Решение по жалба с рег. № ППН-01-137/04.02.2019 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Цанко Цолов, Мария Матева и Веселин Целков, на проведено на 20.11.2019г. редовно заседание, на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, параграф1, буква „е” от Регламент 2016/679 разгледа по основателност жалба рег. №ППН-01-137/04.02.2019г., подадена от В.В. срещу дружество за комунални услуги (ДКУ) и частен съдебен изпълнител (ЧСИ).

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Жалбоподателят сезира КЗЛД за сериозна злоупотреба с личните му данни, тъй като му е изпратено запорно съобщение, без да се осъден или да е имал каквито и да било взаимоотношения с ДКУ.

На 21 декември от отдел „Човешки ресурси“ на фирмата, в която работи, г-н В.В. получил запорно съобщение от ЧСИ по дело с ДКУ. Жалбоподателят бил озадачен и шокиран, тъй като никога не е имал каквито и да било взаимоотношения с ДКУ.

От кантората на ЧСИ посочили, че първоначално са получили непълни данни от ДКУ и са помолили за ЕГН и потвърждение на данните на длъжника. От ДКУ са върнали данните на г-н В.В., но с различен адрес от този, на който е живял преди години.

Няколко дни по-късно жалбоподателят получил обаждане с извинение от ЧСИ, потвърждавайки че е станала грешка, за което ще изпратят съобщение за вдигане на запора.

В условията на залегналото в административния процес служебно начало и в изпълнение на чл.26 АПК, за започване на производството са уведомени лицата, срещу които е насочена жалбата. Предоставена е възможността по чл.34, ал.3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения.

ЧСИ информира, че изпълнително дело №***** е образувано на 15.04.2016г. по молба на ДКУ по издаден изпълнителен лист срещу Л.Р., В.В. и М.Р., всички с адрес ***.

При образуване на изпълнителното производство, съдебният изпълнител изпратил съобщение до взискателя с искане да посочи ЕГН на длъжника В.В., подради липсата на такова в приложения изпълнителен лист.

На 26.11.2018г. е входирана молба от ДКУ, в която се посочва ЕГН ******, въз основа на което е наложен запор върху трудовото възнаграждение на В.В. в „М.“ ЕООД.

На 02.01.2019г. е входиран мейл от жалбоподателя и след запознаването с него, запорът е вдигнат.

На 15.01.2019г. е входирана молба от ДКУ с коректен ЕГН на длъжника В.В.

От ДКУ считат, че в случая не се касае за некаконосъобразно обработване на лични данни, а за допусната техническа неточност в резултат на човешка грешка. От фактическа страна се отбелязва следното:

На 23.01.2013г. дружеството депозирало в Софийски районен съд заявление за издаване на заповед за изпълнение по чл.410 от ГПК срещу Л.Р., В.В. и М.Р. Срещу заповедта за изпълнение не е подадено възражение по чл.414 от ГПК и същата е влязла в сила. На 11.03.2013г. в полза на дружеството е издаден изпълнителен лист.

Въз основа на издадения изпълнителен лист и по молба на дружеството, срещу В.В. е образувано изп.д. №***** по описа на ЧСИ. Видно от молбата за образуване на изпълнителното дело, в същата не е посочен единен граждански номер на длъжника. Със съобщение съдебният изпълнител указал на дружеството, че следва да посочи ЕГН на длъжника. В тази връзка с молба до ЧСИ ДКУ е посочила ЕГН на длъжника. Допуснатата грешка е отстранена, доколкото с друга молба е уточнено вярното ЕГН.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Разглежданата жалба съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация (редакция ДВ бр. 10 от 2016г.), а именно: налице са данни за жалбоподателя, естество на искането, дата и подпис, с оглед на което същата е редовна.

Жалбата е процесуално допустима– подадена в срока по § 44, ал.2 от ПЗР на ЗЗЛД от физическо лице с правен интерес. Същата има за предмет твърдение за неправомерно обработване на лични данни на жалбоподателя и е насочена срещу администратор на лични данни. С жалбата е сезиран компетентен да се произнесе орган– Комисията за защита на личните данни, която съгласно правомощията си по чл.10, ал.1 ЗЗЛД във връзка с чл.57, параграф1, буква „е” от Регламент 2016/679 и чл.38, ал.1 ЗЗЛД разглежда жалби, подадени от субекти на данни при нарушаване на правата им по Регламент 2016/679 и ЗЗЛД.

На проведено на 16.10.2019г. закрито заседание на Комисията жалбата е обявена за допустима и като страни в производството са конституирани: жалбоподател В.В. и ответна страна ДКУ и ЧСИ, в качеството на администратори на лични данни. Страните са уведомени за насроченото за 20.11.2019г. открито заседание за разглеждане на спора по същество. За изясняване на случая, от ДКУ е изискана информация по какъв начин дружеството се е сдобило с ЕГН на жалбоподателя и обработва ли личните му данни за други цели.

От ДКУ информират, че с молба-декларация за откриване на партида, подадена от М.Р., е представено Удостоверение за наследници, от което е видно, че законни наследници на досегашния титуляр са: Л.Р., В.В. и М.Р. От същото е видно и дата на раждане на всеки един от тях. ДКУ е водила предходно съдебно производство срещу посочените лица. Същото приключило с решение в полза на дружеството и след издаване на изпълнителен лист е било образувано изпълнително дело при ЧСИ Х. По същото е изискана и направена справка ГРАО, от която дружеството се е снабдило с ЕГН на длъжниците, доколкото са разполагали с дата на раждане на всеки от длъжниците.

На проведеното заседание за разглеждане на жалбата по същество жалбоподателят и ЧСИ не се явяват, не се представляват.

За ДКУ се явяват процесуални представители. Оспорват жалбата. В изпълнение на искането на КЗЛД представят доказателство откъде са се сдобили с ЕГН на жалбоподателя– справка от Агенция по геодезия, картография и кадастър. Заявяват, че лични данни на жалбоподателя не се обработват за други цели.

При така установеното Комисията разгледа жалбата по същество, като я приема за основателна въз основа на следното:

С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни. Целта е да се защитават основни права и свободи на физическите лица, по-специално тяхното право на защита на личните данни.

От събраните доказателства се установява, че на жалбоподателя е наложен запор на трудовото възнаграждение. Запорът е наложен в хода на изпълнително производство при ЧСИ, образувано по молба на ДКУ въз основа на изпълнителен лист, издаден по гражданско дело №***** на Софийски районен съд. В изпълнителния лист са посочени само 3 имена на един от длъжниците, които са идентични с тези на жалбоподателя. След констатиране на липсата на ЕГН, от кантората на ЧСИ изискали ЕГН от взискателя. На 22.11.2018г. от ДКУ предоставили ЕГН-то на жалбоподателя. След установяване на грешката, от дружеството предоставили друго ЕГН– на действителния длъжник.

Предвид изложената фактическа обстановка, ДКУ обработила личните данни на жалбоподателя в обем три имена и ЕГН чрез предоставянето им на ЧСИ за целите на водене на изпълнително производство, без да е налице нито едно от условията за допустимост на обработването по чл.6, параграф1, букви „а“ до „е“ от Регламент 2016/679. Конкретно за случая:

Буква „а“– липсва съгласие за обработване на личните данни по смисъла на чл.4, т.11 от Регламент 2016/679;

Буква „б“– жалбоподателят не е собственик или титуляр на вещно право на ползване в сграда– етажна собственост, присъединена към абонатна станция или към нейно самостоятелно отклонение, с оглед на което не е клиент на топлинна енергия по смисъла на чл.153, ал.1 от Закона за енергетиката. Липсва облигационно правоотношение между жалбоподателя и дружеството. Въобще липсва задължение към ДКУ, тъй като длъжникът е трето лице, с оглед на което не е необходимо обработване на личните данни за изпълнение на задължение по договор;

Буква „в“– не се установи законово задължение, което се прилага спрямо администратора, което да налага обработване на личните данни;

Буква „г“– обработването не е необходимо за защита на жизненоважни интереси на жалбоподателя или на друго физическо лице;

Буква „д“– събирането на вземания не е задача от обществен интерес, а от частен, с оглед на което обработването не е необходимо за изпълнение на задача от обществен интерес. Администраторът в случая е частноправно лице, на което не са предоставени официални правомощия;

Буква „е“– въобще липсва легитимен интерес на администратора да обработва личните данни, тъй като жалбоподателят не е длъжник на дружеството.

Жалбата е неоснователна спрямо ЧСИ. Частният съдебен изпълнител като администратор на лични данни по принцип може да обработва лични данни на физически лица за целите на предоставените му официални правомощия по принудително изпълнение, регламентирани с Гражданския процесуален кодекс и Закона за частните съдебни изпълнители– основание по чл.6, параграф1, буква „д“ от Регламент 2016/679.

Действително, в разглеждания случай жалбоподателят не е длъжник и личните му данни не би следвало да се обработват за целите на изпълнително дело. В случая обаче следва да се разгледат конкретните доказателства по преписката. Изпълнителното дело е образувано съгласно изискванията на чл.426, ал.1 от ГПК– въз основа на молба от взискателя и изпълнителен лист. В изпълнителния лист са посочени само три имена на един от длъжниците– В.В., каквито са и трите имена на жалбоподателя. След констатиране на невъзможността безспорно да се индивидуализира длъжникът, от кантората на ЧСИ са изискали ЕГН от взискателя. От ДКУ предоставили грешното ЕГН, което е довело и до обработването на личните данни от частния съдебен изпълнител, който съгласно чл.19, ал.3 от Закона за частните съдебни изпълнители не може да откаже извършването на изпълнителни действия. Предвид изложеното, личните данни в случая са обработени от ЧСИ законосъобразно и добросъвестно. Освен това, запорът на трудовото възнаграждение на жалбоподателя е вдигнат от частния съдебен изпълнител непосредствено след узнаването за грешката.

При така констатираното нарушение жалбата следва да бъде уважена спрямо ДКУ. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените ѝ функции преценява кое от корективни правомощия по чл.58, пар. 2 от Регламент 2016/679 да упражни. Преценката се основава на съображенията за целесъобразност и ефективност на решението при отчитане на особеностите на всеки конкретен случай и степента на засягане на интересите на конкретното физическо лице– субект на данни, както и на обществения интерес. Правомощията по чл.58, пар. 2, без тази по буква „и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне дължимото поведение в областта на зашитата на личните данни. Административното наказание „глоба” или „имуществена санкция” по чл.58 пар. 2, буква „и” има санкционен характер. При прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента се взема предвид естеството, тежестта и последиците от нарушението, както и всички смекчаващи и отегчаващи отговорността обстоятелства. Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява и целта, преследвана с избраната корективна мярка– предотвратяване или преустановяване на нарушението, санкциониране на неправомерното поведение или и двете, каквато възможност е предвидена в чл.58, пар. 2, буква „и” от Регламент 2016/679.

При преценка на обстоятелствата по преписката Комисията намира, че извършеното нарушение е с висока обществена опасност и следва да бъде наложено административно наказание „имуществена санкция” на ДКУ. Основанията за това в съответствие с чл.83, параграф2 от Регламента са следните:

Буква „а”– предоставянето на личните данни на жалбоподателя на частния съдебен изпълнител е довело до обработването на личните му данни за целите на водене на изпълнително дело. От това са възникнали конкретни неблагоприятни последици– наложен запор на трудовото възнаграждение на г-н В.В. Освен това с молбата си взискателят е възложил проучване на имущественото състояние на длъжника, правене на справки и набавяне на документи, което е било възможно да бъде извършено, тъй като е постановено с Постановление от 29.11.2018г. на помощник-частен съдебен изпълнител от кантората на ЧСИ.

В случая е засегнат само един субект на данни. Няма данни за настъпили материални вреди, вследствие на обработването. Същото обаче е довело до неимуществени вреди– подронване на авторитета на жалбоподателя пред работодателя и колегите му, както и стрес докато се установи грешката;

Буква „б”– нарушението е извършено от юридическо лице, което не формира вина. Действията на представляващите администратора сочат за небрежност. В приложеното по преписката Удостоверение за наследници на М.В., приложено към молба-декларация за откриване на партида за адреса, е посочен наследник В.В. с дата на раждане 21.05.1969г., която съществено се различава от рождената дата на жалбоподателя– 20.12.1985г. Въпреки това, след сдобиване с ЕГН на жалбоподателя тези различия не са установени и е предоставено грешно ЕГН;

Буква „в”– няма данни за материални вреди, за които да бъдат предприети действия за отстраняване. Неимуществените вреди не могат да бъдат отстранени. Тук следва да се отбележи, че запорът върху трудовото възнаграждение е вдигнат служебно от частния съдебен изпълнител, а не по искане на взискателя;

Буква „г”– нарушението не е за непредприемане на технически и организационни мерки;

Буква „д”– няма нарушение на сигурността на данните по смисъла на член 33 от Регламента или други свързани нарушения;

Буква „е”– отстраняването на нарушението не е възможно;

Буква „ж”– обработените лични данни са в обем три имена и ЕГН. Не са обработени специални категории лични данни по смисъла на чл.9 от Регламента, които подлежат на завишена защита.

Буква „з”– КЗЛД е узнала за извършеното нарушение след сезиране от субекта на данни;

Буква „и”– за сходно нарушение на ДКУ е наложено административно наказание „имуществена санкция“ в размер на 10000 лв. с Решение №ППН-01-108/17г. от 01.06.2018г. Решението на КЗЛД е потвърдено от първоинстранционния съд с Решение №692/06.02.2019г., постановено по по адм.д. №7178/2018г. по описа на Административен съд София-град, II отделение 58 състав. Първоинстанционното решение е обжалвано пред Върховния административен съд, по което дело няма произнасяне към момента;

Буква „й”– към момента на обработването няма одобрени кодекси за поведение;

Буква „к”– не са установени.

При така обсъдените смекчаващи и отегчаващи отговорността обстоятелства в тяхната съвкупност Комисията намира, че имуществената санкция следва да е в размер, близък до минималния.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София– град.

След влизане в сила на решението, сумата по наложеното наказание да бъде преведена по банков път:

Банка БНБ– ЦУ

IBAN: BG18BNBG96613000158601 BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

В случай че санкцията не бъде платена в 14-дневен срок от влизане в сила на решението, ще бъдат предприети действия за принудителното му събиране.