Финансовата институция твърди, че е получила съгласие за обработване на лични данни на клиент през 2012 година, затова може да прави справки за имотното му състояние
В бюлетина на Комисията за защита на личните данни е публикувано решение за глобяване на банка с 5 000 лева:
РЕШЕНИЕ
№ ППН-01-314 /2022/ г.
София, 24.08.2023 г.
Комисията за защита на личните данни /„Комисията”, „КЗЛД”/ в състав: председател – Венцислав Караджов и членове – Цанко Цолов, Мария Матева и Веселин Целков на редовно заседание, проведено на 21.06.2023 г., на основание чл. 10, ал. 1 от Закона за защита на личните данни /ЗЗЛД/, чл. 57, § 1, б. „е” от Регламент 2016/679 и чл. 40, ал. 1 от Правилника за дейността на КЗЛД и на нейната администрация /ПДКЗЛДНА/ разгледа по основателност жалба № ППН-01-314/13.05.2022 г., подадена от А.Л. чрез адвокат Р.В. срещу финансова институция (Ф.И.) АД.
Административното производство се развива по реда на Административнопроцесуалния кодекс /АПК/ и чл. 38 от ЗЗЛД.
С жалба № ППН-01-314/13.05.2022 г. на А.Л., подадена чрез адвокат Р.В. срещу Ф.И. АД се сезира КЗЛД за това, че личните ѝ данни /три имена и ЕГН/, с които банката разполага по повод сключен договор за кредит и поръчителство са използвани за други цели – за извършването на справки в имотния регистър и в НОИ, които след това са представени в съдебни производства по повод спор, касаещ присъждането на адвокатско възнаграждение. Според адвокат Р.В. банката, като страна по спора, не е следвало да придобива и разпространява такава информация.
Въз основа на чл. 38, ал. 2 от ЗЗЛД жалбоподателят е уведомен за образуваното производство. В допълнение към жалбата /№ ППН-01-314#2/29.06.2022 г./ адвокат Р.В. уточнява, че искането е насочено срещу действията на банката-кредитор за това, че е използвала личните данни на г-жа А.Л. за извършване на справки за имущественото ѝ състояние, без да разполага със съгласието на субекта на данни. Представят се следните доказателства: отговор от Ф.И. АД, представен по гражданско дело № ****/2020 г. по описа на РС – Велико Търново, към който е приложена справка на НОИ за ответника г-жа А.Л. и справка от Имотния регистър № ***/2021 г.
В становище на адвокат Р.В. с вх. № ППН-01-314#5/13.07.2022 г. се представя договорът за поръчителство и уведомленията до жалбоподателката. Посочва се, че извършваните справки в НОИ не са във връзка със сключване, изменение или изпълнение на договора за поръчителство, а са по повод отделен гражданскоправен спор.
В становище на Ф.И. АД жалбата се оспорва като неоснователна, предвид това, че банката е използвала личните данни на г-жа А.Л. за извършване на справки в НОИ и ИКАР, домогвайки се да докаже, че същата не е материално затруднено лице по повод повдигнат спор пред въззивна инстанция срещу Определение на Районен съд Велико Търново, с което не се присъжда адвокатско възнаграждение на адвокат Р.В.. За целите на представяне на отговор банката е извършила справки за материалното състояние на г-жа А.Л. във въпросните регистри. Считат, че разполагат с легитимен интерес за извършване на въпросните дейности по обработване на лични данни.
В допълнително представено становище /вх. № ППН-01-314#6/18.07.2022 г./ се посочва, че преди сключването на договор № ****/2012 г., по който лицето А.Л. е поръчител, същата е предоставила „съгласие“ на банката да обработва нейните лични данни, като се представя договорът за поръчителство и документ, в който се посочва, че г-жа А.Л. упълномощава Ф.И. АД да получава от нейно име информация относно лични данни от всеки администратор до изпълнение на всички нейни задължения към банката.
В допълнително становище № ППН-01-314#11/01.09.2022 г. на адвокат Р.В. се посочва, че нейната доверителка не си спомня ясно дали е подписвала документ, представляващ приложение към договора за поръчителство, в който се твърди, че е обективирано нейното съгласие банката да обработва личните ѝ данни. Независимо от това, се оспорват твърденията, че банката може да използва личните данни на лицето извън целите за сключване на договор за кредит. Според нея процесуалният ред за събиране на доказателства регламентира решаващият съдебен орган да изиска данни за имущественото състояние на лицето, извършвайки собствена преценка дали на това лице следва да се предоставя правна помощ или не. Банката е пропуснала 6-месечния срок по чл. 147 от ЗЗД за предявяване на иск срещу поръчителя, така че към момента на извършване на справки А.Л. вече не е имала задължения към банката, в качеството ѝ на поръчител. Представя се решение от 15.04.2021 г. на РС – Велико Търново, с което се отхвърля иска на Ф.И. АД срещу А.Л..
Въз основа на допълнително изискана информация и доказателства от Ф.И. АД е предоставено становище /вх. № ППН-01-314#13/19.09.2022 г./, в което се посочва следното: справката в НОИ е извършена през месец май 2021 г. и е представена пред съда на 12.05.2021 г. с цел доказване на твърденията, че г-жа А.Л. не е материално затруднено лице по смисъла на Закона за адвокатурата. Акцентира се, че спорът между страните е по повод сключен договор за кредит, като предоставеното „съгласие“ за извършване на справки, според тях, следва да се тълкува като обхващащо правоотношенията по повод договора за поръчителство до пълното изпълнение на задълженията.
В допълнително уточнение на жалбата /ППН-01-314#15/10.10.2022 г./ адвокат Р.В. представя доказателства – Определение № ***/2022 г. по ч. гр. д. № ***/2021 г. на ВКС, с което се отхвърлят исковете не Ф.И. АД. Посочва се изрично, че практиката по приложението на чл. 38, ал. 2 от ЗА е такава, че лицето, получило безплатна правна помощ, не е длъжно да доказва това обстоятелство пред съда, напротив – достатъчно е в договора за правна помощ и съдействие страните да са уговорили това. В конкретния случай възраженията на банката срещу предпоставките за наличие на безплатна правна помощ са преклудирани, като на адвокат Р.В. следва да бъде присъдено адвокатско възнаграждение, независимо дали г-жа А.Л. има качеството материално затруднено лице.
Жалбата е приета за разглеждане като редовна и допустима на заседание на КЗЛД по реда на чл. 38, ал. 1 от ПДКЗЛДНА, като са конституирани страните А.Л. – жалбоподател, Ф.И. АД – ответник. Същите са надлежно уведомени за насроченото за 21.06.2023 г. заседание за разглеждане на жалбата по същество по реда на чл. 40, ал. 1 от ПДКЗЛДНА /ППН-01-314#18/21.03.2023, ППН-01-314#19/21.03.2023/, като им е предоставена възможност за представяне на становище и доказателства.
В отговор на Ф.И. АД /ППН-01-314#20/30.03.2023/ жалбата се оспорва, като се представят относимите правила и политики за защита на личните данни.
Съставен е протокол ППН-01-314#25/26.06.2023, с който към административната преписка е приобщена следната информация: администраторът няма качеството микро, малко или средно предприятие, така че Комисията да взема предвид неговите специални потребности и налични ресурси на основание чл. 10г от ЗЗЛД, а общият годишен световен оборот на предприятието за предходната финансова година е над максимума от 20 000 000 EUR, предвиден в чл. 83, § 5 от Регламента.
На проведеното заседание жалбоподателката А.Л. чрез адвокат Р.В. – редовно уведомена, не се явява и не се представлява. Депозирана е молба /ППН-01-314#22/21.06.2023/ от адвокат Р.В., с която същата информира Комисията, че е възпрепятствана да присъства лично, но не възразява да се даде ход в нейно отсъствие, като се представят подробни съображения по същество. Претендира се изплащане на адвокатско възнаграждение, като се представя договор за правна помощ. Прави се възражение за прекомерност на евентуално претендирано юрисконсултско или адвокатско възнаграждение на ответната страна, като се иска редуцирането му до минималния размер.
Ответната страна Ф.И. АД се представлява от юрисконсулт В.А. с пълномощно по делото /ППН-01-314#24/22.06.2023/.
Ответникът, чрез процесуалния си представител, посочва, че за г-жа А.Л., в качеството ѝ на поръчител по договор за банков кредит от 10.12.2012 г., са направени справки в НАП и НОИ през май 2021 г., според нея, на основание предоставено съгласие или алтернативно във връзка с легитимен интерес, а именно – процесуално представителство по повод допълване на решение в частта за разноските, като банката се е домогвала да докаже, че г-жа А.Л. не е от категорията лица, на които се дължи безплатна правна помощ.
В хода по същество се заявява, че се поддържа отговора и всички становища на банката, прави се искане за отхвърляне на молбата за присъждане на разноски, депозирана от адвокат Р.В., по съображения, че е настъпила преклузия, а при условията на евентуалност се прави възражение за прекомерност.
При така установеното от фактическа страна, от правна страна жалбата е допустима и основателна.
Комисията е постоянно действащ независим надзорен орган, който осъществява защитата на лицата при обработването на личните им данни /чл. 6 от ЗЗЛД/. Същата упражнява по целесъобразност правомощията си по чл. 58 от Регламента – за разследване, за налагане на санкции и за издаване на указания по законосъобразното и правилно приложение на Регламента, така че да бъде постигната целта на чл. 1, т. 2 от Регламента – защита на основни права и свободи на физическите лица, към които принадлежи и правото им на защита на личните им данни. Жалбата попада в компетентността на КЗЛД.
Предмет на жалбата е твърдение за обработване на лични данни в противоречие с Регламента от Ф.И. АД, в качеството ѝ на администратор на лични данни по смисъла на чл. 4, 7) от Регламента – юридическо лице, което самостоятелно определя целите и средствата за обработването на лични данни. В настоящата хипотеза са извършвани дейности като събиране, съхранение, употреба и използване на лични данни по смисъла на чл. 4, 2) от Регламента.
Личните данни, предмет на твърдяно нерегламентирано обработване, са три имена, ЕГН, данни за икономическа и социална идентичност, като същите са използвани за извършване на справки в имотния регистър и в НОИ /справка № ***/2021 г. от Агенцията по вписванията и справка от НОИ за всички подадени уведомления за лицето А.Л./, както и са разпространени пред трети лица – Районен съд Велико Търново чрез отговор № ***/.2021 г., депозиран по гр. д. № ****/2020 г.
По отношение на твърденията на администратора, че тези дейности са извършени на основание съгласие или алтернативно – при наличието на легитимен интерес, следва да се отбележи, че предоставеният със становища ППН-01-314#6/18.07.2022 и ППН-01-314#10/30.08.2022 документ не обективира съгласие по смисъла на чл. 6, § 1, б. „а“ от Регламента, а легитимен интерес, съответстващ на понятието по чл. 6, § 1, б. „е“ от Регламента, не е доказан от администратора, още повече такъв, надделяващ над интересите или основните права и свободи на субекта на данни.
Представеният документ, който банката счита за „съгласие“ касае само кредитните взаимоотношения по съществуващ договор за поръчителство, а извършените справки са за други цели – аргументиране защитната теза на банката в спор относно изменение на съдебно решение в частта за разноските. По същия спор няма формулирано и одобрено от съда доказателствено искане за издаване на съдебно удостоверение за снабдяване с тези документи. Вярно е точно обратното – според Определение № ***/2022 г. по ч. гр. д. № ***/2021 г. на ВКС, качеството „материално затруднено лице“ на г-жа А.Л. е неотносимо към предмета на спора, който е дали се дължи адвокатско възнаграждение, независимо дали то е в размерите по чл. 38, ал. 2, вр. с чл. 38, ал. 1, т. 2 от Закона за адвокатурата. По отношение на позоваването на съгласие като основание за обработване на лични данни следва да се отбележи, че е налице превратно тълкуване от страна на администратора, като съгласието, ако бе предоставено такова по смисъла на Регламента, би било само във връзка с дейностите по изпълнение на твърдяни задължения на жалбоподателката, в качеството ѝ на поръчител по конкретен договор за кредит, като същото не се отнася за други цели, каквото е представителството на администратора във връзка със съдебно производство за присъждане на адвокатско възнаграждение.
Представеният документ освен, че не обективира „съгласие“ за обработване на лични данни, също така няма дата, така че не е видно дали е влязъл в сила. Въз основа на същия не могат да се извършват справки като процесните, поради това, че в него се сочат отменени разпоредби на Закона за защита на личните данни – чл. 28, ал. 3 и чл. 29, ал. 3 от ЗЗЛД /отм. – ДВ, бр. 17 от 2019 г./, а се използва за операции по обработване на лични данни, извършени през м. май 2021 г. От това обстоятелство може да се стигне до извод, че в периода от 04.05.2016 г. /датата на обнародване на Регламента в ОВЕС – L 119/1/ до 25 май 2018 г. /датата на влизане в сила на Регламента/ или т. нар. vacatio legis, а и след това, администраторът не е предприел необходимите мерки, както за актуализиране на вътрешните правила и политики за защита на данните по отношение на въпроса при какви обстоятелства се извършва достъп до данните на физическите лица и за какви цели може да се използва или разпространява събраната информация, така и за попълване на правните основания за обработване на лични данни, когато такива основания са обективирани в писмени споразумения със субекта на данни.
Дори и да бе налице съгласие по смисъла на Регламента, то по начина, по който е формулирано в декларацията, същото не би могло да се използва като основание, за да бъдат разпространени данните към друг администратор, независимо, че в случая това е съдът.
За да може администраторът да се позовава на съгласието като основание за обработване на лични данни, същото следва да съответства на принципите на Регламента, като бъде конкретно, свободно дадено, информирано, да може да бъде оттеглено също толкова лесно, колкото и да бъде предоставено /арг. от съображение 32, 42, 43, 50, 65 от преамбюла на Регламента и чл. 7 от Регламента/, а такова в настоящия случай не е налице, поради което следва да се отхвърлят съображенията на банката като неоснователни.
В тази връзка, извършените справки в НОИ и ИКАР, както и последващото разпространяване на събраната информация пред трети лица, представляват обработване на лични данни, извършено в противоречие с принципа на „ограничение на целите“ по чл. 5, § 1, б. „б“ от Регламента, доколкото данните на г-жа А.Л. са събрани за конкретна, изрично указана и легитимна цел – договор за поръчителство, а впоследствие са използвани по несъвместим с целта начин – за да бъдат извършени справки за имотното състояние на това лице, но не във връзка с погасяването на кредита, както и след изтичането на 6-месечния преклузивен срок за предявяване на иск срещу поръчителя, както и за да бъдат представени пред съд.
Дейностите по извършване на справки в информационните масиви на НОИ и ИКАР, както и по разпространяване на лични данни за лицето А.Л., са извършени без да е налице правно основание по чл. 6, § 1 от Регламента, а именно:
– Субектът на данни не е предоставил съгласие за обработване на личните му данни за конкретната цел.
– Обработването не е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данни преди сключването на договор, напротив – процесните справки нямат връзка с изпълнението на договора за поръчителство, по който г-жа А.Л. е страна, а са за защитата на банката в съдебно производство по друг казус.
– Обработването не е необходимо за спазването на законово задължение, което се прилага спрямо администратора – същият не е задължен със съдебно удостоверение да представи исканата информация.
– Обработването не е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице, нито е извършено в изпълнение на задача от обществен интерес или при упражняване на официални правомощия, така че въпросното основание е неприложимо.
– Процесното обработване не би могло да се възприеме, че е извършено за целите на легитимните интереси на администратора. За да се позовава администраторът на съществуващ легитимен интерес, това би следвало да се документира по съответния ред, така че да е ясно, че такъв интерес е преимуществен пред основните права и свободи на субекта на данни, което в настоящия случай не е сторено. Банката не реализира правото си на защита, като от представените доказателства не е видно да носи доказателствената тежест да докаже материална затрудненост на въпросното лице, напротив – в окончателния съдебен акт /Определение № ***/2022 г. по ч. гр. д. № ***/2021 г. на ВКС/, подробно е анализирана трайната съдебна практика, че този въпрос е неотносим, доколкото това дали да се предостави безплатна правна помощ е предмет на договора за адвокатска защита и не е в тежест на страните в производството да го доказват.
Извършено е и нарушение на чл. 24, § 1 и § 2 от Регламент 2016/679, поради това, че администраторът не разполага с подходящи организациони и технически мерки, включително правила и процедури за защита на данните, така че да е в състояние да докаже, че обработването се извършва в съответствие с Регламента, а именно: че за всяка отделна операция по обработване на лични данни е налице валидно правно основание за извършването ѝ, като достъпът и разпространението на лични данни са скрепени с ефективни контролни механизми, така че да не може да се осъществява неоторизиран, неоснователен и ненужен достъп, а разпространението на лични данни да се извършва само въз основа на основанията, предвидени в Регламента, както и при достатъчно гаранции за субекта на данни, че личните му данни се обработват правомерно. От представените и публикувани на сайта на администратора правила и политики е видно, че същите са твърде общи и неконкретизирани, така че да може да се стигне до извод, че представляват гаранция за правата на физическите лица, така както са защитени от Регламента.
Предвид гореизложеното, жалбата се явява основателна, като доколкото надзорният орган упражнява по целесъобразност правомощията си по чл. 58, § 2 от Регламента и предвид това, че нарушението е преустановено, но и с оглед превенция, на администратора на лични данни би следвало да се издаде разпореждане, въз основа на което: да се въведат подходящи правила и процедури за обработване на лични данни, включващи механизми за достъп до данните на физическите лица, както и контрол по изпълнението; да се извърши преглед на договорите, сключени преди 25 май 2018 г. – датата, считано от която се прилага Регламент 2016/679 на основание чл. 99, т. 2 от с. а., и действащи след тази дата, от гледна точка на съгласието като основание за обработване на лични данни, което следва да съответства на разпоредбите на Регламент 2016/679 /така напр. съображение 32, 42, 43, 50, 65 от преамбюла на Регламента, чл. 6, § 1, б. „а“ и чл. 7 от Регламента/. В настоящата хипотеза нарушението е обусловно от това, че администраторът се позовава на несъществуващо правно основание за обработване на лични данни, като нито при отменения ЗЗЛД, нито след влизането в сила на Регламента, същият може въз основа на така представената декларация да извършва процесните дейности по обработване на лични данни. Предвид несъобразяване на дейността му с разпоредбите на действащото законодателство, както и с цел избягване на други такива нарушения, спрямо администратора следва да се приложи такава корективна мярка, която освен да е в състояние да предотврати други подобни деяния, също така да има и поправителен ефект.
По тези съображения на администратора следва да се наложи и имуществена санкция на основание чл. 58, § 2, б. „и“, вр. с чл. 83, § 5, б. „а“ от Регламента, като при отчитане естеството, тежестта и характера на нарушението, същата следва да е в размер, близък до минималния, с оглед на това, че се кумулира с горепосоченото разпореждане, както и по следните съображения, визирани в чл. 83, § 2 от Регламента:
– Извършено е фундаментално нарушение на принципите и основанията на обработването, но в относително кратък период. Засегнат е един субект, за който няма данни да са настъпили вреди по смисъла на Регламента, но независимо от това приложимите процедури в банката не е видно да могат да възпрепятстват друго такова засягане на основни права.
– Доколкото администраторът е юридическо лице, въпросът дали нарушението е извършено умишлено или по небрежност не е приложим.
– Не е видно да са предприети действия за смекчаване последиците от нарушението, като например администраторът да е актуализирал процедурите за защита на данните.
– Администраторът има други идентифицирани нарушения на основанията за обработване на лични данни и по-специално е извършил нарушение на чл. 6, 1, б. „е“ от Регламента /Решение ППН-01-110/19.11.2019 г., потвърдено с Решение № 12844/15.12.2021 г. на ВАС по адм. д. 7392/2021 г./.
– Администраторът осигурява сътрудничество с надзорния орган.
– Сред категориите лични данни, засегнати от нарушението, няма такива по чл. 9 от Регламента.
– Нарушението е станало известно на надзорния орган по жалба на субекта на данни, като администраторът не е уведомил за същото.
– Не би могло да се счете, че администраторът е реализирал ползи или е избегнал загуби, свързани с нарушението.
На основание чл. 59, ал. 2, т. 6 от АПК административният орган следва да се произнесе по разноските, като в случая е приложима разпоредбата на чл. 12, ал. 3 от АПК /“По производствата по този кодекс не се събират държавни такси и не се заплащат разноски, освен ако това е предвидено в него или в друг закон, както и в случаите на обжалване на административни актове по съдебен ред и при предявяване на иск по този кодекс“/ във връзка с чл. 47, ал. 2 от АПК, доколкото в този кодекс или в приложимото специално законодателство няма изрични разпоредби, регламентиращи възможността за присъждане на адвокатско възнаграждение в производството пред административния орган. Следователно, искането на адвоката на жалбоподателката за присъждане на разноски, сторено с писмо ППН-01-314#22/21.06.2023, като предявено от лице, което не е процесуално легитимирано съобразно чл. 47, ал. 2, изр. 2 от АПК /“пътни и други разходи се признават и при лично явяване на страната, когато производството е открито по искане на другата страна или по служебен път“, т.е. с активна процесуална легитимация за претендиране на разноски разполага това лице, което не е допринесло за образуване на административното производство/, следва да се отхвърли. Независимо от това, трябва да се отбележи, че съображенията на представителя на ответната страна, че искането е преклудирано не намират опора в процесуалния закон АПК, по който се развива производството.
Предвид отхвърляне на главното искане, не следва да се обсъжда и евентуално предявеното такова за прекомерност на присъдения адвокатски хонорар.
Предвид гореизложеното и на основание чл. 38, ал. 3 от ЗЗЛД, Комисията за защита на личните данни с 4 гласа „за“ и 0 „против“
- Обявява за основателна жалба № ППН-01-314/13.05.2022 г., подадена от А.Л. чрез адвокат Р.В. срещу Ф.И. АД.
- На основание чл. 58, § 2, б. „и“, вр. с чл. 83, § 5, б. „а“ от Регламента за нарушение на чл. 5, § 1, б. „б“, чл. 6, § 1 и чл. 24, § 1 и § 2 от Регламент 2016/679 налага на администратора Ф.И. АД имуществена санкция в размер на 5,000 /пет хиляди/ лева.
- На основание чл. 58, § 2, б. „г“ от Регламента за нарушение на чл. 5, § 1, б. „б“, чл. 6, §1 и чл. 24, § 1 и § 2 от Регламент 2016/679 издава разпореждане на администратора Ф.И. АД да съобрази операциите по обработване на личните данни с разпоредбите на Регламента, като това стане по следните начини: да се въведат подходящи правила и процедури за обработване на лични данни, включващи механизми за достъп до данните на физическите лица, както и контрол по изпълнението; да се прегледат договорите, сключени преди 25 май 2018 г. – датата, считано от която се прилага Регламент 2016/679 на основание чл. 99, т. 2 от с. а., и действащи след тази дата, от гледна точка на съгласието като основание за обработване на лични данни, което следва да съответства на разпоредбите на Регламент 2016/679 /така напр. съображение 32, 42, 43, 50, 65 от преамбюла на Регламента, чл. 6, § 1, б. „а“ и чл. 7 от Регламента/, като за изпълнение на разпореждането предоставя на администратора на лични данни шестмесечен срок, считано от влизането на настоящото решение, след което същият следва да представи на надзорния орган доказателства.
- На основание чл. 47, ал. 2, изр. 2 от АПК отхвърля искането на адвокат Р.В. за присъждане на разноски.
Имуществената санкция следва да бъде изплатена в 14-дневен срок, считано от влизане в сила на настоящото решение по следната банкова сметка на КЗЛД в БНБ: IBAN: BG18BNBG96613000158601 BIC BNBGBGSD титуляр: Комисия за защита на личните данни, БУЛСТАТ 130961721.
В случай на неизпълнение на санкцията в срок ще бъдат предприети мерки по принудително изпълнение.
На основание чл. 133, ал. 2, изр. 2 от АПК настоящото решение може да бъде обжалвано в 14-дневен срок от връчването му чрез Комисията за защита на личните данни пред Административен съд София – град.
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ: