Решение № 1458 от 29.01.2020 г. на ВАС по адм. д. № 12598/2018 г.

ОСОБЕНО МНЕНИЕ на съдия Илиана Славовска: Не съм съгласна с мнението на мнозинството – считам, че обжалваното решение е незаконосъобразно, като постановено при неправилно приложение на закона и необоснованост. Същото е постановено при изяснена фактическа обстановка, но събраните доказателства не са разгледани в пълнота, при което формираните правните изводи са неправилни. Предмет на проверка пред АССг е административен акт, постановен от независим държавен орган, който осъществява защитата на лицата при обработването на техните лични данни и при осъществяването на достъпа до тези данни, както и контрола по спазването на ЗЗЛД – чл. 6 от с. з. При това съдът е следвало да провери правилността на административния акт с оглед разпоредбите на този закон. В случая, както административния орган, така и първоинстанционния съд са обсъждали гражданскоправните права и задължения на страните, произтичащи, както от сключените договори за потребителски кредит и кредитна карта на физическо лице, така и от сключения договор за цесия и приложението на Закона за задълженията и договорите, което обаче на първо място е извън тяхната компетентност, а освен това е извън предмета на спора. Спорът пред административния орган е бил за законосъобразността на извършеното от ответниците обработване на личните данни на жалбодателите, а пред АССГ за законосъобразността на постановения от административния орган акт, който в частта по чл. 146, т. 4 АПК касае единство правилното приложение на ЗЗЛД от КЗЛД в конкретния случай. Какви задължения са поели страните по договора за цесия и дали същите са изпълнени при спазване изискванията на Закона за задълженията и договорите на първо място е извън предмета на спора, а освен това не е от компетентността както на административния орган КЗЛД, чиято компетентност е уредена изчерпателно в чл. 10 ЗЗЛД в редакцията му, действала към момента на постановяване на акта, така и на административния съд, който няма правомощия да разглежда гражданскоправни спорове. На следващо място и КЗЛД и АССг са обосновали изводите си при повърхностен прочит на доказателствата, които освен това не са обсъдени с оглед приложимите норми на ЗЗЛД, а както бе посочено са обсъждани възникналите между страните гражданскоправни отношения. В хода на производството са събрани доказателства, че Е. Дюлгерова, в качеството на и А. Дюлгерови са сключили договор банков потребителски кредит на физическо лице № 8213/12.06.2009 г. с "Уникредит Булбанк" АД, първата като кредитополучател, а вторият като солидарен длъжник в размер на 10 000 лв., с начин на издължаване - месечни анюитетни вноски, съгласно погасителен план и срок на издължаване 15.06.2019 г. С два анекса към този договор – от 04.09.2010 г. и от 23.01.2012 г. били договорени нов срок на издължаване на кредита – 15.06.2021 г., както и два гратисни периода от 15.08.2010 г. до 16.07.2011 г. и от 15.02.2012 г. до 15.07.2012 г. От съдържанието на основния договор по т. 15. Декларации и потвърждения по т. 1. 11. кредитополучателят, който в случая е единствено Е. Дюлгерова е декларирала, че е съгласна кредиторът ("Уникредит Булбанк" АД да предостави на регулаторните органи, свои свързани лица, дружества в "Уникредит Булбанк" Груп и свои съконтрагенти защитена по закон информация, включително представляваща банкова и търговска тайна, лични данни и други. При това даденото съгласие не изпълва съдържанието на чл. 4, ал. 1, т. 2 ЗЗЛД, доколкото не са налице изискванията на § 1, т. 13 от ДР на ЗЗЛД, предвиждащи, че "съгласие на физическото лице" е всяко свободно изразено, конкретно и информирано волеизявление, с което физическото лице, за което се отнасят личните данни, недвусмислено се съгласява те да бъдат обработвани, тъй като в случая липсват доказателства Дюлгерова да е дала съгласие конкретно и информирано съгласие за предоставяне на личните й данни. Освен това съдържанието на цитираната клауза не води до извод за такава възможност, предвид изброените субекти. В същата точка от договора е посочено, че кредитополучателят декларира, че е получил и приема предоставената от кредитора информация по чл. 19, ал. 1 от Закона за защита на личните данни (ЗЗЛД) и депозира декларация във връзка с този закон. Такава декларация обаче не е представена по делото, което само по себе си представлява нарушение, за което по чл. 42, ал. 1 ЗЗЛД е предвидено налагане на глоба или имуществена санкция. По отношение на А. Дюлгеров, който няма качество на кредитополучател по цитирания договор, съответно липсва дадено съгласие във вид на деклариране и потвърждаване, предвид съдържанието цитирано по-горе. Фактът, че в договора по т. 15.1.10 е включено деклариране на съгласие от страна на кредитополучателя за прехвърляне вземанията срещу него от кредитора на трето лице, не представлява дадено информирано съгласие по смисъла на § 1, т. 13 от ДР на ЗЗЛД, доколкото липсва конкретно указание в какви случаи и за какви цели е предвидена тази възможност. На следващо място цитираният договор за потребителски кредит препраща към Общи условия на "Булбанк Уникредит" АД, действали към релевантния момент, който е извършеното обработване на личните данни на Дюлгерови, но такива не са приложени към делото, а на сайта на банката https: //www. unicreditbulbank. bg/media/filer_public/9 a/3 b/9 a3 ba3 a7-ebe5-44 c0-b2 c4-e8 b27 b3 f2 d17/obshchi_usloviia_za_predostaviane_na_potrebitelski_krediti. pdf са налични тези, одобрени с решение на Управителния съвет на "Уникредит Булбанк"АД по Протокол № 42 от 18.09.2019 г., в сила от 25.09.2019 г., в които липсват разпоредби свързани с предоставянето на лични данни от страна кредитополучателите. В анексите към договора липсват разпоредби, касаещи предоставянето на лични данни от страна на Дюлгерови на банката и съответно делегиране на правомощия за предоставяне на същите на трети лица. От доказателствата по делото се установява, че между Е. Дюлгерова и "Уникредит Булбанк" е сключен и договор № 8242/21.07.2009 г. за кредитна карта на физическо лице, по силата на който на Дюлгерова е предоставена кредитна карта VIZA CLASSIC с размер на разрешен кредитен лимит от 3000 лв. и анекс към него от 23.01.2012 г., съгласно който кредитът е определен като ипотечен, макар да липсва клауза за вписване на ипотека върху конкретен имот, в които липсват разпоредби, касаещи личните данни. По делото е приложено копие от общи условия за кредитна карта на физически лица, върху които има положени подписи на всяка страница, но липсват данни кога са приети и до кога са действали. От съдържанието на т. 7 - Задължения на Банката по т. 7.2.3 се установява, че "Уникредит Булбанк" АД има задължение да предоставя всякакъв вид информация, свързана с използването на кредитната карта, включително такава, представляваща банкова тайна по смисъла на ЗКИ, както и лични данни по смисъла на ЗЗЛД, на международните картови организации VIZA INTERNATIONAL и MASTER CARD INTERNATIONAL, националния оператор БОРИКА и трети страни, с които банката има отношения, както и на свързани с нея лица, както и на техни консултанти във връзка с обслужване на картата. При това липсва каквото и да било съгласие на жалбодателите за обработване на личните им данни по този договор, още повече, че по него А. Дюлгеров не фигурира не само като кредитополучател, но и като съдлъжник. С договор за продажба и прехвърляне на вземания от 16.06.2016 г. "Уникредит Булбанк" АД, в качеството на цедент прехвърля и продава на "Макроадванс" АД, в качеството му цесионер портфолио с необслужвани вземания, произхождащи от договори за кредит, сключени от цедента с физически лица, заедно със съпътстващите гаранции, описани в Приложение № 1 към този договор, в което задълженията на Дюлгерови фигурират под № 344 и 345, съответно за кредита за потребителски кредит и договора за кредитна карта. Липсват доказателства за наличие на нормативно задължение по отношение на администратора на лични данни "Уникредит Булбанк" АД за сключването му. Освен това неправилно е прието, че този договор е в изпълнение на разпоредбата на чл. 24 ЗЗЛД, тъй като цитираната разпоредба предвижда възможност администратора на лични данни да възложи с договор обработването им на трето лице, в който обаче следва да има изрични клаузи съгласно разпоредбите на чл. 24, ал. 2 и 4 ЗЗЛД относно осигурените мерки за защита на личните данни и обема на задълженията, във връзка с обработването на личните данни, възложени от администратора на обработващия данните, каквито в случая предвид различния предмет на договора липсват. Ето защо неправилно в административния акт и в обжалваното пред настоящата инстанция съдебно решение е прието, че са налице предпоставките по чл. 4, ал. 1, т. 2 ЗЗЛД. Съгласно раздел ІІІ-ти т. 18. 2 от цитирания договор страните са се съгласили за всички неуредени въпроси да се прилагат разпоредите на действащото законодателство и ОУ (навярно Общи условия), а съгласно т. 18. 5 всички спорове между страните да се решават чрез преговори и постигане на съгласие, а когато това е невъзможно се отнасят за решаване пред компетентния български съд по реда на ГПК. При това за съгласно чл. 60, ал. 2 от Закона за кредитните институции в случаите, когато кредитът или отделни вноски от него не бъдат издължени на договорените дати за плащане, както и в случаите, когато кредитът бъде обявен за предсрочно изискуем поради неплащане в срок на една или повече вноски по кредита, банката може да поиска издаване на заповед за незабавно изпълнение по реда на чл. 418 от Гражданския процесуален кодекс въз основа на извлечение от счетоводните си книги. Ето защо не може да бъде споделен изводът, че предоставяне на личните данни на Дюлгерови от цедента "Уникредит Булбанк" АД на цесионера "Макроадванс" АД е обработване на същите при наличие на предпоставките по чл. 4, ал. 1, т. 3 ЗЗЛД. Както в административния акт, така и в съдебното решение липсва мотивирано изложение, от което да може да се установи как и защо административния орган и първоинстанционния съд приемат, че сключване на гражданско правен договор с трето лице, което без съмнение се основава на свободната воля на страните по този договор, обосновава извод за наличие на нормативно установено задължение на администратора на лични данни. Напротив, в случая е налице договаряне на администратора на личните данни на Дюлгерови "Уникредит Булбанк" АД с трето лице, което обаче не произтича от нормативно уредено задължение, при което не са налице предпоставките по чл. 4, ал. 1, т. 3 ЗЗЛД. По аналогичен начин липсва изложение и по отношение наличие на предпоставките по чл. 4, ал. 1, т. 7 ЗЗЛД, предвиждаща допустимост на обработването на лични данни при необходимост от реализиране на законните интереси на администратора на лични данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимущество имат интересите на физическото лице, за което се отнасят данните. В случая нито административния орган, нито първоинстанционния съд са посочили кои законни интереси на администратора са наложили предоставяне на данните на Дюлгерови на третото лице. Неизпълнението на сключения договор за потребителски кредит обосновава правен интерес от предприемане на действия по изпълнението на същия, които в договора са конкретизирани и предоставят възможност единствено администратора да се обърне към компетентния съд за решаване на спора по ГПК, като прехвърлянето на вземания на трети лица и "изчистване" портфейла на банката чрез цедиране на неизпълнените кредити на трети лица и не обосновава правен интерес по смисъла на цитираната разпоредба. Съгласно разпоредбата на чл. 2, ал. 2, т. т. 2 и 3 ЗЗЛД (ред. ДВ бр. бр. 81 от 14.10.2016 г., в сила от 14.10.2016 г., действала към момента на постановяване на акта) за администраторите на лични данни е било налице задължение да обработват личните данни законосъобразно и добросъвестно; да събират същите за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели и да бъдат съотносими, свързани със и ненадхвърлящи целите, за които се обработват. В случая личните данни на Е. и А. Дюлгерови, предоставени от тях на "Уникредит Булбанк" АД по повод сключения договор за потребителски кредит и впоследствие предоставени от администратора на "Макроадванс" АД са обработвани в нарушение на тази задължения, при което неправилно жалбата им е оставена без уважение от КЗЛД, чието решение също така неправилно е потвърдено от АССг. Обстоятелството, че втория ответник "Макроадванс" АД е получил личните данни на Дюлгерови по силата на договора за цесия, при липсата на цитираните по-горе предпоставки води до извод, че извършеното от него обработване също е в нарушение на цитираните по-горе разпоредби, още повече, че в случая предвид обстоятелството че личните данни на Дюлгерови не са му предоставени от физическите лица не са изпълнени и изискванията по чл. 20, ал. 1 и ал. 2 ЗЗЛД. Обстоятелството, че на същия, в качеството му на цесионер е възложено по силата на чл. 4. 3 от договора е възложено от цедента да изпълни задълженията му чл. 99, ал. 3 ЗЗД - да съобщи на длъжника прехвърлянето и да предаде на новия кредитор намиращите се у него документи, които установяват вземането, както и да му потвърди писмено станалото прехвърляне, няма нищо общо със задълженията на администратор на лични данни и не освобождават този ответник от задълженията му по чл. 2, ал. 2, т. т. 2 и 3; чл. 19, ал. 1 и чл. 20, ал. 1 и ал. 2 ЗЗЛД, в качеството му на администратор на лични данни. Предвид изложеното, считам че обжалваното решение е неправилно, като постановено в нарушение приложимите материалноправни разпоредби и необоснованост и следва да бъде отменено, като вместо него бъде постановено ново по съществото на спора, с което решение № Ж-629/16 г. /24.02.2017 г. на Комисията за защита на личните данни бъде отменено като незаконосъобразно и бъде прието за установено, че "Уникредит Булбанк" АД и Макроадванс" АД са обработвали личните данни на Е. Дюлгерова и А. Дюлгеров в нарушение на чл. 2, ал. 2, т. т. 2 и 3 ЗЗЛД (ред. ДВ бр. бр. 81 от 14.10.2016 г., в сила от 14.10.2016 г., действала към момента на постановяване на акта). При това, предвид правомощията на КЗЛД по чл. 38, ал. 2 ЗЗЛД и тези по Глава осма на ЗЗЛД делото следва да бъде върнато на административния орган за осъществяването им по отношение на администраторите на лични данни – "Уникредит Булбанк" АД и "Макроадванс" АД. Съдия: /Илиана Славовска/