Решение жалба рег. № Ж-1061/03.12.2014 г.

Комисията за защита на личните данни (КЗЛД) в състав Председател: Венцислав Караджов и членове: Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 29.07.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-1061/03.12.2014г., подадена от М.А.Ш. срещу „К.Е.“ ЕООД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от М.А.Ш., в която са изложени твърдения за неправомерно обработване на личните й данни от „К.Е.“ ЕООД.

Жалбоподателката информира, че „преди около две седмици“ получила обаждане по телефон от лице представящо се за служител на „К.Е.“ ЕООД, което я информирало, че има задължения към дружеството които следва да заплати.

Жалбоподателката е категорична, че няма договорни отношение с „К.Е.“ ЕООД, никога не е била техен клиент и няма задължения към дружеството. Твърди, че личните й данни се обработват от дружеството без нейно знание и съгласие и моли Комисията да извърши проверка по случая.

Към жалбата не са приложени доказателства.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „К.Е.“ ЕООД е изискано писмено становище и представяне на относими доказателства.

В отговор от дружеството изразяват становище по жалбата и молят Комисията да я остави без уважение, като неоснователна. Твърдят, че жалбоподателката има непогасени задължения към „Р.Д.“ ЕООД в размер на 263, 81 лв. (сто шейсет и пет лева и пет стотинки), във връзка с направени от нея онлайн поръчки на 12.08.2008г. и 04.12.2008г. и получени от г-жа М.А.Ш. CD „Магията на класиката“ и книги „Да се справим с високото кръвно налягане“ и „Домашен наръчник за спешни случаи“. Твърдят, че жалбоподателката не е погасила задължението си към „Р.Д.“ ЕООД и допълват, че въз основа на договор сключен на 27.12.2011г. между „К.Е.“ ЕООД и „Р.Д.“ ЕООД вземането на дружеството към жалбоподателката е цедирано на „К.Е.“ ЕООД и на последното са предоставени лични данни на жалбоподателката, в качеството й на длъжник на „Р.Д.“ ЕООД.

От „К.Е.“ ЕООД твърдят, че нямат информация за мобилен номер на жалбоподателката. Твърдят, че не са осъществявани контакти по телефон с г-жа М.А.Ш. във връзка с цедираното вземане. Допълват, че във връзка със задължението на жалбоподателката са изпращани само и единствено писма на предоставен от нея адрес за кореспонденция.

От дружеството твърдят, че и към момента на депозиране на писменото становище жалбоподателката не е платила задължението си.

Към становището са приложени описаните в него доказателства.

С оглед изясняване на случая от правна и фактическа страна и съобразно изложените от „К.Е.“ ЕООД твърдения от „Р.Д.“ ЕООД е изискано писмено становище и относими по случая доказателства, но такива не са ангажирани.

От направена служебна справка в Търговския регистър се установи, че „Р.Д.“ ЕООД е обявено в ликвидация и към 04.05.2015г. е със статус „заличен търговец“.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег.№Ж-1061/03.12.2014г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация. Налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена е в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Жалбата има за предмет обработване на личните данни на жалбоподателката от страна на „К.Е.“ ЕООД за целите на събиране на задължение на жалбоподателката към дружеството. С нея е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. Видно от събраните доказателства личните данни на жалбоподателката са обработени от „Р.Д.“ ЕООД чрез действия по предоставянето им на „К.Е.“ ЕООД. Данните са обработени в хипотезата на съхранение и употреба и от „К.Е.“ ЕООД за целите на събиране на задължение на г-жа М.А.Ш. към „Р.Д.“ ЕООД, същото цедирано на „К.Е.“ ЕООД. Дружествата са обработили личните данни на жалбоподателката в качеството си на администратори на лични данни.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че „К.Е.“ ЕООД е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД, подало е заявление за регистрация и е регистрирано като администратор на лични данни с идент. №291678.

На проведено 13.05.2015г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в производството са конституирани: жалбоподател– М.А.Ш. и ответна страна– „К.Б.“ ЕООД, в качеството му на администратор на лични данни.

С оглед изясняване на случая от правна и фактическа страна от „К.Е.“ ЕООД са изискани допълнителни доказателства, а именно доказателства за договорните отношения между жалбоподателката и „Р.Д.“ ЕООД и произтичащите от тях задължения на г-жа М.А.Ш., а също и доказателства, че сочените в становището стоки са получени от жалбоподателката. Изискани са и доказателства за осъществяваната с жалбоподателката кореспонденция (изпращани до жалбоподателката писма, записи на телефонни разговори и др.) за изпълнение от страна на „К.Е.“ ЕООД на задължението му по чл.20, ал.1 от Закона за защита на личните данни във връзка с цедираното от „Р.Д.“ ЕООД вземане към г-жа М.А.Ш.

От жалбоподателката са изискани данни за мобилния номер на който е осъществен контакт с нея от служители на „К.Е.“ ЕООД, както и информация има ли задължение към „Р.Д.“ ЕООД, във връзка с предлагани от дружеството продукти – CD „Магията на класиката“ и книги „Да се справим с високото кръвно налягане“ и „Домашен наръчник за спешни случаи“. Искана е и информация получавала ли е писма от „К.Е.“ ЕООД относно задължения към „Р.Д.“ ЕООД и в хипотезата, че е получавала такива– да представи копия от тях.

На проведено на 27.05.2015г. заседание жалбата е поставена за разглеждане по същество.

Жалбоподателката– редовно уведомена, не се явява, не се представлява.

„К.Е.“ ЕООД– редовно уведомено, представлява се от адв. И.М., с представено в заседанието пълномощно. Процесуалният представител на дружеството оспорва жалбата и моли Комисията да я остави без уважение, като неоснователна.

С оглед необходимостта от изясняване на случая от правна и фактическа страна на страните е даден 7-дневен срок за представяне на допълнителни доказателства.

В указания срок от „К.Е.“ ЕООД представят заверено копие на две удостоверения от „К.“ ООД за доставка до пощенска кутия на уведомление за цесия.

От страна на жалбоподателката не са представени допълнителни доказателства.

На проведено на 29.07.2015г. заседание на Комисията, жалбата е разгледана по същество.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба №Ж-1061/03.12.2014г. е основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

Видно от събраните по административната преписка доказателства е, че „К.Е.“ ЕООД обработва, в хипотезата на съхранение и употреба, лични данни на жалбоподателката в обем от три имена и адрес във връзка с вземане на „Р.Д.“ ЕООД към жалбоподателката, същото цедирано на „К.Е.“ ЕООД въз основа на сключен между дружествата договор за цесия.

Твърденията на жалбоподателката, че „К.Е.“ ЕООД обработва данни и за мобилния й номер са оспорени от ответната страна и предвид факта, че не са доказани от жалбоподателката се налага извода, че са неоснователни.

Обработването на личните данни– три имена и адрес на жалбоподателката от страна на „К.Е.“ ЕООД е незаконосъобразно, без наличие на нито една от посочените в чл.4, ал.1 от ЗЗЛД предпоставки за допустимост на обработването.

В нарушение на чл.4, ал.1, т.1, 4, 5, 6 и 7 от ЗЗЛД обработването не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон, както и за реализиране на законните интереси на администратора, пред които интересите на физическото лице нямат приоритет. Не е налице и хипотезата на чл.4, ал.1, т.2 от ЗЗЛД тъй като дружеството не е ангажирало доказателства за дадено от жалбоподателката съгласие „К.Б.“ ЕЕОД да обработва личните й данни.

Страните не спорят, че не е налице и сключен между същите договор с оглед което се налага извода, че не е изпълнено и условието на чл.4, ал.1, т.3 от ЗЗЛД и обработването не е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните е страна. В тази връзка следва се отбележи, че недоказани са твърденията на дружеството за договорни отношение между жалбоподателката и „Р.Д.“ ЕООД и произтичащи от тях ликвидни и изискуеми задължения на г-жа М.А.Ш., вземането по които е цедирано на „К.Е.“ ЕООД.

С оглед обстоятелството, че обработваните от „К.Е.“ ЕООД лични данни на жалбоподателката не са получени лично от нея, а от трето лице– „Р.Д.“ ЕООД следва, че за „К.Е.“ ЕООД, в качеството му на администратор на лични данни е налице задължение по чл.20, ал.1, т.1 и 2 от ЗЗЛД да предостави на г-жа М.А.Ш. посочената в цитираната разпоредба информация. Въпреки предоставената на дружеството възможност и указанията дадени в такава насока, същото не е ангажирало доказателства, от които безспорно може да се установи, че е изпълнило задължението си по чл.20, ал.1 от ЗЗЛД.

По отношение на представените от дружеството уведомления за цесия следва да се отбележи, че „К.Е.“ ЕООД не е ангажирало доказателства, че същите са получени от жалбоподателката. Предоставеното от „К.“ ООД удостоверение за доставка до пощенска кутия на уведомление за цесия е ирелевантно по отношение на обстоятелството получено ли е уведомлението от г-жа М.А.Ш. С оглед обстоятелството, че уведомлението е изпратено с обикновена, а не с препоръчана пощенска пратка, издадения от „К.“ ООД частен документ удостоверява само и единствено факта, че такова уведомление е предадено за разнос и е поставено в пощенска кутия на съответния адрес.

Във връзка с горното и за пълнота следва да се посочи, че не може да се приеме, че с изпращането на уведомление по чл.99, ал.3 от ЗЗД цесионерът едновременно е изпълнил и задължението си по ЗЗЛД. Касае се за задължения, вменени по два различни закона, които охраняват различни обществени отношения. Уведомлението по ЗЗД има за цел да информира длъжника, че е извършена цесия, т.е. че вече е задължен пред нов кредитор (цесионер), от който момент цесията има действие спрямо длъжника. Същото не е предназначено да информира длъжника, че поради прехвърленото вземане трето лице – цесионер ще обработва личните му данни според обема им, посочен в т.1-5 от чл.20, ал.1 от ЗЗЛД. Не може да се възлага в тежест на длъжника, по тълкувателен път да предполага, че събирането на вземането от новия кредитор неминуемо е обвързано с обработка на личните му данни. Освен това, чл.20, ал.1 от ЗЗЛД изрично вменява предоставянето на посочените данни в задължение на администратора на лични данни.

В конкретния случай и с оглед събраните по административната преписка доказателства се налага извода, че „К.Е.“ ЕООД не е предоставило на жалбоподателката информацията, посочена в чл.20, ал.1, т.1 и 2 от ЗЗЛД, която дружеството безспорно дължи на г-жа М.А.Ш., тъй като обработва нейни лични данни, които не са получени от лицето, а са предоставени на дружеството от „Р.Д.“ ЕООД.

Комисията за защита на личните данни счита, че в случая не са налице хипотезите на чл.20, ал.3 от ЗЗЛД за освобождаване на „К.Е.“ ЕООД от задължението му да предостави на г-жа М.А.Ш. информацията по чл.20, ал.1, т.1 и 2 от ЗЗЛД и с оглед разпределение на доказателствената тежест в процеса се налага извода, че дружеството е нарушило разпоредбата на чл.20, ал.1 от ЗЗЛД и не е изпълнило вмененото му с нея задължение.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираните нарушения налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението) е нецелесъобразно и мерките са неприложими в случая, и в тази връзка налага на „К.Е.“ ЕООД административни наказания за нарушение на чл.4, ал.1 и чл.20, ал.1 от ЗЗЛД като счита, че същите ще имат възпитателно въздействие и ще допринесе за спазване от страна на дружеството на установения правен ред.

При определяне размера на административните наказания Комисията съобрази целта на наказанието, което следва да има възпитателна, възпираща и предупредителна функция, а не да създава икономически затруднения на администратора на лични данни, допуснал нарушението. Поради това счита, че размера на административните наказания следва да бъде около минимума предвиден в закона за съответното нарушение.

Водима от горното и на основание чл.38, ал.2 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-1061/03.12.2014г., подадена от М.А.Ш. срещу „К.Е.“ ЕООД, за основателна.

2. На основание чл.42, ал.1 от ЗЗЛД налага на „К.Е.“ ЕООД, с ЕИК **** със седалище и адрес на управление **** в качеството му на администратор на лични данни, административно наказание – имуществена санкция в размер на 12000лв. (дванадесет хиляди лева) за обработване на личните данни на жалбоподателката в нарушение на чл.4, ал.1 от ЗЗЛД.

3. На основание чл.42, ал.3 от ЗЗЛД налага на „К.Е.“ ЕООД, в качеството му на администратор на лични данни, административно наказание– имуществена санкция в размер на 3000лв. (три хиляди лева) за нарушение на чл.20, ал.1, т.1 и 2 от ЗЗЛД.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд – София – град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров" №2 или преведена по банков път:

Банка БНБ – ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721