и каквато възможност изрично се предвижда в GDPR.

В заключение, КС обяви разпоредбата на 25з, ал. 2 ЗЗЛД за противоконституционна поради непредвидимост, правна несигурност и ограничаване на правото на свобода на изразяване и информация непропорционално на преследваната цел в контекста на журналистическото изразяване.

Предстои да видим дали законодателят ще се опита да формулира ново законово правило, с което да потърси баланса между правото на защита на личните данни и правото на свобода на изразяване и информация, или подобно на препоръките в решението на КС – подобен баланс ще се търси по пътя на саморегулацията на медийната индустрия – напр. чрез кодекси за поведение. Пълния текст на решението можете да прочете тук.

# 21 Сайтове с Фейсбук бутон „харесва ми“ – последното решение на Съда на Европейския съюз хвърля светлина върху основни въпроси за прилагането на ОРЗД

Когато оператор на уебсайт интегрира приставка на трето лице като Фейсбук бутона „харесва ми“, той предизвиква автоматичното събиране и предаване на лични данни на потребители на сайта към лицето, предоставящо приставката. Лична информация като IP адрес и потребителско поведение в даден сайт се изпраща от браузъра, независимо дали потребителят е натиснал бутона или дали има профил в сайта на третото лице. Тази практика предизвика съдебен спор в Германия след като Verbraucherzentrale NRW, обществено сдружение за защита на потребителските интереси, заведе съдебно производство срещу онлайн търговеца Fashion ID, който използва такава приставка и изпраща лични данни на своите потребители към Фейсбук Ирландия без да ги информира или да поиска съгласието им. След съдебно решение на първа инстанция в Дюселдорф, осъждащо Fashion ID, по-висшестоящият регионален съд Дюселдорф отнася делото до Съда на Европейския съюз с въпроси върху тълкуването на няколко разпоредби на предишната Директива за защита на данните от 1995 година.

Въпреки че Директивата беше заменена от Общия регламент за защита на данните (ОРЗД) миналата година, новото съдебно решение на Съда на ЕС може да доведе до по-добро разбиране на действащото европейско право за защита на данните.

Допустимост на иска

Съдът реши, че сдружения с нестопанска цел за защита на интересите на потребителите имат правомощие да предприемат правни действия срещу евентуален нарушител на сигурността на лични данни, както по смисъла на предишната Директива, така и според ОРЗД.

Обработване на данни

Съдът отреди, че Fashion ID се счита за съвместен администратор на данни по смисъла на ОРЗД, съвместно с Фейсбук Ирландия по отношение на събирането и предаването на лични данни, протичащо на неговия сайт. Онлайн търговецът не е отговорен обаче за обработването на данни от Фейсбук на по-късен етап, след като информацията вече е предадена.

Следователно операторите на уебсайтове са задължени да информират изчерпателно своите потребители за процесите, свързани с личните им данни. Освен това е необходимо законно основание за обработването на данни. Съдът предоставя интерпретация на две от условията на Чл.6 ОРЗД.

Операторът на уебсайт трябва да получи съгласието на потребителя по отношение на процесите, в които той действа като съвместен администратор, а именно събирането и предаването на лични данни чрез приставките на страницата му.

Що се отнася до наличието на легитимен интерес, то може да е основание само ако обработването на данни е необходимо за легитимните интереси и на двамата съвместни администратори.

Приставките на социалните мрежи носят множество ползи за операторите на уебсайтове, като повече публичност, присъствие в социалните мрежи, наблюдения върху популярността на съдържанието. За да ги използва и да избегне евентуална отговорност, операторът на уебсайта трябва да информира потребителите по всички точки в списъка на чл. 13 ОРЗД, като начините, целите и основанието на обработването на данни, както и крайните получатели на информацията. В повечето случаи това са Фейсбук и Гугъл като най-популярните доставчици на подобни приставки.

Възможно решение за противоречия със законодателството за защита на личните данни е интегрирането на приставките по начин, който предотвратява автоматичното предаване на данни. В случая с Фейсбук технологичният гигант предоставя бутона „харесва ми” под формата на програмен код. Вместо да се копира без промени, бутонът може да бъде поставен като линк към изскачащ прозорец – така наречения „Two-click method“ („метод на двата клика“). По този начин приставката и обработването на данни се активират не при отваряне на уебсайта, а едва след като потребителят натисне бутона и даде съгласието си за обработване на данните му. Този процес трябва да бъде описан в политиката за поверителност на уебсайта.

Източници:

Дело C-40/17, СЕС, Втори състав, 29 Юли 2019, достъпно тук: http://curia.europa.eu/juris/document/document.jsf;jsessionid=C928F3FB3CCCF093027557F27F1CCD39?text=&docid=216555&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=8508664

# 20 Производства пред Комисията за защита на личните данни

На 30.07.2019 беше публикуван Правилникът за дейността на Комисията за защита на личните данни, в който подробно са уредени устройството на Комисията, организацията на работата ѝ, производствата, които се извършват пред нея, както и дейностите по консултиране и обучение, с които тя съдейства на администраторите на лични данни.
Правилникът изрежда всички производства, които се развиват пред Комисията: разглеждане на жалби за нарушения на правaта на физически лица; прилагане на предвидените от Регламент 679/2016 (Регламент/GDPR) правомощия на надзорните органи; изразяване на становища по въпроси от областта на защитата на личните данни; приемане на стандартни договорни клаузи по Регламента; разглеждане на производства по предоставяне на данни на трети лица или международни организации; провеждане на предварителни консултации; разглеждане на уведомления за нарушения на сигурността на личните данни; одобряване на кодекси за поведение; акредитация и отнемане на акредитация на органи за наблюдение на одобрени кодекси за поведение; акредитация и отнемане на акредитация на сертифициращи органи. Тя може да провежда и други производства, когато това е предвидено в закон. В статията ще разгледаме основните производства и тези, които са релевантни за най-широк кръг от субекти.

Жалби и сигнали за нарушени права
Чрез жалба или сигнал до Комисията се съобщава за нарушение на права по Регламента и по ЗЗЛД. Разликата между двете е в лицето, чиито права са нарушени – жалба се подава, когато са нарушени права на искателя, а сигнал, когато са нарушени права на лице, различно от искателя. Исканията не могат да бъдат анонимни или неподписани и трябва да посочват точно лицето, срещу което са подадени, датата и естеството на нарушението. Комисията дава 3-дневен срок за отстраняване на нередовности. Редовността, допустимостта и основателността се преценяват от дирекция „Правни производства и надзор“. Заседанията, в които жалбата или сигналът се разглеждат по същество, са открити, и за тях се уведомяват страните и заинтересованите лица. Производството може да приключи с мерки по GDPR или ЗЗЛД, както и с административно-наказателни мерки.

Уведомление за нарушения на сигурността на личните данни
Това уведомление се подава от администратор, като необходимото съдържание е изложено в чл. 67, ал.3 ЗЗЛД и чл. 33, пар. 3 от GDPR. При постъпването му Комисията извършва проверка в двуседмичен срок, при която изяснява въпросите за това, в какво качество е КЗЛД (дали е водещ орган или подпомага работата на органи по защита на личните данни от други държави членки), естеството на нарушението, броя засегнати субекти на данни, броя засегнати записи, евентуалните последици и предприетите мерки, както и за нивото на риск от нарушението. Въз основа на анализа, информацията и нивото на риск, Комисията може да приеме уведомлението за сведение, да направи проверка по документи или проверка на място. Комисията има право да направи проверка на място при всяко ниво на риск.

Предварителна консултация
Регламентът задължава администраторите да се обърнат към това производство, когато оценката на въздействието върху защитата на данните покаже, че даденото обработване ще породи висок риск за правата и свободите на физическите лица. На Комисията се предоставя цялата информация, относима към обработването, и тя дава писмено становище. Регламентът предвижда и възможност за държавите членки да направят това производство задължително за някои операции по обработване, свързани с обществен интерес, социална закрила и обществено здраве. В Правилника на КЗЛД е уредено, че в някои случаи Комисията може да изисква от администраторите да се консултират и да търсят предварителни разрешения от нея във връзка с обработването на данни по повод на дейности в обществен интерес и социална закрила. Тази предварителна консултация има за цел да осигури предварителен контрол, но също така и да помогне на администраторите да предприемат необходимите мерки за сигурността на правата на субектите на лични данни. В зависимост от резултатите от консултацията, Комисията може да упражни всяко от правомощията си по Регламента (например да наложи ограничения и забрани на обработването на лични данни, да наложи глоби и имуществени санкции или да отправи предупреждения до администратора или обработващия) или да се произнесе с разрешение за планираното обработване.

Одобряване на Кодекси за поведение
За всички предприятия, сдружения, представителни структури и категории администратори на лични данни е предвидена възможност за приемане на кодекси за поведение. Тяхната цел е да улесняват прилагането на правилата на Регламента и да съдържат гаранции за правата и свободите на физическите лица, чиито данни ще бъдат обработвани. Процедурата започва отново с искане, което трябва да съдържа индивидуализация на предлагащия кодекса за поведение, уникално наименование и категориите администратори, за които ще се прилага. Проверката, на която подлежи проекта за кодекс, е дали той съответства на Регламента, дали улеснява прилагането му от администраторите и дали гарантира спазването на правата на субектите на данни. Неодобреният проект се връща на подателя за допълване или внасяне на поправки, а одобреният се изпраща на Европейския комитет по защита на данните. Тази процедура се прилага също и за изменения и допълвания на вече съществуващи Кодекси за поведение.

Обучения
Дейността, в която могат да се включат най-широк кръг субекти, е тази по обученията в областта на защита на личните данни. Те могат да бъдат по подадено искане или по инициатива на Комисията. Искането трябва да съдържа имена, адрес и телефон на подателя, приложимите документи и информация и да бъде подписано и датирано. За дейности от висок обществен интерес или значимост, както и такива, които поради естеството си изискват специално внимание, Комисията организира обучения за администратори и обработващи лични данни по своя инициатива. Според Правилника, в обученията могат да се включват субекти на данни, сертифициращи органи, администратори, обработващи лични данни и длъжностни лица по защита на данните. Процедурата включва изпит преди обучението за установяване на първоначалните знания, както и изпит в неговия край. Участвалите получават сертификат, който удостоверява успешното завършване на обучението.

# 17 Териториалният обхват на GDPR

В продължение на серията публикации относно промените, въведени с GDPR, с настоящата публикация ще ви запознаем с териториалния обхват на GDPR.

Териториалният обхват на GDPR е ключов фактор при привеждането на дейността на бизнеса в съответствие с правилата по защита на личните данни, тъй като в днешно време много услуги се предоставят в световен мащаб и онлайн. Компаниите извън ЕС са поставени пред проблема да определят дали те са пряко подчинени на строгите изисквания на GDPR или не. В помощ на компаниите, през края на 2018 г., правоприемникът на WP29, Европейският комитет по защита на данните (EDPB) публикува „Насоки за териториалният обхват на GDPR“.

Тази статия има за цел да обобщи и изясни критериите, както и да предостави някои насоки и полезна информация за териториалния обхват на GDPR.

Териториалният обхват на GDPR е определен в член 3, като разпоредбата съдържа три основни критерия.

Установяване на територията на ЕС
Първият критерии за определяне на териториалния обхват на GDPR е установяването на администратор или обработващ лични данни в ЕС (Чл. 3 (1)).

Съгласно GDPR, „установяването“ предполага ефективното и действителното упражняване на дейност по силата на стабилни договорености. Формата на тези договорености, например дали дейността се извършва чрез клон или дъщерно дружество, не е от значение.

Съдът на ЕС също постановява в неговата практика, че понятието за установяване обхваща всяка реална и ефективна дейност, осъществявана чрез стабилни договорености. Всъщност дори наличието на един служител или представител на дружество извън ЕС, би могло да бъде достатъчно за да представлява стабилно споразумение, ако този служител или представител действа с достатъчна степен на стабилност.

Това, че дадено дружество извън ЕС няма клон или дъщерно дружество в държава-членка, не изключва възможността то да бъде счетено за установено на територията а ЕС по смисъла на GDPR. Трябва да се има предвид, че когато компания със седалище в САЩ има клон, офис за продажби или просто когато извършва дейности за повишаване на нейните приходи в ЕС, може да се счете, че има стабилни договорености в ЕС и следователно GDPR да се прилага спряно нейната дейност.

Следва да се обърне внимание, че съгласно Член 3 критерият за установяване на територията на ЕС се преценя поотделно както за администратора, така и за обработващия лични данни. EDPB е на мнение, че когато става въпрос за идентифициране на различните задължения, породени от приложимостта на GDPR, дейностите по обработване на лични данни от всеки правен субект, бил той администратор или обработващ, следва да се разглеждат самостоятелно.

Например, в случаите, когато администратор на лични данни е установен на територията на ЕС и включи на обработващ лични данни, който се намира извън ЕС, такъв обработващ няма да се счита като установен в рамките на ЕС, само защото администраторът е дружество в ЕС. В този случай GDPR няма да бъде директно приложим за обработващия, установен извън ЕС. Единствено администраторът в ЕС ще бъде задължен да прилага изисквания на GDPR, приложими към администратори на лични данни („задълженията на администраторите на лични данни на GDPR“). Едно от тези изисквания е именно администраторът на лични данни да подсигури чрез договор или друг правен акт, че обработващият, установен извън ЕС, обработва данните в съответствие с GDPR.

Точно обратното се отнася за администратор на лични данни, установен извън рамките на Европейския съюз. Той не може да се счита за установен в ЕС, само защото използва обработващ лични данни от ЕС. В този случай, GDPR ще бъде приложим само за обработващия лични данни и само той ще трябва да се съобразява с изискванията на GDPR, приложими към обработващите лични данни („задълженията на обработващите лични данни на GDPR“). Например, това са задълженията на обработващия лични данни в ЕС да приложи подходящи технически и организационни мерки в съответствие с Регламента относно обмена на данни с администратора, да уведомява администратора без неоправдано забавяне, след като разбере за нарушение на сигурността на личните данни, или да определи длъжностно лице по защита на данните (ДЛЗД), когато това се изисква от Регламента.

Таргетиране на лица в ЕС
Вторият критерии за териториална приложимост на GDPR е така нареченото „таргетиране“ на лица в ЕС (Член 3 (2)).

GDPR определя критерия за таргетиране като „предлагането на стоки или услуги, независимо от това дали се изисква плащане от субекта на данни в ЕС“, както и като „наблюдение на тяхното поведение, доколкото това поведение се проявява в рамките на Съюза“. Налице ли е таргетиране зависи главно от въпроса дали дейностите на дадено предприятие са насочени към потребители, намиращи се в ЕС, което трябва да се определи във всеки отделен случай.

Местоположението на субекта данни на територията на ЕС е определящ фактор за прилагането на критерия за таргетиране. Европейският комитет за защита на данните смята, че националността или правният статут на лицето не може да ограничава териториалния обхват на GDPR. Следователно и дейностите, насочени към жителите на трети държави, които се намират в ЕС, също могат да предизвикат прилагането на критерия за таргетиране и да доведат до прилагане на GDPR спрямо тези дейности.

За да могат дружествата да определят дали техните дейности трябва да се считат за предлагане на стоки и услуги на субекти на данни в ЕС, последните следва да преценяват всички особености на техния бизнес модел, като например намерението им да предлагат стоки или услуги в ЕС чрез уебсайт, дали ги предлагат на местен език и приемат местна валута, дали са посочили местно лице за контакт за целите на продажби и съпорт т.н.

За да се задейства прилагането на втория критерий за таргетиране, а именно „наблюдение на поведение“, дейността по наблюдението трябва на първо място да се отнася за лице в ЕС и наблюдаваното поведение трябва да се извършва на територията на ЕС.
GDPR и Европейският комитет за защита на данните отбелязват като няколко примера за наблюдение дейностите на поведенческата реклама, гео-локализиращите дейности, онлайн проследяването чрез използване на бисквитки или други техники за проследяване, персонализираните диети и онлайн услугите за анализ на здравето, видеонаблюдението, пазарните проучвания и други поведенчески проучвания, базирани на индивидуални профили, мониторинг или редовно следене на здравословното състояние на индивида и други.
Важно е да се отбележи, че обработването на лични данни на лица, които се намират извън територията на ЕС, били те и граждани на ЕС, не предизвиква прилагане на GDPR, доколкото обработването на лични данни не е свързано с предлагане на конкретна услуга, насочена към лица в ЕС, или към наблюдение на тяхното поведение в ЕС.

Прилагане на правото на държавите-членки по силата на международното право
Разпоредбата на чл. 3(3) е по-обстойно обяснена в Съображение 25, което гласи, че когато правото на държавите-членки се прилага по силата на международното публично право, то GDPR следва да се прилага и за администратор, който не е установен на територията на ЕС.

Това означава, че GDPR може да се прилага и за обработването на лични данни, извършвано от посолствата и консулствата на държавите-членки на ЕС, или в кораби на ЕС, когато те се намират в международни води. Фактът, че дадена дейност се извършва на кораб, регистриран в ЕС, означава, че по силата на международното публично право се прилага GDPR.

Администраторите или обработващите лични данни, които не са установени в Съюза, трябва да назначат местен представител.
И накрая, е важно да се има предвид, че администратор или обработващ лични данни, който не е установен в ЕС, но спрямо него се прилага GDPR, е длъжен да определи представител в ЕС в съответствие с член 27, а ако не бъде определен такъв представител, следователно съответният администратор или обработващ ще бъде в нарушение на Регламента.

GDPR и Европейският комитет за защита на данните, дават някои допълнителни насоки относно процеса на определяне, задълженията и отговорностите на представителя в ЕС. Например, важно е да се знае, че представителят:
• може да бъде физическо или юридическо лице, установено в Съюза;
• следва да бъде изрично посочен с писмен мандат, например договор с администратора или обработващия лични данни да действа от негово име и във връзка с неговите задължения съгласно GDPR;
• не може да бъде едновременно Длъжностно лице за защита на данните (DPO) на дружеството;

Член 27(2) предвижда някои изключения от задължението за определяне на представител в Съюза, като например:
• когато обработването е спорадично, не включва мащабно обработване на специални категории лични данни или обработване на лични данни, свързани с присъди и нарушения; или
• когато обработването се извършва от публичен орган или структура.

Член 27(3) предвижда, че представителят трябва да бъде установен в една от държавите-членки, където субектите на данни, чиито лични данни се обработват във връзка с предлагането на стоки или услуги на тях или чието поведение се наблюдава.

Освен това, Европейският комитет за защита на данните препоръчва представителят да бъде лесно достъпен за всички субекти на данни във всяка от държавите-членки, в която се предлагат услугите или стоките или се наблюдава поведението.

Моля, имайте предвид, че представителят в Съюза действа от името на администратора или обработващия лични данни, който ги представлява по отношение на задълженията им съгласно GDPR. Това е особено важно за изпълнението на задълженията, свързани с упражняването на правата на субектите на данни, и в това отношение данните за контакт на представителя трябва да бъдат включени във всички информационни документи на администаторите на лични данни съгласно изискванията на чл. 13 и 14, като например уведомленията им за защита на личните данни.

Представителят следва също така да изпълнява задачите си в съответствие с мандата, получен от администратора или обработващия лични данни, включително да си сътрудничи с компетентните надзорни органи по отношение на всяко действие, предприето за осигуряване на съответствието с GDPR.

Насоките 3/2018 относно териториалния обхват на GDPR (член 3) на Европейския комитет по защита на данните могат да бъдат намерени тук.

# 16 Платформата за дистанционно обучение по проект INFORM – удобен начин за увод в тематиката за защита на лични данни

Наскоро колегите от Фондация „Право и Интернет“ представиха платформа за онлайн обучение, която по достъпен начин въвежда в тематиката за защита на личните данни. Платформата е резултат от изпълнението на проекта INFORM (Представяне на реформата в сферата на защита на лични данни пред съдебната система) и е достъпна на следния линк.

Регистрацията е лесна, само в една стъпка, като позволява на потребителите да изберат и своята професия (магистрат, съдебна администрация или практикуващ юрист), тъй като платформата е структурирана в три различни модула. Всеки от тях предоставя адаптирано съдържание в зависимост от различните професионални отговорности на потребителите.

Платформата предлага обстойно въведение в правилата на Европейския съюз за защита на данните, като съдържанието не се ограничава само до разпоредбите на Общия регламент за защита на данните, но се разпростира и върху тези на Директива 2016/680. Регистрираните потребители на платформата могат лесно да проверят знанията си по разглежданите теми, тъй като е налице и функционалност за самостоятелна оценка.

Настоящата статия е създадена като част от проектa INFORM, финансиран с подкрепата на програма Правосъдие (2014-2020) на Европейската комисия. Съдържанието на настоящата публикация отразява единствено възгледите на авторите, които носят отговорност за съдържанието ѝ. Европейската комисия не поема никаква отговорност за информацията в публикацията.