Решение на КЗЛД от 2020 година, включено в юбилейната книга на ведомството
По случай своя 20-годишен юбилей Комисията за защита на личните данни издаде книга, в която прави своеобразна равносметка на своята дейност, като представя най-важното от постигнатото до момента и обобщава своите добри практики.
Във втората част на книгата са публикувани правни актове на Комисията, издържали съдебен контрол, и/или актове, представляващи трайна и принципна практика по въпроси от обществен интерес.
Това решение от книгата е потвърдено от съда.
Правописът е запазен.
Административна практика по жалби
Решения, касаещи злоупотреба с лични данни за сключване на договори за услуги
РЕШЕНИЕ
№ ППН-01-580/2019 г.
София, 17.08. 2020 г.
Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венцислав Караджов и членове: Цанко Цолов, Мария Матева и Веселин Целков на заседание, проведено на 19.05.2020 г., на основание чл. 10, ал. 1 от Закона за защита на личните данни, респективно чл. 57, § 1, буква „е“ от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (Регламента), разгледа по същество жалба № ППН-01-580/25.06.2020 г. подадена от 
.
Административното производство е по реда на чл. 38 от Закона за защита на личните данни (ЗЗЛД).
Комисията за защита на личните данни е сезирана с жалба подадена от с твърдения за нарушение на правата му по ЗЗЛД от ЕАД, а именно неправомерно им обработване от страна на дружеството за целите на сключен на 14.03.2019 г. договор за закупено крайно устройство на стойност 2300 лв.
Жалбоподателят твърди, че е узнал за нарушението на 13.06.2019 г. при плащане на текущо задължение към мобилния оператор. Категоричен е, че не е сключвал такъв договор, както и че подписа положен под договора не е негов. В допълнение посочва, че физически не притежава устройството и никога не е посещавал офиса, в който е сключен договора.
Към жалбата са приложени относими доказателства.
В условията на залегналото в административния процес служебно начало и задължението на административния орган за изясняване на действителните факти от значение за случая, от ЕАД е изискано писмено становище, в отговор на което изразено становище ППН-01-580#2/20.08.2019 г. за неоснователност на жалбата, с приложени към него относими доказателства.
От ЕАД информират, че г-н е абонат на дружеството за различни услуги, в това число и за предоставяне на мобилна услуга чрез номер . Твърдят, че на 14.03.2019 г. е „приподписал договора си за нея и заедно с това с закупил и устройство на изплащане“. Допълват, че на 14.03.2019 г. е заплатена първата вноска за устройството, а през май 2019 г. е платена месечна вноска за абонаментния план на номер .Твърдят, че личните данни на жалбоподателя са обработвани от дружеството законосъобразно – на основание сключения договор, който е изряден от външна страна, а твърденията на г-н за извършено престъпление са от компетентността на разследващите органи и извън приложното поле на ЗЗЛД. Прилагат относими доказателства.
Комисията за защита на личните данни е независим държавен орган, който осъществява защита на лицата при обработването на личните им данни и при осъществяване на достъпа до тези данни, както и контрол по спазването на ЗЗЛД и Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.
За да упражни правомощията си, Комисията следва да бъде валидно сезирана.
Жалба № ППН-01-580/25.06.2019 г. съдържа задължително изискуеми реквизити – налице са данни за жалбоподателя, естеството на искането, дата и подпис, с оглед което същата е редовна.
Жалбата е процесуално допустима, подадена в срока по чл. 38, ал. 1 от ЗЗЛД от физическо лице с правен интерес, срещу юридическо лице администратор на лични данни по смисъла чл. 4, § 7 от Регламента. Същата има за предмет неправомерно обработване, на личните данни на жалбоподателя от ЕАД за целите на сключен на 14.03.2019 г. договор за закупуване на крайно устройство. Сезиран е компетентен да се произнесе орган – КЗЛД, която съгласно правомощията си по чл. 10, ал. 1 от ЗЗЛД във връзка с чл. 57, § 1, буква „е“ от Регламент (ЕС) 2016/679, разглежда жалби срещу актове и действия на администраторите на лични данни, с които се нарушават правата на субекти на данни свързани с обработване на личните данни, като не са налице изключенията по чл. 2, § 2, буква „в“ и чл. 55, § 3 от регламента предвид обстоятелството, че случая не касае дейности по обработване извършвани от физическо лице в хода на чисто лични или домашни занимания и/или дейности извършвани от съдилищата при изпълнение на съдебните им функции.
По изложените съображения и предвид липсата на отрицателните предпоставки посочени в чл. 27, ал. 2 от АПК, на проведено на 16.10.2019 г. заседание на комисията жалбата е приета за допустима и като страни в производството са конституирани: жалбоподател – и ответна страна – ЕАД.
С оглед изясняване на случая от правна и фактическа страна е допуснато извършването на почеркова експертиза на процесния договор, в частта касаеща положен подпис на абоната, респективно декларатора. За целите на последната жалбоподателят е предоставил сравнителен материал, който е изпратен в Националния институт по криминалистика (НИК).
Изготвена е графическа експертиза отразена в Протокол № 20/ДОК-14 от 20.01.2020 г., по описа на НИК, изпратена в КЗЛД с придружително писмо ППН-01- 580#9/23.01.2020 г., със заключение, че подписът – обект на експертизата не е положен от жалбоподателя .
Предвид обстоятелството, че случаят е изяснен от фактическа страна, жалбата е нарочена за разглеждане в открито заседание на КЗЛД на 19.05.2020 г., за което страните са редовно уведомени. Указано им е разпределянето на доказателствената тежест в процеса. Предоставена е възможността да се запознаят със събраните по преписката доказателства, в частност с изготвената експертиза, заверено копие от която е изпратено на страните.
В отговор и с придружително писмо ППН-01-580#24/02.04.2020 г. от мобилният оператор са приложени кредитни известия за сторниране на дължимите по договора суми и въведени от дружеството технически и организационно мерки за защита на личните данни, приложими в търговски обекти на ЕАД и изискващи идентификация на абонатите при сключване на договори за услуги.
След запознаване със събраните по преписката доказателства процесуалният представител на жалбоподателя излага твърдения, че в процесния договор за предоставяне на мобилни услуги е посочен на документ за самоличност, който жалбоподателят не притежава към датата на сключване на договора. В тази връзка и с оглед служебното начало в процеса от Министерство на вътрешните работи (МВР) е изискана информация за номера на издадената и валидна към 14.03.2019 г. лична карта на жалбоподателя , както и информация притежавал ли е г-н лична карта с номер и какъв е срока на нейната валидност.
В отговор и с писмо ППН-01-580#22/27.03.2020 г. от МВР, Дирекция „Български документи за самоличност“ информират, че от извършена справка в Националния автоматизиран информационен фонд „Национален регистър на българските лични документи“ е установено, че на 24.03.2017 г. на лицето е издадена лична карта от ОДМВР Бургас, с валидност на документа за самоличност „безсрочен“. Допълват, че личната карта с № е издадена на г-н на 09.09.2009 г., но същата е обявена за невалидна на 25.11.2013 г., въз основа на молба № по описа на ОДМВР Бургас.
На проведено на 19.05.2020 г. заседание на Комисията, жалбата е разгледана по същество.
Жалбоподателят редовно уведомен, не се явява, не се представлява.
ЕАД – редовно уведомено, представлява се от с пълномощно по преписката, която оспорва жалбата, като неоснователна. Заявява, че е запозната със събраните по преписката материали, не сочи нови доказателства, но моли за назначаване на повторна експертиза, като счита, че „експертът, разглеждал и сравнявал образците, е трябвало да вземем образци от подписа, направени на таблет – така както е подписан и самия оспорен договор“ и счита „че е възможно това да е изкривило експертното становище“.
Искането е оставено без уважение, като неоснователно, доколкото по преписката липсват твърдения и доказателства процесния договор да е подписан чрез ползване на техническо средство – таблет. Такива твърдения са наведено едва в откритото заседание пред КЗЛД, но не са подкрепени с доказателства. Отделно от това комисията приема, че допуснатата от процесуалния представител възможност за изкривяване на експертното становище по изложените в заседанието съображения се опровергава от направения от вещото лице анализ, в който изрично е посочено, че се касае за целенасоченост на действията на лицето положило подписа, като „съвпадения в частните признаци и наличието на сходство при изписване на час от елементите могат да се обяснят със стремежа за наподобяване на саморъчните подписи на , поради което не оказват влияние на направения вече отрицателен идентификационен извод“. Доказателства, макар и косвени, за целенасочеността на действията се съдържат и в преписката, доколкото безспорно установено е, че за сключване на договора е използван документ за самоличност, която е обявен за невалиден повече от пет години преди дата на сключване на договора. Отделно от горното комисията приеме, че действията на оператора по сторниране на задълженията по процесния договор извършени па 31.03.2020 г. в същият ден в който дружеството е получило експертното заключение са доказателство, че дружеството безспорно приеме че договорът не е подписан от , поради което същия не поражда задължения за него.
В качеството си на административен орган и във връзка с необходимостта от установяване истинността по случая, като основен принцип в административното производство, съгласно чл. 7 от АПК, изискващ наличието на установени действителни факти и предвид събраните доказателства и наведените твърдения, Комисията приема, че разгледана по същество жалба № ППН-01-580/25.06.2019 г. е основателна.
Жалбата има за предмет неправомерно обработване на личните данни на жалбоподателя от ЕАД за целите на сключен договор за продажба на изплащане № г. и приложен към него Приемо-предавателен протокол за закупено крайно устройство. В жалбата се съдържат твърдения за неистинност на подписа положен от купувача.
Между страните не с спорно, а и от събраните по преписката доказателства се установи, че на 19.03.2019 г. с сключен договор за продажба на изплащане № г. и приложен към него Приемо-предавателен протокол за закупено крайно устройство апарат Apple iPhone XS 64GB Space Grey са сума в размер на 2 300 лв. В договорът и приложенията към него, в това число и приемо-предавателния протокол за закупено крайно устройство, се съдържат лични данни на жалбоподателя в обем от три имена, адрес и единен граждански номер, същият е посочен като абоната на услугата, респективно купувач и именно в това му качество личните му данни се обработват от мобилния оператор.
Твърденията на жалбоподателя, че личните му данни са незаконосъобразно обработели за целите на договора са основателни. Същите се подкрепят от събраните по преписката доказателства, в частност от изготвена по случая графическа експертиза обективирана в Протокол за извършена експертиза № 20/ДОК-14 от 20.01.2020 г. на НИК -МВР със заключение, че подписите за „купувач“ и „за потребител“ в договор за продажба на изплащане с № г., приемо-предавателен протокол за закупено устройство, Приложение № 1 и 3 към договора, и допълнителни приложения към Приложение № 1 – Условия за ползване на допълнителен пакет и Активиране и условия за ползване на допълнителен пакет, не са положени от . В допълнение следва да се отбележи, че твърденията на жалбоподателя за използване на данни от невалиден документ за самоличност също са основателни, доколкото от справка в МВР е видно, че към дата на сключване на договора жалбоподателят е с издадена лична карта различна от тази посочената в договора и обявена за невалидна повече от 5 години преди сключването му.
Последното налага извода, че личните данни на жалбоподателя са обработени от , в хипотезата на събиране и употреба за сключване на договора, без знанието и съгласието на жалбоподателя и без наличие на валидни договорни отношения между страните. Обработването не е извършено в изпълнение на нормативно установено задължение на администратора на лични данни, не е необходимо за защита на живота и здравето на физическото лице, нито за изпълнение на задача в обществен интерес или за упражняване на правомощия, предоставени на администратора със закон, както и за реализиране на законните интереси на администратора, които да са преимуществени пред интересите на физическото лице. В тази връзка се налага извода, че данните са обработени събрани и употребени за сключване на договора в нарушение на чл. 6, § 1 от ОРЗД и са нарушени правата на лицето сезирало КЗЛД.
Безспорно е, че данните на жалбоподателя са обработени от ЕАД и във връзка със събиране на произтичащи от договорите задължения. Обработването е незаконосъобразно по съображенията изложени по-горе, а обстоятелството, че задълженията по договора са сторнирани е ирелевантно доколкото предприетите от мобилният оператор действия определено не санират нарушението и сами по себе си не променят факта за незаконосъобразност на обработването на лични данни на г-н за сключване на договора.
С оглед характера на констатираното нарушение Комисията счита, че корективните мерки по чл. 58, § 2, буква „а“, „б“, „в“, „г“, „д“, „е“, „ж“, „з“ и „й“ от Регламента са неприложими и нецелесъобразни в случая, предвид тежестта на нарушението и обстоятелството, че същото е довършено, още повече, че с решение ППН-01-435/2019 г., по сходен случай, КЗЛД е издала на дружеството разпореждане по чл. 58 § 2, буква „г“ от ОРЗД с указания за техническите мерки, които следва да се предприемат от администратора, без същия да бъде финансово санкциониран за констатираното нарушение. Решението е обжалвано от ЕАД, което прави нецелесъобразно издаването на подобно такова, предвид волята на администратора и нежеланието му да се съобразни с указанията на административния орган по прилагане на ОРЗД.
Комисията счита, че упражняването на корективно правомощие различно от посоченото в чл. 58, ал. 2, буква „и“ от Регламента, а именно налагане на имуществена санкция, е нецелесъобразно и по съображение, че нарушението е поредно за администратора. В конкретния случай имуществената санкция се явява ефективна, възпираща и пропорционална по отношение на констатираното нарушение, като следва да се отбележи, че освен чисто санкционна мярка, реакция на държавата към извършеното нарушение на нормативно установените правила, имуществената санкция има и дисциплиниращо действие, с оглед неизвършването на същото нарушение за напред. Администраторът с длъжен да познава закона и да спазва неговите изисквания, още повече, че той дължи необходимата грижа, предвидена в закона и произтичаща от предмета му на дейност, кадровия и икономически ресурс.
При определяне на размерът на санкцията и в съответствие с чл. 83, § 2 от Регламента, Комисията, възприема като смекчаващи обстоятелства, че са нарушени правата на едно физическо лице, дружеството е предприело действия за сторниране на задълженията и съдействало на административния орган при изясняване па случая.
Наличието на разписани процедури при обработвате на данни за целите на сключване на договори за услуги, също може да се разгледа като смекчаващо обстоятелство, но с отбелязването, че същите са явно недостатъчни и неподходящи предвид резултатността на нарушението.
Като утежняващи обстоятелства е отчетено, че обработването на лични данни, а именно събиране и употреба за сключване на договора, е довършено с акта на своето извършване и е неотстранимо, а същото и че нарушението е станало известно па КЗЛД в следствие сезирането й от потърпевшото лице. За утежняващо обстоятелство Комисията приема и факта, че са обработени данни за единен граждански номер на лицето, както и че се касае за обработване на лични данни за създаване на финансова и договорна обвързаност с мобилния оператор. Обстоятелствата по чл. 83, § 2, букви „б“ и „и“ от Регламента са неотносими доколкото се касае за юридическо лице, което не формира вина, а към момента на извършване на нарушението одобрени кодекси за поведение, респективно одобрени механизми за сертифициране не са въведени.
Комисията счита, че с оглед принципа на пропорционалност между тежестта на нарушението и размера на наказанието и като има предвид, че дружеството не попада в определението на малко и средно предприятие по смисъла на закона, наложената на ЕАД имуществена санкция следва да е в размер на 10 000 лева. – размер много под средния предвиден в Регламента за това нарушение, като при определяне на размера на наложената санкция съобрази, че нарушението не е първо за мобилния оператор. Нарушението е поредно за ЕАД по отношение на което има влезли в сила решения на КЗЛД за наложени административния наказания – имуществени санкции, в това число, но не само, Решение Ж-88/2016 г., потвърдено с Решение № 10320/03.07.2018 г. на ВАС; Решение № Ж-974/2014 г., потвърдено с Решение № 8365/05.06.2019 г., по адм. дело № 15401/2018 г., по описа на ВАС и Решение на КЗЛД ППН-01-33/2019 г., потвърдено с Решение № 4238/13.04.2020 г. по адм. дело № 12170/2019 по описа на ВАС.
Съобразявайки целта на наказанието, което следва да има възпираща и предупредителна функция, естеството и тежестта на нарушението, обществените отношения които засяга, категориите засегнати лични данни, Комисията счита, че упражненото корективно правомощия по вид и размер безспорно отговаря на търсените от ЗЗЛД и Регламент 2016/679 ефективност и възпиращ ефект, като в същото време не нарушава принципа на пропорционалност и изискването за съразмерност.
Водима от горното и на основание чл. 38, ал. 3 от ЗЗЛД, Комисията за защита на личните данни,
РЕШИ:
- Обявява жалба № ППН-01-580/25.06.2019 г., подадена от срещу ЕАД за основателна.
- На основание чл. 83, § 5, буква „а“, във връзка с чл. 58, § 2, буква „и“ от Регламент (ЕС) 2016/679 налага на ЕАД с ЕИК административно наказание – имуществена санкция в размер на 10 000 лв. (десет хиляди лева) за обработване на личните данни на жалбоподателя в нарушение на чл. 6, § 1 от Регламент ЕС 2016/679.
Решението подлежи на обжалване в 14-дневен срок от връчването му, през Комисията за защита на личните данни, пред Административен съд София град.
След влизане в сила на решението, сумата по наложеното наказание следва да бъде преведена по банков път:
Банка
IBAN:
Комисия за защита на личните данни, БУЛСТАТ
ПРЕДСЕДАТЕЛ: ЧЛЕНОВЕ: