Решение по жалба с рег. № Ж-972/30.09.2014 г.

Комисията за защита на личните данни в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, в открито заседание, проведено на 17.02.2015г. (Протокол №7), на основание чл.10, ал.1, т.7 от Закона за защита на личните данни (ЗЗЛД), разгледа жалба с рег.№Ж-972/30.09.2014г. отЯ.И.В. срещу „М.” ЕАД.

Административното производство пред Комисията за защита на личните данни е образувано на основание чл.38 от Закона за защити на личните данни.

Комисията за защита на личните данни (КЗЛД) е сезирана с жалба, съдържаща твърдения за злоупотреба с лични данни, изразяваща се в предоставянето им на трети лица без знанието и съгласието на жалбоподателката. Госпожа Я.И.В. посочва, че е сключила договор за фиксирана услуга с „М.” ЕАД преди три години. Без да е уведомена от оператора за наличие на неизплатени задължения, както и за прехвърлянето им на трети лица, „М.” ЕАД предоставя личните ѝ данни на „Ф.П.К.” ООД.На 24.09.2014г. е получила писмо от фирмата за събиране на вземания. Счита, че е извършена злоупотреба с личните й данни и моли Комисията за защита на личните данни с оглед правомощията си да предприеме съответните действия и мерки по случая.

Към жалбата не са приложени доказателства.

Жалбата, подадена от Я.И.В. срещу „М.” ЕАД е съобразена с изискванията на КЗЛД съгласно Правилника за дейността на Комисията за защита на личните данни и на нейната администрация и съдържа необходимите нормативно определени реквизити. Комисията е сезирана от физическо лице, при наличието на правен интерес, подадена е в срока по чл.38, ал.1 от ЗЗЛД.

В чл.27, ал.2 от АПК законодателят обвързва преценката за допустимостта на искането с наличие на посочените в текста изисквания. Приложимостта на Закона за защита на личните данни е свързана със защитата на физическите лица във връзка с обработването на техните лични данни от лица, имащи качеството администратори на лични данни по смисъла на легалната дефиниция на чл.3 от Закона, каквото качество безспорно притежават „М.” ЕАД и „Ф.П.К.” ООД. Това изискване се явява абсолютна процесуална предпоставка, с оглед на което следва да се прецени допустимостта на жалбата.

При извършена служебна проверка вРегистъра на администраторите на лични данни и на водените от тях регистри, поддържан от КЗЛД, е установено, че „М.” ЕАД и „Ф.П.К.” ООД са изпълнили задълженията си по чл.17 от ЗЗЛД и са вписани в Регистъра на администраторите на лични данни и на водените от тях регистри към КЗЛД съответно с УИН50151 и УИН316676.

Съгласно чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, при сезирането й Комисията за защита на личните данни разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по този закон, както и жалби на трети лица във връзка с правата им по този закон.

В заседание, проведено на 04.12.2014г. (Протокол №54), Комисията обявява жалбата за допустима и я насрочва за разглеждане по същество на 11.02.2015г. Конституира като страни в административното производство жалбоподателката Я.И.В. и ответни страни- „М.” ЕАД и „Ф.П.К.” ООД в качеството им на администратори на лични данни.

КЗЛД повторно задължава „Ф.П.К.” ООД да предостави становище по жалбата, доказателства, че вземането от г-жа Я.И.В. е възложено на дружеството от М., както и други относими доказателства.

С писмо изх.№П-7037/17.10.2014г. на Председателя на КЗЛД, от жалбоподателката е изискано копие на договор с М., както и други относими доказателства. В случай, че по конкретния повод е сезирала и други органи, изискани са входящи номера на жалбите.

В отговор, с писмо вх.№П-7535/30.10.2014г. г-жа Я.И.В. депозира копие на Договор №М2604073 и Приложение №1 към него.

В условието на служебното начало, на основание чл.26 от АПК, с писмо изх.№П-7034/17.10.2014г. на Председателя на КЗЛД, „М.” ЕАД е уведомено за откритото в КЗЛД административно производство. На основание чл.36 от АПК от администратора на лични данни е изискано становище, както и относими доказателства към жалбата.

В становище с вх.№П-7519/29.10.2014г. „М.” ЕАД сочи, че с жалбоподателката е сключен договор №М2604073 на 02.09.2011г. за предоставяне на електронни съобщителни услуги. Във връзка с договора са налице неизплатени задължения за периода от 10.09.2011г. до 28.02.2012г. на обща стойност 101.30лв., поради което достъпът до мрежата е прекратен и на г-жа Я.И.В. са начислени неустойки. С оглед събирането на вземането, по силата на договор от 30.04.2013г., операторът предоставя личните й данни на „Ф.П.К.” ООД. На посоченото дружество е възложено да събере за периода от 10.10.2013г. до 10.04.2014г. неизплатените суми от жалбоподателката от името и за сметка на М. По силата на договор от 19.06.2014г. и анекс към него, „М.” ЕАД повторно е възложило на „Ф.П.К.” ООД да събере неизплатените от Я.И.В. суми за периода от 20.06.2014г. до 20.12.2015г. За целта, фирмата за събиране на вземания е предприела предвидените в договора действия за извънсъдебно събиране на задълженията. М. посочва, че жалбоподателката е декларирала съгласието си в т.4.2 от индивидуалния договор, личните ѝ данни да бъдат предоставяни от страна на оператора на трети лица с цел събиране на вземания по съответния договор.

Към писмото са приложени заверени копия на: пълномощно за представителство; Договор №М2604073; 2 бр. фактури и приложения към тях; Общи условия и Договор от 30.04.2013г.

С писмо изх.№П-7033/17.10.2014г. на Председателя на КЗЛД, на основание чл.26 от АПК, „Ф.П.К.” ООД е уведомено за откритото в КЗЛД административно производство. На основание чл.36 от АПК от администратора на лични данни е изискано становище, както и относими доказателства към жалбата.

В отговор „Ф.П.К.” ООД депозира становище с вх.№С-799/17.12.2014г., в което сочи, че по силата на договор от 30.04.2013г. за събиране на вземания, от М. е възложено за събиране неизплатеното задължение на г-жа Я.И.В. За целта мобилният оператор предоставя списък, съдържащ личните данни на свои неизправни абонати, в т.ч. и на жалбоподателката. В изпълнение на договорните си задължения, дружеството организира с различни законосъобразни средства събиране на вземанията. Посочва, че личните данни на жалбоподателката са обработени законосъобразно, поради което счита жалбата за неоснователна. Към становището са приложени копия на: пълномощно на М.Г. и договор от 30.04.2013г.

Жалбата е насочена срещу злоупотреба с личните данни на жалбоподателката, изразяваща се в предоставянето им на трети лица без знанието и съгласието ѝ. По смисъла на § 1 от ДР на ЗЗЛД, „предоставяне” на лични данни представлява обработване на лични данни.

Законът за защита на личните данни изисква обработването на лични данни от страна на администратора на лични данни, да се осъществява законосъобразно и добросъвестно, при спазване неприкосновеността на личността и личния живот, чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните. В тази връзка, в чл.2, ал.2 законодателят установява принципите, на които следва да бъде подчинено правомерното обработване на данните на физическите лица от администратори на лични данни, като тези принципи в своята цялост се отнасят към конкретните хипотези, уредени в чл.4, ал.1 от ЗЗЛД, които обуславят допустимостта на обработване на данните.

При преценка относно основателността на жалбата, КЗЛД изследва наличието на неправомерно обработване на личните данни на жалбоподателката.

За разглеждане на жалбата по същество в откритото заседание на Комисията за защита на личните данни, проведено на 11.02.2015г. (Протокол №6), страните са редовно уведомени. Жалбоподателката, както и ответните страни не се явяват и не изпращат процесуални представители. КЗЛД отлага вземането на решение за пълен състав на Комисията.

В чл.4 от Закона за защита на личните данни се съдържат императивни разпоредби, в които законодателят е указал в кои случаи е допустимо обработването на лични данни. Изричното съгласие на физическото лице, за което данните се отнасят е едно от условията за допустимост за обработване на свързаните с него лични данни. Не е спорно обстоятелството, че между жалбоподателката и „М.” ЕАД е налице валидно правоотношение. В жалбата г-жа Я.И.В. посочва, че е абонат на М. от преди три години и в подкрепа на изложеното депозира договор с №М2604073 и Приложение №1 към него. В становище с вх.№П-7519/ 29.10.2014г. мобилният оператор изпраща заверено копие на същия договор. Жалбоподателката е предоставила доброволно личните си данни с оглед сключения с „М.” ЕАД договор за мобилни услуги, от което следва извода, че е налице изричното ѝ съгласие по смисъла на чл.4, ал.1, т.2 от ЗЗЛД операторът да обработва личните ѝ данни с оглед сключения договор.

Видно от фактури №0239082800 и №0236655907 и приложенията към тях, адресирани до жалбоподателката, за ползвани услуги са налице неизплатени задължения. На правно основание- договор от 30.04.2013г., договор от 19.06.2014г. и Анекс от 03.09.2014г. към него, „М.” ЕАД възлага на „Ф.П.К.” ООД събиране на вземането от Я.И.В. В т.4.2 от индивидуалния договор абонатът декларира съгласието си М. да предоставя личните му данни на трети лица за целите на събиране на неизплатени задължения.

Я.И.В. заявява, че няма неизплатени задължения към мобилния оператор, но не предоставя доказателства в тази насока. Възраженията на жалбоподателката за погасяването на задълженията по давност касаят гражданско-правни взаимоотношения, преценката на законосъобразността на които не е включена в компетентността на административния орган.

Нормата на чл.24, ал.1 от ЗЗЛД допуска възможността администраторът на лични данни да обработва данните чрез възлагане на обработващ данните. В конкретния случай „Ф.П.К.” ООД, въпреки самостоятелното си качество на администратор на лични данни, по отношение на „М.” ЕАД има качеството обработващ лични данни по смисъла на §1, т.3 от ДР на ЗЗЛД. Този извод произтича от обстоятелството, че дружеството ползва (употребява) личните данни на абонати, имащи качеството длъжник, от името и за сметка на оператора, с цел събиране на просрочени задължения към него.

Съществуването на посочените взаимоотношения водят до задължение на администратора на лични данни, възлагайки обработване на лични данни да докаже, че отношенията му с обработващия лични данни са уредени с нормативен акт, писмен договор или с друг акт на администратора, в който се определя обемът на задълженията, възложени от администратора на лични данни. На основание договор от 30.04.2013г. и договор от 19.06.2014г., М. упълномощава фирмата за събиране на вземания да организира с всички законосъобразни средства събирането на вземането си от жалбоподателката. С цитираните договори не се прехвърлят вземания, а срещу договорено възнаграждение фирмата за събиране на вземания предприема извънсъдебни действия по събирането на задължения. „Ф.П.К.” ООД изпълнява договорните си задължения, като с извънсъдебна покана уведомява г-жа Я.И.В. за наличието на неизплатено нейно задължение към М. Този факт се потвърждава в жалбата, в която г-жа Я.И.В. посочва, че от фирмата за събиране на вземания е узнала за дължими суми към оператора. В настоящия случай и за „Ф.П.К.” ООД е налице условие за допустимост за обработване на личните данни на г-жа Я.И.В., съдържащо се в разпоредбата на чл.4, ал.1, т.3 от ЗЗЛД, съгласно която обработването е необходимо за изпълнение на задължения по договор, по който физическото лице, за което се отнасят данните, е страна.

Съгласно разпоредбата на чл.6, ал.1 от ЗЗЛД, Комисията за защита на личните данни е независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъп до тези данни, както и контрол по спазването на Закона за защита на личните данни.При анализ на събраните в хода на административно производства доказателства не се установява неправомерно обработване на личните данни на Я.И.В. от страна на администратор на лични данни, нито нарушаване на правата ѝ по Закона за защита на личните данни.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в процесуалното производство, съгласно чл.7 от Административнопроцесуалния кодекс, Комисията за защита на личните данни приема, че разгледана по същество жалбата е неоснователна.

Господин Цанко Цолов и господин Цветелин Софрониев– членове на КЗЛД, гласуват с особенно мнение, изразявашо се в следното:

Задължение на администратора на лични данни съгласно чл.20, ал.1 от ЗЗЛД е, когато личните данни не са получени от физическото лице, за което те се отнасят, администраторът или негов представител му предоставя данните, които идентифицират администратора или неговия представител; целите на обработването на личните данни; получателите или категориите получатели, на които могат да бъдат разкрити; данните за задължителния или доброволния характер на предоставяне на данните и последиците от отказ за предоставянето им, както и информация за правото на достъп и правото на коригиране на събраните данни. Законът не прави разлика дали става въпрос за администратор на лични данни или негов представител. И в двата случая задължението за уведомяване на физическото лице по чл.20, ал.1 от ЗЗЛД е вменено на съответния администратор на лични данни. В този смисъл е Решение №15611 от 19.12.2014г. на ВАС, че фирмите, които събират просрочени задължения конкретно към мобилен оператор не са обработващи, а администратори на лични данни.

„Ф.П.К.” ООД независимо дали е администратор на лични данни на самостоятелно основание или е обработващ лични данни, т.е. представител на администратор на лични данни, не е изпълнил задължението си по чл.20, ал.1 от ЗЗЛД и не е предоставил информация на жалбоподателката на какво основание обработва личните ѝ данни; не е указал основание за възникване на задължението и същото не е индивидуализирано по размер и срок.

Поради горното, считат жалбата в частта срещу „Ф.П.К.” ООД за основателна.

Водима от горното и на основание чл.10, ал.1, т.7 във връзка с чл.38 от Закона за защита на личните данни, Комисията за защита на личните данни

Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София– град.