Решение по жалба с рег. № Ж 129/20.06.2012 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Валентин Енев, Мария Матева и Веселин Целков, в открито заседание, проведено на 05.12.2012г. (Протокол №45), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба с рег.№Ж129/20.06.2012г., подадена от В.И.В. срещу „К.Б.М.”ЕАД (Г.).

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

Комисията за защита на личните данни е сезирана с жалба, в която жалбоподателката сочи, че от офис на „К.Б.М.”ЕАД е закупила мобилен апарат и е сключила двугодишен договор за ползване на мобилни услуги. За целта личната й карта е била преснимана, въпреки несъгласието й.

В.И.В. счита, че е извършена злоупотреба с личните й данни от страна на мобилния оператор, изразяваща се в предоставянето им на „С.Г.Г.”ООД, както и на „М.Б.”ЕАД.

Към жалбата са приложени ксерокопия на: Договор за мобилни услуги №0826034 от 15.04.2005г.; Покана за доброволно изпълнение от „М.Б.”ЕАД; Уведомление от „Д.С.”ООД; Уведомление от 10.04.2012г. от Г. и Искова молба до Районен съд– гр.Плевен.

Жалбата, подадена от В.И.В. срещу „К.Б.М.”ЕАД е съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията е сезирана от физическо лице, при наличието на правен интерес, подадена в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежават „К.Б.М.” ЕАД, „С.Г.Г.”ООД, „М.Б.”ЕАД и „Д.С.”ООД.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, КЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание, проведено на 24.10.2012г. (Протокол №39), Комисията обявява жалбата за допустима и я насрочва за разглеждане по същество на 05.12.2012г. Като страни в административното производство конституира жалбоподателката В.И.В. и ответни страни – „К.Б.М.” ЕАД, „С.Г.Г.”ООД, „М.Б.”ЕАД и „Д.С.”ООД в качеството им на администратори на лични данни.

С писма с изх.№П2984/06.07.2012г., №П2979/06.07.2012г. и №П2977/06.07.2012г.на Председателя на КЗЛД, на основание чл.26 от Административнопроцесуалния кодекс (АПК) дружествата „К.Б.М.” ЕАД, „С.Г.Г.”ООД и „М.Б.”ЕАД са уведомени за откритото административно производство и на основание чл.36 от АПК са изискани становища, както и относими към жалбата доказателства.

В отговор, с писмо с вх.№С320/18.07.2012г., от „К.Б.М.”ЕАД е получено становище, в което се посочва, че жалбоподателката е страна по три договора за мобилни услуги. За ползвани услуги г-жа В.И.В. не е заплатила в срок задълженията си, поради което от Г. са й изпратени както месечните фактури, така и покани за доброволно изпълнение. Но поради неплащане, мобилният оператор е възложил на „М.Б.”ЕАД събирането на задължения от свои абонати, в т.ч. и на В.И.В. на правно основание- сключен на 01.09.2010г. договор с дружеството. Твърди се, че въпреки всички покани и действия не е последвало заплащане на дължимите и изсикуеми задължения, поради което Г. е цедирало вземането си към жалбоподателката на „С.Г.Г.”ООД, съгласно Договор за цесия от 21.03.2011г.

Към писмото са приложени заверени ксерокопия на: Договори за мобилни услуги от 15.04.2005г. и Допълнителни споразумения към него от 11.08.2007г. и 15.02.2008г.; Покани за доброволно изпълнение от 19.08.2009г. и 19.09.2009г.; Кредитно известие №7135599101/20.09.2009г.; Фактура №7131786005/20.06.2009г. и №7133027835/20.07.2009г.; Договор от 01.09.2009г. с „М.Б.”ЕАД; Договор за прехвърляне на вземания от 31.03.2011г. със „С.Г.Г.”ООД.

В отговор на писмо с изх.№П 4880/27.09.2012г. на Председателя на КЗЛД, от Г. е получено допълнение към становището, в което се посочва, че приложеното към жалбата Уведомление касае взаимоотношения между „С.Г.Г.”ООД и дружеството „Д.С.”ООД, на което дружество операторът не е предоставял лични данни на свои абонати.

От „С.Г.Г.”ООД е получено становище с вх.№С-535/11.10.2012г., в което се твърди, че по силата на договор за цесия, фирмата за събиране на вземания е встъпила в правото си на кредитор. За целта г-жа В.И.В. е била надлежно уведомена чрез изпращане на писмо от куриерска агенция „Д.С.”ООД на посочения от нея в договора за мобилни услуги адрес закореспонденция.

В отговор на писмо с изх.№П-5727/31.10.2012г. на Председателя на КЗЛД, от „Д.С.”ООД е получено становище с вх.№П4989/03.10.2012г., в което се посочва, че дружеството изпълнява дейности по обработка на данни и подготовка на персонализирани съобщения от името и за сметка на своите клиенти. Твърди се, че по силата на договор, сключен със „С.Г.Г.”ООД, „Д.С.”ООД подготвя и изпраща информация към лица, с които „С.Г.Г.”ООД е в някакво отношение. В конкретния случай, приложеното към жалбата Уведомление е подготвено и изготвено от „Д.С.”ООД.

Към становището е приложено заверено ксерокопие на Договор от 14.01.2010г.

С оглед изясняването на факти и обстоятелства по жалбата, с писмо с изх.№П2976/06.07.2012г. и повторно с писмо с изх.№П-5755/01.11.2012г. на Председателя на КЗЛД, от Районен съд– гр.Плевен е изискана информация за хода и резултатите от предприетите от тяхната институция действия по случая.

С писмо с вх.№П-5881/08.11.2012г. от Плевенски районен съд уведомяват Комисията, че има образувано гр.д. №2834/2012г. по описа но ПлРС с ищец „С.Г.Г.”ООД против В.И.В., по което има постановено решение. Към писмото е приложено Решение №1461/10.10.2012г. на ПлРС.

За открито заседание на Комисията за защита на личните данни за разглеждане на жалбата по същество, проведено на 05.12.2012г., страните са редовно уведомени. Жалбоподателката не се явява, не изпраща процесуален представител. За „К.Б.М.”ЕАД се явява юрк. Л.К. За „С.Г.Г.+” ООД се явява юрк.Е.Д.М. с пълномощно по преписката. „М.Б.”ЕАД се представлява от адв.А.П.К. с конкретно пълномощно да представлява дружеството.

В чл.1, ал.2 от Закона за защита на личните данни е гарантирана неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Преценката относно основателността на жалбата следва да се обвърже с наличие на неправомерно обработване на личните данни на жалбоподателката от администратор на лични данни.

В чл.4, ал.1 от ЗЗЛД изчерпателно сапосочени основанията за допустимост за обработване на лични данни. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването. Изричното съгласие на физическото лице, за което данните се отнасят е едно от условията за допустимост за обработване на лични данни, което кореспондира с целта на ЗЗЛД по смисъла на чл.1, ал.2 от Закона.

От приложените от „К.Б.М.”ЕАД копия на Договори за мобилни услуги от 15.04.2005г., от 11.08.2007г. и от 15.02.2008г. е видно, че са налице валидни правоотношения между страните. Г-жа В.И.В. е предоставила доброволно личните си данни с оглед сключените договори. Този факт не се оспорва от жалбоподателката, която потвърждава, че е абонат на Г. От изложеното следва извода, че е налице изричното съгласие на физическото лице по смисъла на чл.4, ал.1, т.2 от ЗЗЛД „К.Б.М.”ЕАД да обработва личните й данни.

От събраните към жалбата писмени доказателства бeзспорно е установено обстоятелството, че „К.Б.М.”ЕАД обработва по смисъла на § 1 от ДР на ЗЗЛД личните данни на жалбоподателката във връзка с договорните отношения между страните.

Жалбата е насочена срещу злоупотреба с личните данни на жалбоподателката, изразяваща се в предоставянето им на трети лица без знанието и съгласието й. По смисъла на §1, т.1 от ДР на ЗЗЛД “разпространяване” на лични данни представлява обработване на лични данни.

Неразделна част от всеки индивидуален договор са Общите условия на Г. за взаимоотношения с потребители на мобилни телефонни услуги. В т.12 от договорите за мобилни услуги, подписани от В.И.В. се съдържа текст, съгласно който с подписването му абонатът декларира, че е запознат и съгласен с Общите условия за ползване на мрежата на Г.. В чл.5 от Общите условия се съдържа текст, съгласно който Г. може да ги изменя и допълва, като информира потребителите на страницата си в Интернет на общодостъпния и публичен адрес: www.globul.bg., предвид на което абонатът се счита уведомен за последващите промени.

В т.43 от Общите условия, се съдържа текст, съгласно който потребителят се съгласява „К.Б.М.”ЕАД да предоставя личните му данни на други физически или юридически лица за целите на събиранията на вземанията, както и за изготвяне на кредитна оценка.

За ползвани услуги жалбоподателката не е заплатила задълженията си по фактури от месец юни и юли 2009г. Тъй като плащане не е постъпило и след отправените на 20.08.2009г. и на 19.09.2009г. покани за доброволно изпълнение, мобилният оператор възлага за събиране на задължението й на „М.Б.”ЕАД на правно основание – сключен на 01.09.2010г. договор, по силата на който изпълнителят приема да организира събирането на неизплатени суми от абонати на Г. На правно основание – сключен на 17.09.2009г. Договор за цесия и Пълномощно от 02.04.2010г., мобилният оператор цедира вземането си към г-жаВ.И.В. на „С.Г.Г.”ООД. Фирмата за събиране на вземания встъпва в правата си на кредитор и предприема различни законосъобразни мерки с оглед събирането на вземането. За извършеното прехвърляне, на жалбоподателката е изпратено Уведомление от „Д.С.”ООД.

От изложеното следва извода, че личните данни на жалбоподателката са обработени законосъобразно от страна на администраторите на лични данни, в съответствие с императивните законови изискания.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, изискващ наличието на установени действителни факти от значение по случая, имайки предвид представените писмени доказателства и становища, Комисията приема, че разгледана по същество жалбата е неоснователна.

Г-жа Мария Матева– член на КЗЛД, гласува с особено мнение, изразяващо се в следното: при неналичие на уведомяване на длъжника по чл.99 от ЗЗД, което е основание за прехвърляне на личните данни от първоначалния кредитор на следващия кредитор по договора за цесия, договорът не е влязъл в сила, поради което счита, че данните на В.И.В. са предоставени неправомерно.

Съгласно изискванията на чл.23, ал.1 от ЗЗЛД, администраторът на лични данни предприема необходимите технически и организационни мерки, за да защити данните от случайно или незаконно унищожаване, или от случайна загуба, от неправомерен достъп, изменение или разпространение, както и от други незаконни форми на обработване.

Видно от Уведомление с изх.№67/24.04.2012г. от „К.Б.М.” ЕАД, приложено от В.И.В. към жалбата и към писмо с вх.№С-533/10.10.2012г., мобилният оператор не е изпълнил това задължение. Уведомлението относно извършената цесия съдържа имената и ЕГН на следните лица: А.М.М., Р.П.Р., И.Г.З., Е.Г.Х., В.И.Г., Х.И.Ш., К.А.Б., М.Д.С. и К.Т.С., както и на жалбоподателката. С тези действия администраторът на лични данни е нарушил императивни законови разпоредби, съдържащи се в чл.23, ал.1от Закона за защита на личните данни, като не е предприел необходимите технически и организационни мерки, за да защити личните данни на свои абонати от неправомерното им разпространяване.

На следващо място, на правно основание– Договор от 14.01.2010г. със „С.Г.Г.”ООД, дружеството „Д.С.”ООД подготвя и изпраща информация към лица, с които фирмата за събиране на вземания е в някакви отношения. „Д.С.”ООД изпълнява дейности по обработка на лични данни и подготовка на съобщения от името и за сметка на „С.Г.Г.”ООД, какъвто е и настоящият случай. Видно от приложеното към жалбата уведомление, дружеството е изпратило на г-жа В.И.В. личните данни– имена, ЕГН, номера на договори и адреси, както на жалбоподателката, така и на следните физически лица: А.М.М., А.И.С., А.В.Д., Б.В.Б., Б.Х.В., В.И.Г., В.В.С., В.С.Т., В.Т.Т. и Д.М.Ш. По смисъла на §1, т.1 от ДР на ЗЗЛД „разпространяване” на лични данни е обработване на лични данни.

Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни. Целта на Закона е да гарантира неприкосновеността на личността и личния живот на физическите лица чрез осигуряване на защита при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните. С оглед своите правомощия, съдържащи се в чл.10, ал.1, т.1 от ЗЗЛД да анализира и осъществява цялостен котрол за спазването на нормативните актове в областта на защита на личните данни, Комисията за защита на личните данни констатира от събраните в хода на администартивното производство доказателства, че администраторите на лични данни – „К.Б.М.”ЕАД и”Д.С.”ООД не са предприели необходимите технически и организационни мерки, като са изпратили на жалбоподателката информация по отношение на трети лица. Обемът от личните данни е такъв, че лицата могат да бъдат индивидуализирани. Обработването на лични данни е неправомерно, тъй като разпространявайки данните на други лица, различни от адресата, администраторите на лични данни са нарушили императивна разпоредба, съдържаща се в чл.23, ал.1 от ЗЗЛД.

При определяне размера на налаганите с настоящото решение административни наказания, Комисията се съобрази с характера и степента на нарушенията и обществените отношения, които те засягат. От събраните по административната преписка доказателствата КЗЛД установи, че в случая са нарушени правата на повече от едно физическо лице и взе предвид обстоятелството, че настоящото наказание е първо както за дружеството „К.Б.М.” ЕАД, така и за „Д.С.”ООД.

Водима от горното и на основание чл.38, ал.2 във връзка с чл.10, ал.1, т.1 и т.7 и чл.42, ал.9 от Закона за защита на личните данни, Комисията за защита на личните данни

3. Налага административно наказание – имуществена санкция в размер на 2500 (две хиляди и петстотин) лева на “Д.С.” ООД, БУЛСТАТ: ****, с адрес за кореспонденция: гр.София – 1839, ***** представлявано от Т.Т., затова, че дружеството “Д.С.” ООДв качеството си на администратор на лични данни не е предприело необходимите технически и организационни мерки, за да защити личните данни на абонати на „К.Б.М.”ЕАД от неправомерно разпространяване, с което е нарушен чл.23, ал.1 от Закона за защита на личните данни.

След влизане в сила на решението, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр.София – 1431, бул. “Акад. Иван Гешов” №15 или преведена по банков път:

Банка БНБ- ЦУ

IBAN: BG18BNBG96613000158601

BIC BNBGBGSD

Комисия за защита на личните данни, Булстат 130961721

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София – град.