Решение по жалба с рег. № ППН-01-80/27.01.2021 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Цанко Цолов, Мария Матева и Веселин Целков, на редовно заседание, проведено на 29.09.2021г., на основание чл.10, ал.1 от Закона за защита на личните данни във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679 разгледа по основателност жалба №ППН-01-80/27.01.2021г., подадена от И.З.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Жалбата постъпи в КЗЛД по компетентност от Районна прокуратура Варна.

В жалбата до прокуратурата се посочва, че на 26.08.2020г. на жалбоподателя е връчена за становище молба на Р.Д., депозирана по ИД 1 по описа на ЧСИ 1, по което същият има качеството на негов длъжник.

В молбата си Р.Д. е посочил, че жалбоподателят е длъжник по ИД 2, което според г-н И.З. не отговаря на истината. Жалбоподателят заявява, че не е бил длъжник на Р.Д. по посоченото изпълнително дело, тъй като задължението, заради което е образувано делото, е погасено още преди да бъде образувано. Въз основа на депозирани доказателства, изпълнителното дело е прекратено на основание чл.433, ал.1, т.1 от ГПК още през 2018г.

В молбата си Р.Д. е посочил, че на 24.04.2020г. ЧСИ2 е изготвила и му е предоставила справка от регистъра на банковите сметки и сейфове за сметките на жалбоподателя.

Жалбоподателят счита, че видно от тази справка, същата е направена на 24.04.2020г. в 10:29:24 ч. на основание вече прекратено още през 2018г. ИД 2.

Г-н И.З. посочва, че изготвената справка от регистъра на банковите сметки и сейфове е информация, която представлява лични данни, защитени от Регламент 2016/679, които не могат да бъдат предоставяни и използвани от Р.Д.

Счита, че е извършено престъпление (доколкото жалбата му е подадена до Районна прокуратура Варна).

В условията на залегналото в административния процес служебно начало и в изпълнение на чл.26 АПК, за започване на производството е уведомено заинтересованото лице– ЧСИ2, вписана с рег. № *** в регистъра на Камарата на частните съдебни изпълнители (накратко по-нататък „ЧСИ2“). Предоставена е възможността по чл.34, ал.3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения. В Комисията постъпи отговор за неоснователност на жалбата.

ЧСИ2 счита, че не следва да се приема от КЗЛД, че банковата сметка представлява „лични данни“, когато се отнася за едни и същи страни по граждански и тьрговски дела. Идентификационните данни на страните се съдържат в тези дела (ЕГН). По тях може да се получат данни за наличието на техни банкови сметки във всяка банка, като банкова тайна представлява само размерът на авоара на титуляра на сметката.

В чл.127, ал.4 от ГПК изрично е прието, че по осъдителен иск за парично вземане ищецът посочва банкова сметка или друг начин на плащане като задължителен реквизит от съдържанието на исковата молба.

В чл.489, ал.1 от ГПК съдебният изпълнител посочва своята банкова сметка, по която за участие в публична продан наддавачите са длъжни да внасят задатък 10% върху началната цена. В Търговския закон чл.13, при регистрация на дружествата, същите следва да посочват тяхната банкова сметка. Така е и в Германия, банковите сметки са обявени публично.

За да се направят правилни изводи от КЗЛД, ЧСИ2 счита, че следва да се вземат предвид особеностите по движението на изпълнителното дело, а именно:

Взискателят адвокат Р.Д. е образувал на 06.06.2018г. изп. дело №*** въз основа на изп. лист от 2018г., издаден от ВРС– 13 състав по НЧХД **/2016г., срещу адвокат И.Д., по силата на който И.З. е осъден да заплати на Р.Д. сумата 1000 лв., представляваща разноски за адвокатско възнаграждение. С Покана за доброволно изпьлнение изх. №*****, получена от длъжника И.З. лично на 13.06.2018г. от призовкаря на кантората, е посочено, че ако не плати доброволно задьлжението си в двуседмичен срок, ЧСИ ще пристьпи кьм принудително изпьлнение по реда на ГПК, чрез удръжки от банкови сметки, трудово възнаграждение и пр.

На 20.06.2018г. постъпила молба от длъжника И.З., чрез адвокат Д.П., с която моли да се прекрати изп.д. №*** на основание чл.433, т.1 и да му се присъдят разноски в размер на 300 лв. Приложено е банково бордеро от 08.02.2018г. за платена сума в размер на 1000 лв., с посочено основание за плащане– НЧХД №**/2016г., с вносител– В.Б. Върху молбата е поставена резолюция: „да се вземе становище от взискателя”.

На 19.07.2018г. постъпило становище от взискателя Р.Д., в което изразява становище, че след направена справка в „БАНКА ДСК“ установил, че по негова сметка, която на никого не е давал, дори на адвоката си, включително и на длъжника И.З., има постъпила на 08.02.2018г. сума 1000 лв., платена от лицето В.Б., че няма взаимоотношения с такова лице и затова на 20.02.2018г. е поискал и му бил издаден изп. лист, защото не е знаел и не е бил уведомен от И.З. за плащането и че тази сметка той ползува само за изплащане на застраховка „БУЛСТРАД-ЖИВОТ“. Приема, че тъй като длъжникът твърди, че тази сума е за погасяване на дълга, той е съгласен делото да се прекрати, като разноските направени от него останат за негова сметка. По отношение на разноските за пълномощника на И.З. взискателят изразява несъгласие.

Последвала жалба от И.З., с която се обжалват действията на ЧСИ за отказ от присьждане на разноски в размер на 300 лв. в негова полза. С определение на ВОС е потвърден отказът на ЧСИ да присъди 300 лв. в полза на И.З. по изп. д. №*** и прекратяването на изп. дело, влязло в законна сила на 21.01.2019г.

На 24.04.2020г. адвокат Р.Д. поискал устно от служителката в кантората справка за банкови сметки на дльжника И.З. по прекратеното изп. дело, като се позовал на плащане на такса от негова страна за такава справка по прекратеното изп. дело. Служителката счела, че няма нищо нередно и предоставила справката. Едва в края на 2020г., след като били разпитани от дльжностно лице от икономическа полиция, разбрали, че е постъпила настоящата жалба от И.З. и че справката по прекратеното изпълнително дело е послужила на Р.Д. за доброволно плащане на негово задължение към И.З. за присъдена сума в размер на 383лв.

Предвид гореизложеното, според ЧСИ2, ако КЗЛД счете за осъществено нарушение, следва да се вземе предвид, че са спазени принципите, свързани с обработването на личните данни на жалбоподателя. Счита, че законосьобразно добросъвестно и прозрачно са обработени личните данни за легитимни цели, дори законен интерес, че няма риск за вреда на жалбоподателя, тъй като се касае за доброволно реализиране на негово вземане чрез плащане, макар и в незначителен размер. От друга страна, жалбоподателят е постъпил по същия начин с доброволно плащане на своето задължение към взискателя Р.Д. по прекратеното изп. дело, но не е заявил по какъв начин се е снабдил с неговата банкова сметка.

По редовността и допустимостта на жалбата КЗЛД намира следното:

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбата, подадена до Районна прокуратура Варна, е съобразена с изискванията за редовност по чл.29 от АПК, чл.38а, ал.2 от ЗЗЛД и по чл.28, ал.1 от Правилник за дейността на Комисията за защита на личните данни и нейната администрация (ПДКЗЛДНА)– налице са данни за жалбоподателя; естество на искането; дата на узнаване на нарушението; лице, срещу което се подава жалбата; дата и подпис.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 от ЗЗЛД от субект на данни с твърдение за нарушени негови права по Регламент 2016/679 или ЗЗЛД. С жалбата е сезиран компетентен да се произнесе орган– Комисията за защита на личните данни, която съгласно правомощията си по чл.10, ал.1 ЗЗЛД във връзка с чл.57, параграф1, буква„е” от Регламент 2016/679 разглежда жалби, подадени от субекти на данни. Налице са предпоставките за допустимост и по чл.27, ал.2 от АПК.

На проведено на 30.06.2021г. закрито заседание на Комисията жалбата е обявена за допустима и като страни в производството са конституирани: жалбоподател И.З. и ответна страна ЧСИ2, в качеството на администратор на лични данни. Страните са уведомени за насроченото за 29.09.2021г. открито заседание за разглеждане на спора по същество.

На проведеното заседание жалбоподателят се представлява от адвокат. Процесуалният представител счита жалбата за основателна. Претендира разноски.

Ответната страна– не се явява, не изпраща представител.

При така установеното Комисията разгледа жалбата по същество, като я приема за основателна въз основа на следното:

С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни, както и правилата по отношение на свободното движение на лични данни. Целта е да се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

Предмет на жалбата е твърдение за неправомерно обработване на лични данни на жалбоподателя, изразяващо се в направена от частен съдебен изпълнител справка в Българска народна банка за притежаваните от него банкови сметки, която справка е направена по прекратено изпълнително дело.

От представените по преписката доказателства се установява, че през 2018г. при ЧСИ2 образувано ИД 2 (или ***) с взискател Р.Д. и ответник И.З.– жалбоподател в настоящото производство. Посоченото изпълнително дело е прекратено към дата 22.01.2019г., видно от Определение №*** по в.гр.д. №*** на Варненски окръжен съд, ГО, V състав.

Видно от представената справка за банкови сметки и сейфове на физическо или юридическо лице от Регистър на банковите сметки и сейфове при БНБ, същата е извършена на 24.04.2020г. във връзка с ИД 2. за лицето И.З.

От сведенията, дадени в настоящото производство, както и пред Районна прокуратура– Варна, се установява, че справката е направена от служител в кантората на ЧСИ2 по устно искане на Р.Д. (взискател по ИД 2) и след заплащане на съответната такса.

Обработването на лични данни от администратори на лични данни е законосъобразно и допустимо, ако е налице някое от основанията, изчерпателно изброени в чл.6, параграф1 от Регламент (ЕС) 2016/679.

Съгласно чл.2, ал.1 от Закона за частните съдебни изпълнители (ЗЧСИ) частен съдебен изпълнител е лице, на което държавата възлага принудително изпълнение на частни притезания.

Съгласно чл.16, ал.1 от ЗЧСИ частният съдебен изпълнител има право на достъп до лични данни на длъжника, когато това е нужно за целите на изпълнението. Съгласно чл.18, ал.1 от ЧСИ по възлагане от взискателя ЧСИ може във връзка с изпълнителното производство да проучва имущественото състояние на длъжника, да прави справки, да набавя документи, книжа и други, да определя начина на изпълнението, както и да бъде пазач на описаното имущество.

Предвид горното, ЧСИ има право да обработва лични данни на длъжника, включително да прави справки, за упражняване на официалните правомощия, които са му предоставени със ЗЧСИ и Гражданския процесуален кодекс (ГПК)– основание за обработване по чл.6, параграф1, буква„д“, предл. второ от Регламент 2016/679.

Съгласно чл.16, ал.1 и чл.18, ал.1 от ЗЧСИ обаче, законодателят е предоставил официални правомощия на ЧСИ да прави справки за длъжника единствено за целите на изпълнението и във връзка с изпълнителното производство. Както беше посочено, справката в БНБ за банкови сметки на жалбоподателя е направена на 24.04.2020г. по ИД2 (или ***) по описа на ЧСИ2, което е прекратено на 22.01.2019г. От това следва, че справката е направена по вече прекратено изпълнително дело, т.е. обработването не е нужно за целите на изпълнението и изпълнителното производство.

Предвид горното, макар първоначално ЧСИ2 да обработва лични данни на жалбоподателя на основание чл.6, параграф1, буква„д“, предл. второ от Регламент 2016/679 за целите на образуване и водене на изпълнителното дело, извършването на справка за банковите сметки на жалбоподателя след прекратяване на изпълнителното дело (след изпълнение на целта на обработването) представлява обработване по начин, който е несъвместим с тези цели. С това администраторът е извършил нарушение на принципа за ограничение на целите по чл.5, параграф1, буква„б“ от Регламент 2016/679, съгласно който личните данни се събират за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели.

Неоснователно е възражението на ЧСИ2, че банковата сметка не следва да се приема за лични данни, когато се отнася за едни и същи страни по граждански и търговски дела, тъй като техни идентификационни данни се съдържат в тези дела (ЕГН) и по тях може да се получат данни за наличието на банкови сметки във всяка банка.

Съгласно чл.4, т.1 от Регламент 2016/679 „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице.

В конкретния случай банковата сметка представлява лични данни от първата категория– всяка информация, свързана с идентифицирано физическо лице, тъй като справката в БНБ е извършена по имена и ЕГН на жалбоподателя, с които е идентифициран. Чрез справката е достъпена допълнителна информация за така идентифицираното лице– данни за всичките му банкови сметки, които са 3 на брой, а както посочва и самият жалбоподател– една от сметките не е предоставяна на никого, освен на застраховател за получаване на плащане. Именно поради тази причина лицето има право на защита на данните му да не стават достояние на трети лица, когато обработването не е необходимо за целите на изпълнителното производство и принудителното изпълнение.

При така констатираното нарушение жалбата следва да бъде уважена. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените ѝ функции преценява кое от корективни правомощия по чл.58, пар. 2 от Регламент 2016/679 да упражни. Преценката се основава на съображенията за целесъобразност и ефективност на решението при отчитане на особеностите на всеки конкретен случай и степента на засягане на интересите на конкретното физическо лице– субект на данни, както и на обществения интерес. Правомощията по чл.58, пар. 2, без тази по буква„и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне дължимото поведение в областта на зашитата на личните данни. Административното наказание „глоба” или „имуществена санкция” по чл.58 пар. 2, буква„и” има санкционен характер. При прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента се взема предвид естеството, тежестта и последиците от нарушението, както и всички смекчаващи и отегчаващи отговорността обстоятелства. Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява и целта, преследвана с избраната корективна мярка– предотвратяване или преустановяване на нарушението, санкциониране на неправомерното поведение или и двете, каквато възможност е предвидена в чл.58, пар. 2, буква„и” от Регламент 2016/679.

Администраторът на лични данни не попада в понятието „предприятие“ по смисъла на § 1, т.1 от ДР на Закона за малките и средните предприятия, тъй като не извършва стопанска дейност, а осъществява властнически правомощия, поради което чл.10г от ЗЗЛД е неприложим.

Предвид посочените правомощия на КЗЛД и тяхната цел, както и след преценка на конкретните смекчаващи и отегчаващи отговорността обстоятелства, обсъдени съгласно изискванията на чл.83, параграф2 от Регламент 2016/679, КЗЛД намира, че нарушението е с висока обществена опасност и следва да бъде наложено административно наказание „глоба“ на ЧСИ2. Конкретните обстоятелства в съответствие с чл.83, параграф2 от Регламента са следните:

Буква„а”– естество, тежест и продължителност на нарушението: Администраторът на лични данни е лице, на което държавата е възложила да осъществява властнически правомощия, с оглед на което отговорността му е завишена. Нарушението е извършено чрез справка в регистър на държавен орган, който не е публичен и общодостъпен. Достъпът на ЧСИ е предоставен единствено за изпълнение на властнически правомощия. Правомощията и задълженията на ЧСИ са подробно разписани в ЗЧСИ и ГПК, а в случая е допуснато нарушение именно на разпоредби от ЗЧСИ, което е довело и до неправомерното обработване. Тук следва да се посочи, че освен достъп до регистъра на БНБ, на частните съдебни изпълнители е предоставен достъп и до редица други регистри, които не са публични и общодостъпни (НБД „Население“ и др.), които следва да бъдат достъпвани единствено при служебна необходимост, а не във всички случаи. Именно поради тези отегчаващи отговорността обстоятелства на администратора следва да бъде наложено административно наказание „глоба“, което ще санкционира неправомерното поведение и ще въздейства предупредително занапред.

Като смекчаващи отговорността обстоятелства се приема, че нарушението е еднократно и с него са засегнати правата само на едно лице, като няма данни за настъпила вреда за лицето, вследствие на обработването.

Буква„б”– дали нарушението е извършено умишлено или по небрежност: нарушението е извършено умишлено– взискателят е заплатил такса, поискал е справката и служителят на частния съдебен изпълнител е направил справката и я е предоставил на взискателя.

Буква„в”– действия за смекчаване на последиците от вредите: не са констатирани вреди, които да подлежат на отстраняване, което е смекчаващо отговорността обстоятелство.

Буква„г”– степен на отговорност предвид въведените технически и организационни мерки: в случая задължението по какъв начин да се обработват данните произтича директно от закона (ЗЧСИ и ГПК), поради което нарушението не отнася до непредприемане на технически и организационни мерки. Именно това прави нецелесъобразно даването на разпореждане на администратора да изготви правила и да предприеме мерки, тъй като правата и задълженията във връзка с обработването са уредени в закона. Това е отечаващо отговорността обстоятелство.

Буква„д”– свързани предишни нарушения: не са установени свързани нарушения– смекчаващо отговорността обстоятелство.

Буква„е”– степен на сътрудничество с надзорния орган за отстраняване на нарушението и смекчаване на неблагоприятните последици: нарушението е довършено (справката е извършена и е предоставена на взискателя), поради което същото не може да бъде отстранено. Последиците от нарушението (узнаване на банковите сметки от трето лице) не могат да бъдат отстранени.

Буква„ж”– засегнати категории лични данни: неправомерно е достъпено до банкови сметки на жалбоподателя (останалите лични данни– имена и ЕГН на жалбоподателя са известни на ответната страна по делото). Целта на банковите сметки все пак е при необходимост да бъдат предоставяни на трети лица за извършване на съответните банкови операции. Не са обработени специални категории лични данни по смисъла на чл.9 от Регламент 2016/679. Това са смекчаващи отговорността обстоятелства.

Буква„з”– узнаване на нарушението от надзорния орган: след сезиране на КЗЛД от субекта на данни чрез прокуратурата.

Буква„и”– налагани предходни корективни мерки и дали са спазени: нарушението е първо за администратора и не са му налагани мерки по чл.58, пар. 2 от Регламент 2016/679, което смекчава отговорността.

Буква„й”– придържане към одобрени кодекси на поведение или сертифициране: към момента на извършване на нарушението няма одобрени кодекси за поведение.

Буква„к”– други обстоятелства: не са установени.

След обсъждане в съвкупност на посочените смекчаващите и отегчаващите отговорността обстоятелства, КЗЛД намира, че административното наказание „глоба“ следва да е в размер, близък до минимума.

Относно направеното от адвоката на жалбоподателя искане за разноски, следва да се има предвид, че съгласно чл.12, ал.3 от АПК в производствата по този кодекс не се заплащат разноски, освен ако това е предвидено в него или в друг закон, както и в случаите на обжалване на административни актове по съдебен ред и при предявяване на иск по този кодекс. В специалния закон (ЗЗЛД) не е уредена възможността за присъждане на разноски при разглеждане на жалби по чл.38 от ЗЗЛД. В производството по издаване на индивидуални административни актове по Глава пета, раздел I от АПК, чиито разпоредби се прилагат за неуредените в ЗЗЛД и Регламент 2016/679 случаи, също не е предвидена възможността за присъждане на разноски, освен пътни и други разходи по чл.47, ал.2 от АПК, каквито в настоящия случай не се претендират.

Предвид горното, искането за разноски за адвокатско възнаграждение следва да бъде отхвърлено. В този смисъл е Решение №9833/17.07.2020г. по адм.д. №13339/2019г. по описа на Върховния административен съд на Република България, Пето отделение.

Така мотивирана и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни

Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му чрез Комисията за защита на личните данни, пред Административен съд Варна.

След влизане в сила на решението, сумата по наложеното наказание да бъде преведена по банков път:

Банка БНБ– ЦУ

IBAN: BG18BNBG96613000158601 BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721

В случай че санкцията не бъде платена в 14-дневен срок от влизане в сила на решението, ще бъдат предприети действия за принудителното му събиране.