В Търговския регистър и регистъра на юридическите лица с нестопанска цел (Регистъра) се обявяват определени със закон документи. Това означава, че всеки има свободен достъп до тези документи през интернет страницата на Регистъра и съответно до личните данни, съдържащи се в тях. Това често, освен имена на хора, са и ЕГН-та, данни за лични документи и адрес. За юридическите лица с нестопанска цел (НПО), подлежащите на обявяване в Регистъра, са документите (виж чл. 18, ал. 2, ЗЮЛНЦ):
1. решението за учредяване на юридическото лице с нестопанска цел; (при фондациите това решение е често част от Учредителния акт)
2. уставът на сдруженията, съответно учредителният акт на фондациите;
3. решенията за промени в обстоятелствата, подлежащи на вписване; (това са най-често протоколи от органите на юридическото лице с нестопанска цел, отразяващи взето решение за промени)
4. финансовите отчети на юридическото лице с нестопанска цел, както и докладът за дейността за тези, определени за извършване на общественополезна дейност.
Съгласно Закона търговския регистър и регистъра на юридическите лица с нестопанска цел (чл. 2, ал. 2 ЗТРРЮЛНЦ) тези документи се обявяват без информацията, представляваща лични данни на физически лица, с изключение на информацията, за която със закон се изисква да бъде обявена. Именно поради това при подаване на тези документи в Регистъра има възможност и за подаване и на техни копия със заличени лични данни. Когато обаче не се подадат копия със заличени лични данни, се публикуват документите с пълно съдържание. В тези случаи се предполага, че всички хора, чиито данни ще станат публично достъпни чрез публикуване на акта, са се съгласили за това(виж чл. 13, ал. 9 ЗТРРЮЛНЦ, който въвежда това предположение, т. нар. законова презумпция.)
Обявяването на актове в Регистъра обаче става не лично от хората, чиито данни се съдържат в документа, а чрез заявление, подадено от представляващия (в общия случай) организацията, по чиято партида ще бъдат публикувани документите. Така, лицата, чиито данни се съдържат в документите, може не само да не са съгласни, а понякога дори и да не знаят, че те са станали публично достъпни.
Така възникват няколко важни въпроса във връзка със защита на личните ни данни:
1. Може ли физическо лице да иска заличаване на данните си във вече обявени в Регистъра актове и на какво основание?
2. По какъв ред следва да се иска заличаване на лични данни във вече обявени в Регистъра актове ?
3. Кои данни се изискват по закон в подлежащите на обявяване в Регистъра актове и кои могат да бъдат заличени ?
Четирите дела, по които ВАС се е произнесъл са аналогични – физическо лице иска заличаването на данните си в обявен в Регистъра акт, като искането е отправено към Изпълнителния директор на Агенцията по впиванията (към която е Регистъра). И в четирите казуса Изпълнителният директор на Агенцията по впиванията отказва заличаването въз основа на искане на физическо лице, който отказ и в четирите случая е отменен на първа инстанция от съответния Административен съд. Агенцията по впиванията (АВ) обаче се възползва от правото си да обжалва решенията на административните съдилища пред Вас, но отново губи делата.
Така, съгласно вече натрупаната съдебна практика на ВАС, даваме отговори на поставените въпроси.
Може ли физическо лице да иска заличаване на данните си във вече обявени в Регистъра актове и на какво основание?
ВАС категорично отхвърля подържаната от АВ теза, че Агенцията не е администратор на личните данни, съдържащи се обявените в Регистъра актове. Така, в качеството си на администратор на личните данни АВ следва да спазва не само ЗТРРЮЛНЦ, но и да изпълнява задълженията си и да уважава правата на субектите на данни (физическите лица, чиито данни се обработват), уредени в Закона за защита на личните данни (ЗЗЛД) и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. (познат още като ОРЗД и GDPR).
В тази връзка ВАС счита, че изпратените до Изпълнителния директор на АВ писма, са искания за реализиране на права на субектите на данни на основание чл. 39, ал. 1 от ЗЗЛД, във връзка с чл. 79, във вр. с чл. 17 от ОРЗД. Съдът подчертава, че регистърното производство (уредено в ЗТРРЮЛНЦ) и производството за упражняване на права на физическите лица във връзка със защитата на личните им данни (въз основа член 17 от ОРЗД) са две отделни административни производства, протичащи при различни условия и ред.
В първоинстанционното решение по едно от делата Административен съд-Бургас е изложил и съображения, че въведената в чл. 13, ал. 9 от ЗТРРЮЛНЦ законова презумпция за съгласие на физически лица данните им да се обработват (в случая обработването се състои в публикуването на личните данни като част от подлежащи на обявяване актове) противоречи на разпоредбите на чл. 4, т. 11 и чл. 6, т. 1, б. "а" от ОРЗД. Според ОРЗД съгласие за обработване на данни е свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните (физическото лице, чиито данни се обработват), дадено посредством изявление или ясно потвърждаващо действие. Тази част от мотивите на първоинстанционния съд обаче не е подробно развита от ВАС. (виж Решение № 8451).
По какъв ред следва да се иска заличаване на лични данни във вече обявени в Регистъра актове ?
ВАС категорично отхвърля и тезата на АВ, че физическото лице, чиито данни се съдържат в обявен акт, следва да се обърне към юридическото лице, по чиято партида е обявен акта, и юридическото лице да инициира регистърно производство за обявяване на акта със заличени лични данни чрез Заявление Г1 по образец и заплащане на държавна такса.
Както вече бе отбелязано - регистърното производство и реализирането на правата на субекти на данни са две различни производства. Това означава, че АВ следва да приложи ЗЗЛД и ОРЗД при разглеждане на искания от физически лица за заличаване на данните им от обявени актове.
Съгласно чл. 37б ЗЗЛД субектът на данни упражнява правата си (по чл. 15 - 22 от ОРЗД) чрез писмено заявление до администратора на лични данни или по друг определен от администратора начин. Заявлението за упражняване на права следва да съдържа (чл. 37в ЗЗЛД ):
1. име, адрес, единен граждански номер или личен номер на чужденец или друг аналогичен идентификатор, или други идентификационни данни на физическото лице, определени от администратора, във връзка с извършваната от него дейност;
2. описание на искането;
3. предпочитана форма за получаване на информация при упражняване на правата по чл. 15 - 22 от Регламент (ЕС) 2016/679;
4. подпис, дата на подаване на заявлението и адрес за кореспонденция. (заявлението може да бъде подписано и с ел. подпис и да бъде изпратено като ел. документ).
Съгласно чл. 33 от Политика за защита на личните данни oтносно Търговския регистър и регистъра на юридическите лица с нестопанска цел физическите лица могат да упражняват правата си на субекти на данни чрез подаване на писмено заявление до Агенция по вписванията на следния адрес: в гр. София, п.к. 1111, община Столична, район „Слатина“, ул. „Елисавета Багряна” № 20 или на официалния електронен адрес на Агенцията office@registryagency.bg при спазване условията на Закона за електронния документ и електронните удостоверителни услуги, Закона за електронното управление и Закона за електронната идентификация (т.е. документ в електронна форма подписан КЕП – квалифициран електронен подпис. Отпечатан документ, който е бил подписан с КЕП, не отговаря на тези изисквания).
За допълнителна информация физическите лица могат се обръщат и към длъжностно лице по защита на данните на Регистъра - gdpr@registryagency.bg
Кои данни се изискват по закон в подлежащите на обявяване в Регистъра актове и кои могат да бъдат заличени ?
Този въпрос не е разгледан в цитираните решения на ВАС. В практиката към момента изглежда безспорно, че:
- ЕГН, данни относно документ за самоличност – номер на лична карта, дата на издаване на лична карта и др., и адрес на физическите лица подлежат на заличаване.
Разнопосочна е практиката по отношение на това дали имената на физическите лица подлежат на заличаване и в кои случаи. В случай че се възприеме виждането, че имената на всички физически лица посочени в акта подлежащ на обявяване следва да се оставят видими, то трябва да се посочи въз основа на кои разпоредби на закона се изисква това. Според нас е обосновано да се оставят видими имената само на лица, чиито данни подлежат на вписване в регистъра съгласно чл. 18,а ал. 1 ЗЮЛНЦ, а именно - имената на членовете на управителния орган, имената на лицата, представляващи юридическото лице с нестопанска цел, имената на ликвидаторите. Така, например, в решение на общо събрание за избор на нов член на управителен съвет, което решение подлежи на обявяване, а промяната в състава на управителния орган подлежи на вписване, то ще трябва да оставим видими имената на новоизбрания член на управителния съвет, но ще е допустимо заличаване на имената на председателстващия събранието и изготвилият протокола, както имената на присъствалите членове, ако са изброени в протокола съдържащ решението.
Разнопосочна е практиката и относно подписите на физически лица. Според нас е обосновано, с оглед чл. 13, ал. 6 ЗТРРЮЛНЦ, да се оставя видим само подписа на заявителя (най – често това е представляващият юридическото лице) във връзка с направената от него изискуема по закон заверка на препис (копие) на подлежащия на обявяване (известна още като заверка „вярно с оригинала“).
Има случаи на даване на указания във връзка с предоставени копия на актове, подлежащи на обявяване със заличени лични данни, когато длъжностните лица в Регистъра посочват данни, които следва да не бъдат заличавани – например, подписите, които се съдържат в акта, като цитират общата разпоредба на чл. 2, ал. 2 ЗТРРЮЛНЦ. Така при тези указания липсва посочване на конкретното правно основание, въз основа на което се изисква за определена категория лица да са видими подписите (при разработване на статията не бяха открити примери с конкретно посочване на правно основание).
За осигуряване на защита на правата гражданите, улесняване на ползващите услугите на Регистъра и обезпечаване на законосъобразно регистърно производство, е нужно извършване на анализ на относимото действащо законодателство от гледна точка на обработването на личните данни. Следва да бъде точно определено кои категории лични данни, на кои от физическите лица в организациите и в кои случаи не трябва да се заличават в обявяваните актове, като се посочи конкретното правно основание за това.
