Решение по жалба с рег. № Ж-786/17.06.2014 г.

Комисията за защита на личните данни в състав: Цанко Цолов, Цветелин Софрониев и Мария Матева– членове на КЗЛД, в заседание, проведено на 05.11.2014г. (Протокол №45), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа жалба с рег.№Ж-786/17.06.2014г. от К.К.М. срещу БТК ЕАД и „С.Г.Г.” ООД.

В Комисията за защита на личните данни (КЗЛД) е постъпило електронно писмо с вх.№Ж-697/14.05.2014г., съдържащо твърдения за злоупотреба с лични данни. Подателят посочва, че от 2012г. е абонат на БТК ЕАД и ползва услугите интернет и кабелна телевизия, предоставяни от оператора. Господин К.К.М. твърди, че „от преди един месец по телефона му се обаждат от колекторски фирми за наличие на задължения от 2008г. към В., които следва да заплати”. При посещение на офис на оператора г-н К.К.М. е изискал копие на договор, както и информация за начислените му суми. Твърди, че от В. не му е предоставена информация, както и документи относно претендираното задължение. Подателят „не си спомня за дължими суми към БТК ЕАД и е притеснен, тъй като е подложен на ежедневен телефонен тормоз от фирмата за събиране на вземания. К.К.М. твърди, че не е уведомяван от В. за наличие на негови неплатени сметки и такси. Заявява, че не е давал своето съгласие БТК ЕАД да „продава” негово задължение, както и да предоставя личните му данни на трети лица. На подадена жалба с вх.№14-23184-29.04.2014г. до БТК АД не е получил отговор от оператора.

Писмото не е подписано по реда на Закона за електронния документи и електронния подпис и не може еднозначно да се определи от кого изхожда. С писмо изх.№П-3165/23.05.2014г. на Председателя на КЗЛД, г-н К.К.М. е уведомен за правото по чл.26, ал.1 от ЗЗЛД на достъп до отнасящите се до него лични данни, обработвани от администратора на лични данни. Уведомен е и за правните възможности и мерки, които следва да предприеме, ако счита, че правата му по ЗЗЛД са нарушени. В случай, че поддържа жалбата, на г-н К.К.М. е указано да я депозира в срок, като подпише съдържанието ѝ, както и да предостави относими към случая доказателства.

К.К.М. депозира жалба с рег.№Ж-786/17.06.2014г., съдържаща искане на БТК ЕАД да бъде потърсена отговорност относно предоставяне на личните му данни на фирми за събиране на вземания без неговото знание и съгласие.

Жалбата, подадена от К.К.М. срещу БТК ЕАД е съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията е сезирана от физическо лице, при наличието на правен интерес, подадена е в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежават БТК ЕАД и „С.Г.Г.” ООД. Това изискване се явява абсолютна процесуална предпоставка, с оглед на което следва да се прецени допустимостта на жалбата.

При извършена служебна проверка вРегистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, е установено, че БТК ЕАД притежава Удостоверение №14414. На „С.Г.Г.” ООД е издадено Удостоверение №52178. Двете дружества са вписани в Регистъра на администраторите на лични данни и на водените от тях регистри към КЗЛД.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, КЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание, проведено на 01.10.2014г., Комисията за защита на личните данни обявява жалбата за допустима и я насрочва за разглеждане по същество на 05.11.2014г. Конституира като страни в административното производство жалбоподателя К.К.М. и ответни страни– БТК ЕАД и „С.Г.Г.” ООД в качеството им на администратори на лични данни.

С писмо изх.№П-4284/07.07.2014г. и повторно с писмо изх.№П-5339/ 19.08.2014г. на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс (АПК), БТК ЕАД е уведомено за образуваното в КЗЛД административно производство по жалбата. Наоснование чл.36 от АПК на администратора на лични данни е указано в срок да предостави писмено становище, заверени копия на прекратени и настоящи договори сключени с жалбоподателя, доказателства за наличие на неизплатени негови задължения, договор с фирма за събиране на вземания, на която са предоставени личните данни на г-н К.К.М., както и други относими доказателства.

БТК ЕАД депозира становище с вх.№С-435/28.08.2014г., в което посочва, че жалбоподателят е бил титуляр на договор за мобилна гласова услуга, сключен на 02.01.2007г. За ползваната услуга г-н К.К.М. има неплатени задължения в общ размер 74.76 лв. за две месечни сметки за периода от 08.11.2007г. до 07.02.2008г. БТК ЕАД уточнява, че по силата на сключен договор за цесия, задължението на К.К.М. е прехвърлено на „С.Г.Г.” ООД, като за целта са предоставени неговите лични данни. Дружеството счита, че за извършеното прехвърляне не се изисква съгласието на жалбоподателя. За уведомяването на длъжници БТК ЕАД посочва, че е упълномощило фирмата за събиране на вземания в качеството си на цедент, какъвто е настоящият случай. Предвид изложеното, БТК ЕАД счита за неоснователно твърдението на жалбоподателя, че с предоставянето на личните му данни на „С.Г.Г.” ООД е извършено „закононарушение” на ЗЗЛД от страна на оператора.

В становище с вх.№С-435/28.08.2014г. БТК ЕАД предоставя заверени копия на месечни сметки с период на отчитане от 08.11.20076г. до 07.12.2007г., за които сочи, че не са заплатени. БТК ЕАД обаче не представя доказателства относно уведомяването на жалбоподателя за наличието на негови задължения. Едновременно с посоченото, от извадка към Приложение №1 към Договор за цесия №30837/27.04.2012г. не може да се установи кога са предоставени личните данни на жалбоподателя на „С.Г.Г.” ООД.

С решение от заседание, проведено на 01.10.2014г., с оглед изясняване на факти и обстоятелства по жалбата, Комисията изисква от ответните страни в административното производство допълнителни доказателства по случая.

В отговор, БТК ЕАД депозира становище с вх.№М-261/22.10.2014г., в което заявява, че договорът, сключен с жалбоподателя е предаден на цесионера „С.Г.Г.” ООД, във връзка с договора за цесия. Към становището са приложени заверени копия на Общи условия за взаимоотношенията между „Българска телекомуникационна компания” АД и абонатите и потребителите на електронни съобщителни услуги, действали към 02.01.2007г. и извадка от Приложение №1 към договор за цесия със „С.Г.Г.” ООД.

С писмо изх.№П-5690/09.09.2014г. на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс „С.Г.Г.” ООД е уведомено за образуваното в КЗЛД административно производство по жалбата. Наоснование чл.36 от АПК на администратора на лични данни е указано в срок да предостави писмено становище, договор с БТК ЕАД, доказателства за упълномощаване, договор, сключен между жалбоподателя и БТК ЕАД, доказателства за уведомяването на г-н К.К.М., както и други относими доказателства.

В отговор, „С.Г.Г.” ООД депозира становище с вх.№С-499/17.09.2014г., в което сочи, че по силата на договор за цесия, сключен с БТК ЕАД и съгласно пълномощно от 27.04.2012г., дружеството изкупува и събира просрочени и неизплатени задължения от абонати на БТК ЕАД. Фирмата за събиране на вземания посочва, че встъпва в правото на кредитор с всички произтичащи от това права и задължения, ведно с привилегиите, обезпеченията, другите им принадлежности, включително и с изтеклите лихви, ако им такива. „С.Г.Г.” ООД счита, че в качеството си на администратор на лични данни има правото да обработва лични данни, да оперира с данните на длъжниците по осъществената цесия, в т.ч и с личните данни на К.К.М.

Към становището е приложено пълномощно на юрк. М.Г.

Съгласно разпоредбата на чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Неговата цел съгласно чл.1, ал.2 е да гарантирана неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните. В тази връзка в чл.2, ал.2 от Закона законодателят установява принципите, на които следва да бъде подчинено правомерното обработване на личните данни от администраторите на лични данни, като тези принципи в своята цялост се отнасят към конкретните хипотези, уредени в чл.4, ал.1 от ЗЗЛД, които обуславят допустимостта за обработване на данните.

В качеството си на физическо лице г-н К.К.М. сезира КЗЛД с жалба, насочена срещу незаконосъобразно обработване на личните му данни от страна на БТК ЕАД. Жалбата съдържа твърдения за злоупотреба с личните му данни,изразяваща се в предоставянето има на трети лица без знанието и съгласието му. По смисъла на §1 от ДР на ЗЗЛД ”предоставяне” на лични данни представлява обработване на лични данни.

При проведен телефонен разговор (Протокол от 04.11.2014г.), жалбоподателят е запознат с депозираните от БТК ЕАД доказателства по жалбата и е изискано становището му по тях. К.К.М. оспорва наличието на договорни взаимоотношения с оператора от 2007г. Твърди, че не е ползвал услуги, предоставяни от БТК ЕАД за стационарен, както и за мобилен телефон, поради което не разполага с договор.

За разглеждане на жалбата в открито заседание на КЗЛД, проведено на 05.11.2014г. (Протокол №45), страните са редовно уведомени. Жалбоподателят не се явява и не изпраща процесуален представител. БТК ЕАД се представлява от юрк. Б.И. с пълномощно. За „С.Г.Г.” ООД се явява юрк. М.Г. с пълномощно по преписката.

Юрисконсулт М.Г. предоставя и Комисията приема договор от 02.01.2007г., сключен между жалбоподателя и БТК ЕАД, по който е натрупан неговия дълг. Относно уведомяването на жалбоподателя за дължимите суми, юрк. М.Г. твърди, че „вероятно” е осъществявено чрез уведомление, връчено на длъжника от „Д.С.” ООД.

Юрисконсулт Б.И. посочва, че личните данни на жалбоподателя са предоставени на „С.Г.Г.” ООД през м. юни 2012г. на основание- договор за цесия, сключенс фирмата за събиране на вземания. Счита жалбата за неоснователна, тъй като дружеството, което представлява обработва личните данни на г-н К.К.М. при наличие на съгласие на лицето.

Съгласно разпоредбата на чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на този закон. В чл.1, ал.2 от Закона за защита на личните данни е гарантирана неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Законът за защита на личните данни изисква обработването на лични данни от страна на администратора на лични данни да се осъществява законосъобразно и добросъвестно, при спазване неприкосновеността на личността и личния живот, чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Жалбата съдържа твърдения за злоупотреба с личните даннина г-н К.К.М., изразяваща се в предоставянето им на трети лица без знанието и съгласието му. По смисъла на §1 от ДР на ЗЗЛД ”предоставяне” на лични данни представлява обработване на лични данни.

При преценка относно основателността на жалбата, Комисията за защита на личните данни изследва наличието на неправомерно обработване на личните данни на жалбоподателя от администратор на лични данни.

В чл.4 от ЗЗЛД законодателят е указал основанията за допустимост за обработване на лични данни. Изричното съгласие на физическото лице, за което данните се отнасят, е едно от условията за допустимост за обработване на лични данни, което кореспондира с целта на ЗЗЛД по смисъла на чл.1, ал.2 от Закона. Видно от Договор Заявка форма 1А от 02.01.2007г., подписан от страните по него, между г-н К.К.М. и БТК ЕАД е налице валидно правоотношение. Господин К.К.М. е ползвал услуги, предоставяни от оператора, видно от месечните сметки, детайлизираните справки, както и извлеченията по услуги. Жалбоподателят е предоставил доброволно личните си данни с огледсключения договор, от което следва, че е налице изричното му съгласие по смисъла на чл.4, ал.1, т.2 от Закона за защита на личните данни БТК ЕАД да обработва личните му данни. От събраните към жалбата писмени доказателства е установено, че е налице обработване, по смисъла на §1 от ДР на ЗЗЛД, на свързаните с жалбоподателя лични данни от администратора на лични данни във връзка с договорното взаимоотношение между страните.

За ползвани услуги жалбоподателят има неплатени сметки по фактури №1689091 от 08.12.2007г., №1882344 от 08.01.2008г. и №2064965 от 08.02.2008г. Следователно за БТК ЕАД е налице и друго условие за допустимост за обработване на свързаните с г-н К.К.М. лични данни, съдържащо се в чл.4, ал.1, т.3 от ЗЗЛД, съгласно което обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните е страна.

В т.11.2 от Общите условия на БТК ЕАД за взаимоотношенията с потребителите, приложени към становище с вх.№М-261/22.10.2014г. абонатът декларира съгласие БТК ЕАД да предоставя личните му данни на компетентни държавни органи и институции в предвидените от закона случаи, както и да ги предоставя на трети лица, в това число банки, кредитни бюра и агенции за събиране на вземания. На основание– Договор №30837/27.04.2012г. за прехвърляне на вземания, БТК ЕАД прехвърля на „С.Г.Г.”ООД вземания от свои абонати. Видно от извадка от Приложение №1 към договора за цесия, вземането на БТК ЕАД от К.К.М. е било част от извършената цесия, като за целта са предоставени личните му данни. Съгласно т.5 от договора, за извършената цесия, задължението за уведомяването на длъжници, по смисъла на чл.99, ал.3 от ЗЗД, е за „С.Г.Г.” ООД, за което фирмата за събиране на задължения е изрично упълномощена.

Съгласно чл.20, ал.1 от ЗЗЛД, когато личните данни не са получени от физическото лице, за което те се отнасят, администраторът или негов представител му предоставя данните, които идентифицират администратора или неговия представител; целите на обработването на личните данни; получателите или категориите получатели, на които могат да бъдат разкрити; данните за задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им, както и информация за правото на достъп и правото на коригиране на събраните данни.

В настоящия случай, въпреки указанията, в хода на административното производство пред КЗЛД, „С.Г.Г.” ООД не предоставя доказателства относно уведомяването на К.К.М. за извършената цесия, както и за задължението му към БТК ЕАД.

Администраторът на лични данни „С.Г.Г.” ООД не е изпълнил задължението си по чл.20 от ЗЗДЛ и не предоставя информация на жалбоподателя на какво основание обработва личните му данни, не указва основание за възникване на задължението, същото не е индивидуализирано по размер и срок, както и кредитор, към който е претендирано.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, изискващ наличието на установени действителни факти от значение по случая, Комисията за защита на личните данни приема, че разгледана по същество, жалбата е основателна по отношение на „С.Г.Г.”ООД.

При определяне на размера на наложеното с настоящото решение административно наказание на „С.Г.Г.”ООД, Комисията за защита на личните данни се съобрази с характера и степента на нарушението и обществените отношения, които то засяга. Комисията отчете факта, че нарушението на разпоредбите на ЗЗЛД не е първо за „С.Г.Г.”ООД, факта, че с неправомерното обработване на лични данни са нарушени правата по ЗЗЛД на едно физическо лице, както и обстоятелството, че при констатиране на нарушението не са взети мерки за отстраняването му.

Водима от горното и на основание чл.38, ал.2 във връзка с чл.10, ал.1, т.7 и чл.42, ал.3 от Закона за защита на личните данни, Комисията за защита на личните данни

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни на адрес: гр.София- 1592, бул.“Проф. Цветан Лазаров” №2 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.