Решение по жалба с рег. № ППН-02-150/12.03.2019 г.

Комисията за защита на личните данни (КЗЛД) в състав: Цанко Цолов, Цветелин Софрониев, Мария Матева и Веселин Целков на заседание, проведено на 24.07.2019г., на основание чл.10, ал.1 от Закона за защита на личните данни, респективно чл.57, §1, буква „е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента), разгледа по същество жалба ППН-02-150/12.03.2019г., подадена от Г.Б.И.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

В Комисията за защита на личните данни е постъпило писмо с вх. №ППН-02-150/12.03.2019г., с което Г.Б.И. уведомява за съставено от служител на Териториалната дирекция на НАП София (ТД на НАП София) постановление за налагане на обезпечителни мерки по изпълнително дело №****. Г-жа Г.Б.И. информира, че след телефонен разговор с публичния изпълнител, е получила информация, че наложената обезпечителна мярка и запора на сметките ѝ са вследствие на получено уведомление по Спогодба за взаимопомощ и информация за възникнали данъчни задължения в Дортмунт, Германия. Изложени са твърдения за неправомерно обработване на личните ѝ данни и евентуална измама.

С оглед изясняване на факти и обстоятелства е извършена проверка резултатите от която са отразени в констативен акт ППН-02-333/11.06.2019г. по описа на КЗЛД.

Проверката е открита на 23.04.2019г. в ТД на НАП София, ул. „Аксаков” №21. Заповедта за проверка е връчена на и.д. директор А.Г. На същата дата проверяващият екип е посетил Дирекция „Събиране” при ТД на НАП София, находяща се в гр. София, ул. „Триадица” №2. Оказано е съдействие от Е.С.– главен публичен изпълнител, Д.С.– началник сектор ОСПВ „8”, И.К.– началник отдел „Публични вземания”.

Съгласно представена Заповед №ЗЦУ-41/17.01.2012г. Дирекция „Централно звено за връзка” осъществява контактите с други държави-членки в областта на взаимната помощ при събиране на публични вземания в изпълнение на Директива 2010/24/ЕС на Съвета от 16 март 2010 година относно взаимната помощ при събиране на вземания, свързани с данъци, такси и други мерки и Регламент за изпълнение (ЕС) №1189/2011 на Комисията от 18 ноември 2011 година за определяне на подробни правила по отношение на някои разпоредби на Директива 2010/24/ЕС на Съвета относно взаимната помощ при събиране на вземания, свързани с данъци, такси и други мерки. В тази връзка са разработени и предоставени „Процедура обмен на информация по молба за взаимна помощ на държава членка на ЕС”, „Процедура обмен на информация по искане на взаимна помощ на публичен изпълнител към държава членка на ЕС”, „Процедура уведомление по молба на друга държава членка на ЕС или по молба на орган по приходите на НАП” и „Процедура обмен на информация по молба за взаимна помощ на държава членка на ЕС”.

По време на проверката е установено, че първоначално постъпилите искания за събиране на вземания се обработват от Дирекция „Централно звено за връзка” към Централното управление на НАП, находящо се в гр. София, бул. „Княз ал.Дондуков” №52. Искането за вземания по отношение на Г.Б.И. е възложено на Б.М.– старши експерт по приходите в Дирекция „Централно звено за връзка”. Б.М. е предприела действия за идентифицирането на задълженото лице.

След идентифициране на лицето от Дирекция „Централно звено за връзка”, с акт за възлагане на публичен изпълнител се предоставя информация за предприемане на действия по обезпечаване и събиране на задължения на задължено лице, като се посочват неговите три имена, ЕГН, постоянен и настоящ адрес.

За обработване на документите по дадена преписка/вземане се използва информационна система „MARC-ЦЗВ”, в която се качват всички документи, изготвени от служителите на НАП по съответното вземане. Документите са подредени по хронологичен ред по датата на тяхното създаване.

Искането за събиране на вземане и/или обезпечителни мерки се отваря чрез софтуерно приложение „ЦЗВ-Електронни формуляри”. Публичният изпълнител следва през 6 месеца да пише доклад по съответното вземане относно предприетите действия. За преписката на Г.Б.И., към момента на проверката, липсва такъв доклад.

С приемо-предавателен протокол от страна на Е.С. са предоставени окомплектована преписка по изпълнително дело №**** на Г.Б.И., както и направените по време на проверката разпечатки от информационната система „MARC-ЦЗВ” на прикачени към преписката документи.

Документите, предоставени от страна на НАП и достъпът до данъчно-осигурителна информация за Г.Б.И. се основават на декларирано съгласие на същата за разкриване на информацията от 23.04.2019г.

С оглед изясняване на допълнителни факти и обстоятелства относно събраните документи и процедурата за идентифициране на задълженото лице, на 25.04.2019г. проверяващият екип е посетил Централното управление на НАП в гр. София, бул. „Княз ал.Дондуков” №52. Заповедта за проверка е връчена на Г.Д.– изпълнителен директор, в присъствието на А.С.– директор на Дирекция „Централно звено за връзка”. Оказано е съдействие от З.Д.– главен инспектор по приходите. Отговорният служител по преписката на Б.М., отсъства от работа по време на проверката.

За констатациите по време на проверката е изготвен двустранно подписан констативен протокол, екземпляр от който е предоставен на Г.Д.С приемо-предавателен протокол са предоставени относими към проверката документи.

При анализ на събраните по време на проверката документи и предоставените копия на Искането за събиране на вземане и/или обезпечителни мерки е установено, както следва:

1. На 02.01.2018г. в Дирекция „Централно звено за връзка” е постъпило искане за събиране на вземания от Германия по защитена CCN мрежа чрез CCN/Rec-b-vat за лицето И. (собствено име) и Г. (фамилно име), с дата на раждане дата 1. Адресът на задълженото лице е гр. София адрес 1. Лицето е посочено като управителен директор на дружество, регистрирано в Германия– „Dogus Food” GmbH, с посочен адрес в Германия.

2. На 05.01.2018г. запитаният орган – Дирекция „Централно звено за връзка”, в лицето на отговорния служител Б.М., иска размяната на местата на имената (собствено и фамилно) във формуляра на искането.

3. След направени справки от страна на отговорния служител от Дирекция „Централно звено за връзка” – Б.М., за идентификация на лицето (справка от Единната система за гражданска регистрация и административно обслужване на населението – ЕСГРАОН) и потвърждаване на искането пред Германия, същата пристъпва към изпращане на искането към Дирекция „Събиране” на ТД на НАП София за принудително събиране на паричните вземания от страна на публичен изпълнител.

4. Искането е изпратено на Дирекция „Събиране” на 16.01.2018г., ведно с електронен документ с наименование „Единен инструмент за предприемане на изпълнителни мерки за събиране на вземания, попадащи в обхвата на Директива 2010/24/ЕС на Съвета”.

Присъстващите на проверката твърдят, че Единният инструмент е следвало да бъде предоставен на задълженото лице от страна на публични изпълнител, с оглед информирането му за възникналото задължение и реда за обжалването му пред компетентния орган– в случая органа, посочен в раздел Идентификация на вземането 2, т.9 и т.10 от него.

5. С Акт за възлагане №****** Е.С. на длъжност главен публичен изпълнител е определена за отговорен служител в Дирекция „Събиране” (към Приложение №6). В резултат е издадено постановление за налагане на обезпечителни мерки.

6. След получено на 12.02.2019г. телефонно обаждане от Г.Б.И., публичният изпълнител Е.С. попълва в съответното поле на Искането за събиране на вземане и/или обезпечителни мерки (т. 20) възражението на Г.Б.И., че същата не е пребивавала в Германия и не дължи данъци там. Иска от запитващата страна (Германия) допълнителни разяснения по случая за идентифицирането на задълженото лице.

7. На 27.02.2019г. от Германия отговарят, че съгласно документите, с които разполагат, задълженото лице е със собствено име И. и фамилия Г. с моминско име М. Посочват, че лицето Г.И. не е регистрирано в Германия и вследствие на придобиване на всички акции в „Dogus Food” GmbH дължи съответните данъчни задължения. Недоумяват защо НАП им е дала указание да разменят местата на собственото и фамилното име във формуляра.

8. Към момента на проверката в системата са налични три последователни запитвания от НАП до Германия – от 12.03.2019г., 04.04.2019г. и 12.04.2019г., за предоставяне на допълнителна идентифицираща информация за задълженото лице, без отговор от запитаната страна.

На проверяващия екип е предоставена кореспонденция между ТД на НАП София и Централното управление на НАП в гр. София (писмо е изх. №20-00-1156/20.03.2019г. на ТД на НАП и вх. №24-28-491/20.03.2019г. на Централното управление– към Приложение №8), от която е видно, че „… При преглед и анализ на предоставените в отдел „Обслужване” доказателства от страна на публичния изпълнител, се установи, че не е налице безспорно установяване на идентификацията на Г.Б.И., като задължено лице…”.

В хода на проверката, с писмо вх. №ППН-02-150#3/21.03.2019г., Г.Б.И. уведомява КЗЛД, че е подала жалба до Административен съд гр. П. за отмяна на мълчаливо потвърждение на директора на ТД на НАП София на издаденото постановление за налагане на обезпечителни мерки. Допълнително с писма вх. №ППН-02-150#8/29.05.2019г. и вх. №ППН-02-150#10/03.06.2019г.изпраща съответнопредставеното от НАП становището по делото и протокол от 27.05.2019г. от проведено публично заседание на съда.

С писмо с изх. №ППН-02-150#5/20.05.2019г. от страна на проверяващия екип е изискана информация от Главна дирекция „Гражданска регистрация и административно обслужване”, както следва:

1. Колко физически лица с имена Г. (собствено), И. (фамилия), с дата на раждане дата 1 са налични в поддържаният от дирекцията регистър на населението. Да се посочат всички идентифициращи лицата данни (три имена, фамилия преди сключване на брак, ЕГН, постоянен и настоящ адрес).

2. За лицата по т.1, да се посочат имат ли адресна регистрация в гр. София адрес 1 и към коя дата.

3. На адрес гр. София адрес 1 има ли регистрация на лице с имена Г. (собствено), И. (фамилия), М. (фамилия преди сключване на брак) и дата на раждане дата 1 (ако има, към коя дата е била).

4. Да се посочи постоянния и настоящ адрес на лицето Г.Б.И. (с фамилия преди сключването на брак К.), ЕГН 1, както и има ли адресна регистрация в гр. София адрес 1 (ако има, към коя дата е била).

С писмо вх. №ППН-02-150#6/22.05.2019г. е получен отговор от Главна дирекция „Гражданска регистрация и административно обслужване”, както следва:

1. Съгласно регистъра на населението – Национална база данни (НБД) „Население” с името Г. (собствено), И. (фамилно) и дата на раждане дата 1 има само едно лице. Същото е с имена Г.Б.И. и ЕГН 1. Фамилното име на лицето от К. на И. е променено след сключения граждански брак през 1993г. Същото е потвърдено и от г-жа Г.Б.И. с писмо с вх. №ППН-02-150#4/09.05.2019г., която декларира пред КЗЛД, че имената ѝ преди сключване на граждански брак (на 16.06.1993г.) са Г.Б.К.

2. Съгласно НБД „Население” от 10.04.2000г. постоянният адрес на Г.Б.И. с ЕГН1 е гр. П. ****. От тогава Г.Б.И. не е променяла постоянния си адрес.

3. Лицето няма заявен настоящ адрес по реда на чл.90, ал.1 от Закона за гражданската регистрация. Настоящият адрес на лицето в НБД „Население” е адресната регистрация, извършена по смисъла на Указ №2772 за паспортите и адресната регистрация (отм.) – гр. П. ******.

4. Лицето Г.Б.И. с ЕГН1 няма адресна регистрация в гр. София.

5. В Националния класификатор на постоянните и настоящите адрес не съществува адрес: адрес 1 в гр. София . Съществува адрес гр. София адрес 2.

6. В НБД „Население” не съществува лице със собствено и фамилно име Г.И., родено на дата 1, с предходно фамилно име М.

Допълнително с писмо с вх. №ППН-02-150#7/29.05.2019г. г-жа Г.Б.И. изпраща документи от Германския търговски регистър за регистрацията на „Dogus Food” GmbH (на немски език), с приложени протокол за регистрация на лицето като акционер от 29.03.2016г., списък с акционерите от 11.04.2016г. и регистрация на лицето като акционер. От тях е видно, че като акционер в дружеството „Dogus Food” GmbH фигурира лицето Г.И., с моминско име М. (моминското име на сигналоподателката е К.), родено на дата2. (рождената дата на сигналоподателката е дата1), с адрес гр. София, адрес 1.

Констативният акт е докладван на заседание на Комисията проведено на 19.06.2019г. и съобразно събрани в производството доказателства и след подадено от Г.Б.И. искане сигналът е преквалифициран в жалба.

Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалбата съдържа задължително изискуемите реквизити, посочени в разпоредбата на чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация (ПДКЗЛДНА), а именно: налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.

Жалбата е процесуално допустима, подадена в срока по чл.38, ал.1 от ЗЗЛД от физическо лице с правен интерес срещу надлежна страна– администратор на лични данни по смисъл чл.4, ал.7 от Общия регламент ЕС 2016/679. Сезиран е компетентен орган– КЗЛД, която съгласно правомощията си по чл.10, ал.1 от ЗЗЛД във връзка с чл.57, §1, буква „е“ от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни свързани с обработване на личните данни, като не са налице изключенията по чл.2, §2, буква „в“ и чл.55, §3 от Регламент (ЕС) 2016/679 предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.

По изложените съображения и с оглед липсата на предпоставки от категорията на отрицателни по чл.27, ал.2 от АПК, жалбата в приета за допустима и като страни в производство са конституирани: жалбоподател– Г.Б.И. и ответна страна – Национална агенция за приходите, в качеството ѝ на администратор на лични данни. Насрочено е открито заседание за разглеждане на жалбата по същество на 24.07.2019г., за което страните са редовно уведомени и им е указано разпределянето на доказателствената тежест в процеса.

От НАП е изискано писмено становище по случая, в отговор на което и с писмо ППН-02-150#13/15.07.2019г. от Агенцията изразяват становище за неоснователност на жалбата. Твърдят, че не са налице нарушение на разпоредбите на Регламент ЕС 2016/679 и ЗЗЛД, а действията на служителите си намират за правилни в съответствие с принципите на Регламента и утвърдени от НАП вътрешни правила, в това число Инструкция №2/08.05.2019г. за мерките и средствата за защита на лични данни, обработвани от Национална агенция за приходите и реда за движение на преписки и заявяване на регистри и Политика по информационна сигурност, същата приета в изпълнение на Наредба за общите изисквания за мрежова и информационна сигурност.Считат, че в случая се касае за извършени престъпление, за което следва да бъде сезирана с прокуратурата.

На проведено на 24.07.2019г. заседание жалбата е разгледана по същество.

Страните– редовно уведомени, не се явяват, не се представляват.

В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл.7 от АПК, изискващ наличието на установени действителни факти, имайки предвид събраните доказателства и наведените твърдения, Комисията приема, че разгледана по същество жалба №ППН-02-150/12.03.2019г. е основателна.

При постановяване на решението е отчетена настъпилата, в периода от извършване на обработването на лични данни, респективно подаване на жалбата и разглеждането ѝ по същество, промяна в правната рамка в областта на защита на личните данни и факта, че от 25.05.2018г. се прилага Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и обстоятелството, че от 02.03.2019г. е в сила Закон за изменение и допълнение на Закона за защита на личните данни. Отчетен е и факта, че Регламент (ЕС) 2016/679 има пряко действие, аюридически факти и породените от тях последици настъпили преди прилагане на Регламента, следва да се преценяват според материалния закон, който е бил в сила към момента на тяхното възникване. В конкретният случай такива са материалните разпоредби разписани в ЗЗЛД в редакцията преди 02.03.2019г., с оглед обстоятелството, че една част от юридическите факти и правните последици свързани с обработването- събиране и употреба на лични данни са извършени на 05.01.2018г. (събиране), на 08.02.2018г. употреба за налагане на запорно съобщение. По отношение на извършените след 25.05.2018г. действия по употреба на личните данни, а именно употребата им за налагане на обезпечителни мерки с постановление от 08.02.2019. и предоставянето им в тази връзка на Банка1, Банка2, Банка3 и Банка4 са приложими разпоредбите на Регламент ЕС 2016/679. В тази връзка следва да се отбележи, че разпоредбата на чл.4, ал.1 от ЗЗЛД (отменен, но действал към дата на събиране на данните и тяхната употреба) кореспондират с разпоредбите на чл.6, §1, от Регламента и не им противоречат, като и двете разпоредби вменяват на администратора на лични данни задължението да обработва личните данни законосъобразно при наличие на условие за допустимост на обработването.

Жалбата касае обработване, в хипотезата на събиране, употреба и предоставяне на лични данни на жалбоподателката от страна на НАП във връзка с постъпило на 02.01.2018г. в Дирекция „Централно звено за връзка” искане за събиране на вземания от Германия по защитена CCN мрежа чрез CCN/Rec-b-vat за лицето И. (собствено име) и Г. (фамилно име), с дата на раждане дата 1 адрес на задълженото лице гр. София, адрес 1. Лицето е посочено като управителен директор на дружество, регистрирано в Германия– „Dogus Food” GmbH, с посочен адрес в Германия.

Искането е по реда на Директива 2010/24/ЕС на Съвета от 16.03.2010г. относно взаимната помощ при събиране на вземания, свързани с данъци, такси и други мерки и Регламент за изпълнение (ЕС) №1189/2011 на Комисията от 18 ноември 2011 година за определяне на подробни правила по отношение на някои разпоредби на Директива 2010/24/ЕС на Съвета относно взаимната помощ при събиране на вземания, свързани с данъци, такси и други мерки. В тази връзка от НАП са разработени и предоставени преписката „Процедура обмен на информация по молба за взаимна помощ на държава членка на ЕС”, „Процедура обмен на информация по искане на взаимна помощ на публичен изпълнител към държава членка на ЕС”, „Процедура уведомление по молба на друга държава членка на ЕС или по молба на орган по приходите на НАП” и „Процедура обмен на информация по молба за взаимна помощ на държава членка на ЕС“.

От събраните по преписката доказателства се установи, а и между страните не е спорно, че на 02.01.2018г. в Дирекция „Централно звено за връзка” е постъпило искане за събиране на вземания от Германия по защитена CCN мрежа за лицето И. (собствено име) и Г. (фамилно име), с дата на раждане дата 1, посочено като управителен директор на дружество, регистрирано в Германия– „Dogus Food” GmbH, с посочен адрес в Германия.

На 05.01.2018г. запитаният орган – Дирекция „Централно звено за връзка”, в лицето на отговорния служител Б.М., иска размяната на местата на имената (собствено и фамилно) във формуляра на искането.

Видно от съдържанието на формуляра е, че изискваната информация не е пълна, а именно липсват данни за презиме име и моминско име на длъжника, обстоятелство което се потвърждава и от налично по преписката писмо е изх. №20-00-1156/20.03.2019г. на ТД на НАП и вх. №24-28-491/20.03.2019г. на Централното управление, в което е посочено, че „… При преглед и анализ на предоставените в отдел „Обслужване” доказателства от страна на публичния изпълнител, се установи, че не е налице безспорно установяване на идентификацията на Г.Б.И., като задължено лице…”, като относно правилното идентифициране на лицето следва да се изиска допълнителна информация от компетентния орган в Германия. Такава допълнителна информация е изискана едва през 2019г. на 12.02.2019г., в отговор на която на 12.03.2019г. е установено моминското име на задълженото лице „М.“, а 25.06.2019г. в предоставено копие на личната карта на задълженото лице, данни които свидетелстват, че жалбоподателката не е задълженото лице.

В същност указанията дадени в цитираното писмо са разписани в одобрени от НАП процедури и в частност процедура №ЦЗВ 8 Версия Д по Обмен на информация по молба за взаимопомощ, видно от съдържанието на която, когато е налице установено непълно искане за взаимопомощ следва да се изиска допълнителна информация от държавата членка, изпратила искането (4. 4. 2), а в случай, че държавата членка не може да предостави поисканата допълнителна информация, което препятства идентифициране на задълженото лице, преписката следва да се приключи.

Въпреки това на 05.01.2018г. отговорния служител от Дирекция „Централно звено за връзка”е предприел меркиза идентификация на лицето, чрез справка Единната система за гражданска регистрация и административно обслужване на населението – ЕСГРАОН по наличната в искането информация две имена и дата на раждане, като е потвърдил на искането пред Германия. Искането е препратено към Дирекция „Събиране” на ТД на НАП София за принудително събиране на паричните вземания от страна на публичен изпълнител.

При направената в ЕСГРАО справка са събрани лични данни на жалбоподателката е обем три имена, единен граждански номер, постоянен и настоящ адрес, семейно положение, номер на лична карта. Лични данни които са неправомерно събрани предвид обстоятелството, че задълженото лице е с имена Г.Б.И., същото освен с различно бащино име и с различно ЕГН и дата на раждане от тези на жалбоподателката, а именно жалбоподателката е с дата на раждане дата2, а задълженото лице с дата на ражданедата1, както и с различен постоянен адрес. Видно от направена служебна справка в ЕСГРАОН постоянен адрес жалбоподателката е гр. П. ***** и не никога не е променян, докато адреса посочен в искането е гр. София, адрес 1.

Данните са събрани в нарушение на чл.4, ал.1 от ЗЗЛД доколкото липсва условие за допустимост за тяхното събиране, а в последствие и тяхната употреба за образуване на изпълнително дело №***** срещу жалбоподателката за събиране на вземане в размер на 169315,37 лв., постановление за налагане на обезпечителни мерки с изх. №****– а именно запор на налични и постъпващи суми по сметка в Банка 5 и запор върху МПС.

Видно от представена по преписката справка в регистъра на Българска народна банка, на 08.02.2019г. от НАП, във връзка с изпълнителното дело, са събрани допълнителни данни за жалбоподателката свързани с нейни банкови сметки. В следствие на което и издадено постановление за налагане на обезпечителни меркиизх. №***** на НАП за запор върху налични и постъпващи суми по банкови сметки на жалбоподателката, депозити, вложени вещи в трезори, включително и съдържанието на касети, както и суми, предоставени за доверено управление на сметки на жалбоподателкатав на Банка1, Банка2, Банка3 и Банка4.Събирането на тази информация за лицето е незаконосъобразна и в нарушение на чл.6, §1 от Регламента, доколкото се касае за обработване извършено след 25.05.2018г., като за същото не е налице нито едно от разписаните в цитираната разпоредба условие за допустимост на обработване. Осъщественото в последствие обработване на личните данни на жалбоподателката, а именно предоставянето им на съответните банки с изпратени до тяхзапорни съобщение писма изх. №***, *****, ***** и **** на НАП също е незаконосъобразно. Доколкото липсва основание за обработване на личните данни на жалбоподателката като длъжник поизпълнителното дело, незаконосъобразни и в нарушение на чл.6, §1 от Регламента са и действията по предоставяне на личните данни на жалбоподателката в обем от имена, ЕГН, постоянен и настоящ адрес, на Централния регистър на особените залози с искане за вписване на запора в регистъра.

Събраните по преписката доказателства свидетелстват за допуснато от НАП нарушение още на етап събиране на лични данни, което в последствие е довело до тяхната неправомерна употреба и предоставяне във връзка с образуваното изпълнително дело №*** за събиране на вземане в размер на 169315,37 лв. установено в Германия срещу жалбоподателката, в качеството и на задължено лице, каквото качеството безспорно се установи, че същата не притежава по отношение на конкретното задължение, предвид представените по преписката доказателства, в частност копие на лична карта на лицето Г.Б.И. Обстоятелствата свързани с наличието на престъпление предвид обстоятелството, че документа са самоличност не е истински са неотносими към настоящето производство, а доколкото информацията в него свидетелства, че лицето посочено в него е различно от жалбоподателката същия е доказателство, че личните данни на жалбоподателката са обработени от НАП незаконосъобразно.

С оглед разпределяне на доказателствената тежест в процеса и събраните по преписка доказателства се налага извода, че подадената от г-жа Г.Б.И. жалба е основателна и личните ѝ данни са обработени от НАП, в нарушение на чл.4, ал.1 от ЗЗЛД (отменен) и чл.6, ал.§1 от Регламента. Същото не е съобразено с изискванията за законосъобразност и допустимост на обработването на лични данни, извършено е без съгласието на жалбоподателката и без да е налице нито едно от останалите условия за допустимост на обработването посочени в цитираните разпоредби, а именно същото не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон, или за реализиране на законните интереси на администратора, пред които интересите на физическото лице нямат приоритет.

Предвид характера и вида на констатираното нарушение, Комисията счита, чекорективните мерки по чл.58, §2, буква „а“, „б“,„в“, „г“, „д“, „е“, „ж“, „з“ и „й“ от Регламента са неприложими и нецелесъобразни в случая, тъй като нарушението е довършено и е неотстранимо. Комисията намира за целесъобразно налагането на корективна мярка по чл.58, §2, буква „и“ от Регламента, а именно – имуществена санкция на администратора на лични данни, като счита, че същата ще има предупредително и възпиращо действие и ще допринесе за спазване на установения правов ред. Като освен чисто санкционна мярка, реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие. Администраторът е длъжен да познава закона и да спазва неговите изисквания, още повече, че дължи необходимата грижа, предвидена в ЗЗЛД и Регламента и произтичаща от предмета му на дейност, кадровия и икономически ресурс.

При определяне на размерът на санкцията и в съответствие с условията по чл.83, ал.2 от Регламента, Комисията, като смекчаващи обстоятелства, взе предвид, че нарушението е първо за администратора и се касае за нарушение на правата на едно физическо лице, като администратора е предприел последващи действия, макар и след сезиране на Комисията, за смекчаване на последиците от нарушението, a именно на 03.07.2019г. е издадено Разпореждане за прекратяване на принудителното изпълнение и Постановление за отмяна на наложените обезпечителни мерки. Като утежняващо обстоятелство отчетено че, нарушението, което касае различни форми на обработване налични данни, а именно събиране, предоставяне и употреба, е довършено с акта на своето извършване и е неотстранимо, а същото е станало известно на КЗЛД в следствие сезирането ѝ от потърпевшото лице. За утежняващо обстоятелство Комисията приема и факта, че обработените лични данни са в голям обем, в това число единен граждански номер на лицето, семейно и финансово положение на същото, както и че от нарушението са произтекли вреди за жалбоподателката. Обстоятелствата по чл.83, ал.2, букви „б“ и „и“ от Регламента са неотносими доколкото се касае за администратор– юридическо лице, което не формира вина, а към момента на извършване на нарушенията одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.

При определяне на размерът на санкцията Комисията съобрази също продължителността на нарушението, което обхваща период от една година и половина и и не на последно място– претърпените от жалбоподателката вреди които, макар по размер да следва да се докажат в съда, са безспорни като факт, с оглед обстоятелството, че се касае за запорирани банкови сметки на лицето и причинени на същото безпокойство и притеснения.

Съобразявайки целта на наказанието, което следва да има възпираща и предупредителна функция, естеството и тежестта на нарушението, обществените отношения които засяга, категориите засегнати лични данни, Комисията счита, че наложената имуществена санкция следва да е в размер на 55 000 лв.– размер много под средния минимум предвиден в Регламента за това нарушение, за което санкцията е в размер до 20000000 евро. Комисията намира, че наложената корективна мярка по вид и размер безспорно отговаря на търсените от ЗЗЛД и Регламент 2016/679 ефективност и възпиращ ефект, като в същото време не нарушава принципа на пропорционалност и изискването за съразмерност спрямо констатираното нарушение и наложената мярка.

Водима от горното и на основание чл.38, ал.3 от ЗЗЛД, Комисията за защита на личните данни,

Решението подлежи на обжалване в 14-дневен срок от връчването му, чрез Комисията за защита на личните данни пред Административен съд София – град.