Решение по жалба с рег. № Ж-1052/27.11.2014 г.

Комисията за защита на личните данни (КЗЛД) в състав Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 08.04.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег. №Ж-1052/27.11.2014г., подадена от Т.С.Г.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от Т.С.Г., чрез процесуалния й представител адв.Г. от Адвокатска колегия- Русе, в която са изложени твърдения за неправомерно обработване на личните й данни във връзка с покана за доброволно изпълнение, изпратена от „К.Р.М.“ ООД до жалбоподателката. Процесуалният представител на жалбоподателката счита, че правата на г-жа Т.С.Г. са нарушени и личните й данни са неправомерно обработени. Твърди, че макар поканата да съдържа лични данни на доверителката му, същата е изпратена чрез „Б.П.“ ЕАД като обикновена пратка без да е поставена в запечатан плик и без да са взети каквито й да е мерки за защита на съдържащите се в нея лични данни, като по този начин същите са станали достъпни до неограничен кръг лица в процеса на доставката.

Към жалбата е приложено заверено копие на покана за доброволно изпълнение и пълномощно.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „К.Р.М.“ ООД, „М.“ ЕАД и „Б.П.“ ЕАД са изискани писмени становищa и представяне на относими доказателства.

В отговор от „К.Р.М.“ ООД изразяват становище за неоснователност на жалбата. Твърдят, че на 26.06.2014г. личните данни на г-жа Т.С.Г. са предоставени на дружеството от „М.“ ЕАД въз основа на сключен между дружествата договор за събиране на просрочени вземания. Твърдят, че всички предприети действия от страна на „К.Р.М.“ ООД по събиране на просроченото задължение на г-жа Т.С.Г., включително и изпращането на писмено уведомление и неговия формат, са съгласувани и одобрени от възложителя „М.“ ЕАД. В допълнение сочат, че в поканата се съдържат само лични данни, които са необходими за осъществяване на процеса по изпращане и доставяне на пощенската пратка.

В отговор от „Б.П.“ ЕАД изразяват становище за неоснователност на жалбата и молят Комисията да я остави без уважение, поради липса на неправомерни действия от страна на дружеството. Информират, че поканата за доброволно изпълнение е подадена на 10.10.2014г. в пощенска станция на „Българският разменно-сортировачен център“ като кореспондентска пратка– пощенска карта от „К.Р.М.“ ООД и е изпратена на получателя във вида, в който е подадена. Сочат, че дружеството няма сключен договор за хибридна поща с „К.Р.М.“ ООД и допълват, че пратките на последното се приемат в пощенска станция находяща се в „Българският разменно-сортировачен център“ по договор сключен с „Д.С.“ ООД. Относно наличието на лични данни в пратката отбелязват, че в нея се съдържат данни, нормативно обусловени в чл.31.4 от Общите условия на договора с потребителите на универсалната пощенска услуга и пощенски парични преводи, извършвани от „Б.П.“ ЕАД, където е разписан и начинът на адресиране на пощенските пратки.

От страна на „М.“ ЕАД е предоставено писмено становище по случая. От дружеството информират, че жалбоподателката е страна по сключен с мобилния оператор договор №Г1555785/13.11.2009г., във връзка с който има ликвидни и изискуеми задължения към дружеството в размер на 14,54лв. (четиринадесет лева и петдесет и четири стотинки). Допълват, че на основание сключен между „М.“ ЕАД и „К.Р.М.“ ООД договор от 13.11.2013г. за събиране на вземания, личните данни на жалбоподателката са предоставени на последното за целите на събиране на задължението на г-жа Т.С.Г. към мобилния оператор, задължение което към 16.02.2015г. е заплатено от жалбоподателката.

От „М.“ ЕАД твърдят, че предприетите от „К.Р.М.“ ООД действия за събиране на задължението, а именно чрез изпращане на покана за доброволно изпълнение в незапечатан плик, „са изцяло в нарушение на сключения между дружествата договор“. Допълват, че всички действия по събиране на вземанията следва да бъдат съобразени с уреденото в чл.3. 14 от договора задължение на „К.Р.М.“ ООД да осигури достатъчна защита на обработваните от него лични данни, като „изпълнява безусловно всички изисквания на „М.“ ЕАД във връзка с договора, както и всички изисквания на действащото законодателство“. Твърдят, че „К.Р.М.“ ООД е нарушило задълженията си по договора чрез изпращане на покана за доброволно изпълнение до г-жа Т.С.Г. без да предприеме каквито и да е мерки за защита на личните данни на жалбоподателката. Допълват, че „дружеството по никакъв начин не е изисквало от „К.Р.М.“ ООД и не е одобрявало изпращането на покана за доброволно изпълнение до жалбоподателката по посочения начин“.

Към становището е приложено копие на: договор №Г1555785/13.11.2009г., сключен между жалбоподателката и „М.“ ЕАД, ведно с приложение №1 към него; договор сключен между „М.“ ЕАД и „К.Р.М.“ ООД; пълномощно.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба рег. №Ж-1052/27.11.2014г. съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет обработване на личните данни на жалбоподателката съдържащи се в покана за доброволно изпълнение изпратена от „К.Р.М.“ ООД до г-жа Т.С.Г. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. В конкретния случай администратор на лични данни е „М.“ ЕАД. „К.Р.М.“ ООД е администратор на лични данни на собствено основание, но в конкретния случай обработва личните данни на жалбоподателката в качеството си на обработващ личните данни от името и за сметка на администратора на лични данни „М.“ ЕАД, като отношенията между дружествата са уредени с договор за събиране на вземания.

С оглед обстоятелството, че в събраните по преписката доказателства има данни, че поканата за доброволно изпълнение, съдържаща лични данни на жалбоподателката, е предоставена за доставка от „К.Р.М.“ ООД на „Д.С.“ ООД и от последното на „Б.П.“ ЕАД, Комисията счита, че като страни в производството следва да се конституират и „Д.С.“ ООД и „Б.П.“ ЕАД, в качеството им на администратори на лични данни.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружествата са изпълнили задължението си по чл.17, ал.1 от ЗЗЛД, подали са заявления за регистрация и са регистрирани като администратори на лични данни с идент. №50151, №18416 и №21598.

На проведено на 11.03.2015г. заседание на Комисията, жалбата е приета за процесуално допустима и като страни в административното производство са конституирани: жалбоподател– Т.С.Г. и ответни страни– „М.“ ЕАД, „К.Р.М.“ ООД, „Д.С.“ ООД и „Б.П.“ ЕАД.

На проведено на 08.04.2015г. заседание на Комисията, жалбата е разгледана по същество.

Страните- редовно уведомени за заседанието, не се явяват, не се представляват.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-1052/27.11.2014г. е частично основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД лични данни са всяка информация, отнасяща се до физическо лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци– признаци свързани с физическа, физиологична, генетична, психическа, психологическа, икономическа, културна, социална или друга идентичност на лицето (§16 от Допълнителните разпоредби на ЗЗЛД).

Видно от събраните по административната преписка доказателства е, че жалбоподателката е страна по сключен с „М.“ ЕАД договор №Г1555785/13.11.2009г. за предоставяне на мобилни услуги, по повод който има ликвидни и изискуеми задължения в размер на 14,54лв. Видно от съдържанието на т.5.5 от договора с подписването му жалбоподателката е изразила съгласието си мобилния оператор да предоставя личните й данни на трети лица за целите на събиране на задължения по договора.

Във връзка със събиране на задълженията по договора и на основание сключен между „М.“ ЕАД и „К.Р.М.“ ООД договор за събиране на вземания, мобилния оператор е предоставил личните данни на жалбоподателката на „К.Р.М.“ ООД. Последното в качеството си на обработващ личните данни от името и за сметка на мобилния оператор е обработило личните данни на жалбоподателката за целите на изпратена до нея покана за доброволно изпълнение. Отношенията между дружествата са уредени съгласно изискванията на чл.24, ал.4 от ЗЗЛД, а именно с договор относно обработването на лични данни на длъжници на мобилния оператор за целите на събиране на задължения.

Страните не спорят, че поканата за доброволно изпълнение е изпратена до жалбоподателката с обикновена пратка, без да е поставена в пощенски плик.

От събраните по преписката доказателства се установи, че в процеса на доставка на пощенската пратка са взели участие „К.Р.М.“ ЕАД– подател, „Д.С.“ ООД и „Б.П.“ ЕАД– доставчици на пощенски услуги и г-жа Т.С.Г.– получател.

Съгласно Закона за пощенските услуги (ЗПУ) кореспондентните пратки са писма или пощенски картички. По аргумент от 35, ал.1 от ЗПУ актовете на Всемирния пощенски съюз са приложими субсидиарно по отношение на формата, минималните и максимални размери и начина на адресиране на кореспондентните пратки. В чл.3 от Правилника за писмовните пратки, издаден от Всемирния пощенски съюз, е дадено легално определениена понятието пощенски карти, съгласно което пощенските карти са правоъгълни и изработени от картон и „се изпращат на открито, т.е. без лента и без плик“. При адресирането, както на писмата, така и на пощенските картички, е задължително идентифицирането на адресата на доставката с три имена и адрес.

Видно от съдържанието на поканата за доброволно изпълнение, получена от жалбоподателката, в нея се съдържа информация за адресата на поканата, а именно три имена и адрес на г-жа Т.С.Г. В поканата освен лични данни, безспорно необходими за идентифицирането й като адресат на пощенската пратка, се съдържат и специфични признаци свързани с икономическата идентичност на жалбоподателката, а именно информация, че същата е длъжник и „има неплатено задължение, което е във фаза на предсъдебно събиране“.

Предвид съдържанието на съобщението Комисията счита, че с оглед защита на личните данни на жалбоподателката свързани с икономическата й идентичност, поканата за доброволно изпълнение е следвало да бъде изпратена до жалбоподателката в запечатан пощенски плик, което би възпрепятствало достъпа до неограничен кръг лица до лични данни на жалбоподателката свързани с икономическата й идентичност.Непредприемането на тези действия са довели до неправомерен достъп и разпространение на личните данни на жалбоподателката.

ЗЗЛД допуска обработването на лични данни на физическите лица да се осъществява самостоятелно от администратор на лични данни или чрез възлагане на обработващ личните данни, а в случаите когато обработването на лични данни не се извършва от администратор на лични данни, последния следва да осигури достатъчни гаранции за тяхната защита (чл. 24, ал.2 от ЗЗЛД) и да предприеме необходимите технически и организационни мерки, за да защити данните от неправомерен достъп или разпространение (чл. 23, ал.1 от ЗЗЛД).

В конкретния случай, предприетите от администратора на лични данни „М.“ ЕАД мерки са явно недостатъчни с оглед факта, че изпратеното от обработващия лични данни „К.Р.М.“ ООД писмо покана за доброволно изпълнение е изпратено до жалбоподателката чрез пощенска картичка, а не в запечатан пощенски плик. Допускането на тази ситуация води до извода, че дружеството не е изпълнило задължението си по чл.23, ал.1 от ЗЗЛД, а именно да предприеме съответните технически и организационни мерки за защита на личните данни на жалбоподателката от незаконни форми на обработване, които да осигурят достатъчни гаранции за тяхната защита в резултат на което са нарушени правата на физическото лице, сезирало КЗЛД. В тази връзка Комисията счита, че следва да се ангажира административно-наказателната отговорност на „М.“ ЕАД за нарушение на чл.23, ал.1 от ЗЗЛД във връзка с чл.24, ал.2 от ЗЗЛД.

С използването от „К.Р.М.“ ЕАД като форма на кореспондентна пратка пощенска картичка, а не писмо изпратено в запечатан пощенски плик, дружеството е нарушило разпоредбите както на сключения с „М.“ ЕАД договор за събиране на вземания в частност чл.1. 4 „б“ от договора, така и разпоредбите на ЗЗЛД и е създало предпоставки за неправомерен достъп и разпространение на личните данни на жалбоподателката касаеши икономическата й идентичност до неограничен кръг лица в рамките на доставката.

Предвид факта, че действията на обработващия лични данни „К.Р.М.“ ООД са в нарушение на договорните му задължения към администратора на лични данни- „М.“ ЕАД, с които са уредени отношенията между дружествата относно обработването на лични данни на длъжници на мобилния оператор за целите на събиране на задълженията им към „М.“ ЕАД, Комисията счита, че „К.Р.М.“ ЕАД е нарушило разпоредбата на чл.24, ал.6 от ЗЗЛД, а именно не е обработило личните данни на жалбоподателката по указания от администратора начин, с оглед което следва да се ангажира административно-наказателната отговорност на „К.Р.М.“ ООД, предвид обстоятелството, че това е довело до нарушение на правата на жалбоподателката по ЗЗЛД.

Комисията счита жалбата за неоснователна по отношение на „Б.П.“ ЕАД и „Д.С.“ ООД предвид факта, че дружествата в качеството им на доставчици на пощенски услуги са обработили личните данни на жалбоподателката в изпълнение на нормативно определеното си задължение по Закона за пощенските услуги за доставка на кореспондентните пратки по начин и форма в които същите са подадени.

Господин Веселин Целков– член на Комисията за защита на личните данни не споделя изводите за основателност на жалбата по отношение на „М.“ ЕАД и гласува с особено мнение, като счита, че дружеството е изпълнило вмененото му с разпоредбата на чл.23, ал.1 от ЗЗЛД задължение и видно от съдържанието на сключения между „М.“ ЕАД и „К.Р.М.“ ООД договор е предприело технически и организационни мерки за защита на личните данни на жалбоподателката.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираните административни нарушения и техните последици, налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението), които имат превантивен, респективно преустановителенхарактер, е нецелесъобразно и мерките са неприложимив случая и в тази връзка налага административни наказания за констатираните нарушения на ЗЗЛД, като счита, че същите ще имат възпитателно въздействие и ще допринесе за спазване от страна на „М.“ ЕАД и „К.Р.М.“ ООД на установения правен ред.

При определяне размера на административните наказания, Комисията съобрази като утежняващи обстоятелства факта, че наказанието не е първо за „М.“ ЕАД, а по отношение на „К.Р.М.“ ООД- съобрази характера и степента на нарушението и обществените отношения, които засяга, с оглед което налага наказания над минимума, предвиден в закона за тези видове нарушения.

Водима от горното и на основание чл.38, ал.2, във връзка с чл.10, ал.1, т.7 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег. №Ж-1052/27.11.2014г., подадена от Т.С.Г., за частично основателна.

2. Обявява жалбата за неоснователна по отношение на „Б.П.“ ЕАД и „Д.С.“ ООД.

3. Обявява жалбата за основателна по отношение на „М.“ ЕАД с ЕИК****, със седалище и адрес на управление ***** и на основание чл.42, ал.9 от ЗЗЛД налага на дружеството, в качеството му на администратор на лични данни, административно наказание– имуществена санкция в размер на 1500лв. (хиляда и петстотин лева) за нарушение на чл.23, ал.1 и чл.24, ал.2 от ЗЗЛД.

3. Обявява жалбата за основателна по отношение на „К.Р.М.“ ООД с ЕИК**** със седалище и адрес на управление ***** и на основание чл.42, ал.9 от ЗЗЛД налага на дружеството, в качеството му на обработващ личните данни, административно наказание– имуществена санкция в размер на 3000 лв. (три хиляди лева) за нарушение на чл.24, ал.6 от ЗЗЛД.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- София- град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров“ №2 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721