Становище на КЗЛД по въпроси, свързани с предоставяне на лични данни на длъжници (актуални телефони и адреси за кореспонденция)

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и Членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целковна заседание, проведено на 17.07.2013год., разгледа преписка с №П-4503/03.07.2013год.от А.К. в качеството на пълномощник на „Е.М.” ООД, гр.София

В искането си до Комисията за защита на личните данни (КЗЛД), пълномощникът на „Е.М.” ООД, гр.София отбелязва, че дружеството е с основен предмет на дейност извършване на консултантски услуги в областта на финансите, управление на вземания, включително и чрез изкупуване на вземания, услуги по събиране на вземания, както и други дейности, незабранени от закона.

Посочва се, че във връзка със сключени с клиенти на дружеството Договори за предоставяне на услуги по събиране на вземания, „Е.М.” ООД, в качеството на Изпълнител, поема договорно задължение към Възложителите да извършва извънсъдебни действия по събиране на валидни и изискуеми вземания на Възложителите към трети лица– техни длъжници. Извършваните извънсъдебни действия по събиране на вземания включват осъществяване на контакти с физически лица-длъжници на Възложителите чрез следните дейности:

– Преговори по телефона относно изплащането на дълга;

– Изпращане на писмени покани за издължаване;

– Изпращане на покана за издължаване или информация за поет ангажимент за плащане чрез кратко текстово съобщение (SMS);

– Провеждане на лични срещи с длъжниците.

Във връзка с изпълнение на договорните задължения на „Е.М.” ООД по Договорите за предоставяне на услуги по събиране на вземания, Възложителите по съответните договори (в качеството на администратори на лични данни) предоставят лични данни на длъжници, чиито задължения са възложени за събиране на „Е.М.” ООД в обем, необходим за осъществяване на поръчката.

В конкретния случай „Е.М.” ООД действа в качеството на „Обработващ лични данни“ от името на администраторите на лични данни (отделните Възложители), като в съответствие с чл.24, ал.4 от ЗЗЛД отношенията между администраторите и „Е.М.” ООД, като обработващ личните данни, се уреждат с писмен договор за предоставяне на услуги по събиране на вземания. В съответните договори се определя обема на задълженията, възложени от администратора на обработващия данните.

„Е.М.” ООД, в качеството на обработващ личните данни, както и всички лица, действащи под ръководството на дружеството и които имат достъп до предоставените лични данни, ги обработват само по указание на администратора на лични данни (в конкретния случай отделните Възложители).

В искането до КЗЛД се посочва, че обработването на лични данни на длъжниците се извършва по повод дължими суми по сключени индивидуални договори с Възложителите и във връзка с това обработването на личните данни от „Е.М.” ООД, като дружество, осъществяващо дейност по събиране на вземания, е в съответствие с чл.2 от ЗЗЛД и не надхвърля целите, заложени в индивидуалните договори, както и в сключените с Възложителите Договори за предоставяне на услуги по събиране на вземания.

Пълномощникът на „Е.М.” ООД също отбелязва, че при обработването на личните данни в посочените хипотези се спазват и изискванията на чл.4, ал.1 от ЗЗЛД, където са посочени алтернативни предпоставки за законосъобразно обработване на личните данни, в това число в случаите на допустимост на обработка на личните данни от друго лице, различно от администратора на лични данни, а именно: разпоредбите на чл.4, ал.1, т.2 и т.3 от ЗЗЛД.

При обработването на предоставени от Възложителите-клиенти на „Е.М.” ООД лични данни за техни длъжници се осъществява контакт със същите (с писмена кореспонденция или проведен телефонен разговор). В някои случаи длъжниците доброволно предоставят на „Е.М.” ООД допълнителни данни за контакт с тях, в това число телефонни номера за връзка, актуални адреси за кореспонденция. Тези данни се предоставят за обработване доброволно от длъжниците във връзка със задълженията, по които физическите лица, за които се отнасят данните, са страна и чието събиране се възлага на „Е.М.” ООД.

В искането е уточнено, че „Е.М.” ООД е регистрирано като администратор на лични данни в КЗЛД, за което има издадено Удостоверение №0017856.

Във връзка с изложеното, пълномощникът на „Е.М.” ООД се обръща се към Комисията за становище, касаещо следния въпрос:

Допустимо ли е, предвид изискванията на чл.2, ал.2 от ЗЗЛД, доброволно предоставените лични данни от длъжници на Възложителите-клиенти на „Е.М.” ООД (актуални телефони и адреси за кореспонденция), станали известни на „Е.М.” ООД при обработване на случаите, възложени на дружеството въз основа и съгласно сключените Договори за предоставяне на услуги по събиране на вземания, да бъдат предоставени на съответния Възложител-клиент на дружеството.

Правен анализ:

Законът за защита на личните данни (ЗЗЛД) допуска обработването на лични данни да се извършва освен от самия администратор на лични данни, също и от друго лице, на което е възложено да обработва данни от името администратора. Съгласно чл.24, ал.4 от ЗЗЛД възлагането задължително следва да се извърши в писмен вид. Практиката показва, че най-често отношенията между администратора и обработващия се уреждат с писмени договори, в които се определя конкретният обем на задълженията, възложени от администратора на обработващия данните.

В изложения казус „Е.М.” ООД действа именно в качеството на обработващ данни от името на Възложителите-клиенти на дружеството на основание сключените Договори за предоставяне на услуги по събиране на вземания. Както е посочено, в договорите между „Е.М.” ООД (действащ в качеството на обработващ) и неговите клиенти (администратори на лични данни) е конкретизиран обемът от задължения във връзка с обработването на предоставените лични данни. Обработващият лични данни „Е.М.” ООД може да ги обработва само в съответствие с изричните указания на администратора (чл.24, ал.6 от ЗЗЛД), т.е. единствено и само за целите на договора за предоставяне на услуги по събиране на вземания и в обем, необходим за качествено изпълнение на поетите договорни ангажименти. От съществено значение е и обстоятелството за допустимост на обработването в съответствие с алтернативните предпоставки, посочени в чл.4, ал.1 от ЗЗЛД и по-конкретно наличие на предварително знание и писмено съгласие на длъжниците-физически лица (чл.4, ал.1, т.2 от ЗЗЛД) данните им да бъдат предоставени на трети лица (в случая „Е.М.” ООД) за определена цел– събиране на вземания по ликвидни и изискуеми договорни задължения.

Тук е важно да се отбележи, че за изразяване на становище по поставения въпрос, следва да се имат предвид клаузите на конкретните договори за предоставяне на услуги по събиране на вземания. С оглед на обстоятелството,че в съответствие с чл.2, ал.2, т.4 от ЗЗЛД администраторите са длъжни да поддържат обработваните данни в точно и актуално състояние, е допустимо в договорите между „Е.М.” ООД и Възложителите-клиенти на дружеството да бъде предвидено задължение на обработващия, за целите на изпълнение на договора, да извършва и действия по актуализация на обработваните лични данни. Разбира се, действията по актуализация следва да се извършват в съответствие с принципите, заложени в чл.2 от ЗЗЛД и по-конкретно да бъдат съотносими, свързани и ненадхвърлящи целите, за които се обработват. Това означава, че актуализацията следва да обхваща минимален обем данни относно длъжниците, достатъчен за осъществяване на контакт с тях, а именно: актуални телефони и адрес за кореспонденция. В този случай актуализираните лични данни, обработвани от „Е.М.” ООД, могат да бъдат предоставяни на Възложителите-клиенти на дружеството в съответствие с принципите на чл.2, ал.2 от ЗЗЛД.

Друга възможна хипотеза, това е вариантът, при който в договорите между „Е.М.” ООД и Възложителите-клиенти на дружеството не е предвидено задължение за актуализация на обработваните лични данни. В тези случаи, въпреки обстоятелството, че данните са предоставени доброволно от длъжниците-физически лица, ще бъде налице допълнително обработване от страна на „Е.М.” ООД под формата на събиране на лични данни. По принцип законът допуска допълнително обработване на данните, но само с оглед събирането им за конкретни, точно определени и законни цели (чл.2, ал.2, т.2 от ЗЗЛД). В конкретния казус допълнителното събиране на данни от страна на „Е.М.” ООД ще се извършва с цел точно и качествено изпълнение на поети ангажименти за събиране на вземания по ликвидни и изискуеми договорни задължения. В този случай „Е.М.” ООД се явява администратор на лични данни на собствено основание с произтичащите от това законови задължения. Единствената правна възможност да бъдат предоставени допълнително събраните данни (актуални телефони и адреси за кореспонденция) от длъжниците-физически лица на Възложителите-клиенти на дружеството е наличие на информираното съгласие за това на отделните физически лица, съгласно алтернативната норма за допустимост на обработването, предвидена в чл.4, ал.1, т.2 от ЗЗЛД. Едновременно с това следва да се имат предвид и принципите за обработване на личните данни и по-конкретно събраните данни да бъдат пропорционални на целите, за които се обработват. Това означава, че е недопустимо например да се обработват данни за роднини или съседи на длъжниците-физически лица.

С оглед на гореизложеното и на основание чл.10, ал.1, т 4 от ЗЗЛД Комисията за защита на лични данни изразява следното

„Е.М.” ООД, в качеството на обработващ, може да предоставя на клиенти на дружеството, в качеството на администратори, лични данни на длъжници-физически лица (актуални телефони и адреси за кореспонденция) само в случай, че в Договорите за предоставяне на услуги по събиране на вземания бъде предвидено задължение на обработващия, за целите на изпълнение на договора, да извършва и действия по актуализация на обработваните лични данни. Това ще се извършва с оглед задължението на администраторите на лични данни, клиенти на „Е.М.” ООД, съгласно чл.2, ал.2, т.4 от ЗЗЛД, да поддържат обработваните данни в точно и актуално състояние.

В случай, че в Договорите за предоставяне на услуги по събиране на вземания не е вменено задължение за обработващия да актуализира данните, то той може да предоставя допълнително събраните лични данни само след получаване на изричното информирано и писмено съгласие на физическите лица, за които данните се отнасят. В този случай „Е.М.” ООД се явява администратор на лични данни на собствено основание с произтичащите от това задължения за законосъобразно, пропорционално на целите, добросъвестно и точно обработване на личните данни.