Решение по жалба с рег. № Ж-108/ 25.03.2014г.

Комисията за защита на личните данни (КЗЛД) в състав: Цанко Цолов, Цветелин Софрониев и Веселин Целков на заседание, проведено на 04.06.2014г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-108/ 25.03.2014г., подадена от М.Ц.А. срещу „П.И.А.БГ“ ЕООД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с подадена от М.Ц.А. жалба, в която са изложени твърдения за неправомерно обработване на личните му данни.

Жалбоподателят твърди, че „преди месец, месец и половина“ посетил магазин заавтомобили „Фолксваген“ и „Порше“, находящ се в гр. София, кв. „Овча купел“ и изпробвал качествата на нов лек автомобил. Твърди, че за целта служителите в магазина са копирали личната му карта и свидетелството му за управление на моторно превозно средство (СУМПС).

Господин М.Ц.А. счита, че тези действия са в нарушение на Закона за защита на личните данни и моли Комисията да предприеме необходимите мерки.

Към жалбата не са приложени доказателства.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „П.И.А.БГ“ ЕООД е изискано писмено становище и представяне на относими доказателства.

В отговор процесуалният представител на дружеството– адв.Ш. изразява становище (С-181/14.04.2014г.) за неоснователност на подадената от г-н М.Ц.А. жалба и твърди, че действията на дружеството по копиране на личната карта и СУМПС на жалбоподателя са законосъобразни.

Адвокат Ш. твърди, че на 26.02.2014г. жалбоподателят е сключил договор за тест-драйв с „П.И.А.БГ“ ЕООД, съгласно който дружеството е предоставило на г-н М.Ц.А. свой собствен лек автомобил марка „Volkswagen Golf“, с временен рег.№*** и рама *********. Процесуалният представител информира, че автомобилът е предоставен на жалбоподателя за временно ползване, с цел изпитване на качествата на превозното средство. Информира, че автомобилът е застрахован от дружеството и сочи, че съгласно условията на застраховката, в случай, че настъпят щети по време на тест-драйва собственикът на автомобила е задължен по смисъла на чл.206, 211, 224, 270, 272 и 274 от Кодекса за застраховането (КЗ) да представи на застрахователя информация за лицето, което е управлявало автомобила и данни за правоспособността му.

Адвокат Ш. твърди, че дружеството има законово основание- чл.102, чл.171 и чл.177 от Закона за движение по пътищата (ЗДвП) да установи, че г-н М.Ц.А. притежава валидно свидетелство за управление на моторно превозно средство, както и законен интерес в последствие да докаже, че е изпълнило задължението си по чл.102 от ЗДвП, като представи копие на СУМПС на водача, в случай че бъде поискано от компетентните органи.

Адв.Ш. допълва, че в случай, че г-н М.Ц.А. подаде до „П.И.А.БГ“ ЕООД искане за заличаване на личните му данни, дружеството ще „спази своите задължения по закон“.

Като доказателства към становището са представени заверени копия на: застрахователни полици за застраховки „Каско“ и „Гражданска отговорност“; нотариално заверено пълномощно и подписан от г-н М.Ц.А. документ с дата 26.02.2014г.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си Комисията следва да бъде валидно сезирана.

Подадената от г-н М.Ц.А. жалба рег.№Ж-108/25.03.2014г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. Налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

От изложените в жалбата твърдения и от приложените доказателства може да се приеме, че същата е подадена в срока по чл.38, ал.1 от ЗЗЛД, от физическо лице с правен интерес.

Жалбата е от компетентността на КЗЛД, насочена е срещу администратор на лични данни и има за предмет обработване на данните на жалбоподателя, съдържащи се в личната карта и СУМПС, които са лични данни по смисъла на чл.2, ал.1 от ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. Разглежданата жалба е подадена срещу „П.И.А.БГ“ ЕООД, което безспорно притежава качеството на администратор на лични данни по отношение на обработването на личните данни на жалбоподателя.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че „П.И.А.БГ“ ЕООД е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД, подало е заявление за регистрация и е регистрирано като администратор на лични данни с идент. №283639.

На заседание на Комисията, проведено на 30.04.2014г., жалба рег.№Ж-108/ 25.03.2014г. е приета за процесуално допустима. Като страни в административното производство са конституирани: жалбоподател– М.Ц.А. и ответна страна– „П.И.А.БГ“ ЕООД, в качеството му на администратор на лични данни.

В отговор на изискани от ответната страна допълнителни доказателства, процесуалният представител на дружеството представя: заверено копие на приети от „П.И.А.БГ“ ЕООД „Вътрешни правила за сигурност, задължителни за служителите, оторизирани с достъп до регистри с лични данни“ и бланка на договор за тест-драйв, приемо-предавателен протокол (Приложение 1) и Приложение 2, към договора.

Адвокат Ш. уточнява, че в случаите когато автомобилът за тест-драйв се предоставя на клиент за период по-дълъг от един работен ден, между представляваното от него дружество и лицето, се сключва договор за тест-драйв. В случаите, когато тест-драйва е в рамките на един работен ден и клиента е придружаван в автомобила от служител на дружеството, между клиента и „П.И.А.БГ“ ЕООД се подписва само „протокол“, копие от който е приложен към първото писменото становище на дружеството.

На заседание на КЗЛД, проведеното на 04.06.2014г., жалба рег.№Ж-108/25.03.2014г. е разгледана по същество.

Жалбоподателят- редовно уведомен, не се явява, не се представлява.

Ответната страна– редовно уведомена, представлява се от адв.Ш., с приложено по преписката пълномощно. Адв.Ш. не сочи нови доказателства, няма доказателствени искания. Оспорва жалбата и моли Комисията да я остави без уважение като неоснователна. Процесуалният представител твърди, че представляваното от него дружество е обработило личните данни на г-н М.Ц.А. законосъобразно и уточнява че личните данни „междувременно вече са унищожени“.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти от значение по случая, имайки предвид събраните писмени доказателства, както и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-108/25.03.2014г. е частично основателна.

От събраните в хода на административното производство доказателства се установи, че на 26.02.2014г. жалбоподателят- г-н М.Ц.А. е ползвал предлагана от „П.И.А.БГ“ ЕООД услуга „тест-драйв“. За времето от 13:05 до 13:10 часа на посочената дата на жалбоподателя е предоставен за изпитване лек автомобил марка „Volkswagen Golf“, с временен рег.№*** и рама *********, същият собственост на дружеството.

Страните не спорят, че във връзка с ползваната услуга служители на дружеството са копирали личната карта и СУМПС на г-н М.Ц.А..

За ползваната услуга е съставен документ, описан от процесуалният представител на дружеството веднъж като договор, втори път като протокол, подписан от г-н М.Ц.А., в който са отразени трите му имена и телефонен номер. Непопълнени са другите полета от протокола относно единен граждански номер, номер и дата на лична карта (ЛК) и СУМПС и адрес.

Видно от съдържанието на документа е, че с подписа си г-н М.Ц.А. е декларирал, че притежава валидна шофьорска книжка, че ще съблюдава ограниченията за скоростта и изискванията на ЗДвП.

В подписания от г-н М.Ц.А. документ, декларация по смисъла на Приложение 2 от представения бланков договор за тест-драйв, липсва изрична клауза за копиране на документи за самоличност– лична карта и СУМПС, нито клауза че ксерокопие на същите ще бъдат съхранявани от администратора на лични данни, за какви цели и на кои лица ще бъдат предоставяни. Не съдържа и клауза, която да препраща за неуредените случая към Общи условия или правила на дружеството, относно предлаганите от същото услуги. От дружеството са изискани Общи условия уреждащи предлаганата от същото услуга „тест-драйв“, но такива не са представени. Предоставен е бланков договор за тест-драйв, в едно с Приложение 1 и Приложение 2 към него.

Видно от съдържанието на бланковият договор за тест-драйв, дружеството изисква от ползвателя- лицето, на което предоставя автомобил за тест-драйв, документ за самоличност (паспорт или лична карта) само и единствено за справка, след което го връща незабавно (т. 4 от договора).

Личната карта и СУМПС са документи за самоличност (чл. 13, ал.1, т.1 и т.2 от Закон за българските документи за самоличност). Съдържащите се в тях данни са в обем достатъчен за безспорното индивидуализиране на съответното физическо лице, с оглед което имат характера на лични данни по смисъла на чл.2, ал.1 от ЗЗЛД.

Копирането и съхранението на личната карта и СУМПС са действия по обработване на съдържащите се в тях лични данни.

Като администратор на лични данни по смисъла на чл.3, ал.1 от ЗЗЛД „П.И.А.БГ“ЕООД има задължение да обработва личните данни на физическите лица в случаите, когато това е допустимо, при наличие на поне една от посочените в чл.4, ал.1 от ЗЗЛД условия и в съответствие с принципите на чл.2, ал.2 от ЗЗЛД.

Обработването на лични данни на г-н М.Ц.А., чрез действия по копиране на свидетелството му за управление на моторно превозно е законосъобразно, с оглед което Комисията приема за неоснователна жалба в тази й част. Налице е нормативно установено задължение (чл. 189, ал.5 от ЗДвП) на администратора на лични данни– „П.И.А.БГ“ ЕООД, в качеството му на собственик на моторното превозно средство, в случай на нарушение на ЗДвП, установено и заснето с техническо средство, в отсъствието на контролен орган и на нарушител, да предоставя в съответната териториална структура на Министерството на вътрешните работи писмена декларация с данни за лицето, извършило нарушението, и копие на свидетелството му за управление на моторно превозно средство.

Комисията счита жалбата за основателна в частта й касаеща обработване на личните данни на г-н М.Ц.А., чрез действия по копиране на личната му карта за целите на ползваната от него услуга „тест-драйв“. Събрани по административната преписка доказателства навеждат на извода, че обработването на личните данни на жалбоподателя е неправомерно, същото не е съобразено с изискванията за допустимост на обработването на лични данни, обективирани в чл.4 от ЗЗЛД.

В чл.4, ал.1 от ЗЗЛД изчерпателно и алтернативно са изброени условията за допустимост за обработване на лични данни. Законодателят е възприел, че обработването на лични данни на физическите лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

Комисията не споделя доводите на адв.Ш., че за копиране на документа за самоличност на жалбоподателя са налице условията за допустимост на обработването, посочени в чл.4, ал.1, т.1, 3 и 7 от ЗЗЛД и счита, че с действията по копиране на личната карта на жалбоподателя и съхранение на направеното копие, администраторът на лични данни е нарушил императивната разпоредба на чл.4, ал.1 от Закона за защита на личните данни и е обработил личните данни на жалбоподателя без да е налице нито едно от условията за допустимост на обработването посочени в чл.4, ал.1 от ЗЗЛД.

Действията на дружеството по копиране на личната карта на г-н М.Ц.А. за целите на ползваната от жалбоподателя услуга „тест-драйв“ са в нарушена и на разпоредбата на чл.2, ал.2, т.3 от ЗЗЛД- събраните лични данни са несъотносими и надхвърлят целите, за които се обработват същите. В личната карта се съдържат данни за физическото лице в обем по-голям от необходимия за индивидуализирането му, като ползвател на предлаганата услуга. Още повече, че в представения бланков договор за тест-драйв и приложенията към него, в това число и подписания от г-н М.Ц.А. документ, ползвателят следва да се индивидуализира с три имена, единен граждански номер, номер и дата на личната карта, както и номер и дата за СУМПС. Личната карта се ползва само за справка, проверява се от дружеството и се връща незабавно на ползвателя (т. 4 от бланковия договор за тест-драйв).

От събраните по административната преписка доказателства и в частност от съдържанието на представените от ответната страна бланков договор за тест-драйв, Приложение1 и Приложение2, към договора и подписания от г-н М.Ц.А. документ, Комисията установи, че при обработване на личните данни на физическото лице, администраторът на лични данни не е изпълнил задължението си по чл.19, ал.1 от ЗЗЛД, а именно да уведоми лицето и да му предостави информация за: целите на обработване на личните му данни; получателите и категориите получатели, на които могат да бъдат разкрити данните; данни за задължителния или доброволен характер на предоставяне на данните и последиците от отказа за предоставянето им; информация за правото на достъп и правото на коригиране на събраните данни.

Във връзка с констатираното административно нарушение на разпоредбата на чл.19 от ЗЗЛД и съобразно оперативната самостоятелност дадена в чл.38, ал.2 от ЗЗЛД, Комисията счита за целесъобразно, с оглед защитата на правата на физическите лица по ЗЗЛД и предотвратяване на последващи нарушения, да издаде задължително предписание на администратора на лични данни за спазване на разпоредбата на чл.19 от ЗЗЛД.

При определяне размера на налаганото с настоящото решение административно наказание за нарушение на чл.4, ал.1 от ЗЗЛД, Комисията съобрази целта на наказанието, което следва даима възпитателна, възпираща и предупредителна функция, а не да създава икономически затруднения на администратора на лични данни, допуснал нарушението. Взе предвид факта, че нарушението е първо за администратора на лични данни, както и обстоятелството, че личните данни на жалбоподателя са заличени. Мотивирана от това Комисията счита, че размера на административното наказание следва да бъде около минимума предвиден в закона за този вид нарушение.

Водима от горното и на основание чл.10, ал.1, т.7, във връзка с чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-108/25.03.2014г., подадена от М.Ц.А. срещу „П.И.А.БГ“ ЕООД за неоснователна в частта й относно обработване на личните данни на жалбоподателя чрез действия по копиране на свидетелството му за управление на моторно превозно средство.

2. Обявява жалбата за основателна в частта й относно обработване на личните данни на жалбоподателя чрез действия по копиране на личната му карта, с което са нарушени разпоредбите на чл.4, ал.1 и чл.2, ал.2, т.3 от ЗЗЛД.

3. На основание чл.42, ал.1 от ЗЗЛД налага на „П.И.А.БГ“ ЕООД, ЕИК *****, със седалище и адрес на управление гр. София, ******, в качеството му на администратор на лични данни административно наказание- имуществена санкция в размер на 12000лв. (дванадесет хиляди лева) за нарушение на разпоредбата на чл.4, ал.1 от ЗЗЛД.

4. Издава задължително предписание на „П.И.А.БГ“ ЕООД, ЕИК *****, със седалище и адрес на управление гр. София, *******, в качеството му на администратор на лични данни, в изпълнение на разпоредбата на чл.19, ал.1 от ЗЗЛД, да включи в сключваните от дружеството договори за тест-драйв отделна клауза, която да съдържа информация за: целите на обработване на личните данни на физическите лица; получателите и категориите получатели, на които могат да бъдат разкрити данните; данни за задължителния или доброволен характер на предоставяне на данните и последиците от отказа за предоставянето им; информация за правото на достъп и правото на коригиране на събраните данни;

5. Определя срок за изпълнение на задължителното предписание– един месец от получаване на решението и указва на администратора на лични данни след изпълнение на предписанието да уведоми Комисията за защита на личните данни.

Решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София- град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров" №2 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721