Решение по жалба с рег. № ППН-01-231/22.12.2017 г.

Комисия за защита на личните данни („Комисията”/„KЗЛД”) в състав: членове– Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков, на редовно заседание, проведено на 28.03.2018г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по основателност жалба с рег.№ППН-01-231/22.12.2017г., подадена от Б.Р.Р. срещу „Н.Б.” („Н.”) ЕООД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Комисията е сезирана с информация, че около месец преди депозиране на жалбата г-н Б.Р.Р. започнал да получава на мобилния си телефон анонимни обаждания от скрити номера. Получавал и съобщения със заплашително съдържание. Обаждащите се са знаели телефонния му номер; марката, модела и регистрационния номер на личното му МПС, както и домашния му адрес, три имена и ЕГН.

След направено собствено проучване жалбоподателят установил, че заплахите идват от лицето Р.В.И. Тя, от своя страна, е получила личните му данни от служител на „Н.” ЕООД, а именно– Г.М., която работи в офиса на дружеството в гр. Монтана, с което жалбоподателят има сключен договор за доставка на услуги от 19.11.2013г. След като разбрал, че личните му данни са предоставени от служител на това дружество, на 04.12.2017г. посетил офиса и разговарял с управителя му. Докато траел разговорът се присъединила и г-жа Г.М., която заявила, че именно тя е предоставила личните данни на Р.В.И.

Процесуалният представител на г-н Б.Р.Р. счита, че „Н.” ЕООД, като администратор на лични данни, е допуснало нарушение по чл.19, ал.1, т.3 ЗЗЛД, тъй като не е взело необходимите мерки да не допусне предоставяне на лични данни на жалбоподателя на неоторизирани лица. Предоставянето е станало без съгласието, знанието и уведомяването на лицето, чиито данни са разкрити. Р.В.И. не е от категорията на лицата, на които личните данни могат да бъдат разкрити и за които заинтересованата страна е уведомена при сключване на договора с оператора. Предоставянето на лични данни съгласно §1, т.5 от ДР на ЗЗЛД са действия по цялостно или частично пренасяне на лични данни от един администратор към друг или трето лице на територията на страната или извън нея.

В жалбата е изразено становище, че дружеството е нарушило и разпоредбата на чл.23, ал.1 ЗЗЛД– с посочването на единен граждански номер, в съчетание с трите имена и адреса на лицето, администраторът не е направил необходимото за тяхното правомерно обработване, като е допуснал трети лица да узнаят личните данни.

С оглед изложеното, процесуалният представител моли Комисията да уважи жалбата срещу „Н.” ЕООД и да издаде задължително предписание на основание чл.10, ал.1, т.5 ЗЗЛД, както и да наложи на администратора имуществена санкция за нарушение на чл.19, ал.1, т.3 ЗЗЛД.

Направено е искане за присъждане на направените в производството разноски, включително адвокатско възнаграждение.

Към жалбата са приложени: два договора за доставка на услуги, тристранно споразумение, договор за правна защита и съдействие.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от ответното дружество е изискано да представи писмено становище и относими към случая доказателства.

С писмо изх.№ППН-01-231/2017#1/17.01.2017г. „Н.” ЕООД е уведомено на основание чл.26 от АПК за образуваното административно производство. Предоставена е възможност за изразяване на становище с относими доказателства.

От „Н.” ЕООД ангажират становище рег.№ППН-01-231#2(17)/23.01.2018г. за неоснователност на жалбата.

Управителят информира, че дружеството е доставчик на телекомуникационни услуги– интернет и телевизия. В процеса на своята дейност дружеството събира и обработва следните лични данни: имена, ЕГН, адрес, телефонен номер. Дружеството не събира и не обработва данни досежно марка, модел и регистрационен номер на МПС-та на своите абонати. В жалбата са изложени твърдения, че лицето Г.М. е предоставило на Р.В.И. лични данни на жалбоподателя, а именно: имена, ЕГН, адрес, телефонен номер, марка, модел и регистрационен номер на личното му МПС. Управителят счита, че тези твърдения противоречат на приложените към жалбата доказателства. Видно от договорите за доставка на услуги и от тристранното споразумение, в тях не фигурират данни досежно марка, модел и регистрационен номер на МПС на абоната Б.Р.Р.

След извършена проверка по случая и снетите обяснения от служителя Г.М. от „Н.” ЕООД установили следната фактическа обстановка:

Б.Р.Р. е служител на ОДМВР– Монтана. Същият се познавал с Г.М. от преди и не във връзка с обстоятелството, че е абонат на „Н.” ЕООД, а по повод това, че същият ѝ оказал съдействие при регистрация на личното ѝМПС в КАТ– Монтана. В тази връзка жалбоподателят предоставил телефонния си номер на г-жа Г.М., която го записала в личния си телефон.

Г.М. се познава и с лицето Р.В.И. При среща, проведена между тях в кафене в извънработно време, Р.В.И. я уведомила, че ще си закупува ново МПС и я попитала дали познава Б.Р.Р., тъй като са познати, но му е изгубила номера. Г-жа Г.М. заявила, че го познава и продиктувала от личния си телефон номера на жалбоподателя.

При посещението на г-н Б.Р.Р. в офиса на дружеството служителката го уведомила, че е предоставила само телефонния му номер.

По правото от „Н.” ЕООД считат следното:

Съгласно становище на КЗЛД рег.№Ж-363/19.12.2012г. информацията за телефонен номер може да се разглежда като лични данни единствено в съвкупност с други индивидуализиращи данни за лицето, като например– три имена, адрес, ЕГН. Следователно телефонен номер, предоставен самостоятелно, не попада в обхвата на определението за лични данни и поради това не се ползва от защитното действие на ЗЗЛД.

Per argumentum a fortiori г-жа Г.М. е знаела телефонния номер на жалбоподателя, като го е узнала не в качеството си на служител на „Н.” ЕООД, а в лично качество. Управителят счита, че в случая без никакво основание е намесено името на „Н.” ЕООД, а действителната цел на жалбата е реализиране на печалба за сметка на дружеството, което по същество е злоупотреба с правото на подаване на жалба.

Към становището са приложени: удостоверение рег.№28239/19.11.2013г. на ОДМВР– Монтана, писмено искане на жалбоподателя до „Н.” ЕООД с искане спрямо Г.М. да бъдат предприети съответните мерки.

В Комисията е постъпило и допълнително становище от „Н.” ЕООД с рег.№ППН-01-231#7(17)/14.03.18г., към което са приложени: обяснение от служителя Г.М. до управителя на дружеството, както и трудовият ѝ договор.

Управителят счита, че от показанията се установяват два правнорелевантни факта: че Г.М. е предоставила само телефонния номер на Б.Р.Р., с който е разполагала много преди да почне работа в „Н.” ЕООД.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба №ППН-01-231/22.12.2017г. съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация, а именно: налице са данни за жалбоподателя, естество на искането, дата и подпис, с оглед на което жалбата е редовна.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес. Същата има за предмет твърдение за неправомерно обработване на лични данни на жалбоподателя. При извършената служебна проверка в поддържания от Комисията Регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружеството е изпълнило задължението си по чл.17, ал.1 от ЗЗЛД и е регистрирано като администратор на лични данни с идент. №187763.

С жалбата е сезиран компетентен да се произнесе орган– Комисия за защита на личните данни, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

На проведено на 28.02.2018г. закрито заседание на Комисията жалбата е обявена за процесуално допустима и като страни в административното производство са конституирани: жалбоподател– Б.Р.Р. и ответна страна– „Н.Б.” ЕООД. Страните са редовно уведомени за насроченото за 28.03.2018г. заседание на Комисията за разглеждане на жалбата по същество.

На заседанието жалбоподателят се представлява от адвокат В., която поддържа изложеното в жалбата, че лични данни на довереника ѝ, в обем– ЕГН, три имена, адрес и телефонен номер, са предоставени от служител на дружеството на трето лице. Пълномощникът прави доказателствено искане за изискване на записи от видеонаблюдение от 04.12.2017г., направени в офиса на дружеството, с които да се докаже признанието от страна на служителката. От името на доверителя си претендира и разноските, за които по преписката е представен Договор за правна защита и съдействие.

Ответната страна– не изпраща представител.

Комисията отхвърля така направеното доказателствено искане за изискване на аудио и видеозапис от камерите на „Н.” ЕООД от 04.12.2017г. Счита, че така направеното самопризнание не е направено пред орган на власт, поради което не следва да приеме като доказателство. В допълнение към обсъденото, към становище на администратора са приложени обяснения от служителката на дружеството, направени за целите на производството пред КЗЛД, в които същата е посочила, че е предоставила на трето лице само телефонен номер. Доколкото в жалбата е отбелязано, че „Г.М. е заявила, че именно тя е предоставила личните данни”, видеозаписът от камерите не би разкрил точния обем на предоставените данни.

При така установената фактическа обстановка Комисията разгледа жалбата по същество, като я приема за неоснователна въз основа на следните изводи:

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране нанеприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

Съгласно легалната дефиниция, дадена в чл.2, ал.1 от ЗЗЛД, лични данни са всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано пряко или непряко чрез идентификационен номер или чрез един или повече специфични признаци. В жалбата са изложени твърдения, че са обработени незаконосъобразно данни за жалбоподателя в обем: три имена; ЕГН; адрес; телефонен номер; регистрационен номер, марка и модел на личното му моторно превозно средство (МПС), които данни безспорно имат качеството „лични” по смисъла на чл.2, ал.1 от ЗЗЛД, тъй като чрез тях г-н Б.Р.Р. може да бъде пряко индивидуализиран.

В чл.4, ал.1 от ЗЗЛД са разписани условията, при наличието на които е допустимо обработването на лични данни на физическите лица. Законодателят е възприел, че обработването на лични данни на физически лица следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването. За да е налице законосъобразно обработване на лични данни, същото следва да се извършва при стриктното спазване на принципите за тяхното обработване, визирани в чл.2, ал.2 от ЗЗЛД.

От твърденията на страните в производството, подкрепени с представените доказателства, безспорно се установи, че между дружеството „Н.” ЕООД и жалбоподателя Б.Р.Р. има договорни отношение за предоставяне на услуги. Администраторът обработва законосъобразно лични данни на жалбоподателя за целите на договор– на основание дадено изрично съгласие от г-н Б.Р.Р. и за изпълнение на задължение по договор, по който физическото лице е страна. Посочените основания са условия за допустимост на обработването, посочени в чл.4, ал.1, т.2 и 3 ЗЗЛД.

Жалбоподателят твърди, че личните му данни са предоставени от служител на „Н.” ЕООД на трето лице, което е действие по обработването им по смисъла на § 1, т.1 от ДР на ЗЗЛД. То също следва да се извършва в съответствие с разпоредбите на ЗЗЛД.

От събраните доказателства, включително и от обясненията на Г.М., се установи, че служителката е предоставила на трето лице телефонния номер на Б.Р.Р. В жалбата се твърди, че предоставените данни са освен телефонен номер и: три имена; ЕГН; адрес; марка, модел и регистрационен номер на МПС. В хода на производството не са представени доказателства, които да свидетелстват, че предоставените данни са в посочения обем, поради което твърдението на жалбоподателя остава недоказано.

Съгласно изразено от КЗЛД Становище с рег.№Ж-363/19.12.2012г. от 06.03.2013г. информацията за телефонен номер не може да индивидуализира конкретно физическо лице, поради което не попада в понятието „лични данни”, когато не е в съвкупност с други данни, индивидуализиращи лицето, какъвто е настоящия случай.

За изчерпателност следва да се отбележи, че Комисията споделя изразеното от „Н.” ЕООД, че информацията за регистрационен номер, марка и модел на МПС не се обработват от дружеството. Тази информация не е от задължителните реквизити на индивидуален договор при общи условия между предприятието, предоставящо обществени електронни съобщителни услуги, и крайния потребител, посочени в чл.228, ал.1 от Закона за електронните съобщения. От събраните доказателства и представените договори не се установи такива данни да се обработват от „Н.” ЕООД.

При гласуване на решението г-жа Мария Матева изрази особено мнение, което е приложено към същото и е неразделна част от него.

Комисията за защита на личните данни, като взе предвид фактите и обстоятелствата, изнесени в настоящето административно производство, и на основание чл.38, ал.2 от ЗЗЛД,

Настоящото решение подлежи на обжалване в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София– град.

Гласувам с особено мнение Решението по настоящата жалба предвид обстоятелството, че според мен жалбата срещу „Н.Б.“ ЕООД не е изяснена от фактическа страна.

В производството пред Комисията бе направено доказателствено искане от страна на процесуалния представител на жалбоподателя адв. В. Според нея в ответната дружество „Н.Б.“ ЕООД е налице видео и гласов запис от 04.12.2017 година, доказващ твърденията на жалбоподателя за неоторизиран достъп до личните му данни от страна на служителка на това дружество. Според процесуалния представител на жалбоподателя този запис съдържа самопризнание на служителката на дружеството за неоторизиран достъп до личните данни на жалбоподателя.

В условията на залегналото в административния процес служебно начало, за Комисията за защита на лични данни /КЗЛД/ е налице задължение за служебно събиране на доказателства и изясняване на действителните факти от значение за производството.

В настоящия случай КЗЛД отказа да допусне и съответно да изиска този запис.

КЗЛД следваше да изпълни законовото си задължение и да изследва въпроса дали администратора „Н.Б.“ ЕООД е въвел необходимите технически и организационни мерки за предотвратяване на неоторизиран достъп до личните данни, които обработва от страна на и на собствените си служители.

Предвид това считам, че постановеното от КЗЛД Решение по жалба №Ш1Н-01-231/22.12.2017 година е постановено при неизяснена и непълна фактическа обстановка.

С оглед горното подписвам Решението с особено мнение.