Решение по жалба с рег. № ППН-01-159/14.11.2017 г.

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 29.05.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни, респективно чл.57, §1, буква„е“ от Регламент(ЕС)2016/679 на Европейския парламент и на Съвета от 27април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента), разгледа по същество жалбa №ППН-01-159/14.11.2017г. подадена от И.Д.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията за защита на личните данни е сезирана с жалба, подадена от И.Д., в която са изложени твърдения за неправомерно обработване на личните му данни от телекомуникационен оператор (Т.О.) за сключени без негово знаниеисъгласие договори за услуги на 16.08.2017г. и 21.08.2017г.

Жалбоподателят информира, че на 02.11.2017г. е бил уведомен по телефона от представител на финансова институция (Ф.И.), че има ликвидни и изискуеми задължения към Т.О. в размер на 258 лв., които следва да заплати. Допълва, че по този повод на следващия ден посетил офис на мобилния оператор и установил, че личните му данни са използвани за сключени на 16.08.2017г. и на 21.08.2017г. договори с дружеството, които е категоричен, че не е сключвал, както и че подписите положени под договорите не са негови. Твърди, че е налице злоупотреба с личните му данни и неправомерното им използване за целите на посочените договори. Информира, че в договорите е посочен адрес различен от този който е по документа му за самоличност и на който никога не е бил регистриран, както и че в единия от договорите са вписани данни от документ за самоличност – лична карта изтекла през 2014г., а същои че в някои от приложенията към договорите е посочено друго име на абоната– Дж. и Дк. Жалбоподателят моли Комисията за проверка по случая и информира, че с казуса е сезирал и РУП – Г.Д., където е образувана преписка УРИ ****

Към жалбата са приложени относими доказателства.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от Т.О. е изискано писмено становище.

В отговор от дружеството изразяват становище за неоснователност на жалбата, с приложени към него относими доказателства. Твърдят, че жалбоподателят е абонат на дружество и страна по следните договори: 1. договор, сключен на 14.07.2017г. за фиксирани и мобилни услуги и допълнителни пакети и приложение №1 към него относно приемо-предавателен протокол за закупени устройства; 2. договор, сключен на 16.08.2017г. за мобилни услуги и допълнителни пакети и приложение №2 към него относно приемо-предавателен протокол за закупени устройства; и 3. договор, сключен на 21.08.2017г. за фиксирани и допълнителен пакет и приложение №3 към него относно приемо-предавателен протокол за закупено устройство. Допълват, че поради отказ на абоната за инсталиране на заявена ТВ услуга, която е част пакетна услуга – фиксиран интернет през мобилна мрежа, телевизия през сателитна технология и мобилна услуга, договорът от 14.07.2017г. за пакетната услуга е прекратен по отношение на ТВ услугата. Сочат, че по сключения между страните договор на 21.08.2017г. еизвършена инсталация на адрес ******.

Твърдят, че във връзка с договорите жалбоподателят има ликвидни и изискуеми задължения към дружеството в размер на 1130,22 лв. отразени в издадени от Т.О. фактури №**1, №**2, №**3, №**4, №**5 от2017г.исметки№**1, № **2, №**3, №**4, №**5, №**6, №**7, №**8, №**9, №**10 и №**11 от 2018г. Информират, че за целите на събиране на задълженията личните данни на жалбоподателя са предоставени на Ф.И., а отношенията между дружествата са уредени с договор за събиране на вземания сключен на 13.11.2013г.

С оглед изясняване на случая от правна и фактическа страна и предвид твърденията на жалбоподателя, от РУП – Г.Д. е изискана информация за образуваната по случая преписка и данни за хода ѝ.

В отговор от Районното управление информират за образувана преписка УРИ №*****, вх. №*** по описа на Районна прокуратура Г.Д., по която се извършва проверка във връзка с подадена от И.Д. жалба за сключени договори с Т.О. от името на тъжителя.Сочат, че е изготвена графична експертна справка относно обстоятелството подписал ли е тъжителя посочените от него договори и конкретизират, че материалите и документите по преписката са в Районна прокуратура – Г.Д. От последната е предоставено заверено копие на експертна справка №***.

На проведено на 14.03.2018г. заседание на Комисията жалбата е приета за редовна и процесуално допустима, като подадена в законоустановения срок от физическо лице с правен интерес срещу надлежна страна– администратор на лични данни. Като страни в производството са конституирани: жалбоподател -И.Д., ответна страна– Т.О и заинтересована страна – Ф.И. ЕООД. Насрочено е открито заседание за разглеждане на жалбата по същество на 04.04.2018г., като жалбоподателят е уведомен за събраните по преписката доказателства и възможността, да се запознае с тях и да изрази становище, да представи нови доказателства и/или да направи искания по доказателства.

Ответната страна също е уведомена за възможността да се запознае с предоставена от Районна прокуратура – Г.Д. заверено копие на експертна справка №*** за извършено графическо изследване на относими по случая документи. Видно от протокол ППН-01-159#18/30.03.2018г. процесуалният представител на дружеството се е запознал със събраните по преписката доказателства и в частност с експертната справка.

Ф.И. изразява писмено становище за неоснователност на жалбата. Твърдят, че въз основа на сключен на 13.11.2013г. между Т.О. и Ф.И. договор за събиране на вземания Т.О. е предоставил личните данни на жалбоподателя за събиране на неизплатени в срок ликвидни и изискуеми задължения, във връзка с които са осъществените с жалбоподателя контакти от страна на Ф.И. Информират, че не разполагат с документи касаещи възникване, промяна и прекратяване на договорните отношения между Т.О. и неговия абонат и допълват, че по искане на възложителя– Т.О. „обработката на случая е прекратена".

В хода на производството Т.О. са предоставени относими по случая доказателства, в това число и кореспонденция с РУП-Г.Д. относно проверка по преписка *** образувана по жалба на И.Д. касаеща сключените на 16.08.2017г. и 21.08.2017г. договори за услуги.Видно от приложеното писмо изх. №*** по описа на Т.О., адресирано до РУП-Г.Д. дружеството информира, че процесните договори са сключени от служител на Н.К. – търговски представител на Т.О.

Във връзка с установените по случая нови обстоятелства като страна в производството е конституирано Н.К. и от последното са изискани писмено становище и доказателства. Взето е решение за назначаване на почеркова експертиза относно сключения на 21.08.2017 r. договор за услуги и приложенията към него, като на жалбоподателят е указана възможността, от която не се е възползвал, да представи материал за изготвянето й. Нарочено е открито заседание за което страните са редовно уведомени.

Предвид изложените в проведеното на 03.04.2019г. открито заседание твърдения от представител на Н.К., че процесните договори са сключени не от Н.К., а от трето лице Ф., дружество с което Н.К. има търговски отношения, чрез служител на дружеството В.С., Комисията конституира като ответна страна в производството и Ф. Насрочено е ново открито заседание за разглеждане на жалбата по същество за 29.05.2019г., за което страните са редовно уведомени.От Ф. са изискани становище и относими доказателства, но такива не са ангажирани.

В хода на производството от Н.К. са представени незаверени копие натрудов договор №*** по описа на Ф., сключен между дружеството и В.С., заповед №**** за прекратяването му, длъжностна характеристика и договор за подизпълнение, сключен на15.04.2016г. между Н.К. и Ф.

На проведено на 29.05.2019г. заседание на КЗЛД, жалбата е поставена за разглеждане по същество.

Жалбоподателят– редовно уведомен, не се явява, не се представлява.

Ф.– редовно уведомено, не се представлява.

Ф.И.– редовно уведомено, не се представлява.

Т.О.– редовно уведомено, представлява се от М.П., с пълномощно по преписката и А.Д.– изпълнителен директор на дружеството, които оспорват жалбата. Представят и Комисията приема, като относими към предмета на спора, заверено копие на: Инструкция за работа с чувствителна информация на Т.О.ЕP.PC.ER.01.WI.01; Политика за предотвратяване на измами ЕP.EM.ER.01.P0.01; Списък на присъствали на, проведено на 01.03.2019г.,обучение относно GDPR и техните задължения свързани със сключени с Т.О. договор за партньорство; Извадка от Инструкция №1 към процедура за сключване на договор с физически лица и Общи условия към нея; Договор за обработка на данни, сключен между Т.О. и Н.К. на 25.05.2018г.; Приложение №1 към Рамков договор за предоставяне на услуги от 14.04.2016г. Не сочат други доказателства, нямат искания по доказателствата.

Н.К.– редовно уведомено, представлява се от Е.Б.– управител на дружеството, който твърди, че е запознат със събраните по преписката доказателства, не сочи нови доказателства и няма искания по доказателствата.

Процесуалният представител на Т.О. поддържа изразеното становище за неоснователност на жалбата по отношение на мобилния оператор. В допълнение посочва, че едва в настоящето производството дружеството е уведомено, че Н.К. използва доизпълнител за сключване на договори за предоставяни от Т.О. услуги. Твърди, че преупълномощаването е в нарушение на сключения между страните договор и без писмено разрешение на Т.О. Счита, че не следва да се ангажира отговорност на оператора, доколкото личните данни не са събрани от него, а процесните договори са представени на дружеството от Н.К. и същите от формална страна са изрядни – съдържат задължителните реквизити и за дружеството са били налице основание да счита, че са действителни. Твърди, че дружеството е създало всички необходими технически и организационни мерки и условия за законосъобразно обработване на лични данни и моли Комисията да остави жалбата без уважение.

В заседанието управителят на Н.К. потвърждава, че процесните договори са сключени от Н.К., като последното е използвало подизпълнител Ф. от чиито служител са подписани договорите. Не отрича, че липсва писмено разрешение, респективно съгласие от Т.О. за преупълномощаването. Твърди, че за дружеството не е имало основание да счита същите за недействителни доколкото съдържат всички реквизити.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от Административно-процесуалния кодекс, изискващ наличието на установени действителни факти, имайки предвид събраните писмени доказателства и наведените от страните твърдения Комисията приема, че разгледани по същество жалба ППН-01-157/14.11.2017г. е частично основателна.

При постановяване на решението е отчетена настъпилата, в периода от извършване на твърдяното нарушение, респективно подаване на жалбата в КЗЛД до разглеждането ѝ по същество, промяна в правната рамка в областта на защита на личните данни и факта, че от 25.05.2018г. се прилага Регламент(ЕС)2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и обстоятелството, че от 02.03.2019г. е в сила Закон за изменение и допълнение на Закона за защита на личните данни. Отчетен е и факта, че Регламент(ЕС)2016/679 има пряко действие, аюридически факти и породените от тях последици настъпили преди прилагане на Регламента, следва да се преценяват според материалния закон, който е бил в сила към момента на тяхното възникване. В конкретният случай такива са материалните разпоредби разписани в ЗЗЛД в редакцията преди 02.03.2019г., с оглед обстоятелството, че юридическите факти и правните последици свързани с обработването- събиране на данните и сключване на процесните договори е извършено на 16.08.2017г. Отчетен е и факта, че разпоредбата на чл.23, ал.1 и чл.4, ал.1 от ЗЗЛД (отменени, но действали към дата на осъществяване на обработването) кореспондира с разпоредбата на чл.25, §1 и чл.6, §1 от Регламента и не им противоречат, като и двете разпоредби вменяват задължение за законосъобразно обработване на личните данни при наличие на условие за допустимост на обработването и при предприети технически и организационни мерки за защита на данните.

Предмет на жалбата са твърденията на г-н И.Д. за неправомерно обработване на личните му данни за сключени на 16.08.2017г. и 21.08.2017г., без негово знание и съгласие, договори за услуги предоставяни от Т.О.

От събраните по преписката доказателства безспорно се установи наличието на договор по описа на Т.О., сключен на 16.08.2017г. за предоставяне на мобилни услуги и допълнителни пакети, приложение №1 към него за СИМ карти *** и **** и устройство с ****** с ценови пакет „*****",Допълнително приложение към Приложение №1 на договора за допълнителен пакет „*******“, Допълнително приложение към Приложение1 за ползване на допълнителен пакет „****“, Приложение №3 към договора, а също и Приемо­предавателен протокол за закупено крайно устройство Таблет Pixi 4.7 и Таблет Pixi 4.8.

Безспорно установено е и наличието на договор по описа на Т.О. от дата 21.08.2017 r. за предоставяне на мобилни услуги,Приложение №1 към него относно СИМ карти *** и **** и заявен интернет пакет „****", Допълнение към Приложение №1 към договора относно активиране на допълнителен ТВ пакет ,,****", Приложение №3 и Приемо ­ предавателен протокол за закупено крайно устройство модел ***. Не е спорно и наличието на договор между страните Т.О. и И.Д., сключен на 14.07.2017г., който не е предмет на жалбата.

Видно от съдържанието на процесните договори и приложенията към тях е, че съдържат информация за жалбоподателя в обем – три имена и единен граждански номер, която има характера на лични данни, предвид обстоятелството, че чрез нея лицето може да бъде индивидуализирано безспорно.

Положените под договорите от 16.08.2017г. и 21.08.2017 г . и приложенията към тях подписи за абоната са оспорени от страна на жалбоподателя г-н И.Д., а заключението на извършената по случая експертна справка №***, по описа на РУП – Г.Д. е категорична, че подписите изпълнени на местата „Място за полагане на подпис на абоната“ в договора сключен с Т.О. на 16.08.2017г. и приложенията към него не са положени от лицето И.Д.

От събраните по преписката доказателства и изложените от управителя на Н.К. и от процесуалния представител на Т.О. твърдения се установи, че договорите са сключени от Н.К., като следва да се отбележи, че всичките са сключени в **** и са подписани от служител „За продавача“ В. С. Косвени доказателства за последното се съдържат и в представен по преписката приемо-предавателен протокол от 21.08.2017г. за закупени крайно устройство, в което е посочено, че е подписан в магазин на Н.К. в ****.Изложените от Н.К. твърденията, че договорът е сключен от подизпълнител на дружеството, а именно Ф. и по-конкретно от В.С. служител на дружеството не се подкрепят от представените по преписката доказателства. В договорите и приложенията към тях е посочен служител с инициалиВ.С., което не може по категоричен начин да се установи, само по тази информация дали се касае за В.С., още повече че при съпоставка между подписа положен под трудовия договор на лицето и подписите положени от В. С. под процесния договор за услуги не се установяват сходства.

Във връзка с горното Комисията намира за безспорно установено, че личните данни на жалбоподателя са обработени от Н.К., в хипотезата на събиране и употреба, за сключване на договора от 16.08.2017г. и приложенията към него, без знанието и съгласието на жалбоподателя и без наличие на валидни договорни отношения. Обработването не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон, както и за реализиране на законните интереси на администратора, които да са преимуществени пред интересите на физическото лице.В тази връзка се налага извода, че данните са обработени от Н.К. без наличие на условие за допустимост на обработването в нарушение на чл.4, ал.1 от ЗЗЛД (отменен) и са нарушени правата на лицето сезирало КЗЛД.

Горният извод не може да бъде споделен по отношение на сключения на 21.08.2017г. договор за услуги и приложенията към него, предвид обстоятелството, чепо преписката липсват доказателства в подкрепа на твърденията на г-н И.Д., същите оспорени от ответните страни, за неправомерно обработване на личните му данни за целите на договора. На жалбоподателят е дадена възможност да представи сравнителен материал за изготвяне на експертиза на договора, от която същия не се е възползвал, с оглед което жалбата в тази ѝ част Комисията единодушно приема жалбата за неоснователна, като недоказана.

Безспорно, от събраните по преписката доказателства, се установи,че данните на жалбоподателя са обработени и от Т.О. във връзка със събиране на произтичащи от договорa задължения, за целите на което същия се съхранява от Т.О. Комисията намира, че макар данните съдържащи се в договора да са събрани не от Т.О., а от Н.К., за Т.О. не е отпаднало, а напротив е налице задължение произтичащо от чл.23, ал.1 от ЗЗЛД (отменен), респективно след 25.05.2018г. задължение по чл.25, §1 от Регламента, да предприеме необходимите технически и организационни мерки за защитата им от неправомерно обработване от страна на Т.О. По преписката са налични разписани от оператора инструкции и мерки за защита на данните, които в конкретния случай Комисията счита, че не са приложени и са само формални, доколкото не са спазени по отношение на процесния договор. В подкрепа на това заключение е обстоятелството, че на стр. 1 в договора е посочено, че е сключен с Т.О., като графата „партньор на Т.О.“ не е попълнена. Същата съгласно уточненията се попълва „в случай че договорът е подписан в магазин от партньорската мрежа“, както се установи от събраните по конкретния случай доказателства. Отделно от това по преписката липсват доказателства, например приемо-предвателни протоколи или друго доказателство, за това кога и как договора е предаден на Т.О. Не на последно място в договора и приложенията към, него са налице разминавания в името на абоната, които не са констатирани от страна на Т.О., а именно в първа страница е посочен като И.Д., на втора и трета страница И.Дж., същия посочен в приложенията, като И.Дк., като следва да се отбележи, че на страница втора, след т.6, на договора липсва подпис на абоната, т.е. договора не съдържа всички реквизити, а съдържащите се такива са противоречиви и неточни. Тези несъответствия не са констатирани от Т.О. и въпреки уведомяване от страна на жалбоподателя, за което свидетелства писмо от Т.О. до г-н И.Д. по повод жалба с вх. №***, дружеството не е предприело организационни мерки за прекратяване на неправомерното обработване или поне за проверка по случая. В тази връзка Комисията с мнозинство от три гласа приема, че от страна на Т.О. е налице нарушение на чл.23, ал.1 от ЗЗЛД (отменен), респективно чл.25, §1 от Регламента, доколкото обработването продължава и след 25.05.2018г., а именно непредприети технически и организационни мерки във връзка с обработването на лични данни от страна на дружеството по договор от 16.08.2017г. Несъгласни с последното Цветелин Софрониев и Веселин Целков– членове на Комисията гласуват с особено мнение, като считат, че жалбата е неоснователна по отношение на Т.О.

С оглед характера и вида на констатираните нарушения, Комисията намира, че корективните мерки по чл.58, §2, буква„а“, „б“,„в“, „г“, „д“, „е“, „ж“, „з“ и „й“ от Регламента са неприложими и нецелесъобразни в случая, предвид тежестта на нарушенията и обстоятелството, че същите е довършени, като от тях са произтекли и вреди за жалбоподателя. В тази връзка намира за целесъобразно, пропорционално и възпиращо налагането на корективна мярка по чл.58, §2, буква„и“ от Регламента, а именно налагане на имуществени санкции на Н.К. и Т.О., като счита, че същите ще имат предупредително действие и ще допринесе за спазване на установения правов ред. Като освен чисто санкционна мярка, реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие. Администраторът е длъжен да познава закона и да спазват неговите изисквания, още повече, че дължат необходимата грижа, предвидена в ЗЗЛД и Регламента и произтичаща от предмета му на дейност, кадровия и икономически ресурс.

Комисията съобразявайки целта на наказанието, естеството и тежестта му, обществените отношения които засяга и категориите лични данни засегнати от него, определя, като пропорционална за извършеното от Н.К. нарушение, санкция в размер на 10000 лв.– размер много под средния минимум предвиден в Регламента за това нарушение, същия предвиден като минимален в нормата на чл.42, ал.1 от ЗЗЛД (отменен) за нарушение на чл.4, ал.1 (отменен)от същия закон.

При определяне на размерът на санкцията и в съответствие с условията по чл.83, ал.2 от Регламента, Комисията съобрази, че се касае за нарушение на правата на едно лице, а санкционираното дружество е малко предприятие по смисъла на закона и нарушението е първо за него и същото е съдействало за разкриване на фактите и обстоятелствата в административното производство. Като утежняващи обстоятелства при определяне на размера на санкцията Комисията взе предвид, че нарушението е довършено с акта на своето извършване и е неотстранимо, а същото е станало известно на КЗЛД в следствие сезирането ѝ от потърпевшото лице. Като утежняващо обстоятелство е отчетен и факта, че обработваните лични данни в обем от три имена и единен граждански номер и същите са използвани за създаване на финансова и договорна обвързаност на лицето. Обстоятелствата по чл.83, ал.2, буква„б“ и „и“ от Регламента са неотносими доколкото се касае за администратор на лични данни– юридическо лице, които не формират вина, а към момента на извършване на нарушението одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.

По отношение на Т.О. Комисията намира, че наложената санкция за нарушение на чл.23, ал.1 от ЗЗЛД (отменен), респективно чл.25, §1 от Регламента следва да е в размер на 2000лв., като последния намира за пропорционален на тежестта на нарушението.

При определяне на размерът на санкцията на мобилния оператор и в съответствие с условията по чл.83, ал.2 от Регламента, Комисията съобрази, че се касае за нарушение на правата на едно лице, като дружеството е съдействало за разкриване на фактите и обстоятелствата в административното производство. Като утежняващи обстоятелства при определяне на размера на санкцията Комисията взе предвид, че нарушението е довършено с акта на своето извършване и е неотстранимо, а същото е станало известно на КЗЛД в следствие сезирането ѝ от потърпевшото лице, както и пасивното поведениe на дружеството. Като утежняващо обстоятелство е отчетен и факта, че обработваните лични са използвани за създаване на финансова и договорна обвързаност на лицето, както и факта, че нарушението не е първо за администратора. Обстоятелствата по чл.83, ал.2, буква„б“ и „и“ от Регламента са неотносими доколкото се касае за администратор на лични данни– юридическо лице, които не формират вина, а към момента на извършване на нарушението одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни,

След влизане в сила на решението, сумата по наложените наказания да бъде преведена по банков път:

Банка БНБ– ЦУ, IBAN: BG18BNBG96613000158601, BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София – град.