Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК).
Образувано е по касационна жалба на Комисия за защита на личните данни против решение № 895/16.02.2017 г., постановено по адм. дело №9546/2016 г. на Административен съд София - град /АССГ/ в частта му, в която е отменена т. 2 от решение №Ж-905/22.08.2016 година на Комисията за защита на личните данни.
Оплакванията в касационната жалба са за неправилност на решението, като необосновано и постановено в противоречие с материалния закон отм. енителни основания по чл. 209, т. 3 АПК.
Ответникът - "С.Г.Г" ООД, град София е депозирал писмен отговор със становище за неоснователност на касационната жалба.
Ответникът - Ц.М от [населено място] не изразява становище.
Представителят на Върховната административна прокуратура дава заключение за основателност на касационната жалба и неправилност на оспореното решение.
Като взе предвид изложеното в касационната жалба и данните по делото настоящият състав на Върховния административен съд, констатира следното:
Касационната жалба е подадена в срока по чл. 211, ал. 1 от АПК и от страна, за която съдебният акт в оспорената част е неблагоприятен, поради което е допустима.
Разгледана по същество, касационната жалба е ОСНОВАТЕЛНА.
С оспореното пред АССГ решение е отменено решение №Ж-905/22.08.2016 година, в частта му по т. 2, в която е уважена жалбата на Ц.М за нарушение по чл. 20, ал. 1 Закон за защита личните данни /ЗЗЛД/, и на основание чл. 42, ал. 3 ЗЗЛД е наложена имуществена санкция в размер на 2000 лева на "С.Г.Г" ООД, за неизпълнение на задължението му в качеството на администратор на лични данни за уведоми физическото лице за основанието за обработване на личните му данни.
АССГ е приел, че решението на Комисията за защита на личните данни в оспорената му част е издадено от компетентния съгласно чл. 38 от ЗЗЛД, при спазване на изискванията за форма и на административнопроизводствените правила, но при неправилно приложение на материалния закон.
Касационната инстнациа намира така постановеното решение за неправилно по следните съображения:
Установено е по делото, че Ц.М е абонат на [Фирма 1] и е ползвал договорени с оператора услуги, като е дал изричното си съгласие оператора да обработва личните му данни. Съгласно сключения между страните между [Фирма 2] и Масларски индивидуален договор, последният е декларирал съгласието си телекомуникационният оператор да предоставя личните му данни на трети лица, в т. ч на банки, кредитни бюра и агенции за събиране на вземания. Доказано е, че Масларски не е заплатил задълженията cи за ползвани телекомуникационни услуги по 19 месечни сметки в общ размер на 1320, 70 лева. Съгласно договор за цесия от 31.05.2014 година [Фирма 2] е възложило на "С.Г.Г" ООД да организира с всички позволени от закона средства събирането на вземания на задължени лица.
По отношение на установената фактическа обстановка не е налице спор между страните по делото и правилно е възприета от първата инстанция в съответствие с всички събрани по делото доказателства. Страните не спорят относно наличието на договор за мобилни и фиксирани телефонни услуги между Ц.М и „БТК“ЕАД, по който не са платени 19 месечни задължения. Според съдържанието на договор-заявка форма 1А Масларски се е съгласил и дава съгласието си „БТК“ЕАД да предоставя личните му данни на трети лица с цел събиране на вземания. С договор за цесия № 35033/31.05.2014 г. вземането на „БТК“ЕАД“ към Ц.М е прехвърлено на „С.Г.Г“ООД, като в тази връзка личните му данни са предадени от „БТК“ЕАД на „С.Г.Г“ООД. За извършеното прехвърляне (цесия) са изпратени на Масларски е изпратено уведомление за цесията по куриерска фирма на 23.06.2014 година, както и са изпратени още покани за плащане от 04.03.2015, 04.08.2015 и 02.09.2015 година, за които той твърди, че не получил същите. АССГ е обосновал извод, че той е редовно уведомен, защото не е доказал по пътя на насрещното доказване смяна на адреса си. Този фактически извод на първата инстанция е формиран при неправилно разпределение на доказателствената тежест. Твърдението, че Ц.М е уведомен за извършеното прехвърляне на задължението му и обстоятелството, че трето лице, на което той не е предоставил личните си данни ще ги получи, следва да бъде установено при условията на пълно доказване от лицето, което се позовава на този факт в случая „С.Г.Г“ООД, а не да бъде опровергаван от другата страна. Получаването на уведомление е възможно да бъде установено с всички доказателствени средства, но от тях следва да се установи, че до знанието на лицето е достигнала съответната информация и не е достатъчно да се установи само, че са изпратени писма на адреса на адреса, който лицето ползва обичайно и на този адрес е получавало други съобщения/призовки. Изпращането на съобщение не е възможно да бъде приравнено с получаването му и това разграничение е резултат от обичайната човешка логика, чийто правила също са нарушени при неправилното формиране на фактическия извод от АССГ, че Ц.М е редовно уведомен за това, че личните му данни се обработват от администратор, на който той не ги е предоставил. Допълнително следва изрично да бъде посочено, че съдът е разглеждал изпращането на уведомление по чл. 99, ал. 3 от ЗЗД (ЗАКОН ЗА ЗАДЪЛЖЕНИЯТА И ДОГОВОРИТЕ) (за извършена цесия) като равнозначно на уведомление по чл. 20, ал. 1 от ЗЗЛД без да отчита разликата, която съществува между тези две уведомления, произтичащи от различните правоотношения и правата, които защитават. В единия случая отношенията са облигационни и се развиват между равнопоставени правни субекти, а в другия административни и неизпълнението на задължението за защитата на личните данни на физическите лица е скрепено с административна санкция.
Съгласно чл. 20 от ЗЗЛД когато личните данни не са получени от физическото лице, за което те се отнасят, администраторът или негов представител му предоставя: 1. данните, които идентифицират администратора и неговия представител; 2. целите на обработването на личните данни; 3. категориите лични данни, отнасящи се до съответното физическо лице; 4. получателите или категориите получатели, на които могат да бъдат разкрити данните; 5. информация за правото на достъп и правото на коригиране на събраните данни. Уведомлението за цесия е изготвено от „С.Г.Г“ООД като е посочено, че действа като пълномощник на „БТК“АД, а не в лично качество като администратор на лични данни, които не са получени от физическото лице, за което се отнасят. Уведомлението е за извършена цесия, а не по чл. 20, ал. 1 от ЗЗЛД и независимо, че в него има данни, които идентифицират администратора то не дава яснота на физическото лице, че той обработва негови лични данни, както и с каква цел доколкото в него се съдържа много обобщена информация относно извършената цесия и предмета на дейност на „С.Г.Г“ООД. Липсват въобще информация относно получателите или категориите получатели, на които могат да бъдат разкрити данните и информация за правото на достъп и правото на коригиране на събраните данни. Независимо, че за последните две обстоятелства не е наложена санкция с отмененото от АССГ решение на КЗЛ липсата им е показателна за възприемане на уведомлението за цесия именно като такова, каквото е посоченото наименование, а не като уведомление по чл. 20 от ЗЗЛД.
По изложените съображения настоящият съдебен състав намира изводът на АССГ наличие на уведомление по чл. 20 от ЗЗЛД за необоснован от събраните по делото доказателства и в противоречие с материалния закон. Този неправилен извод е довел и до неправилност на съдебното решение доколкото с него е отменено решение на КЗЛД, в което правилно и обосновано е прието за установено извършено нарушение от „С.Г.Г“ООД, изразяващо се именно в обработване на личните данни на Ц.М, без той да ги е предоставил на дружеството и без то да го е уведомило за предприемане на действия по обработването им.
А. К. приема, че в случая от страна на „С.Г.Г“ООД е допуснато нарушение на чл. 20, ал. 1 от ЗЗЛД. Разпоредбата задължава администратора на лични данни, когато не е получил данните от физическото лице, за което те се отнасят, да предостави на това лице информация, която идентифицира администратора и неговия представител и такава за целите на обработването на личните данни (чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД), а при преценка, че това е необходимо и сведения относно категориите лични данни, отнасящи се до съответното физическо лице, получателите или категориите получатели, на които могат да бъдат разкрити данните, както и такива за правото на достъп и правото на коригиране на събраните данни (арг. от чл. 21 вр. чл. 20, ал. 1, т. 3 - т. 5 от ЗЗЛД). В случая по делото е установено, че „С.Г.Г“ООД при обработване на личните данни на Ц.М като администратор на лични данни, които са му предоставени от друг администратор на лични данни („БТК“АД), който ги е получил от физическото лице.
Този извод е направен в акта на комисията и се установява от събраните по делото доказателства, а и на практика не се оспорва от „С.Г.Г“ООД доколкото то поддържа евентуални становища, че е изпълнил изискванията на чл. 20 от ЗЗЛД чрез телефонни разговори на негови служители с Ц.М, а и евентуално липсата на възникнало за него задължение за уведомяване по аргумент от чл. 20, ал. 3 от ЗЗЛД.
Тези съображения, развити и в отговора по касационната жалба могат да бъдат възприемани само като неоспорване на приетото от КЗЛД, че „Г.С.Г“ООД обработва данните на Ц.М в качеството на администратор на лични данни, който не е получил данните от физическото лице, за което те се отнасят, но обработва същите съгласно § 1, т. 1 от ЗЗЛД.Стелно за него е възникнало задължението, предвидено в чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД, а именно да представи на Ц.М данните, които идентифицират администратора и неговия представител и целите на обработването на личните данни. В уведомлението за цесия, изпратено от „С.Г.Г“ООД на адреса на Масларски, е посочен ЕИК на дружеството и идентификационния му номер като администратор на лични данни, но не и ясна цел на обработването и то на какви данни. Това уведомление не е получено от Ц.М, а доказано е само изпращането му. По този начин изпращането на уведомление за цесия не покрива изискванията на чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД за уведомяване от администратор на лични данни на физическото лице, чийто данни обработва без да ги е получило от него. Действително е без правно значение как се развиват облигационните отношения между страните с оглед липсата на уведомяване за цесията, но на практика невръчването на това съобщение води до пълна липса на писмено уведомяване по чл. 20, ал. 1 от ЗЗЛД.
Съгласно чл. 20, ал. 3 от ЗЗЛД ал. 1 не се прилага, когато: 1. обработването е за статистически, исторически или научни цели и предоставянето на данните по ал. 1 е невъзможно или изисква прекомерни усилия; 2. вписването или разкриването на данни са изрично предвидени в закон; 3. физическото лице, за което се отнасят данните, вече разполага с информацията по ал. 1; 4. е налице изрична забрана за това в закон. Очевидно предпоставките на чл. 20, ал. 3, т. 1, 2 и 4 не кореспондират с нито един от установените по делото факти. Договорът за предоставяне на мобилна услуга не съдържа изричното съгласие на Ц.М неговите лични данни да бъдат предоставени именно на „С.Г.Г“ООД, а абстрактно на трето лице за събиране на вземанията на „БТК“АД към него, поради което не е възможно да се приеме наличието на знание по смисъла на чл. 20, ал. 3, т. 3 от ЗЗЛД именно по отношение този администратор на лични данни, което да го освобождава от задължението да уведоми физическото лице за обработването.
Като е достигнал до противоположен правен извод относно наличието на нарушение от страна на „С.Г.Г“ООД АССГ е постановил неправилно съдебно решение, което на основание чл. 221, ал. 2 от АПК следва да бъде отменено, а вместо него да бъде постановено друго. Необосновано АССГ приема, че в оспореното решение на Комисията липсват мотиви. Решението е обосновано с фактически и правни съображения, от които следва еднозначен извод, че „С.Г.Г“ ООД е допуснало нарушение по смисъла на чл. 20, ал. 1, т. 1 и т. 2 от ЗЗЛД при обработването на личните данни на Ц.М като администратор на лични данни, които не са получени от физическото лице. Определеният размер на имуществената санкция е в рамките на закона и съответства на извършеното нарушение, поради което след отмяна на решението на АССГ трябва да бъде отхвърлена жалбата на „С.Г.Г“ООД против законосъобразното решение на КЗЛД в оспорената му част.
По водене на делото пред първоинстанционния съд Комисията не е направила разноски, и не е представлявана от юрисконсулт, поради което с оглед изхода на спора няма право на разноски. Другата ответна страна също не е претендирала разноски.
За настоящата инстанция КЗЛД е представлявана от юрисконсулт и е направила искане за присъждане на разноски, представляващи юрисконсултско възнаграждение, поради което на основание чл. 24 от Наредба за заплащането на правна помощ следва да й бъдат присъдени разноски в размер на 100 лева.
По тези съображения и на основание чл. 222, ал. 1 от АПК, Върховният административен съд, пето отделение, РЕШИ:
ОТМЕНЯ решение № 895/16.02.2017 г., постановено по адм. дело №9546/2016 г. на Административен съд София - град в частта му, в която е отменена т. 2 от решение №Ж-905/22.08.2016 година на Комисията за защита на личните данни и вместо него ПОСТАНОВЯВА:
ОТХВЪРЛЯ жалбата на С.Г.Г“ООД против т. 2 от решение №Ж-905/22.08.2016 година на Комисията за защита на личните данни.
ОСЪЖДА "С.Г.Г“ООД - София да заплати на Комисия за защита на личните данни разноски по делото на настоящата съдебна инстанция в размер на 100 /сто/ лева.
РЕШЕНИЕТО не подлежи на обжалване.