Решение № 10032 от 5.07.2011 г. на ВАС по адм. д. № 11178/2010 г.

Решение № 10032 от 5.07.2011 г. на ВАС по адм. д. № 11178/2010 г., V о., докладчик председателят Марина Михайлова Производството по делото е образувано на основание чл. 145 и сл. от Административнопроцесуалния кодекс /АПК/ по жалба на "Банка Пиреос България" АД, със седалище град София срещу решение № 6862/07.07.2010 г. на Комисията за защита на личните данни /КЗЛД/Комисията/, с което й е наложено административно наказание - имуществена санкция в размер на 22 500 лева за нарушение по чл. 2, ал. 2 от ЗЗЛД. Оплакванията в жалбата са за незаконосъобразност на решението, като се иска отмяната му. Ответникът - Комисията за защита на личните данни, оспорва жалбата. Заинтересованата страна - Христофор Косев Косев от град София оспорва жалбата и поддържа становище за нейната неоснователност. Заинтересованата страна - "С. Г. Груп" ООД - град София не е взела становище по жалбата. Върховният административен съд, като взе предвид представените по делото писмени доказателства и становищата на страните, приема за установено следното от фактическа и правна страна: КЗЛД е била сезирана от Христофор Косев Косев със жалба от 21.04.2010 г., в която е твърдял, че 8 месеца след смъртта на неговия баща Косю Косев, "Банка Пиреос България" АД е изпратила покана за изпълнение изх. № 729/20.02.2009 г. за дължима сума в размер на 500 лева и лихви за просрочие по договор за овърдрафт № 9999-0206-ААF3NP001/16.07.2007 г., които баща му дължи на банката. След повече от една година жалбоподателят е получил извънсъдебна покана от "С. Г. Груп" ООД за заплащане на дължимата сума в полза на "Банка Пиреос България" АД. Тези действия на банката Косев е квалифицирал като неправомерно предоставяне на личните данни на баща му на трети лица в нарушение на разпоредбите на ЗЗЛД. КЗЛД е извършила служебна проверка в хода на административното производство, в резултат на което е установила, че въз основа на искане за издаване на индивидуална банкова карта и ползване на овърдрафт, подадено и подписано на 12.08.2003 г. от Косьо Христов Косев и "ИНГ Банка Н. В." клон София е взето решение за отпускане на банков кредит в размер на 500 лева по разплащателна сметка. Установено е, че съгласно сключен договор за събиране на просрочени вземания между "Банка Пиреос България" АД и "С. Г. Груп" ООД, последното е получило личните данни на Косев за събиране на дължимите суми към банката. Комисията е обосновала правни изводи за основателност на жалбата на Христофор Косев Косев, като се е позовала на разпоредбите на чл. 1, ал. 2 от ЗЗЛД, и чл. 2, ал. 2, т. 2 от ЗЗЛД, и е изложила мотиви, че изричното съгласие на физическото лице да бъдат обработвани личните му данни е едно от най-важните условия за обработваните им, което кореспондира на целите на закона. Според КЗЛД личните данни следва да бъдат събирани за конкретна цел и обработването им допълнително по начин, несъвместим с тази цел е в противоречие със закона. Прието е, че предоставянето на личните данни на Косю Косев от "Банка Пиреос България" АД на "С. Г. Груп" ООД надхвърля целите, за които са съхранявани и обработвани от банката личните данни починалото лице, поради което е наложена имуществена санкция на "Банка Пиреос България" АД като администратор на лични данни. При проверката за законосъобразност на решението на КЗЛД, настоящият състав прави следните правни изводи: Решението е издадено от компетентен орган, в предвидената форма, при спазване на административнопроизводствените правила и в съответствие с материалноправните разпоредби, посочени като правно основание за издаването му и целта на закона. Съгласно разпоредбата на чл. 2, ал. 2 от ЗЗЛД, личните данни трябва да се събират за конкретни, точно определени и законни цели и да не се обработват допълнително по начин, несъвместим с тези цели. Понятието "обработване на лични данни" е дефинирано в § 1, т. 1 от Допълнителната разпоредба на ЗЗЛД, а в т. 3 от същата разпоредба като "обработващ лични данни" е посочено физическо или юридическо лице, държавен орган или орган на местно самоуправление, който обработва лични данни от името на администратора на лични данни". С оглед на така дадените дефиниции, правилно КЗЛД е приела, че администратор на лични данни в случая е юридическото лице "Банка Пиреос България" АД. От анализа на представените по делото доказателства е било установено по безспорен начин както от административния орган, така и от съда, че между Косю Христов Косев и "Банка Пиреос България" АД е сключен договор за издаване на индивидуална банкова карта на овърдрафт в размер на 500 лева по искане на Косев от 12.08.2003 г.. Косю Косев е починал на 02.07.2008 г., като съгласно представената справка от Банката е оставил задължения към нея в размер на главница от 500 лева и просрочени и наказателни лихви. След като е изпратила покана за доброволно плащане на дължимата сума на наследника на Косев - неговия син - Христофор Косев Косев, и същият не е заплатил претендираната сума, администраторът е възложил събирането на задължението на трето лице - "С. Г. Груп" ООД. При сключването на договора за овърдрафт и за издаване на индивидуална банкова карта Косю Косев е предоставил доброволно личните си данни на Банката-администратор на лични данни по смисъла на ЗЗЛД, която ги е изискала, за да може клиентът и да бъде идентифициран. По делото няма доказателства, нито се твърди от Косев той да е дал съгласие Банката да обработва личните му данни за други цели, освен на тези за получената от него банкова услуга. Съгласно чл. 2, ал. 2 от ЗЗЛД, администраторът на лични данни е длъжен да ги обработва законосъобразно и добросъвестно /т. 1/, както и да ги събира за конкретни цели, като не ги обработва допълнително по начин, несъвместим се тези цели /т. 2/. Обработването на лични данни е допустимо само в случаите, когато е налице едно от изчерпателно изброените условия в чл. 4, ал. 1, точки 1 до 7 от ЗЗЛД. При липса на изрично съгласие на физическото лице да се обработват личните му данни, в настоящият случай, приложимите хипотези биха могли да бъдат тези по т. 6 и 7 от същата разпоредба. Администраторът на лични данни може да обработва личните данни на лицето, ако това е необходимо за упражняване на негови правомощия със закон или при упражняване на правомощия на трето лице, също дадени по закон. Третото лице "С. Г. Груп" ООД, независимо, че също е администратор на лични данни, няма правомощия по закон да обработва личните данни на Косев, с оглед липсата на законово оправомощаване за това. Предвид на това "Банка Пиреос България" АД неправомерно е предоставила на трето лице личните данни на Косев. Неприложима е и разпоредбата на чл. 4, ал. 1, т. 7 от ЗЗЛД, съгласно която разкриването на личните данни е необходимо за реализиране на законните интереси на администратора на личните данни или на трето лице, на което се разкриват данните, освен когато пред тези интереси преимуществено имат интересите на физическото лице, за което се отнасят данните. Починалото физическо лице не е дало съгласие личните му данни да се предоставят на трети лица, и с оглед на това законовото задължение те да бъдат обработвани само за целите, за които са предоставени, ограничава Банката да го предоставя на трето лице, тъй като преимущество има защитата на личните данни, пред правото на Банката да събере дължимите й се от него суми. Събирането на вземанията си Банката може да упражни по предвидените в закона начини, без да нарушава правото на лицето да не бъдат предоставени личните му данни на трети ЮЛ, с които това лице няма договорни отношения, нито задължения към него. От правният анализ на тези безспорни обстоятелства при постановяване на решението си КЗЛД правилно е достигнала до извода, че Банката е извършила нарушение на чл. 2, ал. 2, т. 2 от ЗЗЛД, изразяващо се в допълнително обработване на личните данни на лицето по начин, несъвместим с целите, за които са събрани. Освен това Банката е извършила и неразрешено обработване на личните данни на Косю Косев, предоставяйки ги на трето лице, тъй като последният не е дал съгласие за това. Законът за личните данни в чл. 2, т. 1 и 2 предвижда те да се обработват законосъобразно и добросъвестно и да не се обработват допълнително по начин, несъвместим с целите, за които са събрани, а чл. 4, ал. 1 регламентира хипотезите, при които е забранено обработването на тези данни, като конкретния случай не попада в тях. Правилно е определен и размера на наложената имуществена санкция по чл. 42, ал. 1 от ЗЗЛД, която е от 10 000 до 100 000 лева, като размерът е в минималната граница, определена от закона. От анализа на тези текстове от закона следва, че решението на административния орган е законосъобразно и жалбата срещу него следва да бъде отхвърлена. Разноски от ответниците не са претендирани, поради което не следва да бъдат присъждани. По изложените съображения и на основание чл. 172, ал. 2 от АПК, Върховният административен съд, пето отделение