ВАС за личните данни в ЦКР

Важно решение на Върховният административен съд /ВАС/ за личните данни в ЦКР /Централен кредитен регистър/ на длъжник, чийто дълг е погасен по давност, бе постановено в края на миналата година по дело 
№ 8782 / 2023.

Освен че създава важен прецедент в практиката, засилва и приложението на GDPR  досежно  защитата на личните данни на длъжници.

Практиката на ВАС е определяща. Със сигурност ще зададе по-нататъшна линия на решения по подобни казуси за личните данни в ЦКР на длъжник с погасен по давност дълг .

Казусът

Конкретното дело е по касационна  жалба по административно дело № 736/2022 г. на Административен съд – Враца. С него е отхвърлено оспорването по жалба срещу изричен отказ на администратора и обработващия лични данни  да изтрие лични данни от собствените си регистри, както и от Централния кредитен регистър (ЦКР).

Ищецът е направил възражение, че вземанията по цедиран кредит за главница и лихви са погасени по давност. Поради това е поискал отписването им и преустановяване на подаване на информация към ЦКР на БНБ. Това обаче не е сторено от дружеството – администратор на данни и при справки в ЦКР лицето излиза като длъжник по кредита. Дружеството признава, че вземането е погасено по давност, тъй като е изтекла 5 – годишната погасителна давност по чл.110 ЗЗД. Все пак обаче заявява, че с изтичането й не се е погасило самото задължение, а само възможността на кредитора да търси по принудителен ред.  За длъжника съществува възможност да изпълни доброволно, а за дружеството съществува задължение по чл.10 от Наредба №22/16.07.2009 г. на БНБ за ЦКР да предоставя ежемесечно информация за всички кредити до окончателното им погасяване.

Длъжникът е приканен към доброволно, извънсъдебно уреждане на отношенията с дружеството. Той обаче изрично заявява, че няма да заплати доброволно погасеното по давност задължение. Оттегля и съгласието си за обработване на личните му данни, упражнявайки свое основно право по  GDPR /право на оттегляне на съгласие/. Поискал е дружеството да престане да обработва личните му данни, както и да да бъде преустановено подаването в ЦКР. Указал е в нарочно заявление личните му данни да бъдат заличени на основание чл.17 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016г /GDPR/ както в системите на дружеството, така и в ЦКР (право да бъдеш забравен). Администраторът отказва изтриване на личните данни. Заявява, че обработването им продължава да е необходимо за целите, за които те са били събрани,

Решението

ВАС поставя два основни акцента в своето решение по казуса:

1. Единственият законен начин да се събере погасено по давност задължение е длъжникът да го изплати доброволно. Изтичането на давността погасява именно възможността да се упражни принуда в събирането на определен дълг. Затова ,след като длъжникът заявява изрично, че няма да изпълни доброволно, отпада и всякяква опция за събиране на дълга.
2. За да продължават да се обработват законосъобразно лични данни, е необходимо администраторът да има легитимен интерес, съгласно чл.6, пар.1, буква”е” от Регламент (ЕС) 2016/67. Също така е необходимо, целите, за които се обработват данните, да са налице през цялото време. Само при тези условия е допустимо администратор да откаже при упражняване на правото на субекта на лични данни – да бъде забравен и данните му да бъдат заличени.

Съдът счита, че волеизявленията на длъжника – че няма да плати доброволни, са довели и до отпадане на целите, за които са били събирани и обработвани данните му – а именно събиране на вземането. В този случай е налице хипотезата на чл.17, пар.1 буква “а” от Регламент (ЕС) 2016/679 за заличаване на свързаните с него лични данни от администратора.  За това изменение на кредита същият на основание чл.10 от Наредба №22/16.07.2009 г. на БНБ, следва да подаде информация в ЦКР, след което да престане да подава информация в ЦКР, предвид необходимостта от изпълнение на изискването на чл.17, пар.1 буква “а” от Регламент (ЕС) 2016/679.

Заличаването на данните в регистъра обаче не е от компетентността на дружеството -администратор и цедент на вземането, а на ЦКР.

Изводите

При така описаният казус, отпада задължението за подаване на информация в ЦКР за дружеството – администратор за дълг погасен по давност, на която се е позовал длъжника и е заявил, че няма да плати доброволно.

Това е свързано и с целите на обработка на личните данни на лицата в ЦКР – а именно да се осигурят данни за кредитната им задлъжнялост. След отпадането на правна възможност за принудително събиране и изрично волеизявление, че задължението с характер на естествено задължение няма да бъде заплатено доброволно, очевидно  липсват и основания за последващо подаване на данни за задължения на това лице. Поради това личните данни в ЦКР на длъжник с погасен по давност дълг следва да бъдат заличени.

В резултат на това решение вече всеки длъжник по кредит, чието задължение е погасено по давност, ще може на база на тази практика:

• Да упражни правото си “да бъде забравен” от кредитора и същият съответно ще бъде длъжен да заличи личните му данни и да подаде информация за последно към към ЦКР за това изменение.
• Да поиска заличаване от ЦКР на личните данни по това задължение, който ще трябва да стори това в изпълнение на изискванията на GDPR.

Ако това не се случи в този ред, вече има генерирана практика по цитираното решение и всеки заинтересован ще може да се позове на него.

Настоящата статия не представлява правна консултация и има само информативен характер. Ако се нуждаете от правна консултация във връзка с погасяване на задължения по давност или въпроси свързани със защита на личните данни, се свържете с мен на посочените контактни форми.