Решение по жалба с рег. № Ж-1054/28.11.2014 г.

Комисията за защита на личните данни (КЗЛД) в състав Председател: Венцислав Караджов и членове: Цветелин Софрониев и Веселин Целков на заседание, проведено на 27.03.2015г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по същество жалба рег.№Ж-1054/28.11.2014г., подаденa от В.Г.К. срещу „М.“ ЕАД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от В.Г.К., в която са изложени твърдения за неправомерно обработване на личните й данни от „М.“ ЕАД, във връзка със закупен мобилен апарат и издадена за това фактура, съдържаща личните й данни.

Жалбоподателката информира, че е абонат „М.“ ЕАД и на 19.11.2014г. посетила офис на дружеството за да смени тарифния си план. Твърди, че служител на мобилния оператор я уведомил, че не може да премине към по-нисък тарифен план, защото през декември 2013г. в условията на настоящия план е закупила телефонен апарат „ZTE Blade Q White Промо“. Жалбоподателката сочи, че посетила и друг офис на дружеството, където потвърдили информацията за закупен телефонен апарат. Госпожа В.Г.К. е категорична, че не е купувала такъв апарат и твърди, че е злоупотребено с личните й данни, които са използвани без нейно знание и съгласие за закупуване на мобилния апарат и издадена във връзка с това фактура.

Жалбоподателката моли да се извърши проверка по случая. В допълнение желае единният й граждански номер да не се изписва в издадените на нейно име фактури и поставя редица въпроси за приложението на ЗЗЛД.

Към жалбата е приложено копие на фактура №0644479483/17.12.2013г. от „М.“ ЕАД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от „М.“ ЕАД е изискано писмено становище и представяне на относими доказателства.

В отговор от дружеството изразяват становище за неоснователност на жалбата и молят Комисията да я остави без уважение. Информират, че жалбоподателката е сключила с „М.“ ЕАД договор за предоставяне на електронни услуги №К1861080/23.11.2011г., който към момента на представяне на становището е прекратен и действащ към момента договор №501498937/30.11.2013г., с активиран тарифен план „Mtel smart“. Твърдят, че на 17.12.2013г. г-жа В.Г.К. е закупила телефон с марка „ZTE Blade Q White“ на стойност 83,25лв. (осемдесет и три лева и двадесет и пет стотинки) без ДДС, като сумата е заплатена изцяло и в брой в магазина на оператора, а за продажбата е издадена фактура.

От дружеството твърдят, че „няма доказателства, които да сочат, че апаратът е закупен от лице, различно от г-жа В.Г.К., както и такива, че е имало злоупотреба с личните й данни“. В допълнение сочат, че издадената във връзка с продажбата фактура съдържа всички законоустановени реквизити съгласно чл.114 от Закона за данъка върху добавената стойност, в това число име и адрес на получателя, както и данни за единният му граждански номер. Сочат, че данните на купувача г-жа В.Г.К. „са извлечени от системата на дружеството, съдържаща клиентски данни“.

От „М.“ ЕАД твърдят, че обработването на личните данни на жалбоподателката е извършено с нейно съгласие, обективирано в подписан между страните договор К1861080/23.11.2011г. и договор №501498937/30.11.2013г., с подписването на които жалбоподателката е дала своето изрично съгласие личните й данни да бъдат събирани, съхранявани и обработвани от дружеството. Като допълнение в становището са предоставени отговори на поставените от г-жа В.Г.К. въпроси.

Към становището е приложено копие на фактура №0644479483/17.12.2013г., издадена от „М.“ ЕАД и пълномощни.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на Закона за защита на личните данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

С оглед обстоятелството, че жалбата с която е сезирана Комисията е надлежно потвърдена в законоустановения по чл.30, ал.1 от Административно-процесуалния кодекс (АПК) срок, същата е редовна, с оглед обстоятелството, че съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация, а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет обработване от „М.“ ЕАД на личните данни на жалбоподателката във връзка със закупен телефонен апарат и издадена за това фактура №0644479483/17.12.2013г., по описа на „М.“ ЕАД, съдържаща личните данни в обем от три имена, единен граждански номер и адрес на г-жа В.Г.К.. С жалбата е сезиран компетентен да се произнесе орган– КЗЛД, който съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

Наличието на администратор на лични данни е абсолютна процесуална предпоставка за допустимостта на жалбата. В конкретния случай жалбата е насочена срещу „М.“ ЕАД, което безспорно притежава качествата на администратор на лични данни.

От направена служебна справка в Електронния регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружеството е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД, подало е заявление за регистрация и е регистрирано като администратор на лични данни с идент. №50151 и заявени регистри „База данни абонати“, „База данни персонал“, „Видеонаблюдение“, „Посетители“ и „Участници в рекламни кампании/промоции“.

На заседание на Комисията, проведено на 22.01.2015г., жалбата еприета за процесуално допустима и като страни в производството са конституирани: жалбоподател– В.Г.К. и ответна страна– „М.“ ЕАД, в качеството му на администратор на лични данни. Страните са редовно уведомени за насроченото за 25.02.2015г. открито заседание на Комисията, за разглеждане на жалбата по същество.

Във връзка с депозирана от жалбоподателката молба за отлагане на откритото заседание и с оглед обстоятелството, че случая не е изяснена от правна и фактическа страна, с Решение на КЗЛД, обективирано вПротокол №9/25.02.2015г., разглеждането на жалбата по същество е отложено за 27.03.2015г.

С оглед необходимостта от изясняване на случая от правна и фактическа страна от „М.“ ЕАД са изискани допълнителни доказателства. В отговор от мобилния оператор ангажират допълнително становище с приложено към него копие на: договор №К1861080/23.11.2011г., по описа на „М.“ ЕАД; приложение №1 към договор №501498937 от 30.11.2013г.; пълномощно. От дружеството представят и копие наИнструкция №1 за изискваните документи от абонати и потребители при сключване на договори и предоставяне на услуги от „М.“ ЕАД, както и извлечение от системата на мобилния оператор.

На проведено на 27.03.2015г. заседание на Комисията, жалбата е разгледана на същество.

Жалбоподателката– редовно уведомена, явява се лично и поддържа жалбата.

Ответната страна– редовно уведомена, не изпраща представител.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледана по същество жалба рег.№Ж-1054/ 28.11.2014г. е основателна.

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалното определение на чл.2, ал.1 от ЗЗЛД трите имена, адрес и единен граждански номер на физическото лице безспорно имат качеството на лични данни за лицето, а употребата им e действиe по обработване на личните данни и следва да се извършва в съответствие с разпоредбите на ЗЗЛД, при наличие на поне едно от разписаните в чл.4, ал.1 от ЗЗЛД условие за допустимост на обработването и при спазване на принципите посочени в чл.2, ал.2 от ЗЗЛД.

От събраните по административната преписка доказателства безспорно се установи, че жалбоподателката е била абонат на дружеството и страна по договор №К1861080/23.11.2011г. с предмет предоставяне на мобилни услуги за номер *** по тарифен план „M-tel Select M“. Договорът е прекратен на 30.11.2013г., а на същата дата между страните е сключен договор №501498937/30.11.2013г. с предмет предоставяне на мобилни услуги на телефонен номер **** по тарифен план „M-tel Smart 1“.Безспорно е, че личните данни на жалбоподателката в качеството й на абонат на мобилния оператор и страна по договор №К1861080/23.11.2011г. са обработени, в хипотезата на употреба, от „М.“ ЕАД за издаване на фактура №0644479483/17.12.2013г. за закупен телефонен апарат. Фактурата съдържаща лични данни- три имена, единен граждански номер и адрес на г-жа В.Г.К. и видно от представеното копие не съдържа подпис на получателя.

Съобразно разпределянето на доказателствената тежест в процеса и с оглед обстоятелството, че жалбоподателката твърди, че не е закупувала посочения телефонен апарат и, че личните й данни са използвани от дружеството без знанието и съгласието й за издаване на фактура за покупката и факта, че дружеството не е ангажирало доказателства в обратна насока, се налага извода, че е налице нарушение на ЗЗЛД при обработване на личните данни на жалбоподателката за посочената цел. Същите са обработени от дружеството в противоречи с разписания в чл.2, ал.2, т.1 от ЗЗЛД принцип на законосъобразност, предвид факта, че данните са обработени, без наличие на някое от условията за допустимост на обработването, визирани в чл.4, ал.1 от ЗЗЛД.

Комисията намира за основателни твърденията на жалбоподателката, че дружеството без нейно знание и съгласие е използвало/употребило личните й данни за издаване на фактурата. Този извод се подкрепя и от твърденията на дружеството, изложени в становище №С-10/07.01.2015г., а именно че „данните на купувача са извлечени от системата на Дружеството, съдържаща клиентски данни“. В тази връзка не е спорно, че съдържащите се в базата данни на дружеството лични данни за жалбоподателката са предоставени доброволно от същата, но следва да се отбележи, че данните– три имена, единен граждански номер и адрес, са предоставени за конкретни и точно определени цели, а именно във връзка със сключен между г-жа В.Г.К. и „М.“ ЕАД договор №К1861080/23.11.2011г. с предмет предоставяне на мобилни услуги за номер **** по тарифен план „M-tel Select M“, прекратен на 30.11.2013г., както и във връзка със сключен между страните договор №501498937/30.11.2013г. с предмет предоставяне на услуги на номер **** по тарифен план „M-tel Smart 1“.

Видно от предмета на договорите е, че жалбоподателката е дала съгласие и е предоставила личните си данни за цели, различни от тази за която са обработени от дружеството- за закупуване на телефонен апарат в условията на промоция и издаване на фактура за покупката. Налице е допълнително обработване на личните данни на жалбоподателката, несъвместимo с целите за които данните са събрани, което е в нарушение на посочения в чл.2, ал.2, т.2 от ЗЗЛД принцип, съгласно който личните данни следва да се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели.

Oт съдържанието на фактурата се налага извода, че личните данни на жалбоподателката са обработени за целите на покупко–продажбата в качеството й на абонат на дружеството относно договор №К1861080, който видно от становището на „М.“ ЕАД и от приложената към него разпечатка от системата на мобилния оператор е прекратен на 30.11.2013г. Т.е. към дата на издаване на фактурата 17.12.2013г., жалбоподателката не е имала качеството на абонат на дружеството за съответния договор и с оглед обстоятелството, че срокът на договора е изтекъл, следва изводът, че дружеството неправомерно и незаконосъобразно е обработило личните й данни след срока на договора и за цели различни от предмета на договора, който е предоставяне на мобилни услуги за номер **** по тарифен план „M-tel Select M“. В тази връзка следва да се отбележи, че в условията на посочения във фактурата договор жалбоподателката не би трябвало да има възможност да закупи на промоционална цена посочения във фактурата апарат, тъй като видно от становището на дружеството апаратът е предлаган в условията на промоция при наличие на сключен 2-годишен или 1-годишен договор с тарифен план „Мтел Смарт 1 и 2“ и „Surf&Talk XL”, а посоченият във фактурата договор К1861080/23.11.2011г., видно от съдържанието му, е с различен тарифен план- „M-tel Select M“. Изложените от дружеството твърдения, че към 17.12.2013г. жалбоподателката е отговаряла на условията на промоцията, с оглед обстоятелството, че е сключила договор с дружеството №501498937/30.11.2013г. с тарифен план „Мтел Смарт 1“, не съответстват на събраните по преписката доказателства и в частност на издадената за покупко-продажбата фактура, видно от съдържанието на която е, че апаратът е закупен от г-жа В.Г.К. в качеството й на абонат по договор К1861080/23.11.2011г.

С оглед събраните по административната преписка доказателства Комисията счита, че обработването на личните данни на жалбоподателката за издаване на фактура №0644479483/17.12.2013г. за закупен телефонен апарат е в нарушение на принципите, посочени в чл.2, ал.2, т.1 и 2 от ЗЗЛД във връзка с което счита, че следва да се ангажира административно-наказателната отговорност на „М.“ ЕАД.

За пълнота на становището и с оглед желанието на жалбоподателката издаваните на нейно име фактури да не съдържат единният й граждански номер следва да се отбележи, че в Закона за счетоводството (ЗСч) е регламентиран редът за издаване на първични счетоводни документи (фактури) и е посочен минимумът реквизити, които задължително трябва да се съдържат в тях. Наличието на единен граждански номер на получателя е задължителен реквизит на първичния счетоводен документ. Съгласно чл.7, ал.1 на ЗСч първичния счетоводен документ трябва да съдържа наименованието, адреса и номера за идентификация по чл.84 от Данъчно-осигурителния процесуален кодекс на издателя и получателя, като идентификацията на физически лица, които не вписани в търговския регистър, се извършва чрез единен граждански номер.

По отношение на поставените в жалбата други въпроси относно приложното поле на ЗЗЛД и с оглед обстоятелството, че същите са много общи и са извън предмета на жалбата и конкретния казус, с който е сезирана Комисията, следва да се укаже на жалбоподателката, че разполага с правната възможност да сезира КЗЛД или съответния административен съд за конкретно нарушение на правата й по ЗЗЛД.

В рамките на оперативната си самостоятелност Комисията счита, че с оглед характера на констатираното административно нарушение и неговите последици, налагането на принудителни административни мерки (задължително предписание или определяне на срок за отстраняване на нарушението), които имат превантивен, респективно преустановителенхарактер, е нецелесъобразно и мерките са неприложимив случая и в тази връзка налага административно наказание за нарушение на ЗЗЛД, като счита, че същото ще има възпитателно въздействие и ще допринесе за спазване от страна на „М.“ ЕАД на установения правен ред.

При определяне размера на административно наказание, Комисията съобрази факта, че наказанието не е първо за администратора на лични данни, с оглед което налага наказание над минимума, предвиден в закона за този вид нарушение.

Водима от горното и на основание чл.38, ал.2, във връзка с чл.10, ал.1, т.7 от Закона за защита на личните данни, Комисията за защита на личните данни,

1. Обявява жалба рег.№Ж-1054/28.11.2014г., подадена от В.Г.К. срещу „М.“ ЕАД, за основателна.

2. На основание чл.42, ал.1 от ЗЗЛД налага на „М.“ ЕАД с ЕИК ***, със седалище и адрес на управление ****, в качеството му на администратор на лични данни, административно наказание– имуществена санкция в размер на 32000лв. (тридесет и две хиляди лева) за нарушение на чл.2, ал.2, т.1 и т.2 от ЗЗЛД.

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд- София- град.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, находяща се в гр.София, бул.„Проф. Цветан Лазаров“ №2 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721