Още едно решение на КЗЛД по въпроси на етажната собственост
В бюлетина си Комисията за защита на личните данни публикува решение по жалба, приета за частично основателна за нарушение на чл. 15, параграф 1 от Регламент 2016/679:
РЕШЕНИЕ
№ ПП Н-01-610/2020
София, 09.07.2021 г.
Комисията за защита на личните данни („Комисията”/„KЗЛД”) в състав: Председател – Венцислав Караджов и членове – Мария Матева и Веселин Целков, на редовно заседание, проведено на 05.05.2021 г., на основание чл. 10, ал. 1 от Закона за защита на личните данни във връзка с чл. 57, параграф 1, буква „е” от Регламент 2016/679 разгледа по основателност жалба № ППН-01-610/25.08.2020 г., подадена от К.К.
Административното производство е по реда на чл. 38 от Закона за защита на личните данни (ЗЗЛД).
Жалбоподателката информира, че на 06.07.2020 г. получила на личния си имейл съобщение от „Т.В.“ ООД, че е регистрирана в тяхната система за данни.
Г-жа К.К. се притеснила, че знаят името и имейла ѝ и попитала кой ги е предоставил, тъй като не е тя. Получила по-притеснителен отговор, в който пише и фамилията ѝ, както и това, че е ползвател на апартамент 3 в сграда, намираща се в гр. ***, но не и отговор откъде имат личните ѝ данни.
След като настоятелно попитала, получила отговор, че данните са предоставени от предходния домоуправител на сградата. Сградата обаче е нова и има разрешение за ползване, както и живущи, отскоро и г-жа К.К. не знае дали е имало предходен домоуправител и ако е имала такъв – кой е той.
Жалбоподателката моли за предприемане на действия относно защитата на личните ѝ данни.
Моли „Т.В.“ ООД да бъде задължено да декларира откъде разполага с личните ѝ данни. Ако данните са предоставени от трето лице, същото да бъде разпитано на какво основание разпространява личните ѝ данни, без нейно знание и съгласие.
В условията на залегналото в административния процес служебно начало и в изпълнение на чл. 26 АПК, за започване на производството е уведомено заинтересованото лице – „Т.В.“ ООД. Предоставена е възможността по чл. 34, ал. 3 АПК за изразяване на становище с относими доказателства по предявените в жалбата твърдения.
В становището се посочва, че в „ИНСТРУКЦИЯ за обработване и защита на личните данни на физическите лица в регистър „КЛИЕНТИ“ и УВЕДОМЛЕНИЕ до клиентите изрично се упоменава, че „В регистъра се обработват следните категории лични данни, свързани с физическата идентичност: две или три имена, адрес по местоживеене, телефонен номер за връзка, електронна поща за кореспонденция и статус: собственик/ползвател/наемател.“
Управителят заявява, че собственикът на апартамента е предоставил личните данни на г-жа К.К., която му е бивша съпруга и ползва имота му. Същият е предоставил нейните лични данни и на предходния домоуправител.
В „ИНСТРУКЦИЯ за обработване и защита на личните данни на физическите лица в регистър „КЛИЕНТИ“ е регламентирана цялата процедура, включително вписването на постъпилите заявления в „ДНЕВНИК за регистриране на заявления за достъп до лични данни“. Към момента няма получени заявления от физически лица за упражняване на което и да е тяхно право.
По редовността и допустимостта на жалбата КЗЛД намира следното:
За да упражни правомощията си, Комисията следва да бъде валидно сезирана.
Разглежданата жалба е съобразена с изискванията за редовност по чл. 29 от АПК, чл. 38а, ал. 2 от ЗЗЛД и по чл. 28, ал. 1 от Правилник за дейността на Комисията за защита на личните данни и нейната администрация (ПДКЗЛДНА) – налице са данни за жалбоподателя; естество на искането;
дата на узнаване на нарушението; лице, срещу което се подава жалбата; дата и подпис.
Жалбата е процесуално допустима – подадена в срока по чл. 38, ал. 1 от ЗЗЛД от субект на данни с твърдение за нарушени негови права по Регламент 2016/679 или ЗЗЛД. С жалбата е сезиран компетентен да се произнесе орган – Комисията за защита на личните данни, която съгласно правомощията си по чл. 10, ал. 1 ЗЗЛД във връзка с чл. 57, параграф 1, буква „е” от Регламент 2016/679 разглежда жалби, подадени от субекти на данни. Налице са предпоставките за допустимост и по чл. 27, ал. 2 от АПК.
На проведено на 10.03.2021 г. закрито заседание на Комисията жалбата е обявена за допустима и като страни в производството са конституирани: жалбоподател К.К. и ответна страна „Т.В.“ ООД.
Страните са уведомени за насроченото за 05.05.2021 г. открито заседание за разглеждане на спора по същество.
От ответното дружество са изискани доказателства относно получаване на личните данни на жалбоподателката от бившия ѝ съпруг или от предходния управител на етажната собственост, както и информация кои лица са записани в книгата на етажната собственост (ЕС) за апартамент № 3 и в какво качество.
От Т.В. постъпи разпечатка за получено по Viber съобщение, за което се твърди, че е от предходния управител, както и копие на книгата на ЕС, отнасяща се за ап. 3.
На проведеното заседание страните не се явяват, не се представляват.
При така установеното Комисията разгледа жалбата по същество, като я приема за частично основателна въз основа на следното:
С Регламент 2016/679 и Закона за защита на личните данни (ЗЗЛД) се определят правилата по отношение на защитата на физическите лица във връзка с обработването на личните им данни, както и правилата по отношение на свободното движение на лични данни. Целта е да се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.
От жалбата и приложенията към нея се извеждат две твърдения за нарушения на Регламент 2016/679 и ЗЗЛД – нарушено право на достъп и неправомерно събиране на лични данни.
От фактическа страна страните не спорят, че Т.В. обработва лични данни на жалбоподателката.
Служебно известна на КЗЛД информация от преписка ППН-01-899/2020 г. (приложение към #4) е, че етажната собственост с адрес гр. *** има сключен договор за възлагане на поддръжка и управление на общи части с Т.В.
Видно от представената кореспонденция по електронна поща между жалбоподателката и Т.В., г-жа К.К. е получила електронно писмо от дружеството, с което е информирана, че е направена регистрация на нейно име в системата на администратора. След получаване на писмото жалбоподателката попитала (по електронна поща) следното: „Искам да знам кой и на какво основание Ви е предоставил моите лични данни?“ Отговорът от дружеството (след повторно запитване) е, че:
„Данните, имейл адреса Ви ни е предоставен от предходния Домоуправител на сградата.“
Съгласно чл. 15, параграф 1 от Регламент 2016/679 субектът на данни има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и информацията посочена в точки „а“ до „з“. В буква „ж“ е посочено, че когато личните данни не се събират от субекта на данните субектът на данни има право да получи всякаква налична информация за техния източник. Именно това е поискала жалбоподателката.
Следва да се уточни, че искането за достъп до лични данни не е подадено по надлежния ред, посочен в чл. 37б от ЗЗЛД, както и правилата на самия администратор, тъй като не е подписано с електронен подпис, но указания за редовно подаване не са дадени от администратора, а е предоставена някаква информация. Следователно, в случая администраторът е счел искането за редовно.
В становището си управителят на Т.В. посочва, че собственикът на апартамента е предоставил личните данни на жалбоподателката, която му е бивша съпруга и ползва имота му. Същите данни са предоставени и на предходния управител на ЕС.
За установяване на посочените твърдения са изискани доказателства от администратора. В отговор постъпи извлечение от Viber съобщение от контакт, наименован „Ц.Ц.“, за който се твърди, че е предходният управител на етажната собственост, както и извлечение от книгата на етажната собственост. Във Viber съобщението се посочва, че К.К. ще плаща за ап. 3 за жилищна сграда ****, като са посочени и телефонен номер и електронна поща.
Видно от екранната разпечатка на Viber съобщението, същото е с дата 15.07.2020 г. Известието за създадена регистрация в системата на управителя на ЕС е от 06.07.2020 г. От това следва, че личните данни са получени от друго лице преди това. В становището си Т.В. заявяват, че данните са получени от бившия съпруг на жалбоподателката, който е собственик на имота. Доказателства за предоставянето не са представени, но извлечението от книгата на етажната собственост свидетелства, че действително имотът е собственост на Х.К., а К.К. е вписана като ползвател.
Предвид горното, администраторът на лични данни е нарушил чл. 15, параграф 1, буква „ж“ от Регламент 2016/679, тъй като е посочил, че е получил личните данни от предходния управител на ЕС без да го конкретизира и не е посочил, че ги е получил и от собственика на апартамента. Т.В. е следвало да посочи точно източниците на обработваните лични данни.
Относно събирането на личните данни на жалбоподателката, администраторът посочва в становището си, че във връзка с административното обслужване на етажната собственост и с цел уведомяване на всички собственици, ползватели и обитатели относно задължения и съобщения са потърсили контакти. Както беше посочено, Т.В. има сключен договор за възлагане на поддръжка и управление на общи части с етажната собственост, където ползвател на самостоятелен обект е г-жа К.К. В този смисъл, администраторът има правата, задълженията и отговорността на управителен съвет (управител) по Закона за управление на етажната собственост (ЗУЕС), които са му възложени – чл. 19, ал. 8 от същия закон.
От горното следва, че Т.В. има легитимен интерес да събира лични данни за контакт с членовете на етажните собственост, с оглед изпълнение на задълженията си на професионален управител на ЕС. Собственикът на самостоятелен обект в ЕС също има задължението по чл. 6, ал. 1, т. 16 от ЗУЕС да вписва в книгата на етажната собственост членовете на своите домакинства и обитателите. В случая, извън личните данни, които по чл. 7, ал. 2 от ЗУЕС са задължителни за вписване в книгата на етажната собственост (имена и обитаван самостоятелен обект), са събрани електронна поща и телефон. Тези данни са за контакт с лицето и са подходящи и свързани с целта на обработването (управление на ЕС), което обосновава преимущество на легитимните интереси на администратора пред тези на жалбоподателката. Налице е основание за обработване на личните данни по чл. 6, параграф 1, буква „е“ от Регламент 2016/679, поради което в тази част жалбата е неоснователна.
При така констатираното нарушение жалбата следва да бъде частично уважена. Комисията разполага с оперативна самостоятелност, като в съответствие с предоставените ѝ функции преценява кое от корективни правомощия по чл. 58, пар. 2 от Регламент 2016/679 да упражни. Преценката се основава на съображенията за целесъобразност и ефективност на решението при отчитане на особеностите на всеки конкретен случай и степента на засягане на интересите на конкретното физическо лице – субект на данни, както и на обществения интерес. Правомощията по чл. 58, пар. 2, без тази по буква „и”, имат характера на принудителни административни мерки, чиято цел е да предотвратят или да преустановят извършването на нарушение, като по този начин се постигне дължимото поведение в областта на зашитата на личните данни. Административното наказание „глоба” или „имуществена санкция” по чл. 58 пар. 2, буква „и” има санкционен характер. При прилагането на подходящата корективна мярка по член 58, пар. 2 от Регламента се взема предвид естеството, тежестта и последиците от нарушението, както и всички смекчаващи и отегчаващи отговорността обстоятелства. Оценката за това какви мерки са ефективни, пропорционални и възпиращи във всеки отделен случай отразява и целта, преследвана с избраната корективна мярка – предотвратяване или преустановяване на нарушението, санкциониране на неправомерното поведение или и двете, каквато възможност е предвидена в чл. 58, пар. 2, буква „и” от Регламент 2016/679.
В допълнение към горното, съгласно чл. 10г от ЗЗЛД при упражняване на задачите и правомощията си по отношение на администратори или обработващи лични данни, които са микропредприятия, малки и средни предприятия, КЗЛД следва да вземе предвид техните специални потребности и налични ресурси. Това следва да се вземе предвид при преценката дали да се наложи административното наказание „имуществена санкция“ вместо друга корективна мярка по чл. 58, параграф 2 от Регламента или в допълнение към нея. Финансови данни на дружеството не са налични в публични източници. Единствено е налична информация за средносписъчен брой на социално и здравно осигурените лица (персонала), които за 2020 г. е от 1 до 3 лица.
Смекчаващи отговорността обстоятелства са, че нарушението е първо за администратора, не са настъпили вреди за жалбоподателката, предоставена е частична информация.
Предвид горното, налагане на имуществена санкция би било непропорционална мярка.
Същевременно, корективна мярка по чл. 58, параграф 2, буква „в“ от Регламент 2016/679, а именно разпореждане до администратора да изпълни исканията на субекта да упражни правата си, би била най-целесъобразна мярка, която ще преустанови нарушението и ще изпълни искането на жалбоподателката, посочено в жалбата – дружеството да декларира откъде има личните ѝ данни.
В допълнение към горното, след преглед на представената от Т.В. Инструкция за обработване и защита на личните данни на физически лица в регистър „клиенти“ КЗЛД установи, че т. XIII, наименована „Осигуряване на достъп на лицата до личните им данни“, следва старата нормативна уредба по ЗЗЛД преди измененията с ДВ, бр. 17 от 2019 г. На администратора следва да бъде разпоредено по чл. 58, параграф 2, буква „г“ от Регламент 2016/679 да приведе правилата си с изискванията на Регламент 2016/679 и ЗЗЛД (след измененията с ДВ, бр. 17 от 2019 г.), както и да проведе обучение на персонала си за работа с тях.
На ответната страна следва да бъде указано, че при неспазване на влязло в сила разпореждане на надзорния орган по чл. 58, параграф 2 от Регламент 2016/679 може да бъде наложено административно наказание или „имуществена санкция“ по чл. 83, параграф 6 от Регламент 2016/679.
Така мотивирана и на основание чл. 38, ал. 3 от ЗЗЛД, Комисията за защита на личните данни
- Обявява жалба № ПП Н-01-610/25.08.2020 г., подадена от К.К. срещу „Т.В.“ ООД, за неоснователна относно обработването на лични данни на жалбоподателката.
- Обявява жалба № ПП Н-01-610/25.08.2020 г., подадена от К.К. срещу „Т.В.“ ООД, за основателна за нарушение на чл. 15, параграф 1 от Регламент 2016/679 – непредоставяне на източник на обработваните лични данни.
- На основание чл. 58, параграф 2, буква „в” от Регламент 2016/679 разпорежда на администратора на лични данни „Т.В.“ ООД в едномесечен срок да изпълни исканията на К.К. да упражни правата си, като изпрати на жалбоподателката информация относно източниците на обработваните нейни лични данни. За изпълнение на разпореждането да представи доказателства в КЗЛД.
- На основание чл. 58, параграф 2, буква „г” от Регламент 2016/679 разпорежда на администратора на лични данни „Т.В.“ ООД в тримесечен срок да приведе т. XIII от Инструкция за обработване и защита на личните данни на физически лица в регистър „клиенти“ в съответствие с Регламент 2016/679 и ЗЗЛД, след което да обучи персонала. За изпълнение на разпореждането да представи доказателства в КЗЛД.
Настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му чрез Комисията за защита на личните данни, пред Административен съд Варна.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ: