Становище на КЗЛД относно уведомлениe по чл. 25, ал. 1, т. 2 от ЗЗЛД
с № П-6148/29.09.2014 г. от еднолично акционерно дружество „БТК” ЕАД

ОТНОСНО:Уведомлениe по чл. 25, ал. 1, т. 2 от Закона за защита на личните данни (ЗЗЛД) с №П-6148/29.09.2014 г. от еднолично акционерно дружество „БТК” ЕАД („БТК” ЕАД), подадено чрез юрисконсулт Б.И.

Комисията за защита на личните данни (КЗЛД), в състав: Председател: Венцислав Караджов, и Членове: Цанко Цолов и Цветелин Софрониев, наредовнозаседание,проведено на 12декември 2014г. (Протокол №56),разгледа получено уведомление по чл. 25, ал. 1, т. 2 от Закона за защита на личните данни(ЗЗЛД), с вх. №П-6150/29.09.2014 г., подадено от името на еднолично акционерно дружество „БТК” ЕАД („БТК” ЕАД), чрез юрисконсулт Б.И., с което последната уведомява Комисията за сключване на договор за цесия между „БТК” ЕАД (цедент) и „С.Г.Г.” ООД (цесионер). Към уведомлението са приложени два броя пълномощни: Пълномощно рег. №13655 от 08.08.2013 г. на М.Г., Нотариус с район на действие Районен съд гр. София, с рег. №622 на Нотариалната камара и Пълномощно рег. №13655 от 08.08.2013 г. на М.Г., Нотариус с район на действие Районен съд гр. София, с рег. №622 на Нотариалната камара, чрез помощник-нотариус Д.Д. и Пълномощно рег. №15485 от 09.09.2013 г. на М.Г., Нотариус с район на действие Районен съд гр. София, с рег. №622 на Нотариалната камара, чрез помощник – нотариус Д.Д., с които се удостоверява представителната власт на лицето подало уведомлението– юрисконсулт Б.И. С писмо на Комисията за защита на личните данни, рег. №П-7577/31.10.2014 г., бе изискано от „БТК” ЕАД да представи цитирания в уведомлението договор за цесия, като заверено копие от същия бе представен от дружеството с придружително писмо, рег. №М-282/07.11.2014 г., в рамките на предоставеният му седем дневен срок.

Посочено е, че личните данни, обект на предоставяне, са получени от администратора на лични данни – „БТК” ЕАД само и единствено по повод сключване на договори за предоставяне на телекомуникационни услуги между „БТК” ЕАД и потребителите, като именно по тези договори са натрупани незаплатените в срок задължения. Уточнено е, че както в договорите, така също и в Общите условия на съответната услуга се съдържа изричен текст, според който: „абонатът се счита за информиран, че част от данните, които предоставя или е предоставил, са лични данни и попадат под специална защита по смисъла на Закона за защита на личните данни (ЗЗЛД). С приемане на тези Общи условия абонатът се счита за информиран, че VIVACOM може да събира и обработва, както и дапредоставя тези лични данни, в съответствие с разпоредбите на действащото законодателство, с оглед на предоставяне на съответната услугата, например за целите на събиране на дължимите от абоната суми към VIVACOM, както и за индивидуалното определяне на кредитния лимит и извършване на кредитна оценка на абоната на VIVACOM, както и за изчисляване броя на абонатите на Услугата. VIVACOM се задължава да обработва, използва и съхранява тези лични данни, гарантирайки тяхната конфиденциалност. Абонатътпредоставя личните си данни доброволно и дава съгласие, за да бъдат реализирани правата и задълженията му по договора, VIVACOM да ги предоставя на компетентни държавни органи и институции в предвидените от закона случаи, както и да ги предоставя на трети лица, в това число банки, кредитни бюра и агенции за събиране на вземания, дистрибуторите на услуги на VIVACOM, включително партньорските дистрибуторски мрежи, както и на доставчиците на телевизионните и радио-програми, когато това е необходимо за осигуряване на обслужването и реализиране на правата и интересите на абоната, както и когато това е необходимо за реализиране правата и интересите на VIVACOM, включително с цел събиране на неизплатени задължения по договора."

Уточнено е, че уведомленията до длъжниците, предвидени в чл. 99, ал. 3 от Закона за задълженията и договорите (ЗЗД), ще бъдат изпращани от „С.Г.Г.” ООД, за което действие „БТК” ЕАД възнамерява да издаде на „С.Г.Г.” ООД изрично пълномощно с нотариална заверка на подписа. Посочено е, че според предвиденото в раздел „Метод на събиране на цедираните вземания. Възнаграждение" плащането на задълженията, които „С.Г.Г.” ООД ще събира от свое име и за своя сметка, ще се осъществява в магазините на „БТК” ЕАД (на каса), като поради тази причина унищожаване на лични данни по смисъла на чл. 25, алинея 1, точка 2 от ЗЗЛД няма да има, като данните на длъжниците няма да бъдат заличени от системите на „БТК” ЕАД, именно с цел коректно отнасяне на платените суми по „акаунт" на конкретния длъжник.

В уведомлението е посочено, че в т. 12 на раздел „Конфиденциалност и опазване на лични данни” от Договора за прехвърляне на вземания /цесия/ №35911/01.09.2014 г. се съдържат следните задължения:

„12. Освен в случаите, предвидени в закона, информация, касаеща дейността на всяка една от страните, може да бъде предоставена на трети лица само с изрично писмено съгласие на тази страна, като се предприемат необходимите мерки за осигуряване конфиденциалност за предоставената информация. Това задължение не се отнася за разкриване информация на компетентните регулаторни органи (вкл. Комисия за защита на личните данни, Комисия за регулиране на съобщенията и др.) или на консултанти на страните.

12.1.4.ЦЕСИОНЕРЪТ се задължава да създаде и поддържа такава правна и фактическа организация, която да гарантира прилагането на ЗЗЛД по отношение на личните данни, предоставени от страна на ЦЕДЕНТА.”

Прехвърлянето на вземане или цесия е договор, с който кредиторът на едно вземане го прехвърля на трето лице. Договорът за прехвърляне на вземания (цесия) е нормативно регламентиран в раздел ІV „Прехвърляне на вземания и задължения” на Закона за задълженията и договорите (ЗЗД). Договорът за цесия е каузален договор. Каузата представлява типична и непосредствена цел на договора. С оглед изложеното в уведомлението и в последствие представеният договор, може да се направи обосновано заключение, че в конкретният казус цесията е възмездна и основанието може да бъде или acquirendi causa – целта е да се придобие едно право в замяна на поемане на задължение за имуществена престация (продажба), или credendi causa – да се придобие едно вземане. Каузалността е императивен принцип при договорите, като липсата или недействителността на основанието води до нищожност договора– чл. 26 ал. 1, изречение второ от ЗЗД. Кредиторът може да прехвърли своето вземане, освен ако законът, договорът или естеството на вземането не допускат това. По принцип липсва изискване за форма за действителност на цесията, но в настоящият казус е спазена писмената форма на договор. Предмет на цесията могат да бъдат вземания и други права, които имат имуществен характер. Цесията прехвърля вземането от стария към новия кредитор, като цесионерът придобива вземането в състоянието, в което то се е намирало в момента на сключване на договора. Прехвърленото вземане преминава върху новия кредитор с привилегиите, обезпеченията и другите му принадлежности, включително с изтеклите лихви, ако не е уговорено противното. Предишният кредитор, в конкретният казус– „БТК” ЕАД, е длъжен да съобщи на длъжника прехвърлянето и да предаде на новия кредитор намиращите се у него документи, които установяват вземането, както и да му потвърди писмено станалото прехвърляне. В настоящият казус, съгласно договореното между страните по представеният договор за цесия, задължението за уведомяване на длъжниците е поето от цесионера – „С.Г.Г.” ООД. Прехвърлянето има действие спрямо третите лица и спрямо длъжника от деня, когато то бъде съобщено на последния.

Съгласно чл. 100, ал. 1 от ЗЗД цедентът отговаря за съществуването на вземането (когато цесията е възмездна, както е и в настоящият казус) по време на прехвърлянето, но не и за платежоспособността на длъжника. В тази връзка следва да се посочи, че цедентът отговаря, както за съществуване на вземането, така също и в случай, че то е нищожно, унищожаемо, непрехвърлимо, прекратено, погасено по давност или принадлежи на трето лице.

Основните задължения на цедента по договора за цесия са да прехвърли вземането на цесионера, като обикновено това става със сключване на договора, но може да се уговори и друг момент, например след плащане на цената, ако вземането се продава, както и да предаде на цесионера документите, които установяват вземането и да му потвърди писмено станалата цесия (чл. 99, ал. 3 ЗЗД). Задължението на цесионера е да заплати дължимата от него цена в размер и при условията на сключения договор за цесия. В тази връзка е и чл. 5 от представения Договор за прехвърляне на вземания /35911/01.09.2014г./ (Договора), съгласно който от датата на подписване на Договора, цесионерътще се смята задължен и изрично упълномощен за уведомяване на длъжниците, чиито вземания се прехвърлят, за факта на цесията, като ще им изпраща Уведомление по смисъла на чл. 99, ал. 3 от ЗЗД, на адресната им регистрация по местоживеене или друг адрес, посочен за връзка в Приложение №1 към Договора, което съдържа информация за вземанията, съответно за всеки един от длъжниците по тях, както следва: име/фирма, ЕГН или ЕИК/БУЛСТАТ, адрес на длъжника, с които разполага цедента, видът на продуктите,фактурирани вземания на цедента и дължима сума, представляващо неразделна част от Договора, като за бъдещите периодични прехвърляния, към информацията по Приложение №1 цедентътще добавя и разбивка на всяко вземане по съставните му компоненти, при условия, че в срока на Договора неговите информационни системи бъдатнадградени с подобна функционалност. Цесионерът – „С.Г.Г.” ООДсе задължава сам да извърши уведомяването от името на цедента,но за своя сметка, като за целта цедентътще издаде изрично пълномощно (Приложение №2 към Договора) на цесионерада подписва съответните уведомления до длъжниците по вземанията. Съгласно чл. 6 от Договора вземанията, предмет на Договора, ведно с привилегиите и обезпеченията и другите принадлежности, ако има такива, преминават в патримониума на цесионеракъм датата на предоставяне на упоменатото по-горе Приложение №1.

Видно от гореизложеното и съобразно естеството на договора за продажба на вземания (цесия), регламентиран нормативно в Закона за задълженията и договорите (чл. 99– чл. 102 от ЗЗД), страните по него – цедент – „БТК” ЕАД и цесионер – „С.Г.Г.” ООД, са поели своите насрещни задължения, които следва да изпълнят, тъй като, съгласно чл. 20а от ЗЗД договорът има силата на закон за страните, които са го сключили. С оглед обстоятелството, че предмет на договора са прехвърлими права, а именно правото на парично вземане (вземане с имуществен характер), което право произтича от вече съществуващи облигационни отношения между кредитора – „БТК” ЕАД и съответните физически лица– длъжници по сключени договори за предоставяне на телекомуникационни услуги, с предаването на съответните документи установяващи вземането, съгласно поетите задължения в чл. 2 от Договора, както и съобразно чл. 99, ал. 3 от ЗЗД, неминуемо ще бъдат обработени, по смисъла на параграф 1, т. 1 от Допълнителните разпоредби на ЗЗЛД, и лични данни на длъжниците чрез тяхното предоставяне. Важно в конкретният казус е да се вземе под внимание, че е налице едно облигационно право, като под облигационно право или право на вземане следва да се разбира онова имуществено субективно право по силата, на което едно лице наречено кредитор може да иска от определено друго лице длъжник една престация, т.е. осъществяването на един резултат, чрез който се задоволява признат негов законен интерес.

Относно наличието на условие за допустимост на обработването, следва да се вземе предвид и чл. 11.3 от Общите условия за уреждане на взаимоотношенията между “БТК” AД и Абонатите и Потребителите на електронни съобщителни услуги, предоставяни чрез обществената електронна съобщителна подвижна клетъчна мрежа по стандарт GSM и по стандарт UMTS (Общите условия), съгласно който с тяхното приемане Абонатът/Потребителят се съгласява БТК да предоставя лични данни, в съответствие с разпоредбите на действащото законодателство, на компетентни държавни органи и институции, в предвидените от закона случаи, както и да ги предоставя на трети лица, в това число банки, кредитни бюра и агенции за събиране на вземания, дистрибуторите на услуги на „БТК” ЕАД, включително партньорските дистрибуторски мрежи, когато това е необходимо за осигуряване на обслужването и реализиране на правата и интересите на Абоната, както и когато това е необходимо за реализиране правата и интересите на „БТК” ЕАД, включително с цел събиране на неизплатени задължения от Абоната. Абонатите удостоверяват съгласието си с Общите условия с подписването на индивидуален договор, а Потребителите с подписването на регистрационна форма за ползването на предплатени услуги, предоставяни чрез Мрежата. Със сключването на договора, съответно с подписване на регистрационната форма Абонатите и Потребителите приемат съдържанието на Общите условия, доколкото друго не е уговорено между страните и доколкото това не противоречи на ЗЕС (чл. 7 от Общите условия).

С оглед обстоятелството, че съгласно изложеното, и в уведомлението, и в представеният Договор за прехвърляне на вземания, личните данни, които ще бъдат предоставяни от цедента- „БТК” ЕАД към цесионера – „С.Г.Г.” ООД, съответно за всеки един от длъжниците (главни длъжници, техните правоприемници и/или поръчители, ако има такива) по тях, както следва: име/фирма, ЕГН или ЕИК/БУЛСТАТ, адрес на длъжника, с които разполага цедента,фактурирани вземания на цедентаи дължима сума, съгласно Приложение №1, което, съгласно чл. 1.6 от Договора е неразделна част от същия, може да се приеме, че данните са съотносими по вид и обем съобразно целите, за които ще бъдат обработени, чрез тяхното предоставяне от цедента на цесионера, в изпълнение на поетите задължения по сключеният възмезден договор за продажба на вземания (цесия).

Именно по силата на сключеният възмезден договор за продажба на вземания (цесия), в изпълнение на поетите задължения по него, както и във връзка с чл. 99, ал. 3 от ЗЗД за цедента– „БТК” ЕАД възниква задължението да предаде на цесионера – „С.Г.Г.” ООД съответните документи удостоверяващи всяко конкретно вземане, предмет на договора, като с оглед обстоятелството, че в тях се съдържат и лични данни идентифициращи длъжниците по тях, за администраторът на лични данни – „БТК” ЕАД възниква визираното в чл. 25, ал. 1, т. 2 от ЗЗЛД задължение, а именно, че след постигане целта на обработване на личните данни или преди преустановяване на обработването на личните данни администраторът е длъжен да ги прехвърли на друг администратор, като предварително уведоми за това КЗЛД, ако прехвърлянето е предвидено в закон и е налице идентичност на целите на обработването. С оглед естеството и спецификата на конкретният казус, както и обстоятелството, че се влиза в хипотезата на чл. 25, ал. 1, т. 2 от ЗЗЛД, следва, освен прехвърлянето да е предвидено в закон, също така да е налице и идентичност на целите на обработването. За да влезнем в хипотезата на чл. чл. 25, ал. 1, т. 2 от ЗЗЛД следва да са налице кумулативно свързани три основни момента, а именно: прехвърлянето да е предвидено в закон, да е налице идентичност на целите на обработване на личните данни и същото следва да се извърши след постигане целта на обработване на личните данни или преди преустановяване на обработването. От предоставената от „БТК“ ЕАД информация става видно, че дружеството не е постигнало целта на обработване на личните данни по сключените договори за предоставяне на телекомуникационни услуги, както и че няма да преустанови обработването им след тяхното прехвърляне на друг администратор – „С.Г.Г.” ООД. Във връзка с горното трябва да се вземе под внимание и, че „БТК“ ЕАД обработва личните данни, по отношение на съответните физически лица, на база сключени с тях индивидуални договори за предоставяне на телекомуникационни услуги, като личните данни, които се предоставят от тях са именно във връзка и за целите на конкретно сключените договори. Исканото прехвърляне към друг администратор, в случая – „С.Г.Г.” ООД е за цели различни от тези, за които данните са били първоначално обработвани, т.е. не е налице идентичност на целите на обработване на личните данни.

За да е налице законосъобразно обработване на лични данни същото следва да бъде извършено при наличие на поне едно от дадените алтернативно в чл. 4, ал. 1 от ЗЗЛД условия за допустимост на обработването, при стриктно спазване на принципите заложени в чл. 2, ал. 2 от ЗЗЛД, както и при предприемане на необходимите технически и организационни мерки за защита на данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.

От представената информация липсват неоспорими доказателства, че потребителите на телефонните услуги на „БТК“ ЕАД са дали своето изрично съгласие по смисъла на параграф1, т. 13 от Допълнителните разпоредби на ЗЗЛД, документи, съдържащи техни лични данни, да бъдат прехвърлени на трети лица. Текстът заложен в Общите условия може да се тълкува, като информиране на лицата, ползватели на услугите на „БТК“ ЕАД, че от „БТК“ ЕАД могат да предоставят данните им на трети лица за събиране на дължими суми, като същото не притежава в себе си всички изискуеми реквизити на информираното съгласие по смисъла на параграф1, т. 13 от Допълнителните разпоредби на ЗЗЛД.Съгласие на физическото лице,по смисъла на цитираният по-горе параграф,е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани, т.е. за да може да се приеме, че е на лице изрично съгласие за предоставяне на данните, същото следва да бъде предоставено или като изричен текст в индивидуалните договори за ползване на съответната услуга, или оформено в отделен документ в писмен вид, неразделна част от съответните индивидуални договори.

Основополагащо в конкретният казус е това, че данните които се обработват се предоставят по силата на договор за цесия. За администратора, на който се предоставят данните – „С.Г.Г.” ООД, също следва да е налице поне едно от посочените условия за допустимост на обработването, визирани в чл. 4, ал. 1 от ЗЗЛД.

В конкретната хипотеза, по отношение на договора за цесия, не е на лице условието за допустимост, посочено в чл. 4, ал. 1, т. 1 от ЗЗЛД, тъй като същото не е в изпълнение на нормативно установено задължение на администратора, защото неговите права произтичат по силата на договор, а не на нормативен акт.

Във връзка с гореизложеното не може да се приеме, че физическите лица са предоставили своето изрично съгласие по смисъла на параграф 1, т. 13 от Допълнителните разпоредби на ЗЗЛД за предоставяне на техни лични данни на трето лице, т.е. не е налице и хипотезата на чл. 4, ал. 1, т. 2 от ЗЗЛД.

Обработването на лични данни, в конкретната хипотеза, не е необходимо за изпълнение на задължение по договор, по който лицето е страна, или във връзка с действия предхождащи сключването на договор и предприети по негово искане, защото договорът за цесия е договор между две търговски дружества, по който съответният длъжник не е страна, а такова е изискването на ЗЗЛД.

Естеството на конкретният казус абсолютно изключва възможността да се приложат разпоредбите на чл. 4, ал. 1, т. 4 и т. 5 от ЗЗЛД, т.е. в никакъв случай не би могло да се приеме, че обработването на данни в случая е с цел да се защитят животът и здравето на потребителите или, че обработването на данните е необходимо за изпълнение на задача, която се осъществява в обществен интерес.

Не може да се приеме, че обработването на лични данни в настоящият случай е необходимо за упражняване на правомощия, предоставени със закон на администратора или на третото лице, на което се разкриват данните, т.е. не е налице и хипотезата на чл. 4, ал. 1, т. 6 от ЗЗЛД.

В конкретният казус не може да се приеме, че е налице и хипотезата на чл. 4,ал. 1, т. 7 от ЗЗЛД, тъй като обработването на данните, не е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, защото интересът на търговските дружества не произтича от закона, а от търговски взаимоотношения между тях, и в този случай не може интересът на физическото лице да бъде поставен на втори план, а да се предоставя преимущество на интересите на търговските дружества.

С оглед на гореизложеното и на основание чл. 10, ал.1, т 4 от ЗЗЛД Комисията за защита на личните данни изрази следното

За да е налице хипотезата на чл. 25, ал. 1, т. 2 от ЗЗЛД следва да са налице кумулативно свързани три основни момента, а именно: прехвърлянето да е предвидено в закон, да е налице идентичност на целите на обработване на личните данни, както и същото да се извърши след постигане целта на обработване на личните данни или преди преустановяване на тяхното обработване. В конкретният казус, с оглед представените доказателства и информация, може да се изведе извода, че не е постигната целта на обработване на личните данни по сключените договори за предоставяне на телекомуникационни услуги, както и че администраторът предоставящ данните – „БТК“ ЕАД няма да преустанови тяхното обработване след прехвърлянето им на друг администратор – „С.Г.Г.” ООД.

Исканото прехвърляне към друг администратор, в случая – „С.Г.Г.” ООД е за цели различни от тези, за които данните са били първоначално обработвани, т.е. не е налице идентичност на целите на обработване на личните данни.

За да е налице законосъобразно обработване на лични данни за цели различни от тези, за които данните са били първоначално предоставени, следва да е налице самостоятелно условие за допустимост на обработването. В конкретният казус приложение може да намери визираното в чл. 4, ал. 1, т. 2 от ЗЗЛД условие за допустимост на обработването на лични данни.

За да може да се приеме, че е на лице изрично съгласие за предоставяне на данните, по смисъла на чл. 4, ал. 1, т. 2 от ЗЗЛД, във връзка с параграф 1, т. 13 от Допълнителните разпоредби на ЗЗЛД, същото следва да бъде предоставено или като изричен текст в индивидуалните договори за ползване на съответната услуга, или оформено в отделен документ, в писмен вид, неразделна част от съответните индивидуални договори.