Решение по жалба с рег. № 5808/ 08.03.2010 г.

Комисията за защита на личните данни /КЗЛД/ в състав: Председател: Венета Шопова и членове Красимир Димитров, Валентин Енев и Веселин Целков на открито заседание, проведено на 12.05.2010 г. /Протокол №17/, на основание чл. 10 ал. 1 т. 7 от Закона за защита на личните данни /ЗЗЛД/, разгледа по същество жалба с рег. № 5808/ 08.03.2010 г. от В.П.Д. срещу “БНБППФ” ЕАД.

Административното производство е по реда на чл.38 от Закона за защита на личните данни.

В чл.30, ал.1 от ПДКЗЛДНА са определени реквизитите, които трябва да съдържа жалбата, с която физическите лица сезират Комисията за нарушения на техните права по ЗЗЛД. Жалбата отговаря на нормативно установените изисквания, поради което се явява редовна.

Жалбата е подадена в срок, от надлежна страна, при наличие на правен интерес. С решение на Комисията за защита на личните данни, взето на закрито заседание, проведено на 07.04.2010 г. е прието, че жалбата е процесуално допустима. Конституирана като ответна страна в производството е “БНБППФ” ЕАД.

Приложимостта на Закона за защита на личните данни е свързана със защита на физическите лица във връзка с обработването на техните лични данни от лица, имащи качество на администратори на лични данни по смисъла на легалната дефиниция на чл. 3 от ЗЗЛД. Тоест, това изискване се явява абсолютна процесуална предпоставка, с оглед на която следва да се прецени допустимостта на жалбата. В конкретния случай, жалбата е насочена срещу юридическо лице- “БНБППФ” ЕАД, което е администратор на лични данни по смисъла на чл.3, ал.2 от ЗЗЛД. Дружеството е подало заявление пред Комисията за регистрацията му като администратор на лични данни.

Жалбоподателят сезира Комисията с оплакване, че в началото на 2006г. е закупил от Техномаркет техника с кредит от JetFinance International. Срокът за погасяване на кредита е бил една година от сключване на договора. Жалбоподателят предсрочно е погасил кредита си към дружеството, с което счита, че договорните му взаимоотношения са се прекратили. Нуждата от обработване на личните му данни, във връзка с договорните взаимоотношения е отпаднала и администратора на лични данни на основание чл.25 от Закона за защита на личните данни е трябвало да ги унищожи или да ги съхранява като анонимни данни.

През месец октомври 2009г. господин Д. е получил в пощенската си кутия рекламна брошура от името на “БНППЛФ” ЕАД. Това, което го е провокирало, е че писмото е било адресирано до него и дружеството не е спазило разпоредбите на ЗЗЛД и продължава да обработва свързаните с него лични данни с маркетингова цел, различна от целта на обработване на данните във връзка с договорните им взаимоотношения.

Господин Д. се е обадил на администратора на лични данни по телефона и информирал операторката, че с тези си действия дружеството нарушава ЗЗЛД. В жалбата се твърди, че неколкократно господин Д. изрично е настоявал личните му данни да бъдат изтрити, да се вземат мерки данните да бъдат заличени и обработването на данните му да бъде прекратено.

На 04.03.2010г. жалбоподателят отново е получил рекламна брошура за друга промоция на “БНППЛБ” ЕАД.

Валери Д. иска от Комисията, да наложи административно наказание по ЗЗЛД на “БНППЛБ” ЕАД, за извършените от нея нарушения на правата му по закон.

На основание чл.36, ал.2 от Административно-процесуалния кодекс е изискано становището на “БНПППФ” ЕАД, както да представи копие от сключения с жалбоподателя договор за кредит.

В депозираното на 26.03.2010 г. становище от ответната страна е уточнено, че дружеството е сключило договор с В.Д. на 10.03.2006 г. и задължението по договора е изплатено на 20.04.2006 г. Личните данни, които се съдържат в договора са предоставени лично от господин Д. и са събрани на основание чл.4, ал.1, т.2 и т.3 от ЗЗЛД, в редакцията му към 2006 г. Дружеството приема, че кредитополучателят е дал изричното си съгласие данните, свързани с него, да бъдат обработени във връзка със сключването на договора и неговото изпълнение. Излага се като довод, че при сключване на договора господин Д. е дал изричното си съгласие компанията да съхранява информацията от договора и информация, придобита във връзка с обработването на данните му, включително информацията да се използва от компанията за предлагане на други стоки и услуги.

В становището е отразено, че на основание чл.15, ал.2 от Наредба №26 за финансовите институции на Българска народна банка в сила от 18.05.2009г., срокът за съхранение на договорите за кредит, в това число и цялата информация събрана във връзка с тези договори е удължен на 5 години. Срокът тече от датата на изплащане на последната вноска по договора. До влизането в сила на Наредба №26 на БНБ срокът за съхранение на договорите за кредит и информацията по тях е определен в чл.42, ал.1, т.5 от Закона за счетоводството. Срокът е бил 3 години, а реда за съхраняване на информацията е определен в Закона за националния архивен фонд.

“БНПППФ” ЕАД излага твърдения, че при извършенавътрешна проверка не е открита информация на какъвто и да било носител, която да индикира изразеното от В.Д. волеизявление, че не желае личните му данни да бъдат използвани замаркетингови цели. Поради липсата на изрично изразена воля от страна на жалбоподателя за несъгласието му личните му данни да бъдат обработвани за целите на маркетинга, са му изпратени рекламните материали на дружеството.

Дружеството заявява, че ще счита сигнала на В.Д. до КЗЛД за изрично волеизявление по смисъла на чл.34а, ал.1,т.2 от ЗЗЛД и приема, че с това действие лицето е оттеглило съгласието си личните му данни да бъдат използвани за директен маркетинг. Уведомява Комисията, че обработването на данните на жалбоподателя за предоставяне на информация за стоки и услуги на компанията е прекратено. Изразява мнение, че след като физическото лице, за което се отнасят данните е дало съгласието си те да бъдат обработвани за целите на директния маркетинг, то няма нарушаване на правата му по ЗЗЛД.

Към становището са приложени: копие от договор от 10.03.2006г. за кредит за покупка на стоки и услуги с номер CREN-01137791; декларация от господин Д. от 10.03.2006г.; копие на личната му карта и пълномощно №2520/2009г.

С писмо от 26.03.2010г. В.Д., уведомява Комисията, че не разполага с копие от договора за кредит и че е направил постъпки пред дружеството за снабдяване с него. Като допълнително обстоятелство към жалбата посочва, че на 09.03.2010г. на мобилния си телефон е получил кратко съобщение, с което го информират за кредит, който се предлага от “БНПППФ” ЕАД. Към молбата са приложени рекламните брошури, които жалбоподателят е получил.

С решение на Комисия за защита на личните данни, взето на основание чл.38, ал.3 от Правилника за дейността на Комисията за защита на личните данни и на нейната администрация /ПДКЗЛДНА/, е насрочено открито заседание на 12.05.2010г. за разглеждане на жалбата по същество. За датата на откритото заседание страните са редовно и своевременно уведомени по реда на АПК.

На откритото заседание жалбоподателят се явява лично. Ответната страна се представлява от юрисконсулти В.В. и Л.Д., надлежно упълномощени.

На откритото заседание жалбоподателят заявява, без твърденията му да са скрепени с доказателства, че през месец октомври 2009г. е провел телефонен разговор със служител на фирма “БНПППЮ” ЕАД. Представителят на ответната страна юрисконсулт Вълканов заявява, че е извършена проверка на постъпилите по телефона жалби, от която се е установило, че няма регистрирана жалба от господин Д.

С чл. 1, ал. 2 от ЗЗЛД се гарантира неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободното движение на данните.

В правомощията на Комисията е задължението да следи за законосъобразното обработване на личните данни на физическите лица, както и при осъществяване на достъпа на лицата да тях и да осъществява контрол по спазването на закона, с цел гарантиране на правомерното обработване на личните данни. Приложимостта на закона се обуславя от наличието на редица законови предпоставки. На първо място законът осигурява защитата на лицата по отношение и във връзка с обработването на техните лични данни, а това е всяка информация, отнасяща се до физическото лице, което е идентифицирано или може да бъде идентифицирано чрез един или повече специфични признаци. На второ място приложимостта на ЗЗЛД е обвързано с условието обработваните лични данни да съставляват или да са предназначени да съставляват част от регистър. На следващо място, за реализирането на контролните правомощия на Комисията в изпълнение на закона, е изискването за безспорно установяване на факта на обработване на лични данни.

От събраните по административната преписка доказателства, може да се направи извод, че администраторът на лични данни “БНПППФ” ЕАД обработва личните данни на жалбоподателя по смисъла на §1 от ДР на ЗЗЛД. В сключения договор между тях №CREX-01137791 за кредит и покупка на стоки и услуги от 10.03.2006г. е уговорено, че кредитополучателят /жалбоподателят/ дава съгласието си кредиторът /администраторът на лични данни/ да съхранява договора и цялата придобита информация в база данни на всякакъв носител, както и да използва информацията, за да предлага на кредитополучателя други стоки и услуги.

В последния абзац от договора е уговорено, че кредитополучателят /жалбоподателят/ дава съгласието си “Д.Ф.И.” АД /”БНПППФ” ЕАД/, да съхранява договора и цялата придобита във връзка с договора информация, както и да го уведомява по телефон, факс, електронна поща, обикновена поща или чрез куриерска услуга, лично, чрез представител, дистрибутор или чрез други информационни средства за статуса на кредита, характера и размера на погасителните вноски по отпускани кредити, нови финансови продукти или услуги.

Към административната преписка е представена и декларация от жалбоподателя от 10.03.2006г., с която декларира, че дава съгласието си администраторът на лични данни да обработва свързаните с него данни.

В заявлението за регистрация на “БНПППФ” ЕАД е посочено, че данните от регистър “Кредитна база” се съхраняват 5 години след датата на изплащане на кредита. Правното основание за срока на съхранение на данните е чл.15, ал.2 от Наредбата, издадена от БНБ, обнародвана в ДВ бр.36/15.05.2009г. Кредитната институция е задължена да съхранява информацията по сключените договори, в частност тези за кредит, и на основание чл.8 от Закона за мерките срещу изпирането на пари и чл.42, ал.1, т.5 и чл.42, ал.2 от Закона за счетоводството.

Правомерното обработване на лични данни от страна на администраторите на лични данни, следва да се извършва в съответствие с принципите на законосъобразност, целесъобразност и пропорционалност на данните. Наред с това законодателят е предоставил посочената в чл.2, ал.2 от ЗЗЛД възможност, от една страна, на администраторите на лични данни сами да определят целите и обема на обработваните данни, а от друга страна – на физическите лица правото да изразят свободната си воля за обработването на техните лични данни.

Жалбоподателят имасключен договор с “БНПППФ” ЕАД. Личните му данни са събрани по повод сключването на договора. Те са предоставени от физическото лице, което е подписало декларация, с която декларира съгласието си, данните му да бъдат обработвани за целите на договора.

С подписване на договора, жалбоподателят е изразил съгласието си, свързаните с него данни да бъдат обработвани и за целите на директния маркетинг. В т.2 от чл.4 от ЗЗЛД, законодателят е предвидил, че при наличието на условието-изричното съгласие на физическото лице, за което се отнасят данните, обработването им е допустимо. В цитираната разпоредба не е предвидена формата на съгласието, от което може да се направи извода, че то може да се изрази и чрез конклудентни действия. В конкретния случай жалбоподателят е изразил съгласието си чрез подписването на договора, в който има клауза за изразяване на съгласие данните му да бъдат обработвани, съхранявани и използвани за целите на директния маркетинг.

Обработването на данните е извършено и при наличието на още една от предпоставките, посочени в чл.4 от ЗЗЛД-нормативно установено задължение на администратора на лични данни. С Наредба №26/23.04.2009г. за финансовите институции, администраторът е задължен да съхранява цялата информация и документи относноосъществяваната от него дейност най-малко 5 години. Срокът за съхранение, свързан със сключените договори, започва да тече от датата на прекратяване на договорните отношения. Договорът с жалбоподателя е сключен на 10.03.2006г. Според твърденията на администратора на лични данни, задължението по договора е изплатено на 20.04.2006г. Срокът за съхраняване на информацията, по действащото по това време законодателство е бил 3 години и е удължен на 5 години с влизане в сила на Наредба №26 на БНБ. Към момента на обработване на данните на жалбоподателя и сезирането на Комисията, срокът за съхранението им не е изтекъл и за администратора на лични данни остава задължението да ги съхранява до изтичането му.

Не се доказа по безспорен начин, че жалбоподателят се е възползвал от дадената му правна възможност с разпоредбата на чл.34а, ал.1, т.2 от ЗЗЛД.

В изразеното становище от ответната страна, е възприето, че с подаване на жалбата до КЗЛД, господин Д. е направил възражение срещу обработването на личните му данни за целите на директния маркетинг и администратора на лични данни. “БНПППФ” ЕАД приема оттеглянето на даденото със сключване на договора съгласие, за обработване на данните за тази цел. Това твърдение се възприема и от Комисията.

Обработването на личните данни е извършено при наличието на посочените в чл.4, ал.1, т.1 и т.3 от ЗЗЛД условия, поради което същото е допустимо.

Личните данни на жалбоподателя са обработени при спазване на принципите, залегнали в чл. 2, ал. 2 от Закона за защита на личните данни: законосъобразно и добросъвестно, данните са събрани за конкретни, точно определени и законни цели и да не се обработват допълнително по начин несъвместим с целите. Те са съотносими, свързани с и ненадхвърлящи целите, за които се обработват.

С оглед изложеното Комисията приема, че обработването на личните данни на жалбоподателя от страна на “БНПППФ” като администратор на лични данни е законосъобразно, поради което жалбата е неоснователна и следва да се остави без уважение.

На основание чл. 10, ал. 1, т. 7 и чл.39, ал.2 от ПДКЗЛДНА, Комисията

Оставя без уважение жалба с рег.№5808/08.03.2010г. от В.П.Д. срещу “БНПППФ” ЕАД.

Решението да се съобщи на заинтересованите лица по реда на АПК.

Настоящето решение подлежи на обжалване, в 14 дневен срок от връчването му, чрез Комисията за защита на личните данни пред Върховен административен съд на Република България.