Върховният административен съд забрани на БТК (Vivacom) да събира незаконно данни за абонатите си, които нямат отношение към дейността ù и позволяват сериозно превишаване на властта ù.

До тях би трябвало да имат достъп само определени държавни структури - администратори на лични данни, и да бъдат получавани от трети лица при строго определен ред, съобщи OFFNews.

С незаконна клауза в договорите с клиентите си Vivacom е получила правото на достъп до данните за имотното им състояние, трудовите им договори, осигуровките, евентуално водени дела, дългове, например към "Топлофикация", собственост във фирми, семейно положение, деца, наследници, цялата налична информация в масивите на МВР и др. Тези данни са на разположение на компанията дори и сега и ще бъдат поне до 5 август.

Решението касае всички абонати на Vivacom, които са подписвали или договор, или анекс през последните две години. Клаузата фигурира във всички договори на Vivacom поне от 2014 г. Тя не е изведена на отделен ред в индивидуалните договори и абонатите няма как да предотвратят получаването на тези данни от БТК, освен ако не откажат подписването на целия договор.

През 2014 г. клаузата звучи по следния начин:

"Абонатът дава съгласието си БТК ЕАД да получава справки за него от регистри на трети лица - администратори на лични данни, включително Националния осигурителен институт, ГД ГРАО и др., в това число за гражданското му състояние, данни за плащаните от абоната социални осигуровки, данни за трудовите му договори и социално-осигурителния му доход."

През 2016 г. текстът е редактиран, но по същество той не се променя:

"За посочените цели абонатът дава съгласието си БТК ЕАД да получава справки за него от регистри на трети лица - администратори на лични данни, включително НОИ, ГД ГРАО и др."

И до днес БТК изисква предоставянето на тези данни, показва справка на OFFNews. В "Политика за кредитна оценка на Българска телекомуникационна компания ЕАД (Виваком)" пише:

"С подписването на договора си за телекомуникационна услуга и/или за лизинг на крайно устройство, Потребителите заявяват съгласието си Българска телекомуникационна компания ЕАД (Виваком), с ЕИК 831642181 да обработва данните им за целите на изготвяне на кредитна оценка (максималната финансова граница на потребление).

Горното съгласие предвижда и възможността Виваком да възложи изготвянето на кредитната оценка на трето лице - обработващ лични данни (и подизпълнител на Виваком), което да извърши необходимите за това проверки в базите на Националния осигурителен институт (НОИ), Централния кредитен регистър (ЦКР) или на третото лице подизпълнител. За целите на това възлагане Виваком ще предостави личните данни на Потребителя на третото лице – обработващ лични данни.

Потребителят се съгласява Виваком (вкл. чрез трето лице – подизпълнител) да изисква от Националния осигурителен институт и от Централния кредитен регистър и последните да предоставят на Виваком данни за доходите на Потребителя, за извършени осигурителни плащания, както и други данни, които може да представляват лични данни по смисъла на Закона за защита на личните данни (ЗЗЛД)."

Казусът

Клиентка на компанията забелязва смущаващия текст и повежда битка за отмяната му през 2014 година. На 5 юли 2016 г. Върховният административен съд взема окончателно решение по казуса. То е в нейна полза: текстът трябва да бъде заличен. Това би трябвало да е факт към 5 август 2016 г.

"На 14 май 2014 г. отидох за преподписване на договора си - преподписвам на всеки две години договора си за кабелна телевизия и интернет - и клаузата вече фигурираше в анекса. През 2012 г. я нямаше", разказва И. В. пред OFFNews.

Текстът е в дъното на анекса, но не е изваден на отделен ред и И. не може да откаже достъпа до данните, без да откаже целия анекс. Подписва и на другия ден подава жалба до БТК. В нея тя пише:

"Считам, че предоставянето на услуги от Виваком не може да бъде обвързано с предоставяне или обработка на лични данни, които не са необходими на последния за предоставянето на някоя от тези услуги (бел. авт. пакет за предоставяне на кабелна телевизия и интернет срещу 20 лв. месечна такса) и изпълнение на регламентираните в индивидуалните договори условия.

Подобен противозаконен текст не е афширан никъде в сайта на компанията, нито е заложен в някое от многобройните ви общи правила, които са "неразделна част от договора".

При краткото проучване относно верността на твърдението ми и нежеланието ми да подпиша само този текст от договора установих, че никой сътрудник продажби или оператор на 123 не може да отговори компетентно на поставения от мен въпрос. Единственият съвет, който операторът ми препредаде след суфлиране от анонимно за мен лице, е, че в електронния вид на договора, който се съхранява във Виваком, се слагало отметка (тикче), че "не съм съгласна". Според мен това не е достатъчно, тъй като т.нар. тикче визира съвсем друг текст от договора - "с цел изготвяне на кредитна оценка и/или събиране на вземания, дължими по договори за услуги с БТК ЕАД", а не се отнася до несъгласието ми Виваком, когато си поиска, да получава данни за имотното, социалното и гражданското състояние на клиента си."

В жалбата И. настоява клаузата да бъде заличена от договора ù. Отговорът пристига на 21 май 2015 г. Той е по въпрос, който всъщност никога не е бил поставян от И., и е за право на Виваком, което тя никога не е оспорвала: правото на оператора да ОБРАБОТВА лични данни.

"Във връзка с Вашата рекламация, искаме да Ви уведомим, че БТК обработва лични данни на потребителите си единствено във връзка и за целите на сключените договори между тях и дружеството.

Данните се обработват изцяло в съответствие с приложимите за това законови изисквания. Нормативните правила за обработка на лични данни не се определят от индивидуалните договори, а са законовоустановени.

...

Ако потребителят не е съгласен с клаузи в договора, същият е имал възможност да откаже да сключи същия. Изцяло от Вашата свободна преценка е зависело дали да подпишете или не същия", пише в официалния отговор на Виваком.

Писмото е подписано от Мария Димитрова, супервайзор в "Обслужване на клиенти".

На 2 юни същата година И. внася жалба и в Комисията за защита на потребителите. Оттам отказват да вземат отношение и я препращат към омбудсмана.

В отговора на Емилия Елчинова, главен директор на главна дирекция "Контрол на пазара" на КЗП, от 23 юни 2014 г. пише:

"Ако считате, че въпросната клауза нарушава Вашите граждански права и свободи или правата Ви по Закона за защита на личните данни, следва да се обърнете към Омбудсмана на Република България и Комисията за защита на личните данни.

Обръщаме внимание, че визираната от Вас клауза не Ви задължава да предоставите каквито и да било документи на търговеца. Същата единствено предоставя право за последния да придобие информация от трети лица за Вашето икономическо и социално положение, което действие не би нарушило Вашите потребителски права.

КЗП Ви благодари за оказаното доверие и изразява искреното си съжаление, че в конкретния случай не може да Ви бъде полезна".

Следва нова жалба - до националния омбудсман, тогава Константин Пенчев. Отговорът му отново е разочароващ. Той не взема отношение по същество, преразказва отговора на Виваком и приключва със съвета: "В случай че становището на Виваком не Ви удовлетворява, имате възможност да се обърнете за съдействие към контролния орган по Закона за защита на личните данни - Комисията за защита на личните данни".

На 11 юли 2014 г. И. подава две жалби - в Комисията за защита на личните данни и в Комисията за регулиране на съобщенията.

На 13 август тя получава отговор от КРС, подписан от д-р Ирина Романска, член на Комисията. И в КРС, подобно на Виваком, като че ли не разбират какво точно ги питат. В отговора се говори за клаузата, която предвижда операторът да предоставя ЕГН на абоната на трети лица и се уточнява, че тя трябва да е на отделен ред, след подписа на договора/анекса.

Относно твърденията за нарушение на Закона за защита на личните данни, Романска препраща И. към Комисията за защита на личните данни.

Отговорът дава основание на И. да пише допълнително до Комисията за защита на личните данни: "Обжалваният текст е последващо изречение от условията, за които би трябвало изрично и на отделен ред да дам съгласие, и касае не предоставянето на ЕГН на трети лица, а правото на БТК да получава данни за мен от регистри на трети лица, в т.ч. от НОИ и ГД ГРАО, и то по императивен начин, без право да откажа тази клауза. Подчертавам отново, че визираният от мен текст категорично не фигурира в нито едно от многото общи условия за предоставяне на услуги от БТК ЕАД".

И. цитира и европейските директиви и Кодекса на онлайн правата в ЕС, които са нарушени.

Светлина в тунела

След открито заседание КЗЛД се произнася в полза на И.В., като постановява обжалваната клауза да отпадне задължително от всички договори на Виваком (за мобилни услуги, тв, нет и т.н.).

На 19 януари 2015 г. пристига и писменото решение на Комисията за защита на личните данни. КЗЛД потвърждава, че от Виваком не са отговорили по същество на И., и е категорична, че "с наличието на спорния текст в договор №..... е налице несъотносимост и надхвърляне на целите, за които се обработват личните данни на жалбоподателката във връзка с договорните отношения с БТК ЕАД".

Комисията уважава като основателна жалбата на И. В. "поради нарушаване на принципите за събиране на личните данни за конкретни цели, съотносимост и ненадхвърляне на целите, за които същите се обработват". Тя издава задължително предписание на БТК ЕАД да заличи както от конкретния договор, така и от бланката на договорите спорния текст:

"Абонатът дава съгласието си БТК ЕАД да получава справки за него от регистри на трети лица - администратори на лични данни, вкл. Националния осигурителен институт, ГД ГРАО и др., в т.ч. данни за гражданското му състояние, данни за плащаните от абоната социални осигуровки, данни за трудовите му договори и социално-осигурителния му доход".

КЗДЛ указва едномесечен срок за изпълнение на задължителното предписание за заличаване на текста и изисква компанията да предостави в писмо доказателства за изпълнението.

Решението е на Цанко Цолов, Цветелин Софрониев и Мария Матева.

БТК се възползва от правото си да обжалва пред Административния съд в София. На 15 април 2015 г. съдът отсъжда в полза на И.В. БТК отново обжалва, пред Върховния административен съд, и отново губи.

Решение № 8256 е от 5 юли 2016 г., на пето отделение на ВАС. Председател е Илияна Дойчева.

Ето какво се казва в него:

"Касационната жалба (бел. авт. на БТК) е подадена в срок и е допустима, а разгледана по същество е неоснователна, като съображенията за това са следните:

С обжалваното решение Административен съд София - град отхвърля жалбата на [БТК ЕАД] против решение № Ж-818/19.01.2015 г. на Комисията за защита на личните данни, с което жалбата на И. В. е уважена и на дружеството са дадени задължителни предписания и срок за изпълнението им.

...

Обжалваното решение е постановено в съответствие с материалния закон. По несъмнен начин по делото е установено, че И. В. е сключила договор с [БТК ЕАД] за доставка на ценови пакет „В. – Д.: И. и Т.”, като същата изразява несъгласието й с частта на договора относно клаузата – „Абонатът дава съгласието си [БТК ЕАД] да получава справки за него от регистри на трети лица – администратори на лични данни, включително НОИ, ГД ГРАО и др. в т.ч. данни за гражданското му състояние, данни за плащаните от абоната социални осигуровки, данни за трудовите му договори и социално-осигурителния му доход”.

Комисията за защита на личните данни приема, че тази клауза е в нарушение на чл. 2, ал. 2, т. 2 и 3 от Закона за защита на личните данни (ЗЗЛД), тъй като със същата се надхвърлят целите, за които се обработват личните данни на В. във връзка с договорните отношения с дружеството. Нарушени са принципите за събиране на личните данни за конкретни цели, съотносимост и ненадхвърляне на целите, за които същите се обработват.

При тези данни изводът на първоинстанционния съд за законосъобразност на оспореното решение е законосъобразен.

С посочената клауза, като част от общите условия и част от индивидуалните договори се събират лични данни, които не са свързани и надхвърлят целите, за които се обработват. Събираните и обработвани лични данни са прекомерни по отношение на целите, за които се обработват, като целите не са ясно формулирани и законосъобразни и не са установени при събирането на данните.

Неоснователни са доводите на касатора, че в случая личните данни се събират и обработват във връзка с изготвянето на кредитна оценка на конкретния потребител, която обуславя целесъобразното предлагане на лизингови условия, определяне на кредитни лимити, брой допустими устройства и абонаментни карти. По несъмнен начин по делото е установено, че клаузата в договора, съгласно която „абонатът се съгласява, че [БТК ЕАД] може да събира, обработва и предоставя негови данни за ЕГН и други лични данни, в съответствие с разпоредбите на действащото законодателство, с оглед на предоставяне на електронни съобщителни услуги, например за целите за събиране на дължимите от абоната суми към [БТК ЕАД] и извършване на кредитна оценка на абоната”, е отделна самостоятелна клауза, не се оспорва от В. и не е предмет на настоящия правен спор.

Неоснователно касаторът се позовава на нормите на чл. 248 и 249 от Закона за електронните съобщения, като твърди, че същите регламентират събиране и обработване на лични данни в обема и от естеството на посочените в оспорения административен акт. В тази връзка правилно първоинстанционният съд се позовава на разпоредбата на чл. 249, ал. 1 от Закона за електронните съобщения, която императивно, регламентира, че предприятията, предоставящи обществени електронни съобщителни услуги, не могат да изискват от потребител повече данни от тези по чл. 248, ал. 2, т. 2, б. „а” за предоставяне на услугите, а именно: данни за абоната: за физически лица - трите имена, единен граждански номер и адрес, а за чуждестранни лица - личен номер; за юридически лица и физически лица - еднолични търговци - наименование, седалище, адрес на управление и съответен идентификационен код. Данните за единния граждански номер на крайните потребители могат да се използват само с цел събиране на задължения по съдебен ред, като могат да се обработват и когато физическото лице, за което се отнасят тези данни, е дало изрично своето съгласие. Нещо повече, нормата на чл. 249, ал. 2 регламентира, че предприятията, предоставящи обществени електронни съобщителни услуги, не могат да поставят условия за предоставяне на услугите си в зависимост от съгласието на потребителя данните му да бъдат използвани за други цели, като в случая тази норма също е нарушена.Личните данни свързани с трудови договори, гражданско състояние, осигурителни вноски и др. са неотносими към събиране на задълженията на дружеството, не се събират за конкретни, точно определени и законни цели и не се обработват допълнително по начин, съвместим с тези цели. Следователно с включването на текста „Абонатът дава съгласието си [БТК ЕАД] да получава справки за него от регистри на трети лица, администратори на лични данни, включително НОИ, ГД „ГРАО“ и други, в т. ч. данни за гражданското му състояние, данни за плащаните от абоната социални осигуровки, данни за трудовите му договори и социалноосигурителния му доход“ в конкретния договор със страна В. и в типовата бланка договор, [БТК ЕАД]. нарушава основни принципи по чл. 2, ал. 2, т. 2 и т. 3 от ЗЗЛД за събиране и обработване на лични данни, поради което изводът на първоинстанционния съд за законосъобразност на оспорения административен акт, е правилен.

...

Предвид изхода на делото следва да се осъди [БТК ЕАД] да заплати на Комисията за защита на личните данни сумата 300 лв., представляваща По изложените съображения Върховният административен съд, пето ОСТАВЯ В СИЛА решение № 2624 от 15.04.2015 г., постановено по адм. д. № 1558/2015 г. по описа на Административен съд София – град.

ОСЪЖДА [БТК ЕАД] да заплати на Комисията за защита на личните данни сумата 300 лв.(триста лева), представляваща юрисконсулско възнаграждение.

Решението не подлежи на обжалване.

Пишем името на жалбоподателката с инициали по нейно изрично желание. OFFNews пази в редакцията си копия от всички споменати документи.