Решение по жалба рег. № Ж-28/22.01.2016 г.

Комисията за защита на личните данни (КЗЛД) в състав Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев и Мария Матева на заседание, проведено на 30.03.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-28/22.01.2016г., подадена от Т.Й.Н. срещу „М.“ ЕАД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Т.Й.Н., в която са изложени твърдения за неправомерно обработване на личните й данни от „М.“ ЕАД.

Жалбоподателката информира, че на 18.06.2015г. в офис на мобилния оператор находящ се в гр. София, бул. „Черни връх“ сключила договор за промяна на тарифния й план. Допълва, че на същата дата без нейно знание и съгласие личните й данни са използвани от дружеството и на нейно име е „активиран номер *****, който е деактивиран на 09.07.2015г.“

Жалбоподателката счита, че е налице злоупотреба с личните й данни и моли Комисията за съдействие.

Към жалбата са приложни относими по случая доказателства.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „М.“ ЕАД е изискано писмено становище и представяне на относими доказателства.

В отговор от мобилния оператор изразяват становище за неоснователност на жалбата и молят Комисията да я остави без уважение. Информират, че жалбоподателката е страна по сключен с „М.“ ЕАД договор №502743726/18.06.2015г. за предоставяне на електронни съобщителни услуги на мобилни номера ******** и ******* с наименование на услугата „Домашен телефон“, във връзка с който дружеството законосъобразно обработва личните й данни. Допълват, че „считано от 18.06.2015г. към горепосочения договор №502743726/18.06.2015г., поради допусната техническа грешка на служител на дружеството, е била активирана SIM карта с номер ***, която след установяване на допуснатата грешка, служебно е била деактивирана, респективно договорът за нея е бил прекратен на 09.07.2015г.“

От дружеството сочат, че „личните данни на г-жа Т.Й.Н. не са предоставяни на трети лица, нито са били обработвани и използвани за цели различни от тези за предоставяне на електронни съобщителни услуги“ и в тази връзка считат, че твърденията на жалбоподателката за злоупотреба с личните й данни са неоснователни и недоказани.

Към жалбата са приложени относими доказателства и заверено копие на пълномощно.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег.№Ж-28/22.01.2016г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателката, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес.Същата има за предмет обработване на личните данни на жалбоподателката от „М.“ ЕАД относно предоставяне на услуги за мобилен номер ****. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимост на жалбата. В конкретния случай администратор на лични данни е „М.“ ЕАД.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружеството е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД, подало е заявление за регистрация и е регистрирано като администратор на лични данни с идент. №50151 и заявени пет броя регистри.

На проведено на 09.03.2016г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в производството са конституирани: жалбоподател– Т.Й.Н. и ответна страна– „М.“ ЕАД, в качеството му на администратор на лични данни. Страните са редовно уведомени за насроченото за 30.03.2016г. заседание на Комисията за разглеждане на жалбата по същество.

С оглед изясняване на случая от правна и фактическа страна от мобилния оператор са изискани доказателства в подкрепа на твърденията, че на 09.07.2015г. договорът за SIM карта с номер ***** е прекратен и същата „служебно е била деактивирана“, както и копие от договора за предоставяне на услуги за номер *****.

В отговор и с допълнително становище от дружеството твърдят, че „към договор №502743726/18.06.2015г. поради допусната техническа на служител на дружеството, е била активирана SIM карта с номер *****“, която е служебно деактивирана на 09.07.2016г. Допълват, че дружеството не е извършило злоупотреба с личните данни на жалбоподателката, тъй като картата е активираната към вече сключен договор, по силата на който дружеството има право да обработва личните данни на г-жа Т.Й.Н. за предоставяне на електронни съобщителни услуги.

Към становището са приложени относими по случая доказателства.

В хода на производството жалбоподателката представя допълнителни доказателства, в това число и копие на сключения с мобилния оператор договор и водена с Комисията за регулиране на съобщенията кореспонденция по случая.

На проведено на 30.03.2016г. заседание на КЗЛД, жалбата е разгледана по същество.

Жалбоподателката– редовно уведомена, явява се лично и поддържа жалбата. Моли Комисията да ангажира административно-наказателната отговорност на дружеството за нарушение на правата й по ЗЗЛД.

„М.“ ЕАД – редовно уведомено, не се представлява.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-28/22.01.2016г. е основателна.

От събраните по административната преписка доказателства безспорно се установи, че жалбоподателката е страна по сключен с „М.“ ЕАД договор №502743726/18.06.2015г. за предоставяне на електронни съобщителни услуги за мобилни номера ******** и ******* с наименование на услугата „Домашен телефон“, във връзка с който дружеството законосъобразно обработва личните й данни. Страните не спорят, че на 18.06.2015г. към договора е била активирана и SIM карта с номер ****, която след установяване на допуснатата грешка, служебно е била деактивирана на 09.07.2015г.

Видно от представените доказателства и в частност екранна разпечатка представена от „М.“ ЕАД по отношение на SIM карта с номер *** дружеството в периода от 18.06.2015г. до 09.07.2015г. е обработвало данни за жалбоподателката в обем три имена и единен граждански номер и същата е отразена в електронната система на дружеството като абонат за номер ***.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД трите имена и единен граждански номер на физическото лице безспорно имат качеството на лични данни, а употребата им е действие по обработване на личните данни.

От събраните по административната преписка доказателства безспорно се установи, че „М.“ ЕАД е обработвало лични данни на жалбоподателката в обем от три имена и единен граждански номер във връзка със регистриране на мобилна услуга и активиране на SIM карта с номер ***, без да е налице сключен между страните договор за предоставяне на услугата и без съгласие на жалбоподателката. Втази връзка се налага извода, че обработването на личните данни на жалбоподателката и регистрирането и като абонат на дружеството относно SIM карта с номер *** е неправомерно и в нарушение на чл.23, ал.1 от ЗЗЛД.

Видно от събраните доказателства дружеството не е предприело необходимите технически и организационни мерки за защита на личните данни на жалбоподателката от неправомерно обработване, а предприетите такива са явно недостатъчни и неефективни, с оглед факта, че личните данни са неправомерно употребени за регистриране на жалбоподателката като абонат относно SIM карта с номер ***, услуга която не е предоставена от дружеството и не е заявена от жалбоподателката.

Комисията намира за неоснователно твърдението на ответната страна, че макар да е налице допусната техническа грешка, дружеството не е извършено нарушение на ЗЗЛД при обработване на личните данни на жалбоподателката. Обратно на тезата на дружеството счита, че обработването на личните данни на жалбоподателката, чрез действия по обработване на личните данни на жалбоподателката от „М.“ ЕАД относно предоставяне на услуги за мобилен номер ***, е незаконосъобразно, без наличие на предпоставки за допустимост на обработването и в противоречие на принципите на които същото следва да се осъществява. Допускането на тази ситуация ясно показва, че дружеството не е изпълнило задължението си по чл.23, ал.1 от ЗЗЛД, а именно да предприеме съответните технически и организационни мерки за защита на личните данни на жалбоподателката от незаконни форми на обработване, в резултат на което са нарушени правата на физическото лице, сезирало КЗЛД.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираното нарушение налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението) е нецелесъобразно и мерките са неприложими в случая, и в тази връзка налага на „М.“ ЕАД административно наказание за нарушение на разпоредбите на ЗЗЛД, като счита, че същото ще има възпитателно въздействие и ще допринесе за спазване от страна на дружеството на установения правен ред.

При определяне размера на административното наказание Комисията съобрази, че нарушението не е първо за администратора на лични данни. С Решение Ж-824/2014г. от 03.02.2015г., влязло в сила на 19.02.2015г., на дружеството е наложена санкция в размер на 700 лв. за нарушение на чл.23, ал.1 от ЗЗЛД от което следва извода, че констатираното в настоящето производство нарушение е повторно по смисъла на §1, т.9 от ЗЗЛД и по аргумент от чл.42 а от ЗЗЛД санкцията следва да е в двоен размер на първоначално наложената.

Водима от горното и на основание чл.38, ал.2, във връзка с чл.10, ал.1, т.7 от Закона за защита на личните данни, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул. „Проф. Цветан Лазаров" №2 или преведена по банков път:

Банка БНБ – ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721