Решение по жалба с рег. № ППН-01-282/27.04.2018 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 26.06.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни, респективно чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента), разгледа по същество жалбa №ППН-01-282/27.04.2018г. подадена от Д.Ж.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Д.Ж. сезира Комисията за защита на личните данни с жалба, която има за предмет злоупотреба с личните ѝ данни от страна на телекомуникационен оператор (Т.О.). Г-жа Д.Ж. информира, че на 26.04.2018г. е получила обаждане от телефон **** (според нея от колекторска фирма), при което е уведомена за наличие на задължения към Т.О. Твърди, че никога не е имала взаимоотношения с Т.О. и декларира, че не е давала съгласие личните ѝ данни да бъдат обработвани за каквато и да било цел от двете дружества, както и че не е упълномощавала трето лице да подписва договори от нейно име и за нейна сметка.

В хода на производството жалбоподателката информира, че за случая е подала до органите на МВР сигнал вх. №****, във връзка с който е разпитана от служител на икономическа полиция.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, Т.О. е уведомено за образуваното пред КЗЛД производство, изискани са писмено становище и относими доказателства.

В отговор е депозирано становище за неоснователност на жалбата, с твърдения, че Т.О. обработва личните данни на г-жа Д.Ж. законосъобразно във връзка с договор за предоставяне на мобилни услуги от дата 02.04.2016г., по който жалбоподателката е страна и взети от същата на лизинг апарат Lenovo A6010 Black и таблет Telenor Smart TAB White, получени в магазин на дружеството с адрес *****. Твърдят, че задълженията н г-жа Д.Ж. към Т.О. във връзка с ползваните услуги, лизинговите вноски и неустойката за предсрочно прекратяване на договора, възлизат на 1401,84лв. Информират, че освен декларацията на служителя, че заявителят лично е положил подпис пред него при сключване на договора, към договорите за лизинг, като част от стандартната процедура на дружеството, е приложено фотокопие на гръб на личната карта на г-жа Д.Ж. По отношение на твърденията на жалбоподателката, че от 2014г. притежава карта с друг номер, от дружеството сочат, че дори да е използван неистински документ за съставяне на договорите, това не би могло да влече противоправно поведение на Т.О., доколкото лицата имат задължение да съхраняват документите си за самоличност, а при изгубване или кражба– да декларират това в най-близкото звено на МВР. Намират, че предвид изложените твърдения за извършено документно престъпление жалбата следва да бъде оставена без разглеждане като недопустима, доколкото установяването на това обстоятелство е извън приложното поле на ЗЗЛД и е предмет на евентуален наказателен процес. В допълнение сочат, че г-жа Д.Ж. е била надлежно уведомена за задълженията си към Т.О., за което представя доказателство– покана за доброволно изпълнение. Подчертават, че дружеството не е използвало услуги на колекторска фирма за събиране на конкретното вземане, като данните на г-жа Д.Ж. във връзка със събиране на задължението са обработени от служители на Т.О. с уточнението, че номерът на жалбоподателката е публично достъпен в интернет пространството. Считат, че липсват данни за извършена злоупотреба с личните данни на г-жа Д.Ж. от страна на Т.О. Прилагат относими доказателства.

С оглед изясняване на случая от правна и фактическа страна от СДВР е изискана информация за движението по преписка №****, в отговор на което е посочено, че преписката е препратена по компетентност в 07 РУ-СДВР. След запитване от страна на КЗЛД, от 07 РУ-СДВР информира, че по преписката е назначена и изготвена експертна справка, видно от която подписите и ръкописният текст в графи „за потребителя“, „за абоната“ и „лизингополучател“ в процесните договори не са положени от Д.Ж.

Предвид горното от жалбоподателката е изискана информация уведомявала ли е полицията за изгубване, повреждане и унищожаване на личната ѝ карта, във връзка с което г-жа Д.Ж. потвърждава, че личната ѝ карта е била открадната през 2014г., като прилага удостоверение от МВР– СДВР.

В хода на производството и в изпълнение на постановление на от 16.10.2018г. Софийска районна прокуратура е представено заверено копие на Протокол №*** за извършено графическо изследване на почерк, изготвен от вещо лице Й.А. при група „Експертно-криминалистическа дейност“, със заключение, че жалбоподателката не е положила подписите и не е изписала ръкописния текст в процесните документи.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679.

Жалбата съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от ПДКЗЛДНА – налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по §44, ал.2 от Преходните и заключителни разпоредби на ЗЗЛД от физическо лице с правен интерес срещу надлежна страна– юридическо лице – администратор на лични данни, каквото качеството Т.О. безспорно притежават по отношение на жалбоподателката по смисъла на чл.4, ал.7 от Общия регламент ЕС 2016/679 предвид събраните по преписката доказателства. Сезиран е компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД (отменен) респективно чл.57, §1, буква„е“ от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица свързани с обработване на личните данни, като не е налице изключенията по чл.2, §2, буква„в“ и чл.55, §3 от Регламент (ЕС) 2016/679 предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По изложените съображения и с оглед липсата на предпоставки от категорията на отрицателни по чл.27, ал.2 от АПК, на проведено на 27.02.2019г. заседание на Комисията жалбата е приета за редовна и процесуално допустима и като страни в производството са конституирани: жалбоподател– Д.Ж. и ответна страна– Т.О., в качеството му на администратор на лични данни. Страните са редовно уведомени за насроченото за 17.04.2019г. заседание за разглеждане на жалбата по същество, като им е указано разпределянето на доказателствената тежест в процесаи възможността да представят допълнителни доказателства в подкрепа на твърденията си, както и да искат събирането на други такива, относими към спора. На ответната страна е изпратено заверено копие от приложената по преписката експертиза.

В хода на производството е депозирано искане от страна на Т.О. за конституиране като страна в производството на А.Т., с твърдения, че „договорите предмет на производството пред КЗЛД са сключени в магазин в гр. ***** на този търговски партньор на Т.О.“. Приложени са обяснения от служител на А.Т., който са неотносими към случая, доколкото са дадени от служител на дружеството в друг магазин, различен от магазина в който е посочено, че са сключени процесните договори.

С решение от проведено на 17.04.2019г. заседание на Комисията, като ответна страна в производството е конституирано А.Т., а разглеждането на жалбата по същество е отложено за 12.06.2019г., за което страните са редовно уведомени.

От А.Т. е депозирано становище за неоснователност на жалбата, с приложени към него заверени копия процесните договори, като с оглед съдържанието му от дружеството е изискано да уточни дали процесните договори и записи на заповеди са сключени от А.Т., в качеството му на търговски представител на Т.О. и да информира дали лицето В.В. е служител на А.Т. и предостави заверени копие на трудовия договор сключен с него, както и да посочи дали магазина, в който са сключени договорите, същия с код **** и адрес ****, е част от мрежата на А.Т.

В отговор от дружеството информират, че прицесните договори са сключени „в ПОС **** с адрес на търговския обект ****, който обект от 10.05.2019г. не функционира и не е част от мрежата на А.Т.“. Относно лицето В.В. сочат, че е бивш служител на дружеството и уточняват, че трудовият му договор е прекратен считано от 03.06.2019г. В подкрепа на последното представят заверено копие на трудовия договор и заповед за прекратяването му.

На проведено на 12.06.2019г. заседание на КЗЛД, жалбата е поставена за разглеждане по същество.

Жалбоподателката– редовно уведомена, не се явява, не се представлява.

А.Т.– редовно уведомено, не се представлява.

Т.О.– редовно уведомено, представляват се от юрисконсулт Г., която оспорва жалбата. Представя и Комисията приема, като относима към предмета на спора, разпечатка от имейл кореспонденция от 13.05.2019г. съдържаща искане от страна на А.Т. за терминиране на подкода на обекта в който е сключен процесния договор, като доказателство, че до тази дата същият е част от веригата на А.Т. В допълнение представя и екранна разпечатка от системата на Т.О. от която е видно кой е обекта, в който е сключен договора. Юрисконсулт Г. счита жалбата за неоснователна по отношение на представляваното от нея дружество и моли Комисията да я стави без уважение, като уточнява, че Т.О. е прекратило събирането на вземания от г-жа Д.Ж. след установяване на факта, че същата не е подписвала процесния договор.

В условията на чл.8, ал.8 от Правилника за дейността на Комисия за защита на личните данни и нейната администрация произнасянето по същество на жалбата е отложено и същата е разгледана на заседание на КЗЛД проведено на 26.06.2019г.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледани по същество жалба ППН-01-282/27.04.2018г. е основателна.

При постановяване на решението е отчетена настъпилата, в периода от извършване на твърдяното нарушение, респективно подаване на жалбата в КЗЛД до разглеждането ѝ по същество, промяна в правната рамка в областта на защита на личните данни и факта, че от 25.05.2018г. се прилага Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и обстоятелството, че от 02.03.2019г. е в сила Закон за изменение и допълнение на Закона за защита на личните данни. Отчетен е и факта, че Регламент (ЕС) 2016/679 има пряко действие, аюридически факти и породените от тях последици настъпили преди прилагане на Регламента, следва да се преценяват според материалния закон, който е бил в сила към момента на тяхното възникване. В конкретният случай такива са материалните разпоредби разписани в ЗЗЛД в редакцията преди 02.03.2019г., с оглед обстоятелството, че юридическите факти и правните последици свързани с обработването- събиране на данните и сключване на процесните договори е извършено на 02.04.2016г. Отчетен е и факта, че разпоредбата на чл.4, ал.1 от ЗЗЛД (отменени, но действали към дата на осъществяване на обработването) кореспондира с разпоредбата на чл.6, §1 от Регламента и не ѝ противоречи, като и двете разпоредби вменяват задължение за законосъобразно обработване на личните данни при наличие на условие за допустимост на обработването.

Жалбата има за предмет неправомерно обработване на личните данни на жалбоподателката във връзка със сключени с Т.О. договори.

Между страните не е спорно, а и от събраните по преписката доказателства се установи, че на 02.04.2016г. в магазин находящ се в **** са сключени договор за предоставяне на мобилни услуги със срок на договора– две години, договор за закупени на лизинг апарат Lenovo A6010 Black и договор за закупени на лизинг таблет Telenor Smart TAB Whitе, със страни по договорите Т.О. и Д.Ж.– потребите, съответно лизингополучател. Установи се наличието и на издадени във връзка с договорите за лизинг две записи на заповед от същата дата за суми съответно 266, 57лв. и 91, 77лв. Безспорно се установи, че договорите и заповедите са сключени от служител на А.Т., в офис на дружеството, същото дистрибутор на Т.О. и администратор на лични данни, като в последствие са предадени на Т.О. В процесните документи се съдържат три имена, единен граждански номер, адрес и номер на лична карта на жалбоподателката, информация която безспорно има характера на лични данни на лицето предвид обстоятелството, че чрез нея същото може безспорно да бъде индивидуализирано.

Твърденията на жалбоподателката, че личните ѝ данни са незаконосъобразно обработени за целите на договорите са основателни. Същите се подкрепят от събраните по преписката доказателства, в частност от представен протокол №*** по описа на 07 РУ-СДВР за изготвена експертиза на процесните документи със заключение, че подписите под същите не са положени от Д.Ж.– жалбоподателка в настоящето производство. Последното налага извода, че личните данни на жалбоподателката са обработени от А.Т., в хипотезата на събиране и употреба за сключване на договорите, без знанието и съгласието на жалбоподателката и без наличие на валидни договорни отношения между страните.Обработването не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон, както и за реализиране на законните интереси на администратора, които да са преимуществени пред интересите на физическото лице.В тази връзка се налага извода, че данните са обработени от А.Т.без наличие на условие за допустимост на обработването в нарушение на чл.4, ал.1 от ЗЗЛД (отменен) и са нарушени правата на лицето сезирало КЗЛД.

Безспорно е, че данните на жалбоподателката са обработени и от Т.О. във връзка със събиране на произтичащи от договорите задължения, за целите на което същите са съхранявани от мобилния оператор. Комисията намира, че по отношение на Т.О. жалбата е неоснователна, като счита, че същото е действало добросъвестно, с аргументи, че данните са събрани не от дружеството, а от А.Т. и след установяване на факта, че договорите в които те се съдържат не са подписани от жалбоподателката, Т.О. е преустановил събиране на вземанията породени от тях, прекратил е договорите и няма финансови претенции към жалбоподателката. Несъгласни с последното Мария Матева и Цанко Цолов– членове на Комисията гласуват с особено мнение, като считат, че жалбата е основателна и по отношение на Т.О.

С оглед характера и вида на констатираното нарушение, Комисията намира, че корективните мерки по чл.58, §2, буква„а“, „б“,„в“, „г“, „д“, „е“, „ж“, „з“ и „й“ от Регламента са неприложими и нецелесъобразни в случая, предвид тежестта на нарушението и обстоятелството, че същото е довършено, като от него са произтекли и вреди за жалбоподателкатa. В тази връзка намира за целесъобразно, пропорционално и възпиращо налагането на корективна мярка по чл.58, §2, буква„и“ от Регламента, а именно налагане на имуществена санкция на А.Т. като счита, че същата ще има предупредително действие и ще допринесе за спазване на установения правов ред. Като освен чисто санкционна мярка, реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие. Администраторът е длъжен да познава закона и да спазват неговите изисквания, още повече, че дължат необходимата грижа, предвидена в ЗЗЛД и Регламента и произтичаща от предмета му на дейност, кадровия и икономически ресурс.

Комисията съобразявайки целта на наказанието, естеството и тежестта му, обществените отношения които засяга и категориите лични данни засегнати от него, определя като пропорционална санкция в размер на 23000лв.– размер много под средния минимум предвиден в Регламента за тези нарушения, същия предвиден и в нормата на чл.42, ал.1 от ЗЗЛД (отменен) за нарушение на чл.4, ал.1 от същия закон.

При определяне на размерът на санкцията и в съответствие с условията по чл.83, ал.2 от Регламента, Комисията съобрази, че се касае за нарушение на правата на едно лице, а санкционираното дружество е малко предприятие по смисъла на закона и нарушението е първо за него и същото е съдействало за разкриване на фактите и обстоятелствата в административното производство. Като утежняващи обстоятелства при определяне на размера на санкцията Комисията взе предвид, че нарушението е довършено с акта на своето извършване и е неотстранимо, а същото е станало известно на КЗЛД в следствие сезирането ѝ от потърпевшото лице. Като утежняващо обстоятелство е отчетен и факта, че обработваните лични данни са в голям обем, а именно три имена, адрес, номер на лична карта и единен граждански номер на лицето, и същите са използвани за създаване на финансова и договорна обвързаност на лицето. Обстоятелствата по чл.83, ал.2, буква„б“ и „и“ от Регламента са неотносими доколкото се касае за администратор на лични данни– юридическо лице, които не формират вина, а към момента на извършване на нарушението одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни,

След влизане в сила на решението, сумата по наложените наказания да бъде преведена по банков път:

Банка БНБ– ЦУ, IBAN: BG18BNBG96613000158601, BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София – град.