Решение по жалба с рег. № Ж-172/27.04.2016 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: членове– Цанко Цолов, Цветелин Софрониев и Веселин Целков, на редовно заседание, проведено на 07.06.2017г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по основателност жалба с рег. №Ж-172/27.04.2016г., подадена от Л.М.К. срещу „БНПППФ” ЕАД.

Жалбоподателката информира, че на 20.04.2016г. е посетила магазин в гр. Варна във връзка със закупуване на стоки на изплащане. Дружеството, което е предложило възможността за потребителски кредит било „БНП Париба– лични финанси”– част от „БНПППФ” ЕАД. Изискали от нея да представи лична карта, от която снели копие и ѝ разяснили, че това е единственият начин да ѝ бъде предоставена услугата. Госпожа Л.М.К. посочва, че е получила одобрение за услугата, но впоследствие отказала да се възползва от нея и поискала да ѝ бъде даден договора, който същата твърди, че не е подписвала, както и копието на личната ѝ карта, на което е положила своя подпис и е удостоверила, че е вярно с оригинала. Служителка на дружеството отказала да върне изисканите документи, като същата ѝ обяснила, че не може да ги унищожи, тъй като са ѝ необходими за досието, което остава в базата им данни.

В допълнение Л.М.К. посочва, че през цялото време копието от личната ѝ карта е стояло на видно място и всички посетители са били в състояние да го видят, както и да направят снимка, ако пожелаят.

В тази връзка са поставените въпроси от страна на жалбоподателката– редно ли е ответното дружество да задържи копието на личната ѝ карта и да разполага с личните ѝ данни след като се е отказала от услугата и не е негов клиент.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от ответното дружество е изискано да представи писмено становище и относими към случая доказателства.

От „БНПППФ” ЕАД изразяват становище чрез юрисконсулт П.Л. (рег. №П-6251/23.08.16г.). В него се посочва, че във връзка с кандидатстване за потребителски кредит жалбоподателката е подписала декларация за предоставяне на лични данни, в която се съдържа и направеното копие на личната ѝ карта. Преди подписване на договора за кредит госпожа Л.М.К. е оттеглила желанието си за встъпване в договорна обвързаност и същият не е бил подписан. Жалбоподателката поискала да ѝ бъде предоставен оригиналът на подписаната от нея декларация, съдържаща и копието на личната ѝ карта. Служителят отказал, поради задължение на дружеството да запази декларацията за срок от 12 месеца във връзка с изпълнение на задължение по договор за предоставяне на информация от базата данни на Националния осигурителен институт.

Към становището е приложено копие на декларация за предоставяне на лични данни с №*** от 20.04.2016г., съдържащо и копие на личната карта на жалбоподателката.

При извършената служебна проверка в Регистъра на администраторите на лични данни и на водените от тях регистри, поддържан от Комисията, се установи, че дружеството е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД и е регистрирано като администратор на лични данни с идент.№119.

На проведено на 12.04.2017г. заседание на Комисията жалбата е приета за процесуално допустима и като страни в административното производство са конституирани: жалбоподател– Л.М.К. и ответна страна– „БНПППФ” ЕАД в качеството на администратор на лични данни. Страните са редовно уведомени за насроченото за 07.05.2017г. заседание на Комисията за разглеждане на жалбата по същество.

При така установената фактическа обстановка Комисията разгледа жалбата по същество, като я приема за неоснователна въз основа на следните правни изводи:

Законът за защита на личните данни (ЗЗЛД) урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалната дефиниция, дадена в чл.2, ал.1 от ЗЗЛД, лични данни са всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. Данните, съдържащи се в личната карта, на която е направено копие, безспорно имат качеството на лични данни по смисъла на цитираната разпоредба.

В чл.4, ал.1 от ЗЗЛД са разписани условията, при наличието на които е допустимо обработването на лични данни на физическите лица. Законодателят е възприел, че обработването на лични данни на физически лица, следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването. Първоначално „БНПППФ” ЕАД обработва лични данни на жалбоподателката въз основа на дадено изрично съгласие от Л.М.К. по чл.4, ал.1, т.2 от ЗЗЛД– в декларация за предоставяне на лични данни №***. В нея жалбоподателката е декларирала, че е запозната, че предоставената от нея информация съдържа лични данни и тя е необходима предпоставка, за да бъде разгледано искането за кредит. Освен това, дружеството обработва личните данни и на основание чл.4, ал.1, т.3, предл. 2 от ЗЗЛД– обработването е необходимо за действия, предхождащи сключването на договор и са предприети по искане на физическото лице, за което се отнасят.

По повод питането на Л.М.К., дали ответното дружество има право да разполага с личните ѝ данни, след като не е станала техен клиент, следва да се има предвид, че по смисъла на §1, т.1 от Допълнителните разпоредби на Закона за защита на личните данни „съхраняването” на личните данни от „БНПППФ” ЕАД е действие по обработването им и следва да се извършва в съответствие с разпоредбите на Закона за защита на личните данни.

Ответното дружество има сключен договор за предоставяне на информация от базата данни на Националния осигурителен институт (НОИ) на основание чл.33, ал.5, т.11 от Кодекса за социално осигуряване. Договорът е сключен с оглед гарантиране правомощието на НОИ за осъществяване на контрол относно спазването на задължението за получаване на предварително съгласие от проверяваните лица, кандидатстващи за финансова услуга, преди предоставяне на информация от базата данни на НОИ. В изпълнение на указанията, дадени от Комисията за защита на личните данни в становище с рег. №П-6838/12.02.2013г., НОИ и „БНПППФ” ЕАД са определили срок от 12 месеца за съхраняване на личните данни на клиенти, които са обработени във връзка с дейността на дружеството, включително и за случаите, когато е налице отказ на кандидатстващото лице да бъде предоставена търсената от него финансова услуга, с оглед на което администраторът на лични данни законосъобразно е съхранил личните данни на жалбоподателката.

В хода на производството постъпи Протокол №4/28.04.2017г., с който са унищожени всички оттеглени/отказани искания за кредит към „БНПППФ” ЕАД за периода от 01– 30 април 2016г. след постигане на целта на тяхното обработване, включително и декларацията за предоставяне на лични данни на жалбоподателката.

Комисията за защита на личните данни като взе предвид фактите и обстоятелствата, изнесени в настоящото административно производство, и на основание чл.38, ал.2 от ЗЗЛД,

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София– град.