Решение по жалба вх. № 2523/ 03.06.2011 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев и Веселин Целков на открито заседание, проведено на 21.09.2011 г., на основание чл. 10, ал. 1, т. 7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег. №2523/03.06.2011г., подадена от С.Д.П. срещу Националният осигурителен институт.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбата отговаря на нормативно установените изисквания, поради което се явява редовна. С решение на КЗЛД, взето на закрито заседание, проведено на 03.08.2011 г., жалбата е обявена за допустима, като ответна страна в административното производство е конституиран Националният осигурителен институт, а като заинтересована страна „М.и Б.М.Е.” ООД.

С.Д.П. сезира Комисията за защита на личните данни с жалба, в която твърди, че през месец май 2011г. е очаквала Националният осигурителен институт да й върне документи, които представлявали трудовите й книжки и решение за размера на отпуснатата й пенсия. С оглед получаването на документите, жалбоподателката съобщила на осигурителният институт, че временно няма да се намира в София. Обяснено й било, че НОИ ползва услугите на куриерска фирма „М.и Б.М.Е.” ООД и в случай, че се констатира от служителите на фирмата, които разнасят пощенските пратки, че лицето отсъства, то пратката се връщат на изпращачът им.

След завръщането си в София, жалбоподтелката установила, че чаканата от нея пратка е доставена и е предадена на съседът й. Пратката съдържала три броя трудови книжки, осигурителна книжка и решение за определяне размера на полагаемата й се пенсия.

С.Д.П. счита, че с доставянето на пратката на непознато за нея лице, макар и в запечатан плик, нарушава правата й по Закона за защита на личните данни.

Към жалбата не са представени доказателства.

В условието на служебното начало, залегнало в административният процес, на основание чл.36, ал.2 от Административно-процесуалния кодексса изпратени писма на Председателя на КЗЛД, с които е изискано изразяване на писмено становище и представяне на относимите по случая доказателства от Националният осигурителен институт и фирма „М.и Б.М.Е.” ООД.

На 29.06.2011г. в деловодството на КЗЛД е постъпило писмено становище от НОИ, ведно с приложени към него доказателства. Уточнява се от осигурителният институт, че е възложил по договор за предоставяне на пощенски услуги за нуждите на централното управление и териториалните поделения на НОИ, сключен с фирма „М.и Б.М.Е.” ООД. Сочи се, че съгласно договорните клаузи, фирмата изпълнител следва да извършва качествено, еднакво и точно всички поръчки, както и да връща пощенските пратки или колети на адреса на съответната структура на възложителя НОИ, придружени със справка, в която да е посочена причината за недоставянето й.

Фирмата изпълнител се е задължила по договора, също така при изпълнение на задълженията си да спазва изискванията за опазване тайната на кореспонденцията, пощенската сигурност, защитата на информация и защита на личните данни. В договорът между осигурителния институт и фирмата, извършваща пощенски услуги липсва клауза, според която изпълнителят има право да връчва кореспонденция на лица, различни от адресатите, посочени от възложителя върху пощенския плик.

НОИ моли КЗЛД, при постановяването на решението си, да вземе предвид, че осигурителния институт не извършва универсални пощенски услуги, поради което е сключил договор с оторизирана фирма, която да ги извършва от негово име, поради което не може да му бъде търсена административна отговорност, за извършено нарушение на ЗЗЛД.

Съгласно чл.38, т.3 от Общите условия към договора за универсална пощенска услуга, публикувани в страницата на „М.и Б.М.Е.” ООД, дружеството дължи обезщетение на подателите и получателите при неизпълнение на нормативите за качество и ефективност на пощенските услуги.

Към становището е приложено копие от договор №49/04.04.2011г. за предоставяне на пощенски услуги за нуждите на централно управление и териториалните поделения на Националния осигурителен институт с „М.и Б.М.Е.” ООД.

На 19.07.2011г. е депозирано пред Комисията писмено становище от „М.и Б.М.Е.” ООД. В него се уточнява, че действително дружеството изпълнява универсални пощенски услуги и съгласно сключеният договор с НОИ обезпечава кореспонденцията му. Твърди си, че пратката за госпожа С.Д.П. е приета за доставка. Сочи се още, че на националният номер на компанията, жалбоподателката е подала идентична жалба с тази, с която е сезирана и КЗЛД. Във връзка с жалбата е извършена проверка, за която е уведомена госпожа С.Д.П., чрез изпращането на отговор.

В становището се излага фактическата обстановка по доставяне на пратката на С.Д.П., като се твърди, че са направени три посещения за доставка на пратката в три последователни дни. През първите два дни от посещението на адреса на жалбоподателката, куриерът не е могъл да влезе във входа на жилищната сграда, тъй като входната врата е била заключена, а домофонната уредба не е работела. При тези две посещения са оставяни стикери. На третия ден, куриерът е успял да влезе във входа и при опит да остави известие за пратката е получил предложение от съседа на госпожа С.Д.П., който заявил, че ще окаже съдействие за доставянето на пратката.

Дружеството, извършващо универсални пощенски услуги счита, че не е извършило нарушение на разпоредбите на ЗЗЛД, като се излагат следните съображения:

Никое от действията, които дружеството е предприело при доставянето на пощенската пратка, не представлява обработване на лични данни по смисъла на §1, т.1 от ЗЗЛД. Излагат се доводи, че предоставянето на пощенски услуги и разноса на пратки, не са действия, които представляват обработване на лични данни.

Твърди се, че единствено и само НОИ е обработил личните данни на жалбоподателката при наличието на нейното съгласие за това. Сочи се още, че пликът с документите на госпожа С.Д.П. е предаден от нейният съсед запечатан, поради което не е допуснато от фирмата неправомерно разпространяване на свързаните с нея лични данни. Излагат се доводи, че нито в жалбата до Комисията, нито в сигнала, отправен до дружеството се твърди, че пликът е бил с нарушена цялост, което да е предпоставка на неправомерно разпространяване на личните данни, съдържащи се в него, както и че липсват представени доказателства в тази насока.

Съжденията на „М.и Б.М.Е.” ООД са, че в чл.2, ал.1 от ЗЗЛД е дадено определение на понятието лични данни, а на плика, който е бил предназначени за доставка е съдържал единствено и само името на жалбоподателката и по този обем от информация, тя не може да бъде индивидуализирана по безспорен начин. В подкрепа на това твърдение се цитира становище на Комисията, изразено под номер 1802/2011г.

На откритото заседание на КЗЛД, проведено на 21.09.2011г., страните са редовно и своевременно уведомени по реда на АПК. Жалбоподателката и ответната страна не се явяват и не се представляват, заинтересованата страна „М.и Б.М.Е.” ООД се представлява Я.С.

Представителят на заинтересованата страна, сочи че е направена вътрешна проверка по случая, от която се е установило, че на госпожа С.Д.П. е следвало да бъде връчена пощенска пратка с подател НОИ. Били са направени три опита за връчване на пратката, куриерът не е могъл да се свърже с госпожаС.Д.П. и поради тази причина при последния опит за доставяне на пратката, същата е предадена на съсед със съгласие за предаване от негова страна.

Госпожа С. счита, че в случая няма обработване на лични даннипо смисъла на § 1, т. 1 от Допълнителните разпоредби на Закона за защита на личните данни. Моли Комисията при вземането на решението си да вземе под внимание обстоятелството, че в самата жалба жалбоподателката не сочи основание самата пратка да е с нарушена цялост, тоест пликът да е бил разкъсан, да е бил отворен или по някакъв друг начин да е било видно съдържанието на пратката, съответно да са били видни лични данни на жалбоподателката. В този смисъл смятаме, че няма извършено нарушение от заинтересованата страна.

Жалбата е процесуално допустима, поради следните съображения:

По смисъла на §1, т.1 от ДР на ЗЗЛД и видно от приложените доказателства е налице обработване на личните данни на жалбоподателката. Подадена е в законоустановения срок, от надлежна страна, при наличие на правен интерес.

Жалбата съдържа всички законово изискуеми реквизити, определени в чл.30, ал.1 от ПДКЗЛДНА.

В чл.27, ал.2 от АПК законодателят обвързва преценката на допустимостта на искането с наличието на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството на администратори на лични данни по смисъла на легалната дефиниция на чл.3. Това изискване се явява абсолютна процесуална предпоставка, с оглед на която следва да се прецени допустимостта на жалбата.

Администратор на лични данни, по смисъла на чл. 3 от ЗЗЛД в разглеждания случай е Националният осигурителен институт, а обработващ лични данни е „М.и Б.М.Е.” ООД. При извършена служебна справка в регистъра на администраторите на лични данни, които води КЗЛД, се установи, че и администраторът на лични данни е изпълнил задължението си по чл.17 от ЗЗЛД и е подал заявление за регистрация, респективно е вписан като такъв. Обработващия лични данни на собствено основание е администратор на лични данни и също е подал заявление за регистрация пред КЗЛД.

С чл. 1, ал. 2 от ЗЗЛД се гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Обработването на лични данни от страна на администратора на лични данни, съгласно чл.2, ал.1, т.1 от ЗЗЛД, следва да бъде законосъобразно и добросъвестно. В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието, на които е допустимо обработването на лични данни. Едно от тези условия е изрично съгласие на физическото лице, за което се отнасят данните. Жалбоподателката твърди, че не е дала съгласието си личните й данни да бъдат обработени чрез предоставянето им на непознато за нея лице, напротив това е и причината за подаването на жалбата й.

Жалбоподателката има правен интерес да сезира Комисията за защита на личните данни и да потърси защита на нарушените си права.

Разгледана по същество жалбата се явява и основателна.

Видно от събраните по административната преписка доказателства се установи по безспорен начин, че жалбоподателката е предоставила документи – осигурителна и трудови книжки на НОИ, с оглед издаване на решение, с което да бъде определен размерът на полагаемата й се пенсия. След оформянето на документите и издаването на решението, книжата на госпожа С.Д.П. са й били върнати.

Комисия за защита на личните данни, съгласно чл.10, ал.1 от ЗЗЛД, осъществява цялостен контрол по спазването на нормативната уредба в областта на защита на личните данни. В тази връзка, Комисията след като извърши съпоставка на доказателствата и твърденията на страните в административното производство, следва да установи, че за администратора на лични данни – НОИ е налице правно основание, условие за допустимост за обработването на свързаните с жалбоподателката лични данни, а именно – наличието на нормативно установено задължение след представяне на изискуемите се по закон документи да излезе с решение, с което да се определи размера на полагаемата се пенсия на лицето. В конкретният случай е налице още едно от условията, посочени в чл.4 от ЗЗЛД, а именно изричното съгласие на госпожа С.Д.П., което е дадено чрез предоставянето на документите си, в които се сдържат личните й данни.

Данните са обработени добросъвестно и законосъобразно, събрани са за точно определена цел, за която са й обработени, съотносими са с целта и тя не е била надхвърлена.

С договор №49/04.04.2011г. за предоставяне на пощенски услуги за нуждите на централно управление и териториалните поделения, Националния осигурителен институт е възложил на „М.и Б.М.Е.” ООД да извършва пощенски услуги за нуждите на осигурителния институт. Срокът на действие на договора е 12 месеца от датата на подписването му – 04.04.2011г., от което следва, че той е действащ към момента на подаване на жалбата. Съгласно т.3 от глава V Права и задължения на изпълнителя, фирма „М.и Б.М.Е.” ООД е задължена да предоставя подписан опис за всяко предаване и/или приемане на пощенски пратки на съответния адрес на възложителя. Дружеството се задължава, съгласно т.7 от същата глава да връща недоставените пощенски пратки и/или колети на адреса на съответна структура на възложителя, придружени със справка, в която са посочени причините за недоставянето.

Видно от твърденията на жалбоподателката, които не се отричат от дружеството извършващо пощенски услуги, същото не е изпълнило задължението си по т.7 от договора с НОИ, при ненамирането на получателят да върне пратката, а я е предало на лице, съсед на получателя.

В чл.74 от Общите условия на договора на потребителите с пощенски услуги включени в универсалната пощенска услуга, предоставяна от „М.и Б.М.Е.” ООД е разписано, че „писмовни, колетни пратки и пощенски парични преводи се доставяте на лицето посочено като получател”. В чл.75, т.2.1 е регламентирано, че „пратки, които се получават на адреса на получателя, се доставят лично на получатели или на негов пълномощник, а когато върху плика няма изрично указание „лично на получателя”, може и на пълнолетен член на домакинството му – като в книгата се вписват трите имена и родствената връзка с получателя”.

От така цитираните задължения на дружеството, осъществяващо универсални пощенски услуги се установява, че същото е нарушило и собствените си правила за доставка на пощенски пратки, регламентирани в Общите условия на договора на потребителите с пощенски услуги включени в универсалната пощенска услуга, предоставяна от „М.и Б.М.Е.” ООД. Пощенската пратка на С.Д.П. не е доставена нито лично, нито на пълномощник или член на семейството. Дружеството в изразеното си писмено становище е потвърдило твърденията на жалбоподателката, че предназначената за нея пратка, съдържаща документи: решение на НОИ за определяне размера на пенсия и осигурителна и три броя трудови книжки, в които са отразени личните й данни е предадена на съседът й – В. Лицето, на което е предадена пощенската пратка за С.Д.П., не е от кръга на лицата, посочени в Общите условия на „М.и Б.М.Е.” ООД, на които пратката може да бъде предадена.

В конкретния случай „М.и Б.М.Е.” ООД е обработващ лични данни, съгласно сключеният между него и НОИ договор за предоставяне на пощенски услуги. Обстоятелството, че дружеството е обработващ лични данни не променя факта, че с действието си по предаването на пощенската пратка на жалбоподателката на съседът й е нарушило както сключеният договор с НОИ, така и Общите си условия.

Не е в правомощията на КЗЛД да извършва контрол по спазването на договора и Общите условия, но в кръга на нейните компетенции е да осъществява цялостен контрол по спазването на нормативните актове в областта на защита на личните данни. При извършването на контрола се установи, че „М.и Б.М.Е.” ООД не е предприел всички технически и организационни мерки за защита на личните данни, като с действията си е създал предпоставка за неправомерен достъп до личните данни на жалбоподателката, с което е нарушил разпоредбата на чл.23, ал.1 от ЗЗЛД и е извършил административно нарушение. Следва да се има предвид, че в конкретния случай, дружеството е действало не като администратор на лични данни, а като обработващ лични данни, но трябва да се отчете, че доставчикът на собствено основание е администратор на лични данни.

Несъстоятелно е твърдението на дружеството, осъществяващо универсални пощенски услуги, че не обработва лични данни по смисъла на легалната дефиниция на §1, т.1 от ДР на ЗЗДЛ. В определението е записано, че „Обработване на лични данни" е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства. Изброените действия в цитираната правна норма са малка част, която илюстрира понятието, но съвсем не означава, че се ограничава само с тях.

Комисията установи, че деянието не е извършено при условията на неизбежна отбрана или крайна необходимост, поради което представлява административно нарушение.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледана по същество жалбата е основателна, поради което на основание чл. 10 ал. 1, т. 7 от ЗЗЛД и чл.38, ал.2 във връзка с чл. 42, ал. 1 от Закона за защита на личните данни,

1.Уважава жалба с рег. № 2523/03.06.2011г., подадена от С.Д.П. срещу Националният осигурителен институт.

2. Налага на „М.и Б.М.Е.” ООД с ЕИК 131394882, със седалище и адрес на управление: 1202 София, район Оборище, ул. Струма №3Б, представлявано от П.П., имуществена санкция в размер на 1 500 лв. (хиляда и петстотин лева) за нарушаване на чл.23 от ЗЗЛД, изразяващо се в непредприемането на необходимите технически и организационни мерки за защита на личните данни което е довело до неправомерен достъп до тях от трето лице.

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София град.