Решение по жалба с рег. № Ж-886/28.08.2014 г.

Комисията за защита на личните данни в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, в открито заседание, проведено на 17.02.2015г. (Протокол №7), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа жалба с рег.№Ж-886/28.08.2014г. от М.Е.А. срещу „М.” ЕАД и „Ф.П.К.” ООД.

Административното производство пред Комисията за защита на личните данни е образувано на основание чл.38 от Закона за защити на личните данни.

Комисията за защита на личните данни (КЗЛД) е сезирана с жалба, съдържаща твърдения за злоупотреба с лични данни. Жалбоподателката посочва, че на 22.08.2014г. е получила обаждане по телефона от лице, представило се за служител на „Ф.П.К.” ООД, което я е уведомило за задължения по два договора с М., които следва да заплати до 27.08.2014г. Госпожа М.Е.А. заявява, че няма неизплатени задължения към мобилния оператор. Счита, че „М.” ЕАД не е следвало да предоставя личните ѝ данни на трети лица, в т.ч. и на фирмата за събиране на вземания. Посочва, че е търсена по телефон, който е към друг мобилен оператор. М.Е.А. уточнява, че е сключила договори с М. през 2007г. и 2009г., но е подала молба за прекратяването им.

Към жалбата не са приложени доказателства.

Жалбата, подадена от М.Е.А. срещу „М.” ЕАД е съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията за защита на личните данни е сезирана от физическо лице, при наличието на правен интерес, подадена е в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежават „М.” ЕАД и „Ф.П.К.” ООД. Това изискване се явява абсолютна процесуална предпоставка, с оглед на което следва да се прецени допустимостта на жалбата.

При извършена служебна проверка вРегистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, е установено, че „М.” ЕАД и „Ф.П.К.” ООД са изпълнили задълженията си по чл.17 от ЗЗЛД и са вписани в Регистъра на администраторите на лични данни и на водените от тях регистри към КЗЛД съответно с №50151 и №316676.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, КЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание, проведено на 12.11.2014г. (Протокол №47), Комисията обявява жалбата за допустима и я насрочва за разглеждане по същество на 15.01.2015г., за която дата страните са редовно уведомени. Конституира като страни в административното производство М.Е.А. и ответни страни- „М.” ЕАД и „Ф.П.К.” ООД в качеството им на администратори на лични данни.

С оглед изясняване на факти и обстоятелства по случая, с писмо изх.№П-5943/18.09.2014г. и повторно с №П-6114/26.09.2014г. на Председателя на КЗЛД, както и при проведен телефонен разговор (Протокол вх.№ПР-148/17.09.2014г.), от жалбоподателката са изискани копия на договори, сключени с „М.” ЕАД, доказателства за прекратяването им, да предостави информация дали е сезирала и други органи по случая, да посочи точно и конкретно наименование на фирмата за събиране на вземания.

В отговор, с писмо вх.№П-6448/06.10.2014г., г-жа М.Е.А. потвърждава жалбата си. Посочва, че до настоящия момент не е уведомявана писмено от М. за дължими суми, както и от „Ф.П.К.” ООД за предприетите действия спрямо нея. Твърди, че не разполага с договорите.

С писмо вх.№П-8798/04.12.2014г. г-жа М.Е.А. уведомява Комисията, че е заплатила всички дължими сметки към М., но не разполага с доказателства. Посочва, че е прекратила договорните си отношения с „М.” ЕАД през 2010г. и е унищожила всички платенифактури. Заявява, че до настоящия момент не е уведомявана от мобилния оператор за наличието на неизплатени сметки.

В условието на служебното начало, с писмо изх.№П-5942/18.09.2014г. на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс (АПК), „М.” ЕАД е уведомено за образуваното в КЗЛД административно производство по жалбата на г-жа М.Е.А. На основание чл.36 от АПК от администратора на лични данни е изискано писмено становище по жалбата, заверени копия на прекратени и настоящи договори, сключени с жалбоподателката и наличието на неизплатени задължения към тях, доказателства за надлежното ѝ уведомяване, договор с фирма за събиране на вземания, на която е възложено за събиране нейното задължение, както и други относими към случая доказателства.

С писмо вх.№С-542/30.09.2014г. М. депозира становище, в което сочи, че жалбоподателката е страна по два договора– Договор А1008930/29.04.2009г. за два мобилни номера и Договор А1356587/12.06.2009г. за предоставяне на електронни съобщителни услуги. Посочва, че поради неспазване на договорните задължения са възникнали просрочени, ликвидни и изискуеми задължения на жалбоподателката по 5 броя фактури. Поради неплащане, достъпът до мрежата е прекратен и за оператора е възникнало основание за начисляване на неустойки в размер на оставащите месечни абонаментни такси. Във връзка със събиране на просрочените задължения са предприети действия за събиране на вземането чрез дружеството „Ф.П.К.” ООД. М. пояснява, че на правно основание– договор от 30.04.2013г. и анекси към него, на „Ф.П.К.” ООД е възложено да събира от името и за сметка на „М.” ЕАД неизплатени суми от абонати на мобилния оператор. Относно уведомяването за дължими суми, М. посочва, че с оглед договорните си задължения, „Ф.П.К.” ООД е извършил уведомяването на г-жа М.Е.А. за задължения, които следва да бъдат платени. „М.” ЕАД посочва, че с подписването на индивидуалните договори, в т.4.5. жалбоподателката е декларирала съгласието си личните ѝ данни да бъдат предоставяни на трети лица с цел изготвяне на кредитна оценка и/или събиране на вземания, дължими по конкретния договор, поради което счита жалбата за неоснователна.

Към писмото са приложени заверени копия на: пълномощно на Д.Д.; Договор А1008930/29.04.2009г. и Договор А1356587/12.06.2009г.; извадка от системата на М. за наличие на непогасени задължения; Общи условия на М.; Договор от 30.04.2013г. и Анекс от 14.04.2014г. и 30.05.2014г.

С писмо изх.п №П-8069/17.11.2014г. и повторно с писмо изх.№П-83378211.2014г. на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс (АПК),„Ф.П.К.” ООД е уведомено за образуваното в КЗЛД административно производство по жалбата на г-жа М.Е.А. На основание чл.36 от АПК от администратора на лични данни е изискано писмено становище по жалбата, заверено копие на договор с М., доказателства, че вземането на оператора от жалбоподателката е възложено за събиране, доказателства относно уведомяването на г-жа М.Е.А. за наличие на неизплатено задължение, както и други относими към случая доказателства.

В отговор „Ф.П.К.” ООД депозира становище с вх.№С-31/16.01.2015г., в което посочва, че с „М.” ЕАД е сключен договор за събиране на вземания от дата 30.04.2014г., по силата на който вземаните от г-жа М.Е.А. е възложено на дружеството за събиране. За целта М. предоставя списък, съдържащ личните данни на длъжници, в т.ч. и на жалбоподателката. „Ф.П.К.” ООД счита жалбата за неоснователна, тъй като обработва личните данни на М.Е.А. при спазване на разпоредбите на ЗЗЛД. Към становището е приложено заверено копие на Договор от 30.04.2013г.

Жалбата е насочена срещу злоупотреба с личните данни на г-жа М.Е.А., изразяваща се в предоставянето им от „М.” ЕАД на трети лица без нейното знание и съгласие. По смисъла на §1 от ДР на ЗЗЛД, „предоставяне” на лични данни представлява обработване на лични данни.

Законът за защита на личните данни изисква обработването на лични данни от страна на администратора на лични данни да се осъществява законосъобразно и добросъвестно, при спазване неприкосновеността на личността и личния живот, чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните. В тази връзка, в чл.2, ал.2 законодателят установява принципите, на които следва да бъде подчинено правомерното обработване на данните на физическите лица от администратори на лични данни, като тези принципи в своята цялост се отнасят към конкретните хипотези, уредени в чл.4, ал.1 от ЗЗЛД, които обуславят допустимостта на обработване на данните.

При преценка относно основателността на жалбата, КЗЛД изследва наличието на неправомерно обработване на личните данни на жалбоподателката.

За разглеждане на жалбата по същество в откритото заседание на Комисията за защита на личните данни, проведено на 21.01.2015г. (Протокол №3), страните са редовно уведомени. Жалбоподателката, както и ответните страни не се явяват и не изпращат процесуални представители. КЗЛД отлага вземането на решение за пълен състав на Комисията.

При преценка относно основателността на жалбата, Комисията за защита на личните данни изследва наличието на неправомерно обработване на личните данни на жалбоподателката от администратор на лични данни.

В чл.4 от ЗЗЛД законодателят е указал основанията за допустимост за обработване на лични данни. Изричното съгласие на физическото лице, за което данните се отнасят, е едно от условията за допустимост за обработване на лични данни, което кореспондира с целта на ЗЗЛД по смисъла на чл.1, ал.2 от Закона. Видно от Договор №А1008930/29.04.2009г. и №А1356587/12.06.2009г., както и Молба с вх.№33275760/29.04.2009г. за смяна на тарифен план, подписани от страните по него, между М.Е.А. и „М.” ЕАД са налице валидни правоотношения. Госпожа М.Е.А. е ползвала услуги, предоставяни от оператора. Следователно жалбоподателката е предоставила доброволно личните си данни с огледсключените договори, от което следва, че е налице изричното ѝ съгласие по смисъла на чл.4, ал.1, т.2 от Закона за защита на личните данни М. да обработва личните ѝ данни. От събраните към жалбата писмени доказателства е установено, че е налице обработване, по смисъла на §1 от ДР на ЗЗЛД, на свързаните с жалбоподателката лични данни от администратора на лични данни „М.” ЕАД във връзка с договорните взаимоотношения между страните.

Жалбоподателката посочва, че е прекратила договорите си с М. през 2010г. и че е заплатила всички задължения, но не представя доказателства в тази насока. Видно от извлечението от билдинг-системата на мобилния оператор, през периода от 12.06.2009г. до 30.10.2009г. г-жа М.Е.А. е ползвала услугите, предоставяни от оператора и не е заплатила общо 5 бр. фактури. В т.4.5. от индивидуални договори се съдържа текст, съгласно който абонатът декларира съгласието си личните му данни да бъдат предоставяни на трети лица с цел изготвяне на кредитна оценка и/или събиране на вземания, дължими по тези договори и/или приложенията към него.

Нормата на чл.24, ал.1 от ЗЗЛД допуска възможността администраторът на лични данни да обработва данните чрез възлагане на обработващ данните. В конкретния случай „Ф.П.К.” ООД, въпреки самостоятелното си качество администратор на лични данни, по отношение на „М.” ЕАД има качеството обработващ лични данни по смисъла на §1, т.3 от ДР на ЗЗЛД. Този извод произтича от обстоятелството, че дружеството ползва (употребява) личните данни на абонати, имащи качеството длъжник, от името и за сметка на оператора, с цел събиране на просрочени задължения към него.

Съществуването на посочените взаимоотношения водят до задължение на администратора на лични данни, възлагайки обработване на лични данни да докаже, че отношенията му с обработващия лични данни са уредени с нормативен акт, писмен договор или с друг акт на администратора, в който се определя обемът на задълженията, възложени от администратора на лични данни. На основание договор от 30.04.2013г., М. упълномощава фирмата за събиране на вземания да организира с всички законосъобразни средства събирането на вземането си от жалбоподателката. Съгласно т.1.1. от договора, „Ф.П.К.” ООД действа от името и за сметка на „М.” ЕАД, в качеството си на обработващ лични данни.

С цитирания договор не се прехвърлят вземания, а срещу договорено възнаграждение фирмата за събиране на вземания предприема извънсъдебни действия по събирането на задължения. В изпълнение на договорните си задължения, „Ф.П.К.” ООД уведомява г-жа М.Е.А. за наличието на неизплатено нейно задължение към М. В настоящия случай и за „Ф.П.К.” ООД е налице условие за допустимост за обработване на личните данни на жалбоподателката, съдържащо се в разпоредбата на чл.4, ал.1, т.3 от ЗЗЛД, съгласно която обработването е необходимо за изпълнение на задължения по договор, по който физическито лице, за което се отнасят данните, е страна.

Съгласно разпоредбата на чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни. При анализ на събраните в хода на административно производства доказателства не се установява неправомерно обработване на личните данни на М.Е.А. от страна на администратор на лични данни, нито нарушаване на правата ѝ по Закона за защита на личните данни.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, Комисията за защита на личните данни приема, че разгледана по същество жалбата е неоснователна.

Господин Цанко Цолов и господин Цветелин Софрониев– членове на КЗЛД, гласуват с особено мнение, изразявашо се в следното:

Задължение на администратора на лични данни съгласно чл.20, ал.1 от ЗЗЛД е, когато личните данни не са получени от физическото лице, за което те се отнасят, администраторът или негов представител му предоставя данните, които идентифицират администратора или неговия представител; целите на обработването на личните данни; получателите или категориите получатели, на които могат да бъдат разкрити; данните за задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им, както и информация за правото на достъп и правото на коригиране на събраните данни. Законът не прави разлика дали става въпрос за администратор на лични данни или негов представител. И в двата случая задължението за уведомяване на физическото лице по чл.20, ал.1 от ЗЗЛД е вменено на съответния администратор на лични данни. В този смисъл е Решение №15611 от 19.12.2014г. на ВАС, че фирмите, които събират просрочени задължения конкретно към мобилен оператор не са обработващи, а администратори на лични данни.

„Ф.П.К.” ООД независимо дали е администратор на лични данни на самостоятелно основание или е обработващ лични данни, т.е. представител на администратор на лични данни, не е изпълнил задължението си по чл.20, ал.1 от ЗЗЛД и не е предоставил информация на жалбоподателката на какво основание обработва личните ѝ данни; не е указал основание за възникване на задължението и същото не е индивидуализирано по размер и срок.

Поради горното, считат жалбата в частта срещу „Ф.П.К.” ООД за основателна.

Водима от горното и на основание чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, Комисията за защита на личните данни

Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.