По силата на договора за прехвърляне на вземане (цесия) кредиторът по едно вземане (цедент) го прехвърля на едно трето лице (цесионер). Тъй като цесията налага обработването на лични данни на едно трето лице – длъжник, което не е страна по договора, това води до нуждата от внимателно изследване на правилата за защита на личните данни и тяхната приложимост към прехвърлянето на вземания. Настоящият анализ изследва ситуацията, при която длъжникът е физическо лице. Изводите по-долу могат да се приложат по аналогия и към цесии с длъжници – юридически лица, като се отчетат спецификите на отношенията между юридически лица (т.е. че същите обменят данни за свои законни представители, пълномощници и др. под.).
Нужно ли е съгласие на длъжника за прехвърляне на вземането му?
Съгласието при договора за цесия може да се разглежда в две направления:
- Съгласие за самата сделка – длъжникът не е страна по договора за цесия и неговото съгласие не е необходимо, за да породи сделката действие.
- Съгласие като основание за обработване на личните данни на длъжника – съгласието може да се разглежда и като едно от правните основания за обработване на лични данни по Регламент 2016/679 (ОРЗД). Тъй като длъжникът трябва да може да прецени дали, за какви цели и за какъв срок да даде съгласието си, то представлява неподходящо правно основание за обработването на лични данни при договори за цесия. Това е така, защото ако обработването се базира на съгласие, това би дало възможност на длъжника да блокира кредитора да се разпореди с вземането си, като осуети възможността му да обработва съдържащите се в документите за дълга или свързани с него лични данни – кой е длъжникът и какви са данните му за контакт, от къде произтича задължението му, в какъв размер е то и какъв е падежът му и т.н.
На какво основание се базира обработването на лични данни при договора за цесия?
Страните по договора за цесия могат да базират обработването на личните данни на длъжника на други правни основания, които са равнопоставени и алтернативни на съгласието, а именно:
- За цедента:
- Спазване на законово задължение – да предаде документите за дълга на цесионера, т.е. да извърши и свързаното с това обработване на съдържащите се в тях лични данни;
- Наличие на легитимен (законен) интерес – да се разпореди с вземането си както намери за добре.
- За цесионера освен легитимния интерес да събере вземането си възниква и допълнително правно основание за обработването на лични данни –изпълнението на договор, по който субектът на данните е страна (това е договорът, на база на който е възникнало вземането). Това основание обаче може да бъде релевирано, при условие че цесията породи действие спрямо длъжника чрез съобщаване по реда на чл. 99, ал. 3 и 4 ЗЗД.
Според КЗЛД, юридическият факт, който прави допустимо обработването на лични данни, е прехвърлянето на вземането, а не уведомлението на длъжника. Това означава, че дори преди това уведомяване цесионерът може да обработва законосъобразно лични данни на длъжника.
Други изисквания на защитата на личните данни при цесията
Важно изискване, което трябва да се спази при цесията, е уведомяването на длъжника за обработването на неговите лични данни, тъй като администраторът на лични данни-цесионер получава личните данни не пряко от субекта на данните, а от друг източник – цедента. На субекта на данни трябва да се предостави информацията по чл. 14 ОРЗД, с цел осигуряване на прозрачно обработване на данните, а именно:
- данните, които идентифицират администратора и координатите за връзка с него;
- координатите за връзка с длъжностното лице по защита на данните, ако такова е назначено;
- целите и правното основание за обработването;
- съответните категории лични данни;
- получателите на личните данни;
- срокът, за който ще се съхраняват личните данни;
- когато е приложимо, намерението на администратора да предаде данните на трета държава или на международна организация, и допълнителна информация, свързана с този трансфер на данни;
- законните интереси, преследвани от администратора или от трета страна, когато обработването се извършва на това основание;
- информация за правата на субекта на данни във връзка с обработването;
- източникът на личните данни;
- допълнителна информация в случай, че данните се използват за автоматизирано вземане на решения, включително профилиране.
ОРЗД изисква тази информация да се предостави от администратора в следните срокове:
- в разумен срок след получаването на личните данни, но най-късно в срок до един месец, като се отчитат конкретните обстоятелства, при които личните данни се обработват;
- ако данните се използват за връзка със субекта на данните, най-късно при осъществяване на първия контакт с този субект на данни;
- ако е предвидено разкриване пред друг получател, най-късно при разкриването на личните данни за първи път.
Не са малко случаите в практиката, когато цесионери са санкционирани именно за неспазване на горното изискване за информиране на субекта. По принцип ОРЗД допуска изключения от горното задължение за информиране, ако получаването или разкриването на данните е изрично разрешено от правото на ЕС или правото на държавата членка, в което се предвиждат подходящи мерки за защита на легитимните интереси на субекта на данните. Не е ясно как КЗЛД ще тълкува това правило в светлината на договора за цесия (при който разкриването и получаването на данни е изрично уредено в българското право). Имайки предвид горната санкционна практика, по-сигурният подход за цесионерите ще е да извършват нарочно уведомяване на субектите.
Допуска се информирането на субекта на данни за обработването да се извърши заедно с уведомяването на длъжника за цесиятаот цесионера. Това е изрично припознато и в съдебната практика.
Може ли изтеклата давност на прехвърленото вземане да засегне законосъобразността на обработването на лични данни?
Дали вземането е погасено по давност или не, надлежно ли е упражнено възражението на длъжника за изтекла погасителна давност и т.н. са въпроси от компетентността на гражданския съд и не влияят на законосъобразността на обработването на лични данни.
Статия на д-р Мартин Захариев по темата можете да намерите на адрес: https://www.tita.bg/free/commercial-law/660