9 август 2026 г.
Европейският съд по правата на човека наскоро публикува решението си по делото „Кънев и БХК срещу България“, което съдържа подробно изложение на приложимата правна рамка и практика относно гаранциите и средствата за защита на основните права при евентуални нарушения от страна на службите за сигурност.
Този текст е основополагащ и следва да се съблюдава при всяко бъдещо изменение на българското законодателство, засягащо службите за сигурност, така че промените да въведат ефективен механизъм за контрол чрез подаване на индивидуална жалба пред независим орган.
БЪЛГАРСКО ВЪТРЕШНО ПРАВО И ПРАКТИКА
А. Закон за Държавната агенция за национална сигурност от 2007 г.
1. Агенцията, нейните задачи и правомощия
53. Законът за Държавната агенция за национална сигурност от 2007 г. („ЗДАНС“,„Законът от 2007 г.“) – който създава Агенцията и определя нейните задачи и правомощия – е приет през декември 2007 г. и влиза в сила през януари 2008 г.
54. Агенцията е под прякото ръководство на правителството (член 2(1)). Нейният ръководител се назначава от президента на републиката, след като бъде номиниран от правителството, а двамата му заместници се назначават от правителството (член 8(1) и (2)). Основните задачи на Агенцията са (а) да защитава националната сигурност от „посегателства, насочени срещу националните интереси, независимостта и суверенитета на Република България, [нейната] териториална цялост, основните права и свободи на гражданите, демократичното функциониране на държавата и гражданските институции или установения конституционен ред“ (член 4(1)), и (б) да извършва контраразузнаване – по-специално за защита на стратегически обекти (член 4(2) и (4)). Могат да ѝ бъдат възложени други задачи само [чрез] закон (член 7).
55. Например, на него са били възложени различни задачи във връзка със :
(a) пране на пари и финансиране на тероризъм (членове 4, 4a, 5, 5b, 9, 9a, 9b, 9v, 11, 11a, 13-14a и 15 от Закона за мерките срещу финансирането на тероризма от 2003 г. и членове 8, 9e, 36a, 68, 71-79, 81-85, 87-94, 103-04, 108-09 от Закона за мерките срещу изпирането на пари от 2018 г.);
(б) борба с тероризма (член 8(1) от Закона за противодействие на тероризма от 2016 г.);
(в) придобиване на българско гражданство (чл. 33 и 35 от Закона за българското гражданство от 1998 г. и чл. 41(1)(3) от ЗДАНС);
(г) проверка за сигурност за разрешение за достъп до определени видове класифицирана информация (членове 11, 12, 14, 48-49 от Закона за защита на класифицираната информация от 2002 г.);
(д) контрол на миграцията и експулсиране и свързано с това задържане на чужденци (членове 22(4), 24c(17), 24i(11), 24i(6), 33h(1), 33kk(8), 33p(9), 42g и 44 от Закона за чужденците от 1998 г. и член 41(1)(2), (2) и (3) от ЗДАНС);
(е) предоставянето на убежище или хуманитарна закрила (член 58(10) от Закона за бежанците и убежището от 2002 г. и член 41(1)(1) от ЗДАНС);
(ж) защитата на ядрените инсталации (членове 112-14 от Закона за мирно използване на ядрената енергия от 2002 г.); и
(з) киберсигурност (раздел 15 от Закона за киберсигурността от 2018 г.).
56. През 2013-15 г. Агенцията има задачата да разследва престъпления, свързани с националната сигурност (член 4(6) от ЗДАНС, добавен през юни 2013 г. и отменен през февруари 2015 г.).
57. Двете основни области на работа на Агенцията са събирането и анализът на разузнавателна информация (членове 18-20 и 28-29 от ЗДАНС). Тя може по-специално да се занимава с анализ на информация, прогнозиране и контрол ( прогностична [и] контролна дейност ), използвайки собствена информация или информация, получена от други органи, която е от значение за националната сигурност (член 4(3)). Тя може да наблюдава хора, обекти и дейности (член 5).
58. Агенцията може (а) да проверява бази данни във връзка с лица, извършващи престъпления, застрашаващи националната сигурност; (б) да извършва наблюдение; (в) да влиза и да претърсва помещения, сгради, инсталации, превозни средства или места; (г) да прихваща телефонни разговори; (д) да получава информация от други комуникационни канали; и (е) да използва юридически лица с нестопанска цел или търговски дружества (член 20(1)(2), (1)(6), (1)(8)-(1)(11) и (1)(20) от ЗДАНС). Тя може да прави всичко това чрез „специфични методи и техники“, „специални средства за наблюдение“ и лица, които си сътрудничат с нея (член 20(2)).
59. Член 21 от ЗДАНС уточнява, че Агенцията разполага и може да използва „специални средства за наблюдение“ при условията, предвидени в Закона от 1997 г. (вж. параграф 82 по-долу) .
60. Агенцията може да поддържа и използва бази данни (член 28(1) от ЗДАНС) и да обработва информация – включително лични данни (член 29 (1) и (2)).
2. Информатори, вербувани от Агенцията
61. Агенцията може да използва информатори ( сътрудници ), които трябва да бъдат защитени в хода на или във връзка със сътрудничеството си (член 23(1) и (3)( 2 ) от ЗДАНС). Тяхната самоличност, лични данни и работа трябва да се пазят в тайна (член 23(3)(3)). Информация за тях може да се предоставя на съдилищата или на прокуратурата само във връзка с конкретно наказателно дело, в съответствие с изискванията на Закона за защита на класифицираната информация от 2002 г. (вижте параграфи 106-111 по-долу) – и само след като въпросните информатори са се съгласили с това (член 23(4)). Агенцията може също така да откаже информация за информаторите, за да защити своите методи или техники за събиране на разузнавателна информация (член 35а).
3. Лични данни, обработвани от Агенцията
62. Базите данни на Агенцията могат да бъдат автоматизирани (членове 34(1) и 36(2) от ЗДАНС). Те могат да се използват за обработка на лични данни (член 34 (2)). Администраторът на данни е ръководителят на Агенцията, който може да повери обработката на определени длъжностни лица (член 34(9)).
63. При обработката на лични данни , свързани с дейности, свързани със защитата на националната сигурност, Агенцията не (а) търси съгласието на съответните лица; (б) информира ги преди или по време на обработката; или (в) предоставя личните данни на други лица (чл. 34(2)). Тези лични данни се изтриват, ако вече няма законно основание за съхранението им или ако това е разпоредено от съд (чл. 34(5)). Факторите, които трябва да се вземат предвид при тази оценка, включват: възрастта на съответното лице, естеството на обработваните данни, необходимостта от обработката им до приключване на съдебно производство или разследване и изтичането на законоустановен давностен срок (чл. 34(6)). Лични данни от базите данни на Агенцията могат да бъдат предоставяни само на органите, защитаващи националната сигурност, или на съдебните органи за нуждите на конкретно наказателно дело (чл. 34(7)). Тези данни могат да бъдат предоставяни и на чуждестранни органи съгласно международен договор, по който България е страна (чл. 34(8)).
64. Агенцията не може да събира информация относно: политически, религиозни или философски убеждения; членство в политически партии или организации, членство в сдружения , които имат религиозни, философски, политически или синдикални цели; или здраве или сексуалност на някого (член 35(1)).
65. Наредби, издадени от ръководителя на Агенцията през октомври 2019 г. съгласно законово делегиране по член 34(10) от ЗДАНС ( Наредба № I-4 от 22.10.2019 г. за реда за обработка на лични данни в Държавна агенция „Национална сигурност“ ), определят по-подробни правила относно обработката на лични данни от Агенцията. Съгласно член 2, тази обработка трябва да бъде в съответствие с принципите на законосъобразност, почтеност, релевантност и пропорционалност, както и сигурност на данните. Съгласно член 4, ръководителят на Агенцията: (а) определя как Агенцията създава, управлява и контролира бази данни, съдържащи лични данни; (б) проверява дали обработката на тези данни отговаря на изискванията за тяхната защита; (в) предприема стъпки за отстраняване на нередности; и (г) подпомага Комисията за защита на личните данни (вж. параграфи 97-101 по-долу) при упражняване на нейните надзорни функции съгласно Закона за защита на личните данни от 2002 г. (вж. параграфи 84-105 по-долу). Ръководителят на Агенцията (а) определя кои служители на Агенцията могат да обработват лични данни (член 6(1)) и (б) решава във всеки отделен случай дали тези данни, обработени от Агенцията, трябва да бъдат изтрити, въз основа на препоръка от съответния ръководител на отдел (член 17).
(а) Достъп до лични данни, обработвани от Агенцията
(и) Съответни законови разпоредби и разпоредби
66. Служителите на агенцията не могат да разкриват информация, съхранявана от агенцията, на други държавни органи, организации, юридически или частни лица, освен ако не е предвидено друго в закона (чл. 35(3) от ЗДАНС) .
67. Всеки има право да поиска достъп до лични данни, които се отнасят до него и се обработват в базите данни на Агенцията без негово знание (член 36(4)). Ръководителят на Агенцията или надлежно упълномощен заместник трябва да отговори на такова искане в рамките на четиринадесет дни от отправянето му (член 36 (5)). Ако дадено лице поиска, то трябва да му бъде предоставено хартиено копие на всички лични данни, свързани с него, които се обработват от Агенцията (член 36(6)).
68. Ако упражняването на правото на достъп би могло да разкрие лични данни на друго лице, администраторът на данни трябва да предостави достъп само до данните, които се отнасят до лицето, поискало достъп (член 35(2)) .
69. The exact manner of accessing the Agency’s databases is prescribed in regulations made by its head (section 36(10)). Those regulations (Наредба № I-7 от 13.07.2009 г. за реда за достъп до информационните фондове на Държавна агенция „Национална сигурност“) were issued in 2009 and prescribe, among other things, that if a person lodges an incomplete access request, the Agency must advise him or her of that; and if that person then fails to rectify the request, it is not examined (regulation 7(1) and (2)).
70. Агенцията може да откаже, изцяло или частично, да разкрие данни, ако това би застрашило националната сигурност, защитата на информация, класифицирана като „държавна тайна “ или „служебна тайна“ (за определенията на двата термина в българското законодателство вижте параграфи 107-109 по-долу), или поверителността на източниците си на информация или тайните методи и техники, които използва за събиране на тази информация, или ако разкриването би по друг начин възпрепятствало законоустановените задачи на Агенцията (чл. 36(7) и чл. 11(1)).
71. Лице, чието искане е било отказано , трябва да бъде уведомено за това писмено, но е необходимо да се посочат само правните основания за този отказ (член 36(8) и член 11(2)). Липсата на отговор в рамките на определения срок се счита за отказ (член 36(8) in fine ).
72. Всеки такъв отказ може да бъде оспорен по съдебен ред съгласно съответните разпоредби на Административнопроцесуалния кодекс (чл. 36(9)) – по- специално чрез съдебен контрол.
(ii) Съдебна практика на българските съдилища по тези разпоредби
(а) Дело от 2012 г.
73. В решение от 2012 г. ( реш. № 593 от 08.02.2012 г. по адм. д. № 6653/2011 г., АдмС-София-град ) – което очевидно не е обжалвано – Административният съд на София-град отхвърли иска за съдебен контрол от неправителствена организация във връзка с отказа на Агенцията да разкрие колко такива организации е разследвала между януари 2008 г. и юли 2011 г. и какви резултати са дали подобни разследвания. Съдът установи, наред с други неща, че информацията за дейността на службите за сигурност и техните резултати е „държавна тайна“ и на това основание постанови, че информацията, търсена от организацията, е класифицирана. Той продължи с това, че разкриването на такава информация е забранено и от чл. 36(7) от ЗДАНС (вж. параграф 70 по-горе).
74. В решение от 2014 г. ( реш. № 13080 от 04.11.2014 г. по адм. д . № 6237/2014 г., ВАС, V о. ), Върховният административен съд отменя мълчаливия отказ на Агенцията да разкрие дали обработва данни на определено лице и, ако е така, да предостави на това лице достъп до всички данни, отнасящи се до него, които то обработва. Съдът постановява, че при липса на изрично решение, взето от Агенцията, няма данни, показващи, че каквато и да е информация относно данните на въпросното лице е била правилно укрита. Във всички такива случаи е трябвало да се установи, че Агенцията, като администратор на данни, е преценила надлежно, позовавайки се на съответните правила (включително чл. 36(7) – вж. параграф 70 по-горе), че въпросната информация не следва да бъде разкривана.
75. След това решение Агенцията изрично отказва да разкрие такава информация, заявявайки, че това би разкрило нейните източници и методи. Административен съд – Варна отхвърля жалбата срещу този отказ 2018 г. Върховният административен съд потвърждава решението му. Той цитира член 36(7) (вж. параграф 70 по-горе) и накратко отбеляза, че съгласно член 3(1) от Закона за защита на класифицираната информация от 2002 г. (вж. параграф 112 in fine по-долу), само лица с разрешение за достъп, които се нуждаят от такава класифицирана информация за своите специфични задачи, могат да имат достъп до нея (вж. реш. № 94 от 04.01.2018 г. по адм. д. № 5244/2016 г., ВАЦ, V о. ).
76. В решение от юли 2021 г. ( реш. № 4760 от 16.07.2021 г. по адм. д. № 3553/2021 г., Административен съд – София-град ) отхвърли иск за съдебен контрол срещу отказ на Агенцията да разкрие дали обработва данни на дадено лице и, ако е така, да ѝ предостави достъп до всички нейни лични данни, които евентуално обработва. Съдът посочи почти същите мотиви, както тези, които даде четири месеца по-късно, през ноември 2021 г., за отхвърляне на първия иск на жалбоподателите за съдебен контрол по настоящото дело (вж. параграф 19 по-горе). Жалба срещу решението му е отхвърлена по процесуални основания, без да се разглежда делото по същество, тъй като то е опорочено и ищецът не е поправил решението в определения от съда срок (вж. опр. № 3358 от 08.04.2022 г. по адм. д. № 798/2022 г., ВАЦ, V о. ).
(б) Надзор върху обработката на лични данни от Агенцията
77. Член 37 от ЗДАНС, както е приет първоначално (и неизменен оттогава), предвижда , че надзорът върху защитата на правата на физическите лица при обработката на личните им данни от Агенцията и върху достъпа до тези данни следва да се осъществява от Комисията за защита на личните данни при условията и по начина, предвидени в Закона за защита на личните данни от 2002 г. (вж. параграфи 84-101 по-долу).
4. Общ надзор върху работата на Агенцията
(а) От Парламента
78. Българският парламент (Народното събрание) има специална постоянна комисия – Комисия за надзор върху службите за сигурност, за прилагане и използване на специални средства за наблюдение и за достъп до данните по Закона за електронните съобщения – която е натоварена, наред с други неща, със задачата да контролира работата на Агенцията съгласно: чл. 132(1) от ЗДАНС и чл. 22(1) от Закона за управление и функциониране на системата за защита на националната сигурност от 2015 г. („Законът от 2015 г.“); чл. 16 § 1 (11) от Правилника на Народното събрание за 2021-22, 2022-23 и 2023-24 г. (който е заменен от чл. 16 § 1 (10) от Правилника на Народното събрание от 2024 г.); и Правило 4 от последните (и почти идентични) версии на Правилника на комисията, които бяха приети през януари 2022 г., ноември 2022 г., май 2023 г. и юли 2024 г.). През 2021-23 г. комисията имаше четиринадесет членове, а от май 2023 г. насам има дванадесет членове. Комисията се преформира от всеки нов Парламент. Съгласно всички последователни решения за нейния избор (последните бяха взети през декември 2021 г., октомври 2022 г., май 2023 г. и юли 2024 г.), тя трябва да се състои от членове на Парламента от всяка парламентарна група. Тя трябва да проверява по-специално дали в работата си службите за сигурност спазват законовите разпоредби, гарантиращи основните права на човека (Правило 15 § 1 (6) от Правилника на комисията). Тя може да поиска от службите за сигурност да изготвят тематични доклади (Правило 15 § 1 (4) от Правилника). Той може също така да разглежда доклади от физически лица или организации за неправомерни действия от страна на служители на службите за сигурност (Правило 15 § 1 (9) от Правилника) и да отнася до прокуратурата или други компетентни органи случаи на незаконно поведение от страна на тези служби, които е установил в хода на собствените си проверки (или за които са подадени оплаквания от физически лица ) .
79. Ръководителят, заместник-ръководителите и служителите на Агенцията трябва да се явят пред парламента или пред комисията, ако бъдат поканени да го направят, и да им предоставят всяка информация, която са длъжни да разкрият (член 132 (2) от ЗДАНС, член 22(2) от Закона от 2015 г. и правило 15 § 1 (5) от Правилника на комисията). Член 22(2) in fine от Закона от 2015 г. продължава с постановяването, че това трябва да се направи по начин, който е в съответствие с изискванията на Закона за защита на класифицираната информация от 2002 г.
80. Ръководителят на Агенцията представя на правителството годишен доклад за работата на Агенцията, а правителството след това представя този доклад на Парламента, който го одобрява (член 132(3) от ЗДАНС и член 22 (3) от Закона от 2015 г.).
(в) От президента на републиката
81. Президентът на републиката може да изиска от ръководителя на агенцията да представи анализи по въпроси, свързани с националната сигурност (чл. 132а от ЗДАНС).
Б. Закон за специалните средства за наблюдение от 1997 г.
82. Законът за специалните разузнавателни средства от 1997 г., с измененията му („ Законът от 1997 г.“) и неговото приложение бяха описани подробно наскоро в делото Екимджиев и други (цитирано по-горе, §§ 11-135). В настоящия случай е необходимо само да се отбележи, че:
( a ) единствените органи, които могат да поискат използването на „специални средства за наблюдение“ извън рамките на вече висящи наказателни производства, са: (i) различните дирекции на Министерството на вътрешните работи; (ii) териториалните дирекции и звена на Агенцията; (iii) военното разузнаване и военната полиция под контрола на министъра на отбраната; (iv) Разузнавателната агенция; (v) регионалните прокуратури (само във връзка със сериозни изборни нарушения); и (vi) специализираната дирекция за борба с корупцията (чл. 13(1) от Закона от 1997 г.). В наказателните производства това може да се направи от прокурора, отговарящ за надзора на досъдебното разследване (чл. 13(2) от Закона от 1997 г. и чл. 173 § 1 от Наказателно-процесуалния кодекс);
(б) като правило, заповеди за наблюдение могат да бъдат издавани само от председателите на Софийския градски съд, на съответните окръжни или военни съдилища (и, между август 2011 г. и юли 2022 г., вече несъществуващия Специализиран наказателен съд) или изрично упълномощен заместник (чл. 15(1) и (2) от Закона от 1997 г. и чл. 174 §§ 1-2 от Наказателно-процесуалния кодекс);
( в ) единствените органи, които могат да използват „специални средства за наблюдение“, са (i) Агенцията за технически операции под прякото ръководство на правителството; (ii) Дирекция „Технически операции“ на Агенцията; (iii) Държавната агенция „Разузнаване“ (в рамките на нейната специфична сфера на правомощия); (iv) разузнавателните служби на Министерството на отбраната (също в рамките на тяхната специфична сфера на правомощия); и (v) (но само по отношение на агенти под прикритие, контролирани доставки и псевдотранзакции) [1] ) Министерството на вътрешните работи (чл. 20(1) и (2) от Закона от 1997 г.);
( d ) общият надзор върху използването на „специални средства за наблюдение“ от 2013 г. насам е поверен на Националното бюро (вж. параграф 5 по-горе и Екимджиев и други , цитирано по-горе, §§ 108-24); и
( д ) Националното бюро е длъжно да уведоми лицата, поставени под тайно наблюдение, само ако това наблюдение е незаконно и само ако такова уведомление не би (i) обезсмислило целта на наблюдението, (ii) разкрило техниките или оборудването, използвани за извършването му, или (iii) довело до риск за живота на агент под прикритие или негови роднини или приятели (чл. 34ж от Закона от 1997 г.). В две решения, постановени през 2016 г., Върховният административен съд постанови, че такива уведомления от Бюрото не могат да подлежат на съдебен контрол (вж. Екимджиев и други , цитирано по-горе, § 133).
83. В годишните доклади на Националното бюро за 2022 г. и 2023 г. е отбелязано , че съответният дял на Агенцията от всички заявления за заповеди за „специални средства за наблюдение“ е бил съответно 11,27% от общия брой такива заявления, подадени през 2022 г., и 10,88% от общия брой такива заявления, подадени през 2023 г.
В. Закон за защита на личните данни от 2002 г.
84. Законът за защита на личните данни от 2002 г. (ЗЗЛД, „Законът от 2002 г.“) е приет, наред с други неща, за да гарантира , че България ще спазва задължението си по Конвенцията за защита на лицата при автоматизираната обработка на лични данни от 1981 г., която е подписала през 1998 г. и е ратифицирала през 2002 г. (вж. параграф 179 по-долу), да предприеме необходимите мерки във вътрешното си законодателство за прилагане на основните принципи за защита на данните.
85. С измененията, в сила от март 2019 г. , с цел (а) привеждане в съответствие с GDPR (вж. параграф 132 по-долу) и (б) транспониране на Директива (ЕС) 2016/680 относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни („Директива за правоприлагането“ – „Директива за правоприлагането“ – вж. параграф 149 по-долу), Законът от 2002 г. урежда всички въпроси, свързани със защитата на личните данни, които не са уредени в самия GDPR (член 1(1)).
86. Съгласно параграф 1(1) от допълнителните разпоредби на Закона от 2002 г. (изменен, считано от март 2019 г.), „лични данни“ за целите на Закона има значението, дадено на термина в член 4 (1) от GDPR (вж. параграф 133 по-долу).
(а) Поради личността
87. Разпоредбите на Закона от 2002 г., независимо дали се отнасят до обработването на лични данни, попадащи в обхвата на GDPR, или до обработването на такива данни от органите за целите на правоприлагането, се прилагат само за данни, отнасящи се до физически лица (т.е. физически лица) (член 1 (1) и (2)).
(б) Заявление за обработка за целите на националната сигурност
88. Законът от 2002 г., както е формулиран от март 2019 г., не се прилага за обработването на лични данни за целите на националната сигурност, освен ако това не е изрично предвидено другаде (член 1(5)). Обяснителните бележки към правителствения законопроект (№ 802-01-27), който доведе до измененията на Закона от март 2019 г. (вж. параграф 84 по-горе), посочват, че член 1(5) е въведен, за да отрази позицията, че GDPR и Директивата за защита на данните не се прилагат за обработването на лични данни за дейности, попадащи извън обхвата на правото на Европейския съюз (ЕС) (вж. параграфи 123, 134-136 и 151-152 по-долу). В решение от ноември 2023 г. ( реш. № 10522 от 02.11.2023 г. по адм. д. № 140/2023 г., ВАС, V о. ) Върховният административен съд посочи, че целите на националната сигурност по смисъла на раздел 1, параграф 5 трябва да се разграничават от целите на правоприлагането.
89. При първоначалното си приемане, Законът от 2002 г. постановяваше , че обработването на лични данни за целите на националната сигурност може да се урежда от специален закон (член 1(4), както е формулиран в Закон 2002-05). През 2005 г. този подраздел беше изменен, за да се предвиди, че такова обработване се урежда от специален закон (член 1(4), както е формулиран в Закон 2005-06). В края на 2006 г. член 1(4), който стана член 1(5), беше изменен още веднъж – този път, за да се посочи, че Законът се прилага за обработването на лични данни за целите на националната сигурност, освен ако специален закон не предвижда друго (член 1(5), както е формулиран в Закон 2006-19).
90. През този период, през 2014 г., органът, отговарящ за надзора върху прилагането на Закона от 2002 г., Комисията за защита на личните данни (вж . параграф 97 по-долу), получи жалба от лице, подозиращо, че Агенцията тайно е прихващала телефонните му комуникации. Той поиска от Агенцията информация по въпроса съгласно Закона от 2002 г., но Агенцията отказа да му я предостави, заявявайки, че тя попада извън обхвата на този закон. След това той се оплака от този отказ пред тази Комисия, която отхвърли жалбата му, като се съгласи, че информацията, която е поискал от Агенцията, попада извън обхвата на Закона от 2002 г., тъй като не се отнася до лични данни. Според тази Комисия информация относно използването на „специални средства за наблюдение“ може да се иска само от Националното бюро (вж. параграф 82 (д) по-горе) (вж. реш. № Ж-780 от 08.10.2014 г., КЗЛД ).
2. Право на достъп до лични данни и ограничения на това право
(а) Във връзка с обработването, попадащо в обхвата на GDPR
91. Правото на достъп до информация, чието обработване попада в обхвата на GDPR, се урежда от член 15(1)(а) от него (вж. параграф 137 по-долу).
92. Администратор или обработващ лични данни може да ограничи, изцяло или частично, достъпа на субекта на данните или други права по членове 12-22 от GDPR, ако упражняването им би създало риск за националната сигурност (член 37a(1)(1) от Закона от 2002 г. , който отразява член 23(1)(a) от GDPR – вижте параграф 138 по-долу). Член 37a(2) уточнява, че начинът, по който това може да се направи, трябва да бъде предписан от закона и в съответствие с член 23(2) от GDPR.
(б) Във връзка с обработката от органите за целите на правоприлагането
93. Субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни, които го засягат, и (ако се обработват) достъп до тези данни и до информация относно целите на тяхното обработване (член 55(1)(1) във връзка с член 54 (1)(5) и (2)(1) от Закона от 2002 г., който транспонира член 14(a) от Директивата за защита на личните данни – вижте параграф 153 по-долу).
94. Тези права могат да бъдат ограничени изцяло или частично, ако това е необходимо, наред с други неща, за защита на националната сигурност – стига да се обърне дължимото внимание на основните права и законни интереси на съответните лица (член 55(3) във връзка с член 54(3)(4) от Закона от 2002 г. , който въвежда изключението, разрешено от член 15(1)(d) от Директивата за дискриминацията – вижте параграф 156 по-долу). Когато пречката отпадне, администраторът на данни обикновено трябва да предостави тази информация в рамките на два месеца от искането ѝ от субекта на данните (член 55(3) във връзка с членове 54(4) и 53(3)).
95. Ако достъпът до лични данни бъде отказан или ограничен съгласно горепосочените разпоредби, администраторът на данни трябва да информира субекта на данните за този отказ или ограничение (и за причините за него) в рамките на два месеца, но може да пропусне да го направи, ако това би противоречало на целта на тези мерки (член 55(4) във връзка с член 53(3) от Закона от 2002 г., който транспонира член 15 (3) от Директивата за защита на личните данни – вижте параграф 158 по-долу). В този случай администраторът на данни въпреки това трябва да запише фактическите и правните основания, на които се основава това решение, и да ги предостави на компетентния надзорен орган – който в повечето случаи е Комисията за защита на личните данни, чиито задачи и правомощия са посочени в параграфи 97-101 по-долу (член 55(5) от Закона от 2002 г., който транспонира член 15(4) от Директивата за защита на личните данни – вижте параграф 159 по-долу).
96. Ако такива ограничения са въведени от администратор на данни, който не е съд, прокуратура или разследващ орган , [2] Субектът на данните може да упражни правото си на достъп съгласно член 55(1) от Закона от 2002 г. непряко, чрез Комисията за защита на личните данни. Ако субектът на данните направи това, тази Комисия трябва да провери законосъобразността на ограничението (член 57(1) от Закона от 2002 г., който транспонира член 17(1) от Директивата за защита на личните данни – вижте параграф 162 по-долу) и да информира субекта на данните поне, че са извършени всички необходими проверки или преглед (член 57(2) от Закона от 2002 г., който транспонира член 17(3) от Директивата за защита на личните данни – вижте параграф 163 по-долу).
97. Комисията за защита на личните данни контролира обработването на лични данни , попадащи в обхвата на GDPR, както и такова обработване за целите на правоприлагането от всички органи, с изключение на съдилищата и прокуратурата и разследващите органи (членове 6(1), 10(1), 10a(1) и 78 от Закона от 2002 г.). [3]
98. При осъществяване на този надзор, тази Комисия трябва, наред с други неща, (а) да разглежда жалби от субекти на данни, (б) да проверява законосъобразността на обработването в случаите, в които правото на достъп на субекта на данни е било ограничено (вж. параграфи 94 и 96 по-горе), и (в) да информира субекта на данни в рамките на три месеца за резултата от тази проверка или за причините тя да не бъде извършена (член 57 § 1 (е) от GDPR и раздел 79(1)(5) и (1)(6) от Закона от 2002 г., който транспонира член 46(1)(е) и (ж) от Директивата за дискриминацията – вж. параграф 170 по-долу).
99. Когато осъществява надзор върху обработването на данни за целите на правоприлагането, тази комисия може да получи от администратора или обработващия лични данни достъп до (а) всички обработвани лични данни и (б) цялата информация, необходима за изпълнение на задачите ѝ (член 80(1)(1) и (1)(2) от Закона от 2002 г., който транспонира член 47(1) от Директивата за дискриминацията – вж. параграф 171 по-долу).
100. Когато упражнява надзор върху обработването на данни за целите на правоприлагането, тази комисия може (а) да разпореди на администратора или обработващия лични данни да приведе операциите по обработване в съответствие със съответната част от Закона от 2002 г. – по-специално, като разпореди коригиране или заличаване на лични данни или ограничаване на тяхното обработване, съгласно член 56 от Закона, и ( б) да наложи временно или окончателно ограничение, включително забрана, върху обработването (член 80(1)(3) и (1)(4)) от Закона от 2002 г., който транспонира член 47(2)(б) и (в) от Директивата за правоприлагането). Комисията е упражнявала тези правомощия най-малко три пъти по отношение на МВР ( вж. реш. № ППН-01-482/2020 от 10.05.2021 г. , КЗЛД ; реш. № ППН-01-361/2021 от 18.01.2022 г., КЗЛД ; и реш. ППН-01-350/2021 г. от 17.03.2022 г., КЗЛД ).
101. Тази комисия може също така да сезира съдилищата с нарушения на съответната част от Закона от 2002 г. (член 80(3) от Закона от 2002 г. , който транспонира член 47(5) от Директивата за дискриминацията – вж. параграф 173 по-долу).
102. В годишния си доклад за 2009 г. Комисията е отбелязала на страница 28, че е сключила споразумение за сътрудничество с Агенцията с цел осъществяване на по-тясно сътрудничество между двете организации в областта на защитата на личните данни (в дух на зачитане на взаимната независимост и съответните им области на отговорност); това сътрудничество обхваща координацията, обмена, съхраняването и използването на данни и информация, както и създаването на съвместни работни групи и предоставянето на експертна или техническа помощ. Комисията също така отбелязва на страница 35 in fine , че е на път да финализира одит на Агенцията във връзка с подготовката за бъдещото внедряване на Шенгенската информационна система. В годишния си доклад за 2010 г. Комисията е отбелязала на страница 38, че е продължила сътрудничеството си с Агенцията съгласно споразумението, сключено през 2009 г. В годишния си доклад за 2015 г. Комисията е посочила на страници 42-43 проверка на частна фондация, която е извършила съвместно с други органи, включително Агенцията. В годишния си доклад за 2016 г. Комисията споменава на страници 98-99 сътрудничеството си с Агенцията по отношение на транспонирането на ново законодателство (например по отношение на създаването на ново звено за финансово разузнаване в рамките на Агенцията) и международното сътрудничество. В нито един от годишните си доклади за периода 2009-2023 г. Комисията не е споменала никакви инспекции, които е извършила в Агенцията, освен гореспоменатия одит от 2009 г., свързан с бъдещото прилагане на Шенгенската информационна система.
(а) По отношение на обработването, попадащо в обхвата на GDPR
103. Субектите на данни, които считат, че правата им съгласно GDPR или Закона от 2002 г. са били нарушени, могат да подадат жалба до Комисията за защита на личните данни и да поискат съдебен контрол върху нейното решение (член 38 (1) и (7) (от май 2023 г., алинея (8)) от Закона от 2002 г., който отразява членове 77(1) и 78(1) и (2) от GDPR – вижте параграфи 145 и 147 по-долу).
104. Субектите на данни могат също така директно да поискат съдебен контрол върху предприетите действия или решенията, издадени от администратора или обработващия лични данни, или обезщетение за вреди от тях, ако администраторът или обработващият лични данни е обработил личните им данни незаконно (член 39(1) и (2) от Закона от 2002 г., който отразява членове 79 (1) и 82(1) от GDPR – вижте параграфи 146 и 148 по-долу).
(б) По отношение на обработката, извършвана от органите за целите на правоприлагането
105. Средствата за правна защита при предполагаеми нарушения на правата на субектите на данни, възникнали в хода на обработването на лични данни от органите за целите на правоприлагането, са същите като тези за предполагаеми нарушения в хода на обработването, които попадат в обхвата на GDPR (член 82(1) от Закона от 2002 г., който транспонира членове 52(1), 53 и 54 от Директивата за защита на данните – вижте параграфи 174-178 по-долу).
Д. Закон за защита на класифицираната информация от 2002 г.
1. Видове класифицирана информация
106. Съгласно член 1(3) от Закона за защита на класифицираната информация от 2002 г. класифицираната информация обхваща (а) „държавни тайни“, (б) „служебни тайни“ и (в) класифицирана информация , получена от друга държава.
107. Член 25 определя „държавна тайна“ като „информация [по смисъла на] Приложение 1 [към Закона], нерегламентираният достъп до която би могъл да застраши или навреди на интересите на Република България и която е свързана с националната сигурност, отбраната, външната политика или защитата на конституционния ред“. Приложение 1 определя категориите информация, която може да бъде класифицирана като „държавна тайна“. Съгласно точка 5 от част II на това приложение, това включва информация, която би могла да доведе до идентифициране на информатори на службите за сигурност.
108. Член 26(1) определя „служебна тайна“ като „информация, създадена или съхранявана от държавни или местни органи, която не е държавна тайна, но до която нерегламентираният достъп би могъл да повлияе отрицателно на интересите на държавата или друг интерес, защитен от закона“. Параграф 1(3) от допълнителните разпоредби на Закона от 2007 г. (вж. параграф 53 по-горе) съдържа подобно определение; той обаче се отнася до „информация, свързана с функциите и задачите на Агенцията или упражняването на нейните правомощия, или [информация], произтичаща от това“ и по-специално до евентуален отрицателен ефект върху „дейностите на Агенцията [и] нейния персонал по отношение на изпълнението на техните задължения или [върху] трети лица“.
109. Видовете информация, която може да бъде класифицирана като „служебна тайна“ , се предписват със закон (член 26(2)). След това ръководителят на съответния орган трябва, в тези граници, да определи категориите информация, попадаща в сферата на дейност на органа, която трябва да бъде класифицирана по този начин (член 26(3)). Що се отнася по-специално до Агенцията, категориите информация, която се обработва от нея и която трябва да бъде класифицирана като „служебна тайна“, се определят в заповед, издадена от нейния ръководител (член 32 от Закона от 2007 г.); такава заповед е издадена през май 2020 г. (вж. параграф 15 по-горе).
2. Срокове за защита на класифицирана информация
110. Член 28 от Закона определя нивата на класификация. Информацията, която е „държавна тайна“ , се обозначава като „строго секретно“, „секретно“ или „поверително“ в зависимост от степента на вредата, която може да причини неразрешеното ѝ разкриване. Информацията, която е „служебна тайна“, се обозначава като „само за служебно ползване“.
111. Член 34(1) определя сроковете за защита на класифицирана информация: тридесет години, ако е „строго секретна“; петнадесет години, ако е „секретна“; пет години, ако е „поверителна“; и шест месеца, ако е класифицирана като „служебна тайна“. Тези срокове могат да бъдат удължени само веднъж – до два пъти първоначалната им продължителност (член 34(2)) .
3. Достъп до класифицирана информация от адвокати и страни по делото
(а) Съответни разпоредби на Закона
112. Общото правило съгласно Закона е, че никое лице няма право да има достъп до класифицирана информация, принадлежаща към една от трите най-високи категории класификация (вж. параграф 106 по-горе), освен ако това не е необходимо за изпълнение на професионалните му задължения или задачи („необходимост да знае“) и освен ако му е издадено разрешение след проверка за сигурност (чл. 3 (1) и (2) и чл. 38(1)(1)).
113. Член 39 описва подробно случаите, в които не се изисква такава проверка. Това обикновено е така за лицата , заемащи определени високопоставени длъжности. За разлика от други длъжностни лица, лицата, заемащи определени особено високопоставени длъжности (председател на парламента, президент на републиката и министър-председател), не са ограничени от ограничението „необходимост да се знае“ и имат право по право на достъп до всяка класифицирана информация (член 39(1) и (2)). Други, като например министри и членове на парламента, имат автоматичен достъп до класифицирана информация, попадаща в сферата им на отговорност, на основание „необходимост да се знае“ (член 39(1) и (3)).
114. Съдиите, съдиите, прокурорите и следователите от Конституционния съд също имат право на достъп, без да се подлагат на проверка за сигурност, до всички нива на класифицирана информация, свързана с делата, с които се занимават, отново на основание „необходимост да се знае“ (чл. 39(1) и (3)(3)). Изменение от юни 2004 г. на чл. 39(3)(3) разшири тази категория, за да включи практикуващи адвокати.
115. Нов раздел 39а, добавен през октомври 2004 г., предвижда в алинея 1, че лицата, които се нуждаят от достъп до класифицирана информация в хода на или във връзка с упражняването на своето „конституционно право на защита“ , не е необходимо да преминават проверка за сигурност. Алинея 2 продължава с постановление, че тези лица имат право на достъп до всички нива на класифицирана информация за срока, необходим за упражняване на тяхното „право на защита“, на основание „необходимост да се знае“.
116. Конкретната формулировка на този нов член 39а не беше в първоначалния правителствен законопроект (№ 402-01-41), който доведе до неговото приемане. Формулировката се появи в хода на обсъжданията на този законопроект в Комисията по правни въпроси на Парламента на 29 септември 2004 г., между първото и второто му пленарно четене, и се основаваше на предложение от двама представители на Държавната комисия по сигурност на информацията – органът, който контролира съхранението и използването на класифицирана информация – които също присъстваха на обсъжданията. В хода на обсъждането на точната формулировка на разпоредбата, член на Комисията изрази мнение, че тя ще се отнася до достъпа до класифицирана информация, която вече е налична в досието по съответното дело. На второто пленарно четене на законопроекта на 30 септември 2004 г. новият член 39а, както е предложен от тази комисия, беше приет от Парламента без никакво обсъждане с 91 гласа „за“ и 0 „против“.
(б) Съдебна практика и практика на административните съдилища по членове 39(3)(3) и 39а от Закона за защита на класифицираната информация от 2002 г.
117. Докладваните случаи, свързани с прилагането на членове 39 (3)(3) и 39а от Закона (вж. параграфи 114 in fine и 115 по-горе) от административните съдилища, са малко.
118 . В седем дела, които е разгледал през 2019-2023 г. и които се отнасят до (а) дисциплинарно наказание, наложено на служител на Агенцията, и (б) няколко решения на Агенцията във връзка с уволнен от нея служител (отказ да го възстановят на работа или да го възстановят, както се очаква от него, временното му отстраняване от длъжност, последващото му уволнение и т.н.), Административен съд – Плевен е посочил на жалбоподателите, че те, съответно техните адвокати, имат право, съгласно чл. 39а, съответно чл. 39(3)(3), на достъп до класифицираната информация по делата, представени от Агенцията (вж. решение № 2080 от 18.10.2019 г. по адм. дело № 1031/2019 г. , Адм. дело – Плевен ; решение № 1379 от 17.09.2020 г. по адм. дело № 492/2020 г. , Адм. дело – Плевен ; решение № 1387 от 18 септември 2020 г., по адм. д. № 315/2020 , Адм. д.-Плевен ; определение № 109 от 21.01.2022 г. по адм. д. № 934/2021 , Адм. д.-Плевен ; определение № 961 от 18.05.2022 г. по адм. д. № 349/2022 , Адм. д.-Плевен ; определение № 1665 от 23.08.2022 г. по адм. д. № 102/2022 , Адм. д.-Плевен ; и определение № 346 от 13.02.2023 г. по адм. д. № 90/2023 , Адм. д.-Плевен ).
119. Съответно през 2012 г. и 2024 г., по дело , свързано с отчуждаване на имот, и по дело, свързано с отказ за предоставяне на международна закрила, Административният съд на София-град също постанови, че чл. 39а предоставя на жалбоподателите право на достъп до класифицирана информация (вж. решение № 1565 от 23.03.2012 г. по адм. д. № 5906/2011 г., Административен съд София-град , и решение № 2119 от 06.11.2024 г. по адм. д. № 1222/2024 г. , Административен съд София-град ).
120. За разлика от това, в три други дела, които е решил през 2016, 2021 и 2022 г., Административен съд – София-град е постановил, че член 39а се прилага само ако на страните по делото са повдигнати наказателни или дисциплинарни обвинения (вж . решение № 6140 от 10.10.2016 г. по адм. № 5115/2016, Адм.София-град ; решение № 2650 от 20.04.2021 г. по адм. № 703/2021, Адм.София-град ; и решение № 3750 от 07.06.2022 г. по адм. № 4518/2022 , Адм.София-град ). По подобен начин, по две дела, свързани със задържането на търсещи убежище лица, по които е взел решения през 2002 и 2023 г., този съд е постановил – в отговор на твърденията на адвоката на ищците, че съгласно член 39а те трябва да получат достъп до класифицирана информация, предоставена от Агенцията – че липсата на достъп до тази информация не е била нарушение на процесуалните правила, тъй като тя е класифицирана (вж. решение № 8007 от 23.12.2022 г. по адм. дело № 9515/2022, Адм. дело-София-град , и решение № 1653 от 15 март 2023 г. по адм. дело № 11213/2022, Адм. дело-София-град ).
121. В две решения , постановени през 2018 г. и свързани с откази за предоставяне на международна закрила на чужденци, Върховният административен съд постановява, че съгласно член 39а, съответно член 39(3)(3), ищците, съответно техните адвокати, са имали право на достъп до класифицираната информация, предоставена от Агенцията в подкрепа на твърдението ѝ, че представляват риск за националната сигурност, за да могат ефективно да водят правните си жалби срещу отказите за предоставяне на международна закрила (вж. реш. № 8286 от 19.06.2018 г. по адм. д. № 1782/2018 г., ВАС, III о. и реш. № 10759 от 04.09.2018 г. по адм. д. № 4056/2017 г., ВАС, III о. ).
И. Закон за управление и функциониране на системата за защита на националната сигурност от 2015 г.
122. Раздел 2 от Закона за управление и функциониране на системата за гарантиране на националната сигурност от 2015 г. определя „националната сигурност“ като „динамично състояние на обществото и държавата, в което териториалната цялост, суверенитетът и конституционният ред са защитени, а демократичното функциониране на институциите и основните права и свободи на гражданите са гарантирани, в резултат на което нацията запазва и увеличава своето благосъстояние и се развива, а страната успешно защитава националните си интереси и реализира националните си приоритети“.
II. ПРАВО НА ЕВРОПЕЙСКИЯ СЪЮЗ (ЕС)
А. Договор за Европейския съюз
123. Съгласно член 4 ( 2) от Договора за Европейския съюз (ОВ 2016/C 202/01 , стр. 13 – „ДЕС“), националната сигурност „остава изключителна отговорност“ на всяка държава членка на ЕС.
Б. Договор за функционирането на Европейския съюз
124. Съгласно член 16 , параграф 1 от Договора за функционирането на Европейския съюз (ОВ 2016/C 202/01 , стр. 47 – „ДФЕС“) „[в]секи има право на защита на личните данни, които го засягат“.
125. Член 16(2) от ДФЕС задължава Европейския парламент и Европейския съвет да установят правила относно защитата на физическите лица по отношение на обработването на лични данни от институции, органи, служби и агенции на ЕС, както и от държави членки на ЕС , при извършване на дейности, които попадат в обхвата на правото на ЕС, както и правилата относно свободното движение на такива данни“, като се добавя, че спазването на тези правила подлежи на контрол от независими органи.
126. Съгласно член 16 ( 3) от ДФЕС, във връзка с член 39 от ДЕС, правилата, приети въз основа на член 16(2), не засягат правилата (които ще бъдат установени в решение на Европейския съвет съгласно член 39 от ДЕС), отнасящи се до защитата на физическите лица във връзка с обработването на лични данни от държавите членки на ЕС при извършване на дейности, попадащи в обхвата на общата външна политика и политика на сигурност на ЕС.
В. Харта на основните права на Европейския съюз
127. Съгласно член 7 от Хартата на основните права на Европейския съюз (ОВ 2016/C 202/02 , стр. 389 – „Хартата“), озаглавен „Зачитане на личния и семейния живот“, „[в]секи има право на зачитане на личния и семейния си живот, дома и съобщенията си“.
128. Член 8 от Хартата, озаглавен „Защита на личните данни“, гласи:
„1. Всеки има право на защита на личните му данни.“
2. Такива данни трябва да се обработват добросъвестно за определени цели и въз основа на съгласието на съответното лице или на друго законно основание, предвидено в закона. Всеки има право на достъп до събраните данни, които го засягат, и правото те да бъдат коригирани.
3. Спазването на тези правила подлежи на контрол от независим орган.“
129. Съгласно член 47 от Хартата, озаглавен „Право на ефективни правни средства за защита и на справедлив съдебен процес“, „[в]секи, чиито права и свободи, гарантирани от правото на Съюза, са нарушени, има право на ефективни правни средства за защита пред съд в съответствие с условията, предвидени в този член“.
130. Съгласно член 51 от Хартата, озаглавен „Обхват“, нейните разпоредби са насочени към държавите членки на ЕС само когато те прилагат правото на ЕС.
131. Член 52 от Хартата, озаглавен „ Обхват на гарантираните права“, гласи, доколкото е от значение:
1. Всяко ограничение върху упражняването на правата и свободите, признати от настоящата Харта, трябва да бъде предвидено в закон и да зачита същността на тези права и свободи. При спазване на принципа на пропорционалност, ограничения могат да се правят само ако са необходими и действително отговарят на цели от общ интерес, признати от Съюза, или на необходимостта от защита на правата и свободите на другите.
…
3. Доколкото настоящата Харта съдържа права, които съответстват на права, гарантирани от Конвенцията за защита на правата на човека и основните свободи, значението и обхватът на тези права са същите като тези, установени в посочената Конвенция. Тази разпоредба не възпрепятства правото на Съюза да предоставя по-широка защита.“
Д. Общ регламент относно защитата на данните
132. Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОВ 2016 L 119, стр. 1) („Общ регламент относно защитата на данните“ – „ОРЗД“) влезе в сила през 2016 г., но се прилага от 25 май 2018 г. (член 99, параграф 2). [4] Прилага се за „физически лица“ и не обхваща обработването на лични данни, които се отнасят до юридически лица (съображение 14).
133. Член 4(1) от GDPR определя „лични данни“ като „всяка информация , свързана с идентифицирано или идентифицируемо физическо лице („субект на данни“); идентифицируемо физическо лице е лице, което може да бъде идентифицирано, пряко или косвено, по-специално чрез позоваване на идентификатор като име, идентификационен номер, данни за местоположение, онлайн идентификатор или на един или повече фактори, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице“.
1. Обхват на приложение според материала
134. Член 2(2)(а) от GDPR гласи, че той „не се прилага за обработването на лични данни … в хода на дейност, която попада извън обхвата на правото на [ЕС]“. Свързаното съображение 16 гласи, че GDPR „не се прилага за въпроси, свързани със защитата на основните права и свободи или свободното движение на лични данни, свързани с дейности, които попадат извън обхвата на правото на [ЕС], като например дейности, свързани с националната сигурност“.
135 . Съдът на Европейския съюз („СЕС“) е постановил, че дейностите, насочени към защита на националната сигурност, посочени в член 2(2)(а) от GDPR, „обхващат по-специално тези, които са предназначени да защитят основни държавни функции и основните интереси на обществото“ (вж. решения на Съда на ЕС от 22 юни 2021 г. по дело Latvijas Republikas Saeima (Наказателни точки) , C – 439/19 , EU:C:2021:504, параграф 67; от 20 октомври 2022 г. по дело Koalitsia „Demokratichna Bulgaria – Obedinenie“ , C-306/21, EU:C:2022:813, параграф 40; и от 5 юни 2023 г. по дело Commission срещу Полша (Независимост и личен живот на съдиите) , C-204/21, EU:C:2023:334, параграф 318).
136. На това основание Съдът на ЕС наскоро установи, че дейностите на парламентарна комисия, разследваща дейността на орган за защита на държавата (провокирани от съмнения за упражняване на политическо влияние върху този орган), не могат да се разглеждат като дейности, отнасящи се до националната сигурност, попадащи извън обхвата на правото на ЕС по смисъла на член 2 (2)(а) от GDPR (вж. решение на Съда на ЕС от 16 януари 2024 г. по дело Österreichische Datenschutzbehörde , C-33/22, EU:C:2024:46, параграф 57).
2. Право на достъп до лични данни
137. Субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни , които го засягат, и ако е така, достъп до тези данни и информация относно целите на тяхното обработване (член 15(1)(а) от GDPR). Свързаното съображение 63 гласи, наред с други неща, че „субектът на данни следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде наясно със законосъобразността на обработването и да я провери“.
3. Ограничения на правото на достъп
138. Съгласно член 23(1) от GDPR, законодателството на държавите – членки на ЕС може да ограничи обхвата на задълженията и правата по членове 12 до 22 чрез законодателна мярка, „когато такова ограничение зачита същността на основните права и свободи и е необходима и пропорционална мярка в едно демократично общество за защита“, наред с други неща, (а) националната сигурност, (б) обществената сигурност и (в) предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции – включително защитата от заплахи за обществената сигурност и предотвратяването на такива. В свързаното съображение 73(1) се посочва, че „[о]граничения относно специфични принципи и правата на информация, достъп до и коригиране или заличаване на лични данни … могат да бъдат наложени от правото на Съюза или [д]ържава-членка, доколкото е необходимо и пропорционално в едно демократично общество за защита на обществената сигурност, …, предотвратяването, разследването и наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от и предотвратяването на заплахи за обществената сигурност … [или] други важни цели от общ обществен интерес на Съюза или на [д]ържава-членка“, но съображение 73(2) продължава, като предвижда, че тези ограничения „следва да бъдат в съответствие с изискванията, посочени в Хартата и в [Конвенцията]“.
139. Ако е уместно , всяко такова законодателство трябва, наред с други неща, да определя обхвата на ограниченията и да предвижда правото на субектите на данни да бъдат информирани за всички наложени ограничения – освен ако това би могло да навреди на целта му (член 23(2)(в) и (з) от GDPR).
140. Съгласно член 51(1) от GDPR, всяка държава членка на ЕС трябва да предвиди един или повече независими публични органи, които да отговарят за наблюдението на прилагането на GDPR, с цел, наред с други неща, да защитят основните права и свободи на физическите лица във връзка с обработването. Тези органи трябва да действат с пълна независимост при изпълнението на своите задачи и упражняването на своите правомощия съгласно GDPR (член 52 (1)).
141. Задачите на надзорния орган трябва да включват разглеждане на жалби, подадени от субект на данни, и разследване (доколкото е уместно) на техния предмет и информиране на жалбоподателя за напредъка и резултата от разследването в разумен срок; по-специално, надзорният орган трябва да информира жалбоподателя дали е необходимо допълнително разследване или координация с друг надзорен орган (член 57(1)(е) от GDPR).
142. Надзорните органи трябва да имат „правомощия за разследване“, включително да (а) разпоредят на администратора или обработващия лични данни да предостави всякаква информация, която им е необходима за изпълнението на техните задачи, и (б) получат от администратора или обработващия лични данни достъп до всички лични данни и до цялата информация, необходима за изпълнението на техните задачи (член 58(1)(а) и (д) от GDPR).
143. Те трябва също така да имат „корективни правомощия“, като например правомощието да (а) разпоредят на администратора или обработващия лични данни да се съобрази с исканията на субекта на данните за упражняване на правата му съгласно GDPR, и (б) разпоредят на администратора или обработващия лични данни да приведе операциите по обработка в съответствие с GDPR, когато е уместно, по определен начин и в рамките на определен срок, (в) наложат временно или окончателно ограничение (включително забрана за обработка) и (г) разпоредят коригиране или заличаване на лични данни или ограничаване на обработката им (член 58(2)(в), (г), (е) и (ж) от GDPR).
144. Надзорните органи трябва също така да имат правомощието (а) да доведат до знанието на съдебните органи нарушения на GDPR и (б) да започнат или по друг начин да участват в съдебни производства за прилагане на GDPR (член 58(5) от GDPR).
145. Всеки субект на данни има право да подаде жалба до надзорен орган , ако счита, че обработването на лични данни, свързани с него, нарушава GDPR (член 77(1) от GDPR).
146. Всеки субект на данни има право, при същите обстоятелства, на ефективни съдебни средства за защита (член 79(1) от GDPR).
147. Всяко физическо или юридическо лице има право и на ефективно съдебно средство за защита по отношение на правно обвързващо решение на надзорен орган , което го засяга (член 78(1) от GDPR). Всеки субект на данни има право и на ефективно съдебно средство за защита, ако надзорният орган не разгледа жалба или не информира субекта на данни в рамките на три месеца за напредъка или резултата от жалба, подадена до него съгласно член 77 (член 78(2) от GDPR).
148. Всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на GDPR, има право на обезщетение от администратора или обработващия лични данни (член 82(1) от GDPR). Член 82(2)-(4) определя процедурата, по която може да се търси такова обезщетение .
И. Директива за правоприлагането
149. Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ 2016 L 119, стр. 89) („Директива за правоприлагането“ – „ДП“) урежда обработването на лични данни на „физически лица“ от компетентните органи за целите на „предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции, включително предпазването от заплахи за обществената сигурност и предотвратяването на такива заплахи“ (член 1(1) и член 2(1)).
150. Директивата за правоприлагането трябваше да бъде транспонирана до май 2018 г. (член 63(1)). България го направи чрез изменение на Закона от 2002 г. през март 2019 г. (вж. параграф 85 по-горе).
1. Обхват на приложение според материала
151. Член 2(3)(а) от Директивата относно контрола върху наличностите – който отразява член 2(2)(а) от ОРЗД (вж . параграф 134 по-горе) – гласи, че Директивата относно контрола върху наличностите „не се прилага за обработването на лични данни … в хода на дейност, която попада извън обхвата на правото на [ЕС]“. Свързаното съображение 14 гласи, че „[т]ъй като [Директивата относно контрола върху наличностите] не следва да се прилага за обработването на лични данни в хода на дейност, която попада извън обхвата на правото на [ЕС], дейности, свързани с националната сигурност, дейности на агенции или звена, занимаващи се с въпроси, свързани с националната сигурност, и обработването на лични данни от държави-членки на ЕС при извършване на дейности, които попадат в обхвата на Глава 2 от Дял V от Договора за Европейския съюз [които се отнасят до общата външна политика и политика на сигурност на ЕС] … не следва да се считат за дейности, попадащи в обхвата на [Директивата относно контрола върху наличностите]“.
152. Съдът на ЕС е постановил, че съгласно член 2(3)(а), тълкуван във връзка с неговото съображение 14, Директивата за защита на личните данни не се прилага за обработването на лични данни с цел защита на националната сигурност (вж. решение на Съда на ЕС от 30 януари 2024 г. по дело Директор на Главна дирекция „Национална полиция“ при МВР – София , C-118/22, EU:C:2024:97, параграф 38).
2. Право на достъп до лични данни
153. Съгласно член 14(1)(а) от Директивата за защита на личните данни, държавите членки на ЕС трябва, при спазване на член 15 от Директивата за защита на личните данни (вж. параграфи 156-159 по-долу), да предвидят правото на субекта на данните да получи от администратора потвърждение дали се обработват лични данни, които го засягат, и ако е така, достъп до тези данни и информация относно целите и правното основание за тяхното обработване. Свързаното съображение 43 гласи, наред с други неща, че физическото лице следва да има право на достъп до събраните данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да се запознае с обработването и да го провери за законосъобразността му, и че за да бъде спазено това право, е достатъчно субектът на данните да притежава пълно обобщение на тези данни в разбираема форма, която му позволява да се запознае с тези данни и да провери дали те са точни и обработени в съответствие с Директивата за защита на личните данни, така че да е възможно той да упражнява правата, предоставени му от Директивата .
154. В първия си доклад относно прилагането на Директивата относно защитата на данните (ДЗД), публикуван през юли 2022 г. (COM(2022) 364 final), Европейската комисия отбелязва на страница 17, че практиката е показала, че правата на достъп и заличаване са най-често упражняваните сред правата по ДЗД.
155. В документ от ноември 2017 г., озаглавен „Становище по някои ключови въпроси на [Директивата за правоприлагането]“ (WP 258), Работната група за защита на лицата във връзка с обработването на лични данни („Работна група по член 29“ ) [5] изрази мнението, на страница 19, че член 14 от Директивата за защита на данните (ДЗД) съдържа „право на отрицателно потвърждение“ (т.е. правото на лицето да получи от съответния орган потвърждение, че не обработва данните на това лице, ако това действително е така) и че политиката „нито потвърждаване, нито отричане“ е възможна само в случай на дерогации по член 15 от ДЗД.
3. Ограничения на правото на достъп
156. Член 15(1)(в) и (г) от Директивата за защита на данните позволява на държавите членки на ЕС да приемат законодателство, което ограничава изцяло или частично правото на достъп на субекта на данни „до степента, в която и докато такова частично или пълно ограничаване представлява необходима и пропорционална мярка в демократично общество, като се вземат предвид основните права и законните интереси на съответното физическо лице“, за да се защити обществената сигурност или националната сигурност. В първия си доклад относно прилагането на Директивата за защита на данните (вж. параграф 154 по-горе), Европейската комисия отбелязва на страница 15, че всички държави членки на ЕС са се възползвали от възможността да ограничат правото на достъп на субекта на данни.
157. Съгласно член 15(2) от Директивата за защита на личните данни, държавите членки на ЕС могат да приемат законодателство за определяне на „категории обработване“ , които могат изцяло или частично да попаднат в обхвата на член 15(1)(а) до (д).
158. В такива ситуации държавите – членки на ЕС трябва да предвидят администраторът да информира субекта на данните, без ненужно забавяне, писмено за всеки отказ или ограничаване на достъпа и за причините за отказа или ограничението, но такава информация може да бъде пропусната, ако предоставянето ѝ би подкопало цел по член 15(1). Държавите-членки на ЕС трябва също така да предвидят администраторът да информира субекта на данните за възможността да подаде жалба до надзорен орган или да потърси съдебна защита (член 15(3) от Директивата за защита на данните).
159. Съгласно член 15(4) от Директивата за ограничаване на достъпа, държавите членки на ЕС трябва да предвидят администраторът да документира фактическите или правните причини, на които се основава решението за ограничаване, и че тези причини трябва да бъдат предоставени на надзорните органи .
160. Съгласно свързаното съображение 44, държавите – членки на ЕС следва да могат да приемат законодателство, ограничаващо (изцяло или частично) достъпа на субектите на данни до техните лични данни, доколкото – и стига – такава мярка да представлява необходима и пропорционална мярка в едно демократично общество, като се вземат предвид основните права и законните интереси на съответното физическо лице, за да се защити, наред с други неща, обществената сигурност или националната сигурност, но администраторът следва да прецени, чрез конкретно и индивидуално разглеждане на всеки случай, дали правото на достъп следва да бъде частично или напълно ограничено. Съображение 45 продължава с това, че всеки отказ или ограничаване на достъпа по принцип следва да бъде изложен писмено на субекта на данните и да включва фактическите или правните причини, на които се основава решението, а съображение 46 гласи, че всяко ограничаване на правата на субекта на данните трябва да е в съответствие с Хартата и Конвенцията, както са тълкувани съответно в съдебната практика на Съда на ЕС и на настоящия съд, и по-специално да зачита същността на тези права и свободи.
161. В становището от ноември 2017 г., цитирано в параграф 155 по-горе, Работната група по член 29 изрази мнението, на страница 20, че отговорът „нито потвърждавам, нито отричам“ може да бъде в съответствие с член 15 от Директивата за правоприлагането, но че изключение трябва да се прилага само когато се счита за строго необходимо и пропорционално, за всеки отделен случай, и че не трябва да се използват общи изключения.
4. Непряко упражняване на правото на достъп
162. Съгласно член 17(1) от Директивата за дискриминацията, в случаите, посочени в член 15(3) (вж . параграф 158 по-горе), държавите членки на ЕС трябва да приемат мерки, предвиждащи, че правата на субекта на данни могат да бъдат упражнявани и чрез компетентния надзорен орган; съгласно член 17(2) те трябва да предвидят администраторът да информира субекта на данни за тази възможност.
163. Ако това право бъде упражнено, надзорният орган трябва да информира субекта на данните „поне че са извършени всички необходими проверки или преглед от надзорния орган“, както и че той или тя има право да потърси съдебна защита (член 17(3) от Директивата за трафика).
164. Съгласно свързаното съображение 48, в случай че администраторът откаже на субекта на данни правото му на достъп, субектът на данните следва да има право да поиска от националния надзорен орган да провери законосъобразността на обработването, а когато надзорният орган действа от името на субекта на данните, субектът на данните следва да бъде информиран от надзорния орган поне че всички необходими проверки или прегледи от страна на надзорния орган са извършени и че има право да потърси съдебна защита.
165. В становището от ноември 2017 г., цитирано в параграф 155 по-горе, Работната група по член 29 подчертава на страници 23-24, че този допълнителен начин за субектите на данни да упражняват правата си допълва правото им да подават жалба до надзорен орган или да търсят съдебен контрол, и че възможността субектите на данни да упражняват правата си чрез съответния надзорен орган е различна от правото на жалба до надзорния орган, което трябва да бъде винаги на разположение на субектите на данни.
166. От своя страна, Съдът на ЕС наскоро отбеляза, че възможността по член 17 от Директивата за защита на данните за непряко упражняване на правото на достъп е необходима за защита на това право в ситуации, в които прякото му упражняване е трудно или невъзможно, и че това е механизъм за наблюдение на спазването на правата на субектите на данни (вж. решение на Съда на ЕС от 16 ноември 2023 г. по дело Ligue des Droits Humains (Проверка от надзорния орган за обработка на данни) , C-333/22, EU:C:2023:874, параграфи 44 и 48).
167. В същото решение Съдът на ЕС е посочил, че информацията, разкрита на субекта на данни след такова непряко упражняване на правото на достъп, може да надхвърли минимума, предвиден в член 17(3) от Директивата за защита на данните (вж. параграф 129 по-горе), ако това се изисква от необходимостта да се защити правото на ефективни съдебни средства за защита (вж. параграф 129 по-горе) и не е изключено от съответна цел от обществен интерес. При прилагането на член 17(3) от Директивата за защита на данните, държавите членки на ЕС е трябвало да предоставят на своите надзорни органи правото да решат дали не могат да информират субекта на данни (дори и само накратко) за резултатите от своите проверки (т.е. разследването, извършено от органа за защита на данните, за да се провери дали е имало нарушение на правилото за защита на данните) и за всички предприети коригиращи мерки (пак там, параграфи 65-66). Ако националното законодателство въпреки това изисква информацията, предоставена на субекта на данните, да бъде ограничена до минимума, предписан в член 17(3), тогава държавите членки на ЕС трябва да имат (а) механизми, позволяващи на своите съдилища да балансират необходимостта от запазване на поверителност с процесуалните права на субекта на данните, и (б) правила, позволяващи на тези съдилища да разглеждат доказателствата, въз основа на които надзорните органи са оценили законосъобразността на въпросното обработване на данни. Това означаваше по-специално, че съдилищата трябваше да разполагат с фактическите и правните причини, на които е основано решението на администратора на данни да ограничи правото на достъп – което съгласно член 15(4) от Директивата за защита на данните (вж. параграф 159 по-горе) във всеки случай е трябвало да бъде документирано вътрешно (пак там, параграфи 67-70).
168. В първия си доклад относно прилагането на Директивата за защита на данните (вж. параграф 154 по – горе), Европейската комисия е отбелязала на страница 17, че приблизително половината от надзорните органи на държавите членки на ЕС са съобщили, че са получили искания за непряк достъп по член 17. Въпреки че повечето от тях са били недопустими, в няколко случая на администраторите на данни е било наредено да коригират или изтрият лични данни или да ограничат обработката им.
169. Съгласно член 41(1) от Директивата за защита на данните (ДЗД ) , всяка държава членка на ЕС трябва да предвиди един или повече независими публични органи, които да отговарят за наблюдението на прилагането на ДЗД, за да защитават, наред с други неща, основните права и свободи на физическите лица във връзка с обработването на данни. Съгласно член 41(3) от ДЗД, органът, който наблюдава прилагането на ДЗД, може да бъде същият като този, който наблюдава прилагането на GDPR (вж. параграф 140 по-горе). Този орган трябва да действа с пълна независимост при изпълнението на своите задачи и упражняването на правомощията си съгласно ДЗД (член 42(1)).
170. Задачите на този надзорен орган трябва да включват (а) разглеждане на жалби, подадени от субект на данни, и разследване, доколкото е необходимо, на техния предмет и информиране на жалбоподателя за напредъка и резултата от разследването в разумен срок – по-специално в случай че е необходимо допълнително разследване или координация с друг надзорен орган, и (б) проверка на законосъобразността на обработването (съгласно член 17 – вж. параграф 162 по-горе) и информиране на субекта на данни в разумен срок за резултата от проверката (съгласно член 17(3) – вж. параграф 163 по-горе) или за причините, поради които такава проверка не е извършена (член 46(1)(е) и (ж) от Директивата за трафика).
171. Надзорните органи трябва да имат ефективни „правомощия за разследване“ – включително поне правомощието да получават от администратора или обработващия лични данни достъп до всички лични данни, които се обработват, и до цялата информация, необходима за изпълнението на техните задачи (член 47(1) от Директивата за защита на личните данни). В първия си доклад относно прилагането на Директивата за защита на личните данни (вж. параграф 154 по-горе), Европейската комисия е регистрирала на страница 22, че деветнадесет надзорни органа на държави членки на ЕС са използвали тези „правомощия за разследване“ – или по собствена инициатива, или въз основа на жалба.
172. Надзорните органи трябва също така да имат ефективни „коригиращи правомощия“, като например правомощието да (а) разпоредят на администратор или обработващ лични данни да приведе операциите си по обработка в съответствие с разпоредбите, приети съгласно Директивата за защита на данните (ДЗД), когато е уместно, по определен начин и в рамките на определен срок – по-специално, като разпоредят коригиране или заличаване на лични данни или ограничаване на тяхното обработване, и (б) наложат временно или окончателно ограничение (включително забрана) върху обработването (член 47(2)(б) и (в)). В първия си доклад относно прилагането на ДЗД (вж. параграф 154 по-горе), Европейската комисия отбелязва на страница 22, че същите органи, които са използвали своите „разследващи правомощия“ (вж. параграф 171 in fine по-горе), са използвали и своите „коригиращи правомощия“. Най-често използваното правомощие е било това да се разпореди обработването да бъде приведено в съответствие със закона – включително издаване на заповеди за коригиране или заличаване на лични данни или за ограничаване на тяхното обработване.
173. Надзорните органи трябва освен това да имат правомощието да (а) довеждат до знанието на съдебните органи нарушения на законови разпоредби, приети съгласно Директивата за правоприлагането, и (б) да образуват или по друг начин да участват в съдебни производства за прилагане на разпоредби, приети съгласно Директивата за правоприлагането (член 47(5)).
174. Съгласно член 52(1) и (2) от Директивата за защита на данните, държавите членки на ЕС трябва да предвидят правото на всеки субект на данни да подаде жалба до надзорен орган .
175. В първия си доклад относно прилагането на Директивата за защита на данните (вж. параграф 154 по – горе), Европейската комисия отбелязва на страници 17-18, че някои от най-честите жалби, получени от надзорните органи за защита на данните на държавите членки на ЕС, се отнасят до ограничения върху правото на достъп.
176. Съгласно член 53(1) от Директивата за контрол на заетостта, държавите членки на ЕС трябва да предвидят правото на физическо или юридическо лице на ефективна съдебна защита по отношение на правно обвързващо решение, издадено от надзорен орган, което го засяга .
177. Съгласно член 53(2) от Директивата за защита на данните, всеки субект на данни има право и на ефективно съдебно средство за защита , ако компетентният надзорен орган не разгледа жалба или не го информира в рамките на три месеца за напредъка или резултата от жалба, подадена съгласно член 52.
178. Съгласно член 54 от Директивата за защита на личните данни, държавите членки на ЕС трябва да предвидят правото на субектите на данни на ефективни съдебни средства за защита, когато считат, че правата им , установени в разпоредби, приети съгласно Директивата, са били нарушени в резултат на обработването на личните им данни в нарушение на тези разпоредби.
III. ИНСТРУМЕНТИ НА СЪВЕТА НА ЕВРОПА
А. Конвенция за защита на лицата при автоматизираната обработка на лични данни
179. България подписа Конвенцията за защита на лицата при автоматизираната обработка на лични данни от 1981 г. (ETS 108 ; 1496 UNTS 65) през 1998 г. и я ратифицира през 2002 г., като тази Конвенция влезе в сила за България през януари 2003 г. Преводът на тази Конвенция на български език беше публикуван в „Държавен вестник“ през март 2003 г. ( ДВ, бр. 26 от 21.03.2003 г., стр. 58-63 ). Съответно, тя е част от вътрешното право на България и има предимство пред всички противоречащи разпоредби на вътрешното законодателство (член 5 § 4 от Конституцията на България от 1991 г.).
180. Съгласно член 8 (а) от Конвенцията от 1981 г., всяко лице трябва да има възможност да „установи съществуването на автоматизиран файл с лични данни [и] неговите основни цели“. Съгласно член 8 (б) всяко лице трябва да има възможност да „получава в разумни интервали и без прекомерно забавяне или разходи потвърждение дали личните данни, отнасящи се до него, се съхраняват в автоматизирания файл с данни“ и, съгласно член 8 (г), да „има правно средство за защита, ако [такова] искане за потвърждение … не бъде изпълнено“.
181. Съгласно член 9 § 2 (а) от Конвенцията от 1981 г., дерогация от разпоредбите на член 8 е разрешена, когато е „предвидена от закона на страната и представлява необходима мярка в едно демократично общество в интерес на … защитата на държавната сигурност, обществената безопасност, паричните интереси на държавата или борбата с престъпления“.
182. Съгласно член 10 от Конвенцията от 1981 г. всяка страна трябва да установи подходящи средства за защита при нарушения на разпоредбите на вътрешното законодателство , с които се привеждат в действие основните принципи за защита на данните.
183. В параграф 55 от Обяснителния доклад към Конвенцията от 1981 г. се посочва, че текстът на член 9 § 2 е „моделиран по подобие на този на вторите параграфи на членове 6, 8, 10 и 11 от Европейската конвенция за правата на човека“ и, в параграф 56 in fine , че фразата „държавна сигурност“ трябва да се разбира „в традиционния смисъл на защита на националния суверенитет срещу вътрешни или външни заплахи, включително защитата на международните отношения на държавата“.
Б. Допълнителен протокол към Конвенцията от 1981 г.
184. България подписа Допълнителния протокол от 2001 г. към Конвенцията за защита на лицата при автоматизираната обработка на лични данни от 1981 г. относно надзорните органи и трансграничните потоци от данни (ETS 181; 2297 UNTS 195) през 2010 г. и го ратифицира същата година; а Протоколът влезе в сила по отношение на България през ноември 2010 г. Преводът му на български език беше публикуван в „ Държавен вестник“ също през ноември 2010 г. ( ДВ, бр. 93 от 26.11.2010 г., стр. 22-23 ). Следователно, той е – подобно на Конвенцията от 1981 г. – част от вътрешното право на България и има предимство пред всички противоречащи му разпоредби на вътрешното законодателство (член 5 § 4 от Конституцията на България от 1991 г.).
185. Член 1 от този Допълнителен протокол, озаглавен „ Надзорни органи“, гласи, доколкото е от значение:
„1. Всяка страна предвижда един или повече органи, които да отговарят за осигуряване на спазването на мерките във вътрешното си законодателство, с които се привеждат в действие принципите, посочени в глави II и III на Конвенцията и в този протокол.“
2. а. За тази цел посочените органи имат по-специално правомощия за разследване и намеса, както и правомощието да участват в съдебни производства или да довеждат до знанието на компетентните съдебни органи нарушения на разпоредбите на вътрешното законодателство, с които се привеждат в действие принципите, посочени в параграф 1 на член 1 от този протокол.
б. Всеки надзорен орган разглежда жалби, подадени от всяко лице, относно защитата на неговите/нейните права и основни свободи във връзка с обработването на лични данни в рамките на неговата компетентност.
3. Надзорните органи упражняват функциите си при пълна независимост.
4. Решенията на надзорните органи, които дават основание за жалби, могат да бъдат обжалвани по съдебен ред.
…“
186. В параграф 12 от Обяснителния доклад към Протокола е пояснено, че „правомощията за разследване“ на надзорния орган по член 1 § 2 (б) включват възможността да се поиска от администратора информация относно обработката на лични данни и да се получи такава, както и че такава информация трябва да бъде достъпна, по-специално когато надзорният орган е бил обект на запитване от лица, желаещи да упражнят правата, предвидени от вътрешното законодателство по силата на член 8 от Конвенцията от 1981 г. (вж. параграф 180 по-горе).
187. В параграф 13 от обяснителния доклад се посочва, че „правомощието за намеса“ на надзорния орган по член 1 § 2 (б) може да включва правомощието да задължи администратора да коригира, изтрие или унищожи неточни или незаконно събрани данни самостоятелно или ако субектът на данните не е в състояние да упражни тези права сам.
188. Параграф 14 от Обяснителния доклад пояснява, че надзорният орган служи и като посредник между субекта на данните и администратора и че всеки има право да подаде иск до този орган във връзка със своите права, свързани с обработването на лични данни; това право спомага за гарантиране на правото на подходящо средство за защита съгласно член 8, буква г) и член 10 от Конвенцията от 1981 г. (вж. параграфи 180 и 182 по-горе). Субектът на данни може да се позове на такъв иск в допълнение към търсенето на съдебно средство за защита.
189. В декларация, депозирана заедно с инструмента за ратификация, България заявява, че нейният национален надзорен орган съгласно член 1 § 1 от Допълнителния протокол (вж. параграф 185 по-горе) е Комисията за защита на личните данни (вж. параграф 97 по-горе) .
В. Модернизирана конвенция за защита на лицата при обработването на лични данни
190. Протоколът за изменение на Конвенцията за защита на лицата при автоматизираната обработка на лични данни от 1981 г. (CETS 223 ), чиято цел е да модернизира тази конвенция, беше открит за подписване през октомври 2018 г. Той все още не е в сила. България подписа Протокола незабавно и го ратифицира през декември 2019 г. – и и в двата случая декларира, че ще прилага разпоредбите му временно (вж. параграф 203 по-долу).
191. В обяснителните бележки към законопроекта за ратификация (№ 902-02-24), внесен от правителството и приет от българския парламент през септември 2019 г., се посочва, че прилагането на изменящия протокол не изисква допълнителни законодателни мерки.
192. Съгласно член 4 § 1 от модернизираната конвенция (добавен с член 6 от изменящия протокол), всяка страна трябва да предприеме мерки в своето законодателство, за да приведе в действие разпоредбите на изменената конвенция и да осигури тяхното ефективно прилагане; съгласно член 4 § 2 тези мерки трябва да бъдат взети от всяка страна и да влязат в сила към момента на ратифициране на модернизираната конвенция.
2. Право на достъп и изключения от това право
193. Съгласно член 9 § 1 ( б) от модернизираната Конвенция (добавен с член 11 от Протокола за изменение), всеки има право, наред с други неща, да получи по искане, през разумни интервали и без прекомерно забавяне или разходи, потвърждение за обработването на лични данни, отнасящи се до него или нея.
194. В параграф 74 от Обяснителния доклад към Протокола за изменение е пояснено, че макар модернизираната Конвенция да не посочва от кого субектът на данни може да получи такова потвърждение, в повечето случаи това би бил администраторът или обработващият лични данни, но че в изключителни случаи упражняването на правото на достъп може да включва посредничеството на надзорния орган.
195. Съгласно член 11 § 1 (а) от модернизираната Конвенция (добавен с член 14 от Протокола за изменение) е възможно да се въведе изключение от член 9 , ако това изключение е „предвидено от закона, зачита същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество за … защита на националната сигурност …“.
3. Задължение за доказване на съответствие
196. Съгласно член 10 § 1 от модернизираната конвенция (добавен с член 12 от изменящия протокол), всяка страна трябва да предвиди , че администраторите и, когато е приложимо, обработващите лични данни, предприемат всички подходящи мерки за спазване на изменената конвенция и са в състояние да докажат – при спазване на законодателството по член 11 § 3 (вж. параграф 200 по-долу) – на надзорния орган, предвиден в член 15, че обработването на данни под техен контрол е в съответствие с разпоредбите на тази конвенция.
4. Правомощия на надзорните органи
197. Съгласно член 15 § 1 от модернизираната конвенция (добавен с член 19 от изменящия протокол), всяка страна трябва да предвиди един или повече органи, които да отговарят за осигуряване на спазването на разпоредбите на тази конвенция .
198. Съгласно параграф 2 (а), (в) и ( г) от посочения член, тези надзорни органи трябва да имат правомощия (а) за разследване и намеса, (б) да издават решения по отношение на нарушения на посочената конвенция и (в) да участват в съдебни производства или да довеждат до знанието на компетентните съдебни органи нарушения на посочената конвенция.
199. Съгласно параграф 4 от този член всеки компетентен надзорен орган е длъжен да разглежда искания и жалби, подадени от субекти на данни относно техните права за защита на данните, и да ги информира за напредъка .
200. Съгласно член 11 § 3 от модернизираната конвенция (добавен с член 14 от изменящия протокол), когато става въпрос за обработка на данни за целите на националната сигурност, всяка страна по тази конвенция може да предвиди „със закон и само до степента, в която това представлява необходима и пропорционална мярка в едно демократично общество за постигане на такава цел“ изключения от член 15 § 2 (а), (в) и (г).
201. В параграф 86 от Обяснителния доклад към Протокола за изменение е изяснено, че ако дадена страна реши да ограничи по този начин правомощията на надзорен орган във връзка с обработването на данни за целите на националната сигурност, администраторът не е длъжен да доказва пред този орган спазването на изискванията за защита на данните по отношение на дейности, попадащи в обхвата на изключението. Параграфи 98 и 118 допълнително уточняват, че тези изключения не засягат никакви изисквания, свързани с независимостта и ефективността на механизмите за преглед и надзор, а параграф 117 посочва, че ако член 11 § 3 бъде задействан, съответната страна може да предостави други подходящи механизми по отношение на независимия и ефективен преглед и надзор на обработването на данни за целите на националната сигурност.
202. С член 12 от модернизираната конвенция (добавен с член 15 от изменящия протокол) всяка страна се задължава да въведе подходящи съдебни и извънсъдебни средства за защита при нарушения на тази конвенция.
6. Временно прилагане на Протокола за изменение
203. Съгласно член 37 § 3 от Протокола за изменение, страна по Конвенцията от 1981 г. може, при подписването на Протокола за изменение или по-късно , да декларира, че ще го прилага временно; такава декларация влиза в сила на първия ден от третия месец след датата на получаването ѝ от Генералния секретар на Съвета на Европа. При подписването на Протокола за изменение (вж. параграф 190 по-горе), България декларира, че ще го прилага временно (в съответствие с член 37 § 3) и потвърди тази декларация в последващия документ за ратификация, който беше одобрен от нейния парламент (вж. параграф 191 по-горе).
IV. ДРУГИ СЪОТВЕТНИ МЕЖДУНАРОДНИ МАТЕРИАЛИ
1. Доклад на Венецианската комисия
204. В своя Доклад за демократичния контрол върху службите за сигурност, приет през 2007 г. и актуализиран през 2015 г. (CDL-AD(2015)010), Европейската комисия за демокрация чрез право („Венецианската комисия“) отбелязва по-специално (бележките под линия и вътрешните препратки са пропуснати):
„251. Очевидно е необходимо лицата, които твърдят, че са били неблагоприятно засегнати от изключителните правомощия на службите за сигурност и разузнаване, като например наблюдение или разрешение за достъп до класифицирана информация, да имат някаква възможност за правна защита. Освен че засилват отчетността, жалбите могат също така да допринесат за подобряване на работата на службите чрез изтъкване на административни пропуски. Очевидно трябва да се имат предвид и изискванията на договорите за правата на човека, и по-специално [Конвенцията], с нейните защити на справедлив процес, зачитане на личния живот и изискването за ефективни средства за защита.“
252. Очевидно е обаче, че легитимните цели на агенция за сигурност или разузнаване не трябва да могат да използват система за жалби, за да разберат за работата на агенцията. Системата за жалби трябва да балансира, от една страна, независимостта, стабилността и справедливостта, и, от друга страна, чувствителността към нуждите на сигурността. Проектирането на такава система е трудно, но не и невъзможно.
253. Лицата, които твърдят за неправомерни действия от страна на държавата в други области, рутинно имат право на иск за обезщетение пред съда. Ефективността на това право обаче зависи от това дали лицето е осведомено за предполагаемото неправомерно деяние и от доказателствата, задоволителни за съда. Както вече беше споменато, поради редица причини капацитетът на обикновените съдилища да служат като адекватно средство за защита в областта на сигурността е ограничен. Съдебната практика на Европейския съд по правата на човека ([…]) ясно показва, че средството за защита не трябва да бъде просто на хартия.
254. Алтернатива е да се позволи разследване и докладване по жалба срещу агенция от независимо длъжностно лице, като например омбудсман. Такъв е случаят например в Нидерландия. В други страни (например Нова Зеландия и Южна Африка) жалбите срещу службите се разглеждат от независим главен инспектор по сигурността и разузнаването като част от общите надзорни правомощия на службата. Освен това, специални служби, създадени съгласно законодателството за свобода на информацията или защита на данните, могат да имат роля в разследването на жалби срещу агенциите. Например, в Австрия лицето обикновено има възможност да подаде жалба до Datenschutzkommission, но ако по съображения за поверителност лицето не е било информирано за (злоупотребата) с данни, жалбата може да бъде повдигната от Rechtsschutzbeauftragter по негова/нейна инициатива.
255. В тези системи от типа на омбудсмана акцентът е върху независимо длъжностно лице, което разследва от името на жалбоподателя. Тези независими служби обикновено съществуват, за да се справят с административни пропуски от страна на публични органи, а не с правни грешки. Техните разследвания може да поставят по-малък акцент върху собственото участие на жалбоподателя в процеса и върху прозрачността, отколкото би било при съдебните производства. Обикновено разследване от този тип завършва не с решение и официални средства за защита, а с доклад и (ако жалбата бъде уважена) препоръка за отстраняване на проблемите и бъдещи действия.
256. По-рядко срещан вариант е държавата да използва парламентарен или експертен надзорен орган за разглеждане на жалби и оплаквания на физически лица, както се случва в Германия, Норвегия и Румъния. Може да има полза за парламентарния надзорен орган при разглеждането на жалби, подадени срещу службите за сигурност и разузнаване, тъй като това ще даде представа за потенциални пропуски – на политика, законност и ефективност. От друга страна, ако надзорният орган е твърде тясно свързан с агенциите, които контролира, или действа в рамките на кръга на секретност, жалбоподателят може да смята, че процесът на жалби е недостатъчно независим. В случаите, когато един орган обработва жалби и надзор, най-добре е да има доста различни правни процедури за тези различни роли.
257. Като цяло е за предпочитане двете функции да бъдат възложени на различни органи, но да са налице процеси, така че надзорният орган да е наясно с по-широките последици от индивидуалните жалби. Този подход се подкрепя и от [Конвенцията ]. Изискването в член 13 от [Конвенцията] за механизъм за правна защита при твърдения за нарушения на правата по Конвенцията, който е независим от процеса на разрешаване, означава, че системата за контрол на дадена държава, например за обработка на данни, може да премине теста за „съответствие със закона“ и „необходимост в демократично общество“, но липсата на правна защита означава, че въпреки това е налице нарушение на Конвенцията. Както вече беше споменато, ЕСПЧ е заявил, че правната защита трябва да бъде ефективна по закон и фактически. Трябва да се отбележи по-специално, че ЕСПЧ е постановил, че орган за проверка на данни, който е независим и който има формална компетентност по закон да присъди правна защита за притежаването на неточни, неподходящи и др. данни за сигурност, но всъщност не притежава експертния опит за оценка на тези данни, не е ефективно правно средство за защита по смисъла на член 13.
258. Трябва да се отбележи и опитът на ЕСПЧ по делото Leander срещу Швеция. Шведското правителство по това време твърди, че съществуват редица органи за контрол и средства за защита, които предотвратяват допускането на грешки при проверката за сигурност и отстраняват допуснати грешки. По-късни официални разследвания обаче показват, че нито един от контролите и средствата за защита не работи правилно в тази област. Хората, участващи във всяка от системите за контрол/средства за защита, са приемали, че всяка от останалите системи работи правилно. Нито един от контролите/средствата за защита не е стигал до същината на проблема: надеждността и пропорционалността на оценката за сигурност, направена на дадено лице. Съществуването на няколко „половин“ контрола/средства за защита осигурява само привидност на контрол, а не неговата реалност.
259. В някои страни не само отделни лица, но и служители на службите имат право да повдигат въпроси, свързани със службата, пред вниманието на омбудсман или парламентарен надзорен орган. Например в Германия служителите могат да повдигат въпроси пред Парламентарния контролен съвет, а в Южна Африка служителите на службата могат да подават жалби до главния инспектор.
260. Друг метод за разглеждане на жалби е чрез специализиран трибунал. Той може да бъде създаден за разглеждане на жалби срещу конкретна агенция или във връзка с използването на специфични правомощия, както е в Обединеното кралство (Комисарят по разузнавателните служби и Комисарят по прихващане на комуникациите). Или жалбите могат да се разглеждат по процедура, подобна на трибунал, но от специализиран надзорен орган, както е в случая със SIRC в Канада. Когато надзорният орган участва в процеса на одобряване на операции по сигурност, той не може да служи и като независим механизъм за жалби (виж […]). В противен случай, трибунал от този вид има някои предимства пред обикновен съд при разглеждането на жалби, свързани със сигурността и разузнаването: той може да развие отделен експертен опит в областта на сигурността и разузнаването, предназначен за обработка на чувствителна информация. С оглед на естеството на предмета е малко вероятно това да включва пълно публично съдебно заседание. От друга страна, макар че някои трибунали могат да изслушат жалбоподателя, той или тя вероятно ще се сблъска със сериозни практически трудности при доказването на дело, при получаването на достъп до съответните доказателства или при оспорването на версията на агенцията за събитията. За да се справят с някои от тези проблеми, в някои страни са въведени специални адвокати, получили разрешение за работа със сигурност. Критичните точки, направени по-горе относно ограниченията, приложими за специалните адвокати (вижте по-горе […]), и относно стойността на процедурите за експертен надзор за наблюдение (вижте по-горе […]), важат и тук.“
2. Доклади на Агенцията на ЕС за основните права
205. По искане на Европейския парламент, през ноември 2015 г. Агенцията на ЕС за основните права („FRA“) изготви доклад, озаглавен „Наблюдение от разузнавателните служби – Гаранции и средства за защита на основните права в ЕС – Картографиране на правните рамки на държавите членки“ (doi:10.2811/009038). В този доклад се анализират законите на всички тогавашни двадесет и осем държави членки на ЕС, свързани с такова наблюдение, като се фокусира върху надзорните механизми и наличните средства за защита. В него се отбелязва по-специално, че по това време:
( a ) Законите на всички държави допускат ограничения върху правото на достъп до собствените данни въз основа на заплаха за (i) националната сигурност или (ii) целите на разузнавателните служби, но има разлики в условията и нивото на ограниченията. Осем държави (Чешката република, Ирландия, Латвия, Литва, Полша, Словакия, Испания и Обединеното кралство) не предвиждат това право по отношение на данните, обработвани от тези служби. В двадесет държави това право е предвидено в закон, но с ограничения за това кога може да бъде упражнявано или други квалификации. В повечето държави (Австрия, Белгия, България, Хърватия, Кипър, Гърция, Германия, Финландия, Франция, Унгария, Италия, Люксембург, Малта и Словения) правното основание за такива ограничения са законите за защита на данните (самостоятелно или във връзка със специфични закони) – главно на основание, че предоставянето на информация може да застраши целите на разузнавателните служби или националната сигурност. В пет държави (Дания, Естония, Нидерландия, Румъния и Швеция) специфични закони освобождават дейностите на разузнавателните служби от общото законодателство за защита на данните. Десет държави са уравновесили подобни ограничения, като са предоставили правомощия на надзорните органи да (i) проверяват дали някое от основанията, свързани с националната сигурност, на които се позовават, е разумно и/или (ii) упражняват правото на достъп от името на дадено лице (страници 61-65 от доклада).
( б ) В седем държави (Австрия, България, Хърватия, Финландия, Унгария, Словения и Швеция) надзорните органи за защита на данните по принцип са имали същите правомощия спрямо разузнавателните служби, каквито са имали по отношение на други администратори на данни – но това не означава непременно, че тези органи са разполагали с пълния набор от правомощия, с които иначе са разполагали. В дванадесет държави (Чехия, Дания, Естония, Латвия, Люксембург, Малта, Нидерландия, Португалия, Румъния, Словакия, Испания и Обединеното кралство) те са нямали правомощия по отношение на разузнавателните служби, а в девет държави (Белгия, Кипър, Франция, Германия, Гърция, Ирландия, Италия, Литва и Полша) са имали ограничени правомощия (страници 46-51 от доклада).
206. През октомври 2017 г. FRA изготви последващ доклад, озаглавен „Наблюдение от разузнавателните служби – Гаранции и средства за защита на основните права в ЕС. Том II, Перспективи на място и правна актуализация“ (doi:10.2811/792946). Този доклад актуализира анализа на FRA от 2015 г. на законите на държавите членки на ЕС и го допълни с данни от място, получени от интервюта с експерти. В него се отбелязва по-специално, че по това време :
( a ) В единадесет държави (Чешката република, Дания, Естония, Латвия, Люксембург, Малта, Нидерландия, Португалия, Румъния, Словакия и Испания) надзорните органи за защита на данните не са имали компетентност по отношение на разузнавателните служби; в десет държави (Белгия, Кипър, Франция, Германия, Гърция, Ирландия, Италия, Литва, Полша и Обединеното кралство) техните правомощия са били ограничени; а в седем държави (Австрия, България, Хърватия, Финландия, Унгария, Словения и Швеция) те са имали същите правомощия, каквито са имали по отношение на други администратори на данни. Органите с ограничени правомощия са действали като регулатори на обработката на данни за разузнавателни цели. Те са могли да имат консултативна роля и ролята им е била ограничена до надзор върху спазването от страна на разузнавателните служби на задълженията, свързани с обработката на данни. По-специално, органите с ограничени правомощия не са разглеждали съдържанието на прихванатите комуникации. Те са могли например да проверяват дали разузнавателните служби са спазили съответните ограничения за съхранение, но законът е можел да ограничи достъпа им до бази данни, съдържащи данни, събрани чрез определени разузнавателни техники. В държави, където надзорните органи за защита на данните не са имали компетентност по отношение на разузнавателните служби, специализиран орган, който наблюдава тези служби, е отговарял за осигуряването на правилното прилагане на гаранциите за поверителност и защита на данните. В държави, където надзорните органи за защита на данните и специализираните надзорни органи могат едновременно да упражняват надзор над разузнавателните служби, взаимодействието им понякога е било организирано от закона, а понякога просто въпрос на практика (страници 80-83 от доклада).
( б ) Надзорните органи за защита на данните в четиринадесет държави можеха да разглеждат индивидуални жалби. От тях десет можеха да издават обвързващи решения: тези в седемте държави, където те се ползваха със същите правомощия по отношение на разузнавателните служби като специализираните надзорни органи, и тези в Кипър, Гърция и Италия. В четири други държави (Белгия, Франция, Германия и Ирландия) надзорните органи за защита на данните можеха да разглеждат индивидуални жалби или да позволят на дадено лице да упражнява непряко правото си на достъп, но не можеха да издават обвързващи решения. В четири държави (Кипър, Франция, Германия и Гърция) достъпът беше предмет на засилени изисквания. В три държави (Белгия, Франция и Италия) лицата можеха да поискат от този орган да провери дали данните им се обработват от разузнавателните служби, а органът щеше да извърши проверката и да информира лицето, че тя е извършена, но не и дали и какви данни се обработват, ако такава информация може да засегне националната сигурност. Ако установи нередности, органът можеше да поиска от разузнавателната служба да ги отстрани (страници 116-118 от доклада).
207. През май 2023 г. FRA изготви частична актуализация на своите доклади от 2015 г. и 2017 г., в която се посочват промените, настъпили в законите за разузнаването в ЕС оттогава (doi:10.2811/150305). Актуализираният доклад отбелязва по-специално, че до 2023 г.:
( a ) Националните закони, приети след реформата на ЕС за защита на данните от 2016 г. (която се състоеше главно в приемането на GDPR и Директивата за защита на данните – вж. параграфи 132 и 149 по-горе), доведоха най-вече до по-широки ограничения върху (или дори до предотвратяване на) надзора от страна на надзорните органи за защита на данните върху обработката на данни от разузнавателните служби. Надзорните правомощия на тези органи изглежда са засилени от 2017 г. насам само в няколко държави. Ситуацията във връзка с правомощията на тези органи за коригиращи действия по отношение на разузнавателните служби се е променила в седем държави. В Белгия, България, Хърватия, Гърция и Литва, в резултат на вътрешните реформи за защита на данните, направени след европейската реформа от 2016 г., тези органи вече нямаха надзор по въпроси, свързани с националната сигурност, и бяха загубили правомощията да разследват жалби, свързани с дейностите на разузнавателните служби. За разлика от това, вътрешното прилагане на реформата на ЕС в Кипър и Швеция даде на тези органи нови правомощия, които засилиха способността им да предоставят ефективни средства за защита.
( б ) Положението в целия ЕС към 2023 г. беше следното: в пет държави (Австрия, Кипър, Финландия, Словения и Швеция) надзорните органи за защита на данните имаха същите правомощия по отношение на разузнавателните служби, каквито имаха по отношение на други администратори на данни; в седем държави (България, Франция, Германия, Унгария, Ирландия, Италия и Люксембург) те имаха ограничени правомощия; а в петнадесет държави (Белгия, Хърватия, Чехия, Дания, Естония, Гърция, Латвия, Литва, Малта, Нидерландия, Полша, Португалия, Румъния, Словакия и Испания) те нямаха правомощия по отношение на разузнавателните служби.
( в ) Рамката за надзор в България през 2023 г. следваше модела, при който надзорният орган за защита на данните (Комисията за защита на личните данни – вж. параграфи 97-102 по-горе) имаше ограничени правомощия спрямо тези на специализирания надзорен орган (Националното бюро – вж. параграф 82 (г) по-горе). Този специализиран надзорен орган имаше водеща роля в това отношение, като специализираната парламентарна комисия допринасяше за това (вж. параграфи 78-79 по-горе).
Б. Съответно решение на Комитета на министрите на Съвета на Европа
208. Комитетът на министрите на Съвета на Европа досега е разгледал изпълнението на решението на Съда по делото Екимджиев и други (цитирано по-горе) през декември 2022 г. и септември 2023 г. Той наблюдава това изпълнение по своята разширена процедура, а производствата пред него все още са висящи. В решението си, прието на 21 септември 2023 г., Комитетът, наред с други неща, „настоятелно призова властите да разработят незабавно законодателни изменения за засилване на гаранциите за квалификацията и независимостта на членовете на [Националното бюро] от органите, които Бюрото контролира, преди предстоящите избори на ново Бюро, и ако такова законодателство не може да бъде разработено преди изборите, да назначат достатъчен брой членове с юридическо образование и да избягват, доколкото е възможно, назначаването на членове, които са служители на правоприлагащите органи или службите за сигурност и могат, след като са служили в Бюрото, да си възвърнат предишните длъжности по схема на „въртяща се врата““ (вж. CM/Del/Dec(2023)1475/H46-10, точка 4).