В своето решение, Комисията за защита на лични данни обръща внимание на няколко неща.

На първо място, за да прецени дали е налице нарушение на Закона за защита на лични данни, Комисията изследва въпроса дали е осъществено обработване на лични данни. Според нейното становище проверката на собствеността на автомобила в регистрите на МВР представлява по същество обработване на лични данни. 

На второ място, изследва се въпросът дали обработването е неправомерно. В този случай, Комисията се съсредоточава върху това, че съгласно закона, органите на МВР могат да обработват лични данни, но това не може да става произволно. Напротив. Предвидената в закона възможност за обработване на лични данни от страна на служители на МВР е възможна само в случаите, в които това се прави за изпълнение на дейностите на ведомството и по установения от закона ред. 

В конкретния случай, Комисията за защита на лични данни установява, че служителката на МВР е използвала служебното си положение, осъществявайки достъп до регистрите на ведомството поради извънслужебна необходимост, като стига до извода, че по този начин е нарушен предвидения от закона ред. В тази връзка стига до извод, че обработването е незаконосъобразно, а администраторът (МВР) не е предприел необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване. 

За смекчаващо вината на администратора обстоятелство, Комисията за защита на лични данни приема факта, че неправомерният достъп е осъществен от служител на МВР, макар и за извънслужебни нужди, а не от трето – неоторизирано лице. В тази връзка е направена преценка, че налагането на наказание „имуществена санкция“ би било несъразмерно тежко съобразно степента на извършеното нарушение.  

Ето защо, в случая Комисията се възползва от правомощието си да даде задължителни указания на администратора, а именно:

1. Да въведе контрол за спазване на процедурите чрез извършване на периодични случайни проверки на логове, като се извършва анализ и оценка дали осъществения оторизиран достъп до регистрите с лични данни на МВР е регламентиран или нерегламентиран.

2. Да извършва обучение на длъжностните лица с достъп до регистрите с лични данни на МВР относно правилата и процедурите за обработване на лични данни. 

По отношение на твърдението, че служителката – нарушител е предоставила установените лични данни на сина си за осъществяване на контакт със собственичките на автомобила от негова страна, същото е прието за недоказано. 

Относимите части от решението на Комисията за защита на лични данни са достъпни по – долу.