Общ регламент за защита на данните (Регламент 2016/679),

[vili_spasova]

Уважаеми колеги, считам, че настоящата тема е колкото злободневна, толкова и необходима на всички ни, като обработващи лични данни, в различните на качества - адвокати, нотариуси, ЧСИ-та, юрисконсулти, счетоводители, ТРЗ, преводачи, служители на различни нива в администрация и др.

Ще се радвам да споделяте мнения, препратки, личен опит, сламки /и всичко, което счетете за актуални и полезно/ във връзка с предстоящото прилагане на Общия регламент.

Счетоводители от друг форум дискутират проблема и предлагат някакви решения на този линк:

https://www.kik-info.com/forum/index.php?topic=22561.40

[vili_spasova]

Здравейте, колеги!
Продължавам бодро по темата с едно интервю на Председателя на КЗЛД:


Председателят на КЗЛД Венцислав Караджов за новия регламент GDPR

http://www.economy.bg/bulgaria/view/30799/%D0%9F%D1%80%D0%B5%D0%B4%D1%81%D0%B5%D0%B4%D0%B0%D1%82%D0%B5%D0%BB%D1%8F%D1%82-%D0%BD%D0%B0-%D0%9A%D0%97%D0%9B%D0%94-%D0%92%D0%B5%D0%BD%D1%86%D0%B8%D1%81%D0%BB%D0%B0%D0%B2-%D0%9A%D0%B0%D1%80%D0%B0%D0%B4%D0%B6%D0%BE%D0%B2-%D0%B7%D0%B0-%D0%BD%D0%BE%D0%B2%D0%B8%D1%8F-%D1%80%D0%B5%D0%B3%D0%BB%D0%B0%D0%BC%D0%B5%D0%BD%D1%82-GDPR

[vili_spasova]

Вдигам темата:
От страницата на КЗЛД:

Регламент (ЕС) 2016/679 е обнародван в Официален вестник на Европейския съюз от 04.05.2016 г.
Регламентът ще се прилага пряко във всички държави-членки от 25 май 2018 г.

Забележка: Поради установени технически грешки в превода на български език (а и на други езици) на Общия регламент за защита на данните, е стартирана официална процедура за отстраняването на тези грешки. Например: заглавието на чл. 14 – „Информация, предоставяна, когато личните данни идват от субекта на данните”, следва да се чете „Информация, предоставяна, когато личните данни не идват от субекта на данните”, което е видно от съдържанието на чл. 14.

https://www.cpdp.bg/index.php?p=element&aid=1099

[vili_spasova]

Общ регламент за защита на данните
Нова правна рамка на ЕС за защита на личните данни - прилага се от 2018 г.

Общ регламент за защита на данните - Регламент (ЕС) 2016/679
Директива за защита на личните данни в полицейската и наказателната дейност

Информационно-разяснителни материали по Общия регламент за защита на данните

Насоки на Европейската комисия относно предстоящите нови правила за защита на данните
Насоки от Работна група по чл. 29 с оглед на началото на прилагането на Общия регламент за защита на данните
ДЕСЕТ ПРАКТИЧЕСКИ СТЪПКИ ЗА ПРИЛАГАНЕ НА ОБЩИЯ РЕГЛАМЕНТ ЗА ЗАЩИТА НА ДАННИТЕ (актуализиран и допълнен вариант)
Практически въпроси на защитата на личните данни след 25 май 2018 г.
Разяснения относно практическото приложение на Общия регламент за защита на данните от органите на местното самоуправление (общините)
Задължения на администраторите на лични данни
Длъжностно лице по защита на данните
Права на физическите лица
„Съгласието” според Общия регламент за защитата на данните


https://www.cpdp.bg/index.php?p=rubric&aid=46

[vili_spasova]

В предишния брой на дайджест „Труд и право“ припомнихме накратко, какви лични данни на работниците и служителите се събират във връзка със сключването на трудовия договор, съответно какви са условията за законосъобразното им обработване.
В следващите редове ще продължим същата тема, като разгледаме категориите лични данни, които се обработват по време на действието и при прекратяването на трудовото правоотношение. И тук могат да се очакват някои промени, свързани с Регламент (ЕС) № 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общия регламент за защита на личните данни), който ще започне да се прилага от 25.05.2018 г.
Трудовото правоотношение обикновено се развива продължително във времето и наред с личните данни, събрани от работодателя във връзка с възникването му, през времето на неговото съществуване се натрупват все по-големи обеми данни.
На първо място - това може да са данни, чието събиране и обработване е било възможно още към момента на възникване на трудовото правоотношение, но поради пропуск на страните или липса на необходимост към този момент не е било направено.
Втората хипотеза се свързва с темата за контрола, който може да упражнява работодателят като част от дисциплинарната си власт, особено при развитието на съвременните технически средства за електронно наблюдение и отчитане.
А) Пример за ситуация, в която при възникване на трудовото правоотношение не са били събрани данни, необходими за реализирането на трудови права от работника или служителя, може да е пропускът му да представи удостоверение, че има придобита образователна и научна степен „доктор“ по специалност, свързана с изпълняваната работа. По-късно служителят представя такъв документ, за да започне работодателят да му заплаща допълнително трудово възнаграждение по чл. 11, ал. 1 от Наредбата за структурата и организацията на работната заплата (НСОРЗ).
Възможно е и да настъпи промяна в първоначално предоставената информация или да са налице нововъзникнали обстоятелства. Ако използваме отново дадения по-горе пример, придобиването на научната и образователна степен „доктор“ от служителя по време на действието на трудовия договор ще му даде занапред правото на допълнително възнаграждение. За да го упражни, той трябва да предостави на работодателя съответното удостоверение, съдържащо негови лични данни. Информация, свързана с личния живот на работника или служителя, по необходимост се разкрива и при ползването на редица други трудови права, например на отпуски за изпълнение на граждански, обществени и други задължения (встъпване в брак, смърт на близък роднина и т.н.), отпуски за синдикална дейност, отпуски поради временна неработоспособност и др.
Началото на прилагането на Общия регламент за защита на личните данни по-скоро няма да даде отражение върху събирането на посочените по-горе категории данни, защото за него е налице нормативно основание, произтичащо от трудовото законодателство. Що се отнася до конкретните действия по обработване на тези данни, те трябва да са съобразени с техническите и организационни мерки, въведени от работодателя за защита на данните на персонала.
Б) Втората голяма група „допълнителни“ лични данни, които се събират и обработват в хода на трудовото правоотношение, поставя по-голям брой правни проблеми. Те са свързани с новите технически контролни механизми и повдигат съществени въпроси от правно и морално естество.
Сред най-„модерните“ контролни механизми попадат например видеонаблюдението, наблюдението на персонала в електронна среда, проверка на електронната кореспонденция, инсталирането на контролиращ софтуер, системи за биометричен контрол и др. Най-често посочваните от работодателите цели, които ги мотивират да използват такива контролни механизми, се свеждат до необходимостта от осигуряване на ефективни гаранции за изпълнението на задълженията на работниците и служителите по трудовото правоотношение, като спазването и уплътняването на работното време. Така например видеонаблюдението 1 и системите за биометричен контрол могат да осигурят надеждна информация за точния час на влизане и излизане на всеки служител от сградата на предприятието.
Съвременните технически възможности за наблюдение и контрол на персонала са многобройни и непрекъснато се увеличават. Затова е безсмислено да се поставя въпросът възможно ли е фактически осъществяването на постоянно наблюдение над работниците и служителите: разбира се, че то е възможно, а в немалко предприятия е и реалност. Същественият въпрос, на който законодателството, съдебната и административната практика и правната наука трябва да търсят отговор, се свежда до допустимостта на използването на такива способи. И тук могат да се откроят две основни хипотези:
• Когато въвеждането на специални технически мерки за контрол представлява нормативноустановено задължение за работодателя, той няма особена свобода на действие и място за преценка. Става дума за дейности, регламентирани в специални закони и свързани с повишени рискове, респективно произтичащите от тях изисквания за сигурност. Видеонаблюдение задължително се осъществява например в банки, казина и т.н.
• Извън посочените случаи използването на специални технически способи за контрол е въпрос на преценка по целесъобразност. Ако счита, че е необходимо да оптимизира трудовия процес посредством използването на подобни мерки, работодателят следва да извърши задълбочена предварителна оценка на тяхното въздействие и степента, в която те биха рефлектирали в личната сфера на работниците и служителите. Става дума за деликатния въпрос за намирането на баланса в „пропорционалността“ на мерките.
По отношение на втората група случаи промените в законодателството по защита на личните данни без съмнение ще имат по-голямо значение. Така например опазването на имуществото на работодателя и предотвратяване на кражби от търговския му обект е негов легитимен интерес, който би могъл да оправдае монтирането на камери за видеонаблюдение. На този легитимен интерес обаче противостои интересът на наблюдаваните лица, в т.ч. работниците и служителите, от ограничаване на намесата в личното им пространство. Затова и видеонаблюдението на места, където ще причини прекомерен дискомфорт на персонала (стаи за преобличане, санитарни помещения и т.н.) влиза в разрез със законовите правила. На плоскостта на защитата на личните данни това ще е форма на незаконосъобразно обработване на лични данни (личните данни в случая се изображенията на записаните физически лица, по които те могат да бъдат идентифицирани). На плоскостта на антидискриминационното законодателство такова видеонаблюдение може да представлява тормоз на работното място. По смисъла на Кодекса на труда с подобни действия работодателят ще наруши задължението си за опазване на достойнството на полагащите наемен труд лица (чл. 127, ал. 2 КТ).
Добре е още към настоящия момент, преди регламентът да е започнал да се прилага, работодателите да направят нов анализ на актуалната картина на обработването на лични данни на персонала. Ако в резултат на тази проверка се установи, че се събират и обработват лични данни, за които е съмнително доколко е налице условие за допустимост на обработването, най-добре би било тази практика да се преустанови, а събраните данни да се унищожат. Това произтича от принципа за минимизиране на обработването на лични данни, заложен в новия регламент. (За обработването, базирано единствено на съгласието на работниците и служителите - субекти на данните, препращам към изложението в предишния брой. - А. А.)
В) Самостоятелен кръг от правни проблеми поставят и личните данни на работника или служителя, обработвани във връзка със и след прекратяването на трудовото правоотношение.
Някои от основанията за прекратяване на индивидуалното трудово правоотношение безспорно налагат събирането и обработване на допълнителна информация за съответния работник или служител, т.е. на допълнителни лични данни за него. Например, за да се обоснове липса на качества за ефективно изпълнение на работата по смисъла на чл. 328, ал. 1, т. 5 КТ, следва да бъде събрана информация за недостатъчната образованост, опит или природни дадености на работника или служителя - като съобразителност, сръчност, схватливост, концентрация, способност за работа с хора или клиенти за определени професии.
Тук нито е възможно, нито е необходимо да се разглеждат всички основания за прекратяване на трудовото правоотношение и съответно какъв обем от допълнителни лични данни за работника или служителя може да се наложи да бъде събиран във всеки конкретен случай. Заслужава обаче да се спомене един съществен практически проблем, свързан със събирането на данни за здравословното състояние на служителите.
Личните данни, отнасящи се до здравето, попадат сред т.нар. „чувствителни“ лични данни, чието обработване по принцип е забранено. По изключение обработването им е допустимо за изпълнението на специфични права и задължения на администратора в областта на трудовото законодателство и то, разбира се, често се практикува. Това трябва да се прави с ясното съзнание за повишената чувствителност на тези данни и съществените вреди, които могат да претърпят титулярите им от нерегламентираното им разкриване.
По необясними причини нашето трудово законодателство не предвижда задължение за работниците и служителите, страдащи от заболяванията по Наредба № 5 от 20.02.1987 г. за болестите, при които работниците, боледуващи от тях, имат особена закрила съгласно чл. 333, ал. 1 от Кодекса на труда, да уведомят работодателя за тези заболявания. Напълно е възможно работодателят да не знае, че определен работник или служител има право на предварителна закрила при уволнение. Разпоредбата на чл. 1, ал. 2 от Наредба № 5 от 1987 г. обаче му вменява задължението да събере „предварителна информация от работниците, които са определени за уволнение, страдат ли от посочените болести“. Едва в последните години в практиката на ВКС като че ли започва да си пробива път известно „либерализиране“ на режима - например в Решение № 246 от 12.07.2013 г. по гр. д. № 711/2012 г., IV г. о. ВКС приема, че при бездействие, изричен отказ или умишлено затаяване на информация от работника или служителя, работодателят няма възможност да проверява във всеки един случай на уволнение по чл. 328, ал. 1, т. 2, т. 3, т. 5 и т. 11 и чл. 330, ал. 2, т. 6 КТ, ако не разполага с информация от преди това, дали служителят или работникът страда от някоя от болестите по чл. 1 от Наредба № 5 от 1987 г., нито правото да ги задължава да преминат на задължителни медицински преглед преди прекратяване на трудовото правоотношение за наличие на заболяване от вида на тези, за които се прилага закрила по чл. 333, ал. 1, т. 3 КТ (курсивът е мой - А. А.).
До този извод обаче не трябва да се стига единствено по тълкувателен път, а да се регламентира изрично в закона. Наличието на заболявания по Наредба № 5 от 1987 г. трябва да поражда същото задължение като бременността или напреднал етап на лечение ин-витро - за изрично уведомяване на работодателя (вж. чл. 313а КТ). Разбира се, уведомяването и тук следва да е въпрос на преценка на служителя. Той може да не иска да уведомява никого за състоянието си и това негово желание е достойно за уважение, защото засяга особено деликатна сфера от личния му живот. В такъв случай обаче няма да ползва предварителната закрила при уволнение.
Г) Прекратяването на трудовото правоотношение не слага автоматично край и на обработването на лични данни на бившия работник или служител. Съхранение и обработване на данни на бивши служители се налага например за пенсионноосигурителни цели. Извън това, възможно е възникването на трудов спор във връзка с прекратеното трудово правоотношение - било за самото му прекратяване, или по повод на други права (неизплатени възнаграждения и т.н.). За да проведе защитата си, работодателят трябва да разполага с документите от трудовото досие на работника или служителя, чието правоотношение е прекратено. Ето защо, прекратяването на трудовото правоотношение не води до отпадане на необходимостта от обработване на събраните лични данни, респективно възникване на задължение за тяхното унищожаване.
Информация от личен характер, за която липсва основание за по-нататъшно съхраняване и обработване обаче (например лична кореспонденция на бившия служител на служебен компютър, лични снимки и пр.), следва да бъде върната на титуляря при поискване и заличена от служебните комуникационни устройства. Разбира се, желателно е при прекратяване на трудовото правоотношение самият служител да се погрижи да не оставя такава информация. Той следва да предаде на работодателя зачислените му устройства, ведно със служебната информация, намираща се у него, и да премахне личната.
Доц. д-р Андрей АЛЕКСАНДРОВ, директор на Дирекция „Трудово право“ в Адвокатско дружество „Камбуров и съдружници“
_________________
1 Още по темата за видеонаблюдението - вж. Фети, Н., Видеонаблюдението на работното място, в контекста на защитата на личните данни. - В: „Труд и право“, 2018, № 2, с. 25 (бел. ред.).

източник:
http://www.trudipravo.bg/mesechni-spisania/mesechno-spisanie-trud-i-pravo/menumattp/3127-kakvi-lichni-danni-se-obrabotvat-po-vreme-na-deistvieto-i-pri-prekratyavaneto-na-trudoviya-dogovor

[vili_spasova]

Както се казва, по-добре късно, отколкото рано....
https://www.cpdp.bg/index.php?p=element&aid=1163


"Практически насоки на КЗЛД в кои случаи не е необходимо съгласие за обработване на лични данни
.................................

Примерен неизчерпателен списък на случаи, в които не се изисква съгласие:
В съответствие с посочените критерии, по правило не е необходимо отделно съгласие от лицата, в това число подписването на всякакви форми на декларации, за обработване на личните им данни от изброените по-долу администратори в хода на тяхната обичайна професионална дейност. Това не включва обработването на лични данни за директен маркетинг, където съгласието следва да е водещо основание.
- лекари, зъболекари и фармацевти;
- адвокати;
- работодатели;
- публични органи (държавни и общински);
- учебни заведения (детски градини, училища и висши учебни заведения);
- банки и други кредитни институции;
- застрахователи;
- предприятия, предоставящи обществени електронни съобщителни мрежи и/или услуги;
- куриерски фирми и други пощенски оператори;
- предприятия, предоставящи комунални услуги (електроразпределителни дружества, ВиК, топлофикации);
- обработващи лични данни (счетоводители, служби по трудова медицина и др.);
- хотелиери и туристически агенции;
- управителите на етажна собственост (домоуправители);
- копирни услуги;
- преводачи;
- журналисти, фотографи и видеооператори;
- религиозни, политически, обществени и синдикални организации;
- и други..."

[peerapon]

по правило не е необходимо отделно съгласие от лицата, в това