Решение по жалба рег. № Ж-68/25.02.2015 г.

Комисията за защита на личните данни (КЗЛД) в състав Председател: Венцислав Караджов и членове: Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 29.07.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-68/25.02.2015г., подадена от Х.К.Р., Г.Т.Р., Е.Д.Д. и С.В.К. срещу „С.Т. и К.“ ЕООД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Х.К.Р., Г.Т.Р., Е.Д.Д. и С.В.К., в която са изложени твърдения за неправомерно обработване на личните им данни от „С.Т. и К.“ ЕООД.

Жалбоподателите информират, че през ноември 2014г. сключили договори за предоставяне на туристическа услуга с „С.Т. и К.“ ЕООД и предоставили доброволно личните си данни на дружеството. Твърдят, че не са уведомени, нито писмено, нито устно за целите за които ще се обработват личните им данни, ще бъдат ли предоставяни същите на трети лица и за какви цели и допълват, че в подписаните с дружеството договори не е посочени регистрирано ли е дружеството като администратор на лични данни.

Жалбоподателите твърдят, че без тяхно знание и съгласие личните им данни са предоставени от дружеството на трето лице застраховател, с което от тяхно име и за тяхна сметка е сключена застраховка.

Жалбоподателите твърдят, че дружеството неправомерно обработва личните им данни за целите на директния маркетинг и два месеца след приключване на пътуването продължават да получават оферти за предлагани от дружеството други туристически услуги.

Към жалбата са приложени относими по случая доказателства.

В изпълнение на разпоредбата на чл.30, ал.1 от Административно-процесуалния кодекс и с оглед обстоятелството, че жалбата е подадена по електронен път и същата не е надлежно подписана с електронен подпис, до жалбоподателите са изпратени писма с указания за потвърждаване на жалбата. В указания от законодателят срок жалбата е потвърдена, надлежно подписана и изпратена по пощата до КЗЛД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „С.Т. и К.“ ЕООД е изискано писмено становище и представяне на относими доказателства.

В отговор от дружеството изразяват становище за неоснователност на жалбата и молят Комисията да я остави без уважение. От дружеството оспорват твърденията на жалбоподателите и сочат, че личните им данни са обработени законосъобразно и в съответствие с разпоредбите на Закона за защита на личните данни и Закона за туризма. Допълват, че в изпълнение на чл.72 от Закона за туризма дружеството е сключило от името на жалбоподателите застраховка „медицински разходи при болест и злополука на туриста“, като „своевременно“ на жалбоподателите са предоставени Общите условия на ЗАД „А.“ за този вид застраховка, „които са качени и на интернет-страницата на „С.Т. и К.“ ЕООД.

Към становище не са приложени доказателства.

Становище за неоснователност на жалбата е депозирано и от ЗАД „А.“

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег.№Ж-68/25.02.2015г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателите, естеството на искането, дата и подписи, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физически лица с правен интерес. Същата има за предмет обработване на лични данни на жалбоподателите, чрез действия по предоставянето им на от дружеството на трето лице– застраховател, без знанието и съгласието на жалбоподателите, както и обработване на личните им данни за директен маркетинг. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимост на жалбата. В конкретния случай жалбата е насочена срещу „С.Т. и К.“ ЕООД, което безспорно притежава качеството на администратор на лични данни. ЗАД „А.“ АД е обработило личните данни на жалбоподателите в качеството си на обработващ личните данни.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружествата са изпълнили задължението си по чл.17, ал.1 от ЗЗЛД, подали са заявления за регистрация и са регистрирани като администратори на лични данни с идент. №403199 и №14305.

На проведено на 08.07.2015г. заседание на Комисията жалбата е обявена за процесуално допустима и като страни в производството са конституирани: Х.К.Р., Г.Т.Р., Е.Д.Д. и С.В.К., ответна страна– „С.Т. и К.“ ЕООД и заинтересована страна– ЗАД „А.“. С оглед изясняване на случая от правна и фактическа страна от страните са изискани допълнителни доказателства.

В отговор от „С.Т. и К.“ ЕООД е предоставено копие на договор №92110046NA20 сключен между „С.Т. и К.“ ЕООД и ЗАД „А.“, в едно с приложен към него Анекс №1/16.12.2014г.

От страна на жалбоподателите е представено копие на застрахователни полици от ЗАД „А.“ и разпечатки от получени на електронен адрес електронни писма.

На проведено на 29.07.2015г. заседание на Комисията, жалбата е разгледана по същество.

Жалбоподателите– редовно уведомени, не се явяват, не се представляват.

„С.Т. и К.“ ЕООД– редовно уведомено, представлява се от управителя на дружеството – г-жа А. и адвокат Т., които оспорват жалбата и молят Комисията да я остави без уважение.

ЗАД „А.“– редовно уведомено, не се представлява.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-68/25.02.2015г. е основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

В конкретния случай страните не спорят, че между жалбоподателите и „С.Т. и К.“ ЕООД – туроператор са налице сключени договори за предоставяне на туристическа услуга, както и че за целите на договора жалбоподателите доброволно са предоставили личните си данни на дружеството. Не е спорно, че във връзка с предлаганата услуга жалбоподателите са застраховани и на същите е представена застрахователна полица №1806Е0000234513 и №1806Е0000234512 от ЗАД А. със сключена застраховка „медицински разходи и репатриране“ с дата на застрахователните полица 12.12.2014г. и срок на застраховката 31.12.2014г.– 03.01.2015г.

Предвид разпоредбата на чл.72, ал.1 от Закона за туризма и обстоятелството, че предлаганата туристическа услуга касае пътуване извън страната и туристите– жалбоподателите не са предоставили валидна полица за сключена дългосрочна застраховка „медицински разходи при болест и злополука на туриста“ се налага извода, че за „С.Т. и К.“ ЕООД е налице условие за допустимост на обработването на личните данни на жалбоподателите за целите на сключена застраховка, а именно обработването е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни.

Комисията намира за неоснователни твърденията на жалбоподателите, че е налице неправомерно обработване на личните им данни за целите на директния маркетинг.

Съгласно легалната дефиниция, съдържаща се в §1, т.15 от ДР на ЗЗЛД, „директен маркетинг“ е предлагане на стоки и услуги на физически лица по пощата, телефон или по друг директен начин, както и допитване с цел проучване относно предлаганите стоки и услуги. Съгласно чл.34 а, ал.1, т.2 от ЗЗЛД физическото лице има право да възрази срещу обработването на личните му данни за целите на директния маркетинг. На правото на физическото лице кореспондира разписаното в чл.34 а, ал.2 от ЗЗЛД задължение на администратора на лични данни да уведоми лицето за правото му за възрази срещу обработването на личните му данни за целите на директния маркетинг.

В конкретния случай и с оглед събраните доказателства не се установи обработване на личните данни на жалбоподателите за целите на директния маркетинг. Жалбоподателите не са ангажирали доказателства е подкрепа на твърденията си, а предвид обстоятелството, че представените от тях разпечатки на електронни писма съдържат само електронен адрес на един от жалбоподателите, без друга информация, идентифицираща лицето, следователно не съдържат лични данни на жалбоподателите счита, че не е налице обработване на лични данни на жалбоподателите за директен маркетинг.

С оглед съдържанието на сключените между жалбоподателите и „С.Т. и К.“ ЕООД договори за туристическа услуга се налага извода, че дружеството не е изпълнило задължението си по чл.19, ал.1 от ЗЗЛД а именно да уведоми лицата и да им предостави информация за: целите на обработване на личните им данни; получателите и категориите получатели, на които могат да бъдат разкрити данните; данни за задължителния или доброволен характер на предоставяне на данните и последиците от отказа за предоставянето им; информация за правото на достъп и правото на коригиране на събраните данни. Предвид разпределянето на доказателствената тежест в процеса и обстоятелството, че дружеството не е ангажирало доказателства в обратна насока се налага извода, че „С.Т. и К.“ ЕООД е нарушило разпоредбата на чл.19, ал.1 от ЗЗЛД. В тази връзка и с оглед характера на нарушението и обстоятелството, че същото е първо за администратора на лични данни с цел превенция и защита на правата на физическите лица по ЗЗЛД, Комисията счита за целесъобразно да издаде задължително предписание на администратора на лични данни за спазване на разпоредбата на чл.19 от ЗЗЛД.

Госпожа Мария Матева– член на КЗЛД, не споделя изцяло възприетото от Комисията решение и изразява особено мнение, като счита, че предвид съдържанието на сключените с жалбоподателите индивидуални договори „С.Т. и К.“ ЕООД е изпълнило задължението си по чл.19 от ЗЗЛД и е предоставило на лицата посочената в разпоредбата информация, следователно не е налице нарушение на цитираната законова разпоредба.

Водима от горното и на основание чл.38, ал.2, във връзка с чл.10, ал.1, т.7 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-68/25.02.2015г., подадена от Х.К.Р., Г.Т.Р., Е.Д.Д. и С.В.К. срещу „С.Т. и К.“ ЕООД, за основателна.

2. На основание чл.38, ал.2 от ЗЗЛД издава задължително предписание на „С.Т. и К.“ ЕООД с ЕИК *** със седалище и адрес на управление ******** в качеството му на администратор на лични данни и в изпълнение на разпоредбата на чл.19, ал.1 от ЗЗЛД, да включи в Общите условия на дружеството и сключваните от дружеството индивидуални договори за туристическа услуга отделна клауза, която да съдържа информация за: целите на обработване на личните данни на физическите лица; получателите и категориите получатели, на които могат да бъдат разкрити данните; данни за задължителния или доброволен характер на предоставяне на данните и последиците от отказа за предоставянето им; информация за правото на достъп и правото на коригиране на събраните данни и информация за срока на съхранение на личните данни.

3. Определя срок за изпълнение на задължителното предписание– един месец от получаване на решението и указва на администратора на лични данни след изпълнение на предписанието да уведоми Комисията за защита на личните данни.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.