Решение по жалба с рег. № Ж-20/ 25.01.2013 г.

Комисията за защита на личните данни в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева и Веселин Целков, в заседание, проведено на 26.06.2013г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа по същество жалба с рег.№Ж-20/25.01.2013г., подадена от Н.М.М. срещу „Б.М.Е.Б.” ЕАД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбата отговаря на нормативно установените изисквания, поради което се явява редовна. С решение на КЗЛД, взето на закрито заседание, проведено на 06.03.2013г., жалбата е обявена за допустима, като ответна страна в административното производство е конституирана „Б.М.Е.Б.” ЕАД, а като заинтересована страна е конституирана „Е.М.” ООД.

В Комисия за защита на личните данни е постъпила жалба от Н.М.М., в която се сочи следната фактическа обстановка:

До 31.05.2012г. жалбоподателката е била абонат на „Б.М.Е.Б.” ЕАД, като е използвала услугата цифрова телевизия. Два месеца преди изтичане срока на договора, госпожа Н.М.М. е подала предизвестие за прекратяването му, като е посочила, че след 31.05.2012г. не желае да ползва предоставяната услуга. Служител на дружеството й обяснил, че след посочената от нея дата ще бъде прекъснат сигнала и служител ще вземе предоставеното й оборудване, с което се получава сигнала.

През месец юни 2012г. жалбоподателката е получила писмено съобщение от обслужващата я банка ДСК, с което е била уведомена, че поради наличие на задължение в размер около 180лв.сметката й е блокирана. При проведен разговор с „Б.М.Е.Б.” ЕАД, госпожа Н.М.М. е уведомена, че следва да върне полученото от нея устройство, посредством което е получавала цифрова телевизия и задължението й ще бъде сторнирано.

На 10.09.2012г. жалбоподателката е получила телефонно обаждане от служител на фирма „Е.М.”,с което била уведомена за задължение в размер на около 200лв. към „Б.М.Е.Б.” ЕАД, което провокирало отново да посети офис на дружеството и да поиска документ, който да удостовери липсата на задължения. На същия ден, служител на „Б.М.Е.Б.” ЕАД– П.С. е използвал личните данни на жалбоподателката, стана ли му известни по повод изпълнение на служебните му задължение, за да публикува обява в интернет с цинично съдържание. Обявата съдържала трите имена на госпожа Н.М.М., длъжността й, годините и телефонният й номер.

С влязло в сила определение от 05.12.2012г., постановено по НОХ дело №1167/2012г., подсъдимият П.С. се е признал за виновен по повдигнатото му обвинение и му е наложено наказание лишаване от свобода, чието изпълнение е отложено с изпитателен срок. П.С. е признал, че поради грубо отношение на госпожа Н.М.М. към него решил да си отмъсти, като използва личните й данни за публикуване на цинична обява от нейно име в сайта „Адам и Ева”.

Н.М.М. приема, че администратора на лични данни „Б.М.Е.Б.” ЕАД не е предприел необходимите технически и организационни мерки за защита на личните данни на своите клиенти от неправомерно разпространяване, за цели различни от тези за които са събрани. Жалбоподателката приема също така, че е нарушена разпоредбата и на чл.2, ал.2 и ал.3 от ЗЗЛД и моли Комисията да упражни правата си, като наложи наказание за извършеното нарушение.

Към жалбата като доказателства са приложени: копие от протокол за разпит на обвиняем от 26.09.2012г. по НЧПЗ дело №905/2012г. по описа на РС-К., протокол за разпит на свидетел от 28.09.2012г. по ДП №28/2012г. по описа на СБОП-К., протокол от проведено на 05.12.2012г. съдебно заседание по НОХ дело №1167/2012 по описа на РС-К., споразумение по делото по реда на чл.381-чл.383 от НПК от 28.11.2012г., протокол за деинсталация от 21.06.2012г. и амбулаторен лист от 12.09.2012г.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства е изискано изразяване на писмено становище с представяне на относимите по случая доказателства от „Б.М.Е.Б.” ЕАД.

На 26.02.2013г. е депозирано в деловодството на Комисията писмено становище от ответната страна в производството. Администраторът на лични данни посочва, че видно от приложените към жалбата доказателства се установява, че физическото лице- П.С. е извършил неправомерното обработване на личните данни чрез разпространяването им. Дружеството счита, че не може извършеното нарушение от лицето П.С. да се вмени във вина на „Б.М.Е.Б.” ЕАД.

В становището с уточнява още, че на 30.11.2010г., госпожа Н.М.М. е сключила договор за платена цифрова телевизия DTV80. При сключването на договора е изразила изричното си съгласия свързаните с нея лични данни да бъдат обработвани. „Б.М.Е.Б.” ЕАД приема, че е налице условие за допустимост, визирано в разпоредбата на чл.4, ал.1, т.2 и т.3 от ЗЗЛД. Излагат се доводи, че наличието на условие за допустимост при обработването на личните данни не е спорно, както и че обработването е законосъобразно и добросъвестно и е извършено с цел предоставяната услуга по сключения договор.

Към становището е приложено като доказателство копие от сключеният с жалбоподателката договор и пълномощно на процесуалният представител на ответната страна.

На 26.03.2013г. в деловодството на КЗЛД е постъпило становище от заинтересованата страна, в което се сочи, че между „Е.М.” ООД и „Б.М.Е.Б.” ЕАД има сключени договори от 01.02.2011г.и 01.02.2013г. с предмет, събиране на вземания. Съгласно договора, „Б.М.Е.Б.” ЕАД предоставя на изпълнителя информация относно лицата, които имат неплатени задължения към него. Във формат и съдържание, определени в Приложени №2 от договора. Личните данни на Н.М.М. са предоставени на колекторската фирма в изпълнение на сключеният договор, за да бъдат предприети действия по събиране на дължимата от нея сума. Действията, които предприема „Е.М.” ООД спрямо длъжниците на „Б.М.Е.Б.” ЕАД са: осъществяване на контакти по телефона и кореспонденция чрез изпращане на електрони съобщения– SMS.

„Е.М.” ООД изтъква още, че дружеството е администратор на лични данни, изпълнило е задължението си да се регистрира пред Комисията и е налице правно основание, на което обработва личните данни на жалбоподателката, а именно сключеният с „Б.М.Е.Б.” ЕАД договор. Уточнява се, че на 19.09.2012г. работата по случая на госпожа Н.М.М. е приключена и свързаните с жалбоподателката лични данни са заличени.

Към становището като доказателства са приложени: копие от удостоверение за регистрация като администратор на лични данни, договор за услуги по събиране на вземания от 01.02.2011г., ведно с приложение №2 към него и договор за услуги по събиране на вземания от 01.02.2013г., ведно с приложение №2, пълномощно и удостоверение за актуално състояние на дружеството.

От събраните по административната преписка доказателства се установи следната фактическа обстановка:

На 30.11.2010г. е сключен договор Н.М.М. и „Б.М.Е.Б.” ЕАД, за предоставяне на услугата цифрова телевизия DTV 80. В договора се декларира съгласието на физическото лице по смисъла на чл.4, ал.1, т.2 от ЗЗЛД за обработване на свързаните с него лични данни.

Наличието на договорни отношения не е спорен между страните. В жалбата на госпожа Н.М.М. се сочи, че до 31.05.2012г. е била абонат на „Б.М.Е.Б.” ЕАД. Два месеца преди изтичането на срока на договора, жалбоподателката е депозирала молба, с която е уведомила дружеството, че прекратява договорните отношения между тях и че след 31.05.2012г. не желае да ползва предоставяната й услуга. При подаване на предизвестието за прекратяване на договорните отношения госпожа Н.М.М. твърди, че е заплатила предварително всички дължими абонаментни и други такси.

Ответната страна, въпреки дадената й възможност за ангажиране на доказателства, не е представила други, освен сключеният договор. Не е ангажирала доказателства в насока до кога е била в договорни отношения с жалбоподателката, изплатила ли си е задълженията по договора.

Н.М.М. твърди още в жалбата си, че при подаване на заявлението си за прекратяване на договора й било обяснено, че след 31.05.2012г. сигнала на ползваната от нея услуга ще бъде прекъснат и служители на дружеството ще вземат предоставено й устройство /оборудване/, с което е приемала сигнала. На 01.06.2012г. сигнала е бил прекъснат. Тези твърдения не се оспорват от „Б.М.Е.Б.” ЕАД и не се представят доказателства установяващи противното.

В началото на месец юни 2012г. жалбоподателката е получила писмено съобщение от обслужващата я банка, с което била уведомена, че поради наличието на задължение към доставчика на телевизия сметката й е блокирана и дължимата от нея сума е в размер около 180лв. След проведен разговор с ответното дружество, госпожа Н.М.М. била уведомена, че следва да върне предоставеното й оборудване и задължението ще бъде изчистено. На 10.09.2012г. госпожа Н.М.М. е получила телефонно обаждане от „Е.М.” ООД, с което я информирали, че има задължение в размер на 200лв. към доставчика й на телевизионни услуги.

Видно от дадените на 26.09.2012г., обяснения от П.С. пред разследващ полицай Б., обективирани в протокол, приложен към жалбата се установява, че два месеца преди 10.09.2012г. Н.М.М. е посетила офиса на „Б.М.Е.Б.” ЕАД, пуснала е заявление за отказ от ползваната от нея услуга, платила е нужните такси до края на договора и е върнала оборудването си. Връщането на оборудването е било отразено в системата на дружеството. В системата е останалокато запис, че оборудването се води на името на госпожа Н.М.М. като номер на карта на приемник. Свидетелят уточнява, че протокол за върнато оборудване се съставя веднага при предаването или когато настъпи крайният срок на договора, но в конкретния случай на жалбоподателката не е даван протокол, а в системата е било отразено, че й е върнато оборудването. Към жалбата е приложен протокол за деинсталация от 21.06.2012г.

Следствие на възникналият на 10.09.2012г. конфликт между Н.М.М. и служителя на „Б.М.Е.Б.” ЕАД– П.С. е използвал служебното си положение и е публикувал обява в интернет сайт ***** съдържаща лични данни на жалбоподателката– имена, града, в който живее лицето, телефонен номер, възраст. Данните които са публикувани са взети информационната система на дружеството към което е бил служител. П.С. се е признал за виновен за посоченото деяние и е осъден на основание чл.325, ал.2, предл 2, алт.1 във връзка с ал.1 от НК на лишаване от свобода за срок от 3 месеца. Изтърпяването на наложеното наказание е отложено на основание чл.66, ал.1 от НК.

В тази връзка КЗЛД приема за установено, че договора между страните е действал до 31.05.2012г. и че произтичащите от него задължения за плащане на суми са погасени и дължимото оборудване е върнато на 21.06.2012г.

Комисия за защита на личните данни приема за установено, че е налицеизвършено административно нарушение на ЗЗЛД, от администратор на лични данни- „Б.М.Е.Б.” ЕАД на разпоредбата на чл.23, ал.1 от ЗЗЛД и чл.4, ал.1 във връзка с чл.2, ал.2, т.1 и т.2 от ЗЗЛД.

Нарушението на разпоредбата на чл.23, ал.1 от ЗЗЛД се изразява в това, че администратора на лични данни не е предприел всички технически и организационни мерки за защита на личните данни от неправомерно разпространение. Допуснал е негов служител да обработи личните данни на жалбоподателката незаконосъобразно, чрез използването им за публикуване на обява в интернет с цинично съдържание.

Нарушена е и разпоредбата на чл.4, ал.1 от ЗЗЛД. От събраните доказателства се установи, че администратора на лични данни липсва, което и да било условие за допустимост при обработването на личните данни на госпожа Н.М.М. чрез предоставянето им на фирма за събиране на вземания. Наличието на договорни отношения между „Б.М.Е.Б.” ЕАД и „Е.М.” ООД не е условие за допустимост. Със сключеният договор, администратора на лични данни е изпълнил задължението си писмено да регламентира отношенията си с обработващия лични данни, каквато се явява в конкретния случай колекторската фирма. За да е налице правно основание да се предоставят личните данни на Н.М.М. следва тя да е длъжник на фирмата, която й предоставя услугата, а от направените констатации се установява по безспорен начин, че жалбоподателката не е длъжник на дружеството, а личните й данни са предоставени на „Е.М.” ООД за събиране на вземане, което не е определено нито по размер, нито от какво произтича. „Б.М.Е.Б.” ЕАД, въпреки дадената му възможност да ангажира доказателства за наличието на дълг, респективно основание за предоставяне на данните, не го е сторило.

На следващо място, ответната страна сочи в писменото си становище, че са налице условията за допустимост при обработване на личните данни, посочени в чл.4, ал.1, т.2 и т.3 от ЗЗЛД. Не спорно, че между страните е имало договор за предоставяне на услугата– цифрова телевизия, което е основание за допустимост при обработването. Но целта за този вид обработване са договорните отношения, което не води след себе си автоматично законосъобразността на обработването чрез предоставянето им. Изразеното съгласие на Н.М.М. за обработването на свързаните с нея лични данни е имено в насока на сключеният договор за цифрова телевизия, но липсва съгласие данните да бъдат предоставяни на трети лица, още повече за несъществуващо задължение. Липсата на условие за допустимост при обработването чрез предоставянето на личните данни от администратор на лични данни на обработващ лични данни следва, че са нарушени принципите на законосъобразност и съотносимост на данните към целта, за която са събрани.

Въпреки констатираното извършване на нарушаването на два текста от ЗЗЛД, следва да се отбележи, че по аналогичен случай, по който КЗЛД се е произнесла има съдебна практика в следната насока:

Съставите на нарушения по чл.23, ал.1 и чл.4 от ЗЗЛД са в отношение на поглъщане. Изпълнителното деяние на нарушението по чл.23, ал.1 от ЗЗЛД се осъществява чрез бездействие и се изразява в непредприемане на необходимите мерки за защита на личните данни от неправомерно обработване. Нарушението е формално и за осъществяването му не е необходима настъпването на противоправни последици– осъществена незаконна форма на обработване на лични данни. Защитата е превантивна– цели се защита на отношенията, осигуряващи, гарантиращи ненастъпването на противоправни последици. Изпълнителното деяние по чл.4, ал.1 от ЗЗЛД се осъществява чрез действие и е резултатно– осъществено от администратор на лични данни недопустимо/ неправомерно обработване на лични данни, като е ирелевантно какви са конкретните причини и механизми, които са довил до извършването му. Засягането на обекта за защита с оглед настъпването на съставомерен резултат е с по-голям интензитет и с по-голяма степен на обществена опасност. Поради това, при настъпването на съставомерен общественоопасен резултат, за нарушението на чл.4 от ЗЗЛД, санкционната разпоредба на чл.42, ал.1 от ЗЗЛД предвижда многократно по-голям минимум и максимум на размера на имуществената санкция, която може да наложи КЗЛД в сравнение с минимума и максимума, предвидени като санкция за нарушаването на разпоредбата на чл.23 от ЗЗЛД. Ето защо съдът е възприел, че КЗЛД е нарушила материалния закон при постановяване на своето решение по аналогичен случай с налагането на две санкции за нарушаване на чл.23, ал.1 и чл.4, ал.1, т.2 от ЗЗЛД на едни и същи администратор на лични данни.

От събраните по административната преписка доказателства се установи, че личните данни на госпожа Н.М.М. са обработвани и от „Е.М.” ООД. Обработването е извършено чрез възлагането му от „Б.М.Е.Б.” ЕАД, по повод сключеният между тях договор. В тази връзка „Е.М.” ООД се явява обработващ лични данни, по смисъла на §1, т.3 от ДР на ЗЗЛД. Обработването на личните данни на жалбоподателката е извършено на правно основание за обработващия лични данни– чл.4, ал.1, т.7– наличие и реализиране на законни интереси, които произтичат от сключения договор за възлагане. КЗЛД приема, че жалба в частта насочена срещу „Е.М.” ООД е неоснователна и следва да бъде оставена без уважение.

По смисъла на §1, т.1 от ДР на ЗЗЛД „обработване на лични данни” е всяко действие или съвкупност от действия, които могат да се извършват по отношение на личните данни с автоматични или други средства, като събиране, записване, организиране, съхраняване, адаптиране или изменение, възстановяване, консултиране, употреба, разкриване чрез предаване, разпространяване, предоставяне, актуализиране или комбиниране, блокиране, заличаване или унищожаване. От цитираното определение на понятието „обработване на лични данни” е видно, че всяко едно от посочените действия само по себе си или в определена последователност, представлява обработване на лични данни по смисъла на закона. В конкретния случай, описан в жалбата личните данни са обработени чрез предоставянето им на „Е.М.” ООД. Фактът на обработване на личните данни чрез предоставяне на колекторска фирма не е спорен между страните. Ответната и заинтересованата страна в административното производство категорично заявяват, че е данните са предоставени за обработване по повод сключен договор между двете дружества.

С чл.1, ал.2 от ЗЗЛД се гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Правомерното обработване на личните данни от страна на администраторите на лични данни, съгласно ЗЗЛД следва да се извършва в съответствие с принципите на законосъобразност, целесъобразност и пропорционалност на данните. Наред с това законодателят е предоставил възможност, от една страна, на администраторите сами да определят целите и обема на обработваните данни, а от друга страна- на физическите лица правото да изразят свободната си воля за обработване на техните лични данни.

Във връзка с изложеното, Комисия за защита на личните данни приема, че има извършено административно нарушение на чл.4, ал.1 във връзка с чл.2, ал.2, т.1 и т.2 от ЗЗЛД от „Б.М.Е.Б.” ЕАД. За администратора на лични данни липсва, което и да било условие за допустимост при обработването на личните данни на госпожа Н.М.М. чрез предоставянето им на фирма за събиране на вземания. Липсата на условие за допустимост, води до нарушение на принципите на добросъвестност и законосъобразност, както и на пропорционалност и съвместимост с целите, за които са събрани. За да е налице правно основание да се предоставят личните данни на Н.М.М. следва тя да е длъжник на фирмата, която й предоставя услугата, а от направените констатации се установява по безспорен начин, че жалбоподателката не е длъжник на дружеството, а личните й данни са предоставени на „Е.М.” ООД за събиране на вземане, което не е определено нито по размер, нито от какво произтича. „Б.М.Е.Б.” ЕАД, въпреки дадената му възможност да ангажира доказателства за наличието на дълг, респективно основание за предоставяне на данните, не е представило.

При определяне размера на налаганото с настоящето решение административно наказание, Комисията се съобрази с характера и степента на нарушението и обществените отношения, които засяга.

Комисията установи, че деянието не е извършено при условията на неизбежна отбрана или крайна необходимост, поради което представлява административно нарушение.

При взимане на решението, комисари Мария Матева и Красимир Димитров гласуват с особено мнение. Мотивите им са, че и заинтересованата страна– „Е.М.” ООД, неправомерно е обработила свързаните с госпожа Н.М.М. лични данни, поради което жалбата и в тази й част следва да бъде уважена. От друга страна липсват доказателства за размера на задължението, което следва да бъде събрано, както и дали въобще има такова задължение. По преписката липсват доказателства за наличието на действащ договор между „Б.М.Е.Б.“ ЕАД и „Е.М.“ ООД, което е правното основание за предоставяне на личните данни от едното дружество на другото. Задължението по договора за услуга на „Е.М.“ ООД, е да извършва действия за извънсъдебно събиране на задължения натрупани към „Б.М.Е.Б.“ ЕАД, точно и конкретно определени суми, а не на приблизителни такива. При липса на размер на задължението, което подлежи на събиране, колекторската фирма не би могла да изпълни задължението си по договора. В тази връзка няма правно основание за предоставяне на личните данни от страна на „Б.М.Е.Б.“ ЕАД на „Е.М.“ ООД, съответно няма основание за обработване на личните данни от страна на „Е.М.“ ООД.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административно-процесуалния кодекс (АПК), изискващ наличието на установени действителни факти от значение за случая, имайки предвид представените писмени доказателства и изразени становища, Комисията приема, че разгледани по същество жалбата е основателна, поради което на основание чл.10 ал.1, т.7 във връзка с чл.38, ал.2 и чл.42, ал.1 от ЗЗЛД и чл.39, ал.2 от Правилника за дейността на Комисия за защита на личните данни и на нейната администрация,

1.Обявява жалба рег.№Ж-20/25.01.2013г., подадена от Н.М.М. в частта насочена срещу „Е.М.” ООД за неоснователна.

2.Обявява жалба рег.№Ж-20/25.01.2013г., подадена от Н.М.М. срещу „Б.М.Е.Б.” ЕАД за основателна.

3. Налага на „Б.М.Е.Б.” ЕАД с ЕИК: *****, представлявано от Л.А.Р., със седалище и адрес на управление: гр.София, ******, имуществена санкция в размер на 26000 /двадесет и шест хиляди/ за нарушение на разпоредбата на чл.4, ал.1, във връзка с чл.2, ал.2, т.1 и т.2 от ЗЗЛД, а именно липсва което и да било от посочените в правната норма условия за допустимост при обработване на личните данни чрез предоставянето им на „Е.М.” ООД, вследствие на което това обработване е недобросъвестно и незаконосъобразно, несъотносимо и надхвърлящо целите, за които са събрани личните данни.

Решението да се съобщи на страните по реда на АПК.

Настоящото решение подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.

След влизане в сила на настоящето решение в сила, сумата по наложеното наказание да бъде внесена в брой в касата на Комисията за защита на личните данни, гр. София, бул.„Акад. Иван Гешов”-№15 или преведена по банков път: БанкаБНБ- ЦУ IBAN:BG18BNBG96613000158601 BICBNBGBGSD- Комисия за защита на личните данни, Булстат 130961721.