Становище на КЗЛД относно приложението на Закона за защита на личните данни в случай на принудително събиране на вземания при цесия

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев и Веселин Целков на заседание, проведено на 05.02.2014г., разгледа преписка с вх.№П-233/16.01.2014г. от г-жа А.Н.Б., относно приложението на Закона за защита на личните данни в случай на принудително събиране на вземания при цесия.

В писмото си госпожа А.Н.Б. излага казус, при който дружеството, чиято дейност е събиране на вземания, сключва договор с дружество с предмет на дейност в областта на телекомуникациите, за прехвърляне на вземания на свои клиенти. И двете дружества са регистрирани администратори на лични данни. Предмет на договора за цесия са вземания по договори за предоставени услуги от телекомуникационното дружество. Уточнява се, че липсва съгласие на потребителя на услугите за прехвърляне на вземането, както и за прехвърляне на личните му данни на трето лице. Договорите за услуги не съдържат и волеизявления на потребителя, от което да се направи недвусмислен извод, че са спазени изискванията на чл.19 от Закона за защита на личните данни.

С оглед на изложените факти, към КЗЛД са отправени следните въпроси:

1. Допустимо ли е, по смисъла на ЗЗЛД, прехвърляне на вземането на трето лице, без да е налице предоставено отнапред съгласие от страна на потребителя на услугата негови лични данни да бъдат обработвани с такава цел?

2. Следва ли да се тълкува като изрично съгласие по смисъла на чл.4, ал.1, т.2 от ЗЗЛД обстоятелството, че потребителят е предоставил доброволно личните си данни с оглед сключване на договора за предоставяне на услуги?

3. Наличието на валидни договорни отношения между администратора на лични данни (който е цедент по договора за цесия) и потребителя, чиито данни се обработват, достатъчно основание ли е за обработването на лични данни от страна на приобретателя на вземането (цесионера), предвид обстоятелството, че същият встъпва изцяло в правата на първоначалния кредитор по силата на договора на цесия и може ли това да се тълкува като основание по смисъла на чл.4, ал.1, т.3 от ЗЗЛД?

4. Допустимо ли е обработването на лични данни на потребители от страна на приобретателя на вземането, което да се основава единствено и само на разпоредбата на чл.4, ал.1, т.7 от ЗЗЛД, т.е. за реализиране на законни интереси на приобретателя на вземането?

5. Необходимо ли е нарочно уведомяване на потребителя от страна на администратора придобил вземането по силата на сключен договор на цесия, с което да му бъде предоставена информация по чл.19 от ЗЗЛД и с какви доказателства следва да се доказва получаването на това уведомление от страна на потребителя?

Цесията е договор, уреден в чл.99 от Закона за задълженията и договорите, с който кредиторът на едно вземане (цедент) го прехвърля на трето лице (цесионер). Тъй като страните по договора са цедентът и цесионерът, за сключването на договора е необходимо само тяхното съгласие. Длъжникът не е страна по договора и неговото съгласие за сключването му не е необходимо.

По силата на договора за цесия обаче, длъжникът по цесията трябва да бъде уведомен за нея. Съобщението е едностранно изявление за прехвърлянето. То не е формално, а със свободно установено съдържание, но трябва да бъде направено от цедента, а не от цесионера, както ясно е посочено в чл.99, ал.3 и 4 от ЗЗД. Предишният кредитор (в случая телекомуникационното дружество) е длъжен да съобщи на длъжника прехвърлянето и да предаде на новия кредитор (дружеството, което се занимава със събиране на вземания)намиращите се у него документи, които установяват вземането, както и да му потвърди писмено станалото прехвърляне. Прехвърлянето има действие спрямо третите лица и спрямо длъжника от деня, когато то бъде съобщено на последния от предишния кредитор, т.е. до момента на уведомяването на длъжника негов кредитор остава цедента.

Описаната по този начин фактическа обстановка следва да се разгледа в светлината на проблемите, свързани с обработването на лични данни на физическите лица, ползвали услугите на телекомуникационната компания, които са предмет на прехвърляне по силата на договора за цесия.

При прехвърлянето на вземане, особено когато длъжникът по него е физическо лице, е свързано и с прехвърляне и на наличните лични данни, които го индивидуализират. При обработването на лични данни следва да се спазват определените в чл.2, ал.2 от ЗЗЛД принципи:

1. да се обработват законосъобразно и добросъвестно;

2. да се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели; допълнително обработване на личните данни за исторически, статистически или научни цели е допустимо, при условие че администраторът осигури подходяща защита, като гарантира, че данните не се обработват за други цели с изключение на случаите, изрично предвидени в този закон;

3. да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват;

4. бъдат точни и при необходимост да се актуализират;

5. се заличават или коригират, когато се установи, че са неточни или непропорционални по отношение на целите, за които се обработват;

6. се поддържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни се обработват; личните данни, които ще се съхраняват за по-дълъг период за исторически, статистически или научни цели, се поддържат във вид, непозволяващ идентифицирането на физическите лица.

Когато става въпрос за обработване на лични данни информираносттана физическото лице, за което се отнасят данните, е важно условие. От една страна лицето трябва да знае на кого трябва да плати, за да погаси задълженията си точно, а от друга– да знае кой и с каква цел обработва личните му данни. Ето защо в конкретния случай наличието на това условие не може да се подразбира. По правило, законосъобразното обработване на лични данни, налага лицето, чиито данни ще се обработват, да бъде информирано на основание чл.19 от ЗЗЛД за лицата, които ще имат достъп до негови лични данни,респ. получателите или категориите получатели, на които могат да бъдат разкрити данните, както и целите, за които ще бъдат евентуално предоставени данните. Това информиране обаче следва да се извърши предварително, при сключване на договора за ползване на услуги с телекомуникационното дружество.

Във връзка с поставения въпрос за съгласието, следва да се има предвид, че наличието на съгласие е само едно от алтернативно предвидените в чл.4, ал.1 от ЗЗЛД условия за законосъобразно обработване на данни. Предвид това, наличието му не е задължително,ако администраторътразполага с друго условие за допустимост. В конкретния случай такова друго условие за допустимост е хипотезата на чл.4, ал.1, т.7 от ЗЗЛД – обработването е необходимо за реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните.

Във връзка с горното и на основание чл.10, ал.1, т.4 от Закона за защита на личните данни,Комисията за защита на лични данни изразява следното

1. На основание чл.4, ал.1, т.7 от ЗЗЛД прехвърлянето на лични данни на трето лице във връзка с договор за цесия е допустимо. Липсата на съгласие на физическото лице за прехвърляне на вземанията по сключените от него договори не е пречка за допустимостта на обработването на личните му данни от цесионера.

2. Обстоятелството, че лицето е предоставило доброволно свои лични данни за целите на сключването на договор за ползване на услуги може да се тълкува като съгласие по смисъла на чл.4, ал.1, т.2 от ЗЗЛДза обработване на лични данни за целите на съответния договор.

3. Наличието на валидни договорни отношения между администратора на лични данни (който е цедент по договора за цесия) и потребителя, чиито данни се обработват, е достатъчно основание за обработването на лични данни от страна на приобретателя на вземането (цесионера) съгласно чл.4, ал.1, т.3 от ЗЗЛД. За да има действие спрямо длъжника, който не е страна по договора за цесия, обаче, той трябва да бъде надлежно уведомен на основание чл.99, ал.3 и 4 от ЗЗД.

4. Обработване на лични данни на потребители от страна на приобретател на вземане, което се основава единствено и само на разпоредбата на чл.4, ал.1, т.7 от ЗЗЛД, т.е. за реализиране на законни интереси на приобретателя на вземането, е допустимо и законосъобразно.

5. Не е необходимо нарочно уведомяване на потребителя от страна на администратора, придобил вземането по силата на сключен договор на цесия, с което да му бъде предоставена информация по чл.19 от ЗЗЛД, след като вече такава информация му е била предоставена от цедента.