Решение на Върховния административен съд № 8601/10.07.2008 г.

РЕШЕНИЕ

№ 8601
София, 10.07.2008

В ИМЕТО НА НАРОДА

Върховният административен съд на Република България – Трето отделение, в съдебно заседание на двадесет и трети юни две хиляди и осма година в състав:

Производството е по реда на чл. 145 и сл. от Административнопроцесуалния кодекс(АПК) вр. с чл. 38, ал. 6 от Закона за защита на личните данни (ЗЗЛД).
Образувано е по жалба на "ПИБ " АД, гр.С. против решение № 27/27.06.2007 г. на Комисията за защита на личните данни (КЗЛД), с което е разпоредено задължително предписание спрямо банката по жалба № 27/07.05.2007 г. предявена от С.П.А. Наведени са доводи за незаконосъобразност на решението поради допуснати нарушения на материалния закон, както и противоречие с целта на закона.
Ответникът Комисията за защита на личните данни, чрез процесуалния си представител, оспорва жалбата, като поддържа довод и за недопустимост.
Върховният административен съд, състав на трето отделение, като прецени представените по делото доказателства и съобрази доводите на страните, приема за установено следното:
Производството пред Комисията за защита на личните данни(КЗЛД) е започнало по жалба вх. № 27/07.05.2007 г. от С.П.А. В жалбата до Комисията не са изложени конкретни нарушения на Закона за защита на личните данни. Твърди, че на 27.03.2007 г. получил от страна на работодателя си нова дебитна карта Маеstrо, №67605399632171017 от "ПИБ " (ПИБ АД) АД, С., каквато услуга не бил поискал и не е давал съгласие за това. Останал изненадан, тъй като началото на м. март 2007 г. сключил договор със същата банка – клон "К.", с цел издаване на дебитна карта Visa Elektron, № 632171 от 07.03.2007 г. (№4255264785807856). Въз основа на събраните по административната преписка доказателства КЗЛД е приела, че между А. и "ПИБ " АД, няма сключен договор да ползва услуга по обслужване с процесната карта, която е издадена без негово съгласие. Приела е, че договорът от 31.05.2001 г. между банката и "К." АД не ползва А., тъй като "К." АД не е работодател на същия. Предвид установеното КЗЛД е приела, че при издаване на дебитна карта Маеstrо администраторът "ПИБ" АД е допуснал незаконосъобразно обработване на личните данни на жалбоподателя С.П.А., в нарушение на чл. 4, ал. 1, т. 2 от ЗЗЛД, съобразно която обработването на лични данни е допустимо, когато физическото лице е дало изрично съгласие за това. С оспореното решение е издала следното задължително предписание: 1/ В изпълнение на чл.28а от ЗЗЛД, да заличи данните на С.П.А. и да анулира издадената дебитна карта Маеstro; 2/ В изпълнение на чл. 19, чл. 20, чл. 21, чл. 22 и чч. 23 от ЗЗЛД, при сключване на договор с работодателя на А., "К.Т." ЕООД относно плащане на заплатите на работници и служители по разплащателни картови сметки, открити за всеки един от тях, да договори конкретни клаузи относно защитата на личните данни на физическите лица, съгласно разпоредбите на ЗЗЛД.
Незаконосъобразно обработване на лични данни по смисъла на чл. 20, ал. 1, т. 2, т. 4 и т. 5 от ЗЗЛД е прието и спрямо администратора "К.Т." ЕООД, но последното дружество не е оспорило решението и съдът не изследва законосъобразността на решението в частта, с която е разпоредено задължително предписание спрямо "К.Т." ЕООД.
Жалбоподателят твърди, че С.П.А. сам е предоставил личните си данни при издаване на международна дебитна карта Visa Elektron от 07.03.2007 г. При сключване на договора за издаване на банковата карта Маеstro изрично е дал съгласието си банката да обработва и предоставя по усмотрение на същата получените от него лични данни на трети лица за нуждите на банковата дейност и банковия контрол, както и във връзка с предоставянето му на други услуги. Това съгласие било дадено и в подписаното от лицето искане за издаване на дебитна карта Visa, в т. 7, раздел "Декларация на кредитоискателя". Счита, че на основание изрично съгласие от страна на лицето, банката като администратор на лични данни има право да обработва личните му данни и за други услуги. Освен това за издаването на електронна карта Маеstro С.П.А. е подписал и декларация като служител на "К." АД, с която декларирал, че е запознат с Общите условия на банката за издаване на такава карта, е че е запознат с наличието на конкретен договор с "К." АД и приема в съответствие с тях да бъдат уредени неговите отношения с банката. С приемането на Общите условия, подписалият декларацията е дал предвиденото в т. 27 от тях изрично съгласие да се обработват личните му данни, което е основание за прилагане на чл. 4, ал.1, т. 2 от ЗЗЛД. Счита въпроса за работодателя за ирелевентен при тези установени обстоятелства.
Ответникът по жалбата излага съображения, че жалбата е недопустима, тъй като законът за защита на личните данни не предвиждал възможност за обжалване на задължителните предписания като принудителна мярка. Защитата в този случай ще се осъществи чрез оспорване на наказателното постановление.
Относно допустимостта на жалбата.
Съгласно разпоредбата на чл. 1, ал. 2 от ЗЗЛД целта на специалния закон е да гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните. Една от предвидените в закона гаранции е възможността на лицето да сезира КЗЛД за нарушаване на правата му по този закон. С разпоредбата на чл. 38 от ЗЗЛД е вменено задължение на КЗЛД при сезирането й да се произнесе с решение, като с оглед правомощията й по ал. 2 на тази разпоредба може да даде задължителни предписания, да определи срок за отстраняване на нарушението или да наложи административно наказание. В конкретния случай комисията е сезирана по надлежния ред. Същата се е произнесла по жалбата на А. с нарочен акт, за което не се спори от страните, като е дала задължително предписание. Съгласно чл. 38, ал. 2 от ЗЗЛД комисията се произнася в 30-дневен срок от сезрането с решение, като може да даде задължителни предписания, да определи срок за отстраняване на нарушението или да наложи административно наказание, а решението по ал. 2 подлежи на обжалване пред Върховния административен съд в 14-дневен срок от получаването му – ал.6. Разпоредбата на чл. 38, ал. 2 от ЗЗЛД предвижда, че при упражняване на разпоредените в закона функции Комисията има три правощия: да даде задължителни предписания, да констатира нарушение на ЗЗЛД и да даде задължителни предписания за отстравяване на нарушението или да наложи или не административно наказание. В ал.6 на чл. 38 е разпоредено, че решението на комисията подлежи на обжалване пред Върховния административен съд. Логическото тълкуване на тези разпоредби налага извод, че решението в неговите три възможности за решаване на правния спор подлежи на съдебен контрол. Аргумент в подкрепа на този извод е и определената подсъдност в ЗЗЛД пред Върховния административен съд. Да се приеме противното означава по реда на правоприлагането да се измени разпоредената в специалния закон родова подсъдност. В предвид на изложеното настоящият състав приема, че е налице правен интерес за жалбоподателя от обжалване на т. І от решението.
Относно основателността на жалбата.
Твърденията на жалбоподателя са неоснователни, тъй като са недоказани. Както в административното производство така и пред съдебната инстанция жалбоподателят не е представил договор с А. за издаване на дебитна карта Маеstro. В искането за издаване на международна дебитна карта, приложено към преписката, А. е декларирал, че е запознат с Общите условия на банката за издаване и ползване на международна дебитна карта Visa Elektron, а не за дебитна карта, съответно услугата Маеstro. Последната е издадена преди да е декларирано каквото и да е съгласие с общите условия на банката за издаване и ползване на тази карта, както и без да е налице съгласие за обработването на личните му данни с цел сключване на договор за предоставяне на въпросната услуга.
Съгласно чл. 4, ал.1, т. 2 от ЗЗЛДД обработването на лични данни е допустимо, когато физическото лице, за което се отнасят данните, е дало изрично съгласие и обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните е страна, както и за действия, предхождащи сключването на договор и предприети по негово искане. В случая тези предпоставки на закона не са налице. Не може да бъде споделено разбирането на жалбоподателя, че като А. е предоставил личните си данни по договора му за ползване на услугата Visa Elektron, то те могат да бъдат обработвани от жалбоподателя по негово усмотрение и за други услуги. Обработването на личните данни следва да е съобразено с императивните правила на ЗЗЛД. Съгласието да се обработват лични данни и във връзка с предоставянето на други услуги не е абсолютно, каквото е разбирането на жалбоподателя. Разбирането противоречи на разпоредбата на чл. 2, ал. 2 от ЗЗЛД която предвижда, че личните данни трябва да се обработват законосъобразно и добросъвестно, да се събират за конкретни, точно определени и законни цели, както и да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват. В настоящият случай е налице надхвърляне целите на обработването на личните данни на А. Съгласието може да бъде относимо само към предлагане сключването на договор за ползване на услуга на банката, но не и за налагане ползването на услуги. Фактът, че има подписана декларация, в която А. декларирал, че е запознат с Общите условия на банката е ирелевантен в случая, тъй като запознаването му с договора сключен между ПИБ АД и К. АД, не го прави страна по него. А. не е служител на дружеството и клаузите на т.І,1 и т. V,2 от този договор не го ползват.
Издадената дебитна карта Маеstro съдържа лични данни на картодържателя, които в предвид на приетото за установено са ползвани от жалбоподателя в противоречие с разпоредбата на чл. 4, ал. 1, т. 2 от ЗЗЛД и с целта на закона, поради което указанията на комисията, дадени в т.І,1 от задължителните предписания към Решение № 27 от 2007 г. са законосъобразни. Логическото тълкуване на указанието налага извод, че то се отнася за тези лични данни, които са обработени за издаването на дебитна карта Маеstro. Предписанието не обвързва банката относно ползване на личните данни на лицето по отношение услугата Visa Elektron.
Указанието по т. ІІ от решението на Комисията е спрямо "К.Т." ЕООД, не е оспорено от дружеството и е неотносимо към жалбоподателя, поради което за него липсва правен интерес от оспорването му. Изложените доводи за незаконосъбразността му не следва да се обсъждат.
Неоснователни са и доводите за противоречие на атакуваното решение с целта на закона, тъй като по несъмнен начин по делото е установено, че е било налице неправомерно обработване на лични данни и следователно постановеният от комисията акт е съобразен с целта на закона.
Обжалваното решение е постановено от компетентен орган, в установената от закона форма. При постановяването на обжалвания акт са спазени административнопроцесуалните правила. Не е постановено в противоречие с материално правните норми на закона и жалбата като неоснователна следва да бъде отхвърлена.
По изложените съображения и на основание чл. 172, ал. 2, пр. последно от АПК, Върховният административен съд, трето отделение

ОТХВЪРЛЯ жалбата на "ПИБ " АД гр. С. против решение № 27 от 27.06.2007 г. на Комисията за защита на личните данни.
Решението може да се обжалва пред петчленен състав на Върховния административен съд в 14-дневен срок от съобщението на страните.