Решение по жалба с рег. № Сл-31/23.06.2017 г.

Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател– Венцислав Караджов и членове– Цанко Цолов, Цветелин Софрониев и Мария Матева, на редовно заседание, проведено на 25.10.2017г., на основание чл.10, ал.1, т.7 от Закона за защита на личните данни, разгледа по основателност жалба с рег.№Сл-31/23.06.2017г., подадена от Д.П.А. срещу „Н.1” ЕООД и „Е.Д.” АД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни (ЗЗЛД).

Жалбоподателят информира, че е сключил договор с „Н.1” ЕООД на 18.06.2016г. с номер ****** за срок от 12 месеца за ползване на интернет услуга. Преустановил ползването на услугата след два месеца, защото преместил местоживеенето си и съответно спрял да плаща месечните си задължения. Г-н Д.П.А. твърди, че след спиране на плащанията, предаваната към него услуга също е била преустановена и договорът с него е бил едностранно прекратен от „Н.1“ ЕООД– без предизвестие.

В жалбата се твърди, че към датата на подаването ѝ не е получил официално уведомление за прекратяване на договора или за предприемане на действия за събиране на дължимо по него задължение от страна на доставчика. Жалбоподателят настоява, че в сключения с „Н.1“ ЕООД договор няма клауза, упоменаваща, че дружеството има право да предоставя личните му данни на трети лица, включително на „Е.Д.“ АД.

Г-н Д.П.А. счита, че съгласно чл.99 от ЗЗД „Н.1“ ЕООД е длъжно да го информира за прехвърлянето на задължението на новия кредитор– „Е.Д.“ АД. Следователно, всички обаждания и писма от колекторската фирма не са от правно значение за него, след като не е бил уведомен по надлежния ред. Информира, че е получил писмо от „Е.Д.“ АД относно задължения към „Н.1“ ЕООД на стойност 202,30 лв. След проведен телефонен разговор с колекторското дружество жалбоподателят бил информиран, че между дружеството и „Н.1“ ЕООД не е сключен договор за цесия, а „Е.Д.“ АД действа като посредник и само уведомява за задължението.

С оглед изложеното, г-н Д.П.А. моли жалбата да бъде разгледана и да бъде уведомен за предприетите от КЗЛД действия.

Към жалбата са приложени: договор с „Н.1“ ЕООД и писмо от „Е.Д.“ АД.

В условията на залегналото в административния процес служебно начало и задължението на административния орган за служебно събиране на доказателства и изясняване на действителните факти от значение за случая, от ответните дружества е изискано да представят писмени становища и относими към случая доказателства.

С писмо изх.№ППН-01-Сл-31/2017г.#2/31.08.2017г. „Е.Д.” АД е уведомено на основание чл.26 от АПК за образуваното административно производство. Предоставена е възможност за изразяване на становище и представяне на доказателства.

От „Е.Д.” АД ангажират становище с рег.№Сл-31#3/11.09.2017г. Твърдят, че хипотезата на чл.99 от Закона за задълженията и договорите не е приложима в случая, защото не е налице прехвърляне на вземания и задължения, а е налице възлагане на определена работа съобразно разпоредбата на чл.39 ЗЗД. Изпълнителният директор сочи, че с подписване на договора с „Н.1“ ЕООД г-н Д.П.А. се е съгласил с общите условия на дружеството, където е посочено, че с приемането им потребителят се съгласява личните му данни да бъдат предоставяни на трети лица за целите на събиране на дължими от него суми и за целите на маркетингови проучвания. В становището се посочва, че„Е.Д.” АД с ЕИК ******* е универсален правоприемник на„Е.Д.” ООД с ЕИК ********.

Към становището са приложени договор между„Е.Д.” АД и „Н.1“ ЕООД и пълномощно от „Н.1“ ЕООД в полза на „Е.Д.” ООД.

С писмо изх.№ППН-01-Сл/2017г.#1/31.08.2017г. „Н.1“ ЕООД е уведомено на основание чл.26 от АПК за образуваното административно производство. Предоставена е възможност за изразяване на становище и представяне на доказателства.

От „Н.1“ ЕООД изразяват становище с рег.№Сл-31#4/15.09.2017г. Твърдят, че дружеството е регистриран администратор на лични данни и следователно личните данни на неговите потребители се събират, съхраняват и използват съгласно разпоредбите на закона. Информират, че „Н.1“ ЕООД има договорни отношения с „Е.Д.” АД, съгласно които се извършва съвместна дейност за обслужване и защитаване законните интереси на„Н.1“ ЕООД, какъвто е случаят с жалбоподателя, чийто данни са били предоставени във връзка с непогасенинегови задължения към „Н.1“ ЕООД. Управителят твърди, че „Е.Д.” АД също са надлежно регистриран администратор на лични данни и предоставените му лични данни са били използвани съгласно целите и разпоредбите на ЗЗЛД. Моли Комисията да остави жалбата без уважение и да прекрати образуваното производство.

Към становището няма приложения.

За да упражни правомощията си, Комисията следва да бъде валидно сезирана.

Жалба №Сл-31/23.06.2017г. съдържа задължително изискуемите реквизити, посочени в чл.30, ал.1 от Правилника за дейността на Комисията за защита на личните данни и нейната администрация, а именно: налице са данни за жалбоподателя, естество на искането, дата и подпис, с оглед на което същата е редовна.

Жалбата е процесуално допустима– подадена в срока по чл.38, ал.1 ЗЗЛД от физическо лице с правен интерес. Същата има за предмет твърдение за неправомерно обработване на лични данни на жалбоподателя. При извършената служебна проверка в поддържания от Комисията Регистър на администраторите на лични данни и на водените от тях регистри се установи, че дружествата са изпълнили задължението си по чл.17, ал.1 от ЗЗЛД и са регистрирани като администратори на лични данни с идент. №50876 („Н.1“ ЕООД) и №311668 („Е.Д.” АД). След извършена справка в Търговския регистър се потвърди, че „Е.Д.” АД е универсален правоприемник на „Е.Д.” ООД, в следствие на извършена промяна в правноорганизационната форма.

С жалбата е сезиран компетентен да се произнесе орган– Комисия за защита на личните данни, която съгласно правомощията си по чл.10, ал.1, т.7 от ЗЗЛД разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на физическите лица по ЗЗЛД.

На проведено на 04.10.2017г. заседание на Комисията жалбата е обявена за процесуално допустима и като страни в административното производство са конституирани: жалбоподател– Д.П.А. и ответна страна– „Н.1” ЕООД и „Е.Д.” АД. Страните са редовно уведомени за насроченото за 25.10.2017г. заседание на Комисията за разглеждане на жалбата по същество. С оглед изясняване на случая от фактическа и правна страна, от „Н.1” ЕООД е изискано да представи договора с жалбоподателя и документи, удостоверяващи задълженията му по него.

В отговор на искането постъпи допълнително становище от „Н.1” ЕООД с рег.№Сл-31#10/23.10.2017г. Процесуалният представител заявява, че представляваното от нея дружество и „Е.Д.” АД имат договорни отношения, въз основа на които се извършва съвместна дейност за обслужване и защитаване законните интереси на „Н.1” ЕООД, съгласно разпоредбите на чл.4, ал.1, т.3 и т.7. По силата на този договор г-н Д.П.А. фигурира в базата данни и е получил съобщение от „Е.Д.” АД за непогасени задължения. Твърди, че от преписката не е видна датата, на която жалбоподателят е получил въпросното съобщение.

Съобщава, че към момента на получаване на данни за жалбата е установено, че потребителят е бил погасил задълженията си по договора. Проведен е телефонен разговор с г-н Д.П.А., в който от „Н.1” ЕООД са поднесли извиненията си за евентуалното недоразумение и са потвърдили устно, че няма никакви задължения.

От „Н.1” ЕООД считат за неправилно и неоснователно твърдението на жалбоподателя, че вземането е прехвърлено на „Е.Д.” АД, тъй като такова не е осъществено на никакъв етап от договорните отношения. Както са посочили по-горе в становището– потребителят е заплатил дължимите суми навреме и договорът му е прекратен.

Отношенията между „Н.1” ЕООД и „Е.Д.” АД са между възложител и изпълнител с цел обслужване по повод длъжници, които са просрочили задължения и в тази връзка се релевира чл.24 ЗЗЛД. В този смисъл „Е.Д.” АД е обработващ личните данни, изрично оправомощено и обективирано в писмен договор.

В становището се допълва, че съгласно чл.24, ал.2 „Н.1” ЕООД и „Е.Д.” АД надлежно съхраняват личните данни на потребителите, поради факта че обработващият сам по себе си е лице, регистрирано като администратор. Използването на личните данни е законосъобразно и добросъвестно– с точно определени и конкретни цели. Наличието на договорни отношения е условие за допустимост на обработването съгласно чл.4 и чл.24 ЗЗЛД.

Процесуалният представител отбелязва, че практиката на Комисията е константна в това отношение и показва, че във връзка с подобен тип търговски взаимоотношения обработването на лични данни е правомерно и не съставлява нарушение по ЗЗЛД.

Към становището са приложени: договор за предоставяне на електронна съобщителна услуга №****** от 18.06.2016г. и молба за спиране на услуга към договор на абонат с №ID *******.

На проведеното заседание за разглеждане на жалбата по същество жалбоподателят не се явява, не се представлява.

Ответната страна– не изпраща представител.

При така установената фактическа обстановка Комисията разгледа жалбата по същество, като прие жалбата за частично основателна, въз основа на следните правни изводи:

Законът за защита на личните данни урежда защитата на правата на физическите лица при обработване на личните им данни. Целта на закона е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

От събраните доказателства се установи, че жалбоподателят е бил страна по сключен с „Н.1“ ЕООД договор №******/18.06.2016г.

В посочения договор се съдържат– имена, адрес, единен граждански номер (ЕГН) и телефонен номер на жалбоподателя, които имат качеството лични данни съгласно чл.2, ал.1 ЗЗЛД, тъй като лицето може да бъде безспорно индивидуализирано.

Безспорно е, че с цел събиране на задължения „Н.1” ЕООД е предоставило лични данни на г-н Д.П.А. на „Е.Д.” АД. Последното е осъществило с жалбоподателя телефонни разговори и изпратено писмо. В чл.3.1. от предоставения договор между двете дружества са посочени лични данни за всеки длъжник, които се предоставят. Същите са в обем– име, адрес, ЕГН, телефонен номер и размер на задължението.

По смисъла на § 1, т.1 от ДР на ЗЗЛД предоставянето на лични данни е действие по обработването им и като такова следва да се извършва в съответствие с разпоредбите на ЗЗЛД.

В чл.4, ал.1 от ЗЗЛД са определени условията, при наличието на които е допустимо обработването на лични данни. Законодателят е възприел, че обработването на лични данни на физически лица следва да се извършва при наличието на поне едно от тези условия, което е предпоставка за законосъобразност на обработването.

Предоставянето на личните данни от „Н.1“ ЕООД на „Е.Д.“ АД е незаконосъобразно, тъй като е извършено без наличие на правно основание.

От събраните по преписката доказателства и в частност съдържанието на сключения между страните индивидуален договор е видно, че същият не съдържа клауза за съгласие за предоставяне на личните данни на жалбоподателя от дружеството на трети лица. Следователно не е налице разписаното в чл.4, ал.1, т.2 от ЗЗЛД условие за допустимост на обработването. Липсва изрично съгласие от жалбоподателя– свободно изразено, конкретно, информирано и недвусмислено волеизявление по смисъла на §1, т.13 от Допълнителните разпоредби на ЗЗЛД за предоставяне на личните му данни от „Н.1“ ЕООД на „Е.Д.“ АД. За да е налице такова съгласие, то следва да бъде обективирано като клауза в договора или оформено в отделен документ в писмен вид. В този смисъл информирането чрез приемане на общите условия на дружеството не представлява изрично съгласие по смисъла на закона.

Посочените от „Н.1” ЕООД основания за предоставяне по чл.4, ал.1, т.3 и т.7 ЗЗЛД също са неприложими. Разпоредбата на т.3 не е приложима в конкретния случай, защото договорът за възлагане е сключен между двете търговски дружества, по който физическото лице-длъжник не е страна, а такова е изискването на ЗЗЛД. В хипотезата на т.7 законодателят е заложил колизия на права– законните интереси на администратора и тези на физическото лице. За да се приложи това условие е необходимо интересите на администратора да имат преимущество пред тези на физическото лице, каквото в случая няма.

Не са налице и посочените в чл.4, ал.1, т.1, 4, 5 и 6 от ЗЗЛД условия за допустимост на обработването. Предоставянето на личните данни на жалбоподателя от „Н.1“ ЕООД на „Е.Д.“ АД не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон.

В допълнителното становище на „Н.1” ЕООД се посочва, че в момента, в който са получили данни за жалбата на г-н Д.П.А. са установили, че потребителят е бил погасил задълженията си по договора. Проведен е телефонен разговор, в който са поднесени извинения за евентуалното недоразумение и е потвърдено устно, че няма никакви задължения към "Н.1” ЕООД. Жалбоподателят не е длъжник, тъй като е заплатил дължимите суми навреме и договорът е прекратен. В този смисъл, не само липсва съгласие– липсва всякакво основание за предоставяне на личните данни.

В тази връзка и с оглед събраните по преписката доказателства се установява, че обработването на лични данни на жалбоподателя чрез действия по предоставянето им от „Н.1“ ЕООД на „Е.Д.” АД за целите на събиране на задължение към „Н.1” ЕООД е незаконосъобразно и в нарушение на чл.4, ал.1 от ЗЗЛД. Същото е извършено без да е налице нито една от посочените в цитираната разпоредба предпоставки за допустимост на обработването, в резултат на което са нарушени правата на физическото лице, сезирало Комисията.

Комисията за защита на личните данни е единственият компетентен орган да се произнесе с решение по спора. Компетентността представлява, както право на органа, така и негово задължение да упражни своите правомощия, произтичащи от закона. Комисията действа в условията на оперативна самостоятелност, като следва да прецени кое от правомощията си по чл.38, ал.2 ЗЗЛД да реализира. Преценката се основава на съображенията за целенасоченост, целесъобразност и ефективност на решението, като следва да се постанови такъв акт, който в най-пълна степен да защити обществения интерес.

Конкретно нарушение е довършено с акта на предоставянето и получаването на личните данни от третото лице, поради което е неотстранимо и даването на срок за отстраняване му се явява безпредметно. То, като принудителна административна мярка, е приложимо в хипотеза, в която продължава извършването на съответното нарушение или същото е отстранимо. В настоящия случай, това е невъзможно.

КЗЛД разполага с правомощие да даде задължително предписание на администратора на лични данни, но то касае ситуации, в които администраторът не е изпълнил свое задължение, който пропуск може да санира, като в предоставения му срок извърши пропуснатите действия и обективира изискваното от закона поведение. В случая не е налице пропуск, а са извършени действия в повече, което налага извод за неприложимост и на това правомощие.

Единствено имуществената санкция, като мярка на административна принуда, се явява най-целесъобразна и ефективна мярка, за защита на законовия обществен интерес. Следва да се отбележи, че освен чисто санкционна мярка– реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие, с оглед неизвършването на същото нарушение занапред. Администраторът е длъжен да познава закона и да спазва неговите изисквания и дължи полагането на необходимата грижа, предвидена в ЗЗЛД.

При определяне на размера на имуществената санкция Комисията взе предвид, че нарушението е първо за „Н.1” ЕООД, с оглед на което наложената имуществена санкция следва да е в минималния предвиден размер.

По отношение на обработването на личните данни на жалбоподателя от „Е.Д.” АД следва да се има предвид, че съгласно представения договор на дружеството с „Н.1” ЕООД и разпоредбите на ЗЗЛД, дружеството действа в качеството на обработващ лични данни за администратора с цел събиране на вземания. Информацията, която се предоставя на дружеството е в електронен вид и е определена в договорите. Документи не се предоставят на дружеството. По този начин от „Е.Д.” АД не са разполагали с възможност да преценят липсата на условие за допустимост на предоставянето на данните. В този смисъл не следва да се ангажира административнонаказателната отговорност на дружеството за обработване личните данни на г-н Д.П.А.

Комисията за защита на личните данни, като взе предвид фактите и обстоятелствата, изнесени в настоящето административно производство, и на основание чл.38, ал.2 от ЗЗЛД,

Решението подлежи на обжалване в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни, пред Административен съд София– град.

След влизане в сила на решението, сумата по наложеното наказание да бъде преведена по банков път:

Банка БНБ– ЦУ

IBAN: BG18BNBG96613000158601 BIC BNBGBGSD

Комисия за защита на личните данни, БУЛСТАТ 130961721